Datenschutzerklärung

Stand: 16. Juli 2026

1. Verantwortlicher

David Wirfs (Einzelunternehmen — eBilanz Fabrik), Naumannstraße 1, 50735 Köln, E-Mail: hello@ebilanzfabrik.de. Siehe Impressum.

2. Grundsatz — Datensparsamkeit im Rahmen der gesetzlichen Pflichten

eBilanz Fabrik verarbeitet so wenig Daten wie möglich — und so viel, wie Auftrag und Gesetz erfordern. Die Website setzt keine Tracking-Cookies ein und nutzt ausschließlich cookielose, datensparsame Reichweitenmessung (Pirsch, Emvi Software GmbH, Deutschland) — keine Cookies, kein geräteübergreifendes Tracking, keine personenbezogenen Profile (Details unter Ziffer 3 und 4). Ihre Finanzdaten werden ausschließlich zur Durchführung Ihres Auftrags verarbeitet — nicht profiliert, nicht zu Werbezwecken genutzt, nicht verkauft. Zur Auftragsabwicklung und aufgrund gesetzlicher Aufbewahrungspflichten (§ 147 AO, GoBD) speichern wir den vollständigen Auftragsdatensatz (Ihre Angaben und Nachweise) sowie die Übermittlungsartefakte (XBRL-e-Bilanz, Transferticket, Rechnung) — Details unter Ziffer 3 und 5. Ihr ELSTER-Zertifikat wird zu keinem Zeitpunkt gespeichert.

3. Verarbeitete Daten, Zwecke, Rechtsgrundlagen

• Server-Logfiles (Website-Aufruf): beim Hosting-Anbieter anfallende technische Daten (IP-Adresse, Zeitpunkt, abgerufene Datei) zur Auslieferung + Sicherheit der Seite. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• Kontaktaufnahme (E-Mail): Ihre Angaben zur Beantwortung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f (berechtigtes Interesse an der effizienten Bearbeitung Ihrer Anfrage).
• Support-Formular (Name, E-Mail, Betreff, Nachricht): Ihre Angaben werden zu einem Support-Vorgang mit eigener Vorgangsnummer gespeichert, damit wir Ihre Anfrage nachvollziehbar bearbeiten und Ihnen den Stand zuordnen können. Die Speicherung erfolgt auf unserem Server bei der Hetzner Online GmbH (Auftragsverarbeiter, Standort Deutschland, Vertrag nach Art. 28 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Durchführung des Vertrags) bzw. lit. f (berechtigtes Interesse an einer nachvollziehbaren Support-Bearbeitung). Name, E-Mail-Adresse und Nachricht benötigen wir, um Ihre Anfrage zu bearbeiten und Ihnen korrekt und persönlich zu antworten; die Angabe des Betreffs ist freiwillig. Aufbewahrung: bis zur Erledigung Ihrer Anfrage und darüber hinaus so lange, wie Rückfragen zu Ihrem Vorgang zu erwarten sind. Sie können die Löschung jederzeit verlangen (Art. 17 DSGVO) — eine formlose E-Mail genügt. Gehört der Vorgang zu einem kostenpflichtigen Auftrag, gilt die gesetzliche Aufbewahrung (siehe unten).
• Durchführung Ihres Auftrags (Bilanz-/GuV-Daten, Stammdaten, Steuernummer): die von Ihnen eingegebenen bzw. bestätigten Werte werden in das XBRL-Format konvertiert, technisch validiert und — nach Ihrer Freigabe — an die Finanzverwaltung übermittelt. Der Auftragsdatensatz (Ihre Angaben, Freigabe- und Bestätigungsnachweise, Zahlungsreferenzen des Zahlungsdienstleisters, Übermittlungsstatus) wird zur Auftragsabwicklung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit Auftragsverarbeitung vorliegt: AV-Vertrag nach Art. 28 DSGVO.
• Gesetzliche Aufbewahrung: die zu Ihrem Auftrag gehörenden Geschäftsunterlagen — Rechnung, übermittelte XBRL-e-Bilanz, Transferticket sowie der vollständige Auftragsdatensatz (einschließlich Firmen-Stammdaten, Steuernummer, der von Ihnen bestätigten Bilanz-/GuV-Werte und der Zahlungsreferenzen) — bewahren wir 10 Jahre auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB (GoBD).
• Übermittlungsbestätigung per E-Mail: nach erfolgreicher Übermittlung erhalten Sie eine Bestätigungs-E-Mail mit Transferticket, Ihrer XBRL-Datei und der Rechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Amtliche ELSTER-Datenschutzhinweise: für die Übermittlung über die amtliche ELSTER-Schnittstelle (ERiC) gelten zusätzlich die Datenschutzhinweise der Finanzverwaltung — im Wortlaut unter ELSTER-Datenschutzhinweise; die Kenntnisnahme bestätigen Sie zu Beginn des Erstellungsprozesses.
• Fristen-Erinnerung an eigene ähnliche Leistungen (Widerspruchsrecht): nachdem Sie eine e-Bilanz kostenpflichtig bei uns beauftragt haben, verwenden wir die dabei erhobene E-Mail-Adresse — sofern Sie nicht widersprechen — um Sie an die Frist Ihrer nächsten e-Bilanz und über eigene ähnliche Leistungen zu informieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung gegenüber Bestandskunden, Erwägungsgrund 47) i. V. m. § 7 Abs. 3 UWG. Sie können der Nutzung jederzeit widersprechen — formlos an hello@ebilanzfabrik.de oder über den Abmeldelink in jeder solchen E-Mail; es entstehen keine anderen als die Übermittlungskosten nach den Basistarifen. Auf diesen Widerspruch weisen wir Sie bereits bei der Erhebung der Adresse im Bestellprozess hin. Eine Einwilligung ist hierfür nicht erforderlich und wird nicht eingeholt (es gibt kein Opt-in-Häkchen).
• Erforderlichkeit der Bereitstellung: die Bereitstellung Ihrer Auftragsdaten (Stammdaten, Steuernummer, Bilanz-/GuV-Werte, ELSTER-Zertifikat zur einmaligen Verwendung) ist für die Vertragserfüllung erforderlich — ohne sie kann die e-Bilanz nicht erstellt bzw. übermittelt werden. Eine gesetzliche Pflicht, sie uns bereitzustellen, besteht nicht.
• Import Ihrer Zahlen (PDF, Excel, CSV oder HTML — lokal): Wenn Sie Ihre fertige Bilanz/GuV importieren, wird die Datei ausschließlich lokal in Ihrem Browser gelesen (z. B. via pdf.js) und verlässt Ihr Gerät dabei nicht. Es findet keine KI-Auslesung und keine Übermittlung an einen KI-Dienst oder sonstigen Dritten statt. Die importierten Werte landen als bearbeitbare Vorbelegung im Formular — Sie prüfen und bestätigen jede Position selbst; alternativ geben Sie alle Werte manuell ein. Die von Ihnen geprüften und bestätigten Werte werden anschließend zur Auftragsdurchführung an unseren Server übertragen und dort als Teil des Auftragsdatensatzes gespeichert (Ziffer 3/5) — die Quelldatei selbst verlässt Ihren Browser nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Zahlung: die Zahlungsabwicklung erfolgt über Stripe auf einem von den Finanzdaten getrennten Datenpfad; eBilanz Fabrik erhält keine vollständigen Zahlungsmittel-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Reichweitenmessung (Web-Analytics): cookielose, aggregierte Nutzungsstatistik (Seitenaufrufe, Herkunft/Kampagne via UTM, ungefähre Region) zur Verbesserung des Angebots. Es werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet. Ihre IP-Adresse wird nicht gespeichert: Sie wird zusammen mit Ihrer Browser-Kennung (User-Agent), der Website-Kennung, einem geheimen Schlüssel des Anbieters und einem Wechselwert zu einer Sitzungskennung verrechnet und danach verworfen. Der Wechselwert wird zu Beginn jedes Kalendermonats erneuert; die Sitzungskennung bleibt daher innerhalb eines Kalendermonats gleich — ein wiederkehrender Besuch mit derselben IP-Adresse und demselben Browser wird innerhalb dieses Zeitraums derselben Kennung zugeordnet, danach entsteht eine neue. Es handelt sich um eine Pseudonymisierung (Art. 4 Nr. 5 DSGVO), nicht um eine Anonymisierung: Der geheime Schlüssel verbleibt dauerhaft beim Anbieter, sodass die Zuordnung rechnerisch nachvollziehbar bliebe. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an datensparsamer, cookiefreier Reichweitenmessung). Sie können dieser Verarbeitung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 6); zur Speicherdauer siehe Ziffer 5.
• Speicherung im Browser (§ 25 TDDDG) — Vorgangskennung und Kampagnen-Herkunft: wir setzen keine Cookies, speichern aber zwei technisch erforderliche Werte in der Speicherumgebung Ihres Browsers: (1) eine Vorgangskennung (ebf_session_id, localStorage, Speicherdauer 30 Tage, danach automatisch gelöscht) — die Kennung Ihres laufenden Erstellungsvorgangs. Sie erlaubt es, den Vorgang nach einem Seiten-Neuladen fortzusetzen und wird — falls Sie unser Support-Formular aufrufen — dort automatisch mitgegeben, damit wir eine Support-Anfrage Ihrem Vorgang zuordnen und Ihr Problem ohne Screenshot nachvollziehen können. Dadurch entsteht eine Verknüpfung zwischen Ihrer Support-Anfrage und Ihrem Auftragsdatensatz; Rechtsgrundlage hierfür: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Auftrags bzw. vorvertragliche Maßnahmen). (2) die Kampagnen-Herkunft (ebf_utm, sessionStorage) — die UTM-Parameter, mit denen Sie die Seite betreten haben; sie werden beim Kauf der Zahlungsreferenz beigefügt und mit dem Schließen des Browser-Tabs gelöscht. Beide Werte sind zur Erbringung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und daher einwilligungsfrei; sie enthalten keine personenbezogenen Inhalte (keine Namen, keine Zahlen, keine Steuernummer) und werden nicht an Dritte übermittelt. Sie können beide jederzeit über die Einstellungen Ihres Browsers löschen.

4. Empfänger / Auftragsverarbeiter

• Domain & DNS: Porkbun LLC, USA — Domainregistrierung und Betrieb der autoritativen Nameserver (DNS) für ebilanzfabrik.de. Website und E-Mail-Verkehr laufen seit dem 16.07.2026 ausschließlich über Server in Deutschland (Hetzner, siehe unten); Website-Server-Logdaten (u. a. Besucher-IP) fallen daher nicht mehr bei Porkbun an. Bei der autoritativen Namensauflösung erhält Porkbun technisch nur die Anfrage des jeweils anfragenden DNS-Resolvers (in der Regel des Internetproviders oder eines öffentlichen Resolvers), nicht die IP-Adresse der Website-Besucher; ein Personenbezug zu unseren Besuchern entsteht dabei regelmäßig nicht. Hinsichtlich Domain und DNS handelt Porkbun als eigenständiger Empfänger (nicht als Auftragsverarbeiter); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer erreichbaren Domain).
• Hosting von Website & Anwendung: Hetzner Online GmbH, Deutschland — Betrieb der Website ebilanzfabrik.de (statisches Hosting, dabei anfallende Server-Logdaten wie Besucher-IP) und der Auftrags-Anwendung (app.ebilanzfabrik.de) sowie produktive Speicherung der Auftragsdaten auf Servern in Deutschland; AV-Vertrag Art. 28 DSGVO, keine Drittlandübermittlung.
• E-Mail (Empfang & Versand): Hetzner Online GmbH, Deutschland — Betrieb des Postfachs hello@ebilanzfabrik.de sowie Versand der Übermittlungsbestätigung (inkl. XBRL-Datei und Rechnung als Anhang) über Server in Deutschland; AV-Vertrag Art. 28 DSGVO, keine Drittlandübermittlung.
• Zahlung: Stripe Payments Europe, Ltd. (Irland) — als Zahlungsdienstleister für die Zahlungsabwicklung; technische Verarbeitung auch durch Stripe, Inc./Stripe, LLC (USA). Die Zahlung läuft auf einem von den Finanzdaten getrennten Datenpfad; eBilanz Fabrik erhält keine vollständigen Zahlungsmittel-Daten (Sie zahlen unmittelbar bei Stripe). Bei der Zahlungsabwicklung handelt Stripe als eigenständig (getrennt) Verantwortlicher — nicht als Auftragsverarbeiter, da Stripe die Verarbeitung für eigene Zwecke bestimmt (u. a. Betrugsprävention sowie geldwäsche- und aufsichtsrechtliche Pflichten als Zahlungsinstitut); insoweit gelten die eigenen Datenschutzhinweise von Stripe ergänzend. Soweit dabei personenbezogene Daten in die USA übermittelt werden, ist Stripe (Stripe, LLC) unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission); ergänzend bestehen Standardvertragsklauseln (SCC).
• Web-Analytics (DE): Pirsch (Emvi Software GmbH, Deutschland) — cookielose Reichweitenmessung; Hosting ausschließlich in Deutschland, keine Drittlandübermittlung. AV-Vertrag Art. 28 DSGVO.

Zur internen Auftragsverwaltung und Datensicherung führt der Verantwortliche zusätzlich eine zugriffsgeschützte Archivkopie der Auftragsdaten auf eigenen Systemen. Eine Kopie der Standardvertragsklauseln (SCC) für den betroffenen Empfänger im Drittland (Stripe als eigenständig Verantwortlicher) können Sie über hello@ebilanzfabrik.de anfordern.

5. Speicherdauer

Übermittlungsartefakte und Rechnungsdaten sowie der vollständige Auftragsdatensatz (Rechnung, XBRL-e-Bilanz, Transferticket, Ihre Angaben und Nachweise inkl. Zahlungsreferenzen): 10 Jahre (§ 147 AO, § 257 HGB / GoBD). Kontaktdaten: bis zur Erledigung bzw. nach gesetzlichen Fristen. Reichweitenmessung (Ziffer 3): die pseudonymen Auswertungsdaten werden nach 6 Monaten gelöscht (Aufbewahrungsdauer des Analytics-Anbieters im genutzten Tarif); die IP-Adresse selbst wird zu keinem Zeitpunkt gespeichert. Server-Logs: kurze, betriebsübliche Frist. Ihr ELSTER-Zertifikat: wird nicht gespeichert (Verwendung ausschließlich im Arbeitsspeicher für die eine Übermittlung).

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) sowie ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77). Das Recht auf Löschung besteht nicht, soweit die Verarbeitung zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO) — diese Daten werden für die Dauer der Frist gesperrt statt gelöscht. Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Düsseldorf. Kontakt: hello@ebilanzfabrik.de.