Datenschutzbestimmungen

Stand: 8. Oktober 2026

Diese Datenschutzbestimmungen erläutern, wie die Nordlet OÜ („Nordlet“, „wir“, „uns“) personenbezogene Daten verarbeitet, wenn Sie nordlet.com besuchen, die Anwendung unter app.nordlet.com nutzen, die API unter api.nordlet.com aufrufen oder mit uns Kontakt aufnehmen. Sie wurden im Einklang mit der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) verfasst.

Verantwortlicher: Nordlet OÜ, Pärnu mnt. 139b - 14, Tallinn, 11317, Estland.

1. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Nordlet tritt in zwei verschiedenen Rollen auf, und diese Bestimmungen decken nur die erste ab.

• Verantwortlicher. Für die Daten, die wir über Sie als Nutzer der Website und der Anwendung erheben – Ihr Konto, Ihre Anmeldeaktivitäten, Ihre Abrechnung, Ihre Support-Anfragen –, entscheidet Nordlet über die Zwecke und Mittel der Verarbeitung. Diese Bestimmungen beschreiben diese Verarbeitung.
• Auftragsverarbeiter. Für die Daten, die Sie und Ihre Nutzer in die Anwendung eingeben oder an die API übermitteln – Rechnungen, Partnerkontaktdaten, Mitarbeiter- und Lohn- und Gehaltsdaten, Banktransaktionen, gescannte Dokumente –, ist das Unternehmen, dem das Konto gehört, der Verantwortliche, und Nordlet verarbeitet diese Daten ausschließlich auf Weisung jenes Unternehmens. Diese Verarbeitung unterliegt dem Auftragsverarbeitungsvertrag. Wenn Sie Mitarbeiter, Kunde oder Lieferant eines Unternehmens sind, das Nordlet nutzt, und Ihre Rechte bezüglich der Daten geltend machen möchten, die dieses Unternehmen über Sie speichert, wenden Sie sich bitte an dieses Unternehmen.

2. Welche Daten wir erheben und warum

Daten	Herkunft	Zweck der Verarbeitung	Rechtsgrundlage (Art. 6 DSGVO)
E-Mail-Adresse, Name, bevorzugte Sprache	Sie, wenn Sie einen Anmelde-Link anfordern oder eine Einladung annehmen	Erstellung und Betrieb Ihres Kontos, Versand von einmaligen Anmelde-Links und Anzeige der Anwendung in Ihrer Sprache	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Anmelde-Link-Token, Sitzungstoken, Zeitpunkt der Anmeldung	Durch den Dienst generiert	Authentifizierung; Token werden ausschließlich als Hashes gespeichert	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Von Ihnen registrierte Unternehmensdaten (Name, Code, USt-IdNr., Land)	Sie	Betrieb des Unternehmens-Workspaces und Ausstellung unserer Rechnungen an die richtige juristische Person	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Abrechnungsdaten: Guthabenkäufe, stündliche Nutzungsabzüge, Rechnungen, MwSt.-Status	Sie und Stripe	Abrechnung des Dienstes, Ausstellung von Rechnungen und Führung der gesetzlich vorgeschriebenen Buchhaltungsunterlagen	Vertrag (Art. 6 Abs. 1 lit. b); rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)
Zahlungskarten- oder Bankdaten	Sie, eingegeben auf der Checkout-Seite von Stripe	Zahlungsabwicklung. Nordlet sieht niemals die vollständige Kartennummer; diese wird von Stripe gespeichert	Vertrag (Art. 6 Abs. 1 lit. b)
Nutzungsmetrik: Anzahl der API-Anfragen, gescannte Seiten, genutzter Speicher, pro Unternehmen und Tag	Durch den Dienst generiert	Berechnung von Gebühren und Durchsetzung von Tarifen	Vertrag (Art. 6 Abs. 1 lit. b)
Audit-Log: Wer hat was und wann innerhalb eines Unternehmens getan	Durch den Dienst generiert	Bereitstellung eines unveränderlichen Protokolls von Änderungen an Buchhaltungsdaten und Untersuchung von Sicherheitsvorfällen	Vertrag (Art. 6 Abs. 1 lit. b); berechtigtes Interesse an der Sicherheit (Art. 6 Abs. 1 lit. f)
Server-Logs: IP-Adresse, Anfragetpfad, User Agent, Zeitstempel, Fehlerdetails	Ihr Browser oder API-Client	Aufrechterhaltung des Dienstes, Erkennung von Missbrauch, Ratenbegrenzung (Rate Limiting) und Fehlerbehebung	Berechtigtes Interesse an Sicherheit und Zuverlässigkeit (Art. 6 Abs. 1 lit. f)
E-Mails und Nachrichten, die Sie uns senden	Sie	Beantwortung Ihrer Anfragen	Berechtigtes Interesse an der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f)
Inhalte, die Sie im öffentlichen Issue-Tracker veröffentlichen	Sie, auf GitHub	Bereitstellung von Support. Bitte beachten Sie, dass dieser Tracker öffentlich ist und von GitHub unter eigenen Bedingungen betrieben wird	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)

Wir erheben keine Daten zu Werbezwecken und verkaufen keine personenbezogenen Daten.

3. Cookies

Die Anwendung setzt folgende Cookies:

• Ein Sitzungs-Cookie, das Sie bis zu 30 Tage lang angemeldet hält; es ist ein HTTP-only-Cookie und kann von Skripten nicht ausgelesen werden.
• Ein Sprach-Cookie (NEXT_LOCALE), das Ihre gewählte Sprache für bis zu einem Jahr speichert.
• Drei kurzlebige Cookies (nordlet_new_key, nordlet_new_invite, nordlet_new_secret), die einen neu erstellten API-Schlüssel, Einladungs-Link oder Webhook-Secret für höchstens 60 Sekunden transportieren, damit sie Ihnen einmalig angezeigt werden können; sie sind HTTP-only und verschwinden unmittelbar danach.

Alle diese Cookies sind für den Betrieb der Anwendung zwingend erforderlich, weshalb kein Einwilligungsbanner angezeigt wird. Die Website und die Anwendung verwenden keine Analyse-, Tracking- oder Werbe-Cookies. Die Checkout-Seite von Stripe, die Sie beim Kauf von Guthaben aufrufen, setzt eigene Cookies gemäß den Datenschutzbestimmungen von Stripe.

4. Empfänger personenbezogener Daten

Wir geben personenbezogene Daten nur an Dienstleister weiter, die uns beim Betrieb des Dienstes unterstützen, und jeweils nur in dem Umfang, den der betreffende Dienstleister benötigt:

Empfänger	Zweck	Standort
Amazon Web Services EMEA SARL	Hosting der Webanwendung, Speicherung hochgeladener Dateien, Versand transaktionsbezogener E-Mails	Europäische Union
Clever Cloud SAS	Hosting der API-Anwendungsserver	Frankreich
Neon, LLC	Hosting der Datenbank und ihrer Backups	Deutschland (Frankfurt), mit Neon, LLC in den Vereinigten Staaten
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, MwSt.-Berechnung beim Checkout, Rechnungen für Guthabenkäufe	Irland; Kartendaten können von Stripe, Inc. in den Vereinigten Staaten unter Einhaltung eigener Sicherheitsmaßnahmen von Stripe verarbeitet werden
Resend, Inc.	Versand transaktionsbezogener E-Mails (Anmelde-Links, Einladungen, Benachrichtigungen), sofern anstelle von Amazon SES konfiguriert	Vereinigte Staaten, mit EU-Datenhosting, sofern aktiviert
Mistral AI	Optische Zeichenerkennung (OCR) von Dokumenten, die Sie zum Scannen hochladen. Es wird lediglich das hochgeladene Dokument übermittelt, und dies auch nur bei Nutzung der Scan-Funktion	Frankreich
Enable Banking Oy	Abruf von Banktransaktionen von Banken, die Sie verknüpfen. Nur bei Verknüpfung eines Bankkontos	Finnland
Der für Ihr Unternehmen konfigurierte Peppol-Zugangspunkt	Senden und Empfangen von E-Invoices. Nur bei Aktivierung der E-Invoicing-Funktion	Abhängig vom Anbieter
Europäische Kommission (VIES)	Validierung eingegebener USt-IdNrn. Es wird ausschließlich die USt-IdNr. übermittelt	Europäische Union
GitHub, Inc.	Öffentlicher Issue-Tracker für den Support	Vereinigte Staaten

Wir können personenbezogene Daten zudem offenlegen, wenn dies gesetzlich vorgeschrieben ist, gegenüber einem Gericht oder einer Behörde auf Grundlage einer gültigen Anfrage oder an einen Erwerber des Unternehmens, das Nordlet betreibt, welcher in diesem Fall an diese Bestimmungen gebunden wäre.

5. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Unsere Server und unsere Datenbank befinden sich in der Europäischen Union. Sofern ein Anbieter in der obigen Tabelle Daten außerhalb des EWR verarbeitet (Stripe, Inc., Resend, GitHub), stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission für den EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist, andernfalls auf die von der Kommission genehmigten Standardvertragsklauseln. Sie können bei uns eine Kopie der implementierten Schutzmaßnahmen anfordern.

6. Speicherdauer der Daten

Daten	Aufbewahrungsfrist
Konto- und Unternehmensdaten	Solange das Konto existiert. Ein Konto, für das niemals Guthaben erworben wird, wird 30 Tage nach Ablauf des Testzeitraums gelöscht. Ein gelöschtes Unternehmen kann 10 Tage lang wiederhergestellt werden, danach wird es unwiderruflich entfernt. Nach Kontolöschung oder Vertragsende werden verbleibende Daten innerhalb von 30 Tagen gelöscht
Anmelde-Link-Token	15 Minuten oder bis zur Verwendung; der Datensatz wird spätestens nach einer Stunde entfernt
Sitzungstoken	Bis zu 30 Tage oder bis zur Abmeldung; abgelaufene Datensätze werden innerhalb von 6 Stunden entfernt
Gelöschte Konten	E-Mail-Adresse und Name werden umgehend durch einen anonymen Platzhalter ersetzt; der verbleibende Datensatz wird nach 30 Tagen entfernt
Webhook-Zustellungsverlauf	90 Tage
Generierte Berichtsdateien (Berichte → Exporte)	90 Tage
Abrechnungsunterlagen und unsere Rechnungen an Sie	10 Jahre ab dem Ende des Geschäftsjahres gemäß den Vorgaben des litauischen Rechnungslegungsrechts
Server-Logs	90 Tage, vorgehalten durch den Protokolldienst des Hosting-Anbieters
Audit-Log	Solange der Unternehmens-Workspace existiert
Von Ihnen an uns gesendete E-Mails	2 Jahre nach Abschluss des Sachverhalts
Backups	Überschreibung im regulären Backup-Zyklus, spätestens 90 Tage nach Löschung der Daten aus dem Live-System

7. Ihre Rechte

Gemäß der DSGVO haben Sie das Recht, von uns Folgendes zu verlangen:

• Auskunft darüber zu erhalten, welche personenbezogenen Daten wir über Sie speichern, und eine Kopie dieser Daten zu erhalten (Auskunftsrecht);
• Berichtigung unrichtiger Daten zu verlangen (Berichtigung);
• die Löschung Ihrer Daten zu verlangen (Löschung), vorbehaltlich der oben genannten Aufbewahrungspflichten;
• die Einschränkung der Verarbeitung Ihrer Daten in bestimmten Fällen zu verlangen;
• Ihre Daten in einem maschinenlesbaren Format zu erhalten (Datenübertragbarkeit) – die API und die Exportfunktionen der Anwendung stellen dies bereits für alle von Ihnen eingegebenen Daten zur Verfügung;
• der auf ein berechtigtes Interesse gestützten Verarbeitung zu widersprechen (Widerspruch).

Die meisten dieser Schritte können Sie selbst ausführen. Öffnen Sie in der Anwendung den Menüpunkt Account (durch Klick auf Ihre E-Mail-Adresse in der oberen Leiste), um Ihren Namen und Ihre Anmelde-E-Mail zu ändern, andere Geräte einzusehen und abzumelden, alle von uns über Sie gespeicherten Daten als JSON-Datei herunterzuladen sowie Ihr Konto zu löschen. Daten, die Ihr Unternehmen über andere Personen speichert (Partner, Mitarbeiter), können von den Administratoren des Unternehmens über die Seiten „Partner“ und „Mitarbeiter“ gelöscht oder anonymisiert werden.

Für alle weiteren Anliegen schreiben Sie bitte von der E-Mail-Adresse Ihres Kontos an info@nordlet.com oder teilen Sie uns mit, auf welche Weise wir Ihre Identität verifizieren können. Wir antworten innerhalb eines Monats. Wenn Sie der Ansicht sind, dass wir Ihre Daten rechtswidrig verarbeiten, können Sie Beschwerde bei der litauischen Staatlichen Datenschutzinspektion (Valstybinė duomenų apsaugos inspekcija, vdai.lrv.lt) oder bei der Aufsichtsbehörde des EU-Mitgliedstaats Ihres Wohn- oder Arbeitsorts einreichen.

8. Sicherheit

Der gesamte Datenverkehr zur Website, zur Anwendung und zur API ist mittels TLS verschlüsselt. Anmelde-Links, Sitzungen, Einladungen und API-Schlüssel werden als Hashes gespeichert, sodass ein Zugriff auf die Datenbank diese nicht im Klartext offenbart. Die Daten der einzelnen Unternehmen sind durch zeilenbasierte Sicherheitsrichtlinien (Row-Level Security), die innerhalb der Datenbank durchgesetzt werden, strikt voneinander isoliert, sodass der API-Schlüssel eines Unternehmens keine Zeilen eines anderen Unternehmens lesen kann. Hochgeladene Dateien werden verschlüsselt gespeichert (Encryption at Rest). Der Zugriff durch Mitarbeiter von Nordlet ist auf das für den Betrieb des Dienstes erforderliche Maß beschränkt und wird protokolliert. Sollte eine Verletzung des Schutzes personenbezogener Daten vorliegen, die ein hohes Risiko für Ihre persönlichen Rechte und Freiheiten zur Folge hat, werden wir Sie gemäß den Vorgaben der DSGVO unverzüglich benachrichtigen.

9. Automatisierte Entscheidungsfindungen

Wir treffen keine automatisierten Entscheidungen über Ihre Person, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Die stündliche Abrechnung, die Ratenbegrenzung und die Sperrung von Konten ohne Guthaben stellen vertragliche Regeln dar, die mechanisch und nicht im Wege des Profilings angewendet werden.

10. Kinder

Der Dienst richtet sich an Unternehmen. Wir erheben wissentlich keine Daten von Personen unter 18 Jahren.

11. Änderungen dieser Bestimmungen

Wenn wir diese Bestimmungen ändern, aktualisieren wir das oben genannte Datum des Stands. Bei Änderungen, die Ihre Rechte einschränken oder neue Zwecke hinzufügen, informieren wir Kontoinhaber mindestens 30 Tage im Voraus per E-Mail.

12. Kontakt

Nordlet OÜ, Pärnu mnt. 139b - 14, Tallinn, 11317, Estland – info@nordlet.com.