Datenschutzerklärung

1. Verantwortlicher und Rollen

Verantwortlicher für die Verarbeitung der Konto- und Nutzungsdaten (Registrierung, Anmeldung, Sitzung, Organisation und Team) ist:

Frank Gutknecht (Conperity), Kiebitzstr. 5h, 85586 Poing, Deutschland
Datenschutzanfragen: info@conperity.de

Für die Fachdaten, die du in ConTrack erfasst (Kunden, Leistungserfassung, Rechnungen, Angebote, Materialien), ist deine Organisation (die Firma, für die du ConTrack nutzt) Verantwortlicher. Wir verarbeiten diese Daten in ihrem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Die dafür nötige Vereinbarung ist in den Nutzungsbedingungen (AGB) geregelt bzw. wird dort bereitgestellt. Enthalten diese Fachdaten Angaben zu deinen Kunden, sind deine Organisation und deren Kunden die betroffenen Parteien, nicht wir.

2. Konto, Organisation und Team

Konto (Registrierung und Einladung)

Vorname, Nachname, E-Mail-Adresse und Passwort sowie der Zeitpunkt deiner Zustimmung zu AGB und Datenschutzerklärung, der Bestätigung deiner E-Mail-Adresse und der letzten Anmeldung. Das Passwort wird nur als gesicherter Hash (bcrypt) gespeichert, nie im Klartext. Zweck: Bereitstellung des Kontos und Anmeldung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Sitzungen

Für jede Anmeldung speichern wir eine Sitzung mit Zeitpunkt der Anmeldung, der letzten Nutzung und der Browser-Kennung (User-Agent), damit Abmelden, Passwortwechsel und das Entfernen aus einer Organisation sofort auf allen Geräten wirken. Eine Sitzung endet spätestens 30 Tage nach der Anmeldung oder mit dem Abmelden.

Organisation (Firmendaten) und Team

Firmenname, Rechtsform, Handelsregisterangaben (Sitz, Registergericht, Registernummer, Geschäftsführung bzw. Vorstand), Anschrift, Land, USt-IdNr., Steuernummer, Telefon, E-Mail, Bankverbindung (Bank, IBAN, BIC) und ein optionales Firmenlogo, soweit die Organisation sie hinterlegt, sowie die Mitglieder mit ihrer Rolle (Inhaber, Admin, Mitglied) und offene Einladungen (E-Mail-Adresse, Rolle). Die Organisationsdaten erscheinen auf Rechnungen und Angeboten der Organisation. Das Logo ist nur für angemeldete Mitglieder abrufbar. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails

Wir versenden Nachrichten zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts und Einladungen in eine Organisation. Dafür werden E-Mail-Adresse und Inhalt an unseren E-Mail-Dienstleister übermittelt: [TODO: Anbieter für den E-Mail-Versand]. Rechnungen an deine Kunden versendet ConTrack nicht selbst (siehe Abschnitt 5).

Technische Daten und Sicherheit

Beim Aufruf verarbeiten unsere Server technisch notwendige Daten, insbesondere IP-Adresse und Zeitpunkt der Anfrage, um den Betrieb zu sichern und Missbrauch zu erkennen (z. B. Begrenzung von Anmeldeversuchen). Änderungen an Organisationen, Team und Konten sowie Aktionen im Verwaltungsbereich (Adminbereich) protokollieren wir (wer hat was wann geändert). Unsere Administratoren sehen im Adminbereich Konten und Organisationen, aber keine Fachdaten (Kunden, Leistungen, Rechnungen). Rechtsgrundlage: berechtigtes Interesse an Sicherheit und Betrieb (Art. 6 Abs. 1 lit. f DSGVO). [TODO: Aufbewahrungsdauer des Protokolls festlegen]

3. Cookies

ConTrack setzt ausschließlich technisch notwendige Cookies. Es gibt kein Tracking, keine Analyse und keine Werbung; deshalb ist kein Cookie-Banner nötig. Die Cookies sind „SameSite=Lax“, außerhalb der Entwicklungsumgebung „secure“ mit dem Namenspräfix __Host- (gelten nur für genau diese Adresse) und - bis auf contrack_org - „httpOnly“ (für Skripte im Browser nicht lesbar).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO.

3a. Feedback

Im Benutzermenü kannst du Feedback geben (Kategorie und Freitext). Wir speichern es zusammen mit deinem Namen, deiner E-Mail-Adresse, dem Namen deiner Organisation und der Seite, von der aus du es gesendet hast. Es wird von uns zur Verbesserung des Angebots gelesen. Bitte gib dort keine sensiblen Daten ein. [TODO: Rechtsgrundlage (voraussichtlich Art. 6 Abs. 1 lit. f DSGVO) und Speicherdauer festlegen]

4. Fachdaten in ConTrack

In ConTrack speichert deine Organisation Kunden (Name, Anschrift, Ansprechpartner, E-Mail, Konditionen), Leistungserfassungen (Datum, Zeiten, Beschreibung, Material), Rechnungen und Stornorechnungen (auch als fertig erzeugte PDF-Dateien und E-Rechnungs-XML), Angebote, Materialien und Einstellungen. Die Daten sind je Organisation getrennt: Jede Abfrage ist auf die Organisation des angemeldeten Nutzers begrenzt, zusätzlich erzwingt die Datenbank diese Trennung (Row-Level-Security).

Die PDF-Erzeugung geschieht auf unserem Server, ohne externe Dienste. Zugangsdaten für die Outlook-Anbindung werden verschlüsselt gespeichert.

5. Outlook-Anbindung (optional)

Wenn deine Organisation die Anbindung an Microsoft Outlook einrichtet, legt ConTrack auf deine Anforderung E-Mail-Entwürfe mit dem Rechnungs-PDF im Postfach des verbundenen Microsoft-Kontos an (Microsoft Graph). Dabei werden E-Mail-Adresse des Empfängers, Betreff, Text und Anhang an Microsoft übermittelt. ConTrack versendet selbst keine E-Mails und liest keine E-Mails; der Versand erfolgt durch dich aus Outlook. Verbunden wird über die bei Microsoft registrierte App „ConTrack“ von Frank Gutknecht (Conperity): Du meldest dich dabei direkt bei Microsoft an und stimmst dort zu, dass ConTrack Entwürfe in deinem Postfach anlegen darf (Berechtigungen Mail.ReadWrite, User.Read, offline_access). ConTrack erhält dein Microsoft-Passwort nie, sondern nur einen Zugangsschlüssel, den wir verschlüsselt speichern; die Verbindung lässt sich jederzeit in den Einstellungen trennen oder in deinem Microsoft-Konto widerrufen. Für das Postfach gelten die Datenschutzbestimmungen von Microsoft. [TODO: Übermittlung in Drittländer und Rechtsgrundlage prüfen]

6. Empfänger und Unterauftragsverarbeiter

• E-Mail-Versand: [TODO: Anbieter für den E-Mail-Versand]
• Hosting von ConTrack: [TODO: Hosting-Anbieter und Standort der Server von ConTrack]
• Datensicherungen: [TODO: Anbieter/Ort und Aufbewahrungsdauer der Datensicherungen]
• Microsoft (nur bei verbundener Outlook-Anbindung): siehe Abschnitt 5
• [TODO: weitere Unterauftragsverarbeiter, z. B. E-Mail- oder Support-Dienste, falls eingesetzt]

7. Externe Ressourcen im Browser

ConTrack lädt keine Skripte, Schriften oder Inhalte von Drittanbietern nach; Schriftarten und das Firmenlogo werden von unserem eigenen Server ausgeliefert.

8. Server-Logs

Beim Aufruf fallen technisch bedingt Zugriffs- und Fehlerprotokolle an. Umfang und Speicherdauer: [TODO: Umfang und Speicherdauer der Server-Logs]

9. Speicherdauer und Löschung

Konto- und Organisationsdaten speichern wir, solange Konto bzw. Organisation bestehen; Fachdaten, solange die Organisation ConTrack nutzt. Ein Konto gehört immer zu mindestens einer Organisation: Verlässt du die letzte oder wirst daraus entfernt, wird dein Konto gelöscht. Wer eine Organisation verlässt, bleibt mit seinem Namen an den von ihm erfassten Leistungen (Abrechnungsunterlagen der Organisation); seine E-Mail-Adresse wird dort entfernt.

Aufbewahrungspflichten: ConTrack ist kein Archiv- oder Buchführungssystem. Gesetzliche Aufbewahrungspflichten für Rechnungen und Geschäftsunterlagen treffen die jeweilige Organisation; sie sichert ihre Unterlagen selbst (siehe Nutzungsbedingungen, Abschnitt „Aufbewahrung und Datenexport“). [TODO: prüfen]

Löschung einer Organisation: Der Inhaber kann die Organisation in den Einstellungen löschen. Dabei werden sofort alle ihre Daten gelöscht (Fachdaten, Firmendaten, Logo, Mitgliedschaften, Einladungen) und Konten, die zu keiner anderen Organisation gehören; die Betroffenen werden per E-Mail informiert. Vorher kann die Organisation ihre Daten exportieren. [TODO: Löschung in Datensicherungen und Server-Logs beschreiben]

10. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Für Fachdaten deiner Organisation wende dich zunächst an diese; wir unterstützen sie als Auftragsverarbeiter. Anfragen: info@conperity.de.

11. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.