Datenschutz­erklärung

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in buro, soweit es nicht um die Betriebsdaten der Betriebe geht (dazu unten unter „Daten, die Betriebe in buro erfassen“), bin ich:

Jens Köhler
Dedinghauser Weg 83
59557 Lippstadt
Deutschland
Telefon: 02941 7437208
E-Mail: info@buro-office.de

Einen Datenschutzbeauftragten habe ich nicht bestellt, weil ich dazu gesetzlich nicht verpflichtet bin. Bei allen Fragen zum Datenschutz bin ich selbst dein Ansprechpartner – am einfachsten per E-Mail an die oben genannte Adresse.

Überblick

buro ist eine Webanwendung für kleine Fertigungs- und Handwerksbetriebe, die es zusätzlich als App für iPhone, iPad und Android gibt. Diese Datenschutzerklärung gilt für die öffentliche Website, für die Konten, mit denen sich Betriebe und ihre Mitarbeiter anmelden, und für die Daten, die Betriebe mit buro verwalten.

Ich setze keine Analyse- oder Tracking-Werkzeuge ein, zeige keine Werbung und verkaufe keine Daten. Personenbezogene Daten verarbeite ich nur, soweit es für den Betrieb der Website und der Software nötig ist oder du es selbst veranlasst.

Hosting und Verschlüsselung

Website, Webanwendung, Datenbank und Dateiablage laufen auf eigener Hardware in eigenen Räumen in Deutschland. Ich beauftrage dafür keinen Hosting-Dienstleister und kein Rechenzentrum; die Daten liegen also nicht bei einem Cloud-Anbieter.

Alle Verbindungen zwischen deinem Browser oder deiner App und buro sind per TLS verschlüsselt. Die Verschlüsselung endet an einem Reverse-Proxy, den ich ebenfalls selbst auf eigener Hardware betreibe. Sicherungen lege ich auf eigener Infrastruktur ab.

Server-Logdateien

Bei jedem Aufruf der Website oder der Webanwendung protokollieren die Server technisch bedingt folgende Angaben:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL),
• HTTP-Statuscode der Antwort,
• Browser- bzw. App-Kennung (User-Agent).

Ich brauche diese Angaben, um den Betrieb sicherzustellen, Fehler zu finden und Angriffe oder Missbrauch zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in einem sicheren und störungsfreien Betrieb. Die Logdateien werden spätestens nach 14 Tagen gelöscht. Nur wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss, bewahre ich die betroffenen Einträge so lange auf, bis die Aufklärung abgeschlossen ist.

Website, Cookies und Speicher im Browser

Die öffentliche Website setzt keine Cookies und bindet keine Inhalte von fremden Servern ein. Auch die Schrift wird direkt von meinem Server ausgeliefert, sodass beim Aufruf keine Verbindung zu Schriftanbietern entsteht.

Wenn du dich in der Webanwendung anmeldest, legt buro Zugangs-Token im Speicher deines Browsers ab (Local Storage, wenn du „Angemeldet bleiben“ wählst, sonst Session Storage). Ohne diese Token wüsste der Server bei der nächsten Anfrage nicht, dass du angemeldet bist. Dieser Speicher ist für den von dir gewünschten Dienst unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Die Token werden beim Abmelden gelöscht; im Session Storage verschwinden sie außerdem, wenn du den Browser schließt. Für Werbung oder Auswertungen werden sie nicht verwendet.

Registrierung und Benutzerkonto

Wenn du deinen Betrieb bei buro registrierst oder als Mitarbeiter einen Zugang bekommst, verarbeite ich:

• deine E-Mail-Adresse,
• dein Passwort – gespeichert nur als Argon2-Hash, also nicht im Klartext und auch für mich nicht lesbar,
• deinen Namen, soweit du oder dein Betrieb ihn angibt,
• den Firmennamen und die gewählte Subdomain,
• den Zeitpunkt, zu dem du den Nutzungsbedingungen zugestimmt und die Datenschutzerklärung zur Kenntnis genommen hast,
• deine Rolle und Berechtigungen im Betrieb.

Diese Daten brauche ich, um dein Konto anzulegen, dich bei der Anmeldung zu erkennen, dir die passenden Rechte zu geben und dich bei Bedarf zum Konto zu kontaktieren, etwa bei Sicherheitsfragen oder Änderungen der Bedingungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von buro bzw. dessen Anbahnung). Den Zeitpunkt der Zustimmung speichere ich zusätzlich, um nachweisen zu können, dass die Nutzungsbedingungen vereinbart wurden (Art. 6 Abs. 1 lit. f DSGVO).

Daten, die Betriebe in buro erfassen

Betriebe verwalten mit buro Daten über ihre Kunden, Lieferanten, Ansprechpartner und Mitarbeiter – zum Beispiel Kontaktdaten, Angebote, Aufträge, Rechnungen und Mahnungen, Arbeitszeiten, Fotos und Sprachnotizen.

Für diese Daten ist der jeweilige Betrieb der Verantwortliche im Sinne der DSGVO. Er entscheidet, welche Daten er erfasst und wofür. Ich verarbeite sie ausschließlich in seinem Auftrag und nach seinen Weisungen als Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage dafür ist der Vertrag zur Auftragsverarbeitung, der mit der Registrierung geschlossen wird. Die Daten eines Betriebs sind von denen anderer Betriebe getrennt; ich werte sie nicht für eigene Zwecke aus.

Wenn du als Kunde, Lieferant oder Mitarbeiter eines Betriebs Auskunft über deine Daten möchtest oder ein anderes Datenschutzrecht geltend machen willst, wende dich bitte direkt an den Betrieb. Erreicht mich eine solche Anfrage, leite ich sie an den Betrieb weiter und unterstütze ihn bei der Beantwortung.

E-Mail-Versand

buro verschickt E-Mails über einen Mailserver, den ich selbst betreibe. Dazu gehören Systemnachrichten an dich – etwa zur Anmeldung oder zu deinem Konto – und Belege, die ein Betrieb aus buro heraus an seine Kunden sendet, zum Beispiel Angebote, Rechnungen oder Mahnungen.

Systemnachrichten verschicke ich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, weil sie zur Nutzung von buro gehören. Für E-Mails, die ein Betrieb an seine Kunden schickt, bestimmt der Betrieb Empfänger und Inhalt; ich führe den Versand als Auftragsverarbeiter für ihn aus. Werbe-E-Mails oder einen Newsletter verschicke ich nicht.

Kundenportal

Betriebe können ihren Kunden Angebote über einen persönlichen Link zur Ansicht und Annahme zur Verfügung stellen. Ruft ein Kunde ein Angebot über einen solchen Link auf, verarbeitet buro neben den Angaben im Angebot den Zeitpunkt des Zugriffs. Nimmt der Kunde das Angebot an oder lehnt er es ab, werden zusätzlich diese Antwort, ihr Zeitpunkt und der angegebene Name gespeichert, bei einer Annahme außerdem die dabei geleistete Unterschrift als Bild.

Auch hier ist der Betrieb, der das Angebot verschickt hat, der Verantwortliche; ich verarbeite die Daten als sein Auftragsverarbeiter. Fragen zu einem Angebot oder zu deinen Daten darin richtest du bitte an diesen Betrieb.

Apps für iOS und Android

Die Apps greifen nur dann auf Funktionen deines Geräts zu, wenn du das im Betriebssystem erlaubst und die jeweilige Funktion selbst nutzt. Die Erlaubnis kannst du jederzeit in den Systemeinstellungen zurücknehmen; die übrigen Funktionen der App bleiben dann nutzbar.

• Kamera: zum Fotografieren von Belegen, Baustellen oder Werkstücken. Die Fotos werden dem jeweiligen Vorgang in buro zugeordnet.
• Mikrofon: zum Aufnehmen von Sprachnotizen, die du in buro speicherst.
• Fotomediathek: um vorhandene Bilder auszuwählen und hochzuladen. Die App liest nur die Bilder, die du auswählst.
• Face ID, Touch ID oder Fingerabdruck: um die App zu entsperren. Die Prüfung übernimmt ausschließlich das Betriebssystem auf deinem Gerät; die App erhält nur das Ergebnis „erfolgreich“ oder „nicht erfolgreich“. Biometrische Daten werden weder an mich noch an buro übertragen.

Deine Zugangsdaten bzw. Anmelde-Token speichert die App geschützt im Schlüsselbund (iOS) bzw. im Android Keystore. Damit du auch ohne Netz weiterarbeiten kannst, legt die App außerdem Zwischenstände – etwa erfasste Zeiten oder noch nicht hochgeladene Fotos – auf deinem Gerät ab und überträgt sie, sobald wieder eine Verbindung besteht. Diese Daten bleiben auf deinem Gerät, bis sie übertragen sind; spätestens mit dem Löschen der App werden sie vom Gerät entfernt.

Die Verarbeitung in den Apps dient der Nutzung von buro; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Inhalte, die du für deinen Betrieb erfasst, gilt zusätzlich das unter „Daten, die Betriebe in buro erfassen“ Gesagte.

Push-Benachrichtigungen

Damit die Apps dich zum Beispiel auf neue Einsätze oder Aufgaben hinweisen können, nutzt buro die Benachrichtigungsdienste der Plattformen: auf iPhone und iPad den Apple Push Notification Service der Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, auf Android Firebase Cloud Messaging der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Dafür speichert buro ein Gerätekennzeichen (Push-Token), das dein Gerät vom jeweiligen Dienst erhält. Beim Versand einer Benachrichtigung werden dieses Token und der Inhalt der Nachricht – etwa ein kurzer Hinweis auf einen Einsatz – an Apple bzw. Google übermittelt, die sie an dein Gerät zustellen. Dabei kann es zu einer Übermittlung in die USA kommen. Apple Inc. und Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert; für die Übermittlung gilt damit der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Benachrichtigungen erhältst du nur, wenn du sie auf deinem Gerät erlaubst; du kannst sie jederzeit in den Systemeinstellungen abschalten.

Karten, Geokodierung und Wetter

Kartendarstellung mit OpenStreetMap

An einigen Stellen der Webanwendung zeigt buro eine Karte, etwa zur Adresse eines Kunden oder Objekts. Die Kartenbilder lädt dein Browser direkt von den Servern der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei erhält die OpenStreetMap Foundation technisch bedingt deine IP-Adresse, den Zeitpunkt des Abrufs und die Angaben deines Browsers sowie die abgerufenen Kartenausschnitte. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt darin, Adressen anschaulich auf einer Karte zu zeigen. Die Karte wird nur geladen, wenn du eine Ansicht mit Karte öffnest. Näheres findest du in der Datenschutzerklärung der OpenStreetMap Foundation.

Geokodierung mit HERE

Um Adressen in Koordinaten umzurechnen, etwa für die Karte oder die Einsatzplanung, kann buro den Dienst der HERE Global B.V., Kennedyplein 222–226, 5611 ZT Eindhoven, Niederlande, nutzen. Das geschieht nur, wenn diese Funktion in buro aktiviert ist. Die Anfrage stellt mein Server, nicht dein Browser; übermittelt wird dabei nur die jeweilige Adresse als Suchbegriff (z. B. Straße, Hausnummer, Postleitzahl und Ort), nicht aber Name oder sonstige Angaben zum Kunden. Da es um Adressen aus den Daten der Betriebe geht, ist HERE insoweit Unterauftragsverarbeiter im Sinne des Vertrags zur Auftragsverarbeitung.

Wetterdaten mit Open-Meteo

Für Wetterangaben, etwa zu einem Einsatztag, fragt mein Server den Dienst Open-Meteo ab. Übermittelt werden dabei nur Koordinaten und der gewünschte Zeitraum – keine Namen, Adressen oder sonstigen Angaben zu Personen und auch nicht deine IP-Adresse, weil die Anfrage von meinem Server kommt.

KI-Funktionen mit Google Gemini

Einige Funktionen von buro nutzen ein KI-Sprachmodell: die Abschrift von Sprachnotizen in Text, das Auslesen von Angeboten und Rechnungen deiner Lieferanten (etwa Artikel, Mengen und Preise aus einem PDF) und der KI-Assistent. Dafür setze ich die Gemini API der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, ein.

Die Übermittlung findet nur statt, wenn du eine dieser Funktionen aktiv nutzt – also eine Sprachnotiz aufnimmst, einen Beleg auslesen lässt oder dem Assistenten eine Frage stellst. Übermittelt werden dann die jeweilige Tonaufnahme, das Dokument bzw. deine Frage samt den Angaben, die für die Antwort nötig sind. Die Anfrage stellt mein Server, nicht dein Gerät; deine IP-Adresse wird dabei nicht weitergegeben. Google verarbeitet die Daten in meinem Auftrag, um das Ergebnis zu erzeugen; ich nutze den kostenpflichtigen Zugang, bei dem Google die Inhalte nach eigenen Angaben nicht zum Training seiner Modelle verwendet.

Da die Inhalte aus den Daten der Betriebe stammen, ist Google insoweit Unterauftragsverarbeiter im Sinne des Vertrags zur Auftragsverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewählten Funktion). Eine Übermittlung in die USA ist möglich; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, es gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Wenn du die KI-Funktionen nicht nutzen möchtest, kann der Inhaber deiner Firma das Modul „KI-Assistent“ in den Einstellungen abschalten; Sprachnotizen kannst du dann weiterhin ohne Abschrift aufnehmen.

Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist:

• Kontodaten bis zur Löschung deines Kontos bzw. der Firma, für die es angelegt wurde.
• Betriebsdaten bis der Betrieb sie löscht, spätestens nach Ende des Nutzungsvertrags gemäß dem Vertrag zur Auftragsverarbeitung.
• Server-Logdateien höchstens 14 Tage, wie oben beschrieben.
• Sicherungen werden rollierend überschrieben; gelöschte Daten sind darin noch bis zu 30 Tage enthalten und verschwinden dann endgültig.

Viele Betriebe sind nach Handels- und Steuerrecht verpflichtet, Rechnungen und andere Unterlagen mehrere Jahre aufzubewahren. Diese Pflichten treffen den Betrieb selbst. Bevor ein Betrieb seine Daten löscht oder seine Nutzung beendet, sollte er die aufbewahrungspflichtigen Unterlagen daher exportieren und selbst sichern.

Datensicherheit

Ich schütze die Daten mit technischen und organisatorischen Maßnahmen, die dem Stand der Technik und dem Risiko angemessen sind. Dazu gehören insbesondere:

• TLS-Verschlüsselung aller Verbindungen,
• Speicherung von Passwörtern ausschließlich als Argon2-Hash,
• strikte Trennung der Daten verschiedener Betriebe (Mandanten),
• ein Rechtekonzept, mit dem jeder Betrieb festlegt, welcher Mitarbeiter was sehen und ändern darf,
• regelmäßige Sicherungen auf eigener Infrastruktur,
• Server in eigenen, nicht öffentlich zugänglichen Räumen.

Eine Übersicht der Maßnahmen findest du in der Anlage zum Vertrag zur Auftragsverarbeitung.

Deine Rechte

Soweit ich deine personenbezogenen Daten als Verantwortlicher verarbeite, hast du nach der DSGVO folgende Rechte:

• Auskunft über die gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen die Verarbeitung (Art. 21).

Widerspruchsrecht: Verarbeite ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Um deine Rechte geltend zu machen, schreib mir einfach eine E-Mail an info@buro-office.de. Geht es um Daten, die ein Betrieb über dich in buro erfasst hat, wende dich bitte an diesen Betrieb (siehe oben). Wie du dein Konto oder deine Firma löschen lässt, steht auf der Support-Seite.

Beschwerderecht bei der Aufsichtsbehörde

Wenn du meinst, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für mich zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de

Du kannst dich auch an die Aufsichtsbehörde an deinem Wohnort oder Arbeitsplatz wenden. Gern kannst du mich vorher direkt ansprechen – oft lässt sich ein Anliegen so schneller klären.

Änderungen dieser Datenschutzerklärung

Wenn sich buro weiterentwickelt, neue Funktionen hinzukommen oder sich die Rechtslage ändert, passe ich diese Datenschutzerklärung an. Die jeweils aktuelle Fassung findest du immer auf dieser Seite; das Datum oben zeigt, wann sie zuletzt geändert wurde. Über wesentliche Änderungen, die dein Konto betreffen, informiere ich registrierte Nutzer zusätzlich per E-Mail.