Datenschutz­erklärung

Stand: 11. November 2026 · Version 2.0

1. Verantwortlicher

Giacomo Sibilia
Via Rosmini 15
28041 Arona (NO)
Italien
E-Mail: giacomo.sibilia@aether-layer.com

Sie erreichen uns auch über das Kontaktformular dieser Website.

2. Website, Hosting und Server-Logs

Website und API werden von Vercel Inc. (USA) gehostet. Bei jeder Anfrage verarbeitet Vercel technisch notwendige Logs: Datum und Uhrzeit, die aufgerufene Adresse, Browser und Betriebssystem sowie die IP-Adresse. Sie dienen dazu, die Website bereitzustellen, stabil und sicher zu halten und Fehler zu untersuchen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb).

Im genutzten Vercel-Tarif bleiben die Laufzeit-Logs für uns 1 Stunde abrufbar. Vercel kann Log-Daten zur Sicherheit seiner Plattform länger aufbewahren, nach seiner eigenen Datenschutzerklärung.

Statische Seiten werden über das Auslieferungsnetz von Vercel vom nächstgelegenen Standort ausgeliefert.

3. Kontaktformular

Wir verarbeiten die Angaben aus dem Formular, um Ihre Anfrage zu prüfen und zu beantworten:

• Pflichtfelder: Name, E-Mail-Adresse, Unternehmen oder Produkt, URL des Produkts oder der Dokumentation;
• optional: Rolle, Thema und Notizen;
• zusätzlich: die Sprache der Seite und dass die Anfrage über das Formular kam.

Ein unsichtbares Feld wehrt automatisierte Einsendungen ab; ist es ausgefüllt, wird die Einsendung nicht gespeichert.

Um Einsendungen zu begrenzen (höchstens 8 pro Stunde und Absender), berechnen wir einen SHA-256-Hash der IP-Adresse mit einem geheimen Serverwert. Die IP wird nicht im Klartext gespeichert. Der Hash wird nur im Missbrauchszähler gespeichert, nicht in der Anfrage. Der Zähler läuft 48 Stunden nach der letzten Einsendung ab und der tägliche Löschlauf entfernt ihn innerhalb der folgenden 25 Stunden; der Hash bleibt also höchstens 73 Stunden gespeichert (länger nur, wenn der Löschlauf im Rückstand ist, siehe Abschnitt 6). Anfragen, die vor dieser Aktualisierung gespeichert wurden, enthielten auch den Hash: Wir löschen ihn mit einer einmaligen Migration direkt nach der Aktualisierung.

Wo: Google Cloud Firestore (Firebase), Datenbank (default) am europäischen Multi-Region-Standort eur3. Die Daten werden in der EU gespeichert. Das Formular versendet die Daten nicht per E-Mail.

Wie lange: 12 Monate nach der Einsendung, danach automatische Löschung (siehe Abschnitt 6). Werden Sie Kunde, gehen die für den Vertrag nötigen Daten in die Vertrags- und Buchhaltungsunterlagen über und werden so lange aufbewahrt, wie es das Gesetz verlangt.

Historisches Archiv in Stilllegung: Anfragen, die bis einschließlich 10. November 2026 gesendet wurden, wurden in einem privaten Vercel-Blob-Speicher, aether-layer-quotes, in der Region iad1 (Washington, D.C., USA) gespeichert. Der Speicher kann außerdem technische Daten der früheren API-Version enthalten: Missbrauchszähler mit dem IP-Hash, Nutzungszähler je Schlüssel und Schlüsseldatensätze (nur Hashes). Er erhält keine neuen Daten und wird geschlossen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen auf Ihre Anfrage, sonst Art. 6 Abs. 1 lit. f (berechtigtes Interesse an der Bearbeitung von Anfragen und der Missbrauchsabwehr).

4. E-Mail

Wenn Sie an giacomo.sibilia@aether-layer.com schreiben, wird die Nachricht über den Weiterleitungsdienst von Porkbun LLC (USA) zugestellt. Antworten und andere ausgehende E-Mails können über Resend versendet werden, das sie in der Region eu-west-1 (Irland) verarbeitet und Amazon Web Services als Unterauftragsverarbeiter einsetzt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, wenn die Korrespondenz einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f (nachvollziehbare Geschäftskorrespondenz). Die Speicherdauer richtet sich nach dem Zweck der Nachricht und gesetzlichen Pflichten.

5. EU-VAT-API (/api/v0/keys, /api/v0/validate, /vies-status, /api/v0/receipts, /api/mcp; /api/v0/rank, /api/v0/route, /api/v0/outcome nur wenn wieder aktiviert)

Wir legen keine Benutzerkonten an. Die API nutzt anonyme API-Schlüssel: Wir fragen weder Namen noch E-Mail ab.

• API-Schlüssel (POST /api/v0/keys, kostenlos): Der Schlüssel wird einmal angezeigt. Wir speichern nur:
  • einen HMAC-SHA256 des Schlüssels mit einem Servergeheimnis;
  • eine Schlüssel-ID, das Tageskontingent, das Erstellungsdatum und den Status;
  • eine technische Bezeichnung des Schlüsseltyps (self-serve-free für kostenlose Schlüssel) und eine Markierung für interne Testschlüssel. Der Datensatz bleibt, solange der Schlüssel aktiv ist. Wer den Schlüssel besitzt, ist nur über ihn identifizierbar.
• IP-Adresse: für Missbrauchsgrenzen und die Schlüsselausgabe (höchstens 3 Schlüssel pro Tag und Adresse, 20 mit optionalem Proof-of-Work).
  • IPv6-Adressen werden zuerst auf ihr /64-Präfix gekürzt.
  • Danach wird ein SHA-256-Hash mit einem geheimen Serverwert berechnet. Die IP wird nicht im Klartext gespeichert.
  • Minutenzähler werden nach 48 Stunden gelöscht, Tageszähler nach 35 Tagen.
• USt-IdNr. – Prüfung (/api/v0/validate, MCP-Tool validate_vat): wird bei der Übertragung normalisiert und zur Prüfung an VIES (Europäische Kommission) gesendet. An VIES senden wir nur den Ländercode und die Nummer, mit einem User-Agent, der den Dienst identifiziert: nie den API-Schlüssel, die IP, einen Namen, eine Anschrift oder andere Daten des Aufrufers.
  • Die Ergebniszeile in Firestore enthält nur einen HMAC-SHA256 mit einem serverseitigen Geheimnis (Pepper), nicht die USt-IdNr. Ohne das Geheimnis lässt sich der Hash weder nachrechnen noch durch Ausprobieren umkehren. Wir behandeln ihn dennoch als pseudonymisiert.
  • Name und Anschrift aus VIES geben wir nicht zurück, und wir speichern oder protokollieren sie nicht. Im Funktionsspeicher bleibt je Instanz nur ein Hash mit Schlüssel (HMAC) ihrer normalisierten Form, höchstens 24 Stunden und 5.000 Einträge, für den unten beschriebenen Abgleich. Diese Hashes werden nicht in Firestore gespeichert.
  • Gemeinsamer Cache der VIES-Ergebnisse (vies_cache, Firestore eur3): Damit VIES nicht mehrmals am Tag für dieselbe Nummer abgefragt wird, speichern wir je geprüfter USt-IdNr. ein Dokument mit einem pseudonymen Schlüssel (HMAC-SHA256 aus Ländercode und Nummer mit dem Server-Geheimnis, nie die Nummer), dem Ergebnis (gültig, ungültig oder nicht verifiziert mit dem VIES-Fehlercode), dem Zeitpunkt der Prüfung und dem von VIES gemeldeten Datum. Kein Name, keine Anschrift, kein API-Schlüssel, keine IP. Ein gültiges oder ungültiges Ergebnis wird 24 Stunden wiederverwendet, ein nicht verifiziertes 10 Minuten; danach wird es nicht mehr verwendet und der tägliche Job löscht das Dokument innerhalb von 49 Stunden nach der Prüfung.
  • Optionaler Abgleich: Sendet der Aufrufer einen eigenen Namen und/oder eine Anschrift (nur im Anfrage-Body), erfolgt der Abgleich mit dem VIES-Datensatz lokal; wir geben nur ja/nein zurück (name_match, address_match). Name und Anschrift des Aufrufers werden nicht an VIES gesendet, nicht gespeichert und nicht protokolliert.
  • Die Ergebniszeile speichert außerdem: tool, den Status (vat_status), das Präfix des Mitgliedstaats, die technische Kategorie des VIES-Ergebnisses, die Zahl der Versuche, das optionale Feld client und die Kanalmessung (channel, via_proxy, ua_family, aus geschlossenen Listen). User-Agent, Referer und IP werden nicht gespeichert.
• USt-IdNr. – Ranking (/route, /outcome, nur wenn wieder aktiviert): wird bei der Übertragung normalisiert; in Firestore bleibt nur ihr SHA-256-Hash.
  • Der Hash nutzt kein Geheimnis. Wer eine USt-IdNr. kennt, kann ihren Hash prüfen.
  • Italienische USt-IdNr. haben 11 Ziffern mit einer Prüfziffer; der Hash lässt sich daher durch Ausprobieren aller Kombinationen zurückrechnen. Wir behandeln ihn deshalb als pseudonymisiertes, nicht als anonymes Datum.
  • Bei Einzelunternehmen kann die USt-IdNr. ein personenbezogenes Datum sein.
• Ergebnisse und Meldungen: Für jeden Aufruf speichern wir eine Ergebniszeile mit:
  • Schlüssel-ID, Endpunkt, Zeitstempel, Latenz, technischem Ergebnis;
  • Hash der USt-IdNr., genanntem Anbieter und dem optionalen Feld client (Name und Version der Integration).

Meldungen an /outcome enthalten zusätzlich:

• das gemeldete Gültigkeitsbit und die Quelle;
• eine eventuelle consultation_number (vom Aufrufer gesendete VIES-Abfragenummer);
• zwei Ja/Nein-Werte, ob Name und Anschrift vorhanden waren;
• nach dem Abgleich mit dem Register zwei Ja/Nein-Werte, ob Name und Anschrift übereinstimmten.

Messungen speichern numerische Ähnlichkeitswerte zwischen gemeldetem und registriertem Namen bzw. registrierter Anschrift. Registrierter Name und registrierte Anschrift werden nie als Text gespeichert: Sie dienen nur im Arbeitsspeicher dem Abgleich. Belege, Messungen und der Quarantänestatus je Schlüssel folgen derselben Frist.

• Zahlungen (x402): Über das kostenlose Tageskontingent hinaus antwortet die API mit HTTP 402 und einer Zahlungsaufforderung im Format x402. Derzeit werden keine Zahlungen eingezogen. Werden Zahlungen eingeschaltet, wird diese Erklärung vorher aktualisiert.
• Betriebslogs: Bei nicht erkannten Schlüsseln protokollieren wir ein 8-stelliges Präfix des Schlüssel-Hashes und den IP-Hash, nie den Schlüssel oder die IP. Je Prüfung erhält das Funktionsprotokoll eine Zeile vies_check mit Mitgliedstaat, Ergebnis, Quelle (live/Cache), Versuchen und Latenz: nie die USt-IdNr., ihren Hash, den Namen oder die Anschrift.
• Amtliche Quellen: Für validate_vat wird VIES (Europäische Kommission) live abgefragt, außer für dieselbe Nummer liegt ein Ergebnis vor, das jünger als 24 Stunden (gültig oder ungültig) bzw. 10 Minuten (nicht verifiziert) ist, eine Drossel- oder Nebenläufigkeitsgrenze greift oder der Dienst im Notfall abgeschaltet ist. Die Antwort nennt den Zeitpunkt der ursprünglichen VIES-Prüfung (checked_at) und das Alter einer Antwort aus dem Cache (cache_age_s). Für das Ranking (wenn wieder aktiviert) werden VIES und nationale Register nur abgefragt, wenn die amtliche Prüfung aktiviert ist.
• VIES-Status (/vies-status, öffentlich): tägliche Aggregate je Mitgliedstaat (vies_status: Zahl der Versuche je Ergebnis und Latenzklassen). Keine USt-IdNrn., keine Hashes, keine Schlüssel.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung an Schlüsselinhaber;
• Art. 6 Abs. 1 lit. f für Sicherheit, Limits, Kontingente, die aggregierte Messung der Anbieterqualität und die ordnungsgemäße Nutzung von VIES (Ergebnis-Cache);
• Art. 6 Abs. 1 lit. c für etwaige gesetzliche Pflichten.

6. Speicherdauer und Löschung

Daten mit begrenzter Speicherdauer erhalten ein Ablaufdatum (expires_at), berechnet aus der Serveruhr beim Schreiben. Jeder neue Schreibvorgang auf dasselbe Dokument verschiebt es nach hinten. Kein Ablaufdatum haben nur aktive API-Schlüssel, Aggregate pro Anbieter und Referenzdaten ohne Daten der Aufrufer (siehe Tabelle). Dokumente, die vor dem 11. November 2026 geschrieben wurden, haben am 11. November 2026 durch eine einmalige Aktualisierung ein Ablaufdatum erhalten.

Die Löschung erfolgt automatisch. Ein täglicher Job startet zwischen 03:00 und 03:59 Uhr italienischer Zeit (zwischen 04:00 und 04:59 Uhr während der Sommerzeit); die genaue Minute innerhalb dieser Stunde wählt Vercel. Er löscht abgelaufene Dokumente, höchstens 5.000 pro Tag. In der Regel verschwindet ein Dokument innerhalb etwa eines Tages nach Ablauf; bei Rückstand kann es länger dauern.

• Anfragen aus dem Kontaktformular (quotes, ohne IP-Hash): 12 Monate nach der Einsendung
• Missbrauchszähler des Formulars (IP-Hash): läuft 48 Stunden nach der letzten Einsendung ab, gelöscht innerhalb von 73 Stunden
• Minutenlimits der API (IP-Hash, Schlüssel-ID): 48 Stunden
• Tagesnutzung je Schlüssel, Schlüsselausgabe je IP-Hash, Budgetzähler: 35 Tage
• Ergebnisse, Meldungen, Belege, Messungen, Quarantänestatus je Schlüssel: 400 Tage nach dem letzten Schreiben
• API-Schlüssel (Hash, ID, Kontingent, Datum, Status, Bezeichnung): solange der Schlüssel aktiv ist
• Cache der VIES-Ergebnisse (vies_cache: pseudonymer Schlüssel der USt-IdNr., Ergebnis, Zeitpunkt der Prüfung): 24 Stunden (gültig/ungültig) oder 10 Minuten (nicht verifiziert), gelöscht innerhalb von 49 Stunden
• Tägliche VIES-Aggregate je Mitgliedstaat (vies_status, keine Daten der Aufrufer): 35 Tage
• Aggregate pro Anbieter und Referenzdaten (nur Hashes, keine Daten der Aufrufer): kein Ablauf, überschrieben
• Historisches Vercel-Blob-Archiv (iad1): bis zur Schließung

Im Arbeitsspeicher der Funktionen, nie auf Datenträgern, liegen außerdem:

• IP-Limiter mit 60-Sekunden-Fenstern;
• ein Schlüssel-Cache: 60 Sekunden für gefundene, 5 Sekunden für unbekannte Schlüssel;
• eine Liste der Hashes bereits als gültig bekannter Schlüssel, höchstens 24 Stunden;
• der Replay-Schutz des Proof-of-Work, 300 Sekunden;
• die VIES-Antworten von validate_vat: Gültigkeit, Datum und Hashes mit Schlüssel von normalisiertem Namen/Anschrift (nie der Text), 24 Stunden (10 Minuten für nicht verifizierte Ergebnisse), höchstens 5.000 Einträge;
• die VIES-Begrenzer (Drosselung je Minute/Tag, laufende Anfragen je Mitgliedstaat und insgesamt, Warteschlange von 1,5 Sekunden) und der Cache der Antwort von /vies-status (120 Sekunden).

Alles wird beim Neustart der Instanz geleert.

7. Empfänger und Übermittlungen außerhalb des EWR

• Vercel Inc. (USA): Hosting der Website, Ausführung der API, Server-Logs.
  • Seit dem 11. November 2026 laufen die API-Funktionen in der Region fra1 (Frankfurt, Deutschland); davor liefen sie in iad1 (Washington, D.C., USA).
  • Vercel nimmt am EU-U.S. Data Privacy Framework teil; wo nötig, werden zusätzlich Standardvertragsklauseln verwendet.
• Google (Firebase / Cloud Firestore): Datenbank für Formularanfragen, API-Schlüssel, Zähler mit IP-Hashes, Ergebnisse und Meldungen.
  • Standort eur3 (Europa): Die Daten werden in der EU gespeichert.
  • Google LLC, eine Gesellschaft der Gruppe, nimmt am EU-U.S. Data Privacy Framework teil. Für Firebase gelten die Datenverarbeitungsbedingungen von Google, die Standardvertragsklauseln für etwaige Zugriffe von außerhalb der EU enthalten.
• Vercel Blob (USA, iad1): nur das historische Archiv in Stilllegung, aether-layer-quotes (Abschnitt 3).
• Porkbun LLC (USA): Weiterleitung eingehender E-Mails.
• Resend (eu-west-1, Irland; Unterauftragsverarbeiter Amazon Web Services): Versand ausgehender E-Mails.
• VIES (Europäische Kommission, GD TAXUD, im Auftrag der Steuerbehörden der Mitgliedstaaten): erhält Ländercode und USt-IdNr. zur Prüfung und leitet sie an das System des zuständigen Mitgliedstaats weiter. Laut VIES-Datenschutzerklärung sind die zuständigen Steuerbehörden der Mitgliedstaaten die Verantwortlichen; die Kommission handelt als Auftragsverarbeiter und speichert die übermittelten Daten nicht. VIES-Datenschutzerklärung (auf Englisch): https://taxation-customs.ec.europa.eu/document/download/a6cea373-9e05-45b8-9edb-e122ef35423a_en.
• Anbieter für USt-IdNr.-Prüfungen (nur Ranking, wenn wieder aktiviert): Die API nennt sie, kontaktiert sie nicht im Auftrag des Aufrufers und gibt ihnen keine Daten der Aufrufer weiter.

Verarbeitet ein Anbieter Daten in den USA, stützt sich die Übermittlung auf das EU-U.S. Data Privacy Framework, sofern der Anbieter teilnimmt, oder auf Standardvertragsklauseln.

8. Cookies und Analyse

Diese Website verwendet keine Cookies und keine Analyse-, Werbe- oder Tracking-Dienste.

9. Ihre Rechte

Sie haben das Recht auf:

• Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Schreiben Sie dazu an giacomo.sibilia@aether-layer.com oder nutzen Sie das Kontaktformular. Für die API speichern wir nur Hashes; wir bitten Sie daher eventuell um die Schlüssel-ID oder die verwendete USt-IdNr. Wir verwenden sie nur für diese Prüfung.

Sie können sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere beim Garante per la protezione dei dati personali (Italien), wo der Verantwortliche niedergelassen ist. Sie können sich auch an die Behörde des Ortes wenden, an dem Sie gewöhnlich wohnen oder arbeiten oder an dem der mutmaßliche Verstoß stattfand.

10. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Das Ranking betrifft Anbieter, nicht Personen. Ein Ergebnis von validate_vat gibt die VIES-Antwort und öffentliche Formatregeln wieder; ein Ergebnis invalid sollte nicht allein zur Ablehnung einer Transaktion dienen: in Italien und Spanien kann eine aktive Nummer in VIES fehlen.

11. Offizieller Hinweis (EU-VAT-API)

Automatische Prüfung: lokale Format- und Prüfziffernregeln plus eine Live-Abfrage von VIES (Europäische Kommission). Keine steuerliche Bescheinigung und keine Rechtsberatung; die VIES-Daten stammen aus den Datenbanken der Mitgliedstaaten. Bewahren Sie einen eigenen Nachweis der VIES-Abfrage auf.

Ranking (wenn wieder aktiviert): Aether misst, wie oft jeder Anbieter mit den amtlichen Registern (VIES, SIRENE) übereinstimmt. Das ersetzt nicht die Abfrage des Registers und ist keine steuerliche Bescheinigung.