Datenschutzerklärung

Diese Erklärung beschreibt, wie Citofact personenbezogene Daten verarbeitet, wenn Sie unseren Rechnungsdienst nutzen und unsere Website besuchen. Wir verarbeiten personenbezogene Daten nach der EU-Datenschutz-Grundverordnung (DSGVO) und — für Nutzer in der Schweiz — nach dem Schweizer Bundesgesetz über den Datenschutz (DSG).

1. Verantwortlicher

Verantwortlicher für die hier beschriebene Verarbeitung ist:

SIA "Gulbis Solutions"
Mezciema iela 44 - 41
Riga, LV-1079, Lettland
E-Mail: privacy@citofact.com

Wir haben keinen Datenschutzbeauftragten bestellt: Unsere Verarbeitung umfasst keine umfangreiche Verarbeitung besonderer Datenkategorien und keine umfangreiche regelmäßige Überwachung, sodass die Schwellen des Art. 37 DSGVO nicht erreicht werden. In allen Datenschutzfragen erreichen Sie uns unter der vorstehenden Adresse.

2. Rolle als Verantwortlicher und als Auftragsverarbeiter

Für Ihre Kontodaten — Profil, Workspace, Branding, Abrechnung und Steueridentität — ist Citofact Verantwortlicher, und diese Erklärung gilt.

Für die Kunden- und Rechnungsdaten, die Sie eingeben und die Ihre eigenen Kunden betreffen, sind Sie der Verantwortliche; Citofact handelt insoweit nur als IhrAuftragsverarbeiter auf Ihre Weisung. Dieses Verhältnis regelt unserAuftragsverarbeitungsvertrag, nicht diese Erklärung. Die Information Ihrer eigenen Kunden über diese Verarbeitung obliegt Ihnen.

3. Welche Daten wir erheben

Bei der Registrierung speichern wir die von Ihrem Identitätsanbieter (Google) bereitgestellte E-Mail-Adresse und Profilinformationen sowie Firmenname, Währung und Branding-Elemente (Logo, Akzentfarbe), die Sie beim Onboarding angeben. Für rechtskonforme Rechnungen speichern wir die rechtliche und steuerliche Identität Ihres Workspace (Anschrift, USt-IdNr., Steuernummer, Rechtsform, Registerangaben) und die Bankdaten (IBAN, BIC), die Sie auf Rechnungen anzeigen.

Beim Erstellen von Rechnungen speichern wir die von Ihnen verfassten Inhalte — Positionen, Kontaktdaten Ihrer Kunden, Summen, Fälligkeiten und Zahlungsstatus. Laden Sie Teammitglieder ein, speichern wir deren E-Mail-Adresse und Rolle.

4. Was wir nicht erheben

Wir sehen und speichern keine Zahlungskartendaten Ihrer Kunden. Zahlungen wickelt Stripe direkt ab; Citofact erhält nur Ereignismeldungen zum Zahlungsstatus. Wir setzen keine Werbe- oder Tracking-Technologien ein und erstellen keine Profile.

5. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes — Kontoeinrichtung, Erstellen und Versenden von Rechnungen, Verarbeitung von Zahlungsereignissen: Erfüllung unseres Vertrags mit Ihnen,Art. 6 Abs. 1 lit. b DSGVO.
• Erfüllung gesetzlicher Pflichten — Aufbewahrung unserer eigenen Rechnungen und Buchhaltungsunterlagen: Erfüllung einer rechtlichen Verpflichtung,Art. 6 Abs. 1 lit. c DSGVO (z. B. nach lettischem Buchführungsrecht).
• Sicherheit des Dienstes — Verhinderung von Betrug und Missbrauch, Verfüg- barkeit und Integrität: unser berechtigtes Interesse an einem sicheren Dienst,Art. 6 Abs. 1 lit. f DSGVO.

6. Empfänger und Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter ein: Supabase (Datenbank und Authentifizierung), Stripe (Zahlungen), Resend (transaktionale E-Mails), Cloudflare (DNS, Edge-Hosting und cookielose Webanalyse) und Render (API-Hosting). Jeder handelt auf Grundlage eines Auftragsverarbeitungsvertrags und nur im erforderlichen Umfang. Die aktuelle Liste führen wir in unseremAuftragsverarbeitungsvertrag.

7. Übermittlungen in Drittländer

Einige Auftragsverarbeiter (insbesondere Stripe, Cloudflare und Resend) verarbeiten Daten ggf. in den USA. Ist ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert, stützen sich Übermittlungen auf diesen Angemessenheitsbeschluss; andernfalls auf die Standardvertrags- klauseln der EU-Kommission. Für Daten von Nutzern in der Schweiz stützen sich Übermittlungen auf das Swiss–US Data Privacy Framework bzw. die anerkannten Standardvertragsklauseln.

8. Speicherdauer

Kontodaten speichern wir, solange Ihr Konto aktiv ist. Unsere eigenen Geschäftsunterlagen (z. B. Abonnement- und Abrechnungshistorie) bewahren wir nach lettischem Buchführungsrecht auf — in der Regel 5 Jahre.

Solange Ihr Konto besteht, bewahren wir die von Ihnen erstellten Rechnungen als Ihr Auftragsverarbeiter auf, damit Sie Ihre eigenen gesetzlichen Aufbewahrungspflichten erfüllen können — für deutsche Unternehmen 8 Jahre für Rechnungen und 10 Jahre für Bücher und Abschlüsse (§ 147 AO / GoBD); 7 Jahre in Österreich; 10 Jahre in der Schweiz.

Mit der Schließung Ihres Kontos endet diese Aufbewahrung. Sie können jederzeit unter Einstellungen → Profil alle Daten exportieren — Ihre Kunden, Ihre Rechnungen und jede von uns ausgestellte Rechnungs-PDF — und sollten dies vor der Schließung tun. Bei der Schließung löschen wir unsere Kopie; die Aufbewahrung dieser Unterlagen für die restliche gesetzliche Frist liegt danach in Ihrer Verantwortung, nicht in unserer. Ausgenommen sind die oben genannten eigenen Geschäftsunterlagen, zu deren Aufbewahrung wir gesetzlich verpflichtet sind.

Die Löschung erfolgt sofort und kann nicht rückgängig gemacht werden. Einzige Ausnahme sind Sicherungskopien: In verschlüsselten Backups verbleiben Restdaten für einen kurzen, rollierenden Zeitraum und werden im normalen Zyklus überschrieben; sie werden nie zur Wiederherstellung eines gelöschten Kontos verwendet.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, der auf berechtigten Interessen beruhenden Verarbeitung zu widersprechen und eine erteilte Einwilligung zu widerrufen (ohne Wirkung auf die bisherige Verarbeitung). Löschung und Datenübertragbarkeit können Sie jederzeit selbst ausüben: Unter Einstellungen → Profil in der App können Sie alle Ihre Daten exportieren und Ihr Konto endgültig löschen. Für alles Übrige — oder wenn wir es für Sie erledigen sollen — schreiben Sie anprivacy@citofact.com; wir antworten innerhalb von 30 Tagen.

Ihnen steht außerdem ein Beschwerderecht bei einer Aufsichtsbehörde zu — für uns die lettische Datenschutzbehörde (Datu valsts inspekcija, DVI). Sie können sich auch an die Behörde Ihres eigenen Landes wenden. Nutzer in der Schweiz können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

10. Automatisierte Entscheidungen

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung Ihnen gegenüber ein.

11. Nutzer in der Schweiz

Befinden Sie sich in der Schweiz, gilt ergänzend das DSG. Verantwortlicher, Zwecke, Empfängerkategorien und Übermittlungsländer ergeben sich wie oben dargestellt. Ihnen stehen die DSG-Rechte auf Auskunft, Berichtigung und Löschung zu; Sie können sich an den EDÖB wenden. Soweit nach Art. 14 DSG erforderlich, ist unsere Vertretung in der Schweiz [CH-Vertretung — falls einschlägig].

12. Cookies und Reichweitenmessung

Wir verwenden ausschließlich unbedingt erforderliche Cookies — eines für Ihre Sprachwahl und eines, um Sie angemeldet zu halten. Diese sind für den Dienst erforderlich, sodass kein Cookie-Banner nötig ist. Analyse-, Werbe- oder Tracking-Cookies setzen wir nicht.

Um die Nutzung von Website und App nachvollziehen zu können, setzen wir Cloudflare Web Analytics ein. Das Verfahren arbeitet cookielos: Es speichert nichts auf Ihrem Endgerät und liest nichts von ihm aus, vergibt keine Kennung und erstellt weder einen Fingerabdruck noch ein seitenübergreifendes Profil. Erfasst werden aggregierte Seitenaufrufe, Verweisquellen und grobe technische Angaben wie Land und Gerätetyp. Da weder Informationen auf Ihrem Endgerät gespeichert noch von diesem abgerufen werden, ist hierfür keine Einwilligung nach § 25 TDDDG erforderlich; die Verarbeitung stützt sich auf unser berechtigtes Interesse an Verständnis und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

13. Änderungen und Kontakt

Wir können diese Erklärung mit der Weiterentwicklung des Dienstes anpassen; die neue Fassung veröffentlichen wir hier und aktualisieren das Datum oben. Fragen? Schreiben Sie anprivacy@citofact.com.