gemäß Art. 30 DSGVO · Stand: Oktober 2026 · Internes Verzeichnis, öffentliche Kurzfassung.
Verantwortlicher: Ersin Demircioğlu, handelnd unter InvoiceBridge DE, Auf'm Kampe 8, 33729 Bielefeld.
| # | Tätigkeit | Datenkategorien | Zweck / Rechtsgrundlage | Speicherdauer | Empfänger |
|---|---|---|---|---|---|
| 1 | Benutzerkonto & Registrierung (Tabelle: accounts) | E-Mail, Passwort-Hash (PBKDF2), Firmenstammdaten (Name, Anschrift, USt-IdNr., Steuernummer, Bankverbindung), Stripe-Kunden-ID, Abo-Status, Nutzungszähler | Vertragserfüllung (Art. 6 Abs. 1 lit. b), § 14 BGB-Unternehmerbestätigung | Vertragsdauer; danach Löschung/Anonymisierung (30-Tage-Frist nach Vertragsende) | — (nur System) |
| 2 | Rechnungserzeugung & Validierung (Tabelle: invoices) | Rechnungsstammdaten (Aussteller/Empfänger, Leitweg-ID), Positionen, Beträge, Steuerkennzeichen, Rohdaten (XML/JSON) | Vertragserfüllung, Weisung des Kunden (Art. 28 AVV) | Vertragsdauer; auf Kundenwunsch Löschung; sonst Revisionsarchiv | — (nur System) |
| 3 | Revisionsarchiv (Tabelle: invoices, raw_xml/raw_pdf) | Generierte UBL/CII-XML, ZUGFeRD-PDF/A-3, SHA-256-Hashes, Verifikations-Token | Gesetzliche Aufbewahrung § 147 AO / GoBD (Art. 6 Abs. 1 lit. c) | 10 Jahre | — |
| 4 | Audit-Protokoll (Tabelle: audit_log) | Zeitstempel (ISO-8601 UTC), Aktionstyp, Rechnungs-ID, technische Details (JSON), Hash-Kette, optionaler RFC-3161-Zeitstempel | GoBD-Nachweispflichten, Systemsicherheit (Art. 6 Abs. 1 lit. c, f) | 10 Jahre (mit dem Revisionsarchiv) | — |
| 5 | Kontingent- & Nutzungsstatistik (Tabelle: usage_counters) | Monatsaggregate (Gesamt/gültige/fehlerhafte Rechnungen) — keine personenbezogenen Einzeldaten | Vertragserfüllung, Abrechnung (Art. 6 Abs. 1 lit. b) | 24 Monate | — |
| 6 | Zahlungsabwicklung (extern: Stripe) | Zahlungsdaten, Karten-/Lastschriftdaten (werden NUR bei Stripe verarbeitet, nie auf eigenen Servern gespeichert) | Vertragserfüllung (Art. 6 Abs. 1 lit. b) | gemäß Stripe-Vorgaben | Stripe Payments Europe, Ltd. (AVV vorhanden) |
| 7 | Server-Logfiles | IP-Adresse, Datum/Uhrzeit, HTTP-Methode, Pfad, Statuscode, User-Agent | Systemsicherheit, Missbrauchserkennung (Art. 6 Abs. 1 lit. f) | 7–14 Tage, danach automatisierte Löschung/Anonymisierung | — |