Datenschutzerklärung
Datenschutzerklärung für die App „riscontra“ und die Website riscontra.de.
Stand: Juli 2026
Inhaltsübersicht:
- A. Vorwort
- B. Allgemeines (Begriffsbestimmungen, Rechtsgrundlagen, Änderungen, keine Bereitstellungspflicht)
- C. Datenverarbeitung bei Nutzung der App (Download, Standalone, Pro-Version, Abo, KI-Funktionen, Berechtigungen)
- D. Datenverarbeitung bei Besuch der Website
- E. Verantwortlichkeit und Kontakt
- F. Datenverarbeitung durch Dritte und Drittlandübermittlung
- G. Ihre Rechte
A. Vorwort
Wir, riscontra Bernd Lambrecht, Gartenstraße 38, 53773 Hennef (Sieg), Deutschland (nachfolgend „der Anbieter", „wir" oder „uns"), nehmen den Schutz Ihrer personenbezogenen Daten ernst und möchten Sie an dieser Stelle über den Datenschutz im Zusammenhang mit der App riscontra (iOS, Android, Windows; nachfolgend „App") sowie der Website riscontra.de (nachfolgend „Website") informieren.
Mit dieser Erklärung (nachfolgend „Datenschutzhinweise") informieren wir Sie darüber, in welcher Weise personenbezogene Daten verarbeitet werden.
Das Wichtigste vorab – zwei Betriebsmodi, zwei Rollen: Die riscontra kennt zwei Betriebsmodi, die sich datenschutzrechtlich grundlegend unterscheiden:
- Standalone-Modus (kostenlos): Sämtliche Daten liegen ausschließlich lokal auf dem Endgerät. Es findet keine Übertragung an den Anbieter oder einen Server statt (siehe C. 2.).
- Pro-Version (kostenpflichtiges Abonnement): Die gemeinsamen Daten einer Organisation werden in einer zentralen Datenbank auf einem Server in Deutschland verarbeitet. Datenschutzrechtlich Verantwortlicher für die Mitglieder-, Mitarbeiter- und Leistungsnachweisdaten ist dabei die jeweilige Organisation bzw. deren Verwaltung; der Anbieter verarbeitet diese Daten weisungsgebunden als Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe C. 3.).
B. Allgemeines
1. Begriffsbestimmungen
Nach dem Vorbild des Art. 4 DSGVO liegen diesen Datenschutzhinweisen folgende Begriffsbestimmungen zugrunde:
- „Personenbezogene Daten" (Art. 4 Nr. 1 DSGVO) sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („Betroffener") beziehen. Identifizierbar ist eine Person, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, einer Online-Kennung, Standortdaten oder mithilfe von Informationen zu ihren physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identitätsmerkmalen identifiziert werden kann.
- „Verarbeiten" (Art. 4 Nr. 2 DSGVO) ist jeder Vorgang, bei dem mit personenbezogenen Daten umgegangen wird, gleich ob mit oder ohne Hilfe automatisierter Verfahren – insbesondere das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, die Verbreitung, der Abgleich, die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
- „Verantwortlicher" (Art. 4 Nr. 7 DSGVO) ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
- „Auftragsverarbeiter" (Art. 4 Nr. 8 DSGVO) ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen, insbesondere gemäß dessen Weisungen, verarbeitet. Im datenschutzrechtlichen Sinne ist ein Auftragsverarbeiter insbesondere kein Dritter.
- „Dritter" (Art. 4 Nr. 10 DSGVO) ist jede Stelle außer dem Betroffenen, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter deren unmittelbarer Verantwortung befugt sind, die personenbezogenen Daten zu verarbeiten.
- „Einwilligung" (Art. 4 Nr. 11 DSGVO) bezeichnet jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
2. Rechtsgrundlagen der Datenverarbeitung
Von Gesetzes wegen ist im Grundsatz jede Verarbeitung personenbezogener Daten verboten und nur dann erlaubt, wenn sie unter einen der folgenden Rechtfertigungstatbestände fällt:
- Art. 6 Abs. 1 S. 1 lit. a) DSGVO („Einwilligung");
- Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen);
- Art. 6 Abs. 1 S. 1 lit. c) DSGVO (Erfüllung einer rechtlichen Verpflichtung, z. B. gesetzliche Aufbewahrungspflichten);
- Art. 6 Abs. 1 S. 1 lit. d) DSGVO (Schutz lebenswichtiger Interessen);
- Art. 6 Abs. 1 S. 1 lit. f) DSGVO („Berechtigte Interessen"), sofern nicht die gegenläufigen Interessen oder Rechte des Betroffenen überwiegen.
Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen ist nur zulässig, wenn sie von einem der folgenden Rechtfertigungstatbestände gedeckt sind:
- § 25 Abs. 1 TDDDG: Wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Einwilligung hat gem. Art. 6 Abs. 1 S. 1 lit. a DSGVO zu erfolgen;
- § 25 Abs. 2 Nr. 1 TDDDG: Wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist; oder
- § 25 Abs. 2 Nr. 2 TDDDG: Wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.
Für die von uns vorgenommenen Verarbeitungsvorgänge geben wir im Folgenden jeweils die anwendbare Rechtsgrundlage an. Eine Verarbeitung kann auch auf mehreren Rechtsgrundlagen beruhen.
3. Änderung der Datenschutzhinweise
Im Rahmen der Fortentwicklung des Datenschutzrechts sowie technologischer oder organisatorischer Veränderungen werden diese Datenschutzhinweise regelmäßig überprüft und bei Bedarf angepasst. Über Änderungen werden Sie auf der Website und in der App unterrichtet; es gilt die jeweils dort abrufbare aktuelle Fassung.
4. Keine Verpflichtung zur Bereitstellung personenbezogener Daten
Für Sie besteht grundsätzlich keine gesetzliche oder vertragliche Verpflichtung, uns Ihre personenbezogenen Daten zur Verfügung zu stellen. Bestimmte Funktionen können jedoch nur eingeschränkt oder gar nicht erbracht werden, wenn die dafür erforderlichen Daten nicht bereitgestellt werden (z. B. kann der gemeinsame Zugriff auf Leistungsnachweise und Abgleich-Ergebnisse in der Pro-Version nicht ohne Mitgliedsdaten erfolgen). Hierauf wird an den relevanten Stellen gesondert hingewiesen.
C. Datenverarbeitung bei Nutzung der App
1. Die beim Download erhobenen Daten (App Stores)
1.1 Beim Download der App werden bestimmte dafür erforderliche Daten an den jeweiligen App Store (Apple App Store, Google Play oder Microsoft Store) übermittelt, insbesondere die E-Mail-Adresse, der Nutzername, die Kundennummer des herunterladenden Accounts, die individuelle Gerätekennziffer, Zahlungsinformationen sowie der Zeitpunkt des Downloads.
1.2 Auf diese Erhebung und Verarbeitung haben wir keinen Einfluss; sie erfolgt ausschließlich durch den von Ihnen ausgewählten Store-Betreiber in eigener Verantwortlichkeit. Es gelten dessen Datenschutzbestimmungen.
2. Datenverarbeitung im Standalone-Modus (kostenlos)
2.1 Im kostenlosen Standalone-Modus werden sämtliche in der App erfassten Daten – insbesondere Mitglieder samt Kontaktdaten und Rollen, importierte Leistungsnachweise der Mitarbeiter (Name, Team, Datum, Arbeitszeiten, Stunden, Tätigkeiten) sowie Abgleich-Läufe mit ihren Ergebnissen – ausschließlich lokal in einer eingebetteten Datenbank (SQLite) auf dem Endgerät gespeichert.
2.2 Es werden keine dieser Daten an den Anbieter oder an einen Server übertragen. Der Anbieter hat keinen Zugriff auf die lokal gespeicherten Daten.
2.3 Für die lokal erfassten Daten – einschließlich der Daten der Mitglieder und der Mitarbeiter, deren Leistungsnachweise verarbeitet werden – ist allein der Nutzer bzw. die jeweilige Organisation als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO zuständig. Die Organisation hat insbesondere sicherzustellen, dass die betroffenen Personen über die Verarbeitung informiert werden und eine Rechtsgrundlage (bei Beschäftigtendaten regelmäßig Art. 6 Abs. 1 S. 1 lit. b DSGVO i. V. m. § 26 BDSG – Durchführung des Beschäftigungsverhältnisses bzw. Art. 6 Abs. 1 S. 1 lit. f DSGVO bei Leistungsnachweisen von Mitarbeitern eines Auftragnehmers) besteht.
2.4 Die Sicherung der lokalen Daten liegt in der Verantwortung des Nutzers (z. B. über die Gerätesicherung oder die Export-Funktion der App).
3. Datenverarbeitung in der Pro-Version
3.1 Verarbeitete Datenkategorien
In der kostenpflichtigen Pro-Version werden die gemeinsamen Daten einer Organisation in einer zentralen Datenbank verarbeitet, damit mehrere Mitglieder von ihren eigenen Geräten gleichzeitig auf denselben Datenbestand zugreifen können.
Die nachfolgende Aufstellung beschreibt die Datenkategorien, die in der App verarbeitet werden können. Welche Daten tatsächlich erhoben und verarbeitet werden, richtet sich nach der konkreten Nutzung sowie den Einstellungen, die die Verwaltung der jeweiligen Organisation als Verantwortlicher vornimmt (z. B. ob Profilbilder erfasst oder welche Leistungsnachweise importiert werden). Verbindlich für die betroffenen Personen ist insoweit die Information der jeweiligen Organisation (siehe C. 3.3). Zu den möglichen Datenkategorien gehören insbesondere:
- Mitgliederdaten (Nutzer der App): Name, Anzeigename, Anschrift, Telefonnummer, E-Mail-Adresse, Profilbild (sofern hinterlegt), Rolle in der Organisation sowie ein gehashter PIN zum Schutz der Anmeldung;
- Leistungsnachweisdaten der Mitarbeiter: Name des Mitarbeiters, Team, Monat und Jahr, je Tag Datum, Beginn und Ende, Stunden, Vor-Ort-Angabe, RT/RKP, Skill, Faktor, Tätigkeit sowie anerkannte Stunden und der Name der importierten PDF-Datei;
- Abgleichdaten: je Abgleich-Lauf Zeitpunkt, ausführendes Mitglied, Name der Zeiterfassungs-Excel, Zeitraum sowie je Mitarbeiter und Tag die Stunden laut Excel und laut PDF und das Ergebnis des Abgleichs (übereinstimmend/abweichend);
- Technische Zugangsdaten je Gerät: persönliches Zugangstoken, Abo-Status und Ablaufdatum.
3.2 Hosting und Speicherort
Der zentrale Server wird in einem Rechenzentrum der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Eine Übermittlung in Drittländer außerhalb der EU findet im Rahmen des Hostings nicht statt.
Die Daten verschiedener Organisationen werden serverseitig als getrennte Mandanten strikt voneinander isoliert. Der Zugriff erfolgt ausschließlich über eine abgesicherte, TLS-verschlüsselte Schnittstelle; jedes Gerät weist sich mit einem persönlichen Zugangstoken aus. Neue Mitglieder treten einer Organisation nur mit einem von der Verwaltung ausgegebenen Einladungscode bei.
3.3 Rollenverteilung: Organisation als Verantwortlicher, Anbieter als Auftragsverarbeiter
3.3.1 Datenschutzrechtlich Verantwortlicher für die in der App erfassten Mitglieder-, Mitarbeiter- und Leistungsnachweisdaten ist die jeweilige Organisation bzw. deren Verwaltung. Sie entscheidet, welche Daten erhoben und wie sie genutzt werden.
3.3.2 Der Anbieter stellt die Software und den zentralen Server bereit und verarbeitet diese Daten weisungsgebunden im Auftrag der Organisation (Auftragsverarbeitung gemäß Art. 28 DSGVO). Der Anbieter nutzt die Daten nicht für eigene Zwecke, wertet sie nicht aus und gibt sie nicht an Dritte weiter, soweit keine gesetzliche Verpflichtung besteht.
3.3.3 Die Verwaltung einer Organisation ist verpflichtet, vor der produktiven Nutzung der Pro-Version mit dem Anbieter eine Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 Abs. 3 DSGVO abzuschließen, ihre Mitglieder und die Mitarbeiter, deren Leistungsnachweise verarbeitet werden, gemäß Art. 13, 14 DSGVO über die Verarbeitung zu informieren und nur Daten mit gültiger Rechtsgrundlage zu erfassen. Eine Muster-AVV stellt der Anbieter in der App zur Verfügung.
3.4 Zwecke und Rechtsgrundlagen
Die Verarbeitung dient dem Abgleich von Zeiterfassungen mit den Leistungsnachweisen der Mitarbeiter je Tag, der Prüfung und Auswertung der nachgewiesenen Stunden und Tätigkeiten sowie dem gemeinsamen Zugriff der Mitglieder der Organisation auf diese Daten.
- Im Verhältnis Anbieter ↔ Nutzer/Organisation ist Rechtsgrundlage für die Verarbeitung der zur Bereitstellung des Dienstes erforderlichen Daten (insbesondere Zugangstoken, Abo-Status) Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen und missbrauchsfreien Betrieb).
- Im Verhältnis Organisation ↔ Mitglieder und Mitarbeiter ist Rechtsgrundlage regelmäßig Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Beschäftigungs- bzw. Vertragsverhältnis, ggf. i. V. m. § 26 BDSG), Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigtes Interesse an der Prüfung abgerechneter Leistungen, etwa bei Leistungsnachweisen von Mitarbeitern eines Auftragnehmers) sowie Art. 6 Abs. 1 S. 1 lit. c) DSGVO hinsichtlich gesetzlicher Aufbewahrungspflichten der Organisation (z. B. § 257 HGB, § 147 AO). Die Information der betroffenen Personen obliegt der Organisation als Verantwortlicher.
3.5 Speicherdauer, Datensicherung und kein Lock-in
3.5.1 Die zentral gespeicherten Daten werden gespeichert, solange die Organisation sie für ihren Betrieb benötigt. Nach dauerhafter Einstellung der Pro-Nutzung einer Organisation werden deren zentrale Daten nach einer angemessenen Frist gelöscht; gesetzliche Aufbewahrungspflichten der Organisation bleiben unberührt. Eine Speicherung kann darüber hinaus im Falle einer (drohenden) Rechtsstreitigkeit oder eines sonstigen rechtlichen Verfahrens erfolgen.
3.5.2 Die Verwaltung einer Organisation kann jederzeit – auch bei gekündigtem oder abgelaufenem Abonnement – eine vollständige, maschinenlesbare und wieder-importierbare Sicherung sämtlicher zentral gespeicherter Daten herunterladen. Damit ist die Datenübertragbarkeit (Art. 20 DSGVO) gewährleistet und ein Anbieter-Lock-in ausgeschlossen. Endet ein Abonnement, wird lediglich der Zugriff des betroffenen Geräts eingeschränkt; die Daten der Organisation bleiben erhalten.
3.5.3 Beim Umstieg vom Standalone- in den Pro-Modus übernimmt ein Assistent die vorhandenen lokalen Daten in die zentrale Datenbank; die Übernahme erfolgt ausschließlich auf Veranlassung der Verwaltung.
4. Abonnement und Beleg-Prüfung
4.1 Der Erwerb und die Abrechnung des Pro-Abonnements erfolgen über den Apple App Store bzw. Google Play. Die dabei anfallenden Daten (insbesondere Kauf- und Zahlungsdaten) werden vom jeweiligen Store-Betreiber in eigener Verantwortung verarbeitet; es gelten dessen Datenschutzbestimmungen. Zahlungsdaten (z. B. Kreditkartendaten) werden zu keinem Zeitpunkt an den Anbieter übermittelt.
4.2 Zur Prüfung des Abo-Status übermittelt die App den vom Store ausgestellten Kaufbeleg an den zentralen Server. Dort werden je Gerät der Abo-Status und das Ablaufdatum gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Durchführung des Abonnementvertrags) sowie Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigtes Interesse an der Verhinderung unberechtigter Zugriffe).
5. KI-Funktionen mit eigenem API-Schlüssel – optional
5.1 Die App bietet optionale KI-gestützte Funktionen. Dazu gehört insbesondere das Erkennen von Leistungsnachweisen aus Bildern oder PDF-Dateien. Diese stehen nur zur Verfügung, wenn der Nutzer einen eigenen API-Schlüssel des KI-Dienstes „Claude" des Anbieters Anthropic PBC, 500 Howard Street, San Francisco, CA 94105, USA, hinterlegt. Ohne hinterlegten Schlüssel arbeitet die App vollständig ohne KI; alle Grundfunktionen bleiben nutzbar, und es findet keinerlei Übermittlung an Anthropic statt.
5.2 Bei Nutzung dieser Funktionen werden die jeweiligen Eingaben bzw. Dokumente (z. B. ein Leistungsnachweis mit Namen, Arbeitszeiten und Tätigkeiten eines Mitarbeiters) direkt vom Endgerät an Anthropic übermittelt und können dabei in ein Drittland (USA) gelangen. Es gibt keinen zwischengeschalteten Server des Anbieters; der Anbieter erhält weder die Eingaben noch die Antworten.
5.3 Zwischen dem Nutzer und Anthropic besteht ein eigenständiges Vertragsverhältnis nach Maßgabe der Anthropic Terms of Service, Usage Policy und Privacy Policy (https://www.anthropic.com/legal/privacy). Für die an Anthropic übermittelten Inhalte ist der Nutzer bzw. die Organisation selbst datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Im Verhältnis zum App-Anbieter findet keine Drittlandübermittlung statt, da dieser selbst keine Daten an Anthropic überträgt.
5.4 Übermittelte Eingaben und Dokumente verlassen das Endgerät und werden auf Servern von Anthropic in den USA verarbeitet. Leistungsnachweise enthalten regelmäßig personenbezogene Daten von Mitarbeitern (Beschäftigtendaten). Vor der Nutzung der KI-Funktionen hat die Organisation als Verantwortlicher daher zu prüfen, ob für die Übermittlung an Anthropic eine Rechtsgrundlage und geeignete Garantien für die Drittlandübermittlung bestehen, und die betroffenen Mitarbeiter darüber zu informieren. Vertrauliche oder sensible Informationen, die für die Erkennung nicht erforderlich sind (z. B. handschriftliche Vermerke), sollten vorher entfernt werden.
5.5 Der hinterlegte Claude-API-Schlüssel wird ausschließlich im sicheren Schlüsselspeicher des jeweiligen Betriebssystems abgelegt (iOS/macOS Keychain, Android Keystore bzw. EncryptedSharedPreferences, Windows DPAPI/Credential Locker). Er wird verschlüsselt gespeichert, nicht in der App-Datenbank, nicht in unverschlüsselten Backups, Crash-Reports oder Logdateien abgelegt und nicht an den Anbieter oder sonstige Dritte übermittelt. Der Nutzer kann den Schlüssel jederzeit in den KI-Einstellungen ändern oder löschen.
5.6 Rechtsgrundlage – soweit der Verantwortungsbereich des Anbieters betroffen ist – ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO; für die Speicherung des Schlüssels in der Endeinrichtung § 25 Abs. 2 Nr. 2 TDDDG.
6. Geräteberechtigungen
Je nach genutzter Funktion fragt die App Berechtigungen des Endgeräts ab. Die Erteilung ist freiwillig; ohne sie steht lediglich die jeweilige Funktion nicht zur Verfügung:
- Fotos für ein Mitglieder-Profilbild. Ein Profilbild wird im Standalone-Modus ausschließlich lokal gespeichert; in der Pro-Version ist es Teil der zentral gespeicherten Mitgliederdaten (siehe C. 3.). Bilder, die für die KI-Erkennung von Leistungsnachweisen verwendet werden, werden gemäß C. 5. an Anthropic übermittelt.
- Dateizugriff zum Einlesen von Zeiterfassungen (Excel), Leistungsnachweisen (PDF) und Mitgliederlisten sowie zum Speichern und Teilen erzeugter Dateien (Abgleich-Ergebnisse und Auswertungen als Excel, AVV als PDF, Sicherungen).
7. Keine Werbung, kein Tracking
Die App enthält keine Werbe-SDKs und keine Tracking- oder Analyse-Dienste Dritter und erstellt keine Nutzungsprofile zu Werbezwecken.
8. Datensicherheit
Wir bedienen uns geeigneter technischer und organisatorischer Sicherheitsmaßnahmen, um Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen – unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Natur, des Umfangs, des Kontexts und des Zwecks der Verarbeitung sowie der bestehenden Risiken. Dazu gehören insbesondere: TLS-Verschlüsselung sämtlicher Verbindungen, strikte Mandantentrennung der Organisationen, persönliche Zugangstoken je Gerät, Einladungscodes für den Beitritt, verschlüsselte Ablage von API-Schlüsseln im System-Schlüsselspeicher sowie Hosting in einem zertifizierten Rechenzentrum in Deutschland. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert. Nähere Informationen erteilen wir auf Anfrage (siehe E.).
9. Keine automatisierte Entscheidungsfindung (einschließlich Profiling)
Wir verwenden keine personenbezogenen Daten für ein Verfahren zur automatisierten Entscheidungsfindung (einschließlich Profiling) im Sinne des Art. 22 DSGVO. Der Abgleich von Zeiterfassung und Leistungsnachweisen kennzeichnet lediglich rechnerische Übereinstimmungen und Abweichungen der Stunden je Mitarbeiter und Tag; die Bewertung und alle daraus folgenden Entscheidungen trifft ausschließlich die Organisation. Die optionalen KI-Funktionen erzeugen lediglich unverbindliche Vorschläge auf ausdrückliche Anforderung.
10. Zweckänderung
Verarbeitungen personenbezogener Daten zu anderen als den beschriebenen Zwecken erfolgen nur, soweit eine Rechtsvorschrift dies erlaubt oder Sie in den geänderten Zweck eingewilligt haben. Im Falle einer Weiterverarbeitung zu anderen Zwecken informieren wir Sie vor der Weiterverarbeitung über diese Zwecke und stellen Ihnen sämtliche weiteren maßgeblichen Informationen zur Verfügung.
D. Datenverarbeitung bei Besuch der Website
1. Server-Logfiles
1.1 Bei der bloß informatorischen Nutzung der Website verarbeiten wir die Daten, die Ihr Browser an unseren Webserver übermittelt und die technisch erforderlich sind, um Ihnen die Website anzuzeigen und die Stabilität und Sicherheit zu gewährleisten:
- aufgerufene Seite (Name und URL) sowie Referrer-URL
- Datum und Uhrzeit des Zugriffs, GMT-Zeitzonendifferenz
- übertragene Datenmenge und Zugriffsstatus (HTTP-Statuscode)
- Browsertyp, -sprache und -version sowie Betriebssystem
- IP-Adresse des anfragenden Rechners
1.2 Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f) DSGVO; unser berechtigtes Interesse liegt in der Anzeige, Stabilität und Sicherheit der Website. Die Logfiles werden nach kurzer Zeit gelöscht, soweit sie nicht zur Aufklärung konkreter Anhaltspunkte einer rechtswidrigen Nutzung benötigt werden.
1.3 Die Website nutzt eine TLS-/SSL-Verschlüsselung, erkennbar an „https://" und dem Schloss-Symbol in der Browserzeile.
2. Hosting
Für das Hosting der Website nutzen wir einen Anbieter, der seine Leistungen ausschließlich auf Servern innerhalb der Europäischen Union erbringt. Mit dem Hosting-Anbieter haben wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.
3. Cookies
3.1 Die Website verwendet ausschließlich technisch notwendige Cookies, um grundlegende Funktionen bereitzustellen. Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.
3.2 Rechtsgrundlage für technisch notwendige Cookies ist § 25 Abs. 2 Nr. 2 TDDDG; soweit dabei personenbezogene Daten verarbeitet werden, Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Sollten künftig einwilligungspflichtige Cookies oder Dienste eingesetzt werden, erfolgt dies nur nach Ihrer ausdrücklichen, aktiven Einwilligung gem. § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 S. 1 lit. a) DSGVO über ein Consent-Tool.
E. Verantwortlichkeit und Kontakt
1. Anbieter und Kontaktdaten
Verantwortlich für die Bereitstellung der App und der Website sowie – soweit oben beschrieben – für die Verarbeitung in eigener Verantwortlichkeit ist:
Bernd Lambrecht
Gartenstraße 38
53773 Hennef (Sieg)
Deutschland
Tel.: +49 2242 9017993
E-Mail: bernd@lambrecht-su.de
Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Bei allen Fragen zum Datenschutz erreichen Sie uns unter den vorgenannten Kontaktdaten.
Welche Rolle der Anbieter im Einzelfall einnimmt – Verantwortlicher oder Auftragsverarbeiter – richtet sich nach dem Betriebsmodus: Im Standalone-Modus liegt die Verantwortung allein beim Nutzer bzw. der Organisation (C. 2.); in der Pro-Version ist die Organisation Verantwortlicher für die Mitglieder-, Mitarbeiter- und Leistungsnachweisdaten und der Anbieter Auftragsverarbeiter (C. 3.); für Website, Kontaktaufnahme, Zugangs-/Abo-Daten und den eigenen Geschäftsbetrieb ist der Anbieter Verantwortlicher.
2. Datenerhebung bei der Kontaktaufnahme
2.1 Wenn Sie mit uns per E-Mail Kontakt aufnehmen, werden Ihre E-Mail-Adresse, ggf. Ihr Name sowie alle weiteren von Ihnen mitgeteilten personenbezogenen Daten von uns gespeichert, um Ihr Anliegen zu bearbeiten und zu beantworten.
2.2 Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO, sofern die Anfrage im Zusammenhang mit einem (vor-)vertraglichen Verhältnis steht, im Übrigen Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigtes Interesse an der Beantwortung Ihrer Anfrage).
2.3 Diese Daten löschen wir, sobald die Speicherung nicht mehr erforderlich ist. Liegen gesetzliche Aufbewahrungsfristen vor, schränken wir die Verarbeitung ein.
F. Datenverarbeitung durch Dritte und Drittlandübermittlung
1. Auftragsverarbeitung durch von uns eingesetzte Dienstleister
1.1 Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte externe Dienstleister ein, die nur nach unserer Weisung tätig werden und i. S. v. Art. 28 DSGVO vertraglich zur Einhaltung der datenschutzrechtlichen Bestimmungen verpflichtet wurden. Folgende Kategorien von Empfängern erhalten ggf. Zugriff auf personenbezogene Daten:
- Hosting-Dienstleister für den Betrieb des zentralen Servers der Pro-Version (Hetzner Online GmbH, Deutschland) und der Website – Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. b oder lit. f DSGVO;
- staatliche Stellen/Behörden, soweit dies zur Erfüllung einer gesetzlichen Verpflichtung erforderlich ist – Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. c DSGVO;
- zur Durchführung unseres Geschäftsbetriebs eingesetzte Personen (z. B. Steuerberater, Rechtsberater, Banken) – Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. b) oder lit. f) DSGVO.
1.2 Von uns eingesetzte Dienstleister speichern Daten auf ihren Systemen nur so lange, wie es im Zusammenhang mit der Leistungserbringung entsprechend dem jeweiligen Auftrag erforderlich ist.
1.3 Darüber hinaus geben wir personenbezogene Daten nur an Dritte weiter, wenn hierzu eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a) DSGVO erteilt wurde oder wir gesetzlich zur Weitergabe verpflichtet sind nach Art. 6 Abs. 1 S. 1 lit. c) DSGVO.
2. Empfänger außerhalb unserer Verantwortlichkeit
Unabhängig von uns und in eigener Verantwortlichkeit verarbeiten personenbezogene Daten:
- die App-Store-Betreiber (Apple, Google, Microsoft) bei Download und Abo-Abrechnung (siehe C. 1., C. 4.);
- Anthropic, sofern der Nutzer die optionalen KI-Funktionen mit eigenem API-Schlüssel nutzt (siehe C. 5.).
3. Voraussetzungen der Weitergabe von personenbezogenen Daten in Drittländer
3.1 Im Rahmen des Hostings der Pro-Version findet keine Übermittlung in Drittländer statt; die zentrale Datenbank wird ausschließlich in Deutschland betrieben.
3.2 Bei den optionalen KI-Funktionen mit eigenem API-Schlüssel können Daten in die USA gelangen; diese Übermittlung erfolgt ausschließlich im Verantwortungsbereich des Nutzers unmittelbar zwischen dessen Gerät und Anthropic (siehe C. 5.). Datenübermittlungen der Store-Betreiber in Drittländer erfolgen in deren eigener Verantwortlichkeit; die betreffenden US-Unternehmen sind regelmäßig unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO; Liste der Angemessenheitsbeschlüsse: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en). Soweit kein Angemessenheitsbeschluss greift, kommen als Garantien insbesondere Standard-Vertragsklauseln der Europäischen Kommission gem. Art. 46 Abs. 2 lit. c) DSGVO in Betracht.
4. Gesetzliche Verpflichtung zur Übermittlung bestimmter Daten
Wir können unter Umständen einer besonderen gesetzlichen oder rechtlichen Verpflichtung unterliegen, rechtmäßig verarbeitete personenbezogene Daten für Dritte, insbesondere öffentliche Stellen, bereitzustellen (Art. 6 Abs. 1 S. 1 lit. c) DSGVO).
G. Ihre Rechte
Betroffene Personen haben nach der DSGVO insbesondere das Recht:
- Auskunft (Art. 15 DSGVO) über die verarbeiteten personenbezogenen Daten zu verlangen, insbesondere über Verarbeitungszwecke, Datenkategorien, Empfängerkategorien, geplante Speicherdauer und die Herkunft der Daten.
- Berichtigung (Art. 16 DSGVO) unverzüglich die Berichtigung unrichtiger oder die Vervollständigung gespeicherter Daten zu verlangen.
- Löschung (Art. 17 DSGVO) gespeicherter Daten zu verlangen, soweit nicht die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
- Einschränkung der Verarbeitung (Art. 18 DSGVO) zu verlangen, insbesondere solange die Richtigkeit der Daten bestritten wird oder anstelle einer Löschung eine eingeschränkte Verarbeitung verlangt wird.
- Datenübertragbarkeit (Art. 20 DSGVO) die bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen. In der Pro-Version ist dies zusätzlich durch die jederzeit mögliche vollständige, wieder-importierbare Datensicherung gewährleistet.
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
- Beschwerde (Art. 77 DSGVO) bei einer Datenschutz-Aufsichtsbehörde. Zuständig für Anbieter ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, E-Mail: poststelle@ldi.nrw.de. Es kann auch die Aufsichtsbehörde am eigenen Wohnort kontaktiert werden.
Widerspruchsrecht (Art. 21 DSGVO): Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigte Interessen) verarbeitet werden, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Die betroffenen Daten werden dann nicht mehr verarbeitet, es sei denn, es können zwingende schutzwürdige Gründe für die Verarbeitung nachgewiesen werden, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
An wen richten Sie Ihr Anliegen?
- In der Pro-Version sind die Betroffenenrechte hinsichtlich der Mitglieder-, Mitarbeiter- und Leistungsnachweisdaten gegenüber der jeweiligen Organisation als Verantwortlicher geltend zu machen; der Anbieter unterstützt die Organisation als Auftragsverarbeiter gemäß Art. 28 Abs. 3 lit. e) DSGVO bei deren Erfüllung.
- Im Standalone-Modus liegen die Daten allein beim Nutzer bzw. der Organisation; Löschung, Berichtigung und Export erfolgen unmittelbar in der App.
- Für Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist (Website, Kontaktaufnahme, Zugangs-/Abo-Daten), wenden Sie sich an die unter E. 1. genannten Kontaktdaten.
- Für Verarbeitungen durch App-Stores oder Anthropic machen Sie Ihre Rechte bitte unmittelbar gegenüber diesen Stellen geltend.