Datenschutzerklärung

Wer den Dienst betreibt

Verantwortlicher ist Alexander Mauz, individuelle Tätigkeit (individuali veikla) in Litauen, Nummer der individuellen Tätigkeit 1174510, Vytauto g. 8-37, LT-66130 Druskininkai, Litauen, USt-IdNr. LT100015222816, E-Mail support@vectorinvoice.lt. Ein Datenschutzbeauftragter ist nicht benannt. Der Betreiber ist in Litauen niedergelassen, deshalb ist kein Vertreter nach Artikel 27 benannt.

Verantwortlicher und Auftragsverarbeiter

Für das Konto, die Website und Sicherheitsprotokolle ist der Betreiber Verantwortlicher. Für Rechnungsdateien und Felder, die ein Kunde hochlädt, ist der Kunde Verantwortlicher und der Betreiber Auftragsverarbeiter nach Artikel 28. Die Vereinbarung zur Auftragsverarbeitung ist Teil der Nutzungsbedingungen und wird mit ihnen akzeptiert. Sie steht auf der AVV-Seite. Ein Team-Administrator entscheidet die Verarbeitung in diesem Team. Der Betreiber ist nicht der Arbeitgeber.

Was gespeichert wird

Konto-E-Mail, Name, ein Passwort-Hash (Argon2id) und ein optionales Authenticator-Geheimnis. Ein Tarifname und ein Abrechnungsstatus. Bei bezahlten Tarifen: Rechnungsname, E-Mail, Rechnungsadresse, die USt-IdNr. wenn Sie eine angeben, die Stripe-Kunden- und Abo-IDs sowie Rechnungsbeträge, Zeiträume und Zahlungsstatus. Karten- und andere Zahlungsdaten werden auf der Seite von Stripe eingegeben und von Stripe gespeichert; VectorInvoice erhält die Kartennummer nicht. Belegbilder und ausgelesene Felder. Lieferantenname, Rechnungsnummer, Beträge, Käufername, Zeilentext, USt-Nummern, Adressen, IBANs, Käufercodes, Käufer-E-Mails und die Belegdatei sind mit AES-256-GCM verschlüsselt. Ein Unternehmenscode, eine USt-IdNr. oder eine Nummer der individuellen Tätigkeit aus der Anmeldung wird verschlüsselt gespeichert. Ein persönlicher Code, den Sie eintragen, ist verschlüsselt und wird von der API nicht vollständig zurückgegeben. Eine i.MAS-Datei und ihr Passwort sind verschlüsselt, wenn Sie sie hochladen; der Versand an den produktiven VMI-Endpunkt wird abgelehnt. Eine Warteliste speichert eine E-Mail, nachdem Sie sie bestätigt haben. Eine eigene Gerätekennung liegt im Browser für die Anmeldung an einem Geschäftsgerät. Shopify-Daten werden nur gelesen, wenn Sie einen Shop verbinden. Ein Testzeitraum pro E-Mail-Adresse wird über einen Blindindex erzwungen, nicht über die Adresse selbst. Zugang für eine Buchhaltung ist eine Einladung, die Sie widerrufen können. Öffentliche Zahlen, wenn der Schalter an ist, sind Zusammenfassungen, die kleine Gruppen ausblenden. Das Kontaktformular speichert Name, E-Mail und Nachricht als Support-Ticket. Team-Einladungen und Prüfkommentare. Ein nur anhängbares Prüfprotokoll speichert die Aktion und eine Anzahl, nicht die E-Mail, den Betrag oder Freitext. Support öffnet Rechnungen nur nach einer zeitlich begrenzten Freigabe. Vorschläge aus dem automatischen Lesen prüfen Sie selbst. Sie sind keine Entscheidung über Sie nach Artikel 22.

Wozu

Um das Konto zu eröffnen und zu betreiben, die hochgeladenen Rechnungen zu zeigen, Felder vorzuschlagen wenn ein Mistral-Schlüssel gesetzt ist, Dateien vorzubereiten die Sie herunterladen, und die Zahlung für einen Tarif entgegenzunehmen. E-Mail, Passwort und eine Unternehmenskennung sind nötig, um ein Konto zu eröffnen. Konto, Abonnement und Abrechnung werden verarbeitet, weil das für den Vertrag nach Artikel 6 Abs. 1 Buchstabe b erforderlich ist (siehe die Nutzungsbedingungen). Das Aufbewahren von Rechnungen und Abrechnungsunterlagen, die das Rechnungswesen und das Steuerrecht verlangen, stützt sich auf Artikel 6 Abs. 1 Buchstabe c. Sicherheitsprotokolle, Missbrauchsabwehr und das Prüfprotokoll sind ein berechtigtes Interesse nach Artikel 6 Abs. 1 Buchstabe f: den Dienst zu sichern. Die Warteliste nutzt Ihre Einwilligung nach Artikel 6 Abs. 1 Buchstabe a. Sie können die Einwilligung verweigern, indem Sie die E-Mail nicht bestätigen, oder um Löschung der Adresse bitten. Das automatische Lesen schlägt Felder zur Prüfung vor. Es erzeugt keine rechtliche Wirkung über Sie.

Wer die Daten erhält

Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich (Region fr-par, EU) betreibt die Website, die API, die Datenbank und den Dateispeicher und sendet ausgehende E-Mail. Hostinger (EU) stellt die Domain, DNS, die Postfächer für an uns gesendete E-Mail und den Beleg-Empfang bereit, wenn dieses Modul an ist. Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, erhält einen Beleg, einen Satz oder eine kurze Aufnahme nur wenn ein API-Schlüssel gesetzt ist, und nur über den EU-Endpunkt. Der VIES-Dienst der Europäischen Kommission und der litauische Offene-Daten-Dienst get.data.gov.lt werden aufgerufen, wenn eine USt-IdNr. oder ein Unternehmenscode nachgeschlagen wird und die Suche nicht ausgeschaltet ist. Stripe Payments Europe, Limited (Dublin, Irland) verarbeitet Zahlungen für bezahlte Tarife. Stripe erhält Name, E-Mail, Rechnungsadresse, USt-IdNr. falls angegeben und die in Stripe Checkout eingegebenen Zahlungsdaten, um die Zahlung nach Artikel 6 Abs. 1 Buchstabe b zu verarbeiten. Stripe verarbeitet einen Teil dieser Daten auch als eigener Verantwortlicher, etwa zur Betrugsprävention und für gesetzliche Pflichten, nach seiner Datenschutzerklärung unter https://stripe.com/privacy. Es ist kein Analyseanbieter verbunden. Kundendaten werden nicht verkauft. Das Kontaktformular speichert Name, E-Mail und Nachricht als Support-Ticket. Eine Antwort der Mitarbeitenden geht an die Adresse im Formular.

Wo verarbeitet wird

Website, API, Datenbank, Dateispeicher und ausgehende E-Mail laufen bei Scaleway in der Region Paris (EU). Die Postfächer für eingehende E-Mail liegen bei Hostinger (EU). Mistral-Aufrufe gehen an https://api.eu.mistral.ai. Der Code lehnt den Host in den Vereinigten Staaten, den globalen Host api.mistral.ai und die Datei- und Agenten-APIs ab. Mistral beschreibt, dass Konto- und Abrechnungsmetadaten außerhalb der Inferenzregion liegen können. Die Trainingsabwahl ist nach der Bestätigung vom 17. Oktober 2026 aktiv. Zero Data Retention wurde nicht beantragt. Stripe kann Zahlungsdaten in Länder außerhalb der EU übermitteln, einschließlich der Vereinigten Staaten und Indiens. Stripe gibt an, den EU-U.S. Data Privacy Framework (Stripe, LLC), die EU-Standardvertragsklauseln oder andere zulässige Mittel zu nutzen (https://stripe.com/privacy).

Wie lange

Eine komprimierte Kopie jeder Belegdatei wird 2 Jahre ab dem Belegdatum aufbewahrt (730 Tage, einstellbar). Ausgelesene Felder und das Journal bleiben, nachdem diese Dateikopie gelöscht wurde. E-Mail- und Hinweis-Erinnerungen gehen 60 und 14 Tage vor dieser Dateilöschung, mit einem ZIP-Export in einem Schritt. Nach einer Kündigung oder nach dem Ende einer Testphase ist das Konto nur lesbar und Sie können Ihre Daten 30 Tage exportieren. Danach werden die Kontodaten gelöscht, außer einer verkürzten Zeile, die für das im Programm eingestellte Fenster aufbewahrt werden kann (Voreinstellung 10 Jahre): Zeitraum, Richtung, Belegnummer, Datum und Beträge. Nicht die Datei, der Name, die Adresse oder die Notizen. Dieses Fenster ist eine Einstellung. Eigene Kopien Ihrer Buchführung zu behalten, liegt bei Ihnen. Das ist keine Steuerberatung. In den Einstellungen können Sie die Kontodaten herunterladen, Dateien löschen, Datensätze löschen oder das Konto löschen. Jede Löschung verlangt das Passwort erneut und einen einmaligen E-Mail-Code. Die Schaltfläche löscht keine Sicherungskopien des Anbieters, keine Festplatten-Snapshots, keinen freien Datenbankspeicher bis er wiederverwendet wird, keine bereits gesendete E-Mail und nicht das Prüfprotokoll. Logische Sicherungskopien der Datenbank sind keine Volumenverschlüsselung; Feld- und Datei-Geheimtext bleibt Geheimtext. Abrechnungsunterlagen (Rechnungen, Beträge, Zeiträume, Zahlungsstatus und die Stripe-IDs) bleiben für den Vertrag und danach so lange, wie Rechnungswesen und Steuerrecht es verlangen; dann werden sie gelöscht. Stripe bewahrt Zahlungsdaten nach seinen eigenen Fristen.

Sicherheit

AES-256-GCM für die oben genannten Felder und Dateien. Passwörter nutzen Argon2id. Sitzungs-Cookies sind httpOnly außer dem CSRF-Cookie, SameSite=Strict, und in Produktion immer Secure. Administratorkonten müssen in Produktion einen Authenticator einrichten. Der Server startet nicht, wenn diese Regel aus ist. Die Datenbank ist verwaltetes PostgreSQL von Scaleway in Paris, mit Volumenverschlüsselung im Ruhezustand. Logische Sicherungskopien gibt es über diesen Dienst. Interne Penetrationstests wurden im Oktober 2026 durchgeführt. Diese Seite beansprucht kein ISO-Zertifikat und keinen SOC-Bericht.

Ihre Rechte

Sie können Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch verlangen, soweit die Verarbeitung auf einem berechtigten Interesse beruht. Eine Kopie der Kontodaten können Sie in den Einstellungen herunterladen (Artikel 20). Die Einwilligung für die Warteliste können Sie zurückziehen. Soweit der Betreiber Verantwortlicher ist, können Sie sich bei der Staatlichen Datenschutzinspektion (VDAI) in Litauen beschweren und bei der Behörde Ihres Wohnorts, Ihres Arbeitsorts oder des Orts des mutmaßlichen Verstoßes. Soweit Sie für Rechnungsinhalte Verantwortlicher sind, handelt der Betreiber als Auftragsverarbeiter und verweist die Anfrage an Sie. Für Anfragen, die nicht die Schaltflächen in den Einstellungen nutzen, schreiben Sie an support@vectorinvoice.lt oder an die Postanschrift oben.

Cookies

Vor der Anmeldung setzt diese Website kein Cookie. Nach der Anmeldung verwendet sie nur die unten aufgeführten eigenen Cookies und Browserspeicher. Alle werden von www.vectorinvoice.lt oder ihrer API gesetzt, sind im Produktivbetrieb immer Secure und werden benötigt, um Sie anzumelden, Anfragen zu schützen oder eine von Ihnen getroffene Wahl zu speichern. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies, und die Website lädt keine Skripte, Schriften oder Einbettungen von Dritten. Service Worker und Offline-Caches werden nicht verwendet: Die App entfernt vorhandene. Die Sprache steht im Adresspräfix, nicht in einem Cookie.

Rechtsgrundlage: Für eine Speicherung, die für einen von Ihnen gewünschten Dienst unbedingt erforderlich ist, ist nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG, Art. 73 Abs. 4 des litauischen Gesetzes über elektronische Kommunikation und § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Deshalb fragt kein Cookie-Banner nach einer Einwilligung. Wird je ein nicht erforderliches Cookie oder Speicherelement hinzugefügt, wird vorher um Einwilligung gebeten.

Zum Entfernen melden Sie sich ab (das löscht die Anmelde-Cookies) oder löschen Sie Cookies und Websitedaten für vectorinvoice.lt in den Browsereinstellungen. Danach sind Sie abgemeldet, und Design-Wahl und Hinweis werden zurückgesetzt.

Kinder

Der Dienst richtet sich an Personen, die ein Unternehmen oder eine Einzeltätigkeit führen. Er richtet sich nicht an Kinder.

Änderungen

Das Datum oben ist das Datum dieses Textes. Wenn eine neue Fassung der Bedingungen, der Auftragsverarbeitung oder dieser Erklärung eine Zustimmung braucht, fragt die App danach, bevor Sie weiterarbeiten.