Sieht mein Rechnungsprogramm die Daten meiner Kunden?

Sie öffnen Ihr Rechnungsprogramm, tippen den Namen und die Adresse Ihres Kunden ein, füllen Projektbeschreibung und Betrag aus und klicken auf „PDF erstellen". Klingt einfach. Doch in diesen wenigen Minuten kann etwas passiert sein, das die meisten nicht bemerken: Jede Eingabe wurde in Echtzeit an einen fremden Server übertragen, den Sie nicht kontrollieren.

Bei den meisten Cloud-basierten Rechnungsprogrammen ist das keine Hypothese — es ist die Standardarchitektur. Und das hat konkrete Folgen für den Datenschutz Ihrer Kunden.

Was „Daten sehen" konkret bedeutet

Wenn ein Rechnungstool Kundendaten „sieht", kann das Folgendes umfassen:

• Übertragung: Die Daten verlassen Ihr Gerät und werden an die Server des Anbieters gesendet.
• Speicherung: Der Anbieter speichert die Daten in seiner Datenbank — Ihre Kundendaten liegen bei einem Dritten, oft auf unbestimmte Zeit.
• Verarbeitung: Der Server liest und verarbeitet die Daten, um das PDF oder die Vorschau zu erzeugen.
• Weitergabe an Unterauftragnehmer: Cloud-Anbieter nutzen externe Dienste für Infrastruktur, Analytics und Support — weitere Dritte, die Zugriff auf dieselben Daten haben.

Der entscheidende Moment: Wenn Daten Ihr Gerät verlassen

Sobald Daten von Ihrem Gerät auf den Server eines Dritten übertragen werden, haben Sie keine direkte Kontrolle mehr darüber. Ihr Kunde hat Ihnen seine Kontaktdaten übermittelt, damit Sie ihm eine Rechnung schicken — nicht damit sie in der Datenbank eines SaaS-Unternehmens landen, das er nie zugestimmt hat.

B2C: Personenbezogene Daten unter der DSGVO

Name, Adresse und E-Mail-Adresse einer Privatperson sind personenbezogene Daten im Sinne der DSGVO. Wenn Sie diese mit einem Cloud-Tool verarbeiten, sind Sie als Verantwortlicher dafür zuständig, wie der Anbieter — als Auftragsverarbeiter — diese Daten behandelt. Ohne Auftragsverarbeitungsvertrag (AVV) können Sie gegen Ihre datenschutzrechtlichen Pflichten verstoßen.

B2B: Vertragsklauseln zur Datenweitergabe

Viele Unternehmenskunden verlangen in ihren Verträgen, dass Lieferantendaten nicht an Dritte weitergegeben werden. Wenn Sie deren Daten in ein Cloud-Rechnungsprogramm eingeben, können Sie diese Klausel verletzen — ohne es zu merken.

Welche Daten stecken in einer typischen Rechnung?

Eine Rechnung enthält weit mehr sensible Informationen, als man auf den ersten Blick sieht:

• Kundenidentität: Firmenname, Rechtsform, Handelsname
• Kontaktdaten: Vollständige Adresse, E-Mail, Telefon
• Vertragliche Konditionen: Was Sie berechnet haben, Projektbeschreibung, Zahlungskonditionen
• Umsatzsignale: Rechnungshäufigkeit und -betrag geben Rückschlüsse auf Ihren Umsatz — und den Einkauf Ihres Kunden
• Steuerliche Identifikatoren: Umsatzsteuer-ID, Steuernummer — in vielen Ländern regulierte Daten

Wie Cloud-Rechnungsprogramme mit Daten umgehen

Automatische Cloud-Synchronisierung

Die meisten Cloud-Tools speichern Ihre Rechnungsdaten standardmäßig in ihrer Datenbank — als Feature vermarktet, damit Sie „von überall auf Ihre Rechnungen zugreifen können". In der Praxis bedeutet das: Ihre Daten liegen auf deren Infrastruktur. Bei einem Datenleck sind auch Ihre Kundendaten betroffen.

Drittanbieter-Analytics

Selbst scheinbar datenschutzfreundliche Tools binden häufig Analyse-Skripte ein (Google Analytics, Segment, Mixpanel). Diese beobachten das Nutzerverhalten — unter Umständen auch Feldeingaben. Die Daten fließen zusätzlich an die Server der Analytics-Unternehmen.

KI-Funktionen

Viele moderne Rechnungstools bieten KI-gestützte Funktionen an — automatisches Ausfüllen, Textvorschläge. Diese Funktionen übertragen Ihre Eingaben typischerweise an eine externe KI-API. Name und Projektbeschreibung Ihres Kunden können so bei einem weiteren Dritten landen.

Serverbasierte PDF-Generierung

Auch vermeintlich einfache Tools machen oft einen Server-Aufruf, um das PDF zu erstellen. Die gesamte Rechnung wird an einen Rendering-Server übertragen — ein Prozess, der für Nutzer unsichtbar ist, aber alle Feldinhalte überträgt.

Was „Local-First" bedeutet

Ein Local-First-Rechnungsgenerator verarbeitet alle Daten im Browser, ohne sie an externe Server zu senden:

• Rechnungsdaten werden in der IndexedDB des Browsers gespeichert — auf Ihrem Gerät, nicht auf einem fremden Server
• Das PDF wird im Browser erstellt — kein Server-Aufruf zur PDF-Generierung
• Kein Benutzerkonto erforderlich — kein serverbasiertes Profil, das gehackt werden könnte

invoicePrivate funktioniert nach diesem Prinzip. Das Einzige, was Ihr Gerät verlässt, ist das fertige PDF — das Sie direkt und kontrolliert an Ihren Kunden schicken.

So prüfen Sie, was ein Tool wirklich tut

1. Browser-Entwicklertools öffnen (F12 → Netzwerk-Tab) und Netzwerkanfragen beobachten, während Sie das Rechnungsformular ausfüllen. Anfragen an externe Domains während der Eingabe signalisieren Datenübertragung in Echtzeit.
2. Analytics-Skripte prüfen — Seitenquellcode oder Browser-Extensions wie uBlock Origin zeigen, welche Drittanbieter-Skripte geladen werden.
3. Datenschutzerklärung lesen — insbesondere Abschnitte zu „Datenspeicherung", „Auftragsverarbeiter" und „Datenweitergabe".
4. AVV-Angebot prüfen — bietet das Tool einen Auftragsverarbeitungsvertrag an, ist das ein sicheres Zeichen dafür, dass Daten auf dessen Servern verarbeitet werden.