Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Nachfolgend informieren wir Sie detailliert über den Umgang mit Ihren Daten bei der Nutzung der Solobuch-Plattform gemäß der Datenschutz-Grundverordnung (DSGVO). Stand: 27. September 2026
1. Verantwortlicher für die Datenverarbeitung
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung von personenbezogenen Daten auf dieser Website ist: mcarrow software UG (haftungsbeschränkt) Bornstraße 19, 58762 Altena, Deutschland E-Mail: [email protected] Telefon: +49 160 91470380
2. Hosting und Infrastruktur (Hetzner)
Unsere Plattform wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Der Serverstandort ist Deutschland (EU). Die Nutzung von Hetzner erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, schnellen und effizienten Bereitstellung unseres Online-Angebots). Wir haben mit Hetzner einen Vertrag über Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen, der gewährleistet, dass Hetzner die Daten unserer Nutzer ausschließlich nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.
3. Server-Logdateien, Sicherheit und Missbrauchsschutz
Bei jedem Aufruf unserer Website verarbeitet unser Webserver automatisch technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse (URL), HTTP-Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent). Unsere Anwendung prüft Anfragen zusätzlich automatisch auf Angriffe und Bots (Web Application Firewall) und begrenzt die Zahl der Anfragen pro IP-Adresse bzw. Nutzerkonto (Rate Limiting). Dafür speichern wir Zähler mit IP-Adresse oder Nutzerkennung in einem Redis-Speicher auf unseren Servern in Deutschland; sie verfallen automatisch nach Ablauf des Zeitfensters (je nach Funktion 1 bis 10 Minuten). Server-Logdateien werden nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb und an der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).
4. Registrierung und Anmeldung (Google)
Die Anmeldung bei Solobuch erfolgt über Ihr Google-Konto (Google OAuth; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google übermittelt uns dabei Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild, die wir in unserer Datenbank speichern. Für die Dauer Ihrer Anmeldung setzen wir ein Sitzungs-Cookie (Abschnitt 10); Sitzungen laufen nach 30 Tagen ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Google verarbeitet Daten auch in den USA; Google LLC ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Ihre Kontodaten speichern wir, solange Ihr Konto besteht. Sie können Ihr Konto jederzeit selbst in den Profileinstellungen unter „Konto löschen“ löschen. Dabei werden Ihr Konto und alle damit verbundenen Daten (Rechnungen, Kunden, Ausgaben, Belege, Einstellungen) sofort gelöscht und ein laufendes Abonnement gekündigt. Rechnungen, die wir Ihnen für Ihr Abonnement ausgestellt haben, bewahren wir aufgrund gesetzlicher Pflichten 8 bzw. 10 Jahre auf (§ 147 AO, § 257 HGB; Art. 6 Abs. 1 lit. c DSGVO).
5. Datenverarbeitung bei der Rechnungsstellung
Wenn Sie Rechnungen auf unserer Plattform erstellen, verarbeiten wir die von Ihnen eingegebenen Daten (Senderdaten, Kundendaten, Rechnungsbeträge, Steuernummern, Beschreibungen, Bankdaten). Diese Daten sind zur Erfüllung unserer vertraglichen Pflichten (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung rechtlicher Verpflichtungen wie der GoBD und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) erforderlich. Die Rechnungsdokumente und die darin enthaltenen XML-Metadaten (ZUGFeRD/XRechnung) werden sicher in unserer Datenbank und unserem Objektspeicher (MinIO) auf Servern in der EU gespeichert.
6. Steuerberater-Zugang und öffentliche Links
Sie können Ihrem Steuerberater über einen persönlichen Zugangslink Lesezugriff auf Ihre Rechnungen, Ausgaben, Belege und DATEV-Exporte geben und öffentliche Links zu Rechnungen bzw. Mahnungen erzeugen. Die Links enthalten ein zufälliges, nicht erratbares Token und werden von Suchmaschinen nicht indexiert. Jede Person, die den Link kennt, kann die freigegebenen Daten einsehen. Zu jedem Zugang speichern wir das Token, die von Ihnen vergebene Bezeichnung, ein optionales Ablaufdatum und den Status. Zugangslinks können Sie jederzeit in den Einstellungen widerrufen; spätestens mit Ihrem Konto werden sie gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7. Zahlungsabwicklung über Stripe
Für die Abwicklung von Zahlungen und Abonnements nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Wenn Sie ein Abonnement abschließen, werden Ihre Zahlungsdaten (z.B. Kreditkarteninformationen, Rechnungsadresse) direkt an Stripe übermittelt. Wir speichern keine vollständigen Kreditkartendaten auf unseren Servern. Die Weitergabe Ihrer Daten an Stripe erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung). Da Stripe Inc. Daten in den USA verarbeitet, ist diese unter dem EU-US Data Privacy Framework (DPF) zertifiziert, um ein angemessenes Datenschutzniveau zu gewährleisten. Weitere Details finden Sie in der Datenschutzerklärung von Stripe (https://stripe.com/de/privacy).
8. E-Mail-Versand über Resend
Für den Versand von systemrelevanten E-Mails (z. B. Benachrichtigungen zu Ihrem Konto, Ihrem Abonnement und zu Steuerfristen) sowie für den optionalen Direktversand von Rechnungen an Ihre Kunden nutzen wir den E-Mail-Dienst Resend (Resend Labs Inc., 315 Montgomery St, San Francisco, CA 94104, USA). Dabei werden E-Mail-Adressen und Rechnungsdetails an Resend übertragen. Die Nutzung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und aufgrund unseres berechtigten Interesses an einer zuverlässigen E-Mail-Zustellung (Art. 6 Abs. 1 lit. f DSGVO). Resend Labs Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert und wir haben Standardvertragsklauseln (SCC) abgeschlossen, um ein angemessenes Datenschutzniveau zu sichern.
9. Fehleranalyse über Sentry
Zur Verbesserung der Stabilität und Fehlerbehebung unserer Anwendung nutzen wir Sentry, einen Dienst der Functional Software Inc. (Sentry, 45 Fremont Street, San Francisco, CA 94105, USA). Tritt ein Fehler auf, übermittelt Sentry technische Daten wie Browsertyp, Betriebssystem, Fehlerzeitpunkt, Fehlermeldung, die aufgerufene URL und gegebenenfalls Ihre interne Nutzerkennung. Zusätzlich werden bei etwa 10 % der Seitenaufrufe Leistungsdaten (z. B. Ladezeiten) erfasst. IP-Adressen, Cookies sowie Namen und E-Mail-Adressen werden vor der Übermittlung entfernt; die Daten sind damit pseudonymisiert, nicht anonymisiert. Sentry (Functional Software Inc.) ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und fehlerfreien Betrieb unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
10. Cookies, lokale Speicherung und Einwilligungsverwaltung
Wir setzen Cookies und vergleichbare Technologien (lokaler Speicher des Browsers) ein. Technisch notwendige Speicherungen erfolgen ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), alle anderen nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG). Technisch notwendig: - authjs.session-token und weitere authjs.*-Cookies: Anmeldung und Schutz vor Missbrauch (CSRF), bis zu 30 Tage - cookie-consent (lokaler Speicher): Ihre Cookie-Auswahl, 12 Monate - referred_by_code: nur wenn Sie einen Partnerlink aufrufen, um Ihre Registrierung dem Partner zuzuordnen (der zuletzt aufgerufene Partnerlink gilt), 60 Tage - affiliate_invite_token, promo_invite_token: nur wenn Sie einen Einladungs- oder Promo-Link aufrufen, um Ihre Registrierung der Einladung bzw. dem Angebot zuzuordnen, 30 Tage - Lokale Datenbank des Browsers (IndexedDB): Entwürfe und Offline-Daten der App auf Ihrem Gerät Nur mit Einwilligung: - Statistik: Google Analytics 4 und Google Tag Manager (Abschnitt 11) - Marketing: Meta Pixel und Google-Werbesignale (Abschnitt 12) Nach einer Registrierung setzen wir für 2 Minuten das Cookie just_registered. Es wird nur ausgewertet, wenn Sie in „Statistik“ eingewilligt haben, um die abgeschlossene Registrierung zu messen. Ihre Auswahl speichern wir zusätzlich in einem Einwilligungsprotokoll, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1, Art. 6 Abs. 1 lit. c DSGVO). Das Protokoll enthält nur eine zufällige Kennung, die Version des Banners, Ihre Auswahl und den Zeitpunkt, keine IP-Adresse und keine Nutzerkennung. Einträge werden nach 3 Jahren gelöscht. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen.
11. Web-Analyse mit Google Analytics 4 und Google Tag Manager
Mit Ihrer Einwilligung in „Statistik“ nutzen wir Google Analytics 4 (GA4) und den Google Tag Manager (GTM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Vor Ihrer Einwilligung werden diese Dienste nicht geladen und keine Daten an Google übertragen. GA4 erfasst pseudonyme Nutzungsdaten wie aufgerufene Seiten, Verweildauer, ungefähre Region, Geräte- und Browserinformationen sowie Ereignisse (z. B. abgeschlossene Registrierung) und setzt dazu Cookies (_ga, _ga_*, bis zu 2 Jahre). IP-Adressen werden von GA4 nicht gespeichert. Google verarbeitet die Daten auch in den USA; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Die Analysedaten werden nach spätestens 14 Monaten gelöscht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit über „Cookie-Einstellungen“ im Footer mit Wirkung für die Zukunft widerrufen. Datenschutzhinweise von Google: https://policies.google.com/privacy
12. Meta Pixel und Google-Werbesignale (Marketing)
Mit Ihrer Einwilligung in „Marketing“ nutzen wir den Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Der Pixel erfasst, welche Seiten Sie aufrufen und welche Aktionen Sie ausführen (z. B. Registrierung), und setzt dazu Cookies (_fbp, bis zu 90 Tage). Meta kann diese Informationen mit Ihrem Facebook- oder Instagram-Konto verknüpfen und für eigene Zwecke nutzen. Für die Erhebung dieser Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu finden Sie unter https://www.facebook.com/legal/controller_addendum. Danach ist Meta für die Erfüllung der Betroffenenrechte in Bezug auf die bei Meta gespeicherten Daten zuständig; Sie können sich aber auch an uns wenden. Die weitere Verarbeitung bei Meta erfolgt in alleiniger Verantwortung von Meta. Meta verarbeitet Daten auch in den USA; Meta Platforms Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Mit derselben Einwilligung geben wir über den Google Consent Mode Werbesignale an Google frei (ad_storage, ad_user_data, ad_personalization), damit Google den Erfolg von Werbeanzeigen messen und Anzeigen personalisieren kann. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen“ widerrufen können. Datenschutzhinweise von Meta: https://www.facebook.com/privacy/policy
13. Push-Benachrichtigungen
Wenn Sie in der App Push-Benachrichtigungen (z. B. zu Steuerfristen) aktivieren, erzeugt Ihr Browser eine Push-Adresse (Endpoint) mit Schlüsseln, die wir zusammen mit Ihrer Nutzerkennung speichern. Die Benachrichtigungen werden verschlüsselt über den Push-Dienst Ihres Browseranbieters zugestellt (z. B. Google Firebase Cloud Messaging, Apple Push Notification Service, Mozilla Push Service). Diese Anbieter verarbeiten dabei Ihre IP-Adresse und den Zeitpunkt der Zustellung, auch in den USA. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie widerrufen, indem Sie die Benachrichtigungen in der App oder in den Browsereinstellungen deaktivieren; die Push-Adresse wird dann gelöscht, spätestens mit Ihrem Konto.
14. Partnerprogramm, Einladungs- und Promo-Links
Wenn Sie sich für unser Partnerprogramm bewerben, verarbeiten wir Ihre Angaben (Name, Telefonnummer, E-Mail-Adresse, Firmenname, Unternehmerstatus, Steuernummer bzw. USt-IdNr. (verschlüsselt gespeichert), Land, Angaben zu Werbekanälen) zur Prüfung der Bewerbung und zur Kontaktaufnahme (Art. 6 Abs. 1 lit. b und f DSGVO). Die Bewerbung wird Ihrem Konto zugeordnet gespeichert und uns zusätzlich per E-Mail über Resend (Abschnitt 8) zugestellt. Als Partner speichern wir Ihren Partnercode, Ihr Provisionsguthaben, die Provisionsbuchungen und Ihre Auszahlungsdaten (IBAN bzw. PayPal-Adresse, verschlüsselt gespeichert) zur Abrechnung (Art. 6 Abs. 1 lit. b DSGVO). Buchungs- und Auszahlungsbelege bewahren wir nach § 147 AO und § 257 HGB auf (Art. 6 Abs. 1 lit. c DSGVO). Registriert sich jemand über einen Partnerlink, speichern wir die Zuordnung zum Partnercode und berechnen die Provision aus den Zahlungen für das Abonnement. Der Partner sieht in seinem Dashboard nur eine teilweise maskierte E-Mail-Adresse (z. B. a***[email protected]) und das Registrierungsdatum, keine Rechnungs- oder Kontodaten. Rufen Sie einen Einladungs- oder Promo-Link auf, speichern wir den Code in einem Cookie (Abschnitt 10) und ordnen ihn nach der Registrierung Ihrem Konto zu, um Ihnen das Angebot bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).
15. Feedback- und Kontaktformular
Wenn Sie uns über das Feedbackformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die gewählte Kategorie, Ihre Bewertung und Ihre Nachricht, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die Nachricht wird uns per E-Mail über Resend (Abschnitt 8) zugestellt und nicht in unserer Datenbank gespeichert. Zum Schutz vor Spam prüfen wir Anfragen automatisch und begrenzen die Zahl pro IP-Adresse (Abschnitt 3). Wir löschen die Nachricht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten bestehen.
16. Haftpflichtsiegel der exali AG
Im Impressum zeigen wir das Haftpflichtsiegel der exali AG als Nachweis unserer Berufshaftpflichtversicherung (§ 2 Abs. 1 Nr. 11 DL-InfoV). Die Grafik wird von unserem eigenen Server ausgeliefert; beim Aufruf der Seite werden keine Daten an die exali AG übertragen. Erst wenn Sie das Siegel anklicken, verlassen Sie unsere Website und werden auf die Website der exali AG weitergeleitet. Dort gilt die Datenschutzerklärung der exali AG (https://www.exali.de/Ueber-exali/Rechtliches/Datenschutzerklaerung,100401.php).
17. Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formlos möglich, z. B. per E-Mail an [email protected].
18. Ihre Rechte als betroffene Person
Sie haben nach der DSGVO folgende Rechte: - Recht auf Auskunft (Art. 15) - Recht auf Berichtigung (Art. 16) - Recht auf Löschung ('Recht auf Vergessenwerden', Art. 17) - Recht auf Einschränkung der Verarbeitung (Art. 18) - Recht auf Datenübertragbarkeit (Art. 20) - Recht auf Widerspruch (Art. 21) - Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) - Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77) Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf. Zur Ausübung dieser Rechte können Sie sich jederzeit per E-Mail an [email protected] wenden. Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne E-Mail-Adresse und Namen (über Ihr Google-Konto) können wir Ihnen jedoch kein Konto bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Einen Datenschutzbeauftragten haben wir nicht benannt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.
19. Telegram-Benachrichtigungen
Wenn Sie Steuerfrist-Erinnerungen über Telegram aktivieren, verbinden Sie Ihren Telegram-Chat mit Solobuch. Dazu speichern wir die Chat-ID (verschlüsselt) und den Zeitpunkt der Verbindung; Ihren Telegram-Benutzernamen und Namen speichern wir nicht. Über unseren Telegram-Bot übermitteln wir Ihnen Nachrichten, die den Namen Ihres Profils, die Art der Steuerfrist, den Zeitraum, das Fälligkeitsdatum und einen Link zur Anwendung enthalten; Steuernummern, USt-IdNr., Beträge sowie Rechnungs- und Kundendaten werden nicht übermittelt. Empfänger ist Telegram (Telegram Messenger Inc. bzw. Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate). Die Verarbeitung erfolgt auch außerhalb der EU/des EWR; für diese Übermittlung besteht kein Angemessenheitsbeschluss, und Nachrichten in Chats mit Bots sind nicht Ende-zu-Ende-verschlüsselt. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Verbindung in den Einstellungen oder im Chat mit /stop trennen; die Chat-ID wird dann gelöscht. Zustellungsprotokolle (Zeitpunkt, Kanal, Status – ohne Nachrichteninhalt) speichern wir zum Nachweis der Funktionsweise drei Jahre (Art. 6 Abs. 1 lit. f DSGVO, Verjährungsfristen) bzw. bis zur Löschung Ihres Kontos.