Ihre Belege bleiben in der EU, werden verschlüsselt übertragen und von anderen Konten getrennt. Öffentliche Scan-Noten, darunter CryptCheck A+, stehen auf dieser Seite—kein Zertifikat.
Stand: 24.10.2026
Verschlüsselung
Sensible Felder und Belegdateien werden vor dem Speichern verschlüsselt, jedes Konto mit eigenem Schlüssel—auf Festplatte oder in einer Sicherung liegt nur Chiffretext, kein lesbarer Inhalt.
Drei Schichten mit eigenen Schlüsseln. Der Hauptschlüssel umhüllt den Datenschlüssel jedes Kontos, und dieser umhüllt jeden Dateischlüssel.Vollständiger Hinweis
Auch wenn jemand eine Serverfestplatte entfernte oder eine alte Sicherung behielt, könnte er Ihre Belege oder sensiblen Felder ohne den Datenschlüssel Ihres Kontos und den Dienst-Hauptschlüssel nicht lesen. Belegdateien und die persönlichen und finanziellen Felder werden in der Anwendung mit AES-256-GCM verschlüsselt, bevor sie gespeichert werden. Jedes Konto hat einen eigenen Datenschlüssel; jede Belegdatei hat einen eigenen Schlüssel, den der Kontoschlüssel einschließt. Der Kontoschlüssel wird von einem Hauptschlüssel eingeschlossen, der außerhalb der Datenbank und des Quellcodes liegt (nicht aus Ihrem Passwort abgeleitet). Passwörter sind nur Argon2id-Hashes. Datenbankverbindungen nutzen TLS. Der Objektspeicher in Paris enthält versiegelten Chiffretext. Neue Dateien nutzen das Format VIENC2.
Zwei-Faktor-Anmeldung
Eine Authenticator-App (TOTP) und Wiederherstellungscodes stehen jedem Konto zur Verfügung. Für Administratoren und Mitarbeitende ist sie Pflicht.
Vollständiger Hinweis
Jedes Konto kann eine Authenticator-App (TOTP) einschalten und erhält Einmal-Wiederherstellungscodes. Ein E-Mail-Code ist als optionaler zweiter Schritt verfügbar und wird nicht mehr angenommen, sobald ein Authenticator aktiv ist. Konten von Administratoren und Mitarbeitenden müssen einen Authenticator einrichten, bevor sie den Verwaltungsbereich öffnen können; die Einladung neuer Mitarbeitender enthält diesen Schritt.
Kontoschutz
Anmeldeversuche sind begrenzt, Passwörter werden über einen Einmal-Link zurückgesetzt, E-Mail-Änderungen werden bestätigt.
Vollständiger Hinweis
Passwörter müssen mindestens 12 Zeichen lang sein und werden mit einer Liste häufiger Passwörter abgeglichen. Nach wiederholten Fehlversuchen wird das Konto für eine Weile gesperrt. Ratenbegrenzungen gelten über alle Server hinweg und werden in der Datenbank geführt; Anfragen zu Anmeldung, Codes, Registrierung und Passwort-Zurücksetzung werden abgelehnt, wenn diese Prüfung nicht laufen kann. Ein vergessenes Passwort wird über einen Einmal-Link zurückgesetzt, der nach 60 Minuten abläuft; seine Nutzung meldet alle Sitzungen ab. Unsere Mitarbeitenden können Ihnen einen Link zum Zurücksetzen senden, sehen aber weder den Link noch Ihr Passwort. Eine Änderung der E-Mail-Adresse erfordert Ihr Passwort und einen Code an die neue Adresse; danach werden die alte und die neue Adresse benachrichtigt. Neue Registrierungen bestätigen ihre E-Mail-Adresse mit einem Code.
Trennung zwischen Konten
PostgreSQL Row-Level Security hält die Datensätze jedes Kunden getrennt, zusätzlich zu den Prüfungen in der Anwendung.
Vollständiger Hinweis
Jede Anfrage ist auf die Konten beschränkt, zu denen sie gehört. Zusätzlich zu den Prüfungen in der Anwendung begrenzen Row-Level-Security-Richtlinien in PostgreSQL jede Abfrage auf die Datensätze dieser Konten, als zweite Verteidigungslinie in der Datenbank selbst. Unsere Mitarbeitenden können Ihre Belege und Steuerdaten nicht öffnen, es sei denn, Sie gewähren einen zeitlich begrenzten Support-Zugriff; jede Nutzung dieses Zugriffs wird protokolliert.
Browser und Verbindung
Nur HTTPS. Der Browser soll bei HTTPS bleiben (HSTS). Das Anmelde-Cookie ist für Seitenskripte nicht lesbar (HttpOnly) und geht nur über HTTPS (Secure). Eine Änderung braucht ein passendes Token (CSRF). Eine Content Security Policy begrenzt, was jede Seite laden darf.
Vollständiger Hinweis
Website und API sind nur über HTTPS erreichbar. Sie senden HSTS (Strict-Transport-Security): der Browser soll bei HTTPS bleiben, einschließlich Subdomains und mit Preload-Kennzeichen. vectorinvoice.lt steht auf der HSTS-Preload-Liste der Browser. Die Sitzung liegt in HttpOnly-, Secure- und SameSite=Strict-Cookies, nicht im Browserspeicher: Seitenskripte können das Sitzungscookie nicht lesen, und es wird nur über HTTPS gesendet. Jede Anfrage, die Daten ändert, muss ein CSRF-Token tragen (ein passender Wert, damit eine fremde Seite die Änderung nicht absenden kann), das zur Sitzung passt. Die Seiten senden eine Content Security Policy (eine Regel, was die Seite laden darf) mit einer Nonce (einem Einmalwert) pro Anfrage und lassen sich nicht in fremde Seiten einbetten.
Prüfprotokoll
Nur anhängbares Protokoll: jede Zeile hält die Aktion und eine kurze Notiz zur Änderung fest, keine Lieferantennamen und keine Belegbeträge. Ein Tarifpreis kann vorkommen.
Vollständiger Hinweis
Das Prüfprotokoll ist nur anhängbar: Die Datenbank lehnt Änderungen und Löschungen ab. Jede Zeile speichert die Aktion, was betroffen war, und einen bereinigten JSON-Diff—meist Feldnamen, Statuscodes und Zähler, keine Lieferantennamen, E-Mail-Adressen oder Belegbeträge (einige betriebliche Zahlen wie Planpreise können vorkommen). Protokolliert werden Anmeldungen, fehlgeschlagene Anmeldungen, Downloads von Originalen und Exporten sowie Support-Zugriffe.
Export und Löschung
Nach dem Löschen des Kontos können Kopien in Sicherungen nicht mehr gelesen werden – der Datenschlüssel wird vernichtet. In den Einstellungen können Sie Daten herunterladen, solange Sie angemeldet sind, oder Dateien, Datensätze oder das ganze Konto löschen. Jede Löschung verlangt Ihr Passwort und einen Einmalcode per E-Mail.
Vollständiger Hinweis
Nach der Löschung können Kopien in Sicherungen nicht mehr gelesen werden, weil der Datenschlüssel des Kontos vernichtet wird. In den Einstellungen können Sie Ihre Daten herunterladen, solange Sie angemeldet sind. Das Löschen gespeicherter Dateien, gespeicherter Datensätze oder des Kontos verlangt Ihr Passwort und einen Einmalcode per E-Mail. Aktive Belegdateien werden aus dem Speicher in Paris entfernt. Sicherungen des Anbieters werden nicht auf Befehl gelöscht; alles, was mit dem vernichteten Schlüssel verschlüsselt bleibt, ist unlesbar. Eine gekürzte Buchungszeile (Zeitraum, Nummer, Datum, Richtung und Beträge, ohne Namen und Dateien) kann für eine einstellbare Aufbewahrungsfrist bleiben. Belegkopien werden 2 Jahre ab Belegdatum aufbewahrt—exportieren Sie, was Sie länger brauchen.
Unabhängige Prüfungen
Die Zeilen sind Standbilder vom angegebenen Datum. Jeder Link öffnet denselben öffentlichen Scanner, damit Sie die Prüfung wiederholen können.
Noten sind Standbilder zu diesen Daten. Bewertungen können sich ändern. Sie sind keine Zertifikate und keine Garantien.
Website, Datenbank und Belegdateien bleiben bei Scaleway in Paris (EU).
Belegdateien und die sensiblen Felder auf dieser Seite nutzen den Datenschlüssel Ihres Kontos (AES-256-GCM). Verbindungen nur über TLS.
Diese Dateien und Felder liegen auf der Festplatte und im Objektspeicher als Chiffretext—ohne Ihren Kontoschlüssel nicht lesbar.
Ihre Dokumente werden nicht zum Training von KI-Modellen verwendet. Zero Data Retention bei Mistral (der Anbieter behält keine Kopie der Anfrage) wurde nicht beantragt, daher kann Mistral eine Anfrage nach seinen Bedingungen begrenzt speichern.
Keine Tracking-Cookies, keine Analyse, keine Werbung.
Wo der Dienst läuftScaleway, Paris (EU), für Website, Datenbank und Belegdateien. Belege werden in der EU gelesen. Zahlungen für kostenpflichtige Tarife gehen an Stripe, das sie auch außerhalb der EU verarbeiten kann. Dokumente werden nicht zum Training von KI-Modellen verwendet.
Website, API, PostgreSQL-Datenbank und Belegdateien laufen bei Scaleway in der Region Paris (Frankreich, EU). Die Verschlüsselungsschlüssel der Konten liegen bei der Anwendung dort, außerhalb der Datenbank und des Quellcodes. Belege werden über den EU-Endpunkt von Mistral gelesen. Die Anwendung lehnt andere Mistral-Hosts ab und lehnt jeden Trainingszweck ab. Das Training mit API-Aufrufen ist im Mistral-Konto abgeschaltet (bestätigt am 17. Oktober 2026). Zero Data Retention wurde nicht beantragt. Zahlungsdaten verarbeitet Stripe und kann sie unter den in seiner Datenschutzerklärung beschriebenen Garantien außerhalb der EU übermitteln, auch in die Vereinigten Staaten und nach Indien. Kartendaten werden auf der Seite von Stripe eingegeben. Belege und Buchhaltungsinhalte gehen nicht an Stripe.
Was in der Datenbank lesbar bleibtDie persönlichen und finanziellen Felder auf dieser Seite und die Belegdateien sind verschlüsselt. Datum, Zeitraum, Status und Währung bleiben lesbar für Listen, Fristen und Abrechnung.
Die persönlichen und finanziellen Felder auf dieser Seite und die Belegdateien sind verschlüsselt. Belegdatum, Zeitraum, Status und Währung bleiben lesbar, damit die App Listen sortieren, an Fristen erinnern und abrechnen kann. Diese lesbaren Angaben sind nicht Name, Betrag oder Datei des Belegs.
Verschlüsselte FelderDatumsangaben, Status und Währungscodes sind nicht verschlüsselt.
Lieferantenname, USt-IdNr. und Registriernummer des Lieferanten, Rechnungsnummer, Netto-, USt- und Bruttobeträge, USt-Zeilen, ausgelesene Daten, Notizen, eigene Kategorie, Teamkommentar, Buchungskonto, Dateinamen
Ausgangsrechnungen
Nummer, Name, Kennung und E-Mail des Käufers, Beschreibung, Notizen, Positionen, Beträge
Weitere Dienste, die die Anwendung nutztScaleway (Hosting und ausgehende E-Mail), Hostinger (Domain und Postfächer), Mistral in der EU, Stripe für kostenpflichtige Tarife, VIES und die litauische Open-Data-Abfrage.
Scaleway (Paris, EU): Website, API, Datenbank, verschlüsselte Belegdateien (Objektspeicher), Protokolle und ausgehende E-Mails. Die Verschlüsselungsschlüssel der Konten liegen bei der Anwendung auf diesen Hosts.
Hostinger: die Domain vectorinvoice.lt, ihr DNS und die Postfächer, in denen an uns gesendete E-Mails ankommen, etwa Support-Anfragen.
Mistral, nur über den EU-Endpunkt (api.eu.mistral.ai), um einen Beleg zu lesen, einen Satz in einen Entwurf zu verwandeln oder eine kurze Aufnahme zu transkribieren. Andere Mistral-Hosts sowie die Datei- und Agenten-APIs lehnt der Code ab. Das Training mit API-Daten ist im Mistral-Konto abgeschaltet (bestätigt am 17. Oktober 2026). Zero Data Retention wurde nicht beantragt.
Stripe Payments Europe, Limited (Dublin, Irland): Checkout und Abos für kostenpflichtige Tarife. Name, E-Mail, Rechnungsadresse und Zahlungsdaten gehen an Stripe. Kartennummern werden auf der Seite von Stripe eingegeben und hier nicht gespeichert. Stripe kann Zahlungsdaten außerhalb der EU übermitteln.
Der VIES-Dienst der Europäischen Kommission, wenn eine USt-IdNr. abgefragt wird und die Abfrage nicht aus ist.
Der offene Datensatz unter get.data.gov.lt für eine Unternehmensnummer, unter demselben Schalter.
SicherheitstestsDer Code wird bei jeder Änderung automatisch geprüft und in internen Penetrationstests untersucht. Ein externes Audit oder Zertifikat wird nicht behauptet.
Jede Änderung durchläuft automatische Tests, einen Sicherheits-Selbstcheck, statische Analyse, Abhängigkeitsprüfungen und eine Suche nach Geheimnissen im Code. Im Oktober 2026 haben wir interne Penetrationstests der Anwendung durchgeführt (Code-Review und vorsichtige Prüfungen der laufenden Website); die Ergebnisse wurden im Code nachverfolgt. Das sind unsere eigenen Tests, kein zertifiziertes Audit durch Dritte.
Schwachstelle meldenSchreiben Sie an support@vectorinvoice.lt. Unsere security.txt nennt denselben Kontakt.
Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, schreiben Sie an support@vectorinvoice.lt mit einer kurzen Beschreibung und den Schritten zum Nachvollziehen. Bitte greifen Sie nicht auf Daten anderer zu, führen Sie keine Lasttests (DoS) durch und veröffentlichen Sie keine Details, bevor wir das Problem beheben konnten. Der Kontakt steht auch unter /.well-known/security.txt.
Was diese Seite nicht behauptetKein Zertifikat und kein externes Audit.
VectorInvoice hat kein ISO-27001-, SOC-2- oder anderes Sicherheitszertifikat, und kein externer Prüfer hat den Dienst bewertet. Die oben genannten Sicherheitstests sind intern. Zero Data Retention bei Mistral wurde nicht beantragt. Die Anbieterangaben stehen im Impressum (/legal#imprint).
Fragen
Wird der Dienst in der EU gehostet?
Ja. Website, API, Datenbank und Belegdateien laufen bei Scaleway in Paris, Frankreich. Belege werden über den EU-Endpunkt von Mistral gelesen.
Muss ich einen Authenticator nutzen?
Als Kunde nicht, aber Sie können ihn jederzeit in den Einstellungen einschalten. Bewahren Sie die Wiederherstellungscodes sicher auf. Für Konten von Administratoren und Mitarbeitenden ist er Pflicht. Ein E-Mail-Code ersetzt keinen Authenticator, der bereits aktiv ist.
Sind die Belegfotos verschlüsselt?
Ja. Jede Belegdatei hat einen eigenen Schlüssel, den der Datenschlüssel Ihres Kontos einschließt, und liegt verschlüsselt im Objektspeicher in Paris. Die persönlichen und finanziellen Felder sind ebenfalls verschlüsselt; Datumsangaben, Status und Währungscodes nicht. Der Datenschlüssel wird nicht aus Ihrem Passwort abgeleitet und beim Löschen des Kontos vernichtet. Das ist eine Beschreibung, keine Zertifizierung.
Kann ich die Daten mitnehmen oder das Konto schließen?
Ja. In den Einstellungen können Sie Ihre Daten herunterladen, gespeicherte Dateien löschen, gespeicherte Datensätze löschen oder das Konto löschen. Jede Löschung verlangt Ihr Passwort und einen Einmalcode per E-Mail; der Code gilt 10 Minuten und nur einmal. Das Löschen des Kontos löscht Dateien und Datensätze, meldet Sie überall ab und vernichtet den Datenschlüssel des Kontos, sodass verschlüsselte Kopien, auch in Sicherungen, nicht mehr geöffnet werden können. Eine gekürzte Buchungszeile kann für eine einstellbare Aufbewahrungsfrist bleiben. Kopien der Belegdateien werden 2 Jahre ab Belegdatum aufbewahrt; exportieren Sie, was Sie länger behalten möchten.
Trainiert ihr ein Modell mit meinen Rechnungen?
Nein. Die Anwendung lehnt jeden Trainingszweck für Kundeninhalte ab, und das Training mit API-Aufrufen ist in unserem Mistral-Konto abgeschaltet (bestätigt am 17. Oktober 2026). Belege, Sätze und Aufnahmen gehen nur an den EU-Endpunkt von Mistral und nur, um Ihre Anfrage zu bearbeiten. Zero Data Retention wurde nicht beantragt; Mistral kann Anfragen daher nach seinen eigenen Bedingungen für begrenzte Zeit speichern.
Kann ich einen Auftragsverarbeitungsvertrag bekommen?
Ja. Der Auftragsverarbeitungsvertrag (AVV/DPA) ist Teil der Nutzungsbedingungen und gilt automatisch. Sie können ihn auf der DPA-Seite lesen und herunterladen.
Der Auftragsverarbeitungsvertrag (AVV/DPA) ist Teil der Nutzungsbedingungen und gilt automatisch. Sie können ihn auf der DPA-Seite lesen und herunterladen.
Es wird kein ISO-27001- oder SOC-2-Zertifikat, kein externer Prüfbericht und kein Hosting-Siegel behauptet. Diese Seite ist eine Beschreibung, keine Bestätigung.
VectorInvoice