Datenschutzerklärung

Datenschutzerklärung

Stand: 9. November 2026

1. Verantwortlicher und Kontakt

Marlon Czopnik, Broicher Straße 5b, 41179 Mönchengladbach, Deutschland, Telefon +49 (0) 2161 2987045, E-Mail info@showreport2invoice.com, betreibt https://showreport2invoice.com.

2. Website, Hosting und Protokolle

Beim Abruf unserer Website werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere die IP-Adresse, angeforderte Seiten, Zeitpunkte und vom Browser übermittelte technische Angaben. Die Verarbeitung dient der Auslieferung und dem sicheren Betrieb der Website. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse besteht in einer funktionsfähigen und sicheren Bereitstellung. Für Hosting und Serverinfrastruktur werden nach Angaben des Betreibers die STRATO-Pakete „Hosting-Starter“ und „VPS Linux PA-4-8-240“ genutzt. STRATO nennt als Anbieter die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Informationen zur Verarbeitung durch den Anbieter finden Sie in den Datenschutzhinweisen von STRATO. Für eine weisungsgebundene Verarbeitung ist eine Vereinbarung nach Art. 28 DSGVO erforderlich; STRATO veröffentlicht hierfür eine Vereinbarung zur Auftragsverarbeitung. Nach den Informationen von STRATO ist diese bei ab dem 18. Juli 2022 abgeschlossenen Verträgen automatisch einbezogen; bei älteren Verträgen kann sie im Kundenkonto abgeschlossen werden.

Für Nginx-Protokolle sind tägliche Rotation und die Aufbewahrung von bis zu 14 rotierten Archivgenerationen mit Komprimierung konfiguriert. Leere Dateien werden nicht rotiert. Daraus folgt keine garantierte Löschung jedes Eintrags nach genau 14 Tagen: Maßgeblich sind die tatsächliche Ausführung der Rotation, die erfassten Dateien und weitere Kopien oder Sicherungen. Die erfasste WordPress-Konfiguration weist deaktivierten Debugmodus und deaktiviertes WordPress-Debuglogging aus.

STRATO stellt die Hosting-, Server- und Mailinfrastruktur bereit. Die Verarbeitung durch STRATO richtet sich nach dem gebuchten Leistungsumfang und der zugehörigen Vereinbarung zur Auftragsverarbeitung. Eine ausschließliche Verarbeitung sämtlicher auf dieser Website eingesetzter Dienste in Deutschland wird damit nicht zugesagt; die nachfolgend beschriebenen Zahlungs- und Lexware-Dienste sind gesonderte Empfänger.

3. Benutzerkonto, Bestellung und Zahlung

WordPress und WooCommerce verarbeiten die für Konto und Vertrag erforderlichen Angaben, insbesondere Name, E-Mail-Adresse, Zugangsdaten in der vom System vorgesehenen Form, Bestell- und Rechnungsanschrift, Produkte, Preise, Zahlungsstatus und Berechtigungen. Dies dient dem Vertragsschluss, der Zahlungsabwicklung, Freischaltung und Verwaltung Ihres Zugangs nach Art. 6 Abs. 1 Buchst. b DSGVO. Gesetzlich erforderliche Aufbewahrung und steuerliche Verarbeitung erfolgen nach Art. 6 Abs. 1 Buchst. c DSGVO. Zahlungsanbieter erhalten die zur Abwicklung erforderlichen Zahlungs- und Bestelldaten.

Für die Zahlungsabwicklung sind Stripe im Produktivmodus und die aktuelle WooCommerce-PayPal-Integration aktiviert. Die zusätzliche Stripe-Protokollierung ist deaktiviert. Welche einzelnen Zahlungsarten verfügbar sind, sehen Sie im Checkout. Wenn Sie eine über Stripe oder PayPal angebotene Zahlungsart auswählen, werden die für die Zahlungsabwicklung erforderlichen Angaben an den betreffenden Anbieter übermittelt. Hierzu gehören je nach Zahlungsart Kontakt-, Rechnungs-, Zahlungs- und Transaktionsangaben. Die Übermittlung zur Erfüllung Ihrer Bestellung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Anbieter können Daten darüber hinaus für eigene gesetzliche Pflichten, Sicherheitsprüfungen und Betrugsprävention verarbeiten.

Stripe stellt seine Dienste in Europa über Stripe Payments Europe, Limited, Irland, bereit. Die jeweiligen beteiligten Stripe-Gesellschaften und ihre Rollen richten sich nach dem eingesetzten Dienst. Weitere Informationen enthält die Datenschutzerklärung von Stripe. Stripe beschreibt darin auch mögliche internationale Datenübermittlungen und die dafür eingesetzten Schutzmechanismen.

Für Nutzer im EWR ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, zuständig. Weitere Informationen zur eigenständigen Datenverarbeitung und zu internationalen Übermittlungen finden Sie in der Datenschutzerklärung von PayPal. Nach eigenen Angaben setzt PayPal für bestimmte konzerninterne Übermittlungen verbindliche interne Datenschutzvorschriften ein.

Die Auswahl einer Zahlungsart kann die Einbindung weiterer an dieser Zahlung beteiligter Banken, Kartennetzwerke oder Zahlungsdienste erfordern. Dies richtet sich nach der von Ihnen ausgewählten Zahlungsart. Die jeweiligen Zahlungsanbieter informieren in ihren verlinkten Datenschutzhinweisen über ihre Rolle, Empfänger und internationalen Datenübermittlungen. Sie erhalten von uns keine weitergehende pauschale Zustimmung zur Nutzung ihrer Angaben für Werbung.

4. Gerätebindung und Sitzungen

Für die Einzellizenz wird ein aktives Browserprofil registriert. Ein technisch erforderliches Cookie mit dem Präfix lp_converter_device_ enthält eine zufällige Gerätekennung und hat eine vorgesehene Laufzeit von einem Jahr. Der Server speichert einen SHA-256-Ableitungswert, eine Browserbezeichnung und den Aktivierungs-/Wechselzeitpunkt. Die Funktion liest keinen Hardware-Fingerabdruck aus. Das Cookie ist HttpOnly und SameSite=Lax; das Secure-Attribut wird bei HTTPS gesetzt. Der reguläre Gerätewechsel ist nach 72 Stunden möglich. Grundlage sind Art. 6 Abs. 1 Buchst. b DSGVO und, soweit für die angeforderte Funktion erforderlich, § 25 Abs. 2 TDDDG.

WordPress verwendet für Anmeldung und Sitzungen technisch erforderliche Cookies. WooCommerce setzt je nach Nutzung Cookies für Warenkorb und Shopfunktionen. Ein technischer Sitzungsmarker der Anwendung befindet sich im sessionStorage; Rechnungsdaten werden dort durch unsere Anwendung nicht dauerhaft abgelegt. Weitere Cookieinformationen enthält die nachfolgende, aus Complianz eingebundene Übersicht.

5. Complianz und Einwilligungen

Complianz verwaltet die Cookie-Einstellungen und gegebenenfalls erforderliche Einwilligungen. Nicht erforderliche Zugriffe auf Ihr Endgerät und anschließende Verarbeitungen erfolgen nur mit entsprechender Einwilligung, soweit gesetzlich erforderlich (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 Buchst. a DSGVO). Sie können Ihre Auswahl mit Wirkung für die Zukunft ändern; die Rechtmäßigkeit bisheriger Verarbeitung bleibt unberührt.

In der erfassten Complianz-Konfiguration ist die Statistikfunktion abgewählt. Der allgemeine Drittanbieter-Schalter ist aktiviert; nach ergänzender Prüfung durch den Betreiber sind dort jedoch keine konkreten Drittanbieterdienste angegeben. Diese leere Liste betrifft die Angaben in Complianz und hebt die in dieser Erklärung beschriebenen Verarbeitungen durch Hosting-, Zahlungs- und Mailanbieter sowie die optionale Lexware-Übertragung nicht auf. Der Schalter für die zusätzliche Funktion „Records of Consent“ ist deaktiviert. Dies bedeutet weder, dass keine anderen technischen Nachweise bestehen, noch, dass sämtliche auf der Website eingebundenen Dienste durch diese Auswahl vollständig erfasst sind. Weitere Angaben enthält die nachfolgende Cookieübersicht.

Ihre Einwilligungseinstellungen können Sie über folgende Funktion aufrufen:

Die von Complianz erfassten Cookieinformationen werden hier angezeigt:

Die Übersicht wird aus der jeweiligen Complianz-Konfiguration bereitgestellt. Maßgeblich für ein Cookie ist außerdem dessen tatsächlich gesetzte Laufzeit in Ihrem Browser. Das Entfernen von Cookies im Browser kann auch Anmelde-, Warenkorb- oder Gerätefunktionen zurücksetzen. Eine Änderung Ihrer Einwilligungseinstellungen berührt die Rechtmäßigkeit der zuvor auf Grundlage einer Einwilligung erfolgten Verarbeitung nicht.

6. Lokale Konvertierung und Easybill

Whatnot-Reports werden grundsätzlich im Browser eingelesen und aufbereitet. Die ursprünglichen Dateien werden dabei nicht auf unseren WordPress-Server hochgeladen. Beim Easybill-Ablauf erzeugt der Browser CSV-/ZIP-Dateien; es erfolgt keine automatische Übertragung an Easybill. Über eine spätere Nutzung dieser Dateien entscheidet der Kunde. Unabhängig davon kommuniziert die Website für Anmeldung, Berechtigungen, Einstellungen und Gerätebindung mit unserem Server.

Verarbeitete Rechnungsdaten und Fehlerberichte verbleiben im Anwendungsspeicher, soweit sie nicht ausdrücklich an Lexware übermittelt oder als Datei gespeichert werden. Beim Zurücksetzen oder Beenden der Anwendung werden die kontrollierbaren lokalen Daten verworfen. Bereits gespeicherte Downloads, Browser-Erweiterungen, Betriebssystemspeicher oder Sicherungskopien auf Ihrem Gerät können wir nicht nachträglich löschen.

7. Optionale Lexware-Integration

Auf Ihren ausdrücklichen Übertragungsauftrag verarbeitet unser Server vorübergehend Empfängernamen, Anschriften, Länderkennungen, Rechnungspositionen, Mengen, Beträge, Steuerinformationen, Bestellreferenzen, Datumsangaben und optionale Kommentare und sendet sie an Ihr Lexware-Konto. Erforderliche Kundenkontakte können bei Lexware angelegt und verknüpft werden. Die Integration kann vorhandene Rechnungen sowie Zahlungsstände bei Lexware abrufen, insbesondere zur Vermeidung doppelter Importe und zur Vorbereitung der Umsatz.csv.

Unsere Integration speichert keine vollständigen Rechnungsinhalte in der WordPress-Datenbank. Sie speichert technische Import- und Kontaktzuordnungen mit HMAC-Kennungen, Rechnungs-/Kontakt-IDs, Prüfsummen und Statusangaben. Diese Zuordnungen sind nicht automatisch anonym. Neu verwendete Zuordnungen werden dem Benutzerkonto für kontrollierte Auskunft und Löschung zugeordnet. Ältere HMAC-Nachweise können ohne weitere fachliche Zuordnung nicht vollständig kontobezogen ermittelt werden.

Optional gespeicherte API-Schlüssel werden mit AES-256-GCM verschlüsselt und an das Konto gebunden gespeichert. Die Entschlüsselung erfolgt serverseitig; der Serverbetreiber kann technisch auf den Schlüssel zugreifen. Die Verschlüsselung schützt daher nicht gegen einen vollständig kompromittierten Server. Sie können Ihren gespeicherten Schlüssel im Benutzerkonto löschen.

Soweit Sie als Verantwortlicher Käuferdaten Ihrer Kunden übertragen, verarbeiten wir diese nach Ihrer Weisung auf Grundlage der gesonderten AVV nach Art. 28 DSGVO. Für die Verarbeitung Ihrer eigenen Konto- und Vertragsdaten bleiben wir eigenständig verantwortlich. Sie bestimmen, ob und auf welcher Rechtsgrundlage Käuferdaten an Lexware gelangen. Lexware wird nicht allein aufgrund des technischen Datenflusses als unser Unterauftragsverarbeiter eingeordnet; die jeweiligen Vertragsbeziehungen sind maßgeblich.

Empfänger der an Lexware Office übermittelten Daten ist die Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, Deutschland. Nach der Datenschutzerklärung von Lexware Office verarbeitet Lexware die in seinen Softwaremodulen geführten Kundendaten als Auftragsverarbeiter des jeweiligen Lexware-Kunden. Für die Verbindung verwendet unsere Anwendung das vom Nutzer bestimmte Konto und dessen API-Berechtigungen. Unsere Rolle bei der Weiterleitung und die Rolle von Lexware im Zielkonto sind getrennt zu beurteilen. Die ergänzenden Datenschutzbedingungen des jeweiligen Lexware-Kontos bleiben maßgeblich.

8. AVV, Widerruf und Kommunikation

Bei Abschluss einer AVV dokumentieren wir Konto, E-Mail-Adresse, Auftraggeberangaben, Zeitpunkt, Erklärung und die konkrete Vertragsfassung einschließlich Prüfsumme und TOM. Die Erklärung zur ausschließlichen Verarbeitung eigener privater Daten wird getrennt vom AVV-Abschluss dokumentiert. Diese Daten dienen Vertragsdurchführung und Nachweis nach Art. 6 Abs. 1 Buchst. b und f DSGVO. Unser berechtigtes Interesse besteht in der nachvollziehbaren Dokumentation von Weisungen und Verträgen.

Supportanfragen und Widerrufserklärungen verarbeiten wir zur Bearbeitung und zum Nachweis, insbesondere Kontaktangaben, Vertragsreferenz, Inhalt, Empfangszeit und Korrespondenz (Art. 6 Abs. 1 Buchst. b, c und gegebenenfalls f DSGVO). Die elektronische Widerrufsfunktion wird durch Germanized bereitgestellt. Sie veranlasst eine Eingangsbestätigung per E-Mail und führt zur administrativen Prüfung. Unsere Integration deaktiviert die zusätzliche Speicherung von IP-Adresse und Browserkennung direkt im Widerrufsdatensatz. Der Spam-Schutz des installierten Germanized-Pakets kann daneben vorübergehende Zähler mit aus E-Mail-Adresse beziehungsweise IP-Adresse abgeleiteten Kennungen verwenden. Im vorliegenden Paket ist hierfür standardmäßig eine Ablaufzeit von einem Tag vorgesehen; maßgeblich sind die tatsächlich aktiven Einstellungen und Erweiterungen.

Der E-Mail-Versand der Website erfolgt über WP Mail SMTP mit dem STRATO-SMTP-Server smtp.strato.de. Die Verbindung zu diesem Versandserver ist mit TLS auf Port 587 sowie SMTP-Authentifizierung konfiguriert. Daraus folgt keine Ende-zu-Ende-Verschlüsselung der E-Mail bis zum Empfänger. STRATO verarbeitet hierfür die für den Versand erforderlichen E-Mail-Adressen, Nachrichteninhalte und technischen Zustellangaben. Bitte übermitteln Sie über Support-E-Mails keine API-Schlüssel und keine unaufgefordert vollständigen Käuferlisten.

Für die Kontaktaufnahme steht die E-Mail-Adresse info@showreport2invoice.com zur Verfügung. Auf der Website wird nach Angaben des Betreibers kein Kontaktformular angeboten.

9. Speicherdauer und Löschung

Daten werden nur so lange aufbewahrt, wie der jeweilige Zweck, gesetzliche Pflichten oder die zulässige Sicherung und Verteidigung von Ansprüchen dies erfordern. API-Schlüssel sind durch den Nutzer löschbar und werden bei Kontolöschung aus dem aktiven System entfernt. Technische Nachweise werden wegen des Doppelimportschutzes kontrolliert gelöscht; anschließend bleibt der betreffende Zugang für weitere Lexware-Importe gesperrt, bis ein gesonderter Abgleich erfolgt. Bei Lexware vorhandene Rechnungen und Kontakte werden dadurch nicht gelöscht. Aufbewahrungspflichtige Bestelldaten werden nicht allein wegen der Kontolöschung entfernt.

In der geprüften WooCommerce-Konfiguration sind keine zeitgesteuerten Fristen für die Entfernung inaktiver Konten, unbezahlter, fehlgeschlagener oder stornierter Bestellungen beziehungsweise die Anonymisierung erstatteter oder abgeschlossener Bestellungen eingetragen. Die Optionen zur automatischen Entfernung von Bestell- und Downloaddaten im Zuge eines WordPress-Löschersuchens sind deaktiviert. Eine solche Anfrage muss daher gesondert geprüft und bearbeitet werden; es wird kein automatischer Ablauf dieser Daten zugesagt. Andere Löschvorgänge einzelner Plugins oder Provider sind damit nicht ausgeschlossen.

Für die einzelnen Datenkategorien gelten unterschiedliche Zwecke und Löschvoraussetzungen:

• Konto und Lizenz: Konto-, Berechtigungs- und erforderliche Einstellungsdaten dienen der Bereitstellung des erworbenen Zugangs. Sie werden nicht schon durch das Schließen des Browsers oder vorübergehende Nichtnutzung entfernt. Wenn Sie Ihr Konto löschen lassen möchten, können Sie dies unter info@showreport2invoice.com beantragen. Vertrags- und Aufbewahrungspflichten werden dabei getrennt geprüft.
• API-Schlüssel: Der optional gespeicherte Schlüssel bleibt bis zu Ihrer Löschung beziehungsweise der Kontolöschung gespeichert. Die Löschfunktion entfernt ihn aus dem aktiven System; den Schlüssel bei Lexware selbst widerrufen Sie in Ihrem Lexware-Konto.
• Import- und Kontaktzuordnungen: Diese bleiben für den Abgleich wiederholter Übertragungen gespeichert und besitzen derzeit keinen automatischen Ablauf. Eine berechtigte Löschanweisung wird kontrolliert bearbeitet; anschließend bleibt der weitere Import zum Schutz vor Doppelanlagen gesperrt. Alte, nicht automatisch kontozuordenbare Nachweise erfordern eine zusätzliche Prüfung.
• Lokale Rechnungsdaten: Daten im kontrollierbaren Anwendungsspeicher werden beim Zurücksetzen oder Beenden verworfen. Selbst gespeicherte Downloads unterliegen der Aufbewahrung durch den Nutzer.
• Eigene Rechnungsbelege des Shops: Soweit die gesetzlichen Voraussetzungen vorliegen, beträgt die Aufbewahrung grundsätzlich acht Jahre ab Ende des Kalenderjahres der Ausstellung. Dies folgt insbesondere aus § 14b UStG. Für andere steuerlich relevante Unterlagen gelten je nach Unterlagenart nach § 147 AO insbesondere zehn, acht oder sechs Jahre. Gesetzliche Verlängerungen, etwa wegen noch offener steuerlicher Verfahren, bleiben möglich. Diese Fristen rechtfertigen keine pauschale Speicherung sämtlicher Konto- oder Käuferdaten für denselben Zeitraum.
• Allgemeine Supportanfragen: Für abgeschlossene Anfragen ohne Vertrags-, Abrechnungs- oder Streitbezug gilt eine Aufbewahrung von sechs Monaten nach Abschluss. Danach sind die Nachrichten zu löschen, soweit kein fortbestehender konkreter Zweck oder eine gesetzliche Pflicht entgegensteht.
• Vertragsbezogener Support und Widerruf: Für die erforderlichen Nachweise gilt im Regelfall eine Aufbewahrung bis zum Ende des dritten Kalenderjahres nach Abschluss des Vorgangs. Soweit Nachrichten als Geschäftsbriefe oder steuerlich relevante Unterlagen einer längeren gesetzlichen Aufbewahrung unterliegen, geht diese Pflicht vor. Bei konkreten Streitigkeiten, gehemmter Verjährung oder anderen fortbestehenden gesetzlichen Gründen werden nur die hierfür erforderlichen Angaben länger aufbewahrt.
• AVV-Abschlussnachweise: Die erforderlichen Vertragsnachweise werden für die Dauer des Auftrags und im Regelfall bis zum Ende des dritten Kalenderjahres nach dessen Beendigung aufbewahrt. Nicht mehr benötigte Zusatzangaben sind vorher zu entfernen. Gesetzliche Aufbewahrungspflichten und konkret erforderliche Anspruchsnachweise bleiben vorbehalten.

Der Aufbewahrungsplan wird administrativ bearbeitet. Dafür werden abgeschlossene Vorgänge nach ihrem Zweck eingeordnet und fällige Löschungen regelmäßig geprüft. Erforderliche Vertrags- und Abrechnungsnachweise werden vor einer Kontolöschung getrennt behandelt. Die genannten Fristen beschreiben unsere Aufbewahrungsvorgaben; eine automatische Löschroutine für Supportpostfächer oder sämtliche Vertragsnachweise ist damit nicht verbunden.

Es bestehen wöchentliche Standardbackups bei STRATO. Unsere Aufbewahrungsvorgabe ist eine rollierende Aufbewahrung der letzten vier wöchentlichen Sicherungen. Die tatsächliche Einhaltung dieser Vorgabe durch die Providerkonfiguration ist nicht durch die Anwendung kontrolliert. Sicherungen können Kopien der gespeicherten Konto-, Vertrags- und technischen Zuordnungsdaten enthalten. Das Löschen im aktiven System entfernt diese Kopien nicht sofort aus vorhandenen Sicherungen. Nach einer Wiederherstellung müssen berechtigte Löschanweisungen und Importsperren vor der erneuten Nutzung der betroffenen Daten wieder angewendet werden.

10. Empfänger, Übermittlungen und Ihre Rechte

Der SSH-Zugriff auf den Server ist nach der vom Betreiber angegebenen Zugriffsregel auf den Seitenbetreiber und STRATO beschränkt. Zugriffe innerhalb von WordPress und durch einzelne Dienste richten sich daneben nach den jeweils eingerichteten Berechtigungen.

Zugriff erhalten Personen und Dienstleister im Rahmen der für die beschriebenen Zwecke eingerichteten Berechtigungen; gesetzlich erforderliche Offenlegungen bleiben möglich. Bei international tätigen Zahlungsanbietern können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Für solche Übermittlungen müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein, insbesondere durch einen einschlägigen Angemessenheitsbeschluss oder geeignete Garantien. Einzelheiten zu den vom jeweiligen Anbieter eingesetzten Mechanismen finden Sie in dessen oben verlinkten Datenschutzinformationen. Weitere Informationen hierzu können Sie unter info@showreport2invoice.com anfordern.

Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht. Einwilligungen können Sie jederzeit für die Zukunft widerrufen. Wenden Sie sich hierzu an info@showreport2invoice.com. Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für den Betreiber kommt die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen in Betracht.

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO mit rechtlicher oder ähnlich erheblicher Wirkung über Sie. Erforderliche Vertragsangaben müssen bereitgestellt werden, damit Konto und Bestellung bearbeitet werden können; zusätzliche Angaben werden als solche gekennzeichnet.