Datenschutzerklärung

xrio — Website xrio.de, Portal app.xrio.de, API und MCP-Server api.xrio.de

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Nicolas Goldstrass (Einzelunternehmen)
Wackersbergerstr. 33, 81371 München, Deutschland
E-Mail: info@nerdvonnebenan.de · für Fragen zum Dienst: service@xrio.de
USt-IdNr.: DE328430647

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen.

Rollenverteilung: Soweit Kunden über xrio eigene Rechnungen prüfen, erstellen oder darstellen lassen, ist der Kunde für die darin enthaltenen personenbezogenen Daten Verantwortlicher; der Anbieter handelt insoweit als Auftragsverarbeiter auf Grundlage des Auftragsverarbeitungsvertrags. Diese Erklärung betrifft die Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist: die Website, das Konto, die Abrechnung und den Betrieb des Dienstes.

2. Allgemeines

1. Personenbezogene Daten werden nur verarbeitet, soweit dies zur Bereitstellung der Website und des Dienstes, zur Durchführung des Vertrags oder aufgrund einer anderen Rechtsgrundlage erforderlich ist.
2. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung, insbesondere steuer- und handelsrechtliche Aufbewahrung), lit. f (berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb) und, wo genannt, lit. a (Einwilligung).
3. Alle Server des Dienstes stehen in Deutschland. Eine Übermittlung in Drittländer findet nur im Rahmen der Zahlungsabwicklung statt (Ziffer 8).

3. Website xrio.de

1. Die Website ist eine statische Seite ohne Konto. Sie setzt keine Cookies, bindet keine Inhalte von Drittanbietern ein (Schriften werden vom eigenen Server geladen) und verwendet keine Werbedienste.
2. Beim Aufruf verarbeitet der Webserver technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browserkennung. Zweck sind Betrieb, Sicherheit und Fehleranalyse; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Zugriffsprotokolle werden nach 14 Tagen gelöscht.
3. Reichweitenmessung. Um zu sehen, welche Seiten gelesen werden, zählt die Website Seitenaufrufe mit der Open-Source-Software Umami. Der Anbieter betreibt Umami selbst unter analyse.nerdvonnebenan.de auf einem Server der Hetzner Online GmbH in Nürnberg (Ziffer 4). Erfasst werden die aufgerufene und die zuvor besuchte Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Spracheinstellung und der aus der IP-Adresse abgeleitete Ort (Land, Region, Stadt). Die IP-Adresse selbst wird nicht gespeichert; zusammen mit der Browserkennung bildet sie nur eine Sitzungskennung, deren Schlüssel monatlich wechselt. Umami setzt keine Cookies und verfolgt Besucher nicht über andere Websites. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, die Website an den Themen auszurichten, die gelesen werden. Die Messdaten werden nach 24 Monaten gelöscht.
4. Die Website verlinkt auf das Portal und die API; dort gelten die folgenden Ziffern.

4. Hosting und Dienstleister

1. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, stellt die Server, die Datenbank und den Objektspeicher bereit (Rechenzentrum Nürnberg), auch den Server der Reichweitenmessung (Ziffer 3). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
2. Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich) versendet die E-Mails des Dienstes: Anmeldelinks, Bestätigungscodes, Hinweise zu Konto und Guthaben. Brevo verarbeitet dabei die E-Mail-Adresse des Empfängers und den Inhalt der jeweiligen E-Mail als Auftragsverarbeiter innerhalb der EU; es besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3. ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, stellt die Domain, die Namensauflösung und das Postfach des Anbieters bereit, in dem Anfragen an service@xrio.de und info@nerdvonnebenan.de eingehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
4. Stripe wickelt die Zahlungen ab (Ziffer 8).

5. Registrierung, Anmeldung und Konto

1. Für die Nutzung des Dienstes ist eine Registrierung mit E-Mail-Adresse erforderlich. Verarbeitet werden: die E-Mail-Adresse, Zeitpunkt und Fassung der Zustimmung zu den AGB einschließlich AVV, der Kenntnisnahme der Datenschutzerklärung und der Bestätigung der Nutzungshinweise, die Firmendaten des Unternehmens (Name, Anschrift, Steueridentifikation, elektronische Adresse, optional Ansprechpartner, Bankverbindungen und Logo), Einstellungen, API-Schlüssel (nur als Hash, mit Name, Ablauf und letzter Nutzung) und verbundene KI-Anwendungen (Name der Anwendung, Zeitpunkt der Verbindung).
2. Anmeldung per E-Mail: Die Anmeldung erfolgt über einen Anmeldelink oder Bestätigungscode, der an die E-Mail-Adresse gesandt wird und 15 Minuten gültig ist. Ein Passwort wird nicht gespeichert.
3. Anmeldung mit Google oder Microsoft: Wählen Sie „Weiter mit Google“ oder „Weiter mit Microsoft“, melden Sie sich beim jeweiligen Anbieter an (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland); dort gelten dessen Datenschutzbestimmungen. Von den übermittelten Angaben speichert xrio nur eine feste Kennung Ihres Kontos beim Anbieter und die übermittelte E-Mail-Adresse — keinen Namen, kein Bild, keine Zugangsdaten —, solange die Verknüpfung besteht; unter „Konto“ können Sie sie jederzeit trennen.
4. Sitzung: Nach der Anmeldung setzt das Portal ein technisch notwendiges Sitzungs-Cookie (HttpOnly, Secure). Es enthält nur eine Sitzungskennung und dient keiner Nachverfolgung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.
5. Verbundene KI-Anwendungen: Verbinden Sie eine KI-Anwendung (etwa Claude oder ChatGPT) über die Anmeldung im Browser mit xrio, erteilt xrio dieser Anwendung ein Zugangstoken für Ihr Konto. Gespeichert werden der Name der Anwendung, der Zeitpunkt der Verbindung und die letzte Nutzung; die Verbindung können Sie unter „API-Schlüssel“ jederzeit trennen.
6. Zweck ist die Bereitstellung des Kontos und die Durchführung des Vertrags; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden für die Dauer des Vertrags gespeichert, danach gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Nutzung des Dienstes: Prüfen, Erstellen, PDF-Ansicht

1. Was verarbeitet wird: Zur Prüfung übermittelte Dateien, die Werte einer zu erstellenden Rechnung und eine darzustellende XML enthalten typischerweise Namen, Anschriften, Steuernummern, Bankverbindungen und Positionsdaten der Geschäftspartner des Kunden. Für diese Daten ist der Kunde Verantwortlicher; der Anbieter verarbeitet sie als Auftragsverarbeiter nach dem AVV (Art. 28 DSGVO).
2. Wie lange: Eine zur Prüfung übermittelte Datei wird im Arbeitsspeicher geprüft und nicht gespeichert. Die Werte einer Rechnung und eine darzustellende XML werden für die Dauer des Auftrags gehalten. Erzeugte Dateien bleiben sieben Tage abrufbar und werden dann gelöscht; der Kunde kann sie früher löschen. Der Verlauf hält nur Metadaten (Zeit, Art des Aufrufs, Ergebnis, Befundkennungen, Kosten), keine Rechnungsinhalte.
3. Keine KI beim Anbieter: Der Anbieter liest keine Dokumente mit künstlicher Intelligenz aus, übermittelt Rechnungsinhalte an keinen KI-Dienst und verwendet nichts zum Training. Die Prüfung erfolgt mit dem amtlichen Prüfwerkzeug der KoSIT auf dem Server des Anbieters in Deutschland.
4. Ihre KI-Anwendung: Nutzen Sie xrio über eine KI-Anwendung, verarbeitet deren Anbieter, etwa Anthropic oder OpenAI, die Daten, die Sie dieser Anwendung anvertrauen, nach seinen eigenen Bedingungen und außerhalb von xrio. Welche Daten das sind, entscheiden und verantworten allein Sie. Der Anbieter übernimmt keine Haftung dafür, welche Daten Sie an einen KI-Dienst weitergeben, und stellt ausschließlich die Verarbeitung der an xrio übermittelten Rechnungsdaten bereit. Wenn Sie personenbezogene Daten verarbeiten, empfehlen wir Ihnen dringend ein Modell, das lokal oder innerhalb Ihres Unternehmens betrieben wird. Dateien laufen nie durch den Chat Ihrer KI-Anwendung: Zum Prüfen und Darstellen übermitteln Sie sie über einen einmal gültigen Upload-Link unmittelbar an xrio, und Ergebnisse erhalten Sie als zeitlich befristeten Download-Link.

7. Guthaben, Aufladungen und Rechnungen

1. Der Dienst wird aus einem vorab aufgeladenen Guthaben bezahlt. Gespeichert werden je Konto die Buchungen des Guthabens (Aufladungen, Reservierungen, Belastungen, Gutschriften) mit Zeitpunkt, Betrag und dem Aufruf, zu dem sie gehören. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO; Aufbewahrung nach §§ 147 AO, 257 HGB (in der Regel acht bzw. zehn Jahre).
2. Richten Sie das automatische Aufladen ein, speichert xrio den Schwellenwert, den Betrag und die von Ihnen gesetzten Grenzen; das Zahlungsmittel liegt ausschließlich bei Stripe.

8. Zahlungsabwicklung (Stripe)

1. Aufladungen werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, abgewickelt; Stripe kann Daten an Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA, übermitteln. Stripe verarbeitet Ihre Zahlungs- und Rechnungsdaten (Name, Rechnungsanschrift, USt-IdNr., Zahlungsmittel, Betrag) und erstellt die Rechnung über die Aufladung; xrio speichert die Kennung des Stripe-Kunden und die Rechnungen. Rechnungsinhalte, die Sie mit xrio verarbeiten, erhält Stripe nicht.
2. Zweck ist die Abwicklung der Zahlung und die gesetzlich vorgeschriebene Rechnungsstellung; Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Stripe ist für die Zahlungsabwicklung eigener Verantwortlicher; Informationen: stripe.com/de/privacy.
3. Eine Übermittlung in die USA ist durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und die Zertifizierung von Stripe, Inc. nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023) abgesichert.

9. Support

Anfragen über die Hilfe-Seite des Portals oder per E-Mail an service@xrio.de werden mit Betreff, Nachrichten, Zeitpunkten und gegebenenfalls der von Ihnen genannten Vorgangskennung gespeichert, um sie zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Die Anfragen bleiben für die Dauer des Kontos gespeichert; Anfragen per E-Mail werden nach Erledigung spätestens nach einem Jahr gelöscht.

10. Protokolle und Sicherheit

1. Der Dienst führt Ereignisprotokolle für Betrieb, Fehlersuche und Abrechnung: Zeitpunkt, Art des Ereignisses, Kennungen (Konto, Aufruf, Schlüssel), Dauer, Ergebnis, Fehlercode. Rechnungsinhalte, Schlüssel und Passwörter werden nie protokolliert; welche Felder ein Protokoll enthalten darf, ist durch eine Freigabeliste festgelegt. Ereignisprotokolle werden nach 90 Tagen gelöscht, Zugriffsprotokolle des Webservers (Ziffer 3) nach 14 Tagen.
2. Änderungen an einem Konto durch den Anbieter (etwa eine Gutschrift oder eine Änderung der Anmelde-E-Mail auf Ihren Wunsch) werden mit Zeitpunkt, Bearbeiter und Grund festgehalten; Sie erhalten darüber eine E-Mail und können das Protokoll jederzeit anfragen.
3. Die Datenbank wird täglich gesichert; die Sicherungen liegen verschlüsselt im Objektspeicher in Deutschland und werden nach 30 Tagen überschrieben.
4. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit) und lit. c (Aufbewahrung von Buchungen).

11. Empfänger und Weitergabe

Personenbezogene Daten werden nur an die in dieser Erklärung genannten Dienstleister und nur zu den genannten Zwecken weitergegeben. Eine Weitergabe an sonstige Dritte erfolgt nicht, es sei denn, der Anbieter ist gesetzlich dazu verpflichtet.

12. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald ihr Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Einzelnen:

13. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Anfragen richten Sie an info@nerdvonnebenan.de oder service@xrio.de. Betrifft eine Anfrage Daten, die xrio im Auftrag eines Kunden verarbeitet, leiten wir sie an den verantwortlichen Kunden weiter (AVV § 7).

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der für den Anbieter zuständigen Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

15. Datensicherheit

Der Anbieter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Transportverschlüsselung, Zugang zum Server nur mit Schlüsseln, Mandantentrennung, Speicherung von Schlüsseln und Sitzungen nur als Hash, inhaltsfreie Protokolle, automatische Löschung von Ergebnisdateien, tägliche Sicherungen. Einzelheiten stehen in Anlage 1 des AVV.

16. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald Änderungen des Dienstes oder der Rechtslage es erfordern. Es gilt die im Portal veröffentlichte Fassung; eine geänderte Fassung wird Ihnen bei der nächsten Anmeldung zur Kenntnis vorgelegt.

Stand: 14. Oktober 2026 · Version 1.4