Datenschutz
MakeInvoiceFast – Hinweise zum Datenschutzentwurf
Stand: 2. November 2026
Status
Der begleitende Text ist ein auf den geprüften lokalen Funktionsstand und deine bestätigten Betriebsangaben zugeschnittener Entwurf. Er ist noch nicht zur unveränderten Veröffentlichung bestimmt. Eine Garantie für Rechtssicherheit oder die Prüfung deines konkreten Betriebs durch eine entsprechend qualifizierte Rechtsberatung kann dieser Text nicht ersetzen.
Bestätigte Betriebsangaben
Betreiber: Invictus IT Services GmbH, Rheinpromenade 13, 40789 Monheim am Rhein; info@invictus-it-services.de.
Website, Datenbank, Plattform-E-Mails und Backups: ALL-INKL, Deutschland; keine weiteren von dir ergänzten Dienste.
Keine Analyse- oder Werbetracker. PayPal ist geplant, noch nicht aktiv.
Ergänzung aus dem anschließenden Auftrag: Auch Privatkunden dürfen den Dienst buchen. Nach Vertragsende sind 90 Kalendertage zum Lesen und Exportieren vorgesehen. Die dazu erstellten Nutzungsbedingungen und die AVV sehen anschließend eine unverzügliche Produktivlöschung spätestens innerhalb weiterer 30 Kalendertage vor; dieser Ablauf muss vor Veröffentlichung tatsächlich eingerichtet werden.
Der Text unterscheidet eigene Plattform-/Vertragsdaten von den für Geschäftskunden verarbeiteten Kontakt- und Rechnungsdaten. Die bisherige Nutzung für eigene Rechnungen der Invictus IT Services GmbH ist ebenfalls berücksichtigt. Bei eigenen Rechnungen ist Invictus Verantwortlicher; bei Rechnungen eines anderen Unternehmens ist grundsätzlich dieses Unternehmen Verantwortlicher und Invictus Auftragsverarbeiter.
Vier noch auszufüllende Stellen
OFFEN 1: Zugriffs- und Sicherheitslogs
Die tatsächlich aktiven Einstellungen und Fristen für diesen Webhostingvertrag feststellen. Prüfen, ob und wie IP-Adressen gekürzt werden. Die ALL-INKL-Datenschutzhinweise nennen für die eigene ALL-INKL-Website eine Sieben-Tage-Frist. Daraus lässt sich keine gesicherte Aussage über die Logs deiner gehosteten Anwendung ableiten. Eine solche Frist wurde deshalb nicht ungeprüft übernommen. Falls im KAS Besucherstatistiken aktiviert sind, deren Verarbeitung gesondert prüfen beziehungsweise für den beschriebenen Betrieb ohne Webanalyse deaktivieren.
OFFEN 2: Konto-, Sicherheits- und Betriebsdaten
Ein Löschkonzept und einen tatsächlich ausführbaren Löschablauf für nicht bestätigte Registrierungen, beendete Benutzerkonten, Token-Datensätze, Anmeldeschutzdaten, Sitzungsdateien, Plattformereignisse und PHP-Fehlerlogs festlegen. Dabei berechtigte Nachweiszwecke und gesetzlich erforderliche Unterlagen gesondert behandeln. Ein periodischer Wartungslauf oder ein dokumentierter manueller Ablauf kann diese Vorgaben umsetzen; allein das Eintragen einer Frist in den Datenschutztext löscht keine Daten.
Die Codeprüfung zeigt: Einmal-Links sind 60 Minuten gültig, Anmeldeschutz arbeitet mit Zeitfenstern, und der Login wird nach zwei Stunden Inaktivität ungültig. Diese Fristen löschen die entsprechenden Datenbank- oder Sitzungsdateien nicht verlässlich. Eine allgemeine regelmäßige Bereinigung ist im geprüften Anwendungscode nicht eingerichtet. Es wird nur ein Teil der Anmeldeschutzdaten bei erfolgreichem Login gelöscht. Für die übrigen Datensätze keine automatische kurze Löschfrist behaupten.
OFFEN 3: Vertragsende, Rückgabe und Löschung
Kunden können derzeit kündigen und anschließend vorhandene Daten weiterhin lesen und exportieren. Kündigung oder Ablauf der Freischaltung löschen Konten, Kontakte, Rechnungen und Anhänge nicht. Für den Entwurf wurden inzwischen 90 Kalendertage zum Lesen und Exportieren gewählt; anschließend ist die Produktivlöschung unverzüglich, spätestens innerhalb weiterer 30 Kalendertage vorgesehen. Die Rückgabe und Löschung nach Art. 28 Abs. 3 Buchst. g DSGVO müssen tatsächlich ausführbar sein. Das kann nicht allein durch eine Datenschutzerklärung ersetzt werden. Die Anwendung hat dafür derzeit weder eine vollständige Fristensteuerung noch einen vollständigen Löschprozess im Backend.
Auch beim Löschen eines Kontakts sind importierte Originalzeilen, Rechnungs-Snapshots, PDF-/XML-Dateien und Ereignis-/Versandprotokolle zu berücksichtigen. Eine gesetzliche Aufbewahrungspflicht des Rechnungsausstellers ist kein pauschaler Grund, sämtliche Kundeninhalte als Plattformbetreiber zeitlich unbegrenzt für eigene Zwecke zu behalten.
OFFEN 4: Backups
Die für deinen konkreten Tarif eingerichteten Backups und Überschreibungsfristen bestätigen. ALL-INKL beschreibt auf seiner allgemeinen Backupseite unter anderem zwei FTP-Sicherungen mit unterschiedlichem Alter und mehrere Datenbank-Sicherungsstände; erweiterte Routinen hängen vom Tarif ab. Das Alter eines verfügbaren Sicherungsstands ist nicht automatisch eine vertraglich bestätigte maximale Löschfrist.
Zusätzlich erzeugt die Anwendung beim ersten SaaS-Datenbank-Upgrade eine private Sicherung unter storage/backups/before-saas-v1-*.sql.gz. Dafür ist im geprüften Code keine automatische Löschung vorhanden. Diese Sicherung nicht durch eine für Hoster-Backups angenommene Rotation übersehen. Sie kann komplette Datenbankinhalte enthalten. Auch Downloads oder lokal angelegte spätere Sicherungen müssen in das tatsächliche Verfahren einbezogen werden; laut deiner Angabe gibt es derzeit keine weiteren Backupanbieter.
Weitere konkrete Voraussetzungen für die Veröffentlichung
– ALL-INKL-AVV in der MembersArea unter Stammdaten/Auftragsverarbeitung prüfen und für den genutzten Vertrag dokumentieren. ALL-INKL teilt mit, dass die ergänzenden AV-Bedingungen bei neuen Bestellungen seit dem 19.09.2022 in den Vertrag einbezogen werden; bei älteren Verträgen ist der Abschluss gesondert zu prüfen. Der Datenschutzentwurf behauptet keinen von uns geprüften individuellen Vertragsabschluss.
– Vor der Verarbeitung fremder Kundendaten eine vollständige eigene AVV zwischen Invictus und dem jeweiligen Geschäftskunden hinterlegen. Sie muss zum konkreten Leistungsumfang passen, einschließlich Unterauftragsverarbeitung, technischen und organisatorischen Maßnahmen, Unterstützung bei Betroffenenrechten, Drittlandsübermittlungen sowie Rückgabe/Löschung nach Vertragsende. Die Datenschutzerklärung ersetzt diese Vereinbarung nicht. Ein bloßer Link auf einen leeren oder allgemeinen Text genügt nicht.
– Prüfen, ob ein Datenschutzbeauftragter bestellt ist beziehungsweise bestellt werden muss. Wenn einer bestellt ist, dessen Kontaktdaten im öffentlichen Text ergänzen. Dafür wurden keine Angaben erfunden.
– Den veröffentlichten Funktionsstand mit dem geprüften Stand abgleichen. Insbesondere HTTPS und sichere Session-Cookies, Zugriffsschutz für private Dateien, Backups und SMTP-Zugangsdaten sowie verschlüsselten SMTP-Transport passend zur Einrichtung sicherstellen. Passwörter für Benutzer werden gehasht; SMTP-Passwörter liegen in privaten Konfigurationsdateien und sind dadurch nicht automatisch verschlüsselt. Der Entwurf verspricht deshalb keine Verschlüsselung aller gespeicherten Daten und keine Ende-zu-Ende-Verschlüsselung von Rechnungs-E-Mails.
– Die Funktion zur Rechnungsstellung an Malta oder Dubai nicht mit einer datenschutzrechtlichen Freigabe für jeden internationalen Versand verwechseln. Speicherung in Deutschland und Übermittlung an einen ausländischen Empfänger sind verschiedene Vorgänge. Für tatsächlich gewählte Drittlandsempfänger oder SMTP-Anbieter müssen erforderliche Transfergrundlagen und Weisungen konkret geprüft werden. Malta ist EU-Mitglied; die Vereinigten Arabischen Emirate gehören nicht zum EWR. Der Entwurf behauptet weder einen Angemessenheitsbeschluss für Dubai noch automatisch vereinbarte Standardvertragsklauseln mit allen möglichen Empfängern.
– Vor Einführung von PayPal oder weiterer Dienste die tatsächliche Einbindung erneut prüfen und den Text vor Beginn neuer Verarbeitungen ergänzen. Keine PayPal-Klauseln als bereits aktive Verarbeitung veröffentlichen.
Einfügen in die Anwendung
Nach Klärung der vier offenen Stellen und abschließender Prüfung den Entwurf bearbeiten und die einleitende ENTWURF-Zeile entfernen. Im Superadmin-Bereich die Plattformeinstellungen öffnen und den Text unter Öffentliche Texte → Datenschutzhinweise einfügen. Das Feld veröffentlicht Klartext mit Zeilenumbrüchen; HTML oder Markdown ist nicht erforderlich.
Danach die öffentliche Datenschutzseite aufrufen und prüfen. Bei Servern ohne URL-Rewrite ist sie über index.php?_route=%2Fdatenschutz erreichbar. Die Registrierung erst mit vollständigen und zum Betrieb passenden Rechtstexten öffnen.
In diesem Arbeitsschritt wurden weder lokale noch serverseitige Plattformeinstellungen geändert und keine Rechtstexte veröffentlicht. Das vorhandene Update-ZIP wurde nicht neu gepackt; die beiden neuen Textdateien werden getrennt bereitgestellt.
Quellen, geprüft am 2. November 2026
DSGVO, insbesondere Art. 5, 6, 12–22, 28 und 44 ff. (amtlicher EU-Text):
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679
§ 25 TDDDG – Speicherung und Zugriff auf Endeinrichtungen:
https://www.gesetze-im-internet.de/ttdsg/__25.html
§ 14b UStG – Aufbewahrung von Rechnungen, grundsätzlich acht Jahre:
https://www.gesetze-im-internet.de/ustg_1980/__14b.html
§ 147 AO – Unterlagenarten, Fristen und Fristbeginn:
https://www.gesetze-im-internet.de/ao_1977/__147.html
ALL-INKL – Anbieteridentität:
https://all-inkl.com/impressum
ALL-INKL – Serverstandort Deutschland/Dresden:
https://all-inkl.com/info/rechenzentrum
ALL-INKL – FAQ, Auftragsverarbeitung und Vertragsabschluss:
https://all-inkl.com/wichtig
ALL-INKL – allgemeine Informationen zu Backups:
https://all-inkl.com/webhosting/datensicherung
ALL-INKL – Datenschutzinformationen (Fristen für das eigene Internetangebot nicht ungeprüft für Kundenhosting übernehmen):
https://all-inkl.com/datenschutzinformationen
LDI NRW – Kontakt und Beschwerdemöglichkeiten:
https://www.ldi.nrw.de/kontakt