Datenschutzerklärung – E-Rechnung Deutschland
Stand: 21. Oktober 2026
E-Rechnung Deutschland · aoex · https://aoex.be/ · English
1. Verantwortlicher
E-Rechnung Deutschland (die „App“) wird von aoex (https://aoex.be/) angeboten. Kontakt für Datenschutzfragen: contact@aoex.be.
2. Rollen
Für die Daten des Händlers, der die App installiert („Händler“), ist aoex Verantwortlicher. Für die Daten der Kunden des Händlers, die die App zur Rechnungserstellung verarbeitet, ist der Händler Verantwortlicher; aoex handelt als Auftragsverarbeiter (Art. 28 DSGVO) nach Abschnitt 8 unserer AGB.
3. Verarbeitete Daten
| Kategorie | Daten | Quelle |
|---|---|---|
| Händlerkonto | Shop-Domain, Shopify-Zugriffstoken (Sitzung), E-Mail und Name des Mitarbeiters, der die App öffnet | Shopify, bei Installation und Anmeldung |
| Händlereinstellungen | Firmenname, Anschrift, USt-IdNr., Steuernummer, Kontaktdaten, IBAN, Nummernpräfixe, Format, E-Mail-Betreff und -Text | Vom Händler in der App eingegeben |
| Kunden- und Bestelldaten | Bestellnummer und Positionen, Preise, Steuern, Rabatte, Versand, Erstattungen und Stornierungen; Name, E-Mail, Rechnungs- und Lieferadresse, Firmenname, USt-IdNr. und Leitweg-ID (öffentliche Auftraggeber) des Käufers | Shopify Admin API (Berechtigungen read_orders, read_customers) und Bestell-Webhooks |
| Rechnungen | Ausgestellte Rechnungen und Rechnungskorrekturen (PDF/A-3 und XML), Prüfberichte, SHA-256-Prüfsummen, Protokoll der Aktionen | Von der App erzeugt |
| Technische Daten | Webhook-IDs, Server-Logs (IP-Adresse, Zeit, Pfad) zu Sicherheits- und Fehlerzwecken | Hosting-Anbieter |
Die App setzt keine Werbe-, Tracking- oder Analyse-Cookies ein. Im Shopify-Admin nutzt sie ausschließlich Shopify-Sitzungstoken. Daten werden weder verkauft noch vermietet noch zum Training von Modellen verwendet.
4. Zwecke und Rechtsgrundlagen
- Erstellung, Prüfung, Nummerierung, Speicherung und Versand von Rechnungen und Rechnungskorrekturen: Vertragserfüllung gegenüber dem Händler (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Rechnungspflichten des Händlers (§ 14 UStG; Art. 6 Abs. 1 lit. c DSGVO).
- Unveränderte Aufbewahrung ausgestellter Rechnungen: rechtliche Verpflichtung (§ 147 AO, § 14b UStG; Art. 6 Abs. 1 lit. c und Art. 17 Abs. 3 lit. b DSGVO).
- Sicherheit, Datensicherung, Missbrauchsabwehr und Support: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
5. Dienstleister (Unterauftragsverarbeiter)
| Anbieter | Zweck | Ort / Garantien |
|---|---|---|
| Shopify | Plattform der App; Quelle der Bestelldaten | Nach den Bedingungen von Shopify |
| Fly.io, Inc. | Hosting der App, der Datenbank (PostgreSQL) und des KoSIT-Validators | Region Frankfurt (fra); US-Unternehmen: EU-Standardvertragsklauseln / Data Privacy Framework |
| Tigris Data, Inc. | Speicherung der Rechnungsdateien (PDF/XML) und verschlüsselter täglicher Datenbanksicherungen | EU-Speicherort angefordert; US-Unternehmen: EU-Standardvertragsklauseln |
| Resend (Plus Five Five, Inc.) | Versand der Rechnungs-E-Mails an Käufer, sofern vom Händler aktiviert | US-Unternehmen: EU-Standardvertragsklauseln / Data Privacy Framework |
Änderungen bei Unterauftragsverarbeitern teilen wir Händlern mindestens 30 Tage vorher per E-Mail oder in der App mit.
6. Speicherdauer
- Ausgestellte Rechnungen und Rechnungskorrekturen, die darin enthaltenen Verkäuferdaten und ihr Protokoll: 10 Jahre ab Ende des Kalenderjahres der Ausstellung (§ 147 AO, § 14b UStG). Sie können in dieser Zeit weder geändert noch gelöscht werden, auch nicht nach Deinstallation; danach sind sie nicht mehr über die App erreichbar, können aber vom Händler unter contact@aoex.be angefordert werden.
- Entwürfe und nie ausgestellte Dokumente: Löschung bei einer Anfrage customers/redact oder shop/redact.
- Sitzungen und Zugriffstoken: Löschung bei Deinstallation.
- Verschlüsselte Datenbanksicherungen: 35 Tage.
- Server-Logs: kurzzeitig beim Hosting-Anbieter (in der Regel bis zu 30 Tage).
7. Datenschutz-Webhooks von Shopify
Die App setzt die verpflichtenden Datenschutz-Webhooks um:
- customers/data_request: die gespeicherten Daten des Kunden werden zusammengestellt und dem Händler in der App bereitgestellt.
- customers/redact: personenbezogene Daten in Entwürfen und nicht ausgestellten Dokumenten werden gelöscht; ausgestellte Rechnungen bleiben aufgrund der gesetzlichen Aufbewahrungspflicht erhalten (Art. 17 Abs. 3 lit. b DSGVO).
- shop/redact (48 Stunden nach Deinstallation): Sitzungen, Entwürfe und E-Mail-Texte werden gelöscht; ausgestellte Rechnungen werden für die gesetzliche Frist aufbewahrt.
8. Sicherheit
- HTTPS für alle Verbindungen; signierte Webhooks (HMAC) werden geprüft.
- Trennung der Daten je Shop; ausgestellte Rechnungen sind unveränderbar (Datenbank-Trigger, bedingtes Schreiben im Speicher).
- Tägliche verschlüsselte Sicherungen in einem getrennten Bucket; Wiederherstellungstests.
- Zugriff nur für die zuständigen Mitglieder des aoex-Teams, mit Zwei-Faktor-Authentifizierung.
Den Umgang mit Sicherheitsvorfällen beschreibt https://aoex.be/de/e-rechnung/sicherheitsvorfaelle. Den Schutz vor Datenverlust beschreibt https://aoex.be/de/e-rechnung/datenverlust.
9. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, im Rahmen der oben genannten Aufbewahrungspflichten. Käufer eines Shops wenden sich zuerst an den Händler als Verantwortlichen; wir unterstützen ihn. Schreiben Sie an contact@aoex.be. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren.
10. Änderungen
Änderungen veröffentlichen wir auf dieser Seite mit neuem Datum. Wesentliche Änderungen kündigen wir Händlern vorab an.
aoex · contact@aoex.be · https://aoex.be/
