Datenschutzerklärung

Stand: 22.09.2026 (Version 1.0)

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Codern Media GbR, Hafenstr. 55, 28217 Bremen, Deutschland,
vertreten durch die Gesellschafter Muhammed Enes Cevik und Emrullah Ince,
Telefon: +49 173 3967803, E-Mail: info@codern.de.

2. Überblick: Welche Daten wir verarbeiten

Wir verarbeiten personenbezogene Daten in drei Rollen:

• Besucher dieser Website (Server-Logs, technisch notwendige Cookies, Anfragen über das Anfrageformular),
• Kunden mit Nutzerkonto (Registrierungs-, Vertrags- und Abrechnungsdaten),
• Auftragsverarbeiter für unsere Kunden: Die Rechnungs-, Kunden- und Belegdaten, die Sie in Nummio erfassen, verarbeiten wir ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO — Grundlage ist unser Auftragsverarbeitungsvertrag (AVV).

3. Hosting

Unsere Anwendung wird bei der dogado GmbH, Antonio-Segni-Straße 11, 44263 Dortmund (Deutschland) in der Europäischen Union betrieben. Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent) in Server-Logdateien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb). Logdaten werden nach spätestens 30 Tagen gelöscht.

4. Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir Firmenname, Name, E-Mail-Adresse und Passwort (verschlüsselt gespeichert) sowie die von Ihnen hinterlegten Firmenstammdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Vertragsanbahnung). Zur Kontosicherheit setzen wir Zwei-Faktor-Authentifizierung ein.

Mit der Registrierung nehmen Sie die AGB und den Auftragsverarbeitungsvertrag in der jeweils aktuellen Fassung an. Diese Annahme halten wir als Nachweis fest (Fassung, Zeitpunkt, annehmende Person, IP-Adresse, Prüfsumme des Vertragstextes; Art. 7 Abs. 1, Art. 28 Abs. 9 DSGVO); bei einer neuen Fassung bitten wir den Inhaber bzw. Administrator Ihres Kontos erneut um Annahme. Die angenommene Fassung steht Ihnen jederzeit personalisiert als PDF in den Einstellungen zur Verfügung.

Gelangen Sie über einen unserer Herkunftslinks zu uns (z. B. über den QR-Code auf einem Flyer, Adressen der Form nummio.de/k/…), zählen wir den Aufruf – ohne IP-Adresse und ohne sonstige personenbezogene Daten. Registrieren Sie danach ein Konto, speichern wir bei Ihrer Firma, über welchen Link sie zu uns kam, und wann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, zu erkennen, welche Partner und Werbewege sich bewähren. Ein eigenes Cookie setzen wir dafür nicht: Bis zur Registrierung trägt das ohnehin bestehende Sitzungs-Cookie (Abschnitt 10) den Verweis auf den Link.

4a. Kanzlei-Konten für Steuerberater und Buchhalter

Ein Kunde kann seinem Steuerberater oder Buchhalter Zugriff auf sein Firmenkonto einräumen. Dafür legt die Kanzlei bei uns ein eigenes Kanzlei-Konto an. Für dieses Konto verarbeiten wir Name, E-Mail-Adresse, das verschlüsselt gespeicherte Passwort, die Einrichtung der Zwei-Faktor-Authentifizierung sowie Anmelde- und Zugriffsprotokolle (Zeitpunkt, IP-Adresse, aufgeschalteter Mandant). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis mit der Kanzlei) sowie für die Protokolle Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 146 AO und den GoBD (Nachvollziehbarkeit, wer im Firmenkonto des Kunden gehandelt hat) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos).

Der Kunde sieht in seiner Benutzerverwaltung Name und E-Mail-Adresse seines Steuerberaters; die Kanzlei sieht die Firmennamen ihrer Mandanten und — nach dem Aufschalten — deren Daten im Umfang der vom Kunden gewählten Rolle. Für diese Verarbeitung ist die Kanzlei eigenständig verantwortlich; wir sind insoweit nicht ihr Auftragsverarbeiter, und zwischen Kunde und Kanzlei kommt über uns kein Auftragsverarbeitungsvertrag zustande. Jeder Zugriff der Kanzlei wird im Änderungsprotokoll des Kunden festgehalten; diese Einträge unterliegen den Aufbewahrungsfristen aus Abschnitt 12.

Der Kunde kann den Zugang seiner Kanzlei jederzeit deaktivieren, befristen oder löschen. Die Kanzlei kann ihr Kanzlei-Konto löschen lassen (eine formlose E-Mail an info@codern.de genügt); damit enden alle Zugänge dieser Kanzlei. Die Kontodaten werden gelöscht, sobald keine Aufbewahrungspflicht entgegensteht; der Name der handelnden Person bleibt — wie bei jedem gelöschten Benutzer — im Änderungsprotokoll des jeweiligen Kunden erhalten (§ 238 HGB, GoBD).

5. Zahlungsabwicklung über Stripe

Für Abonnements und Zahlungen nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe“). Stripe verarbeitet Ihre Zahlungsdaten (z. B. IBAN oder Kartendaten, Name, E-Mail, Rechnungsbetrag) als eigener Verantwortlicher bzw. teilweise als unser Auftragsverarbeiter. Ihre vollständigen Zahlungsdaten werden direkt bei Stripe erhoben und nicht auf unseren Servern gespeichert; wir erhalten lediglich Status-Informationen (z. B. „Zahlung erfolgreich“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy.

6. KI-gestützte Belegerkennung (optional, Opt-in)

Wenn Sie die KI-Erkennung für Eingangsrechnungen aktivieren (Opt-in in den Einstellungen), übermitteln wir das jeweilige Belegdokument an die Scaleway SAS (Frankreich, Rechenzentrum Paris — unser bestehender Auftragsverarbeiter, der auch den schreibgeschützten Objektspeicher betreibt, Standort: Amsterdam, Niederlande) zur automatischen Extraktion der Rechnungsdaten. Es gilt:

• Übermittelt werden das hochgeladene Dokument und — als Zuordnungshilfe — der Name Ihrer Firma als Rechnungsempfänger; keine weiteren Konto- oder Kundendaten.
• Die Verarbeitung erfolgt vollständig in der EU auf Grundlage unseres Auftragsverarbeitungsvertrags mit Scaleway; Ihre Daten werden nicht zum Training von KI-Modellen verwendet.
• Jeder Aufruf wird protokolliert (ohne Inhalte). Die Funktion ist jederzeit deaktivierbar; ohne Aktivierung findet keinerlei Übermittlung statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Ihre Weisung im Rahmen des AVV.

7. E-Mail-Versand

Transaktions-E-Mails (z. B. Registrierungsbestätigung, Freischaltung, Belegversand an Ihre Kunden auf Ihre Weisung) versenden wir über die Mailserver unseres Hosting-Anbieters dogado GmbH (Dortmund, Deutschland). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Belege an Ihre Kunden (Rechnungen, Quittungen, Mahnungen) gehen standardmäßig „im Auftrag von" Ihrer Firma von unserer Versandadresse aus; Antworten Ihrer Kunden erreichen die von Ihnen hinterlegte Firmen-E-Mail. Optional können Sie in den Einstellungen ein eigenes Versand-Postfach hinterlegen — dann versenden wir diese Belege über Ihren E-Mail-Anbieter mit Ihrer Absenderadresse. Die dafür nötigen Zugangsdaten speichern wir verschlüsselt und verwenden sie ausschließlich für den Versand; Ihr E-Mail-Anbieter ist in diesem Fall Ihr eigener Vertragspartner. Zu jeder versendeten Beleg-E-Mail archivieren wir Absender, Empfänger, Betreff, Anhänge und Versandweg unveränderbar (§ 147 AO).

8. Push-Benachrichtigungen (iOS-App)

Wenn Sie in der Nummio-App Push-Benachrichtigungen aktivieren, werden die Benachrichtigungsinhalte (z. B. Rechnungsnummer, Betrag) über den Apple Push Notification Service (Apple Inc., USA) zugestellt; Apple erhält dabei das Geräte-Token und den Benachrichtigungsinhalt. Die Übermittlung ist durch das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert (Art. 45/46 DSGVO). Push-Benachrichtigungen lassen sich jederzeit in der App oder in den iOS-Einstellungen deaktivieren; ohne Aktivierung findet keine Übermittlung statt.

9. Zeitstempel

Wir setzen derzeit keine Zeitstempel ein. Es werden dafür keine Daten an Dritte übermittelt — auch keine Prüfsummen.

Die Unveränderbarkeit Ihrer Aufzeichnungen unterstützen wir technisch über die Ablage in einem Speicher, aus dem nichts gelöscht oder überschrieben werden kann (WORM), zusammen mit der kryptografischen Verkettung aller Änderungen (Ed25519-Signaturen). Der Speicher liegt bei unserem Auftragsverarbeiter Scaleway SAS (EU, Amsterdam, Niederlande, siehe Unterauftragsverarbeiter); eine externe Zeitstempelstelle ist nicht beteiligt. Ein qualifizierter Zeitstempel ist gesetzlich weder nach GoBD noch nach § 14 UStG vorgeschrieben.

Für die Zukunft ist ein zubuchbares Modul vorgesehen. Führen wir es ein, benennen wir den Anbieter an dieser Stelle und weisen auf die Änderung hin, bevor die erste Übermittlung stattfindet.

10. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein. Sie sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); ein Einwilligungsbanner ist dafür nicht erforderlich. Marketing- oder Tracking-Cookies verwenden wir nicht.

Cookie	Zweck	Speicherdauer
Sitzungs-Cookie	hält Sie angemeldet; Inhalt verschlüsselt	120 Minuten ab der letzten Aktivität
XSRF-TOKEN	Schutz vor Seitenübergreifender Anfragenfälschung (CSRF)	Dauer der Sitzung
nummio_geraet	merkt sich auf Ihren Wunsch, dass dieser Browser vertrauenswürdig ist, damit die Zwei-Faktor-Abfrage nicht bei jeder Anmeldung erscheint. Gespeichert wird nur eine nicht rückrechenbare Prüfsumme	30 Tage; entfällt, wenn Sie das Gerät nicht als vertrauenswürdig markieren

11. Schriftarten

Diese Website lädt Schriftarten von fonts.bunny.net (BunnyWay d.o.o., Slowenien, EU) — einem datenschutzfreundlichen, EU-basierten Dienst ohne Nutzer-Tracking. Dabei wird technisch bedingt Ihre IP-Adresse übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung).

12. Speicherdauer und GoBD

Rechnungs- und Buchführungsdaten unterliegen gesetzlichen Aufbewahrungsfristen (§ 147 AO: 8 Jahre für Buchungsbelege, 10 Jahre für Bücher und Aufzeichnungen). Diese Pflicht trifft Sie als Unternehmer. Während der Vertragslaufzeit legen wir festgeschriebene Belege unveränderbar ab; eine Änderung oder vorzeitige Löschung einzelner Belege ist insoweit ausgeschlossen (Art. 17 Abs. 3 lit. b DSGVO). Übrige Daten löschen wir, sobald der Zweck entfällt und keine Aufbewahrungspflichten entgegenstehen.

Aufbewahrungsorte: Die Datenbank der Anwendung steht in Deutschland (dogado GmbH, Dortmund); der schreibgeschützte Belegspiegel, die Periodenarchive und die Datensicherungen liegen bei Scaleway SAS (Amsterdam, Niederlande). Wer Rechnungen im übrigen Gemeinschaftsgebiet aufbewahrt, hat dem Finanzamt den Aufbewahrungsort mitzuteilen (§ 14b Abs. 2 Satz 3 UStG); die dafür nötigen Angaben stellt die Anwendung unter Einstellungen → Aufbewahrungsort bereit. Ob die Mitteilung in Ihrem Fall erforderlich ist, beurteilen Sie mit Ihrer steuerlichen Beratung.

Bei Kündigung Ihres Kontos stellen wir Ihnen sämtliche Daten 180 Tage lang im Nur-Lese-Zugriff zum vollständigen Export bereit (PDF, E-Rechnungs-XML, CSV, DATEV, GoBD-Export); die gesetzliche Aufbewahrung der Belege übernehmen Sie damit selbst. Optional verlängert ein gebuchter Archiv-Modus diese Aufbewahrung (Nur-Lese-Zugriff, fortlaufende Schreibschutz-Sperre, Export). Anschließend wird das Konto mitsamt allen Daten gelöscht — wir erinnern vorher viermal in Textform (150, 30, 10 und 3 Tage vor der Löschung). Einzelheiten regelt der AVV (§ 8).

13. Missbrauchsprävention beim Probemonat

Neu registrierte Firmen erhalten einen einmaligen kostenlosen Probemonat. Um zu verhindern, dass dieser durch wiederholte Registrierungen mehrfach in Anspruch genommen wird, führen wir eine Sperrliste. Diese enthält keine Klartextdaten, sondern ausschließlich nicht rückrechenbare Prüfsummen (HMAC-SHA256 mit einem geheimen, gesondert verwahrten Schlüssel) der bei der Registrierung verwendeten E-Mail-Adresse sowie — sobald in den Firmendaten hinterlegt — der Steuernummer bzw. USt-IdNr. Aus den Prüfsummen lässt sich ohne den geheimen Schlüssel kein Personenbezug herstellen; ein Abgleich ist nur mit einer konkret eingegebenen Kennung möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung der mehrfachen Inanspruchnahme eines einmaligen kostenlosen Angebots). Die Prüfsummen werden ausschließlich zu diesem Zweck verwendet, nicht mit anderen Daten zusammengeführt und automatisch 36 Monate nach ihrer Speicherung gelöscht. Sie können dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO); dazu genügt eine formlose E-Mail an info@codern.de.

14. Anfragen über das Anfrageformular

Über das Formular auf der Seite „Anpassungen auf Anfrage“ können Sie uns eine Anfrage zu individuellen Anpassungen senden. Wir verarbeiten dabei Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Firma, die gewählte Art der Anpassung und Ihre Beschreibung — ausschließlich, um Ihre Anfrage zu beantworten und Ihnen gegebenenfalls ein Angebot zu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Ihre Angaben werden nicht in der Anwendung gespeichert, sondern als E-Mail über den Mailserver unseres Hosting-Anbieters (Abschnitt 7) an unser Postfach info@codern.de übermittelt. Empfänger sind die Personen bei der Codern Media GbR, die Anfragen bearbeiten, sowie unsere E-Mail-Dienstleister als Auftragsverarbeiter. Name, E-Mail-Adresse und Beschreibung brauchen wir, um antworten zu können; Sie können uns stattdessen jederzeit auch direkt per E-Mail schreiben.

Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist. Entsteht daraus ein Auftrag, bewahren wir die zugehörige Korrespondenz als Geschäftsbrief nach den gesetzlichen Fristen auf (6 Jahre, § 147 AO, § 257 HGB). Zum Schutz vor automatisierten Einsendungen begrenzen wir die Zahl der Anfragen je IP-Adresse; die IP-Adresse wird dafür höchstens eine Stunde als Zähler vorgehalten (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem missbrauchsfreien Formular).

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17, im Rahmen der Aufbewahrungspflichten),
• Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung genügt eine formlose E-Mail an info@codern.de.