Datenschutzerklärung
Diese Datenschutzerklärung gilt für die Anwendung „Itolia E-Rechnung“ unter erechnung.itolia.de, die E-Rechnungs-Plattform der Itolia UG (haftungsbeschränkt) für ihre Kunden. Stand: 12. September 2026.
1. Verantwortlicher
Itolia UG (haftungsbeschränkt)
Schauenburgerstraße 116
24118 Kiel
Telefon: +49 431 22188750
E-Mail: info@itolia.de
Vertreten durch den Geschäftsführer Jendrik Knudsen.
2. Rollen: Verantwortlicher und Auftragsverarbeiter
Die Plattform verarbeitet Rechnungsdaten unserer Kunden (Mandanten), darunter Angaben zu deren Kunden und Ansprechpartnern. Für diese Inhaltsdaten ist der jeweilige Mandant Verantwortlicher im Sinne der DSGVO; die Itolia UG verarbeitet sie als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich nach Weisung und zur Erbringung der vereinbarten Leistung. Mit jedem Mandanten wird ein Vertrag über die Auftragsverarbeitung geschlossen (auf Anfrage unter info@itolia.de).
Für die Daten der Benutzerkonten, die Vertrags- und Abrechnungsdaten der Mandanten sowie die Protokolldaten der Plattform ist die Itolia UG selbst Verantwortliche.
3. Hosting
Die Anwendung wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) in einem Rechenzentrum in Deutschland betrieben. Alle Daten werden dort verarbeitet und gespeichert; eine Übermittlung in Drittländer findet nicht statt. Mit dem Hoster besteht ein Vertrag über Auftragsverarbeitung. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
4. Server-Protokolle
Der Server erhebt automatisch technische Informationen, die der Browser übermittelt: aufgerufene Adresse, Datum und Uhrzeit, IP-Adresse, Browsertyp und Betriebssystem. Die Anwendung selbst protokolliert je Verarbeitung Mandant, Belegnummer-Kennung des Auftrags (Job-ID), Verarbeitungsschritt, Dauer und Fehlerklasse, jedoch keine Rechnungsinhalte, keine Passwörter und keine Zugangsdaten. Fehlgeschlagene Anmeldeversuche werden mit E-Mail-Adresse und IP-Adresse protokolliert, um Missbrauch zu erkennen. Die Protokolle dienen ausschließlich dem sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO) und werden automatisch rotiert und nach spätestens 30 Tagen gelöscht.
5. Cookies und lokale Speicherung
Die Anwendung setzt keine Cookies. Nach der Anmeldung wird ein zufälliges Sitzungskennzeichen ausschließlich im Sitzungsspeicher Ihres Browsers (sessionStorage) gehalten und beim Schließen des Browser-Tabs gelöscht; serverseitig endet die Sitzung nach 12 Stunden ohne Aktivität, spätestens nach 7 Tagen. Es werden keine Tracking-, Analyse- oder Drittanbieterdienste eingesetzt; eine Einwilligung (Cookie-Banner) ist daher nicht erforderlich.
6. Benutzerkonten
Für die Nutzung des Portals legen wir auf Wunsch des Mandanten Benutzerkonten an. Dabei verarbeiten wir Name, E-Mail-Adresse, Passwort (ausschließlich als kryptographischer Hash nach PBKDF2), Zeitpunkt der Anlage und der letzten Anmeldung sowie die Zuordnung zum Mandanten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Alternativ kann ein Mandant die Plattform über einen API-Schlüssel nutzen, der nur als Hash gespeichert wird.
7. Vertrags- und Abrechnungsdaten der Mandanten
Zu jedem Mandanten speichern wir Firmenname, Anschrift, Ansprechpartner mit Kontaktdaten, den gebuchten Lizenzplan und die Anzahl der je Monat erzeugten Rechnungen (Belegzähler). Diese Daten dienen der Vertragsdurchführung und Abrechnung (Art. 6 Abs. 1 lit. b DSGVO) sowie der Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
8. Rechnungsdaten (Inhaltsdaten der Mandanten)
Zur Erzeugung von E-Rechnungen verarbeitet die Plattform die vom Mandanten übermittelten Rechnungsdaten: Angaben zum Rechnungssteller, zum Rechnungsempfänger (Firma oder Person, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, Leitweg-ID, Kundennummer), Rechnungspositionen und Beträge, Bankverbindung des Rechnungsstellers, gegebenenfalls hochgeladene PDF-Dateien und Anlagen sowie das vom Mandanten hinterlegte Logo. Die Plattform erzeugt daraus XRechnung- und ZUGFeRD-Dateien, prüft sie mit den amtlichen Prüfregeln (KOSIT) und hält Ergebnis, Prüfbericht und Dateien zum Abruf durch den Mandanten bereit. Die Verarbeitung erfolgt im Auftrag des Mandanten (Art. 28 DSGVO); der Mandant stützt sie in der Regel auf die Vertragserfüllung gegenüber seinem Kunden und auf steuerrechtliche Pflichten (§ 14 UStG).
Zugriff auf die Rechnungsdaten eines Mandanten haben nur dessen angemeldete Benutzer sowie, zu Support- und Administrationszwecken, Administratoren der Itolia UG. Die Daten verschiedener Mandanten sind technisch voneinander getrennt.
9. Optionale Anbindungen (nur wenn der Mandant sie einrichtet)
DocuWare: Auf Wunsch des Mandanten legt die Plattform Rechnungen in dessen eigenem DocuWare-Dokumentenmanagement ab oder liest Rechnungsdaten daraus. Die Zugangsdaten werden verschlüsselt (AES-256) gespeichert. Die Übermittlung erfolgt direkt an das vom Mandanten benannte DocuWare-System.
Peppol-Versand: Auf Wunsch des Mandanten übergibt die Plattform E-Rechnungen an einen zertifizierten Peppol-Zugangsdienstleister (Access Point), der sie an den Empfänger zustellt. Dabei werden die Rechnungsdaten und die Peppol-Kennung des Empfängers an den vom Mandanten gewählten Anbieter übermittelt; der Anbieter ist weiterer Auftragsverarbeiter des Mandanten. Der Zustellstatus wird in der Plattform gespeichert.
10. Speicherdauer und Löschung
- Rechnungsdateien (PDF, XML, Prüfberichte) und die vollständigen Rechnungsinhalte werden 90 Tage nach der Verarbeitung automatisch gelöscht. Die Aufbewahrung der Rechnungen nach § 14b UStG obliegt dem Mandanten, der die Dateien in dieser Zeit herunterlädt oder in sein eigenes Archiv übergeben lässt.
- Kopfdaten der Vorgänge (Belegnummer, Datum, Empfängername, Beträge, Status, Protokoll der Verarbeitung) bleiben für den Belegzähler und die Nachvollziehbarkeit bis zur Beendigung des Vertrags gespeichert.
- Benutzerkonten und Sitzungen werden bei Löschung durch den Mandanten oder mit Vertragsende gelöscht; Sitzungen laufen spätestens nach 7 Tagen ab.
- Mit Beendigung des Vertrags werden alle Daten des Mandanten vollständig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (Abrechnungsdaten, § 147 AO) entgegenstehen.
- Datenbanksicherungen werden verschlüsselt auf dem Server aufbewahrt und nach spätestens 30 Tagen überschrieben.
11. Sicherheit
Die Verbindung ist durchgehend TLS-verschlüsselt (HTTPS mit HSTS). Passwörter werden nur als Hash gespeichert, Zugangsdaten zu Drittsystemen verschlüsselt. Anmeldeversuche und Aufrufe sind je Nutzer und Adresse begrenzt. Die Anwendung läuft in einem isolierten Container ohne Administratorrechte; die Datenbank ist nicht aus dem Internet erreichbar. Das Portal verwendet eine strenge Content-Security-Policy ohne Fremdinhalte.
12. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Betrifft Ihr Anliegen Rechnungsdaten, die ein Mandant über die Plattform verarbeitet, wenden Sie sich bitte an diesen Mandanten als Verantwortlichen; wir unterstützen ihn bei der Beantwortung. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, zum Beispiel beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel.
13. Kontakt in Datenschutzfragen
Itolia UG (haftungsbeschränkt), Schauenburgerstraße 116, 24118 Kiel, E-Mail: info@itolia.de.