Datenschutzerklärung
Stand: Mai 2026
1. Verantwortlicher
SyyPro – a Sight Production Studio, Inhaber Chris Altmann
Postfach 11 22, 71084 Holzgerlingen
E-Mail: datenschutz@syypro.com
2. Hosting
Diese Website wird auf einem virtuellen Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Die Hetzner Online GmbH verarbeitet als Auftragsverarbeiter gemäß Art. 28 DSGVO Verbindungsdaten (IP-Adresse, Zeitstempel) beim Zugriff auf unsere Server. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Domain-Registrierung und E-Mail-Versand erfolgen über die Strato AG (Otto-Ostrowski-Straße 7, 10249 Berlin).
3. Erhobene Daten und Zwecke
3.1 Kontoverwaltung
Bei der Registrierung erheben wir: E-Mail-Adresse, Passwort (als bcrypt-Hashwert gespeichert, nicht im Klartext), optionaler Name. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Konto-Löschung durch den Nutzer (nach 30-tägiger Reaktivierungsfrist endgültig) oder auf schriftliche Anfrage.
3.2 Verarbeitung von Rechnungsdaten (Upload und Extraktion)
Hochgeladene PDF-Dateien werden ausschließlich zur serverseitigen Verarbeitung genutzt (Textextraktion, XML-Erzeugung). Temporäre Upload-Dateien werden automatisch nach spätestens 2 Stunden vom Server gelöscht. Wir speichern den Inhalt hochgeladener Rechnungen nicht dauerhaft. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.3 Rechnungsarchiv (Dokumenthistorie)
Datensparsamer Betrieb (Art. 5 Abs. 1 lit. c DSGVO): Die Inhalte erzeugter XML- und PDF-Dokumente werden nicht dauerhaft gespeichert. Sie werden nur kurzzeitig zur Erzeugung und zum Download vorgehalten und anschließend automatisch gelöscht (Standard-Frist: 60 Minuten). Danach verbleibt ausschließlich ein Metadaten-Protokoll (Dateiname, Erstellungszeitpunkt, Betrag) ohne personenbezogene Rechnungsinhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Angemeldete Nutzer können die dauerhafte Archivierung – sofern verfügbar – in den Konto-Einstellungen aktivieren; in diesem Fall gelten die plan-abhängigen Speicherfristen.
3.4 Nutzungsstatistiken
Wir protokollieren die Anzahl erzeugter Dokumente pro Monat zur Quota-Verwaltung (kein Inhalt, nur Zählwerte). Speicherdauer: 36 Monate (3 Jahre), danach automatische Löschung. Dies ermöglicht Ihnen Jahresvergleiche im Dashboard. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.5 Zahlungsdaten (Stripe)
Zahlungen werden über Stripe (Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA) abgewickelt. Bei Abschluss eines bezahlten Abonnements werden Name und E-Mail-Adresse an Stripe übertragen. Wir selbst speichern keine Kreditkartendaten. Stripe verarbeitet Zahlungsdaten auf Grundlage seiner eigenen Datenschutzrichtlinie. Stripe ist für Datenübermittlungen in die USA durch EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. In unserer Datenbank speichern wir lediglich die Stripe-Kunden-ID sowie den aktiven Abonnement-Plan.
3.6 E-Mail-Versand (SMTP)
Transaktions-E-Mails (Kontobestätigung, Zahlungshinweise) werden über den SMTP-Dienst der Strato AG versendet. Dabei wird die Empfänger-E-Mail-Adresse an Strato übermittelt. Die Strato AG wird gemäß Art. 28 DSGVO als Auftragsverarbeiter eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.7 Server-Logs und Zugriffsprotokoll
Beim Zugriff auf unsere Dienste werden IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode und User-Agent im Server-Log gespeichert. Zweck: Sicherheit, Fehlerdiagnose und Missbrauchsschutz. Speicherdauer: 30 Tage, danach automatische Löschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
3.8 Fehler-Tracking (Sentry, optional)
Sofern aktiviert, werden Fehlerberichte an Sentry (Functional Software Inc., USA) übermittelt. Fehlerberichte enthalten keine hochgeladenen Rechnungsinhalte, können jedoch Nutzungs-IDs, Pfade und Stack-Traces enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Sentry ist über EU-Standardvertragsklauseln abgesichert. Sentry ist standardmäßig deaktiviert und wird nur nach expliziter Konfiguration aktiv.
3.9 Bot- und Spam-Schutz (Cloudflare Turnstile)
Auf der Registrierungsseite setzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) ein, um automatisierte Massenregistrierungen abzuwehren. Turnstile arbeitet ohne Tracking-Cookies und ohne benutzerübergreifendes Profiling; zur Prüfung können technische Angaben (z. B. IP-Adresse, Browser-Merkmale) an Cloudflare übermittelt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsschutz). Cloudflare ist für Datenübermittlungen in die USA durch EU-Standardvertragsklauseln abgesichert.
3.10 Aggregierte Reichweitenmessung
Zur Auswertung der Besucherzahlen zählen wir Seitenaufrufe rein serverseitig und aggregiert (pro Tag, Pfad, Tageszeit, Gerätekategorie und – sofern aktiviert – Land). Dabei werden keine IP-Adressen und keine Cookies gespeichert; eine Wiedererkennung einzelner Personen ist nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweiten-Statistik).
4. Auftragsverarbeitung
Folgende Dienstleister werden als Auftragsverarbeiter (Art. 28 DSGVO) eingesetzt. Mit Strato und Stripe werden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen bzw. es gelten die gesetzlich anerkannten Standardvertragsklauseln des jeweiligen Anbieters:
- Hetzner Online GmbH – Server-Hosting (Deutschland, AVV gemäß Art. 28 DSGVO)
- Strato AG – Domain und E-Mail-Versand (Deutschland, AVV gemäß Art. 28 DSGVO)
- Stripe, Inc. – Zahlungsabwicklung (USA, EU-Standardvertragsklauseln)
- Cloudflare, Inc. – Bot-Schutz „Turnstile" auf der Registrierung (USA, EU-Standardvertragsklauseln)
- Sentry – Fehler-Tracking, sofern aktiviert (USA, EU-Standardvertragsklauseln)
5. Löschkonzept
Personenbezogene Daten werden wie folgt gelöscht:
- Temporäre Upload-Dateien: automatisch nach 2 Stunden
- Server-Logs: automatisch nach 30 Tagen
- Nutzungsstatistiken (Quota-Zähler): nach 36 Monaten (3 Jahren)
- Rechnungsinhalte (XML/PDF): automatisch nach 60 Minuten – danach nur anonymes Metadaten-Protokoll
- Kontodaten (E-Mail, Name, Passwort-Hash): nach Konto-Löschung durch den Nutzer (Dashboard → Konto löschen). Nach der Löschungsanforderung gilt eine 30-tägige Reaktivierungsfrist, innerhalb derer das Konto durch erneutes Einloggen wiederhergestellt werden kann. Nach Ablauf dieser Frist erfolgt die endgültige und unwiderrufliche Löschung.
- API-Keys: bei endgültiger Konto-Löschung oder manueller Sperrung
6. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Zur Löschung Ihres Kontos nutzen Sie Dashboard → Einstellungen → Konto löschen. Nach der Löschungsanforderung können Sie Ihr Konto innerhalb von 30 Tagen durch erneutes Einloggen reaktivieren, bevor die endgültige Löschung erfolgt.
Anfragen richten Sie an: datenschutz@syypro.com
7. Beschwerderecht
Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. Zuständige Behörde für Baden-Württemberg: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
8. Cookies und Session
Wir verwenden ausschließlich technisch notwendige Session-Cookies (kein Tracking, keine Analyse-Cookies, kein Cookie-Banner erforderlich). Das Session-Cookie enthält eine zufällige Session-ID und wird beim Schließen des Browsers gelöscht (sofern „eingeloggt bleiben" nicht aktiviert ist; andernfalls 30 Tage gültig). Für Sprachauswahl und Darstellungseinstellungen (Dark Mode) wird ein weiteres Cookie ohne personenbezogene Daten gesetzt. Auf der Registrierungsseite kann Cloudflare Turnstile technisch notwendige Informationen zur Bot-Abwehr setzen (kein Tracking, siehe Ziffer 3.9). Unsere Reichweitenmessung erfolgt cookie- und IP-frei (Ziffer 3.10). Da ausschließlich technisch notwendige bzw. von Ihnen ausgelöste funktionale Cookies zum Einsatz kommen, ist nach derzeitiger Einschätzung kein Einwilligungs-Banner erforderlich.
9. Keine automatisierten Entscheidungen
Wir verwenden keine automatisierten Entscheidungsfindungsprozesse oder Profiling gemäß Art. 22 DSGVO.