Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

2. Erhobene Daten

Im Rahmen der Nutzung unserer Plattform erheben und verarbeiten wir folgende personenbezogene Daten:

• Registrierungsdaten: Name, E-Mail-Adresse, Passwort (verschlüsselt gespeichert), Firmenname, Adresse
• Nutzungsdaten: Zugriffszeiten, aufgerufene Seiten, verwendete Funktionen, IP-Adresse, Browser-Typ
• Geschäftsdaten: Kundendaten, Auftragsinformationen, Rechnungsdaten, die Sie in der Plattform anlegen und verwalten. Sensible Geschäftsdaten (IBAN, Steuernummer, Adressen, Kontaktdaten) werden verschlüsselt in der Datenbank gespeichert (AES-256-GCM).
• Zahlungsdaten: Abrechnungsinformationen, die über unseren Zahlungsdienstleister Stripe verarbeitet werden. Kreditkartendaten werden ausschließlich bei Stripe gespeichert, nicht in unserem System.
• Kommunikationsdaten: Inhalte von Supportanfragen, E-Mail-Kommunikation

3. Rechtsgrundlage der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Soweit Sie uns eine Einwilligung zur Verarbeitung personenbezogener Daten erteilt haben, z. B. für den Einsatz optionaler Cookies oder den Versand von Newslettern.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist zur Erfüllung unseres Nutzungsvertrags mit Ihnen erforderlich, insbesondere für die Bereitstellung der SaaS-Plattform, Benutzerkontoverwaltung und Abrechnung.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, z. B. zur Verbesserung unserer Dienste, Betrugserkennung und IT-Sicherheit.
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Soweit wir gesetzlich zur Datenverarbeitung verpflichtet sind, z. B. zur Erfüllung steuerrechtlicher Aufbewahrungspflichten.

4. Ihre Rechte (Art. 15–20 DSGVO)

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Wir bieten hierfür eine DATEV-CSV-Exportfunktion an.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer personenbezogenen Daten jederzeit widersprechen.
• Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

5. Cookies

Unsere Plattform verwendet Cookies. Dabei handelt es sich um kleine Textdateien, die auf Ihrem Endgerät gespeichert werden.

Notwendige Cookies

Diese Cookies sind für den Betrieb der Plattform zwingend erforderlich. Dazu gehören Session-Cookies für die Authentifizierung (NextAuth.js) sowie Cookies zur Speicherung Ihrer Cookie-Einstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Optionale Cookies

Optionale Cookies werden nur mit Ihrer ausdrücklichen Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner widerrufen, indem Sie Ihre gespeicherten Cookie-Einstellungen im Browser löschen.

6. Technische Sicherheitsmaßnahmen (Art. 32 DSGVO)

Zum Schutz Ihrer personenbezogenen Daten setzen wir folgende technische Maßnahmen ein:

• Verschlüsselung bei der Übertragung: Alle Verbindungen zu unserer Plattform sind per TLS 1.2/1.3 verschlüsselt (HTTPS).
• Verschlüsselung in der Datenbank: Sensible personenbezogene Daten wie Bankverbindungen (IBAN, BIC), Steuernummern, Kundenadressen und Kontaktdaten werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert. Selbst bei unbefugtem Zugriff auf die Datenbank sind diese Daten nicht lesbar.
• Passwort-Hashing: Passwörter werden mit bcrypt (12 Runden) gehasht und können nicht im Klartext wiederhergestellt werden.
• GPS-Datenminimierung: Standortdaten bei der Zeiterfassung werden auf ca. 100m Genauigkeit gerundet und nur mit Einwilligung des Mitarbeiters erfasst.
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Meister, Vorarbeiter, Geselle, Büro) mit Betriebsisolierung. Mitarbeiter sehen nur Daten ihres eigenen Betriebs.
• Brute-Force-Schutz: Login-Versuche sind auf 5 pro 15 Minuten begrenzt. API-Anfragen auf 120 pro Minute pro Benutzer.
• CSRF-Schutz: Alle zustandsverändernden Anfragen werden gegen Cross-Site-Request-Forgery geschützt.

7. Drittanbieter und Auftragsverarbeiter

Zur Erbringung unserer Dienste setzen wir folgende Drittanbieter ein, mit denen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen wurden:

8. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten zu schützen:

• 256-Bit-SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Verschlüsselung sensibler Daten in der Datenbank (Passwörter werden mit bcrypt gehasht)
• Rollenbasierte Zugriffskontrolle (Meister, Geselle, Büro) zur Minimierung des Datenzugriffs
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Automatische Datensicherungen mit Verschlüsselung
• Serverstandort ausschließlich in Deutschland (Frankfurt am Main)

9. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Erfüllung des Vertragszwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Rechnungsdaten werden gemäß § 147 AO und § 257 HGB für 10 Jahre aufbewahrt. Nach Kündigung Ihres Kontos werden Ihre Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Kontakt zum Datenschutzbeauftragten

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an: