Datenschutzerklärung

Verantwortlich für die Datenverarbeitung ist:

KOWA Solutions

[Adresse]

[PLZ Ort]

E-Mail: info@kowa-solutions.com

Einen Datenschutzbeauftragten haben wir [bestellt / nicht bestellt – bitte prüfen].

HandwerkOS ist eine Softwarelösung (SaaS) für Handwerksbetriebe. Diese Datenschutzerklärung gilt für die Nutzung unserer Web-Anwendung sowie der zugehörigen Funktionen.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Daten der Handwerksbetriebe (unsere Kunden) sowie Daten von deren Endkunden, die im Rahmen der Nutzung verarbeitet werden.

Stammdaten: Name, Firmenname, Anschrift, E-Mail-Adresse, Telefonnummer sowie Zugangsdaten (z. B. E-Mail und Passwort) der Nutzerinnen und Nutzer.

Kunden- und Belegdaten: Daten zu den Endkunden der Handwerksbetriebe, Aufträge, Angebote, Rechnungen und weitere Belege, die in der Anwendung erstellt oder gespeichert werden.

Nutzungsdaten: Technische Daten wie IP-Adresse, Zeitpunkt des Zugriffs, verwendeter Browser und Protokolldaten, die beim Aufruf und der Nutzung der Anwendung anfallen.

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

Zur Bereitstellung und Erfüllung des Nutzungsvertrags (z. B. Kontoverwaltung, Auftrags- und Rechnungsfunktionen) auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zur Erfüllung gesetzlicher Pflichten, etwa steuer- und handelsrechtlicher Aufbewahrungspflichten, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

Zur Gewährleistung des sicheren und stabilen Betriebs sowie zur Verbesserung unseres Angebots auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO.

Soweit wir eine Einwilligung einholen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Die Daten der Anwendung werden bei Supabase in der Region Frankfurt (Deutschland, EU) gespeichert und verarbeitet. Wir achten darauf, dass die Datenverarbeitung möglichst innerhalb der Europäischen Union erfolgt.

Sollte im Einzelfall eine Verarbeitung außerhalb der EU/des EWR stattfinden, erfolgt diese nur unter Einhaltung geeigneter Garantien (z. B. EU-Standardvertragsklauseln). [Details bitte ergänzen.]

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen wir jeweils einen Auftragsverarbeitungsvertrag (AVV / DPA) gemäß Art. 28 DSGVO geschlossen haben:

Supabase: Datenbank, Login und Datei-Speicher. Server-Region Frankfurt (EU). AVV/DPA abgeschlossen. [Anbieterdetails und Anschrift bitte ergänzen.]

Vercel: Hosting und Auslieferung der Anwendung. Vercel wertet zusätzlich anonym aus, welche Seiten aufgerufen werden und wie schnell sie laden (Web Analytics und Speed Insights) – ohne Cookies und ohne Wiedererkennung einzelner Personen. Bei den über einen Link erreichbaren Kundenseiten (Angebot, Rechnung, Projekt, Anfrage) wird der Link-Schlüssel vor der Übertragung entfernt. AVV/DPA abgeschlossen; EU-Bezug bzw. geeignete Garantien beachtet. [Anbieterdetails und Anschrift bitte ergänzen.]

Resend: Versand UND Empfang von E-Mails. Versendet werden System- und Benachrichtigungs-E-Mails sowie Angebote, Rechnungen und Mahnungen an Ihre Kundschaft. Empfangen werden Belege, die ein Betrieb an seine persönliche Belege-Adresse weiterleitet – dabei verarbeitet Resend auch die Anhänge, also in der Regel Lieferantenrechnungen. AVV/DPA abgeschlossen; EU-Bezug bzw. geeignete Garantien beachtet. [Anbieterdetails und Anschrift bitte ergänzen.]

DeutschlandGPT: KI-Assistenzfunktionen (Hosting in Deutschland/EU, ohne dauerhafte Speicherung der übermittelten Inhalte / „Zero Data Retention“). Diese Funktionen laufen nur, wenn Sie sie aktiv nutzen. Dabei werden die jeweils dafür nötigen Inhalte übermittelt: beim Kunden-Import einige Beispielzeilen Ihrer Datei zur Erkennung der Spalten (können personenbezogene Daten wie Namen, Adressen, E-Mail und Telefon enthalten), beim Auslesen von Fotos, Belegen und Formularen deren Inhalt sowie bei der Spracheingabe (Diktat) die Aufnahme bzw. deren Text. AVV/DPA abgeschlossen; Verarbeitung in der EU/Deutschland. [Anbieterdetails und Anschrift bitte ergänzen.]

Cloudflare: Schutz des Anmeldeformulars und der Seite „Passwort vergessen“ gegen automatisierte Versuche (Cloudflare Turnstile). Dabei wird beim Aufruf dieser Seiten ein Skript von Cloudflare geladen; Cloudflare erhält dadurch Ihre IP-Adresse und technische Angaben zu Ihrem Browser. Es werden keine Cookies zu Werbezwecken gesetzt. [Anbieterdetails, Anschrift und Rechtsgrundlage bitte ergänzen.]

Über das Kontaktformular auf unserer Startseite können Sie uns eine Nachricht schicken. Dabei verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage vor einem möglichen Vertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten). Die Nachricht wird uns als E-Mail über unseren Dienstleister Resend zugestellt; das Formular ist mit Cloudflare Turnstile gegen automatisierte Eingaben geschützt (siehe oben). Wir löschen Ihre Angaben, sobald Ihre Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

In der Anwendung gibt es neben Adressen einen Knopf „Navigation“. Er ist ein gewöhnlicher Link zu Google Maps; erst wenn Sie ihn anklicken, verlassen Sie unsere Anwendung. Die Adresse steht dabei in der aufgerufenen Web-Adresse und wird damit an Google übertragen. Wir binden keine Karte in unsere Seiten ein und übermitteln von uns aus nichts an Google. Die Herkunftsseite wird nicht mitgesendet („no-referrer“). Für Standortpunkte aus der Zeiterfassung nutzen wir bewusst OpenStreetMap statt Google. [Anbieterdetails, Anschrift und Rechtsgrundlage bitte ergänzen.]

Wir verwenden ausschließlich technisch notwendige Cookies, die für den Betrieb und die Sicherheit der Anwendung erforderlich sind (z. B. zur Anmeldung und Sitzungsverwaltung). Diese Cookies bedürfen keiner Einwilligung.

Wir setzen keine Tracking- oder Marketing-Cookies ein. [Sollten weitere Cookies hinzukommen, ist dieser Abschnitt zu ergänzen.]

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Für steuer- und handelsrechtlich relevante Unterlagen wie Rechnungen gelten gesetzliche Aufbewahrungsfristen von in der Regel 8 bis 10 Jahren. Nach Ablauf der Fristen werden die Daten gelöscht oder anonymisiert.

Für Daten ohne solche Aufbewahrungspflicht löschen wir automatisch nach festen Fristen. Ein täglicher Lauf entfernt:

• Anrufdaten nach 6 Monaten, sofern kein Auftrag und kein Kundenkonto daran hängt (z. B. Falschverbundene oder Werbeanrufe). Anrufe zu einem laufenden Vorgang werden zusammen mit diesem gelöscht.
• Standortdaten der Zeiterfassung nach 90 Tagen. Die erfasste Arbeitszeit selbst bleibt erhalten (§ 16 ArbZG), nur die Ortsangabe wird entfernt.
• Fotos aus einer Anfrage nach 90 Tagen, wenn aus der Anfrage kein Auftrag geworden ist. Wird ein Auftrag daraus, gehören die Fotos zur Auftragsakte und bleiben.
• Wer welchen KI-Helfer benutzt hat, nach 90 Tagen. Die Kostenzeile des Betriebs bleibt erhalten (Zeitpunkt, Modell, Betrag) – der Bezug zur einzelnen Person wird entfernt.
• Termin-Hinweise an Mitarbeiter nach 90 Tagen. Wird ein Termin verschoben oder neu zugewiesen, entsteht daraus ein kurzer Hinweis für die betroffene Person, der den Termintext enthält. Der Termin selbst bleibt davon unberührt.
• Private Profilangaben ausgeschiedener Mitarbeiter ein Jahr nach dem Austritt. Telefonnummer, E-Mail-Adresse, Notiz und Qualifikationen aus dem Mitarbeiterprofil werden geleert. Name, Arbeitszeiten und Abwesenheiten bleiben erhalten, weil sie als Nachweis für Arbeitszeit und Lohn aufbewahrt werden müssen.
• Technische Zähler nach 2 Tagen. Um Missbrauch zu bremsen (zu viele Anfragen oder E-Mails in kurzer Zeit), zählen wir Vorgänge je Tag mit. Wo dabei die IP-Adresse eine Rolle spielt, wird sie nicht gespeichert, sondern nur ein daraus berechneter, nicht rückrechenbarer Wert.
• Anmeldungen am Betreiber-Bereich nach 6 Monaten. Zugriffe und Fehlversuche auf den internen Verwaltungsbereich werden protokolliert – ebenfalls mit einem berechneten Wert statt der IP-Adresse.
• Fertige Steuerpakete in der Regel nach 7 Tagen. Wird ein Paket fürs Steuerbüro erstellt, entsteht daraus vorübergehend eine ZIP-Datei mit den Rechnungen und Belegen des Zeitraums. Sie liegt nur zum Herunterladen bereit und wird danach automatisch gelöscht; die Belege selbst bleiben davon unberührt. Der Download-Link ist zusätzlich nur wenige Minuten gültig.

Beim Löschen eines Kunden entfernen wir auch dessen Anrufdaten, beim Löschen eines Auftrags zusätzlich die im Kundenbereich hochgeladenen Fotos.

Als betroffene Person haben Sie folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Für Anfragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

KOWA Solutions

E-Mail: info@kowa-solutions.com

[Postanschrift bitte ergänzen.]