Stand: 30.09.2025
§ 1 Verantwortlicher und Geltungsbereich
Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist die Things We Love Code UG (haftungsbeschränkt), vertreten durch die Geschäftsführer Pascal Bürklin und Hendrike Grubert, Edisonstr. 63, 12459 Berlin, Deutschland. Für Datenschutzanliegen erreichen Sie uns unter [email protected]; weitere Informationen finden Sie auf https://easy-e.ai. Diese Datenschutzhinweise erläutern die Verarbeitung personenbezogener Daten beim Besuch unserer Website sowie bei der Nutzung unseres Online-Dienstes zur Umwandlung von PDF-Rechnungen in E-Rechnungen (z. B. XRechnung, optional ZUGFeRD). Das Angebot richtet sich ausschließlich an Unternehmer i. S. d. § 14 BGB.
§ 2 Rollenverständnis und Rechtsgrundlagen
Je nach Prozess sind wir Verantwortlicher oder Auftragsverarbeiter. Für Website, Nutzerkontenverwaltung und Abrechnung handeln wir als Verantwortlicher (Art. 4 Nr. 7 DSGVO). Soweit wir Rechnungsinhalte im Auftrag Ihres Unternehmens konvertieren, agieren wir regelmäßig als Auftragsverarbeiter; hierfür gilt unser Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anbahnung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. sicherer Betrieb, Missbrauchsabwehr) sowie – für optionale Analyse-/Marketingfunktionen – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
§ 3 Besuch der Website (Server-Logs)
Beim Aufruf unserer Seiten verarbeiten wir IP-Adresse, Datum/Uhrzeit, aufgerufene und verweisende URLs, User-Agent-Daten sowie Server-/Fehlerprotokolle. Dies dient Auslieferung, Stabilität und IT-Sicherheit (einschließlich Angriffserkennung) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Protokolldaten werden regelmäßig 7–30 Tage vorgehalten und bei Sicherheitsfällen länger.
§ 4 Cookies, Einwilligungen und Reichweitenmessung
Wir setzen technisch notwendige Cookies bzw. vergleichbare Technologien für Betrieb und Sicherheit ein (Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG / Art. 6 Abs. 1 lit. f DSGVO). Nicht notwendige Funktionen (z. B. Reichweite/Conversion-Tracking) verwenden wir nur nach Einwilligung über ein Consent-Banner (§ 25 Abs. 1 TTDSG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Details zu Anbietern, Zwecken und Speicherdauern sind im Banner einsehbar; Einwilligungen können dort jederzeit mit Wirkung für die Zukunft widerrufen werden.
§ 5 Nutzerkonto (automatisch) und Archivfunktion
Bei erstmaliger Nutzung unseres Dienstes – auch im Freemium-Modell – wird für die von Ihnen angegebene E-Mail-Adresse automatisch ein Nutzerkonto angelegt. Sie erhalten einen sicheren Link zur Erstverifizierung und Passwortvergabe (oder einen vergleichbaren Login-Mechanismus). Wir verarbeiten hierfür Registrierungs- und Login-Daten (E-Mail, Passwort-Hash – keine Klartextspeicherung), sicherheitsrelevante Metadaten (z. B. Zeitstempel, ggf. IP von auffälligen Anmeldeversuchen) sowie Kontoeinstellungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos/der Vertragsleistung) und Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Missbrauchsprävention).
Im passwortgeschützten Nutzerbereich stellen wir Ihnen die von uns erstellten E-Rechnungen (z. B. XRechnung-XML und – sofern ausgewählt – PDF mit eingebettetem XML) sowie rechnungsbezogene Metadaten (z. B. Rechnungsdatum, Betrag, Empfänger) zur Einsicht und zum Download bereit. Diese Archivfunktion ist Teil des Kontos. Die Speicherung erfolgt bis zur Löschung durch Sie oder – sofern gesetzlich zulässig und nicht anders vereinbart – solange Ihr Nutzerkonto besteht. Sie können Inhalte im Konto eigenständig löschen und die Löschung des gesamten Kontos veranlassen. Über die vorherige Deaktivierung bzw. Löschung inaktiver Konten informieren wir rechtzeitig.
§ 6 Konvertierungs-Service (Upload → E-Rechnung)
Im Rahmen der Konvertierung verarbeiten wir die Inhalte Ihrer hochgeladenen Rechnungs-PDFs (u. a. Firmen-/Kontaktdaten, Anschriften, Rechnungs-/Bestell-/Steuerangaben, Beträge, Zahlungsbedingungen, Leitweg-ID) sowie die erzeugten E-Rechnungsdateien. Zusätzlich verwenden wir Ihre E-Mail-Adresse für transaktionale Mitteilungen (z. B. Zustell-/Status-E-Mails). Upload- und Verarbeitungsartefakte werden nur temporär vorgehalten und spätestens nach 24 Stunden automatisiert gelöscht; Crash-/Fehlerdaten bis zu 72 Stunden; technische Protokolle/Metadaten je nach Zweck 30–90 Tage. Die fertigen E-Rechnungen werden – wie in § 5 beschrieben – im Nutzerkonto archiviert, bis Sie diese löschen oder Ihr Konto beendet wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), ergänzt um Art. 6 Abs. 1 lit. f DSGVO (Betrieb/Sicherheit).
§ 7 Zahlung und Abrechnung
Zur Abwicklung verarbeiten wir Transaktionsdaten (Betrag, Datum, Zahlungsart, Transaktions-ID). Zahlungsdienstleister wie PayPal (Europe) S.à r.l. et Cie, S.C.A. verarbeiten zusätzliche Daten in eigener Verantwortlichkeit gemäß deren Datenschutzhinweisen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels-/steuerrechtliche Aufbewahrung, i. d. R. 10 Jahre).
§ 8 Kommunikation und Support
Bei Kontaktaufnahme (E-Mail, Formular, Chat) verarbeiten wir Kontakt- und Inhaltsdaten zur Bearbeitung und Qualitätssicherung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vertraglich) bzw. Art. 6 Abs. 1 lit. f DSGVO (Interessenabwägung). Übliche Speicherdauer: bis zu 24 Monate, längere gesetzliche Pflichten unberührt. Newsletter/Lead-Magnete erfolgen nur auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit möglich).
§ 9 Empfänger, Auftragsverarbeiter und Drittlandübermittlungen
Wir setzen weisungsgebundene Dienstleister (Auftragsverarbeiter) ein, u. a. EU-Hosting/Cloud, transaktionale E-Mails in der EU, Fehler-/Leistungsmonitoring in einer EU-Region sowie – sofern aktiviert – self-hosted Webanalyse ohne Drittlandtransfer. Zahlungsanbieter (z. B. PayPal) handeln in eigener Verantwortlichkeit. Eine aktuelle Liste der Unterauftragsverarbeiter stellen wir auf Anfrage bzw. in der AVV-Anlage bereit. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien (z. B. EU-Standardvertragsklauseln, Art. 46 DSGVO) und – falls nötig – zusätzlichen Schutzmaßnahmen (z. B. Verschlüsselung). Grundsätzlich bevorzugen wir EU/EWR-Standorte.
§ 10 Sicherheit der Verarbeitung
Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, darunter TLS-Verschlüsselung, Härtung/Patching, rollenbasiertes Rechtemanagement nach dem Least-Privilege-Prinzip (mit MFA/SSO, soweit verfügbar), Protokollierung/Monitoring, Mandantentrennung, Secrets-Management, Backups und Wiederanlauf-Vorsorge, Mitarbeiter-Vertraulichkeit und Schulungen sowie Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
§ 11 Speicherdauer und Löschung
Die Speicherdauer richtet sich nach Zweck und Rechtsgrundlage. Temporäre Upload-/Verarbeitungsdaten werden spätestens nach 24 Stunden gelöscht; Crash-/Fehlerdaten nach bis zu 72 Stunden; technische Logs/Metadaten nach 30–90 Tagen. Im Nutzerbereich archivierte E-Rechnungen speichern wir bis zu Ihrer Löschung bzw. solange Ihr Konto besteht. Abrechnungsunterlagen bewahren wir regelmäßig 10 Jahre auf. Abweichungen können sich aus gesetzlichen Pflichten oder der Abwehr/ Durchsetzung von Rechtsansprüchen ergeben. Hinweis: Standardmäßig speichern wir nicht die hochgeladenen PDF-Originale dauerhaft, sondern die von uns erzeugten E-Rechnungen.
§ 12 Erforderlichkeit der Bereitstellung
Für die Nutzung des Dienstes ist die Angabe einer E-Mail-Adresse zwingend erforderlich, da automatisch ein Nutzerkonto angelegt und der Leistungsumfang (z. B. Archiv, Zustellung, Nachvollziehbarkeit) darüber bereitgestellt wird. Ohne diese Angaben kann der Service nicht erbracht werden. Für den Login benötigen Sie E-Mail und ein Passwort (oder einen gleichwertigen sicheren Login-Mechanismus).
§ 13 Rechte der betroffenen Personen
Sie haben – im Rahmen der gesetzlichen Voraussetzungen – die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f DSGVO. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Wenden Sie sich hierzu an [email protected]. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, etwa bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.
§ 14 Automatisierte Entscheidungen und Minderjährige
Es finden keine automatisierten Entscheidungen im Einzelfall im Sinne von Art. 22 DSGVO statt; die Konvertierung erfolgt regel-/formatbasiert. Unser Angebot richtet sich an Unternehmen/Erwachsene; eine gezielte Ansprache Minderjähriger erfolgt nicht.
§ 15 Aktualisierungen und Kontakt
Wir passen diese Hinweise an, wenn sich Rechtslage, Dienste oder Technik ändern; es gilt stets die aktuelle Fassung auf unserer Website. Für Anfragen erreichen Sie uns unter [email protected]; Sicherheitsvorfälle können Sie an [email protected] melden. Ein Datenschutzbeauftragter ist derzeit nicht benennungspflichtig; bei Änderung aktualisieren wir diese Erklärung.