Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und Anbieter des Dienstes „Exportly“ ist:

codehero GmbH
Mozartstr. 17
96465 Neustadt
Deutschland

Vertreten durch: Wolfgang Müller
Handelsregister: Amtsgericht Coburg, HRB 6932
USt-IdNr.: DE356021463
E-Mail: wm@codehero.gmbh

Für alle Fragen zur Verarbeitung Ihrer personenbezogenen Daten sowie zur Ausübung Ihrer Rechte nach der DSGVO erreichen Sie uns unter wm@codehero.gmbh. Ein:e gesetzlich vorgeschriebene:r Datenschutzbeauftragte:r ist derzeit nicht bestellt; sollte eine Bestellpflicht eintreten, wird diese Erklärung entsprechend ergänzt.

Exportly ist ein Software-as-a-Service-Angebot für Unternehmer, mit dem Zahlungsdaten aus angebundenen Systemen (aktuell Stripe, weitere in Vorbereitung) automatisiert ausgelesen, kontiert und zu GoBD-konformen DATEV-Buchungsstapeln (Format EXTF) aufbereitet werden. Zielgruppe sind ausschließlich Unternehmer im Sinne des § 14 BGB – insbesondere Online-Händler und deren Steuerberater. Im Rahmen dieser Aufbereitung verarbeiten wir personenbezogene Daten, über die wir Sie nachfolgend informieren.

Zusätzlich bieten wir im Stripe App Marketplace die Stripe-Apps „Exportly DATEV-Export“ und „Exportly E-Rechnung“ an, die direkt im Stripe Dashboard laufen. Welche Daten diese Apps verarbeiten, erläutert Ziffer 5.

Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies zur Bereitstellung und Abrechnung des Dienstes, zur Erfüllung gesetzlicher Pflichten oder auf Grundlage berechtigter Interessen erforderlich ist. Im Einzelnen:

a) Registrierung und Kundenkonto

Für die Einrichtung und Verwaltung Ihres Kontos verarbeiten wir Ihre Stammdaten: E-Mail-Adresse, Name, Firma und – soweit angegeben – Ihre Umsatzsteuer-Identifikationsnummer. Die Authentifizierung erfolgt über Amazon Cognito (Passwort, Passkey und optionale Mehr-Faktor-Authentifizierung).

Zweck: Bereitstellung und Verwaltung des Nutzerkontos, Authentifizierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

b) Verbindung Ihres Stripe-Kontos und Verarbeitung der Transaktionsdaten

Sie verbinden Ihr eigenes Stripe-Konto als Datenquelle mit Exportly. Der Zugriff erfolgt ausschließlich lesend (read-only): Exportly liest Daten aus Ihrem Stripe-Konto, verändert oder schreibt dort jedoch zu keinem Zeitpunkt etwas. Die zur Verbindung erforderlichen Zugangs- bzw. Verbindungs-Credentials werden verschlüsselt gespeichert (AWS KMS).

Ausgelesen und verarbeitet werden insbesondere:

• Transaktionsdaten (Zahlungen, Gebühren, Auszahlungen, Erstattungen),
• zugehörige Belege wie Rechnungs-PDFs,
• Kunden- und Beleg­bezüge, soweit sie in diesen Transaktionen enthalten sind.

Zweck: Aufbereitung der Zahlungsdaten zu DATEV-Buchungsstapeln (EXTF) einschließlich automatischer Kontierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

c) Erzeugte DATEV-Dateien und Beleg-Archiv

Aus den ausgelesenen Daten erzeugen wir DATEV-Buchungsstapel sowie zugehörige Beleg-Archive. Diese werden zur Wahrung der Revisionssicherheit in einem Archiv-Speicher (AWS S3 mit Object Lock) unveränderbar vorgehalten.

Zweck: Bereitstellung, Download und revisionssichere Archivierung der Export-Ergebnisse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuerlicher und handelsrechtlicher Aufbewahrungspflichten im Sinne der GoBD).

d) Abrechnung des Exportly-Abonnements

Für die Abrechnung Ihres Abonnements verarbeiten wir Abrechnungs- und Nutzungsdaten (u. a. gebuchter Tarif, Zahl der verarbeiteten Transaktionen als Nutzungszähler, Zahlungsstatus). Die Zahlungsabwicklung erfolgt über Stripe als Zahlungsdienstleister; die vollständigen Zahlungsmitteldaten (z. B. Kartennummer) werden dabei von Stripe verarbeitet, nicht von uns gespeichert.

Zweck: Vertrags- und Nutzungsabrechnung, Zahlungsabwicklung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung von Rechnungsdaten).

e) System-E-Mails

Wir versenden betrieblich notwendige System-E-Mails (z. B. Konto-Bestätigungen, Sicherheitshinweise, Benachrichtigungen über fertiggestellte Exporte oder Sync-Probleme). Der Versand erfolgt über Amazon Simple Email Service (SES). Es findet kein werbliches E-Mail-Marketing statt.

Zweck: Betrieb des Dienstes, Information über sicherheits- und vertragsrelevante Vorgänge.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).

f) Server-Logs und Sicherheit

Beim Betrieb der Anwendung fallen technische Protokolldaten an (z. B. IP-Adresse, Zeitstempel, aufgerufene Endpunkte, Statuscodes). Diese dienen der Aufrechterhaltung des sicheren und stabilen Betriebs sowie der Erkennung und Abwehr von Missbrauch.

Zweck: Systemsicherheit, Fehleranalyse, Missbrauchserkennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).

Unsere Stripe-Apps werden über den Stripe App Marketplace in Ihrem Stripe-Konto installiert und im Stripe Dashboard angezeigt. Bei jeder Anfrage einer App an unser Backend übermittelt Stripe eine Signatur sowie technische Kennungen (Stripe-Konto-ID, Nutzer-ID und Rollen des Dashboard-Nutzers, Live- oder Testmodus), mit denen wir die Anfrage Ihrem Konto zuordnen und Berechtigungen prüfen. Die Apps kommunizieren ausschließlich mit unserem Backend in der AWS-Region eu-central-1 (Frankfurt am Main).

a) Exportly DATEV-Export

Die App verbindet Ihr Stripe-Konto per OAuth mit Ihrem Exportly-Konto und erhält ausschließlich Leserechte. Gelesen werden insbesondere Saldo-Transaktionen, Zahlungen, Erstattungen, Rückbuchungen, Auszahlungen, Rechnungen, Abonnements, Checkout-Sitzungen, Produkte, Preise, Steuersätze und Kundendaten (z. B. Land und USt-IdNr. Ihrer Kunden für den Steuer-Check). Daraus zeigt die App Buchungsvorschauen, Saldo-Abstimmung und Steuer-Check im Dashboard an; die Verarbeitung und Speicherung erfolgt im Übrigen wie unter Ziffer 4 b) und c) beschrieben.

Zweck: Bereitstellung der DATEV-Export-Funktionen im Stripe Dashboard.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit dabei personenbezogene Daten Ihrer Kunden verarbeitet werden, handeln wir als Ihr Auftragsverarbeiter; es gilt unser Auftragsverarbeitungsvertrag (AVV).
Speicherdauer: wie unter Ziffer 9 beschrieben (u. a. DATEV-Dateien bis zu 400 Tage nach Erzeugung, Konto- und Verbindungsdaten für die Dauer des Vertrags).
Empfänger: Amazon Web Services (Hosting, siehe Ziffer 7); von Ihnen eingeladene Steuerberater (Ziffer 6).

b) Exportly E-Rechnung

Die App erzeugt aus Ihren Stripe-Rechnungen und -Gutschriften E-Rechnungen im Format ZUGFeRD/Factur-X und versendet sie auf Wunsch per E-Mail an Ihre Kunden. Dazu verarbeiten wir:

• Ihre Absenderdaten, die Sie im Reiter „Firmendaten“ speichern (Firma, Anschrift, E-Mail-Adresse, Telefon, Website, Geschäftsführung, Registerangaben, USt-IdNr./Steuernummer, Bankverbindung) sowie Ihre Automatik- und Spracheinstellungen,
• Rechnungs- und Gutschriftsdaten einschließlich der Daten Ihrer Rechnungsempfänger (Name, Anschrift, E-Mail-Adresse, Steuer-Identifikationsnummern, Positionen, Beträge),
• zu jedem erzeugten Dokument einen Datensatz mit Rechnungsnummer, Betrag, E-Mail-Adresse des Empfängers, Erzeugungs- und Zustellstatus,
• Ihr Rechnungsdesign (Vorlage, Farben, Texte) und Ihr Rechnungslogo.

Rolle als Auftragsverarbeiter: Für die personenbezogenen Daten Ihrer Rechnungsempfänger sind Sie Verantwortlicher; wir verarbeiten sie ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO. Es gilt unser Auftragsverarbeitungsvertrag (AVV), der mit der Installation der App bzw. dem Speichern der Firmendaten vereinbart wird. Anfragen Ihrer Kunden zu deren Daten richten sich daher in erster Linie an Sie.

E-Mail-Versand: Lösen Sie den Versand einer E-Rechnung aus oder haben Sie den automatischen Versand aktiviert, senden wir die E-Rechnung über Amazon Simple Email Service (SES) von einer Exportly-Absenderadresse an die E-Mail-Adresse des Rechnungsempfängers; Antworten gehen an die von Ihnen hinterlegte E-Mail-Adresse. Den Zustellstatus (zugestellt, unzustellbar, Beschwerde) speichern wir am jeweiligen Dokument.

Web-Editor „Rechnungsdesign“: Aus der App heraus können Sie den Editor auf exportly.de über einen Einmal-Link öffnen. Der Link ist 10 Minuten gültig und nur einmal verwendbar; die daraus entstehende Sitzung endet nach 60 Minuten Inaktivität, spätestens nach 8 Stunden. Code und Sitzungs-Token speichern wir nur als Hash; im Browser wird das Token höchstens im Sitzungsspeicher (sessionStorage) des Tabs gehalten und beim Schließen verworfen.

Logo-Upload: Ein hochgeladenes oder aus Ihrem Stripe-Branding übernommenes Logo speichern wir, um es auf Ihre E-Rechnungen zu drucken. Auf Ihre Veranlassung laden wir es außerdem in die Dateien Ihres eigenen Stripe-Kontos hoch. Ein gespeichertes Logo bleibt – wie Ihre Absenderdaten – bis zur Löschung auf Ihr Verlangen gespeichert, auch über eine Deinstallation der App hinaus. Noch nicht übernommene Uploads werden nach einem Tag gelöscht.

Vorschauen: Für die Rechnungsvorschau in App und Editor erzeugen wir PDF- bzw. Bildvorschauen mit Beispiel- oder echten Rechnungsdaten; sie werden nach einem Tag automatisch gelöscht.

Zweck: Erzeugung, Bereitstellung und optionaler Versand von E-Rechnungen; Gestaltung des Rechnungsdesigns.
Rechtsgrundlage: für Ihre eigenen Absender- und Nutzerdaten Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); die Daten Ihrer Rechnungsempfänger verarbeiten wir als Auftragsverarbeiter auf Grundlage des AVV (Art. 28 DSGVO), die Rechtsgrundlage liegt bei Ihnen als Verantwortlichem.
Speicherdauer: E-Rechnungs-PDFs 90 Tage, Dokumentdatensätze 97 Tage nach Erzeugung (automatische Löschung); Vorschauen und nicht übernommene Logo-Uploads 1 Tag; Absenderdaten, Einstellungen und gespeichertes Rechnungslogo, solange die App installiert ist – nach einer Deinstallation bleiben sie für eine spätere Neuinstallation erhalten und werden auf Ihr Verlangen gelöscht. Kostenpflichtige Tarife (Pro/Business/Enterprise): Im Live-Modus erzeugte E-Rechnungen (PDF, XML, Prüfprotokoll) werden zusätzlich im GoBD-Archiv unveränderbar (AWS S3 Object Lock, Frankfurt) bis zum 31.12. des achten (auf Ihre Wahl zehnten) Jahres nach dem Rechnungsjahr gespeichert; eine vorzeitige Löschung ist technisch ausgeschlossen, auch nach Kündigung oder Deinstallation – Rechtsgrundlage ist Ihre gesetzliche Aufbewahrungspflicht (§ 147 AO, § 14b UStG). Hochgeladenes Briefpapier und das Versandprotokoll (Zustellstatus je Empfänger) werden gespeichert, bis Sie das Briefpapier entfernen bzw. mit dem Dokumentdatensatz gelöscht.
Empfänger: Amazon Web Services (Hosting und E-Mail-Versand, siehe Ziffer 7); Ihre Rechnungsempfänger, soweit Sie den Versand auslösen oder den automatischen Versand aktiviert haben.

Sie können Ihren Steuerberater in Ihr Konto einladen. Dieser erhält ausschließlich lesenden Zugriff auf die für ihn freigegebenen Exporte und Belege. Die Einladung und die damit verbundene Freigabe erfolgen auf Ihre Veranlassung; für die Rechtmäßigkeit der Weitergabe an Ihren Steuerberater sind Sie als Verantwortlicher im Rahmen Ihres Mandatsverhältnisses verantwortlich.

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten weisungsgebunden in unserem Auftrag verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO). Mit diesen bestehen entsprechende Auftragsverarbeitungsverträge:

• Amazon Web Services EMEA SARL (38 Avenue John F. Kennedy, L-1855 Luxemburg) – Hosting und Infrastruktur einschließlich E-Mail-Versand (Amazon SES) und Anmeldung (Amazon Cognito). Die Verarbeitung erfolgt in der AWS-Region eu-central-1 (Frankfurt am Main, Deutschland). Grundlage ist das AWS-Datenverarbeitungsaddendum (AWS DPA).
• Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin, Irland) sowie Stripe, Inc. (USA) – Zahlungsabwicklung des Exportly-Abonnements. Zur Datenübermittlung siehe Ziffer 8.

Eine Weitergabe Ihrer Daten an sonstige Dritte erfolgt nur, soweit Sie eingewilligt haben (z. B. Freigabe an Ihren Steuerberater, Ziffer 6), es zur Vertragserfüllung erforderlich ist oder wir gesetzlich dazu verpflichtet sind.

Die produktive Speicherung und Verarbeitung Ihrer Inhaltsdaten erfolgt innerhalb der Europäischen Union (AWS-Region Frankfurt). Im Rahmen der Zahlungsabwicklung über Stripe kann es zu einer Übermittlung von Daten an Stripe, Inc. in den USA kommen. Diese Übermittlung ist abgesichert über das EU-US Data Privacy Framework (DPF), unter dem Stripe zertifiziert ist, sowie ergänzend über die Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO). Ein angemessenes Datenschutzniveau wird dadurch gewährleistet.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen:

• Konto- und Stammdaten: für die Dauer des Vertragsverhältnisses; nach Vertragsende werden sie gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen.
• Erzeugte DATEV-Dateien und Beleg-Archive: im Export-Archiv während des laufenden Vertrags 12 Monate unveränderbar (Object Lock) und 400 Tage nach Erzeugung automatisch gelöscht, einschließlich aller gespeicherten Versionen; bei Löschung Ihres Kontos bereits nach Ablauf der 30-tägigen Widerrufsfrist. Die darüber hinausgehende Aufbewahrung nach den gesetzlichen steuer- und handelsrechtlichen Fristen (regelmäßig bis zu 10 Jahre, §§ 147 AO, 257 HGB) liegt bei Ihnen als Steuerpflichtigem.
• Abrechnungs- und Rechnungsdaten: entsprechend den gesetzlichen Aufbewahrungsfristen (regelmäßig bis zu 10 Jahre).
• Server-Logs: 3 Monate.
• Stripe-App „Exportly E-Rechnung“: E-Rechnungs-PDFs 90 Tage, Dokumentdatensätze 97 Tage nach Erzeugung; Vorschauen und nicht übernommene Logo-Uploads 1 Tag; Absenderdaten, Einstellungen, gespeichertes Rechnungslogo und Briefpapier bis zur Löschung auf Ihr Verlangen (siehe Ziffer 5 b); in kostenpflichtigen Tarifen GoBD-Archiv bis zum Ende der gesetzlichen Aufbewahrungsfrist (8 bzw. 10 Jahre, unveränderbar).

Die Verbindung zu Ihrem Stripe-Konto können Sie jederzeit trennen; gespeicherte Verbindungs-Credentials werden dann gelöscht.

Exportly setzt keine Tracking-, Analyse- oder Marketing-Cookies ein. Für die Anmeldung und den Betrieb setzt die Exportly-Anwendung selbst (nicht Amazon Cognito) die folgenden technisch notwendigen Cookies:

• Sitzungs-Cookie (__Host-id): Nachweis Ihrer Anmeldung, Laufzeit höchstens 1 Stunde. Nicht per Skript auslesbar.
• Erneuerungs-Cookie (__Secure-refresh): verlängert Ihre Anmeldung ohne erneute Passworteingabe, Laufzeit 30 Tage; wird beim Abmelden gelöscht. Nicht per Skript auslesbar.
• Anmeldeablauf (__Host-auth-flow): verschlüsselter Zwischenstand zwischen zwei Anmeldeschritten (E-Mail-Adresse, Rücksprungziel), Laufzeit höchstens 15 Minuten. Nicht per Skript auslesbar.
• Anmeldehinweis (exportly_session_hint): enthält nur den Wert „1“ und keine Anmeldedaten. Er zeigt den Seiten auf exportly.de an, dass Sie vermutlich angemeldet sind (z. B. „Zur App“ statt „Anmelden“). Gilt für exportly.de und alle Unterdomains, Laufzeit 30 Tage, wird beim Abmelden gelöscht. Per Skript auslesbar.
• Ziel nach der Kontoeinrichtung (post-onboarding-target): merkt sich nach der ersten Anmeldung die ursprünglich aufgerufene Seite (z. B. eine laufende Stripe-Installation), Laufzeit höchstens 1 Stunde. Per Skript auslesbar.

Dazu kommt das Sitzungs-Token des Web-Editors „Rechnungsdesign“ im sessionStorage (siehe Ziffer 5 b). Für diese technisch notwendige Speicherung ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Damit Sie Ihre E-Mail-Adresse bei der nächsten Anmeldung nicht erneut eingeben müssen, speichert die Anwendung nach einer erfolgreichen Anmeldung außerdem Ihre E-Mail-Adresse im Cookie __Host-auth-last-email (Laufzeit 180 Tage, nicht per Skript auslesbar). Es bleibt auch nach dem Abmelden bestehen. Sie können es jederzeit in den Einstellungen Ihres Browsers löschen; die Anmeldung funktioniert dann unverändert, nur das E-Mail-Feld ist nicht mehr vorausgefüllt.

Die auf exportly.de verwendeten Schriftarten liefern wir selbst aus; beim Aufruf der Website wird dafür keine Verbindung zu Servern von Google oder anderen Schriftarten-Anbietern aufgebaut.

Sollten künftig Analyse- oder Reichweitenmessungsdienste eingesetzt werden, wird diese Erklärung vorab entsprechend ergänzt und – soweit erforderlich – Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) eingeholt.

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten. Dazu gehören insbesondere die Verschlüsselung sensibler Daten (u. a. der Stripe-Verbindungs-Credentials) mittels AWS KMS, verschlüsselte Übertragung (TLS), Authentifizierung über Amazon Cognito mit Unterstützung für Passkeys und Mehr-Faktor-Authentifizierung sowie das Hosting innerhalb der EU (Frankfurt).

Sie haben nach der DSGVO insbesondere folgende Rechte gegenüber uns:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine Nachricht an wm@codehero.gmbh. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder des mutmaßlichen Verstoßes.

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die rechtlichen Rahmenbedingungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: Oktober 2026