Datenschutzerklärung

01Verantwortlicher

Spoonbill wird von DK Labs (Dzmitry Kandratsenka), Rua Miguel Araujo 141, 4425-177 Porto, Portugal, betrieben (Verantwortlicher im Sinne der DSGVO). Am schnellsten erreichst du uns für alles in dieser Erklärung über die E-Mail-Adresse am Ende dieser Seite.

02Was wir verarbeiten

Konto und Anmeldung. Wenn du ein Konto erstellst, verarbeiten wir deine E-Mail-Adresse, deinen Anzeigenamen und die gewählte Anmeldemethode (Google, Apple oder E-Mail und Passwort). Die Anmeldung läuft über Google Firebase Authentication; ein Passwort wird von Firebase gespeichert — wir sehen es nie.

Geschäftsdaten, die du eingibst. Dein Geschäftsprofil (Name, Adresse, Steuernummern, Bankverbindung, die du auf Rechnungen druckst), deine Kundschaft und deine Rechnungen werden gespeichert, damit wir den Dienst bereitstellen können. Rechnungs-PDFs liegen in unserem Objektspeicher, damit versendete Rechnungen unverändert bleiben.

Daten deiner Kundschaft. Namen, Adressen, E-Mail-Adressen und USt-IdNrn. deiner Rechnungsempfänger verarbeiten wir in deinem Auftrag — um Rechnungen zu erstellen, zu versenden und von dir aktivierte Zahlungserinnerungen zu schicken. Öffnet ein Empfänger einen Rechnungslink, vermerken wir den Abruf, damit wir dir den Status anzeigen können.

E-Mails, die wir senden. Bestätigungscodes, Rechnungen, Zahlungserinnerungen und Kontohinweise werden über unseren E-Mail-Anbieter zugestellt. Was versendet wurde, halten wir für den Rechnungsverlauf in der App fest.

Feedback. Wenn du Feedback aus der App sendest, erhalten wir deine Nachricht und die angegebene Kontakt-E-Mail. Beides wird an unser Team-Postfach und unseren internen Slack-Kanal weitergeleitet, damit wir antworten können.

Push-Benachrichtigungen. Wenn du in der Spoonbill-App auf dem Smartphone Benachrichtigungen einschaltest, speichern wir für dieses Gerät ein Push-Token — eine Adresse, die Google vergibt, damit eine Benachrichtigung es erreicht — zusammen mit der Plattform, der App-Version und dem Zeitpunkt der letzten Nutzung. Google Firebase Cloud Messaging stellt jede Benachrichtigung zu; ihr Text (zum Beispiel welcher Kunde welches Angebot angenommen hat) läuft dabei über Google. Auf einem iPhone übergibt Firebase jede Benachrichtigung an den Apple Push Notification service (APNs); sie läuft dann also auch über Apple. Die Website und die Web-App senden keine Push-Benachrichtigungen.

Server-Logs. Wie jeder Webdienst protokollieren unsere Server technische Zugriffsdaten (IP-Adresse, Browsertyp, Zeitstempel), um den Dienst zu betreiben und abzusichern. Logs werden nur kurz aufbewahrt und nicht zur Profilbildung genutzt.

03Rechtsgrundlagen

Wir stützen uns auf die Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO:

• Vertrag (Art. 6 Abs. 1 lit. b) — fast alles oben: dein Konto, die Speicherung deiner Rechnungen, der Versand in deinem Auftrag.
• Berechtigte Interessen (lit. f) — Sicherheit des Dienstes, Missbrauchsvermeidung, Beantwortung von Feedback und die Produktanalyse innerhalb der App.
• Rechtliche Verpflichtung (lit. c) — wo Gesetze uns zur Aufbewahrung oder Offenlegung verpflichten.
• Einwilligung (lit. a) — die Analyse auf dieser Website, die Werbemessung und alles andere, wonach wir ausdrücklich fragen; jederzeit mit Wirkung für die Zukunft widerrufbar.

04Cookies, Speicherung und Analyse

Diese Website setzt ein technisch notwendiges Cookie: NEXT_LOCALE, das sich deine Sprachwahl ein Jahr lang merkt. Die App hält dich über den lokalen Browser-Speicher von Firebase Authentication angemeldet. Beides fragt nicht nach einer Einwilligung, weil der Dienst ohne das nicht leisten kann, wofür du gekommen bist. Deine Cookie-Auswahl merkt sich ein eigenes Cookie, spoonbill_consent, ein Jahr lang; die App liest es mit, damit sie deine Wahl beachtet. Nur wenn du es erlaubst, setzt das weiter unten beschriebene Werbe-Pixel von OpenAI zwei eigene Cookies, __oppref und __obref, die sich den Anzeigenklick merken, über den du gekommen bist. Nur wenn du es erlaubst, speichert die Website außerdem 30 Tage lang in einem eigenen Cookie, spoonbill_acquisition, die Anzeigen-Kennzeichen des Besuchs, über den du gekommen bist (etwa utm_source), damit das Konto, das du anlegst, festhält, über welche Anzeige es kam; widerrufst du deine Einwilligung, wird es gelöscht. Unabhängig von deiner Wahl tragen die Links dieser Website zur App diese Anzeigen-Kennzeichen im Link selbst, nicht in einem Cookie: Die App nimmt sie aus der Adresse, hält sie nur im Arbeitsspeicher und speichert sie bei dem Konto, das du anlegst, weil wir ein berechtigtes Interesse daran haben zu wissen, welche Anzeigen uns Kunden bringen (Art. 6 Abs. 1 lit. f DSGVO). Ohne deine Einwilligung erreichen sie weder Mixpanel noch das OpenAI-Pixel.

Darüber hinaus nutzen wir Mixpanel, um zu verstehen, wie Spoonbill benutzt wird. Die beiden Hälften von Spoonbill handhaben das unterschiedlich, und der Unterschied ist wichtig — deshalb hier vollständig.

Auf dieser Website Mixpanel läuft nur, wenn du es erlaubst. Bis du dich entscheidest, wird nichts geladen und nichts verlässt deinen Browser — und wenn du ablehnst, wird das Mixpanel-Skript gar nicht erst heruntergeladen. Erfasst werden die aufgerufenen Seiten, geklickte Schaltflächen und geöffnete FAQ-Einträge. Du kannst deine Entscheidung jederzeit über „Cookie-Einstellungen“ im Fußbereich ändern; eine Ablehnung merken wir uns, damit wir nicht erneut fragen.

In der App Sobald du ein Konto hast, erfassen wir, welche Funktionen du nutzt — erstellte, versendete, bezahlte oder stornierte Rechnungen, angelegte Kunden und Positionen, gespeicherte Einstellungen, abgesendetes Feedback — damit wir erkennen, welche Teile des Produkts ihren Platz verdienen. Grundlage ist unser berechtigtes Interesse an der Verbesserung eines Produkts, auf das du dich verlässt (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem jederzeit nach Art. 21 DSGVO mit dem Schalter unter Einstellungen → Datenschutz in der App widersprechen, was es für dein Konto auf jedem Gerät abschaltet, auf dem du dich anmeldest.

Was wir an Mixpanel senden, ist bewusst dünn: Anzahlen, Beträge, Land und Steuerregime sowie der Bildschirm, auf dem du warst. Deine eigene E-Mail-Adresse hängt an deinem Analyse-Profil, damit wir erkennen, zu welchem Konto ein Problem gehört, und dich dazu erreichen können — aber niemals die Namen deiner Kunden, niemals der Text von Rechnungspositionen, niemals der Wortlaut von Feedback. Aus der App weisen wir Mixpanel zudem an, deine IP-Adresse nicht zu speichern, und das Mixpanel-Projekt hält seine Daten in der EU.

Sitzungsaufzeichnung Mixpanel zeichnet für uns außerdem Sitzungen auf, und auch hier unterscheiden sich die beiden Hälften. Auf dieser Website zeigt die Aufzeichnung — sofern du der Analyse zugestimmt hast, und nur dann — die Seiten so, wie du sie gesehen hast; hier steht ausschließlich Text, den wir selbst geschrieben haben. In der App ist die Aufzeichnung maskiert: Jeder Text und jedes Formularfeld wird vor dem Senden durch einen grauen Block ersetzt. So sehen wir, wo ein Bildschirm jemanden verwirrt hat, aber niemals eine Rechnung, einen Kunden, einen Betrag oder deine Bankverbindung. Netzwerkverkehr und Browser-Konsole zeichnen wir in keinem Fall auf, und die Rechnungsseite für deine Kunden wird überhaupt nicht aufgezeichnet.

Werbemessung Wir nutzen das Werbe-Pixel von OpenAI, um zu sehen, ob unsere Werbung Menschen zu Spoonbill bringt. Wie Mixpanel lädt es nur, wenn du es in der Cookie-Auswahl oben erlaubst — auf dieser Website meldet es dann, welche Seiten du aufgerufen hast; in der App meldet es nur drei Momente — ein Konto wurde angelegt, seine Testphase hat begonnen, ein Abo wurde abgeschlossen — und nur in einem Browser, in dem du es hier erlaubt hast; die App fragt nicht noch einmal. Es stützt sich auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Widerrufst du sie über „Cookie-Einstellungen“ im Footer, stoppt es, und seine beiden Cookies werden gelöscht. Es erhält nichts, was du eingibst: keine Rechnung, keine Kundschaft, keinen Betrag, keine E-Mail-Adresse — wie jedes Skript von einem anderen Server sieht es die IP-Adresse deines Browsers und die Adresse der Seite. In der App stoppt es der Schalter unter Einstellungen → Datenschutz für dein Konto ebenfalls. Ein anderes Werbe-Pixel gibt es nicht, und wir verkaufen nichts von dem, was wir erheben.

05Wer sonst beteiligt ist

Wir setzen wenige Dienstleister (Auftragsverarbeiter) ein, die Daten in unserem Auftrag und nach unserer Weisung verarbeiten:

• Google Ireland Ltd. / Google LLC — Firebase Authentication für die Anmeldung und Firebase Cloud Messaging für die Zustellung von Push-Benachrichtigungen an die Smartphone-App.
• Apple Distribution International Ltd. / Apple Inc. — Apple Push Notification service für die Zustellung von Push-Benachrichtigungen an die Smartphone-App auf dem iPhone.
• netcup GmbH — betreibt Server und Datenbank mit deinen Daten in seinem Rechenzentrum in Nürnberg, Deutschland.
• Cloudflare, Inc. — speichert deine Dateien (versendete PDFs, Anhänge und Logos) in einem an die EU gebundenen Speicher und leitet die Aufrufe der Website an unseren Server weiter.
• Infomaniak Network SA — versendet Bestätigungscodes, Rechnungen und Erinnerungen aus seinen Rechenzentren in der Schweiz.
• Mixpanel, Inc. — Produktanalyse und Sitzungsaufzeichnung; das Projekt nutzt die EU-Datenhaltung von Mixpanel, erhält auf der Website erst dann etwas, wenn du es erlaubt hast, und Aufzeichnungen aus der App werden vor dem Senden maskiert.
• OpenAI OpCo, LLC — Werbemessung, nur nach deiner Erlaubnis: Seitenaufrufe auf dieser Website sowie angelegtes Konto, begonnene Testphase und abgeschlossenes Abo in der App; nichts, was du eingibst, wird gesendet.
• Slack Technologies — erhält ausschließlich Feedback-Nachrichten, damit das Team sie schnell sieht.

Dein Konto, deine Kunden und deine Rechnungen liegen in der EU: Server und Datenbank in Deutschland, die Dateien in einem an die EU gebundenen Speicher von Cloudflare. E-Mails laufen über die Schweiz, der die EU ein angemessenes Datenschutzniveau bescheinigt. Verarbeitet ein anderer Anbieter Daten außerhalb der EU/des EWR, sichern EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss wie das EU-US Data Privacy Framework die Übermittlung ab. Wir verkaufen keine personenbezogenen Daten; zu Werbezwecken geteilt wird nur die oben beschriebene Messung von OpenAI.

Nutzt du Spoonbill für dein Unternehmen, nennt unser Auftragsverarbeitungsvertrag die Anbieter, die die Daten deiner Kunden in deinem Auftrag verarbeiten. Auftragsverarbeitungsvertrag (AVV)

06Speicherdauer

• Konto- und Geschäftsdaten: bis du sie oder dein Konto löschst.
• Rechnungen: bis du sie löschst. Gesetzliche Aufbewahrungspflichten für ausgestellte Rechnungen (etwa nach Steuerrecht) liegen bei dir — exportiere deine PDFs vor dem Löschen.
• Server-Logs: wenige Wochen, danach gelöscht oder anonymisiert.
• Push-Tokens: genutzt, solange Benachrichtigungen auf dem Gerät eingeschaltet sind; wenn du dich dort abmeldest oder das Gerät keine Benachrichtigungen mehr annimmt, wird das Token deaktiviert und nie wieder genutzt, und mit deinem Konto wird es gelöscht.
• Feedback: solange es für die Bearbeitung nötig ist.

07Deine Rechte

Nach der DSGVO kannst du jederzeit:

• Auskunft über die zu dir gespeicherten Daten verlangen (Art. 15),
• die Berichtigung unrichtiger Daten verlangen (Art. 16),
• die Löschung deiner Daten verlangen (Art. 17),
• die Verarbeitung einschränken lassen (Art. 18),
• deine Daten in einem übertragbaren Format erhalten (Art. 20),
• der Verarbeitung auf Basis berechtigter Interessen widersprechen (Art. 21),
• erteilte Einwilligungen widerrufen (Art. 7 Abs. 3).

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, etwa der an deinem Wohnort.

08Datensicherheit

Alle Verbindungen sind transportverschlüsselt (TLS). Der Zugriff auf Produktivsysteme ist beschränkt, deine Rechnungsdokumente liegen in zugriffsgeschütztem Objektspeicher. Kein Übertragungs- oder Speicherverfahren ist zu 100 % sicher; sollte eine Datenpanne deine Daten betreffen, informieren wir dich, wie gesetzlich vorgesehen.

09Kinder

Spoonbill ist ein Business-Tool und richtet sich nicht an Kinder. Wir verarbeiten wissentlich keine Daten von Personen unter 16 Jahren; wenn du glaubst, dass ein Kind uns Daten übermittelt hat, melde dich — wir löschen sie.

10Änderungen dieser Erklärung

Wir aktualisieren diese Seite, wenn sich unsere Datenpraxis ändert, und passen das Datum oben an. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail.