Datenschutzerklärung

Übersicht

Sie ist so aufgebaut, dass sie die in den Artikeln 13 und 14 der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) sowie dem maßgeblichen litauischen Datenschutzrecht vorgesehenen Informationen bereitstellt. Im folgenden Abschnitt wird der Verantwortliche benannt; die weiteren Abschnitte behandeln jedes Thema der Reihe nach.

Wer ist der Verantwortliche

Der Dienst wird von MB Libranet, einer Personengesellschaft (Mažoji bendrija), betrieben. Standort: Vilnius, Litauen. Sie ist Verantwortlicher gemäß Art. 4 Abs. 7 DSGVO für Konto-, Abrechnungs- und Betriebsdaten. Wenn ein Kunde personenbezogene Daten Dritter in eine Rechnung einträgt, legt in der Regel dieser Kunde die Zwecke und Mittel der Verarbeitung fest; FreeBillGen verarbeitet die Daten zur Erbringung des Dienstes auf Weisung des Kunden. Für Datenschutzanfragen schreiben Sie bitte an info@freebillgen.com. Vollständige Unternehmensangaben einschließlich Register- und USt-IdNr. finden Sie auf der Unternehmensinformationsseite.

Wir haben keinen Datenschutzbeauftragten benannt, da unsere Verarbeitungstätigkeiten die Schwellenwerte des Artikels 37 nicht erreichen. Die für den Datenschutz zuständige Person erreichen Sie unter der oben angegebenen E-Mail-Adresse.

Welche Daten wir verarbeiten

Wir verarbeiten die folgenden begrenzten Kategorien personenbezogener Daten auf Basis der genannten Rechtsgrundlagen:

• Kontodaten. Ihr Name, Ihre E-Mail-Adresse, ein Einweg-Passwort-Hash (erstellt durch das konfigurierte Hashing-Verfahren der Anwendung) oder der öffentliche Schlüssel eines Passkeys sowie eine Google-Konto-Kennung, falls Sie sich für die Anmeldung über Google entscheiden. Rechtsgrundlage: Vertragserfüllung - Art. 6 Abs. 1 lit. b DSGVO.
• Von Ihnen erstellte Rechnungs- und Kundendaten. Ausschließlich die Daten, die Sie eingeben: Kundennamen, Anschriften, Steuernummern/USt-IdNr., Rechnungsposten, Summen, Zahlungsstatus. Rechtsgrundlage: Vertragserfüllung - Art. 6 Abs. 1 lit. b DSGVO.
• Empfangene Rechnungen (Posteingang). Rechnungsdateien, die Sie manuell hochladen, sowie Nachrichten und Anhänge, die an Ihrer Posteingangsadresse eingehen, sofern Sie eine solche Adresse aktivieren. Wir lesen unterstützte UBL/CII-E-Rechnungsdateien in lesbare Felder ein und bewahren die Originaldateien für Ihre Unterlagen auf. Auch PDFs und Bilder können hochgeladen oder empfangen werden; das optionale Auslesen mit KI wird weiter unten beschrieben. Rechtsgrundlage: Vertragserfüllung - Art. 6 Abs. 1 lit. b DSGVO.
• Dokumenten-Tools ohne Konto. Der Gast-Generator nutzt die von Ihnen angegebenen Felder für Verkäufer, Kunde, Positionen, Steuern und Zahlung, um ein PDF zu erstellen, ohne einen gespeicherten Rechnungsdatensatz anzulegen. Der öffentliche E-Rechnungs-Validator speichert die XML-Datei im temporären Upload-Speicher, liest sie für die angeforderten Prüfungen aus, versucht, den Upload unmittelbar nach der Verarbeitung zu löschen, entfernt temporäre Prüfdateien und legt keinerlei Dokumenten- oder Prüfberichtsprotokoll an. Rechtsgrundlage: Erbringung des von Ihnen angeforderten Dienstes - Art. 6 Abs. 1 lit. b DSGVO; berechtigte Interessen an der Absicherung des Dienstes - Art. 6 Abs. 1 lit. f DSGVO.
• Feedback und Fehlermeldungen. Wenn Sie im angemeldeten Zustand Feedback senden, speichern wir die Nachricht, die Art der Meldung, die Seiten-URL, die IP-Adresse sowie die vom Feedback-Formular ausgewählten Angaben zu Browser, Betriebssystem, Viewport, Spracheinstellung und User-Agent. Sie können einen privaten Screenshot im PNG-, JPEG- oder WebP-Format anhängen. Die E-Mail-Adresse des Betreibers und die Posteingangsbenachrichtigung erhalten die Vorgangsnummer sowie den Link, jedoch keine Kopie der Nachricht oder des Screenshots. Rechtsgrundlage: Berechtigte Interessen an der Bearbeitung von Feedback und an der Verbesserung des Dienstes - Art. 6 Abs. 1 lit. f DSGVO.
• Sitzungs- und Sicherheits-Cookies. Ein signiertes Sitzungs-Cookie und ein CSRF-Token-Cookie, die verwendet werden, um Sie angemeldet zu halten und gefälschte Browser-Sitzungsanfragen abzuwehren. Rechtsgrundlage: Unbedingt erforderlich - Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen.
• Optionaler Dokumentenentwurf für Gäste. Wenn Sie die Option „Entwurf merken“ aktivieren, werden nur die für das Speichern von Entwürfen unterstützten Gastformularfelder in diesem Browser gespeichert. Diese können Kunden- und Bankverbindungsdaten umfassen. Durch das Speichern wird kein Dokument in Ihrem FreeBillGen-Konto oder in der Datenbank angelegt. Rechtsgrundlage: Einwilligung - Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit widerrufen, indem Sie den Entwurf löschen.
• Betriebs- und Sicherheitsprotokolle. Anwendungsprotokolle können eine IP-Adresse, den User-Agent, Metadaten der Anfrage und den Fehlerkontext enthalten. Authentifizierungsereignisse können die Konto- oder E-Mail-Referenz, die IP-Adresse, den User-Agent, den Ereignistyp, den Zeitstempel und einen begrenzten Kontext umfassen. Betreiberbenachrichtigungen enthalten ausschließlich die für die Untersuchung des Vorfalls erforderliche Referenz auf den Fehler, die Bestellung, das Anbieterereignis oder das Feedback. Rechtsgrundlage: Berechtigte Interessen - Art. 6 Abs. 1 lit. f DSGVO.
• Bestell-, Kauf- und Anbieterereignis-Datensätze. Wenn Sie den Pro-Bezahlvorgang starten oder abschließen, verarbeiten wir das angenommene Angebot und die Checkout-Absicht, die Kunden- und Transaktionsnummern von Paddle, das Abrechnungsland, den Kaufstatus, Anpassungen, Erstattungen, Widerrufsprotokolle und den Zustellungsstatus der Kaufbestätigung. Ein verifizierter Paddle-Webhook enthält anfänglich die verschlüsselte exakte Nutzlast, die Quell-IP-Adresse, den User-Agent und den Verarbeitungskontext, damit er sicher authentifiziert, eingeordnet, wiederholt und abgeglichen werden kann. Rechtsgrundlage: Vertragserfüllung - Art. 6 Abs. 1 lit. b DSGVO; buchhalterische und verbraucherrechtliche Verpflichtungen - Art. 6 Abs. 1 lit. c DSGVO; berechtigte Interessen an der Zahlungsintegrität und dem Schutz vor Replay-Angriffen - Art. 6 Abs. 1 lit. f DSGVO.
• Bestätigungen von Sanktionshinweisen. Wenn Sie einen Warnhinweis zu sanktionierten Ländern bestätigen, erfasst der Dienst die Kennung des Nutzers, der Rechnung oder des Gastentwurfs sowie Land, IP-Adresse, User-Agent, Version des Hinweises und Zeitstempel. Dies dokumentiert, welcher Warnhinweis angezeigt und bestätigt wurde; es entscheidet nicht darüber, ob eine Transaktion rechtmäßig ist. Rechtsgrundlage: Berechtigte Interessen an der Anwendung und Dokumentation der Sanktionswarnungen des Dienstes - Art. 6 Abs. 1 lit. f DSGVO.
• MIAS-Prüfprotokoll. Wenn Sie die Überprüfung einer EU-USt-IdNr. eines Kunden anfordern, speichern wir die Anfragekennung, das abgefragte Land und die Nummer, das Ergebnis, die Konsultationsnummer sowie den zurückgegebenen Namen oder die Adresse. Dies ermöglicht die Prüffunktion und sichert den für Ihre Transaktion zurückgegebenen Nachweis. Rechtsgrundlage: Erfüllung unseres Vertrags mit dem Kontoinhaber - Art. 6 Abs. 1 lit. b DSGVO; Kundendaten werden auf Weisung des Kontoinhabers verarbeitet.
• KI-Verarbeitung (optional, Pro). Nur wenn Sie die KI-Verarbeitung aktivieren: Der Inhalt eines Dokuments, das wir auslesen sollen - einschließlich der darauf ausgewiesenen Namen der Parteien, Adressen, Umsatzsteuer- und Registernummern, Bankverbindungen und Gesamtbeträge - oder der von Ihnen für die Entwurfserstellung oder eine Zahlungserinnerung bereitgestellte Text wird an einen KI-Anbieter übermittelt. Jede Anfrage wird mit dem Anbieter, dem Modell, der Seiten- und Token-Anzahl, dem Ergebnis und der unformatierten Antwort des Anbieters protokolliert. Rechtsgrundlage: Vertragserfüllung für die von Ihnen aktivierte Funktion - Art. 6 Abs. 1 lit. b DSGVO; für Lieferanten- und Kundendaten Ihre Weisung als Verantwortlicher.

Einige Daten gehören zu Rechnungskunden oder Lieferanten und nicht zum Kontoinhaber. Da Sie diese eingeben oder hochladen, sind Sie die Quelle. Für diese Kunden- oder Lieferantendaten sind Sie in der Regel der Verantwortliche, müssen über eine eigene Rechtsgrundlage verfügen und erforderliche Informationspflichten erfüllen. Wir verarbeiten diese auf Ihre Weisung hin zur Bereitstellung des Rechnungsdienstes.

Unterauftragsverarbeiter

Der Dienst nutzt die nachfolgenden Anbieter für bestimmte Funktionen. Keiner davon wird als Werbe- oder Verhaltensanalyse-Netzwerk eingesetzt. Deren Rolle und die übermittelten Daten hängen davon ab, welche Funktion Sie nutzen.

SMTP2GO (transaktionale E-Mails)

Wenn Sie eine Rechnung per E-Mail versenden oder eine Systembenachrichtigung erhalten, wird die Nachricht über SMTP2GO über dessen EU-Region (mail-eu.smtp2go.com) versendet. Weitergegebene Daten: Absender, Empfängeradresse, Betreff, Text und alle angehängten PDFs. SMTP2GO Inc. hat seinen Sitz in Neuseeland mit EU-Infrastruktur; Übermittlungen sind durch Standardvertragsklauseln abgedeckt.

Cloudflare Turnstile (Bot-Schutz)

Die Formulare unter /login und /register binden eine Cloudflare-Turnstile-Sicherheitsabfrage ein, um automatisierten Missbrauch zu verhindern. Das Widget lädt von challenges.cloudflare.com und tauscht ein kurzlebiges Token mit dem Siteverify-Endpunkt von Cloudflare aus. Weitergegebene Daten: Ihre IP-Adresse, der User-Agent und ein Einmal-Challenge-Token. Turnstile setzt keine Tracking-Cookies und wird nicht für Werbung verwendet. Cloudflare, Inc. hat seinen Sitz in den USA; Übermittlungen sind durch das EU-US Data Privacy Framework und Standardvertragsklauseln abgedeckt.

Europäische Kommission - MIAS (USt-IdNr.-Validierung)

Wenn Sie die USt-IdNr. eines Kunden validieren, werden der eingegebene Ländercode und die Umsatzsteuer-Identifikationsnummer an das MwSt-Informationsaustauschsystem (MIAS) der Europäischen Kommission unter ec.europa.eu übermittelt. Der Empfänger ist eine EU-Institution; die Verarbeitung unterliegt der Verordnung (EU) 2018/1725.

Hosting und PDF-Erstellung (intern)

Die Anwendungsdatenbank und gehostete Dateien laufen auf einer Infrastruktur innerhalb der Europäischen Union. Rechnungs-PDFs werden auf dem Anwendungsserver mittels mPDF gerendert; kein externer PDF-Generierungsdienst erhält die Rechnung.

KI-Anbieter (produktfinanzierte Verarbeitung)

Wenn Sie die KI-Verarbeitung aktivieren und der Aufwand über Guthaben bezahlt wird, werden der Dokumententext und die im Abschnitt „KI“ beschriebenen Felder an einen der unten aufgeführten Anbieter gesendet. Die Anfrage wird an das günstigste geeignete kleine Modell zum Zeitpunkt der Ausführung geleitet; welcher Anbieter sie erhält, hängt somit von dieser Liste ab. Jeder nachfolgende Anbieter wird über einen kostenpflichtigen Tarif genutzt, bei dem die von uns gesendeten Prompts und Dokumente nicht zum Trainieren der Modelle dieses Anbieters verwendet werden und bei dem die Verarbeitung außerhalb der Europäischen Union im Rahmen der daneben verlinkten Vereinbarung erfolgen kann. Ein von Ihnen selbst angebundener API-Schlüssel wird hier nicht abgedeckt: Solche Anfragen gehen an Ihren Anbieter im Rahmen Ihrer eigenen Vereinbarung mit diesem.

• Google LLC - Vereinigte Staaten. Auftragsverarbeitungsvertrag.

Die optionale Google-Anmeldung leitet Sie zu Google OAuth weiter und erhält eine stabile Kontokennung, eine verifizierte E-Mail-Adresse und Ihren Namen, sobald Sie die Anmeldung bestätigen. Paddle ist der Merchant of Record für den Pro-Checkout und verarbeitet Abrechnungs-, Steuer- und Zahlungsdaten gemäß seinen eigenen Datenschutzbestimmungen. Keiner der beiden Anbieter wird für Website-Analysen oder Werbung eingesetzt. Es werden keine Meta-Pixel, Analyse-SDKs oder externen Fehlerberichtsdienste verwendet.

Cookies und optionale Browserspeicherung

Wir setzen ausschließlich unbedingt erforderliche Cookies. Gemäß Artikel 5 Absatz 3 der ePrivacy-Richtlinie (2002/58/EG) ist für unbedingt erforderliche Cookies keine Einwilligung erforderlich, weshalb Ihnen kein Cookie-Banner angezeigt wird. Der unten beschriebene optionale Browser-Entwurf ist deaktiviert, bis Sie ihn auswählen.

Keine Analyse-Cookies. Keine Werbe-Cookies. Von uns werden keine Drittanbieter-Cookies gesetzt. Die in Abschnitt 04 beschriebene Cloudflare-Turnstile-Prüfung kann ein eigenes kurzlebiges Cookie setzen, das auf challenges.cloudflare.com beschränkt ist; dieses Cookie ist für die Bot-Schutz-Prüfung unbedingt erforderlich und wird nicht zum Tracking verwendet.

Speicherdauer

Konto-, Rechnungs-, Kunden-, Unternehmensdaten, hochgeladene Posteingangsdateien, Protokolle ausgehender E-Mails und VIES-Anfragedaten bleiben bestehen, solange das Konto aktiv ist. Die eigenständige Löschung sperrt den Zugriff sofort und ersetzt den Kontonamen und die E-Mail-Adresse. Frühestens nach 30 Tagen kommen diese Datensätze und der Benutzereintrag für die tägliche Mandantenbereinigung infrage. Für die unten beschriebenen Zahlungs- und Sanktionsdatensätze gelten gesonderte Fristen.

Feedback-Berichte und private Screenshots werden bis zu 365 Tage aufbewahrt und früher gelöscht, wenn der zugehörige Mandant bereinigt wird. Die zugehörige Feedback-Benachrichtigung wird zusammen mit dem Bericht gelöscht. Sonstige Betreiberbenachrichtigungen werden bis zu 365 Tage aufbewahrt.

Von der Anwendung verwaltete lokale Protokolldateien rotieren für höchstens 30 Tage. Hosting- und Infrastrukturdienste können eigene Zugriffs- oder Sicherheitsprotokolle gemäß ihren veröffentlichten Aufbewahrungskriterien aufbewahren. Kennungen von Authentifizierungsereignissen, einschließlich der Benutzer- oder E-Mail-Referenz, IP-Adresse, des User-Agents und des Kontexts, werden nach 30 Tagen entfernt; es verbleiben nur der Ereignistyp und der Zeitpunkt. VIES-Anfrageprotokolle verbleiben beim aktiven Konto und werden durch die Mandantenbereinigung gelöscht.

Abgebrochene oder abgelaufene Checkout-Vorgänge, die keine Bestellung erzeugt haben, werden gelöscht, sobald sowohl ihr Ablaufdatum als auch ihre letzte Aktivität mindestens 30 Tage zurückliegen. Bei verarbeiteten oder veralteten Paddle-Ereignissen werden der genaue Payload, die Quell-IP-Adresse, der User-Agent, der Schlüssel für die Reihenfolge der Ereignisverarbeitung und die Fehlerdetails nach 30 Tagen entfernt; die Anbieter-Ereignis-ID, der Typ, der Payload-Hash, der Status und die Zeitstempel werden bis zu 10 Jahre aufbewahrt. Rohdaten eines ungeklärten Ereignisses verbleiben, bis es geklärt ist, und unterliegen einer automatisierten Überprüfung veralteter Fälle. Die Empfängeradresse einer Kaufbestätigung wird nach 30 Tagen entfernt, wenn die Zustellung gesendet oder fehlgeschlagen ist, nach 365 Tagen, wenn die Zustellung weiterhin ungewiss ist, oder beim nächsten Aufbewahrungslauf, wenn die Bestellung nicht mehr mit einem Konto verknüpft ist. Abgeschlossene Bestell-, Anpassungs-, Erstattungs- und Widerrufsdatensätze verbleiben, solange sie mit einem aktiven Konto verknüpft sind. Sobald diese Verknüpfung aufgehoben wird, wird der abgeschlossene Finanzdatensatz 10 Jahre nach seiner letzten Aktivität gelöscht. Eine dokumentierte rechtlich begründete Löschsperre kann diese Löschung verzögern; solche Sperren enthalten ein Prüfdatum und einen Audit-Trail.

Manuell hochgeladene Rechnungen im Posteingang unterliegen der oben genannten Kontoregel. Wenn ein Datensatz für einen eingegangenen E-Mail-Beleg existiert, wird ein verarbeiteter Replay-Schutz-Datensatz nach 30 Tagen gelöscht. Bei einem ausstehenden oder fehlgeschlagenen Belegeingang werden Benutzer- und Fehlerkennungen nach 30 Tagen entfernt, während der Quell-Hash, der Status und die Wiederholungszähler bestehen bleiben, bis der Vorgang geklärt ist.

Die IP-Adresse, der User-Agent und die Referenz zum Gast-Entwurf bei einer Sanktionsbestätigung werden nach 30 Tagen entfernt. Benutzer- und Rechnungszuordnungen werden bei der Mandantenbereinigung gelöscht. Die verbleibenden Angaben zu Land, Version des Hinweises und Zeitpunkt der Bestätigung werden bis zu 10 Jahre aufbewahrt; anschließend wird die Bestätigung gelöscht.

Der Gast-Generator erstellt keinen serverseitigen Rechnungsdatensatz. Der öffentliche Validator erstellt weder einen Dokument- noch einen Berichtsdatensatz. Er versucht, den temporären Upload unmittelbar nach der Verarbeitung zu löschen und entfernt seine temporäre Arbeitsdatei während der Prüfung. Bleibt ein Upload nach einem fehlgeschlagenen Löschvorgang oder einer unterbrochenen Anfrage zurück, wird er durch die lokale Bereinigung temporärer Uploads gelöscht, sobald er älter als 24 Stunden ist. Metadaten der Anfrage können dennoch in den oben beschriebenen Anwendungsprotokollen auftauchen.

Ein aktivierter Gast-Entwurf verfällt sieben Tage nach seiner letzten Speicherung im lokalen Speicher des Browsers. Sie können ihn sofort entfernen, indem Sie 'Gespeicherten Entwurf löschen' wählen oder die Daten dieser Website in Ihrem Browser löschen. FreeBillGen überträgt diesen Browser-Entwurf nicht automatisch in ein Konto.

Ihre Rechte gemäß DSGVO

Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erfolgt die Verarbeitung aufgrund einer Einwilligung, können Sie diese jederzeit widerrufen (Art. 7 Abs. 3).

Darüber hinaus haben Sie gemäß Art. 77 DSGVO das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen - in der Regel in dem EU-/EWR-Mitgliedstaat, in dem Sie leben, arbeiten oder wo der mutmaßliche Verstoß stattgefunden hat. Da der Betreiber in Litauen ansässig ist, ist die federführende Behörde die staatliche Datenschutzinspektion (State Data Protection Inspectorate of Lithuania, VDAI).

Eine Schritt-für-Schritt-Anleitung zur Ausübung Ihrer Rechte, einschließlich Fristen und Angaben zum Inhalt einer Anfrage, finden Sie auf der entsprechenden Seite zu Ihren DSGVO-Rechten.

Automatisierte Entscheidungsfindung

FreeBillGen nutzt keine automatisierte Entscheidungsfindung oder Profilerstellung im Sinne von Art. 22 DSGVO. Es werden keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, ausschließlich automatisiert getroffen. Wir erstellen keine Scores, Rankings oder Profile von Benutzern für Werbe-, Kredit-, Betrugs- oder sonstige Zwecke. KI-Funktionen, sobald Sie sie aktivieren, liefern Vorschläge, die Sie prüfen und bestätigen müssen; sie treffen keine eigenständigen Entscheidungen.

KI-Verarbeitung (optional)

KI-Funktionen sind optional. Sie sind standardmäßig deaktiviert, Teil von Lifetime Pro und werden erst aktiv, nachdem Sie sie in den Einstellungen aktiviert haben. Bis dahin wird nichts, was Sie hochladen, empfangen oder schreiben, an einen KI-Anbieter gesendet.

Wenn Sie uns ein Dokument zum Auslesen vorlegen, senden wir dieses Dokument: den enthaltenen Inhalt, die Namen der beteiligten Parteien, Adressen, USt-IdNr. und Registrierungsnummern, Bankverbindungen und darauf gedruckten Gesamtbeträge. Beim Verfassen senden wir den von Ihnen bereitgestellten Text oder das Sprachmemo sowie die Kunden- und Katalognamen, die für die Zuordnung erforderlich sind. Für den Editor für Zahlungserinnerungen senden wir die Rechnungsnummer, die zugehörigen Datumsangaben und Beträge sowie den Firmennamen des Kunden, jedoch niemals die Zahlungshistorie einer natürlichen Person.

Ein Dokument wird als Datei selbst gesendet, sodass alles, was darin enthalten ist, mitübertragen wird. Wir können vor dem Auslesen keinen Text aus einem Dokument entfernen, einschließlich Text, der in weißer Farbe gedruckt, auf die Größe null skaliert oder anderweitig unsichtbar auf der Seite ist. Wir scannen nach solchem Text und zeigen Ihnen alles, was wir auslesen, bevor Sie etwas bestätigen.

Wenn FreeBillGen die Verarbeitung bezahlt - aus Willkommensguthaben oder einem Guthabenpaket -, geht die Anfrage an das günstigste geeignete kleine Modell unter den im Abschnitt zu Unterauftragsverarbeitern genannten Anbietern, ausgewählt zum Zeitpunkt der Anfrage. Dieser Anbieter kann sich außerhalb der Europäischen Union befinden. Jeder einzelne ist dort mit seinem Unternehmen, dem Land, in dem er verarbeitet, und seinem Auftragsverarbeitungsvertrag aufgeführt, sodass die Seite und das Routing niemals voneinander abweichen können.

Mit einem eigenen Anbieterschlüssel werden Ihre Dokumente an Ihren Anbieter unter Ihrer eigenen Vereinbarung mit diesem gesendet. Sie sind Kunde dieses Anbieters und, bei einem Anbieter außerhalb der EU, der Datenexporteur. Der Schlüssel wird verschlüsselt auf unserem Server gespeichert, mit jeder von Ihnen ausgelösten Anfrage gesendet, niemals in Protokolle geschrieben, nur als seine letzten vier Zeichen angezeigt und kann jederzeit widerrufen werden. Wir handeln nach Ihrer dokumentierten Weisung.

Jede Anfrage wird zusammen mit dem Anbieter, dem Modell, der Seiten- und Tokenanzahl, dem Ergebnis und der Rohantwort des Anbieters aufgezeichnet, solange Ihr Konto besteht. Der Datensatz wird mit Ihrem Konto gelöscht. Zur Transkription gesendete Audiodateien werden gelöscht, sobald sie transkribiert wurden.

Verknüpfte Assistenten (optional)

Sie können einen KI-Assistenten, den Sie bereits verwenden, wie etwa Claude oder ChatGPT, mit Ihrem FreeBillGen-Konto verbinden. Dies ist optional und standardmäßig deaktiviert, bis Sie eine Verbindung herstellen. Sie beginnen beim Assistenten, und eine FreeBillGen-Seite fragt Sie dann, was er tun darf, bevor etwas verbunden wird.

FreeBillGen sendet von sich aus nichts an das Unternehmen hinter Ihrem Assistenten oder an Dritte. Der Assistent ruft ab, wonach Sie fragen, in dem Moment, in dem Sie fragen, und verwendet dabei ein Zugriffstoken, das durch Ihre Zustimmung erstellt wurde. Was der Assistent danach speichert und wo er es verarbeitet, richtet sich nach Ihren eigenen Bedingungen mit dem Unternehmen, das ihn betreibt.

Aus diesem Grund ist das Unternehmen hinter Ihrem Assistenten kein Unterauftragsverarbeiter von uns und erscheint nicht in der obigen Unterauftragsverarbeiter-Liste: Wir übergeben ihm Ihre Daten nicht zur Verarbeitung in unserem Auftrag. Sie selbst fordern die Daten auf Grundlage Ihrer eigenen Vereinbarung mit diesem Unternehmen an.

Ein Assistent kann nur das lesen, was Sie auf der Zustimmungsseite erlaubt haben: Ihre Rechnungen, Angebote und Gutschriften mit deren Status und PDFs, Ihre Kunden und deren Kontaktdaten, Ihre Arbeitswarteschlange und Ihr KI-Guthaben. Er kann niemals Ihr Passwort, Ihre Sitzung oder Ihren gespeicherten Anbieterschlüssel einsehen oder auf ein anderes Konto zugreifen. Die erlaubte Erstellung von Entwürfen erfolgt mit den von Ihnen festgelegten KI-Einstellungen; der Assistent kann diese nicht ändern.

Jeder Lesezugriff und jeder Vorschlag, den ein Assistent macht, wird in Ihrem Konto mit der Uhrzeit und dem verwendeten Tool protokolliert und unter dem jeweiligen Assistenten in Einstellungen, Assistenten angezeigt. Das Protokoll nennt das Dokument, niemals eine Kopie des Gelesenen.

Der Zugriff besteht, bis Sie den Assistenten unter Einstellungen, Assistenten trennen, was ihn innerhalb einer Minute beendet. Er endet auch sofort, wenn das Konto gesperrt, gebannt oder geschlossen wird, und die oben genannten Aufzeichnungen werden mit dem Konto gelöscht.

Datensicherheit

Technische und organisatorische Maßnahmen (Art. 32 DSGVO):

• Passwörter werden mit dem konfigurierten Einweg-Hashing-Treiber gespeichert; Passkeys (WebAuthn) werden unterstützt.
• Optionale zeitbasierte Zwei-Faktor-Authentifizierung über jede TOTP-kompatible Authenticator-App.
• CSRF-Token schützen zustandsändernde Browser-Sitzungsformulare und -Aktionen; zustandslose API-Schreibvorgänge verwenden separate Authentifizierungs- oder Signaturkontrollen.
• Für den Datenzugriff der Anwendung werden Framework-Query-Builder und Parameterbindungen verwendet.
• HTTPS/TLS während der Übertragung; HTTP Strict Transport Security aktiviert.
• Content Security Policy und andere Härtungs-Header.
• Audit-Protokoll auf Anwendungsebene für sicherheitsrelevante Aktionen.
• Quellcodeverwaltete Aufbewahrungsfristen steuern die geplante Löschung und De-Identifizierung. Wenn eine erforderliche Frist fehlt oder ungültig ist, wird der Bereinigungsauftrag angehalten, bevor Datensätze geändert werden.

Internationale Datenübermittlungen

Die Dienstdatenbank und gehostete Dateien befinden sich in der Europäischen Union. SMTP2GO, Cloudflare Turnstile, die optionale Google-Anmeldung, der Paddle-Checkout und die optionale KI-Verarbeitung können eine Verarbeitung oder Übermittlung außerhalb des EWR für ihre jeweiligen Funktionen beinhalten:

• Cloudflare Turnstile - Übermittlungen in die Vereinigten Staaten, abgedeckt durch das EU-US-Datenschutzrahmenabkommen und die Standardvertragsklauseln der Europäischen Kommission.
• SMTP2GO - Das betreibende Unternehmen ist in Neuseeland ansässig (einem Land mit einem Angemessenheitsbeschluss der Europäischen Kommission) und nutzt für die Zustellung Infrastruktur in der EU-Region. Soweit Übermittlungen stattfinden, sind diese durch Standardvertragsklauseln abgedeckt.
• KI-Anbieter - Die vom Produkt bezahlte Verarbeitung kann außerhalb des EWR stattfinden; die Übermittlungsschutzmaßnahme jedes Anbieters ist im Abschnitt zu Unterauftragsverarbeitern aufgeführt. Die Verarbeitung mit eigenem Schlüssel erfolgt dort, wo Ihr Anbieter betrieben wird, im Rahmen Ihrer Vereinbarung mit ihm.

Google und Paddle beschreiben ihre Schutzmaßnahmen für internationale Datenübermittlungen in ihren eigenen Datenschutzerklärungen. FreeBillGen übermittelt keine Rechnungsdaten an einen der beiden Anbieter zu Analyse- oder Werbezwecken. Sollten sich die Anbieterliste oder die Übermittlungsvereinbarungen ändern, wird diese Datenschutzerklärung aktualisiert.

Minderjährige

FreeBillGen ist ein Geschäftstool und richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern.

Änderungen dieser Datenschutzerklärung

Änderungen werden auf dieser Seite mit einem neuen Datum für „Zuletzt aktualisiert“ veröffentlicht. Das Datum oben auf der Seite kennzeichnet die aktuelle Version.

Kontakt

Fragen zum Datenschutz und Anfragen zu Ihren Rechten: info@freebillgen.com. Die Postanschrift und vollständige Angaben zur juristischen Person finden Sie auf der Impressumsseite.