VectorInvoiceDatenschutz
Datenschutzerklärung
25. Oktober 2026.
Diese Seite beschreibt, wie VectorInvoice personenbezogene Daten behandelt. Sie beschreibt diesen Dienst so, wie er gebaut ist. Sie ist keine Rechtsberatung und keine Steuerberatung.
Wer den Dienst betreibt
Verantwortlicher ist Alexander Mauz, Einzelunternehmer (individuali veikla nach litauischem Recht) in Litauen, Bescheinigungsnr. der individuali veikla 1174510, Vytauto g. 8-37, LT-66130 Druskininkai, Litauen, USt-IdNr. LT100015222816, E-Mail support@vectorinvoice.lt. Ein Datenschutzbeauftragter ist nicht benannt. Der Betreiber ist in Litauen niedergelassen, deshalb ist kein Vertreter nach Artikel 27 benannt.
Verantwortlicher und Auftragsverarbeiter
Für das Konto, die Website und Sicherheitsprotokolle ist der Betreiber Verantwortlicher. Für Rechnungsdateien und Felder, die ein Kunde hochlädt, ist der Kunde Verantwortlicher und der Betreiber Auftragsverarbeiter nach Artikel 28. Die Vereinbarung zur Auftragsverarbeitung ist Teil der Nutzungsbedingungen und wird mit ihnen akzeptiert. Sie steht auf der AVV-Seite. Ein Team-Administrator entscheidet die Verarbeitung in diesem Team. Der Anbieter ist nicht der Arbeitgeber der Teammitglieder; der Kunde entscheidet, wer Zugang hat.
Was gespeichert wird
Konto-E-Mail, Name, ein Passwort-Hash (Argon2id) und ein optionales Authenticator-Geheimnis. Ein Tarifname und ein Abrechnungsstatus. Bei bezahlten Tarifen: Rechnungsname, E-Mail, Rechnungsadresse, die USt-IdNr. wenn Sie eine angeben, die Stripe-Kunden- und Abo-IDs sowie Rechnungsbeträge, Zeiträume und Zahlungsstatus. Karten- und andere Zahlungsdaten werden auf der Seite von Stripe eingegeben und von Stripe gespeichert; VectorInvoice erhält die Kartennummer nicht. Belegbilder und ausgelesene Felder. Lieferantenname, Rechnungsnummer, Beträge, Käufername, Zeilentext, USt-Nummern, Adressen, IBANs, Käufercodes, Käufer-E-Mails und die Belegdatei sind mit AES-256-GCM verschlüsselt. Ein Unternehmenscode, eine USt-IdNr. oder eine Nummer der individuellen Tätigkeit aus der Anmeldung wird verschlüsselt gespeichert. Ein persönlicher Code, den Sie eintragen, ist verschlüsselt und wird von der API nicht vollständig zurückgegeben. Eine i.MAS-Datei und ihr Passwort sind verschlüsselt, wenn Sie sie hochladen; der Versand an den produktiven VMI-Endpunkt wird abgelehnt. Eine Warteliste speichert eine E-Mail, nachdem Sie sie bestätigt haben. Eine eigene Gerätekennung liegt im Browser für die Anmeldung an einem Geschäftsgerät. Shopify-Daten werden nur gelesen, wenn Sie einen Shop verbinden. Ein Testzeitraum pro E-Mail-Adresse wird über einen Blindindex erzwungen, nicht über die Adresse selbst. Zugang für eine Buchhaltung ist eine Einladung, die Sie widerrufen können. Öffentliche Zahlen, wenn der Schalter an ist, sind Zusammenfassungen, die kleine Gruppen ausblenden. Das Kontaktformular speichert Name, E-Mail und Nachricht als Support-Ticket. Team-Einladungen und Prüfkommentare. Ein nur anhängbares Prüfprotokoll speichert die Aktion und eine Anzahl, nicht die E-Mail, den Betrag oder Freitext. Support öffnet Rechnungen nur nach einer zeitlich begrenzten Freigabe. Vorschläge aus dem automatischen Lesen prüfen Sie selbst. Sie sind keine Entscheidung über Sie nach Artikel 22.
Wozu
Um das Konto zu eröffnen und zu betreiben, die hochgeladenen Rechnungen zu zeigen, Felder vorzuschlagen wenn ein Mistral-Schlüssel gesetzt ist, Dateien vorzubereiten die Sie herunterladen, und die Zahlung für einen Tarif entgegenzunehmen. E-Mail, Passwort und eine Unternehmenskennung sind nötig, um ein Konto zu eröffnen. Konto, Abonnement und Abrechnung werden verarbeitet, weil das für den Vertrag nach Artikel 6 Abs. 1 Buchstabe b erforderlich ist (siehe die Nutzungsbedingungen). Das Aufbewahren von Rechnungen und Abrechnungsunterlagen, die das Rechnungswesen und das Steuerrecht verlangen, stützt sich auf Artikel 6 Abs. 1 Buchstabe c. Sicherheitsprotokolle, Missbrauchsabwehr und das Prüfprotokoll sind ein berechtigtes Interesse nach Artikel 6 Abs. 1 Buchstabe f: den Dienst zu sichern. Die Warteliste nutzt Ihre Einwilligung nach Artikel 6 Abs. 1 Buchstabe a. Sie können die Einwilligung verweigern, indem Sie die E-Mail nicht bestätigen, oder um Löschung der Adresse bitten. Das automatische Lesen schlägt Felder zur Prüfung vor. Es erzeugt keine rechtliche Wirkung über Sie.
Wer die Daten erhält
Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich (Region fr-par, EU) betreibt die Website, die API, die Datenbank und den Dateispeicher und sendet ausgehende E-Mail. Hostinger (EU) stellt die Domain, DNS, die Postfächer für an uns gesendete E-Mail und den Beleg-Empfang bereit, wenn dieses Modul an ist. Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, erhält einen Beleg, einen Satz oder eine kurze Aufnahme nur wenn ein API-Schlüssel gesetzt ist, und nur über den EU-Endpunkt. Der VIES-Dienst der Europäischen Kommission und der litauische Offene-Daten-Dienst get.data.gov.lt werden aufgerufen, wenn eine USt-IdNr. oder ein Unternehmenscode nachgeschlagen wird und die Suche nicht ausgeschaltet ist. Stripe Payments Europe, Limited (Dublin, Irland) verarbeitet Zahlungen für bezahlte Tarife. Stripe erhält Name, E-Mail, Rechnungsadresse, USt-IdNr. falls angegeben und die in Stripe Checkout eingegebenen Zahlungsdaten, um die Zahlung nach Artikel 6 Abs. 1 Buchstabe b zu verarbeiten. Stripe verarbeitet einen Teil dieser Daten auch als eigener Verantwortlicher, etwa zur Betrugsprävention und für gesetzliche Pflichten, nach seiner Datenschutzerklärung unter https://stripe.com/privacy. Es ist kein Analyseanbieter verbunden. Kundendaten werden nicht verkauft. Das Kontaktformular speichert Name, E-Mail und Nachricht als Support-Ticket. Eine Antwort der Mitarbeitenden geht an die Adresse im Formular.
Wo verarbeitet wird
Website, API, Datenbank, Dateispeicher und ausgehende E-Mail laufen bei Scaleway in der Region Paris (EU). Die Postfächer für eingehende E-Mail liegen bei Hostinger (EU). Mistral-Aufrufe gehen an https://api.eu.mistral.ai. Der Code lehnt den Host in den Vereinigten Staaten, den globalen Host api.mistral.ai und die Datei- und Agenten-APIs ab. Mistral beschreibt, dass Konto- und Abrechnungsmetadaten außerhalb der Inferenzregion liegen können. Die Trainingsabwahl ist nach der Bestätigung vom 17. Oktober 2026 aktiv. Zero Data Retention wurde nicht beantragt. Stripe kann Zahlungsdaten in Länder außerhalb der EU übermitteln, einschließlich der Vereinigten Staaten und Indiens. Stripe gibt an, den EU-U.S. Data Privacy Framework (Stripe, LLC), die EU-Standardvertragsklauseln oder andere zulässige Mittel zu nutzen (https://stripe.com/privacy).
Wie lange
Eine komprimierte Kopie jeder Belegdatei wird 2 Jahre ab dem Belegdatum aufbewahrt (730 Tage, einstellbar). Ausgelesene Felder und das Journal bleiben, nachdem diese Dateikopie gelöscht wurde. E-Mail- und Hinweis-Erinnerungen gehen 60 und 14 Tage vor dieser Dateilöschung, mit einem ZIP-Export in einem Schritt. Nach einer Kündigung oder nach dem Ende einer Testphase ist das Konto nur lesbar und Sie können Ihre Daten 30 Tage exportieren. Danach werden die Kontodaten gelöscht, außer einer verkürzten Zeile, die für das im Programm eingestellte Fenster aufbewahrt werden kann (Voreinstellung 10 Jahre): Zeitraum, Richtung, Belegnummer, Datum und Beträge. Nicht die Datei, der Name, die Adresse oder die Notizen. Dieses Fenster ist eine Einstellung. Eigene Kopien Ihrer Buchführung zu behalten, liegt bei Ihnen. Das ist keine Steuerberatung. In den Einstellungen können Sie die Kontodaten herunterladen, Dateien löschen, Datensätze löschen oder das Konto löschen. Jede Löschung verlangt das Passwort erneut und einen einmaligen E-Mail-Code. Die Schaltfläche löscht keine Sicherungskopien des Anbieters, keine Festplatten-Snapshots, keinen freien Datenbankspeicher bis er wiederverwendet wird, keine bereits gesendete E-Mail und nicht das Prüfprotokoll. Logische Sicherungskopien der Datenbank sind keine Volumenverschlüsselung; Feld- und Datei-Geheimtext bleibt Geheimtext. Abrechnungsunterlagen (Rechnungen, Beträge, Zeiträume, Zahlungsstatus und die Stripe-IDs) bleiben für den Vertrag und danach so lange, wie Rechnungswesen und Steuerrecht es verlangen; dann werden sie gelöscht. Stripe bewahrt Zahlungsdaten nach seinen eigenen Fristen.
Sicherheit
AES-256-GCM für die oben genannten Felder und Dateien. Passwörter nutzen Argon2id. Sitzungs-Cookies sind httpOnly außer dem CSRF-Cookie, SameSite=Strict, und in Produktion immer Secure. Administratorkonten müssen in Produktion einen Authenticator einrichten. Der Server startet nicht, wenn diese Regel aus ist. Die Datenbank ist verwaltetes PostgreSQL von Scaleway in Paris, mit Volumenverschlüsselung im Ruhezustand. Logische Sicherungskopien gibt es über diesen Dienst. Interne Penetrationstests wurden im Oktober 2026 durchgeführt. Diese Seite beansprucht kein ISO-Zertifikat und keinen SOC-Bericht.
Ihre Rechte
Sie können Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch verlangen, soweit die Verarbeitung auf einem berechtigten Interesse beruht. Eine Kopie der Kontodaten können Sie in den Einstellungen herunterladen (Artikel 20). Die Einwilligung für die Warteliste können Sie zurückziehen. Soweit der Betreiber Verantwortlicher ist, können Sie sich bei der Staatlichen Datenschutzinspektion (VDAI) in Litauen beschweren und bei der Behörde Ihres Wohnorts, Ihres Arbeitsorts oder des Orts des mutmaßlichen Verstoßes. Soweit Sie für Rechnungsinhalte Verantwortlicher sind, handelt der Betreiber als Auftragsverarbeiter und verweist die Anfrage an Sie. Für Anfragen, die nicht die Schaltflächen in den Einstellungen nutzen, schreiben Sie an support@vectorinvoice.lt oder an die Postanschrift oben.
Anonyme Statistik
Wenn dieser Schalter an ist, zählen die Website und die App Seitenaufrufe ohne Cookie und ohne ein Skript eines anderen Unternehmens. Wenn ein Proxy einen Länder-Header sendet, wird dieses Land verwendet. Sonst kommt das Land aus einer lokalen Länderdatenbank im Arbeitsspeicher (IP Geolocation by DB-IP, https://db-ip.com/, Lizenz CC BY 4.0, https://creativecommons.org/licenses/by/4.0/). Die IP-Adresse wird aus dem ersten Eintrag von X-Forwarded-For gelesen, für diese Abfrage und für einen Tagescode benutzt und danach verworfen. Die IP-Adresse und der Browsername werden nicht gespeichert. Ein Besucher wird einen Tag lang mit einem Salz erkannt, das am nächsten Tag wechselt und am selben Tag gelöscht wird. Aufbewahrt werden Summen: das Datum, eine Seitengruppe, das Land, die Geräteart, die verweisende Domain und ob eine Person angemeldet war. Eine kurze Liste der täglichen Besuchercodes wird innerhalb von 24 Stunden gelöscht. Ein Browser, der Do Not Track oder Global Privacy Control sendet, wird ausgelassen. Das ist keine Werbung und kein Profil einer Person.
Kinder
Der Dienst richtet sich an Personen, die ein Unternehmen oder eine Einzeltätigkeit führen. Er richtet sich nicht an Kinder.
Änderungen
Das Datum oben ist das Datum dieses Textes. Wenn eine neue Fassung der Bedingungen, der Auftragsverarbeitung oder dieser Erklärung eine Zustimmung braucht, fragt die App danach, bevor Sie weiterarbeiten.