Hinweis: Dieser Entwurf beschreibt technisch korrekt, welche Daten die Anwendung verarbeitet. Er ersetzt keine anwaltliche Prüfung vor Live-Gang. Eine Zahlungsabwicklung findet derzeit nicht statt; sobald ein Zahlungsdienstleister eingebunden wird, ist diese Erklärung zu ergänzen.

Datenschutzerklärung

1. Verantwortlicher

Joshua Neff, Holzleiten 18, 5112 Lamprechtshausen, Österreich
E-Mail: joshineff@gmail.com

2. Wichtig: Zwei Rollen im Datenschutz

Auftragsmanager ist eine Software-as-a-Service-Plattform für Handwerksbetriebe („Betriebe“). Dabei gibt es zwei unterschiedliche Verhältnisse:

Für die Registrierungs- und Kontodaten der Betriebe und ihrer Mitarbeiter:innen ist Joshua Neff (Betreiber von Auftragsmanager) datenschutzrechtlich Verantwortlicher.
Für die Daten der Endkund:innen der Betriebe(im System „Kunden“ genannt, z. B. Name, Adresse, Auftragsbeschreibung, Unterschrift) ist der jeweilige Betrieb selbst Verantwortlicher. Auftragsmanager verarbeitet diese Daten nur im Auftrag des Betriebs (Auftragsverarbeitung gemäß Art. 28 DSGVO, siehe unsere AGB). Jeder Betrieb ist dafür verantwortlich, seine eigenen Endkund:innen entsprechend zu informieren und deren Einwilligung einzuholen — Auftragsmanager stellt dafür ein Einwilligungsfeld bei der Anlage eines Kunden zur Verfügung.

3. Welche Daten wir verarbeiten

Registrierung & Konto (Betrieb/Benutzer)

Betriebsname, Vor- und Nachname, E-Mail-Adresse, Passwort (gehasht, nie im Klartext gespeichert)
Rolle (Inhaber/Mitarbeiter), Firmenlogo, Öffnungszeiten, Betriebsurlaube (optional)
Anschrift, Telefonnummer, E-Mail-Adresse und UID-Nummer des Betriebs, sofern hinterlegt — sie erscheinen im Fußbereich des Auftragsscheins

Kalender & Terminplanung

Abwesenheiten von Mitarbeiter:innen— Zeitraum, Bezeichnung (z. B. „Jahresurlaub“), eine optionale Notiz sowie die Zuordnung zur betreffenden Person. Diese Einträge sind allen Benutzer:innen des jeweiligen Betriebs sichtbar; eine Angabe von Gründen (etwa Krankheit) ist weder vorgesehen noch erforderlich.
Betriebsinterne Termine ohne Personenbezug sowie Betriebsurlaube
Geplante Fertigstellungs- und Abholtermine einzelner Aufträge

Freischaltungsanfrage

Fragt ein Betrieb die Freischaltung an, speichern wir Name, Telefonnummer und E-Mail-Adresse der von ihm benannten Ansprechperson, eine optionale Nachricht sowie den Zeitpunkt der Anfrage — allein, um mit dem Betrieb Kontakt aufzunehmen und den weiteren Zugang zu besprechen.

Support-Fach

Stellt eine Person aus einem Betrieb über das Support-Fach eine Frage, speichern wir Betreff und Text der Anfrage, den Namen der verfassenden Person, die Zuordnung zum Betrieb sowie die Zeitpunkte von Anfrage und Antworten. Der Verlauf ist im Betrieb allen Benutzer:innen dieses Betriebs und uns als Anbieter sichtbar.
Der Inhalt wird von der schreibenden Person selbst bestimmt. Bitte geben Sie dort nur die Daten an, die zur Klärung nötig sind — eine Auftragsnummer genügt in aller Regel, um einen Fall nachzusehen; Namen oder Kontaktdaten Ihrer Endkund:innen sind dafür nicht erforderlich.

Abo-Status

Status der Testphase bzw. des Zugangs (z. B. Testphase, aktiv, abgelaufen) samt Ablaufdatum — zur Steuerung, welcher Betrieb den vollen Funktionsumfang nutzen kann. Zahlungsdaten werden nicht verarbeitet.

Endkund:innen-Daten (im Auftrag des Betriebs)

Name, Adresse sowie E-Mail-Adresse und/oder Mobiltelefonnummer. Mindestens einer der beiden Kontaktwege wird benötigt, damit die Kundschaft über die Fertigstellung ihres Auftrags informiert werden kann.
Auftragsbeschreibung, Auftragsstatus, digitale Unterschrift (als Bilddatei)
Zeitpunkt und Bestätigung der DSGVO-Einwilligung des Kunden gegenüber dem Betrieb
Zu jeder Nachricht an Ihre Kundschaft speichern wir den Anlass, den Kanal (E-Mail oder SMS), die verwendete Adresse bzw. Rufnummer, den Zeitpunkt, den Betreff und den Text der Nachricht sowie die Rückmeldung des Dienstleisters, ob sie zugestellt werden konnte. Der Text wird mitgespeichert, damit im Betrieb nachvollziehbar bleibt, was der Kundschaft mitgeteilt wurde — die häufigste Rückfrage ist nicht ob, sondern was geschrieben wurde. Das Protokoll dient zugleich der Abrechnung des SMS-Kontingents.
Antworten Ihrer Kundschaft per E-Mail an die Betriebsadresse werden ebenfalls gespeichert und dem jeweiligen Betrieb im Verlauf angezeigt.
Konnte eine Nachricht nicht zugestellt werden, halten wir zusätzlich fest, ob und wann jemand aus dem Betrieb die Kundschaft stattdessen telefonisch erreicht hat.

Benachrichtigung per SMS

Ist zu einer Kundschaft keine E-Mail-Adresse hinterlegt, wird die Mitteilung über die Fertigstellung eines Auftrags per SMS an die angegebene Mobilnummer versendet. Dabei wird die Rufnummer an unseren SMS-Dienstleister übermittelt; die Nachricht enthält ausschließlich die Auftragsnummer und den Namen des Betriebs.

Es handelt sich um eine reine Nachricht zur Vertragsabwicklung, nicht um Werbung. Ein Versand von Werbenachrichten per SMS oder E-Mail findet nicht statt; er würde nach § 174 TKG 2021 eine vorherige, gesonderte Einwilligung voraussetzen.

Prüfung der Kontaktdaten

Beim Anlegen oder Ändern einer Kundin oder eines Kunden prüfen wir, ob die angegebene E-Mail-Domain überhaupt Post annimmt. Dazu wird ausschließlich der Teil hinter dem @-Zeichen im öffentlichen Namenssystem (DNS) abgefragt — der Name der Person und der Teil vor dem @-Zeichen werden dabei nicht übermittelt.
Wird eine Mobilnummer angegeben, fragen wir bei unserem SMS-Dienstleister ab, ob die Rufnummer existiert und erreichbar ist (sogenannter HLR-Lookup). Dabei wird die Rufnummer an den Dienstleister übermittelt. Zweck ist ausschließlich, eine fehlerhafte Eingabe zu erkennen, bevor eine Benachrichtigung ins Leere geht; das Ergebnis wird nicht gespeichert.

Technische & Protokolldaten

Ein technisch notwendiges Session-Cookie zur Anmeldung (kein Tracking, keine Analyse-Cookies)
Änderungsprotokoll (Audit-Log): welche Aktion, wann, von welchem Benutzerkonto durchgeführt wurde
Temporäre Token für Passwort-Zurücksetzen (gültig 1 Stunde, danach automatisch ungültig)
Fortschritt im Einführungsrundgang (welche Bereiche eine Person bereits durchgegangen ist bzw. ob sie den Rundgang übersprungen hat) — damit er nicht bei jedem Aufruf erneut startet. Ein Nutzungsverhalten wird daraus nicht abgeleitet.

Reichweitenmessung

Zur Verbesserung von Stabilität und Bedienbarkeit setzen wir Vercel Web Analytics ein. Dabei werden erhoben:

aufgerufene Seite in anonymisierter Form (siehe unten), verweisende Seite, Zeitpunkt
grobe Herkunft (Land), Gerätetyp, Browser und Betriebssystem

Der Dienst arbeitet ohne Cookies und legt keine dauerhafte Kennung auf Ihrem Gerät ab. Eine Wiedererkennung über mehrere Websites hinweg oder ein Personenprofil findet nicht statt.

Anonymisierung der Seitenadressen: Adressen innerhalb der Anwendung können Kennungen einzelner Datensätze enthalten (etwa /kunden/<ID>) oder einmalige Zugangs-Token (etwa in Einladungs- und Passwort-Zurücksetzen-Links). Diese Bestandteile werden bereits in Ihrem Browser durch Platzhalter ersetzt, bevor eine Messung übermittelt wird — an den Dienstleister gelangt nur das Seitenmuster, also z. B. /kunden/[id]. Ebenso werden Parameter hinter dem Fragezeichen vollständig entfernt. Es werden dadurch keine Kennungen von Endkund:innen und keine gültigen Zugangs-Token an den Dienstleister übertragen.

4. Zwecke & Rechtsgrundlagen

Bereitstellung des Dienstes und Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO
Verwaltung von Testphase und Zugangsstatus des Betriebs — Art. 6 Abs. 1 lit. b DSGVO
Bearbeitung einer Freischaltungsanfrage und Kontaktaufnahme mit der benannten Ansprechperson — Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person)
Kommunikation zu Aufträgen (Auftragsbestätigung, Abholbenachrichtigung, Passwort-Reset) per E-Mail oder SMS — Art. 6 Abs. 1 lit. b DSGVO. Es handelt sich ausschließlich um Nachrichten zur Vertragsabwicklung; Werbung wird nicht versendet (§ 174 TKG 2021).
Bearbeitung von Anfragen aus dem Support-Fach, einschließlich einer Erinnerung an uns, wenn eine Anfrage länger als einen Tag unbeantwortet bleibt — Art. 6 Abs. 1 lit. b DSGVO
Prüfung der Erreichbarkeit angegebener Kontaktdaten (Mailserver-Abfrage, Rufnummernprüfung) — Art. 6 Abs. 1 lit. b DSGVO: ohne erreichbaren Kontaktweg lässt sich die zugesagte Benachrichtigung über die Fertigstellung nicht erbringen
Nachweis und Nachvollziehbarkeit der an die Kundschaft gesendeten Nachrichten samt Zustellstatus, einschließlich eingegangener Antworten — Art. 6 Abs. 1 lit. b DSGVO
Sicherheit, Missbrauchsprävention und Nachvollziehbarkeit (Audit-Log) — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Einsatz- und Terminplanung im Betrieb, einschließlich der Abwesenheiten von Mitarbeiter:innen — Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Dienstverhältnisses) bzw. § 76 Abs. 1 ArbVG in Verbindung mit § 8 DSG. Verantwortlich für diese Daten ist der jeweilige Betrieb als Arbeitgeber.
Cookielose Reichweitenmessung zur Verbesserung von Stabilität und Bedienbarkeit — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; eine Einwilligung ist nicht erforderlich, weil keine Cookies gesetzt und keine Informationen aus Ihrem Endgerät ausgelesen werden (§ 165 Abs. 3 TKG 2021).
Verarbeitung der Endkund:innen-Daten durch den Betrieb — Einwilligung gegenüber dem Betrieb, Art. 6 Abs. 1 lit. a DSGVO

5. Empfänger & Auftragsverarbeiter

Zur Bereitstellung des Dienstes setzen wir folgende Dienstleister ein (jeweils mit AVV/Standardvertragsklauseln):

Neon — Hosting der Datenbank
Vercel — Hosting der Anwendung, Speicherung von Firmenlogos und Unterschriften sowie cookielose Reichweitenmessung (Web Analytics)
Resend — Versand von Transaktions-E-Mails (Auftragsbestätigung, Abholbenachrichtigung, Passwort-Reset), Rückmeldung über deren Zustellbarkeit sowie Entgegennahme von Antworten Ihrer Kundschaft an die Betriebsadresse
seven.io — Versand von Transaktions-SMS an Endkund:innen ohne hinterlegte E-Mail-Adresse sowie Prüfung, ob eine angegebene Mobilnummer existiert und erreichbar ist. Übermittelt werden die Mobilnummer und — beim Versand — der Nachrichtentext.

Ein Zahlungsdienstleister ist derzeit nicht eingebunden; es werden keine Zahlungsdaten an Dritte übermittelt.

6. Speicherdauer

Konto- und Auftragsdaten: solange die Geschäftsbeziehung besteht bzw. bis zu einem Löschantrag
Session-Cookie: bis zum Logout oder Ablauf der Sitzung
Passwort-Reset-Token: 1 Stunde, danach automatisch gelöscht
Daten der Ansprechperson aus einer Freischaltungsanfrage: bis zum Ende der Geschäftsbeziehung des Betriebs; kommt kein Vertrag zustande, löschen wir sie spätestens zwölf Monate nach der Anfrage
Versandprotokoll der Benachrichtigungen samt Betreff, Text, Zustellstatus und eingegangenen Antworten: bis zum Ende der Geschäftsbeziehung des jeweiligen Betriebs; es wird gemeinsam mit dessen Daten gelöscht. Wird eine Kundin oder ein Kunde gelöscht, verliert das Protokoll die Zuordnung zu dieser Person.
Ergebnisse der Kontaktdatenprüfung: werden nicht gespeichert, sondern nur im Formular angezeigt
Support-Anfragen samt Verlauf: bis zum Ende der Geschäftsbeziehung des jeweiligen Betriebs; sie werden gemeinsam mit dessen Daten gelöscht
Kalendereinträge: bis sie im Kalender gelöscht werden, längstens bis zum Ende der Geschäftsbeziehung
Reichweitendaten: aggregiert beim Dienstleister gemäß dessen Aufbewahrungsfristen; ein Personenbezug besteht nicht, eine Zuordnung zu einzelnen Nutzer:innen ist uns nicht möglich
Bei Löschung eines Kunden durch den Betrieb: personenbezogene Daten werden anonymisiert, verknüpfte Aufträge bleiben in anonymisierter Form für die Geschäftsdokumentation erhalten, die digitale Unterschrift wird unwiderruflich gelöscht

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen die Verarbeitung Ihrer personenbezogenen Daten. Endkund:innen eines Betriebs wenden sich dafür bitte zunächst an den jeweiligen Betrieb; Betriebe und Benutzer:innen von Auftragsmanager wenden sich an joshineff@gmail.com.

Sie haben außerdem das Recht, sich bei der österreichischen Datenschutzbehörde (www.dsb.gv.at) zu beschweren.

8. Cookies

Wir verwenden ausschließlich ein technisch notwendiges Session-Cookie zur Anmeldung. Es werden keine Analyse-, Marketing- oder Tracking-Cookies eingesetzt. Da nur unbedingt erforderliche Cookies zum Einsatz kommen, ist gemäß § 165 Abs. 3 TKG 2021 keine gesonderte Cookie-Einwilligung erforderlich.

Die unter Punkt 3 beschriebene Reichweitenmessung findet ebenfalls ohne Cookies statt: Es werden weder Informationen auf Ihrem Endgerät gespeichert noch von dort ausgelesen. Ein Cookie-Banner ist daher nicht erforderlich.