# Vertrauens- und Sicherheitszentrum

So schützen wir Rechnungsdaten, sorgen für Compliance und bleiben transparent.

## Vertrauens- und Sicherheitszentrum

> **Dieses Trust Center bietet einen Überblick über unsere Sicherheits- und Datenschutzpraktiken. Für die rechtlich bindenden Bedingungen und vollständigen Details lesen Sie bitte unseren Auftragsverarbeitungsvertrag (AVV) und unsere Datenschutzerklärung.**: Maßgeblich sind die unter „Richtlinien & Vereinbarungen“ verlinkten Dokumente.

## Auf einen Blick

### EU-First Hosting
AVV Anlage 1 führt unsere Anbieter für Backend-Hosting und Datenbank in der EU/EWR. Einzelne Unterauftragsverarbeiter können Daten in Drittländern auf Basis von Standardvertragsklauseln (SCC) verarbeiten.

### Dokumentierte Aufbewahrung
Kein dauerhaftes Rechnungsarchiv. Die Aufbewahrung hängt vom Ablauf ab: 24 Stunden für Ergebnisse der External API und Dateien der Download-Erinnerung (eine fehlgeschlagene Aufgabe der External API mit ausstehender Credit-Freigabe bleibt gespeichert, bis diese Freigabe abgeschlossen ist), bis zu 14 Tage für Diagnosepakete, 30 Tage für Qualitätsnachweise einschließlich Quelldateien und bis zu 365 Tage für Fall- und Audit-Metadaten.

### Verschlüsselte Übertragung
HTTPS/TLS schützt Uploads, Downloads und die Kommunikation mit externen Diensten.

## Betriebliche Nachweise

- Unabhängige Prüfungen: Für Invoice Converter gibt es derzeit kein unabhängiges Sicherheitsaudit und keine Zertifizierung. Invoice Converter verfügt weder über einen SOC-2-Prüfbericht noch über eine ISO-27001-Zertifizierung.
- Audits: Kundenprüfungen nutzen Remote-Nachweise: AVV, Liste der Unterauftragsverarbeiter, technische und organisatorische Maßnahmen, Aufbewahrungsübersicht, Incident-Prozess und schriftliche Antworten auf Sicherheitsfragebögen.
- Incident Response: Betroffene Nutzer werden ohne unangemessene Verzögerung informiert.
- Kontakt für Sicherheit und Datenschutz: E-Mail an contact@invoice-converter.com mit dem Betreff „Security“. Eine erste Antwort erhalten Sie innerhalb von 2 Arbeitstagen.

## Datenverarbeitung

- PDF-Rechnungen werden für Umwandlung und Validierung sowie für dokumentierte Diagnose- und Qualitätssicherungszwecke verarbeitet, mit den hier beschriebenen Aufbewahrungsfristen.
- Wir minimieren gespeicherte personenbezogene Daten. Neben Konto, Abrechnung und Support speichern wir nur befristete Diagnose- und Qualitätssicherungsnachweise mit den hier beschriebenen Aufbewahrungsfristen.
- Sie können die Löschung Ihrer Kontodaten beim Support anfordern.

## Sicherheitsmaßnahmen

- TLS-Verschlüsselung für Uploads und Downloads.
- Zugriffskontrollen und Least-Privilege für interne Tools.
- Rate-Limits, Missbrauchskontrollen und Sicherheits-Audit-Logging.
- Multi-Faktor-Authentifizierung (MFA) für jeden administrativen und Remote-Zugriff.

## Datenschutz & Compliance

- DSGVO-konforme Verarbeitung mit Auftragsverarbeitungsvertrag (AVV).
- Validierungsprüfungen für unterstützte EN-16931-Profile.
- Bei unvollständigen oder unklaren Quelldaten bleibt eine menschliche Prüfung erforderlich.

## Datenstandort

AVV Anlage 1 nennt den Verarbeitungsort jedes Unterauftragsverarbeiters. Anbieter für Backend-Hosting und Datenbank sind dort in der EU/EWR geführt. Soweit für die Leistungserbringung erforderlich, können andere Unterauftragsverarbeiter Daten in Drittländern auf Basis von SCC verarbeiten.

## Aufbewahrung & Löschung

Wir führen kein dauerhaftes Archiv von Kundenrechnungsdokumenten. Die Aufbewahrung hängt vom Ablauf ab. Konvertierungsaufgaben außerhalb der External API sind nach Abschluss meist etwa 10 Minuten verfügbar. Aufgaben und Ergebnisse der External API sowie fertige Dateien für die Download-Erinnerung werden 24 Stunden nach Abschluss der Aufgabe oder Speicherung der Datei aufbewahrt. Eine fehlgeschlagene Aufgabe der External API mit ausstehender Credit-Freigabe bleibt gespeichert, bis diese Freigabe abgeschlossen ist. Diagnosepakete für fehlgeschlagene Prüf- oder Download-Abläufe werden bis zu 14 Tage aufbewahrt. Qualitätssicherungsnachweise einschließlich hochgeladener Quelldateien laufen 30 Tage nach Erfassung ab. Fall-Metadaten und Audit-Befunde, die betroffene Rechnungsfeldwerte enthalten können, werden bis zu 365 Tage aufbewahrt. Konto- und Abrechnungsdaten unterliegen gesetzlichen und vertraglichen Aufbewahrungspflichten. Enterprise-Kunden können Rechnungskopien für die Qualitätssicherung im Profil abschalten. Spätestens eine Minute nach dem Abschalten speichern wir keine neuen Kopien ihrer Rechnungen; bereits laufende Konvertierungen können noch mit der vorherigen Einstellung abgeschlossen werden, und früher gespeicherte Kopien laufen wie oben beschrieben ab.

## Unterauftragsverarbeiter

Wir nutzen geprüfte Anbieter für Hosting, KI-Verarbeitung, Zahlungen und Analytics. Die maßgebliche Liste inkl. Verarbeitungsorten finden Sie im AVV (Anlage 1) und in der Datenschutzerklärung.

### Zahlungen
Abo-Abrechnung und Fakturierung.

### Authentifizierung
Benutzerkonten und Zugriffsverwaltung.

### Infrastruktur
Hosting, Speicherung und Auslieferung.

## Benannte Anbieter

### Supabase
Authentifizierung und PostgreSQL-Datenspeicherung

### Koyeb
Backend-Anwendungshosting (EU/EWR laut AVV Anlage 1)

### Cloudflare
CDN, DDoS-Schutz und Edge-Sicherheit

### Stripe
Zahlungs- und Abrechnungsprozesse

### OpenAI / Mistral
Dokumentenextraktion unter Auftragsverarbeitungsbedingungen

## Incident Response

Wir untersuchen Sicherheitsvorfälle umgehend und informieren betroffene Kunden gemäß Gesetz.

## Richtlinien & Vereinbarungen

- [Vollständigen Auftragsverarbeitungsvertrag (AVV) lesen](/de/dpa)
- [Vollständige Datenschutzerklärung lesen](/de/privacy-policy)
- [AGB](/de/terms-and-conditions)
- [Sicherheitskontakt](mailto:contact@invoice-converter.com?subject=Security)
- [Markdown-Export](/resources/trust-center/md)

## Benötigen Sie einen AVV oder Sicherheitsinfos?

Kontaktieren Sie uns – wir stellen Dokumentation und Unterstützung für Ihre Compliance-Prüfung bereit.

- [Kontakt aufnehmen](/support)