Datenschutzerklärung

1. Verantwortlicher

strothmann.online
Inhaber: Marco Strothmann
Römerstraße 46
33758 Schloß Holte-Stukenbrock
Deutschland
E-Mail: marco.strothmann@strothmann.online
Telefon: +49 (0) 159 0844 0865

Ansprechpartner für alle Fragen zum Datenschutz ist Marco Strothmann unter der oben genannten Anschrift.

2. Zwei Rollen: Website und Inhalte der Kunden

Website, Werbeseite und Anmeldeseiten: Für die Verarbeitung beim Aufruf dieser Seiten und bei der Anmeldung ist strothmann.online verantwortlich. Dazu gehören die unten beschriebenen Zugriffsdaten, das Sitzungs-Cookie und der Schutz vor Angriffen.

Inhalte in Tagwerkstatt: Arbeitszeiten, Abwesenheiten, Mitarbeiter-, Kunden- und Auftragsdaten erfasst die jeweilige Kundenfirma (in der Regel Ihr Arbeitgeber). Verantwortlicher für diese Daten im Sinne der DSGVO ist die Kundenfirma; strothmann.online verarbeitet sie ausschließlich in deren Auftrag und nach deren Weisung (Art. 28 DSGVO) auf Grundlage des Auftragsverarbeitungsvertrags. Auskunft, Berichtigung oder Löschung dieser Daten richten Sie bitte an die Kundenfirma; wir unterstützen sie dabei.

Arbeitsnachweise: Unterschreiben Sie als Kunde eines Handwerksbetriebs einen Arbeitsnachweis auf dessen Tablet, speichert dieser Betrieb Ihren Namen, Ihre Unterschrift, Ihre Anmerkung, den Zeitpunkt und die IP-Adresse des Geräts zur Dokumentation der erbrachten Leistung (Art. 6 Abs. 1 lit. b DSGVO) und sendet Ihnen das PDF auf Wunsch per E-Mail. Verantwortlich ist der Betrieb; strothmann.online stellt dafür nur die Technik bereit.

3. Bereitstellung und Hosting

Tagwerkstatt wird von strothmann.online als Online-Dienst betrieben; Kunden installieren nichts selbst. Die Server werden auf Infrastruktur von strothmann.online betrieben. Die Übertragung aller Seiten erfolgt ausschließlich verschlüsselt (TLS).

4. Zugriffsdaten (Server-Protokolle)

Bei jedem Aufruf speichert der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem (User-Agent). Zweck ist der sichere und störungsfreie Betrieb, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit). Die Protokolle werden nach 14 Tagen automatisch gelöscht.

5. Schutz vor Angriffen

Bei fehlgeschlagenen Anmeldungen, falschen Zwei-Faktor-Codes, ungültigen Links und ähnlichen Ereignissen werden IP-Adresse, Zeitpunkt und Art des Ereignisses gespeichert. Nach wiederholten Fehlversuchen werden weitere Versuche vorübergehend gesperrt und die IP-Adresse ggf. auf Netzwerkebene blockiert (fail2ban). Die Zähler verfallen automatisch mit Ablauf der Sperre; das Sicherheitsprotokoll wird nach spätestens vier Wochen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und Daten vor Missbrauch).

6. Cookies und Speicher im Browser

Wir setzen ausschließlich ein technisch notwendiges Sitzungs-Cookie (__Host-tw, ohne HTTPS PHPSESSID). Es enthält nur eine zufällige Kennung, ist vor dem Zugriff durch Skripte geschützt, wird nur verschlüsselt übertragen und läuft spätestens 30 Tage nach der letzten Nutzung ab (damit Werkstatt-Tablets angemeldet bleiben); beim Abmelden endet die Sitzung sofort. Außerdem merkt sich der Browser kurzzeitig die Scrollposition einer Seite (Sitzungsspeicher des Browsers); diese Angabe verlässt Ihr Gerät nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht erforderlich, deshalb gibt es keinen Cookie-Hinweis.

In der Anwendung Tagwerkstatt gibt es keine Analyse- oder Werbewerkzeuge, keine Tracking-Pixel, keine Social-Media-Einbindungen und keine Inhalte von fremden Servern: Schriften, Grafiken und Skripte werden ausschließlich von unserem eigenen Server geladen. Das gilt auch für die Werbeseite.

7. Anmeldung und Benutzerkonten

Zur Anmeldung werden Benutzername bzw. E-Mail-Adresse und Passwort verarbeitet. Passwörter werden nur als Hash (Argon2id) gespeichert, Zwei-Faktor-Geheimnisse verschlüsselt, bei Passkeys nur der öffentliche Schlüssel. Anmeldungen, Abmeldungen und Änderungen werden mit Zeitpunkt protokolliert, damit Kundenfirmen die Nachvollziehbarkeit ihrer Zeiterfassung nachweisen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der Kundenfirma) bzw. – für Beschäftigte der Kundenfirma – deren Weisung als Verantwortliche. Wer über die Werbeseite zu einer Kundenfirma weitergeleitet wird, erhält dafür einen einmaligen, 60 Sekunden gültigen Schlüssel; gespeichert wird nur dessen Prüfsumme.

8. Kontakt

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanfragen, sonst lit. f). Die Daten werden gelöscht, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten (z. B. nach Handels- und Steuerrecht) entgegenstehen.

Rückruf und Vorführung. Bitten Sie auf der Werbeseite um einen Rückruf oder eine Vorführung, speichern wir Name, Telefonnummer und – soweit angegeben – Betrieb, Gewerk, Wunschzeit und Nachricht sowie die Seite, von der die Anfrage kam, Zeitpunkt und IP-Adresse, und benachrichtigen uns selbst per E-Mail. Geben Sie bei der Registrierung freiwillig eine Telefonnummer an, legen wir daraus ebenso eine Rückrufbitte für die Einrichtungshilfe an. Zweck ist die Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO), die IP-Adresse dient dem Schutz vor Missbrauch (lit. f). Erledigte Rückrufbitten löschen wir nach 90 Tagen, unerledigte spätestens nach 180 Tagen.

9. E-Mails aus Tagwerkstatt

Für Passwort-Zurücksetzungen, Benachrichtigungen und – auf Veranlassung einer Kundenfirma – Arbeitsnachweise als PDF-Anhang versendet Tagwerkstatt E-Mails an die hinterlegte bzw. eingegebene Adresse über den für den Dienst eingerichteten Mailserver. Links zum Zurücksetzen gelten einmalig und nur eine Stunde.

10. Zusatzfunktionen mit Diensten Dritter

Einige Funktionen übermitteln nur bei ihrer Nutzung einzelne Angaben an Dritte:

• Adresssuche (Geokodierung): Beim Umrechnen einer Firmen- oder Einsatzadresse in Koordinaten wird die Adresse an den Dienst Nominatim von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
• Fahrzeitberechnung: Für die Einsatzplanung werden ausschließlich Koordinaten (keine Namen) an den Routing-Dienst des Projekts OSRM (router.project-osrm.org) übermittelt – oder, sofern eine Kundenfirma dies mit eigenem Schlüssel einschaltet, an die Distance Matrix API von Google (Google Ireland Limited; eine Übermittlung in die USA ist möglich, Google ist unter dem EU-US Data Privacy Framework zertifiziert).
• Wetter am Einsatzort: Für Vorhersage, aktuelle Werte und amtliche Warnungen bei Außeneinsätzen werden ausschließlich Koordinaten des Einsatzorts, auf etwa 1 km gerundet (keine Namen, keine Adressen, keine Auftragsdaten), an den kostenfreien Dienst Bright Sky (brightsky.dev) übermittelt, der die offenen Daten des Deutschen Wetterdienstes bereitstellt.
• Zertifikate: Für die verschlüsselte Verbindung werden TLS-Zertifikate bei Let’s Encrypt (Internet Security Research Group, USA) bezogen. Dabei werden nur Domainnamen übermittelt, keine personenbezogenen Daten von Nutzern.

Rechtsgrundlage ist die Weisung der Kundenfirma bzw. Art. 6 Abs. 1 lit. f DSGVO.

11. Abrechnung und Zahlungen (Stripe)

Abonnements von Kundenfirmen rechnen wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Beim Abschluss und bei der Verwaltung eines Abonnements werden Sie auf Seiten von Stripe weitergeleitet; Stripe verarbeitet dort Firmenname, Rechnungsanschrift, E-Mail-Adresse, ggf. USt-IdNr. sowie die Zahlungsdaten als eigener Verantwortlicher (Datenschutzhinweise: stripe.com/de/privacy). Eine Übermittlung in die USA ist möglich; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Wir erhalten von Stripe nur, was wir für die Vertragsverwaltung brauchen (Tarif, Zahl der Plätze, Zahlungsstatus, Kunden- und Abo-Kennung, Rechnungsanschrift und ggf. USt-IdNr.) – keine Karten- oder Kontodaten. Fehlen Anschrift oder USt-IdNr. noch in den Firmendaten, übernehmen wir sie von dort. An Stripe übermittelt werden ausschließlich Angaben zur Kundenfirma, niemals Arbeitszeiten oder andere Daten der Beschäftigten. Nach jeder erfolgreichen Abbuchung erstellen wir eine Rechnung mit Firmenname, Anschrift, ggf. USt-IdNr. und den abgerechneten Leistungen und senden sie an die E-Mail-Adresse der Firma bzw. an eine von der Geschäftsführung hinterlegte Rechnungs-E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO; Rechnungen und Rechnungsdaten bewahren wir gemäß § 147 AO und § 257 HGB zehn Jahre auf – auch über das Ende des Vertrags hinaus.

Online-Registrierung. Registriert ein Unternehmen seine Firma selbst, speichern wir die Angaben aus dem Formular (Firma, Postleitzahl, Bundesland, Gewerk, Name und E-Mail-Adresse der Ansprechperson, freiwillig eine Telefonnummer für die Einrichtungshilfe, vorgemerkter Tarif und Plätze; bei früheren Registrierungen auch Anschrift und USt-IdNr.), die daraus gebildete Adresse und einen zufällig erzeugten Benutzernamen, das selbst festgelegte Passwort ausschließlich als Hash, die Bestätigung der Vertragsbedingungen mit Zeitpunkt und IP-Adresse sowie gegebenenfalls die Kennung einer Stripe-Bezahlsitzung. An die Anmelde-E-Mail-Adresse senden wir einen Link zum Bestätigen und Festlegen des Passworts (nur als Prüfwert gespeichert). Zweck ist die Anbahnung und Durchführung des Vertrags einschließlich der kostenlosen Probezeit (Art. 6 Abs. 1 lit. b DSGVO), der Nachweis der Zustimmung und der Schutz vor Missbrauch (lit. f). Nach der Bestätigung wird daraus die Firma mit dem Konto der Geschäftsführung eingerichtet und der Passwort-Hash aus der Registrierung gelöscht. Wird die Adresse nicht innerhalb von 48 Stunden bestätigt, verfällt die Registrierung; ihre Angaben löschen wir spätestens 30 Tage nach dem Eingang. Nach dem Ende einer Probezeit ohne Abo bleiben die Daten der Firma gespeichert, damit der Kunde nahtlos weitermachen kann; auf Verlangen löschen wir sie.

12. Speicherdauer

Soweit oben nichts anderes angegeben ist, speichern wir Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Inhalte der Kundenfirmen werden nach Vertragsende gemäß AGB und Auftragsverarbeitungsvertrag gelöscht.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21). Wenden Sie sich dazu an die oben genannte Adresse – bei Inhalten einer Kundenfirma an diese.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für strothmann.online zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

14. Keine automatisierten Entscheidungen

Tagwerkstatt berechnet Arbeitszeiten, Pausen, Zeitkonten und Urlaubsansprüche automatisch. Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO) trifft das System nicht; diese liegen bei der Kundenfirma.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.