Von Grund auf unter EU-Souveränität.
Herkunft, die Sie nachprüfen können.
Vertrauen bedeutet hier zwei überprüfbare Dinge: wo Ihre Daten liegen und gegen welche behördlichen Artefakte jede Validierung genau läuft. Jedes davon ist versioniert, datiert und wird nach festem Zeitplan neu geprüft.
100% EU, kein US-Unterauftragsverarbeiter
100% EU. Das primäre Hosting läuft bei Hetzner, verteilt über mehrere EU-Rechenzentren, und jeder Unterauftragsverarbeiter sitzt in der EU. Kein Google Analytics, keine Sitzungsaufzeichnung, keine US-Unterauftragsverarbeiter. Der letzte Punkt ist eine überprüfbare Aussage, unten aufgeführt, keine Marketingfloskel.
Behördlich verankerte Herkunft
Jedes Schematron und Schema ist versioniert und wird nach festem Zeitplan gegen das offiziell veröffentlichte Artefakt der jeweiligen Behörde neu verifiziert. Der versionierte Satz ist öffentlich, mit dem Datum, an dem jeder Eintrag als Nächstes zur Prüfung ansteht.
Verarbeitung im Arbeitsspeicher
Heute erstellt und validiert Beliq die Datei, und Sie versenden sie über Ihren eigenen Provider; die verwaltete Zustellung folgt. Rechnungsinhalte werden im Arbeitsspeicher verarbeitet, nicht dauerhaft gespeichert und nie zum Training von Modellen verwendet.
Wo Ihre Daten liegen und was wir damit tun.
Die gesamte primäre Infrastruktur läuft in der EU. Keine US-Region, kein US-Failover.
Jeder API-Aufruf und jede Dashboard-Sitzung ist bei der Übertragung verschlüsselt.
Werden von der Validierungs-Engine im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert; während einer Anfrage entstehende temporäre Dateien werden unmittelbar nach deren Abschluss gelöscht. Eine Fehlermeldung kann Teile eines Dokuments wiedergeben, etwa einen Namen oder eine Anschrift; solche Meldungen bleiben höchstens 90 Tage in unserer eigenen Fehlererfassung in Deutschland und bis zu deren Rotation in ihren verschlüsselten Sicherungen, und sie gelangen nicht in unseren zentralen Protokollspeicher.
Konto- und Auftrags-Metadaten bleiben in der EU; Datenbank-Backups nutzen verschlüsselten Objektspeicher.
Rechnungsinhalte werden nicht dauerhaft gespeichert und niemals zum Training von Modellen verwendet, auch nicht in der Fehleranalyse bei Scaleway.
Datenschutzfreundliches Umami, selbst gehostet in der EU. Kein Google Analytics, keine Sitzungsaufzeichnung, keine Werbung oder seitenübergreifendes Tracking und keine Cookies.
Clientseitige Fehler auf unserer Website werden an unser eigenes, selbst gehostetes GlitchTip in der EU gemeldet, damit wir Bugs finden und beheben können. Nur Stacktraces und Browser-Kontext, keine Cookies und keine Sitzungsaufzeichnung; Rechnungsinhalte werden entfernt, bevor überhaupt etwas gesendet wird. Serverseitige Fehler gehen an dieselbe Installation, und einen Fehler analysieren wir mit Hilfe eines Sprachmodells bei Scaleway in Paris.
Der Live-Chat läuft auf unserem eigenen Chatwoot-Server in der EU (Hetzner). Die Antworten seines KI-Assistenten erzeugt Scaleway in der EU. Scaleway speichert keine Support-Nachricht über die Verarbeitung hinaus, außer kurzzeitig zur Klärung von Missbrauch oder einem Fehler, und verwendet Support-Nachrichten nie zum Training von Modellen. Rechnungsinhalte gehören trotzdem nicht in den Chat; dafür ist die API da.
Jeder Unterauftragsverarbeiter hat seinen Sitz in der EU.
| Unterauftragsverarbeiter | Zweck | Standort | US-Übermittlung |
|---|---|---|---|
| Hetzner Online GmbH | Cloud-Infrastruktur (Server, Kubernetes, Datenbank, Backups, Fehlererfassung) | Deutschland (EU) | Keine |
| Scaleway SAS | Transaktions-E-Mail, Objektspeicher für die statische Website, externes Backup, Antworten im Support-Chat (Kontodaten und Support-Nachrichten), Fehleranalyse mit einem Sprachmodell (Fehlermeldungen und Protokolle, die Teile von Rechnungen enthalten können) | Frankreich (EU) | Keine |
| BunnyWay d.o.o. | CDN vor den Websites und der Oberfläche (nur Durchleitung, keine Zwischenspeicherung am Netzrand; ausschließlich EU-Standorte) | Slowenien (EU) | Keine |
| OVH SAS | Selbst verwalteter Monitoring-Host (Logs und Metriken; nur betriebliche Metadaten) | Frankreich (EU) | Keine |
| Armitage Labs OÜ (Creem) | Abo-Checkout, Abrechnung, Zahlungen (nur Kontodaten) | Estland (EU) | Keine |
| Brevo (Sendinblue SAS) | Newsletter-Versand und Verwaltung der Abonnentenliste (nur E-Mail-Adresse und Opt-in-Metadaten; keine Rechnungsinhalte). Einwilligungsbasiert, Double-Opt-in. | Frankreich (EU) | Keine |
| Lightkeeper OÜ (Phare) | Öffentliche Statusseite unter status.beliq.eu (Ihr Browser erreicht den Anbieter nur, wenn Sie diese Seite aufrufen; keine Cookies, keine Rechnungsinhalte). Die Überwachung ruft zwei Health-Endpunkte auf und sieht keine Auftragsdaten. | Estland (EU) | Nur beim Aufruf der Statusseite; die Auslieferungs-, DNS- und Sicherheitsschicht des Anbieters arbeitet weltweit, und ihr Routingfilter ist nicht von uns gesetzt, auf Grundlage der Standardvertragsklauseln |
Die Anmeldung mit Google, GitHub oder Microsoft stoßen Sie selbst an; sie wird von diesen Anbietern als von Ihnen gewählte Identitätsprovider abgewickelt, nicht als Unterauftragsverarbeiter. Die vollständigen Regeln zur Ankündigung von Änderungen bei Unterauftragsverarbeitern stehen im Vertrag zur Auftragsverarbeitung. Wo die einzelnen Verarbeitungen stattfinden, steht in Abschnitt 14 der Datenschutzerklärung, einschließlich der zwei Ausnahmen: Newsletter und Statusseite.
Versioniert, datiert, überprüfbar.
Die Artefakte, die Beliq je Format festlegt. Versioniert, bezogen aus dem jeweils eigenen Repository oder der Distribution der Behörde und nach festem Zeitplan neu geprüft. Jede Validierungsantwort nennt die Artefakte, die für das jeweilige Dokument tatsächlich gelaufen sind.
| Format | Behörde | Artefakt | Version | Veröffentlicht | Quelle | Neuprüfung |
|---|---|---|---|---|---|---|
| XRechnung | KoSIT | XRechnung Schematron | 2.6.0 | 2026-08-31 | itplr-kosit/xrechnung-schematron @ v2.6.0 | Nächste Prüfung 2027-01-28 |
| Factur-X | FNFE-MPE - DGFiP | Factur-X Schematron | 1.09.2 | 2026-09-04 | FNFE-MPE / FeRD Factur-X 1.09.2 package | Nächste Prüfung 2026-12-15 |
| ZUGFeRD | FeRD | EN 16931 CII Schematron | 1.3.16 | 2026-04-04 | ConnectingEurope/eInvoicing-EN16931 @ validation-1.3.16 | Nächste Prüfung 2026-12-17 |
| Peppol BIS Billing 3.0 | OpenPeppol | Peppol BIS Billing Schematron | 3.0.21 | 2026-05-20 | OpenPeppol BIS Billing 3.0 release notes | Verifiziert |
| NLCIUS | NPa - NEN | NLCIUS Schematron | 2.0.3.13 | 2026-05-21 | peppolautoriteit-nl/validation | Verifiziert |
| FatturaPA | Agenzia delle Entrate (SdI) | FatturaPA XSD | 1.4-runtime-2026-05-01 | Agenzia delle Entrate (SdI) | Nächste Prüfung 2026-12-17 | |
| Facturae | MINECO / MINHAP (Facturae) | Facturae XSD | 3.2.2-research-2026-05-24 | MINECO / MINHAP (Facturae) | Nächste Prüfung 2026-11-24 | |
| e-SLOG | GZS (Slovenian Chamber of Commerce) | e-SLOG XSD | 2.0-08-2020 | GZS (Slovenian Chamber of Commerce) | Nächste Prüfung 2026-12-17 | |
| KSeF FA(3) | Ministerstwo Finansów (KSeF) | KSeF FA(3) XSD | fa3-13775-runtime-2026-07-21 | Ministerstwo Finansów (KSeF) | Nächste Prüfung 2026-12-27 |
„Verifiziert“ bedeutet, dass das Profil die offiziellen Referenztestfälle der Behörde ohne offene Upstream-Lücke besteht. Jedes Artefakt oben wird mit dem SHA-256 seiner exakten Bytes im öffentlichen Katalog /v1/rulesets veröffentlicht, sodass sich der Regelsatz-Hash aus einer /v1/validate-Antwort rekonstruieren und mit dem abgleichen lässt, was wir für alle festlegen. Vollständige Abdeckung und Herkunft finden Sie in der Standards-Referenz.
Warum kein SOC-2-Siegel
Wir sind nicht SOC-2-auditiert und geben auch nicht vor, es zu sein. SOC 2 ist ein US-zentrierter Nachweis und das falsche Signal für Kunden in der EU. Vertrauen bedeutet hier EU-Souveränität und veröffentlichte Herkunft, kein Siegel, das wir nicht haben. Sollte ein Enterprise-Vertrag jemals eine formale Zertifizierung verlangen, ist ISO 27001 der EU-eigene Weg.
Sicherheitskontakt
Eine Schwachstelle gefunden? Unsere Richtlinie zur Meldung von Schwachstellen sagt, wie Sie sie melden, welche Tests erlaubt sind und was wir im Gegenzug zusagen. Zur Richtlinie