Datenschutzerklärung

Verantwortlicher

Niklas Schäfer
Tabbertstraße 34
12459 Berlin
E-Mail: contact@noquu.de

Welche Daten wir verarbeiten

Kundenkonto: Benutzername, Passwort (nur als nicht umkehrbarer Hash gespeichert), Name, E-Mail-Adresse, optional Telefonnummer, Profilbild und hinterlegte Unterschrift, deine Newsletter-Einstellung sowie Zeitpunkt und Inhalt deiner Zustimmungen (AGB und Datenschutzerklärung, ggf. Vertrag zur Auftragsverarbeitung, Standorterfassung, Verwendung der Unterschrift). Bei Registrierung über einen Empfehlungslink speichern wir den Empfehlungscode.

Sicherheitsdaten: Anzahl fehlgeschlagener Anmeldeversuche und eine eventuelle vorübergehende Sperre, das Geheimnis der Zwei-Faktor-Anmeldung (verschlüsselt), die Kennung abgemeldeter Sitzungen bis zu deren Ablauf sowie das Protokoll freigegebener Support-Zugriffe.

Firmen- und Betriebsdaten: Firmenname und Kontaktdaten der Firma sowie die von Nutzern selbst eingegebenen Daten (Baustellen, Arbeitszeiten, Materiallisten, Fotos, Prüfprotokolle, Verteilungsbeschriftungen, Urlaubsanträge).

Anfragen: Abo-, Test- und Support-Anfragen aus deinem Konto sowie Anfragen über das Formular auf der Startseite – mit Name, E-Mail-Adresse, Firmenname und dem Inhalt der Nachrichten.

Zwecke & Rechtsgrundlagen

Kundenkonto, Anfragen und die Bereitstellung der Software dienen der Anbahnung und Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Du kannst ein Konto kostenlos anlegen und darüber ein Paket oder eine kostenlose Testphase anfragen, bevor ein Vertrag besteht. Der Newsletter beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Server-Logs, Fehlerberichte und der Schutz vor Missbrauch beruhen auf unserem berechtigten Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Angaben, die für ein Konto oder eine Anfrage als Pflichtfeld gekennzeichnet sind, brauchen wir, um den Vertrag zu schließen bzw. deine Anfrage zu bearbeiten; ohne sie ist das nicht möglich. Alle übrigen Angaben sind freiwillig.

Daten in der App: Verantwortlich ist dein Betrieb

Arbeitszeiten, Standorte beim Stempeln, Fotos, Unterschriften, Baustellen- und Kundendaten, die ein Betrieb in Noquu erfasst, verarbeiten wir im Auftrag dieses Betriebs (Auftragsverarbeitung nach Art. 28 DSGVO, siehe Vertrag zur Auftragsverarbeitung). Verantwortlich für diese Daten ist der Betrieb, nicht wir. Das gilt auch für Name und Unterschrift, die ein Kunde des Betriebs über einen Freigabelink abgibt. Bist du dort beschäftigt oder Kunde, wende dich mit Fragen und Anliegen zu deinen Daten bitte zuerst an den Betrieb; wir unterstützen ihn dabei. Auf diese Daten greifen wir im Support nur zu, wenn der Betrieb es in der App freigegeben hat.

Hosting, Server-Logs & Fehlerberichte

Die Anwendung und ihre Datenbank laufen auf einem angemieteten Server der ROETH & BECK GbR (BERO HOST), Kleine Schmidtgasse 1, 63571 Gelnhausen, in einem Rechenzentrum in Offenbach am Main (Deutschland). Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit dem Hoster ist in Vorbereitung. Bei jedem Aufruf speichert der Webserver ein Protokoll (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browserkennung) zur Sicherstellung des Betriebs und zur Abwehr von Angriffen; es wird nach 14 Tagen gelöscht. Die Desktop-App fragt beim Start unseren Server nach Updates; dabei fallen dieselben Protokolldaten an. Tritt in der Anwendung ein technischer Fehler auf, speichern wir eine Fehlermeldung mit Seite, Zeitpunkt und dem betroffenen Konto bzw. der Firma, um den Fehler beheben zu können; sie wird nach 30 Tagen automatisch gelöscht. Für eine Nutzungsstatistik (Anzahl der Aufrufe und aktiven Nutzer pro Tag, ohne IP-Adressen) setzen wir keine Drittanbieter ein.

Schutz vor Missbrauch bei der Registrierung

Bei der Registrierung löst du eine kleine Rechenaufgabe. Sie wird von unserem eigenen Server erzeugt und geprüft – es wird kein externer Captcha-Dienst eingebunden, und es werden dafür keine Cookies gesetzt. Die Aufgabe enthält keine personenbezogenen Daten und ist nach 10 Minuten ungültig. Um automatisierte Massenanfragen und das Erraten von Passwörtern zu verhindern, zählen wir Anfragen je IP-Adresse bzw. je Konto; diese Zähler werden nach Ablauf ihres Zeitfensters (höchstens eine Stunde) automatisch gelöscht.

Standortdaten

Hat dein Betrieb die Standorterfassung beim Stempeln aktiviert, wird nach deiner einmaligen Bestätigung beim Ein- und Ausstempeln der Standort deines Geräts gespeichert. Hat dein Betrieb sie verpflichtend eingestellt, liest und unterschreibst du vorher in der App eine Information deines Betriebs nach Art. 13 DSGVO (Zweck, Rechtsgrundlage, Umfang, deine Rechte); bis dahin ist die App gesperrt. Dein Betrieb ist für diese Verarbeitung verantwortlich, wir verarbeiten sie in seinem Auftrag. Die unterschriebene Erklärung liegt als PDF mit Name, Datum und Unterschrift beim Betrieb; eine Kopie kannst du in der App herunterladen. Auch Fotos können mit Standort gespeichert werden. Um aus den Koordinaten eine lesbare Adresse zu machen und den Stempelort mit der Adresse des Einsatzorts abzugleichen, fragt unser Server den Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission) ab. Dabei erhält Nominatim nur Koordinaten bzw. die Einsatzadresse und die IP-Adresse unseres Servers, nicht deine und keinen Namen. Ob gestempelt wurde, wo gearbeitet werden sollte, sieht nur die Betriebsleitung.

Push-Benachrichtigungen

Wenn du Benachrichtigungen einschaltest (z. B. die Erinnerung an fehlende Stunden), werden sie über den Push-Dienst deines Browser- bzw. Geräteherstellers zugestellt (z. B. Google, Mozilla oder Apple). Dieser erhält dazu eine Gerätekennung und die verschlüsselte Nachricht, die er nicht lesen kann; der Dienst kann seinen Sitz in den USA haben. Rechtsgrundlage ist deine Einwilligung durch das Einschalten (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst die Benachrichtigungen jederzeit in den Einstellungen oder im Browser wieder abschalten.

Cookies & lokale Speicherung

Wir setzen keine Tracking- oder Werbe-Cookies ein und binden keine Analyse-Dienste ein. Im lokalen Speicher (localStorage) deines Browsers legen wir nur ab, was für die von dir genutzten Funktionen technisch erforderlich ist: das Anmelde-Token (bzw. während einer von deinem Betrieb freigegebenen Support-Sitzung ein zeitlich begrenztes Support-Token), deinen Benutzernamen und deine Rolle für die Weiterleitung nach dem Login, Anzeige-Einstellungen wie Design und Effekte, ob Fotos mit Standort gespeichert werden sollen, welche Hinweise, Einführungen und Neuigkeiten du bereits gesehen hast, einen Zwischenspeicher für Baustellen-Titelbilder sowie die Bestätigung dieses Cookie-Hinweises.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir gewünschten Dienst) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO; eine Einwilligung ist dafür nicht erforderlich. Du kannst diese Daten jederzeit über die Browser-Einstellungen (Websitedaten löschen) entfernen; danach bist du abgemeldet.

Kartenansicht (Google Maps)

Auf der digitalen Visitenkarte in der App kann die Firmenadresse auf einer Karte von Google Maps angezeigt werden (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Die Karte wird erst geladen, wenn du auf „Karte laden“ klickst. Erst dann wird eine Verbindung zu Google aufgebaut; dabei werden deine IP-Adresse, die angezeigte Adresse und ggf. Cookies an Google übertragen, auch in die USA. Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung durch den Klick (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie gilt nur für die aktuelle Sitzung und wird nicht gespeichert; ohne Klick wird nichts an Google übertragen. Ein Link „in Google Maps öffnen“ in der App öffnet Google Maps erst auf deinen Klick in einem neuen Fenster. Mehr dazu: Datenschutzerklärung von Google.

E-Mail-Versand & Newsletter

Für den Versand von E-Mails (z. B. Passwort-Zurücksetzen-Links, betriebliche Mitteilungen und den Newsletter) nutzen wir den E-Mail-Dienstleister Resend (Resend, Inc., USA) als Auftragsverarbeiter. Dabei werden E-Mail-Adresse und die jeweilige Nachricht an Resend übermittelt. Resend ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln (Art. 45 und 46 DSGVO). Den Newsletter erhältst du nur, wenn du ihn ausdrücklich aktiviert hast; du kannst ihn jederzeit in deinem Konto bzw. in den Einstellungen abbestellen.

Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist:

• Kundenkonto und Firmendaten: solange das Konto bzw. der Vertrag besteht. Ein Konto ohne Abo bleibt bestehen, bis du seine Löschung verlangst.
• Daten in der App (Auftragsverarbeitung): bis der Betrieb sie löscht oder der Vertrag endet; danach nach Maßgabe des Vertrags zur Auftragsverarbeitung.
• Standorte beim Ein- und Ausstempeln (falls der Betrieb sie erfasst): 3 Monate. Danach wird der Ort automatisch aus der Stempelung entfernt; die Arbeitszeit selbst bleibt als Nachweis erhalten.
• Anfragen und Support-Verläufe: solange sie für die Bearbeitung und mögliche Rückfragen nötig sind; auf Wunsch früher.
• Rechnungs- und Vertragsunterlagen: entsprechend den gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre, § 147 AO, § 257 HGB).
• Webserver-Protokolle: 14 Tage; Fehlerberichte: 30 Tage; Zähler zum Missbrauchsschutz: höchstens eine Stunde; abgemeldete Sitzungen: bis zum Ablauf der Sitzung (höchstens 30 Tage).

Auf Anfrage löschen wir Daten früher, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Empfänger & Übermittlung in Drittländer

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Empfänger sind ausschließlich die in dieser Erklärung genannten Dienstleister: der Hoster BERO HOST (Deutschland), Resend für E-Mails (USA, Data Privacy Framework und Standardvertragsklauseln), die Push-Dienste der Browser- und Gerätehersteller (ggf. USA), Nominatim (Vereinigtes Königreich, Angemessenheitsbeschluss) und – nur nach deinem Klick – Google Maps (Data Privacy Framework). Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen (Art. 22 DSGVO), und erstellen keine Profile zu Werbezwecken.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung deiner personenbezogenen Daten (Art. 15-21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen. Wende dich dazu an die oben genannte Kontaktadresse. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Widerspruchsrecht: Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO, z. B. Server-Logs, Fehlerberichte, Missbrauchsschutz), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Eine Mitteilung an die oben genannte Adresse genügt.