Dieses Programm („Rechnungen“) wird privat und unentgeltlich für einen kleinen, geschlossenen Nutzerkreis betrieben. Es gibt keine öffentliche Registrierung – Zugänge vergibt nur der Betreiber. Hier steht, welche Daten verarbeitet werden, wozu, wie lange, und welche Rechte du hast (Art. 13 und 14 DSGVO).
1. Betreiber und Rollen
- Betreiber
- Stefan Bratko
- Anschrift
- Sportplatzstraße 25, 8561 Söding
- Kontakt
- stefan@bratko.at
- Für die Benutzerkonten und die technischen Protokolle ist der Betreiber Verantwortlicher im Sinne der DSGVO.
- Für die Stammdaten, Rechnungen und Kundendaten, die du eingibst, bist du selbst Verantwortlicher – du verwendest das Programm für deine eigene Tätigkeit. Der Betreiber verarbeitet diese Daten ausschließlich in deinem Auftrag (Auftragsverarbeitung, Art. 28 DSGVO) und nicht für eigene Zwecke.
- Im Programm sieht jeder Benutzer nur seine eigenen Daten – auch der Administrator sieht keine fremden Rechnungen oder Stammdaten. Technisch hat der Betreiber als Server-Administrator Zugriff auf die Datenbank; er nutzt diesen nur, wenn es für Betrieb, Fehlerbehebung oder Wiederherstellung notwendig ist oder du ihn darum bittest.
2. Welche Daten verarbeitet werden
- Benutzerkonto
- Benutzername, Passwort (nur als BCrypt-Hash, nie im Klartext), Rolle, Status, Zeitpunkt des letzten Logins, Anzahl der Fehlversuche bzw. Sperre, Zwei-Faktor-Geheimnis (AES-256-verschlüsselt) und Wiederherstellungscodes (nur als Hash).
- Stammdaten
- Name bzw. Firma, Adresse, Telefon, UID-Nummer, Steuernummer, Bank, IBAN, Ort, Zahlungsbedingungen, optional ein Logo.
- Rechnungen
- Rechnungsnummer, Datum, Leistungszeitraum, Rechnungsempfänger (Anrede, Name, Adresse, UID-Nummer), Projekt, Positionen, Beträge sowie eine Kopie deiner Stammdaten zum Zeitpunkt der Rechnung. Excel- und PDF-Dateien werden bei jedem Download neu erzeugt und am Server nicht gespeichert.
- Technische Daten
- Bei jeder Anmeldung und jedem Fehlversuch: IP-Adresse, Benutzername und Zeitpunkt (Server-Protokoll). Zusätzlich ein Zähler der Fehlversuche pro IP-Adresse – nur im Arbeitsspeicher, 15 Minuten lang.
3. Zwecke und Rechtsgrundlagen
- Bereitstellung des Programms und deines Kontos: Art. 6 Abs. 1 lit. b DSGVO (Vereinbarung über die Nutzung).
- Sicherheit – Schutz vor unbefugtem Zugriff, Sperre nach Fehlversuchen, Protokolle zur Aufklärung von Angriffen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb) und Art. 32 DSGVO.
- Rechnungs- und Kundendaten: werden in deinem Auftrag verarbeitet. Die Rechtsgrundlage liegt bei dir – in der Regel der Vertrag mit deinem Kunden (lit. b) und gesetzliche Pflichten wie Umsatzsteuergesetz und Bundesabgabenordnung (lit. c).
4. Cookies
Es wird nur ein einziges, technisch notwendiges Session-Cookie gesetzt. Es hält dich angemeldet und wird beim Abmelden bzw. nach 30 Minuten ohne Aktivität ungültig. Es gibt kein Tracking, keine Analyse-Tools, keine Werbung und keine Inhalte von Drittanbietern – Schriften, Skripte und Bilder kommen ausschließlich vom eigenen Server. Eine Einwilligung ist dafür nicht erforderlich (§ 165 Abs. 3 TKG 2021).
5. Empfänger und Hosting
- Die Daten liegen auf einem Server bei World4You Internet Services GmbH, Linz – Server in Österreich. Der Hoster ist Auftragsverarbeiter des Betreibers und stellt nur den Server bereit; er verwendet die Daten nicht für eigene Zwecke.
- Alle Verbindungen sind per HTTPS verschlüsselt. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nicht statt.
- Es gibt keine Weitergabe an Dritte, keinen Verkauf und keine Auswertung der Daten – außer der Betreiber wäre gesetzlich dazu verpflichtet (z. B. durch eine behördliche oder gerichtliche Anordnung).
6. Wie lange Daten gespeichert werden
- Stammdaten und Rechnungen: bis du sie löschst bzw. bis dein Konto gelöscht wird. Rechnungen sind in Österreich 7 Jahre aufzubewahren (§ 132 BAO) – dafür bist du selbst verantwortlich, am einfachsten durch Ablage der PDFs.
- Benutzerkonto: bis zur Löschung durch den Administrator (auf deinen Wunsch oder wenn du das Programm nicht mehr nutzt). Dabei werden Konto, Stammdaten und alle Rechnungen endgültig gelöscht.
- Server-Protokolle: werden automatisch rotiert; die ältesten Einträge werden überschrieben, sobald die Protokolle eines Dienstes etwa 50 MB erreichen.
- Fehlversuchs-Zähler und Sitzung: nur im Arbeitsspeicher – höchstens 15 Minuten bzw. bis zum Abmelden; ein Neustart löscht sie.
- Datensicherungen: enthalten den jeweiligen Stand der Datenbank, dienen nur der Wiederherstellung und werden regelmäßig durch neuere ersetzt. Gelöschte Daten können bis dahin noch in älteren Sicherungen enthalten sein.
7. Sicherheit
- Anmeldung mit Passwort und Zwei-Faktor-Code (Pflicht für alle Benutzer).
- Passwörter nur als BCrypt-Hash, Zwei-Faktor-Geheimnisse AES-256-verschlüsselt gespeichert.
- Konto-Sperre nach mehreren Fehlversuchen (15 Minuten) und Drosselung pro IP-Adresse.
- Strikte Trennung: jeder Benutzer kann ausschließlich seine eigenen Daten sehen und ändern.
- Die Datenbank ist aus dem Internet nicht erreichbar; Server und Software werden regelmäßig aktualisiert.
Sollte es trotzdem zu einer Verletzung des Datenschutzes kommen, informiert der Betreiber alle Benutzer unverzüglich – damit du, falls nötig, deine eigenen Meldepflichten (Art. 33 und 34 DSGVO) erfüllen kannst.
8. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20 – deine Rechnungen kannst du jederzeit selbst als Excel oder PDF herunterladen) und Widerspruch (Art. 21 DSGVO). Wende dich dazu einfach an den Betreiber.
Personen, deren Daten auf einer Rechnung stehen (Rechnungsempfänger), wenden sich bitte direkt an den jeweiligen Rechnungsaussteller – er ist für diese Daten verantwortlich.
Du kannst dich außerdem bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.