Zum Inhalt springen
Belegraum

Nach Art. 13 und 14 DSGVO

Datenschutz

Belegraum verarbeitet Rechnungen. Darin stehen Umsätze, Bankverbindungen und Geschäftsbeziehungen, also genau die Angaben, die niemand leichtfertig aus der Hand gibt. Diese Seite beschreibt, was mit ihnen tatsächlich geschieht, nicht, was denkbar wäre.

1. Verantwortlicher

Unternehmen
Morav IT UG (haftungsbeschränkt)
Anschrift
Carl-Zeiss-Straße 8, 21465 Reinbek
E-Mail
hallo@belegraum.de

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor. Anfragen zum Datenschutz richtest du an die Adresse oben.

2. Beim Aufruf dieser Seiten

Die Seiten kommen ohne Analysewerkzeuge, ohne Werbenetzwerke und ohne Skripte Dritter aus. Es gibt keine Einwilligungsabfrage, weil es nichts einzuwilligen gibt.

Die verwendeten Schriften (Geist und Geist Mono) liegen auf unserem eigenen Server und werden beim Bau der Anwendung mitgeliefert. Beim Betrachten der Seite wird keine Verbindung zu Google oder einem anderen Anbieter aufgebaut.

Der Webserver protokolliert den Abruf technisch, wie jeder Webserver. Diese Protokolle dienen dem Betrieb und der Abwehr von Angriffen, werden nicht mit anderen Daten zusammengeführt und nach spätestens sieben Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb.

3. Kostenlose Rechnungsprüfung

Lädst du unter Rechnung prüfen eine Datei hoch, wird sie in einem temporären Verzeichnis auf unserem Server abgelegt, geprüft und unmittelbar danach gelöscht, auch dann, wenn die Prüfung fehlschlägt. Es gibt keine Datenbank dahinter, keine Sicherung und keine Protokollierung der Inhalte. Wir sehen deine Rechnung nicht und können sie nach dem Aufruf nicht wiederherstellen.

Die Prüfung selbst läuft vollständig auf unserem Server. Die Datei verlässt ihn nicht und wird an keinen Dritten weitergegeben.

Schutz vor automatisiertem Missbrauch

Der Endpunkt ist ohne Anmeldung erreichbar und muss gegen massenhafte Aufrufe geschützt werden. Dazu bilden wir aus deiner IP-Adresse einen Hashwert mit einem serverseitigen Geheimnis. Gespeichert wird nur dieser Hashwert, im Arbeitsspeicher, zusammen mit dem Zeitpunkt des letzten Aufrufs. Die IP-Adresse selbst wird nicht abgelegt, und aus dem Hashwert lässt sie sich nicht zurückrechnen. Beim Neustart des Dienstes ist alles davon fort.

Statt eines Captchas eines Drittanbieters rechnet dein Browser eine kleine Aufgabe. Auch dabei wird nichts an Dritte übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

4. Kundenkonto und Belegarchiv

Für Kunden des kostenpflichtigen Dienstes verarbeiten wir:

Rechtsgrundlage für die Vertragsdaten ist Art. 6 Abs. 1 lit. b DSGVO, für die Belege und das Protokoll Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) sowie den GoBD.

Daten deiner Lieferanten

In Eingangsrechnungen stehen Angaben über Dritte, die wir nicht von diesen selbst erhalten haben (Art. 14 DSGVO). Wir verarbeiten sie ausschließlich, um sie für dich zu prüfen, lesbar zu machen und aufzubewahren. Sie werden nicht ausgewertet und nicht zusammengeführt; weitergegeben werden sie nur, wenn du es selbst veranlasst — etwa beim Belegupload an dein verbundenes Qonto-Konto (Abschnitt 7).

Aufbewahrung

Belege bewahren wir für die gesetzliche Frist von acht Jahren auf, gerechnet ab dem Ende des Kalenderjahres, in dem die Rechnung eingegangen ist. Eine Löschung vor Ablauf dieser Frist ist uns rechtlich nicht möglich, solange die Aufbewahrungspflicht besteht.

Beendest du den Vertrag, kannst du sämtliche Belege, die Belegliste und das Protokoll als ZIP-Datei herunterladen. Wir halten die Daten danach 30 Tage vor, um einen fehlgeschlagenen Umzug abzufangen, und löschen sie anschließend, soweit keine Aufbewahrungspflicht entgegensteht.

5. Anmeldung ohne Passwort

Für die Anmeldung schicken wir einen einmalig verwendbaren Link an deine E-Mail-Adresse. Er gilt fünfzehn Minuten. Danach setzt der Dienst ein technisch notwendiges Sitzungscookie, das signiert ist und außer deiner Mandantenkennung und einer Ablaufzeit nichts enthält. Es dient allein dazu, dich angemeldet zu halten, und ist deshalb nach § 25 Abs. 2 TDDG nicht einwilligungspflichtig. Andere Cookies setzen wir nicht.

6. E-Mail-Empfang und -Versand

Rechnungen erreichen uns über ein Postfach, das wir selbst betreiben. Für den Versand von Systemnachrichten — etwa des Links, mit dem sich ein vergessenes Passwort ersetzen lässt — nutzen wir einen Mailserver innerhalb der Europäischen Union. Inhalte deiner Belege versenden wir nicht per E-Mail.

7. Auftragsverarbeiter und Serverstandort

Der Dienst läuft auf einem gemieteten Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein in Sachsen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Über die Auftragsverarbeiter, die wir einsetzen, findet keine Übermittlung in Länder außerhalb der EU statt; bei den Verbindungen zu Drittanbietern, die du selbst herstellst, kann das anders sein — sie sind unten einzeln beschrieben.

Für den Versand von Systemnachrichten und den Empfang der Rechnungen nutzen wir einen eigenen Mailserver, ebenfalls in Deutschland. Darüber hinaus setzen wir keine Auftragsverarbeiter ein. Sollte sich das ändern, steht es vor der Änderung an dieser Stelle.

Verbindungen, die du selbst herstellst

Daten verlassen den Dienst nur, wenn du es selbst veranlasst. Verbindest du dein Qonto-Konto, lädt der Dienst Belegdateien zu den passenden Buchungen in dein Qonto-Konto hoch. Die zugehörige Erlaubnis ist mit dem Verbinden gesetzt und lässt sich im Portal unter den Erlaubnissen jederzeit entziehen; jeder Upload steht im Protokoll. Meldest du dich über Google oder Qonto an, erfährt der jeweilige Anbieter, dass du dich bei Belegraum anmeldest; wir erhalten von dort Namen und E-Mail-Adresse — bei Google zusätzlich eine dauerhafte Kennung, die wir speichern, um dein Konto wiederzuerkennen, bei Qonto Angaben zu Mitglied und Organisation, die wir nur für die Zuordnung verwenden — und legen ohne bestehendes Konto nichts an. Verbindest du deinen Shopify-Shop, stellt Shopify dem Dienst neue Bestellungen zu, aus denen er deine Ausgangsrechnungen erzeugt; Inhalte aus deinem Archiv werden dabei nicht zu Shopify übertragen. Ohne diese Verbindungen findet keiner dieser Datenflüsse statt.

8. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

Schreib uns dafür an hallo@belegraum.de. Unabhängig davon kannst du dich bei einer Aufsichtsbehörde beschweren, etwa beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein.

9. Änderungen

Ändert sich der Dienst, ändert sich diese Erklärung mit. Die jeweils geltende Fassung steht auf dieser Seite, mit dem Stand am Ende.

Stand: August 2026