Datenschutzerklärung

Stand: 22.09.2026 (Version 1.0)

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Codern Media GbR, Hafenstr. 55, 28217 Bremen, Deutschland,
vertreten durch die Gesellschafter Muhammed Enes Cevik und Emrullah Ince,
Telefon: +49 173 3967803, E-Mail: info@codern.de.

2. Überblick: Welche Daten wir verarbeiten

Wir verarbeiten personenbezogene Daten in drei Rollen:

• Besucher dieser Website (Server-Logs, technisch notwendige Cookies, Anfragen über das Anfrageformular),
• Kunden mit Nutzerkonto (Registrierungs-, Vertrags- und Abrechnungsdaten),
• Auftragsverarbeiter für unsere Kunden: Die Rechnungs-, Kunden- und Belegdaten, die Sie in Nummio erfassen, verarbeiten wir ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO — Grundlage ist unser Auftragsverarbeitungsvertrag (AVV).

3. Hosting

Unsere Anwendung wird bei der dogado GmbH, Antonio-Segni-Straße 11, 44263 Dortmund (Deutschland) in der Europäischen Union betrieben. Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent) in Server-Logdateien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb). Logdaten werden nach spätestens 30 Tagen gelöscht.

Wie oft unsere öffentlichen Seiten (Startseite, Preise, Erklär- und Rechtsseiten) aufgerufen werden, zählen wir auf dem Server: je Tag und Seite die Zahl der Aufrufe, die Domain der Seite, von der Sie kamen (ohne den weiteren Pfad), und ob Sie mit Computer, Tablet oder Telefon zugreifen. Wir speichern dabei weder Ihre IP-Adresse noch Ihren User-Agent, keine daraus gebildete Kennung und kein Cookie; wir lesen nichts von Ihrem Gerät aus und setzen kein Skript dafür ein. Die gespeicherten Zahlen lassen keinen Rückschluss auf einzelne Personen zu. Seiten nach der Anmeldung zählen wir nicht. Die Verarbeitung im Moment des Aufrufs stützt sich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, zu erkennen, welche Seiten gelesen werden und woher Interessenten kommen.

4. Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir Firmenname, Name, E-Mail-Adresse und Passwort (verschlüsselt gespeichert) sowie die von Ihnen hinterlegten Firmenstammdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Vertragsanbahnung). Zur Kontosicherheit setzen wir Zwei-Faktor-Authentifizierung ein.

Mit der Registrierung nehmen Sie die AGB und den Auftragsverarbeitungsvertrag in der jeweils aktuellen Fassung an. Diese Annahme halten wir als Nachweis fest (Fassung, Zeitpunkt, annehmende Person, IP-Adresse, Prüfsumme des Vertragstextes; Art. 7 Abs. 1, Art. 28 Abs. 9 DSGVO); bei einer neuen Fassung bitten wir den Inhaber bzw. Administrator Ihres Kontos erneut um Annahme. Die angenommene Fassung steht Ihnen jederzeit personalisiert als PDF in den Einstellungen zur Verfügung.

Gelangen Sie über einen unserer Herkunftslinks zu uns (z. B. über den QR-Code auf einem Flyer, Adressen der Form nummio.de/k/…), zählen wir den Aufruf – ohne IP-Adresse und ohne sonstige personenbezogene Daten. Registrieren Sie danach ein Konto, speichern wir bei Ihrer Firma, über welchen Link sie zu uns kam, und wann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, zu erkennen, welche Partner und Werbewege sich bewähren. Ein eigenes Cookie setzen wir dafür nicht: Bis zur Registrierung trägt das ohnehin bestehende Sitzungs-Cookie (Abschnitt 10) den Verweis auf den Link.

Erreichen Sie uns über eine Anzeige in ChatGPT, hängt OpenAI an die aufgerufene Adresse eine Klick-Kennung an (Parameter „oppref“, eine zufällige Zeichenfolge ohne Namen oder E-Mail-Adresse). Wir merken uns diese Kennung bis zur Registrierung in der Sitzung und danach bis zu 30 Tage bei Ihrer Firma. Bestätigen Sie Ihre E-Mail-Adresse, beginnt Ihr Probemonat oder schließen Sie ein Abo ab, melden wir OpenAI jeweils nur: diese Klick-Kennung, die Art des Ereignisses, den Zeitpunkt und die Adresse unserer Registrierungsseite. Namen, E-Mail-Adressen, IP-Adressen oder Gerätedaten übermitteln wir nicht, auch nicht verschlüsselt; ein Pixel oder Skript von OpenAI binden wir nicht ein, und ein Cookie wird dafür nicht gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, zu erkennen, ob eine Anzeige Kunden bringt. OpenAI ordnet die Kennung dem Klick auf die Anzeige zu und verwendet sie laut eigener Angabe nicht für eine nutzerbezogene Personalisierung; wir kennzeichnen jede Meldung zusätzlich mit dem dafür vorgesehenen Widerspruchsmerkmal. Sie können der Meldung jederzeit widersprechen (Abschnitt 15); wir löschen die Kennung dann sofort, und spätere Ereignisse werden nicht gemeldet.

Erreichen Sie uns über eine Anzeige bei Google, hängt Google an die aufgerufene Adresse eine Klick-Kennung an (Parameter „gclid“, auf Apple-Geräten „gbraid“ oder „wbraid“; eine zufällige Zeichenfolge ohne Namen oder E-Mail-Adresse). Wir merken uns diese Kennung bis zur Registrierung in der Sitzung. Im Registrierungsformular fragen wir Sie dann, ob wir Google zur Erfolgsmessung mitteilen dürfen, dass Sie über eine Google-Anzeige gekommen sind; der Haken ist freiwillig und nicht vorausgewählt. Nur wenn Sie zustimmen, speichern wir die Kennung verschlüsselt bei Ihrer Firma, höchstens 90 Tage ab dem Klick, und melden Google nach Bestätigung Ihrer E-Mail-Adresse frühestens sechs Stunden nach dem Klick: diese Klick-Kennung, das Ereignis „Registrierung“ und dessen Zeitpunkt (gegebenenfalls später ebenso den Abschluss eines Abos mit dessen Nettobetrag). Ohne Zustimmung verwerfen wir die Kennung mit der Registrierung. Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen oder Gerätedaten übermitteln wir nicht, auch nicht verschlüsselt; wir binden kein Google-Tag und kein sonstiges Skript von Google ein, und ein Cookie wird dafür nicht gesetzt. Jede Meldung kennzeichnen wir so, dass Google sie nicht für personalisierte Werbung verwenden darf. Empfänger ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an info@codern.de (Abschnitt 15); wir löschen die Kennung dann sofort, und es wird nichts mehr gemeldet. Die Einwilligung selbst halten wir als Nachweis fest (Zeitpunkt, Wortlaut, IP-Adresse; Art. 7 Abs. 1 DSGVO).

4a. Kanzlei-Konten für Steuerberater und Buchhalter

Ein Kunde kann seinem Steuerberater oder Buchhalter Zugriff auf sein Firmenkonto einräumen. Dafür legt die Kanzlei bei uns ein eigenes Kanzlei-Konto an. Für dieses Konto verarbeiten wir Name, E-Mail-Adresse, das verschlüsselt gespeicherte Passwort, die Einrichtung der Zwei-Faktor-Authentifizierung sowie Anmelde- und Zugriffsprotokolle (Zeitpunkt, IP-Adresse, aufgeschalteter Mandant). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis mit der Kanzlei) sowie für die Protokolle Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 146 AO und den GoBD (Nachvollziehbarkeit, wer im Firmenkonto des Kunden gehandelt hat) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos).

Der Kunde sieht in seiner Benutzerverwaltung Name und E-Mail-Adresse seines Steuerberaters; die Kanzlei sieht die Firmennamen ihrer Mandanten und — nach dem Aufschalten — deren Daten im Umfang der vom Kunden gewählten Rolle. Für diese Verarbeitung ist die Kanzlei eigenständig verantwortlich; wir sind insoweit nicht ihr Auftragsverarbeiter, und zwischen Kunde und Kanzlei kommt über uns kein Auftragsverarbeitungsvertrag zustande. Jeder Zugriff der Kanzlei wird im Änderungsprotokoll des Kunden festgehalten; diese Einträge unterliegen den Aufbewahrungsfristen aus Abschnitt 12.

Der Kunde kann den Zugang seiner Kanzlei jederzeit deaktivieren, befristen oder löschen. Die Kanzlei kann ihr Kanzlei-Konto löschen lassen (eine formlose E-Mail an info@codern.de genügt); damit enden alle Zugänge dieser Kanzlei. Die Kontodaten werden gelöscht, sobald keine Aufbewahrungspflicht entgegensteht; der Name der handelnden Person bleibt — wie bei jedem gelöschten Benutzer — im Änderungsprotokoll des jeweiligen Kunden erhalten (§ 238 HGB, GoBD).

5. Zahlungsabwicklung über Stripe

Für Abonnements und Zahlungen nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe“). Stripe verarbeitet Ihre Zahlungsdaten (z. B. IBAN oder Kartendaten, Name, E-Mail, Rechnungsbetrag) als eigener Verantwortlicher bzw. teilweise als unser Auftragsverarbeiter. Ihre vollständigen Zahlungsdaten werden direkt bei Stripe erhoben und nicht auf unseren Servern gespeichert; wir erhalten lediglich Status-Informationen (z. B. „Zahlung erfolgreich“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy.

6. KI-gestützte Belegerkennung (optional, Opt-in)

Wenn Sie die KI-Erkennung für Eingangsrechnungen aktivieren (Opt-in in den Einstellungen), übermitteln wir das jeweilige Belegdokument an die Scaleway SAS (Frankreich, Rechenzentrum Paris — unser bestehender Auftragsverarbeiter, der auch den schreibgeschützten Objektspeicher betreibt, Standort: Region us-east-1 (Ort nicht hinterlegt)) zur automatischen Extraktion der Rechnungsdaten. Es gilt:

• Übermittelt werden das hochgeladene Dokument und — als Zuordnungshilfe — der Name Ihrer Firma als Rechnungsempfänger; keine weiteren Konto- oder Kundendaten.
• Die Verarbeitung erfolgt vollständig in der EU auf Grundlage unseres Auftragsverarbeitungsvertrags mit Scaleway; Ihre Daten werden nicht zum Training von KI-Modellen verwendet.
• Jeder Aufruf wird protokolliert (ohne Inhalte). Die Funktion ist jederzeit deaktivierbar; ohne Aktivierung findet keinerlei Übermittlung statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Ihre Weisung im Rahmen des AVV.

7. E-Mail-Versand

Transaktions-E-Mails (z. B. Registrierungsbestätigung, Freischaltung, Belegversand an Ihre Kunden auf Ihre Weisung) versenden wir über die Mailserver unseres Hosting-Anbieters dogado GmbH (Dortmund, Deutschland). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Belege an Ihre Kunden (Rechnungen, Quittungen, Mahnungen) gehen standardmäßig „im Auftrag von" Ihrer Firma von unserer Versandadresse aus; Antworten Ihrer Kunden erreichen die von Ihnen hinterlegte Firmen-E-Mail. Optional können Sie in den Einstellungen ein eigenes Versand-Postfach hinterlegen — dann versenden wir diese Belege über Ihren E-Mail-Anbieter mit Ihrer Absenderadresse. Die dafür nötigen Zugangsdaten speichern wir verschlüsselt und verwenden sie ausschließlich für den Versand; Ihr E-Mail-Anbieter ist in diesem Fall Ihr eigener Vertragspartner. Zu jeder versendeten Beleg-E-Mail archivieren wir Absender, Empfänger, Betreff, Anhänge und Versandweg unveränderbar (§ 147 AO).

8. Push-Benachrichtigungen (iOS-App)

Wenn Sie in der Nummio-App Push-Benachrichtigungen aktivieren, werden die Benachrichtigungsinhalte (z. B. Rechnungsnummer, Betrag) über den Apple Push Notification Service (Apple Inc., USA) zugestellt; Apple erhält dabei das Geräte-Token und den Benachrichtigungsinhalt. Die Übermittlung ist durch das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert (Art. 45/46 DSGVO). Push-Benachrichtigungen lassen sich jederzeit in der App oder in den iOS-Einstellungen deaktivieren; ohne Aktivierung findet keine Übermittlung statt. Ein Geräte-Token, das 30 Tage nicht mehr genutzt wurde, löschen wir automatisch.

9. Zeitstempel

Wir setzen derzeit keine Zeitstempel ein. Es werden dafür keine Daten an Dritte übermittelt — auch keine Prüfsummen.

Die Unveränderbarkeit Ihrer Aufzeichnungen unterstützen wir technisch über die Ablage in einem Speicher, aus dem nichts gelöscht oder überschrieben werden kann (WORM), zusammen mit der kryptografischen Verkettung aller Änderungen (Ed25519-Signaturen). Der Speicher liegt bei unserem Auftragsverarbeiter Scaleway SAS (Region us-east-1 (Ort nicht hinterlegt), siehe Unterauftragsverarbeiter); eine externe Zeitstempelstelle ist nicht beteiligt. Ein qualifizierter Zeitstempel ist gesetzlich weder nach GoBD noch nach § 14 UStG vorgeschrieben.

Für die Zukunft ist ein zubuchbares Modul vorgesehen. Führen wir es ein, benennen wir den Anbieter an dieser Stelle und weisen auf die Änderung hin, bevor die erste Übermittlung stattfindet.

10. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein. Sie sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); ein Einwilligungsbanner ist dafür nicht erforderlich. Marketing- oder Tracking-Cookies verwenden wir nicht.

Cookie	Zweck	Speicherdauer
Sitzungs-Cookie	hält Sie angemeldet; Inhalt verschlüsselt	120 Minuten ab der letzten Aktivität
XSRF-TOKEN	Schutz vor Seitenübergreifender Anfragenfälschung (CSRF)	Dauer der Sitzung
nummio_geraet	merkt sich auf Ihren Wunsch, dass dieser Browser vertrauenswürdig ist, damit die Zwei-Faktor-Abfrage nicht bei jeder Anmeldung erscheint. Gespeichert wird nur eine nicht rückrechenbare Prüfsumme	30 Tage; entfällt, wenn Sie das Gerät nicht als vertrauenswürdig markieren

11. Schriftarten

Diese Website lädt Schriftarten von fonts.bunny.net (BunnyWay d.o.o., Slowenien, EU) — einem datenschutzfreundlichen, EU-basierten Dienst ohne Nutzer-Tracking. Dabei wird technisch bedingt Ihre IP-Adresse übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung).

12. Speicherdauer und GoBD

Rechnungs- und Buchführungsdaten unterliegen gesetzlichen Aufbewahrungsfristen (§ 147 AO: 8 Jahre für Buchungsbelege, 10 Jahre für Bücher und Aufzeichnungen). Diese Pflicht trifft Sie als Unternehmer. Während der Vertragslaufzeit legen wir festgeschriebene Belege unveränderbar ab; eine Änderung oder vorzeitige Löschung einzelner Belege ist insoweit ausgeschlossen (Art. 17 Abs. 3 lit. b DSGVO). Übrige Daten löschen wir, sobald der Zweck entfällt und keine Aufbewahrungspflichten entgegenstehen.

Aufbewahrungsorte: Die Datenbank der Anwendung steht in Deutschland (dogado GmbH, Dortmund); der schreibgeschützte Belegspiegel, die Periodenarchive und die Datensicherungen liegen bei Scaleway SAS (Region us-east-1 (Ort nicht hinterlegt)). Wer Rechnungen im übrigen Gemeinschaftsgebiet aufbewahrt, hat dem Finanzamt den Aufbewahrungsort mitzuteilen (§ 14b Abs. 2 Satz 3 UStG); die dafür nötigen Angaben stellt die Anwendung unter Einstellungen → Aufbewahrungsort bereit. Ob die Mitteilung in Ihrem Fall erforderlich ist, beurteilen Sie mit Ihrer steuerlichen Beratung.

Bei Kündigung Ihres Kontos stellen wir Ihnen sämtliche Daten 180 Tage lang im Nur-Lese-Zugriff zum vollständigen Export bereit (PDF, E-Rechnungs-XML, CSV, DATEV, GoBD-Export); die gesetzliche Aufbewahrung der Belege übernehmen Sie damit selbst. Optional verlängert ein gebuchter Archiv-Modus diese Aufbewahrung (Nur-Lese-Zugriff, fortlaufende Schreibschutz-Sperre, Export). Anschließend wird das Konto mitsamt allen Daten gelöscht — wir erinnern vorher viermal in Textform (150, 30, 10 und 3 Tage vor der Löschung). Einzelheiten regelt der AVV (§ 8).

13. Missbrauchsprävention beim Probemonat

Neu registrierte Firmen erhalten einen einmaligen kostenlosen Probemonat. Um zu verhindern, dass dieser durch wiederholte Registrierungen mehrfach in Anspruch genommen wird, führen wir eine Sperrliste. Diese enthält keine Klartextdaten, sondern ausschließlich nicht rückrechenbare Prüfsummen (HMAC-SHA256 mit einem geheimen, gesondert verwahrten Schlüssel) der bei der Registrierung verwendeten E-Mail-Adresse sowie — sobald in den Firmendaten hinterlegt — der Steuernummer bzw. USt-IdNr. Aus den Prüfsummen lässt sich ohne den geheimen Schlüssel kein Personenbezug herstellen; ein Abgleich ist nur mit einer konkret eingegebenen Kennung möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung der mehrfachen Inanspruchnahme eines einmaligen kostenlosen Angebots). Die Prüfsummen werden ausschließlich zu diesem Zweck verwendet, nicht mit anderen Daten zusammengeführt und automatisch 36 Monate nach ihrer Speicherung gelöscht. Sie können dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO); dazu genügt eine formlose E-Mail an info@codern.de.

14. Anfragen über das Anfrageformular

Über das Formular auf der Seite „Anpassungen auf Anfrage“ können Sie uns eine Anfrage zu individuellen Anpassungen senden. Wir verarbeiten dabei Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Firma, die gewählte Art der Anpassung und Ihre Beschreibung — ausschließlich, um Ihre Anfrage zu beantworten und Ihnen gegebenenfalls ein Angebot zu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Ihre Angaben werden nicht in der Anwendung gespeichert, sondern als E-Mail über den Mailserver unseres Hosting-Anbieters (Abschnitt 7) an unser Postfach info@codern.de übermittelt. Empfänger sind die Personen bei der Codern Media GbR, die Anfragen bearbeiten, sowie unsere E-Mail-Dienstleister als Auftragsverarbeiter. Name, E-Mail-Adresse und Beschreibung brauchen wir, um antworten zu können; Sie können uns stattdessen jederzeit auch direkt per E-Mail schreiben.

Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist. Entsteht daraus ein Auftrag, bewahren wir die zugehörige Korrespondenz als Geschäftsbrief nach den gesetzlichen Fristen auf (6 Jahre, § 147 AO, § 257 HGB). Zum Schutz vor automatisierten Einsendungen begrenzen wir die Zahl der Anfragen je IP-Adresse; die IP-Adresse wird dafür höchstens eine Stunde als Zähler vorgehalten (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem missbrauchsfreien Formular).

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17, im Rahmen der Aufbewahrungspflichten),
• Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung genügt eine formlose E-Mail an info@codern.de.