Datenschutzerklärung

1. Rollen und Verantwortlichkeit

Für Daten, die Kundenfirmen über ihre Mitarbeiter, Kunden und Baustellen einstellen, ist grundsätzlich die jeweilige Kundenfirma verantwortlich. Der Anbieter verarbeitet solche Daten zur Bereitstellung der Software im Auftrag. Dafür ist eine vervollständigte Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich.

Betroffene Mitarbeiter und Kunden wenden sich wegen dieser Betriebsdaten zunächst an die jeweilige Kundenfirma. Für eigene Konto-, Website- und Abrechnungsdaten ist der Anbieter Ihr Ansprechpartner.

2. Websitebetrieb und technische Daten

Beim Aufruf werden technisch erforderliche Informationen wie IP-Adresse, Zeitpunkt, aufgerufene Ressourcen, Browser- und Verbindungsdaten verarbeitet. Die Plattform verwendet Lovable Cloud für Anwendung, Anmeldung, Datenhaltung und Dateispeicherung. Technische Fehler können mit Fehlermeldungen und Kontextinformationen zur Fehleranalyse erfasst werden.

Der sichere Betrieb und die Fehlerbehebung beruhen grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Plattform); für die Bereitstellung vertraglicher Leistungen kommt Art. 6 Abs. 1 lit. b DSGVO in Betracht. Anbieteridentitäten, Verarbeitungsorte und konkrete Logfristen sind vor endgültiger Verwendung zu bestätigen.

3. Anmeldung und Firmenkonto

Bei der Registrierung werden insbesondere Name, E-Mail-Adresse, Firmenname und Anmeldedaten verarbeitet. Hinzu kommen Firmenzuordnung, Zugriffsberechtigungen und gegebenenfalls die vom Inhaber angelegten Mitarbeiterkonten. Passwörter werden über den Anmeldedienst verarbeitet; sie sollen niemals in KI-Eingaben oder Dokumente eingetragen werden.

Anmeldesitzungen werden im lokalen Browserspeicher aufrechterhalten. Optional kann die Anmeldung über Google erfolgen. Dabei werden die für die Anmeldung freigegebenen Identitätsdaten an den Anmeldedienst übermittelt. Die Nutzung von Google ist freiwillig; eine E-Mail-Anmeldung ist ebenfalls möglich.

Zwecke sind Kontobereitstellung, Authentifizierung und Zugangsschutz (Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO). Bei Mitarbeiterdaten bestimmt der Arbeitgeber als Verantwortlicher die einschlägige Rechtsgrundlage.

4. Betriebsdaten und Dokumente

Je nach Nutzung verarbeitet das Online-Büro Arbeitszeiten, Baustellenadressen, Personalplanungen, Abwesenheiten, Kundendaten, Kommunikationsverläufe, Kalkulationen, Angebote, Rechnungen, Fotos und unterschriebene Berichte. Der Kunde ist für die Rechtmäßigkeit, erforderliche Informationen an Betroffene und Datenminimierung verantwortlich.

Abwesenheitsangaben können Gesundheitsbezug haben. Unnötige Gesundheitsdetails sind zu vermeiden. Dokumente und Fotos können personenbezogene Daten Dritter enthalten; die Kundenfirma muss deren rechtmäßige Verarbeitung sicherstellen.

5. Zahlung und Abonnement

Die Abwicklung des Firmenabonnements erfolgt über Stripe. Dazu können Firmen- und Kontaktdaten, eine Kundenkennung, gebuchter Tarif, Abonnementstatus und Zahlungsinformationen verarbeitet werden. Kartendaten werden im Zahlungsformular durch Stripe verarbeitet; die Anwendung verwaltet den Zahlungs- und Abonnementstatus.

Rechtsgrundlagen sind Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Aufbewahrungspflichten (lit. c) und gegebenenfalls Betrugsprävention (lit. f). Der konkrete Stripe-Vertragspartner und seine Rolle, Speicherfristen und Garantien für internationale Übermittlungen sind anhand der Zahlungsvereinbarung zu ergänzen.

6. E-Mail und Kundenkommunikation

Bestätigungen, Passwortzurücksetzungen sowie vom Nutzer ausgelöste Rechnungs-, Mahnungs- und Vertragsmails werden über den E-Mail-Dienst der Plattform versendet. Verarbeitet werden Empfänger, Betreff, Nachrichtentext und die notwendigen Dokumentinformationen. Gesendete Kundenmails werden in der Kommunikationshistorie der Kundenfirma abgelegt.

PDFs werden im Dateispeicher hinterlegt; Download-Links für versendete Dokumente sind derzeit 30 Tage gültig. Diese Gültigkeit bedeutet nicht, dass die Datei nach 30 Tagen gelöscht wird. Jeder mit dem Link kann während dessen Gültigkeit auf die Datei zugreifen. Empfänger sollten die Links vertraulich behandeln.

Ein automatischer vollständiger Postfachabgleich ist derzeit nicht eingerichtet. Die Zuordnung erfasster Kommunikation zu Kunden erfolgt anhand der E-Mail-Adresse. Die Verarbeitung erfolgt zur Vertragsdurchführung beziehungsweise im Auftrag der Kundenfirma.

7. KI-gestützte Angebotsentwürfe

Nur bei Nutzung der KI-Funktion werden die für den Entwurf zusammengestellten Anfrage- und Baustellenangaben, Beschreibungen sowie optionale Stundensätze an den Lovable AI Gateway und einen externen Modellanbieter (derzeit OpenAI) übermittelt. Der Nutzer prüft den Entwurf vor Übernahme. Diese Funktion trifft keine allein automatisierte Entscheidung mit rechtlicher Wirkung über betroffene Personen.

Geben Sie möglichst keine personenbezogenen oder vertraulichen Details in KI-Eingaben ein. Verarbeitungsorte, Aufbewahrung, mögliche weitere Nutzung durch Dienstanbieter und geeignete Übermittlungsgarantien sind anhand der konkreten Dienstverträge zu prüfen und zu ergänzen. Diese Erklärung sichert keine ausschließlich europäische Verarbeitung und keinen generellen Ausschluss einer weiteren Nutzung zu.

8. Wetter und Schriftarten

Für die ortsbezogene Wettervorhersage werden Baustellenadressen beziehungsweise Standortkoordinaten über den Dienstzugang der Plattform an Google-Dienste übermittelt. Namen von Mitarbeitern werden dafür nicht benötigt. Zweck ist die vom Kunden verwendete Einsatzplanung.

Die Website lädt derzeit die Schriftarten Inter und Space Grotesk von Google Fonts. Dabei wird eine direkte Verbindung Ihres Browsers zu Google hergestellt; insbesondere Ihre IP-Adresse kann übertragen werden. Ein vorgelagertes Einwilligungsverfahren für diese Schriftabfrage ist derzeit nicht eingerichtet. Rechtsgrundlage und Zulässigkeit sind zu prüfen; vor endgültiger Nutzung sollte insbesondere eine lokale Bereitstellung geprüft werden.

9. Empfänger und Drittlandübermittlungen

Empfänger können die eingesetzten Hosting-, Authentifizierungs-, Speicher-, Zahlungs-, E-Mail-, KI- und Wetterdienstanbieter sowie gesetzlich berechtigte Stellen sein. Innerhalb einer Kundenfirma erhalten berechtigte Inhaber und Mitarbeiter rollenabhängig Zugriff. Firmenbereiche werden technisch getrennt.

Bei internationalen Dienstanbietern können Übermittlungen außerhalb des EWR stattfinden. Der Anbieter muss die konkret geltenden Verarbeitungsorte und eine Rechtsgrundlage nach Art. 44 ff. DSGVO (etwa einen einschlägigen Angemessenheitsbeschluss oder Standardvertragsklauseln und gegebenenfalls zusätzliche Maßnahmen) dokumentieren. Diese Dokumentation ist noch zu vervollständigen.

10. Speicherung und Löschung

Daten werden nur so lange aufbewahrt, wie sie für die jeweiligen Zwecke benötigt werden oder gesetzliche Pflichten dies verlangen. Für Betriebsdaten richtet sich die Verarbeitung zusätzlich nach den Weisungen der Kundenfirma und der abzuschließenden AVV. Für steuerrelevante Dokumente gelten die jeweils einschlägigen gesetzlichen Aufbewahrungsfristen.

Eine abgelaufene Testphase, Kündigung oder Sperrung führt derzeit nicht automatisch zur sofortigen Löschung sämtlicher Firmendaten. Konkrete Löschabläufe, Aufbewahrungsfristen für Protokolle und Sicherungskopien sowie ein Verfahren zur Datenherausgabe müssen vom Anbieter noch verbindlich festgelegt werden. Eine vollständige automatisierte Export- oder Kontolöschfunktion wird hier nicht zugesagt.

11. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen richten Sie an service@büro360.de.

Sie können aus Gründen Ihrer besonderen Situation einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nach Art. 21 widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für den Anbieter in Niedersachsen kommt insbesondere die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, in Betracht. Sie können sich auch an die Aufsicht Ihres Aufenthaltsortes wenden.

12. Pflichtangaben und Aktualisierung

Für Anmeldung und Vertragsabwicklung erforderliche Daten können nicht weggelassen werden, ohne die jeweilige Leistung zu beeinträchtigen. Die Nutzung der optionalen KI- und Google-Anmeldung ist nicht Voraussetzung für alle übrigen Funktionen. Änderungen dieser Erklärung werden mit einem neuen Stand veröffentlicht; dadurch wird keine Einwilligung ersetzt.