Datenschutz

• Zwei Cookies für die Anmeldung, eines für Seiten, die die Handy-App im Browser öffnet, zwei für Ihre eingestellten Filter, eines für die Ansicht des Kalenders, eines für Ihre Antwort auf den Cookie-Hinweis – alle ohne Tracking.
• Reichweitenmessung mit Google Analytics nur nach Ihrer Zustimmung, und nur auf den öffentlichen Seiten – in der Anwendung selbst wird nichts gemessen.
• Keine Werbung, keine Weitergabe an Werbenetzwerke, keine externen Schriften.
• Ihre Inhalte sieht nur Ihr eigener Betrieb – Sie und die Mitarbeiter, die Sie einladen – und wem Sie selbst einen Link geben, etwa Ihrem Kunden, Lohnbüro oder Steuerberater.
• Die Handy-App fragt nicht nach dem Standort und misst nichts – nach Kamera und Fotos nur, wenn Sie ein Foto machen, nach den Kontakten nur, wenn Sie welche als Auftraggeber übernehmen.
• Keine Weitergabe – außer an Hosting-Anbieter, Cloudflare und E-Mail-Dienst, die in unserem Auftrag handeln, und an Stripe, wenn Sie ein Abo buchen, und an Anthropic, wenn Sie eine KI-Funktion nutzen, und an Google bzw. Apple, wenn Sie sich darüber anmelden, und an Google, wenn Sie Ihr Postfach oder Ihren Kalender darüber verbinden.

Philipp Bartels
Wilhelmstraße 57
71083 Herrenberg

E-Mail: [email protected]

Die Anwendung läuft bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, auf Servern in Deutschland. Mit dem Anbieter besteht ein Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO).

Bei jedem Aufruf verarbeitet der Server technisch bedingt:

• IP-Adresse, Datum und Uhrzeit
• aufgerufene Adresse, Statuscode und übertragene Datenmenge
• Browser und Betriebssystem, zuvor besuchte Seite, soweit der Browser sie mitschickt

Das ist nötig, um die Seiten auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer, stabiler Betrieb. Die Protokolle werden nach 7 Tagen gelöscht, es sei denn, ein Sicherheitsvorfall muss aufgeklärt werden – dann erst nach dessen Abschluss.

Vor dem Server steht der Dienst von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Jede Anfrage an rapporteapp.de – aus dem Browser wie aus der Handy-App – geht zuerst dorthin und wird von dort verschlüsselt an unseren Server weitergereicht. Cloudflare verarbeitet dabei dieselben Angaben wie oben und, weil die Verbindung dort entschlüsselt wird, auch die übertragenen Inhalte, speichert diese aber nicht. Das dient dazu, Angriffe und massenhafte Abrufe abzuwehren, bevor sie den Server erreichen, und die Seiten schnell auszuliefern (Art. 6 Abs. 1 lit. f DSGVO). Mit Cloudflare besteht ein Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO). Cloudflare verarbeitet Daten auch in den USA; das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Näheres: cloudflare.com/privacypolicy.

Für den Betrieb setzt die Rapporte App ein Cookie, „rapporte_sitzung". Es enthält einen zufällig erzeugten Wert, der Ihren Browser Ihrem Konto zuordnet, und sonst nichts. Ohne dieses Cookie wüsste die Anwendung nicht, welche Daten Ihnen gehören.

• Gesetzt beim ersten Aufruf, im Browser bis zu 400 Tage gültig.
• Für Skripte nicht lesbar (HttpOnly) und nur an diese Anwendung gesendet.
• Auf dem Server liegt nur ein Hashwert (SHA-256) davon, nicht der Wert selbst.
• Nach einer Anmeldung kommt ein zweites hinzu, „rapporte_angemeldet", mit dem Wert „1“ und sonst nichts. Es merkt sich nur, dass dieser Browser angemeldet war: Ist die Anmeldung inzwischen abgelaufen, führt der nächste Klick zur Anmeldung, statt Ihre Eingabe in einem leeren Gastkonto abzulegen. Beim Abmelden wird es gelöscht.
• Öffnet die Handy-App eine Seite im Browser, kommt „rapporte_aus_app" hinzu, ebenfalls nur mit dem Wert „1“. Es merkt sich für diese Browsersitzung, dass die Seite aus der App kommt, damit sie dort dieselben Inhalte zeigt wie die App selbst. Es ist für Skripte nicht lesbar und wird gelöscht, sobald Sie den Browser schließen.
• Eine Anmeldung endet nach 30 Tagen ohne Besuch; eine Sitzung als Gast läuft nicht ab, solange es das Gastkonto gibt – längstens also sieben Tage nach dessen Anlage (Abschnitt 5).
• Ausgenommen sind die Seiten für Außenstehende – Meldeformular, Kundenzugang, Angebot per Link, die Visitenkarte eines Betriebs, die Links in einer Bitte um eine Bewertung und die Lesezugänge für Lohnbüro und Steuerberater (siehe Abschnitt 9): Sie setzen kein Cookie.

Diese Cookies sind unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung braucht es dafür nicht. Die Verarbeitung dahinter stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO.

Nur wer „Mit Google anmelden" wählt, bekommt für höchstens zehn Minuten „rapporte_google" dazu: Zufallswerte, die den Rückweg von Google genau dieser Anmeldung zuordnen und sie gegen Fälschung sichern. Es geht nur an die Rückkehradresse der Anmeldung und wird danach gelöscht; auch dafür braucht es keine Einwilligung. Zur Anmeldung mit Google selbst siehe Abschnitt 6.

Wer sein Postfach über Google oder Microsoft verbindet, bekommt für höchstens zehn Minuten „rapporte_postfach_google" bzw. „rapporte_postfach_microsoft" mit demselben Zweck für den Rückweg vom Anbieter. Danach wird es gelöscht; auch dafür braucht es keine Einwilligung.

Ebenso beim Verbinden des Kalenders: „rapporte_kalender_google" bzw. „rapporte_kalender_microsoft", höchstens zehn Minuten, nur für den Rückweg vom Anbieter.

Ebenso bekommt nur, wer „Mit Apple anmelden" wählt, für höchstens zehn Minuten „rapporte_apple" mit demselben Zweck für den Rückweg von Apple. Zur Anmeldung mit Apple selbst siehe Abschnitt 6.

Verbinden Sie Ihr Postfach oder Ihren Kalender aus der Handy-App, kommt in deren Anmeldefenster für höchstens zehn Minuten „rapporte_app_verbinden" dazu: ein Zufallswert – Ihr Konto steht nicht darin –, der den Rückweg vom Anbieter der App zuordnet, aus der Sie kamen. Es geht nur an die Rückkehradresse und wird dort gelöscht; auch dafür braucht es keine Einwilligung.

Wer auf „Rapporte" oder „Dokumente" etwas einstellt – Zeitraum, Stand, Baustelle, Auftraggeber, Mitarbeiter –, bekommt „rapporte_filter" bzw. „rapporte_downloads": die Auswahl und die Kennung Ihres Kontos, damit die Seite beim nächsten Aufruf so dasteht, wie Sie sie verlassen haben, und auf einem geteilten Rechner nur für Sie. Zeitraum, Stand und Ziel gelten dabei für beide Seiten. Es gilt bis zu 400 Tage und verschwindet, sobald alles wieder auf Standard steht oder Sie sich abmelden. Auch dafür braucht es keine Einwilligung: Es merkt sich nur, was Sie selbst eingestellt haben.

Wer im Kalender unter „Ansicht“ etwas einstellt – welche Ebenen zu sehen sind, was unter „Zu planen“ ausgeblendet ist, welche Mitarbeiter und Gruppen –, bekommt „kalenderAnsicht": die Auswahl (Mitarbeiter als Kennung, Gruppen mit ihrem Namen) und die Kennung Ihres Kontos, damit der Kalender beim nächsten Aufruf so dasteht, wie Sie ihn verlassen haben, und auf einem geteilten Rechner nur für Sie. Es ist für Skripte nicht lesbar, geht nur an die Seiten unter /app und gilt bis zu 400 Tage; beim Abmelden bleibt es stehen, gilt aber nur für dasselbe Konto. Auch dafür braucht es keine Einwilligung: Es merkt sich nur, was Sie selbst eingestellt haben.

Ohne Cookie, im Speicher Ihres Browsers, liegt außerdem: ein Stempel, der ohne Netz gedrückt wurde, bis er bei uns angekommen ist (höchstens acht Stunden); die zuletzt eingestellten Blätter auf „Dokumente" am Handy; die drei zuletzt gewählten Mitarbeiter, Baustellen und Auftraggeber im Fenster „Filter" (Name und Kennung); ob Sie im Fenster „Neu“ zuletzt „Stempeluhr“ oder „Anlegen“ gewählt haben; je Betrieb, welche Schritte der Einrichtung schon zu sehen waren und ob sie übersprungen wurde; die zuletzt gewählte Sprache für „Rapport per Sprache“; die Auswahl für eine Vorschau im eigenen Tab (einen Tag). Nur solange der Tab offen ist, merkt sich die Seite dazu, woher Sie kamen – für „Zurück" – und wie weit eine Liste nachgeladen war. Auch das dient nur der Funktion, die Sie gerade benutzen, und braucht keine Einwilligung.

Bei den kostenlosen Vorlagen und Rechnern unter /vorlagen bleibt alles, was Sie eintragen, in Ihrem Browser: Es geht nicht an unseren Server, auch die PDFs und QR-Codes entstehen dort. Damit Sie beim nächsten Öffnen weitermachen können, merkt sich der Browser Ihre Angaben in seinem Speicher – etwa Name und Anschrift Ihres Betriebs, Ihr Logo (einmal für alle Vorlagen), Kunden und Objekte, Zeiten und die Namen zu Unterschriften; beim GiroCode Empfänger, IBAN und BIC, Betrag und Verwendungszweck nur, solange der Tab offen ist. Fotos, Unterschriften und eingelesene E-Rechnungen merkt er sich nicht. Wir können auf diese Angaben nicht zugreifen. Sie löschen sie mit „Leeren“ im jeweiligen Werkzeug oder in den Einstellungen Ihres Browsers. Auch das dient nur der Funktion, die Sie gerade benutzen, und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Ein QR-Aushang führt Mieter direkt zu WhatsApp, zum Telefon oder in ihr E-Mail-Programm; was dort geschieht, verantworten diese Anbieter.

Dazu kommt „rapporte_einwilligung". Darin steht Ihre Antwort auf den Hinweis, der beim ersten Besuch unten auf der Seite erscheint – „alle" oder „essentiell" –, und zwar 180 Tage lang. Es zählt nichts und erkennt Sie nicht wieder; es merkt sich Ihre Antwort, damit der Hinweis nicht bei jedem Aufruf von Neuem dasteht. Auch dafür ist keine Einwilligung nötig – gerade das Nein muss irgendwo stehen bleiben.

Nur wenn Sie zustimmen, kommen die Cookies der Reichweitenmessung dazu (Abschnitt 4). Andere Cookies gibt es nicht, auch keine von Dritten.

Mit Ihrer Zustimmung messen wir mit Google Analytics 4, wie die öffentlichen Seiten gefunden und genutzt werden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Erst nach Ihrer Zustimmung. Solange Sie nicht geantwortet oder „Nur essentielle" gewählt haben, wird kein Skript von Google geladen, kein Cookie dafür gesetzt und keine Verbindung zu Google aufgebaut – die Seite kennt Google dann gar nicht.

Und nur auf den öffentlichen Seiten: Startseite (auch wenn Sie angemeldet sind), Impressum, AGB, Datenschutz, Kontakt sowie Anmelden und Registrieren. In der Anwendung selbst – Rapporte, Baustellen, Kunden, Mitarbeiter, Stundenzettel – wird nicht gemessen. Deren Adressen und Tab-Titel tragen Namen und Anschriften Ihrer Kunden und Mitarbeiter, und über die hat niemand Google etwas zu erzählen. Klicken Sie von einer öffentlichen Seite in die Anwendung, endet die Messung an der Schwelle.

Erhoben werden dabei:

• die aufgerufene Seite, der Zeitpunkt, die Verweildauer und die zuvor besuchte Seite
• die gekürzte IP-Adresse, daraus Land und Region – nicht Ihr genauer Standort
• Gerätetyp, Betriebssystem, Browser und Spracheinstellung
• eine zufällige Kennung in den Cookies „_ga" und „_ga_…", bis zu zwei Jahre gültig, an der Google einen wiederkehrenden Besuch als denselben erkennt

Für Werbung wird nichts davon verwendet. Die Einwilligung, die wir an Google übergeben, erlaubt ausdrücklich nur die Messung; Werbespeicher, Werbedaten und personalisierte Werbung sind darin abgelehnt.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen – in Abschnitt 3 mit einem Klick, ohne Angabe von Gründen. Die Rechtmäßigkeit dessen, was bis dahin geschah, bleibt davon unberührt. Was Google bereits gespeichert hat, löscht der Widerruf nicht; die Cookies selbst entfernen Sie in den Einstellungen Ihres Browsers. Unabhängig davon können Sie die Messung mit dem Browser-Add-on von Google abschalten: tools.google.com/dlpage/gaoptout.

Mit Google besteht ein Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO). Google verarbeitet die Daten auch außerhalb der EU, insbesondere in den USA. Für die Übermittlung an die Google LLC besteht ein Angemessenheitsbeschluss der EU-Kommission – das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Gelöscht werden die Nutzungsdaten nach der in unserer Property eingestellten Aufbewahrungsdauer, spätestens nach 14 Monaten. Was Google darüber hinaus tut, steht in Googles eigener Erklärung: policies.google.com/privacy.

Damit Sie ohne Anmeldung loslegen können, legt die Rapporte App ein Gastkonto an, sobald Sie die Anwendung öffnen oder zum ersten Mal etwas speichern – die Startseite und die übrigen öffentlichen Seiten legen keines an. Gespeichert werden dazu eine zufällige Kennung, der Hashwert des Cookies und der Zeitpunkt – kein Name, keine E-Mail-Adresse, keine IP-Adresse. Was Sie als Gast anlegen, hängt allein an diesem Cookie. Melden Sie sich später an einem bestehenden Konto an, gehen diese Daten in das Konto über. Ein Gastkonto, in dem nach 24 Stunden nichts angelegt wurde, löschen wir automatisch – es gehört zu einem Cookie, den niemand mehr hat.

Jedes Gastkonto löschen wir sieben Tage nach seiner Anlage, zusammen mit allem, was darin steht. Gerechnet wird ab der Anlage, nicht ab dem letzten Besuch, und wir können Sie vorher nicht darauf hinweisen: Zu einem Gastkonto gehört keine E-Mail-Adresse. Wollen Sie Ihre Daten behalten, registrieren Sie sich (Abschnitt 6) – das Gastkonto wird dabei zu Ihrem Konto, alles Angelegte bleibt, und diese Frist gilt nicht mehr.

Zum Registrieren brauchen wir Name, E-Mail-Adresse und Passwort – oder statt des Passworts die Anmeldung über Google bzw. Apple (unten in diesem Abschnitt). Das Passwort speichern wir nur als Hashwert (scrypt); im Klartext kann es niemand lesen, auch wir nicht. Die E-Mail-Adresse dient als Anmeldename und für Mitteilungen zum Vertrag, etwa zu Änderungen der AGB – nicht für Werbung. Nach dem Registrieren schicken wir einmalig eine Willkommens-E-Mail mit Ihrem Namen, der Adresse zum Anmelden, einem Link zum Bestätigen dieser Adresse und Hinweisen zum Einstieg. Ändern Sie die Adresse später, geht an die neue ein Bestätigungslink; bis Sie ihn benutzen, gilt die bisherige. Gilt die neue, geht an die bisherige ein kurzer Hinweis auf den Wechsel. Ein solcher Link gilt sieben Tage und nur einmal. In der Datenbank steht nur ein Hashwert davon.

Zu jedem Konto halten wir fest, wann Sie sich registriert haben und wann Sie die App zuletzt benutzt haben – den letzten Besuch höchstens auf die Stunde genau. Beides sehen nur wir als Betreiber, zusammen mit Name und Adresse Ihres Kontos, wann es angelegt wurde, ob die Adresse bestätigt ist, wann und womit Sie sich zuletzt angemeldet haben (Passwort, Google oder Apple) und auf wie vielen Geräten, mit den Firmendaten aus den Einstellungen (Firmenname, Inhaber, Anschrift, Telefon, E-Mail), Ihrem Abo, Ihren Plugins, den Namen Ihrer Mitarbeiter samt den Adressen ihrer Zugänge, wie viele E-Mails heute aus Ihrem Betrieb gingen, dem Postausgang (Abschnitt 12) und der Anzahl dessen, was darin steht – etwa Rapporte, Auftraggeber, Baustellen und Fotos –, samt belegtem Speicher und dem Zeitpunkt des letzten Rapports. Wir brauchen das, um die App zu betreuen: um zu sehen, ob Registrierungen ankommen, um Ihnen zu helfen, wenn eine Bestätigungs-E-Mail nicht ankommt, und um Missbrauch des E-Mail-Versands zu stoppen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Angaben enden mit Ihrem Konto.

Statt mit Passwort können Sie sich mit Ihrem Google-Konto registrieren und anmelden. Dazu leiten wir Sie zu Google, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dort melden Sie sich an und stimmen der Weitergabe zu. Google übermittelt uns dann Ihren Namen, Ihre E-Mail-Adresse, ob Google diese Adresse bestätigt hat, und eine Kennung Ihres Google-Kontos. Die Kennung speichern wir am Konto, um Sie beim nächsten Mal wiederzuerkennen; ein Passwort gibt es dann nicht, bis Sie eines festlegen. Gibt es unter der Adresse schon ein Konto, verbinden wir es mit dem Google-Konto; sein bisheriges Passwort und alle Anmeldungen enden dabei. Auf Ihre übrigen Google-Daten haben wir keinen Zugriff, und Google erfährt nichts über Ihre Inhalte. Was Google bei der Anmeldung selbst verarbeitet, verantwortet Google; das steht in Googles Datenschutzerklärung. Google verarbeitet Daten auch in den USA, gestützt auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Wer Google nicht nutzen möchte, registriert sich mit E-Mail-Adresse und Passwort.

Ebenso können Sie sich mit Ihrer Apple-ID registrieren und anmelden („Mit Apple anmelden") – auf dem iPhone über das Betriebssystem, sonst über die Seite von Apple, Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Apple übermittelt uns eine Kennung Ihrer Apple-ID, Ihre E-Mail-Adresse und beim ersten Mal Ihren Namen, wenn Sie ihn freigeben. Statt Ihrer echten Adresse können Sie bei Apple eine zufällige Weiterleitungsadresse wählen („E-Mail-Adresse verbergen"); unsere Mails erreichen Sie dann über Apple. Die Kennung speichern wir am Konto wie bei Google, und ebenso verbinden wir ein bestehendes Konto unter derselben Adresse. Dazu bewahren wir einen Schlüssel von Apple verschlüsselt auf, und zwar nur, um Ihre Anmeldung mit Apple beim Löschen Ihres Kontos bei Apple zu beenden. Was Apple bei der Anmeldung selbst verarbeitet, verantwortet Apple; das steht in Apples Datenschutzrichtlinie. Wer Apple nicht nutzen möchte, registriert sich mit E-Mail-Adresse und Passwort.

Haben Sie Ihr Passwort vergessen, schicken wir auf Anfrage eine E-Mail mit Ihrem Namen und einem Link zum Zurücksetzen an die Adresse des Kontos. Gespeichert wird dazu nur ein Hashwert des Links, das Konto und der Ablaufzeitpunkt. Der Link gilt 60 Minuten und wird gelöscht, sobald er benutzt oder ein neuer angefordert wird. Mit dem neuen Passwort enden alle bisherigen Anmeldungen. Die E-Mails verschickt Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, in unserem Auftrag.

Laden Sie als Inhaber einen Mitarbeiter ein, schicken wir an die E-Mail-Adresse, die Sie bei ihm eingetragen haben, eine E-Mail mit seinem Namen, dem Namen Ihres Betriebs und einem Link, mit dem er sich ein eigenes Konto erstellt. Gespeichert werden dazu nur ein Hashwert des Links, die Adresse, der Mitarbeiter und der Ablaufzeitpunkt; der Link gilt sieben Tage und wird gelöscht, sobald er benutzt oder zurückgezogen wird. Das Konto des Mitarbeiters besteht aus Name, E-Mail-Adresse und Passwort-Hashwert und ist mit seinem Datensatz in Ihrem Betrieb verknüpft; er sieht damit die Inhalte Ihres Betriebs (Abschnitt 8). Sie können den Zugang jederzeit entziehen, er sein Konto jederzeit löschen.

Buchen Sie als Inhaber ein Abo, bezahlen Sie auf den Seiten von Stripe, Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Wir übergeben dafür die E-Mail-Adresse des Kontos, den Firmennamen und eine Kennung Ihres Betriebs; Anschrift, gegebenenfalls USt-IdNr. und die Zahlungsdaten (Karte oder Konto) geben Sie dort selbst ein. Bei uns bleiben nur die Kennungen von Kunde und Abo bei Stripe, was gebucht ist und was es kostet, der Stand des Abos und bis wann bezahlt ist – Karten- oder Kontonummern sehen wir nicht. Stripe verschickt die Rechnungen und verarbeitet die Zahlungsdaten zum Teil als eigener Verantwortlicher, etwa zur Betrugsvorbeugung und wegen gesetzlicher Pflichten; dazu gehört auch eine Übermittlung an die Stripe, Inc. in den USA, die nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO). Näheres steht in der Datenschutzerklärung von Stripe: stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Rechnungen bewahren wir nach § 147 AO zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

KI-Funktionen. Nutzen Sie eine KI-Funktion, schicken wir die Inhalte, die sie dafür braucht, an Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA – etwa den Text eines Rapports oder eine Notiz, das Foto oder PDF eines Belegs oder einer Liste, die Sie übernehmen, eine eingefügte Kundenmail oder für „Frag deine Zahlen“ eine Zusammenfassung der letzten zwölf Monate: Stunden je Baustelle und Monat, Rechnungen mit Empfänger und Betrag, Belege mit Lieferant und Betrag. Manche Funktionen laufen, wenn Sie sie eingeschaltet haben, von selbst, etwa das Lesen hochgeladener Belege. Anthropic verarbeitet sie in unserem Auftrag (Art. 28 DSGVO), gibt die Antwort zurück und verwendet sie nicht zum Training seiner Modelle. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Bei uns bleibt, welche Funktion wann wie viele KI-Credits verbraucht hat und wer sie ausgelöst hat, dazu, was aus der Antwort wird: Vorschläge der KI samt Ihrer Entscheidung darüber, Hinweise an einer Rechnung und ein Vermerk zu dem, was sie von selbst erledigt hat; was Sie übernehmen, steht danach wie selbst eingetragen im Rapport, am Beleg oder in der Liste. Das alles endet mit Ihrem Konto. Für „Rapport per Sprache“ wandelt Ihr Browser bzw. die Tastatur Ihres Handys das Gesprochene in Text um – je nach Gerät über einen Dienst des Browser- oder Geräteherstellers, etwa Google oder Apple; an uns und an Anthropic geht nur der Text. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Eigenes Postfach. Freiwillig können Sie Ihr E-Mail-Postfach mit der Anwendung verbinden (als Inhaber unter Plugins › E-Mail › Einrichtung, als Mitarbeiter unter Einstellungen › E-Mail). Beim Inhaber ist es das Postfach des Betriebs: Darüber gehen die Formulare des Betriebs samt Eingangsbestätigung an den Absender (Abschnitt 9), nach einer Vorschau, was Sie per Knopf an Kunden, Lohnbüro und Steuerberater schicken, und von selbst, was Sie dafür eingeschaltet haben: Zahlungserinnerungen und Mahnungen, Rechnungen und Preisankündigungen zu Wartungsverträgen und Bitten um eine Bewertung (Abschnitt 9). Bei einem Mitarbeiter gehen darüber nur die Dokumente, die er selbst per Knopf ans Büro schickt; von selbst nie etwas. Zwei Wege gibt es: über Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) mit ausschließlich der Berechtigung „gmail.send", oder mit Server, Benutzername und Passwort Ihres Anbieters (SMTP). Ihre Nachrichten lesen, durchsuchen oder löschen können wir auf keinem dieser Wege. Gespeichert werden die Absenderadresse, eine Kennung beim Anbieter, das Langzeit-Token bzw. das Passwort – verschlüsselt –, bei SMTP Server, Port und Benutzername, dazu, wann Sie verbunden haben und wann zuletzt etwas gesendet wurde. Beim Verbinden über SMTP geht eine Testmail an Ihre eigene Adresse. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit widerrufen – an derselben Stelle über „Verbindung lösen" oder beim Anbieter. Dann löschen wir die Zugangsdaten, und die Formulare des Betriebs nehmen nichts mehr an – außer in der Übergangsfrist (Abschnitt 9). Was Google oder Microsoft dabei selbst verarbeiten, verantworten sie; beide verarbeiten Daten auch in den USA, gestützt auf das EU-US Data Privacy Framework (Art. 45 DSGVO).

Kalender. Freiwillig kann der Inhaber einen Kalender verbinden (Plugins › Kalender › Einrichtung), damit Termine daraus in die Planung kommen: über Google mit den Berechtigungen „calendar.events.readonly" (bzw. „calendar.events", wenn die Aufträge auch zurück in den Kalender gehen sollen) und „calendar.calendarlist.readonly", oder über einen Kalender-Link (ICS), den Sie selbst einfügen. Gespeichert werden das Langzeit-Token bzw. der Link – verschlüsselt –, welche Kalender und Termine zählen sollen, und von den Terminen der nächsten 60 Tage, die danach zählen, Titel, Ort, Beschreibung, Tag und Uhrzeit. Was die Anwendung selbst in den Kalender geschrieben hat, erkennt sie an seiner Kennung. Termine löschen wir 30 Tage nach ihrem Tag, alle zusammen beim Trennen; die daraus entstandenen Aufträge bleiben. Ist die KI-Funktion „Kalendertermine zuordnen“ eingeschaltet, gehen Titel, Ort, Beschreibung und Zeit der neuen Termine zusammen mit Namen und Adressen Ihrer Baustellen und den Namen Ihrer Mitarbeiter an Anthropic (siehe oben). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), widerrufbar über „Trennen“ oder beim Anbieter.

Daten aus Google-Diensten. Die Nutzung und Weitergabe von Informationen, die die Rapporte App von Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Im englischen Original: „Rapporte App's use and transfer of information received from Google APIs to any other app will adhere to Google API Services User Data Policy, including the Limited Use requirements.“ Das heißt: Wir nutzen diese Daten nur für die oben beschriebenen Funktionen – Mails aus Ihrem Postfach senden, Termine in die Planung holen und Aufträge in Ihren Kalender schreiben. Wir verkaufen sie nicht, nutzen sie nicht für Werbung und geben sie nur weiter, soweit es diese Funktionen brauchen – an Anthropic nur für die KI-Funktion „Kalendertermine zuordnen“, wenn Sie sie eingeschaltet haben. Weder wir noch Anthropic trainieren damit KI-Modelle. Menschen sehen sie bei uns nur mit Ihrer ausdrücklichen Zustimmung, zur Aufklärung von Missbrauch oder Sicherheitsvorfällen oder wenn das Gesetz es verlangt.

Kalender-Abo. Jedes Konto kann einen geheimen Link erzeugen, über den sein eigener Kalender – auf dem Handy oder am Rechner – die Aufträge abholt, die das Konto sieht. Gespeichert wird nur der Schlüssel des Links; „Neuen Link erzeugen“ macht den alten ungültig. Wo Sie den Link eintragen, etwa bei Google, Microsoft oder Apple, liegt dann eine Kopie dieser Aufträge in deren Verantwortung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben bleiben gespeichert, bis das Konto gelöscht wird.

Schreiben Sie uns über das Kontaktformular, schicken wir Name, E-Mail-Adresse, Betreff und Nachricht per E-Mail an unser Postfach, zusammen mit der Kennung Ihres Kontos, damit wir bei Fragen zur Anwendung nachsehen können. Ihre E-Mail-Adresse brauchen wir, um zu antworten. In der Anwendung selbst wird die Nachricht nicht gespeichert.

Schreiben Sie stattdessen direkt an [email protected], landet die E-Mail in unserem Postfach beim E-Mail-Dienst (Abschnitt 6).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um Ihre Nutzung der Rapporte App geht, sonst Art. 6 Abs. 1 lit. f DSGVO – unser Interesse, Anfragen zu beantworten. Wir löschen die E-Mail, sobald Ihr Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

Was Sie in der Rapporte App eintragen, speichern wir, damit Sie damit arbeiten können:

• Ihr Betrieb: Firmenname, Inhaber, Anschrift, Telefon, E-Mail, Webseite, Logo und Ihre Unterschrift
• Kunden: Name, Ansprechpartner, Anschrift, Telefon, E-Mail und Notizen
• Mitarbeiter: Name, Funktion, Handynummer, E-Mail-Adresse, Personalnummer, vereinbarte Monatsstunden, Urlaubstage, Stundenlohn und Verrechnungssatz, Unterschrift und Arbeitszeiten mit Beginn, Ende und Pause – aus den Rapporten und von der Stempeluhr (Arbeit beginnen, Ende, Pausen, dazu die Baustelle, auf der gestempelt wurde). Personalnummer, Lohn und Verrechnungssatz sehen nur Sie als Inhaber – die Personalnummer mit den Stunden eines Monats auch Ihr Lohnbüro, wenn Sie ihm den Monat freigeben oder schicken (Abschnitt 9); Stundenzettel und Stempeluhr eines Mitarbeiters nur Sie und er selbst
• Abwesenheiten: ob ein Mitarbeiter krank ist, Urlaub oder frei hat, auf Fortbildung oder sonst abwesend ist, mit Zeitraum und einer freiwilligen Notiz – eingetragen von Ihnen oder vom Mitarbeiter selbst. Dass jemand krank ist, ist eine Gesundheitsangabe: Abwesenheiten und den Stand daraus („Krank bis …") sehen nur Sie als Inhaber und der Mitarbeiter selbst, nicht seine Kollegen – und Ihr Lohnbüro als Zahl der Krank-, Urlaubs- und anderen Abwesenheitstage eines Monats, den Sie ihm freigeben oder schicken (Abschnitt 9)
• Baustellen: Bezeichnung, Adresse, Notizen, Zuständige und Dokumentation
• Tagesteams: wer mit wem unterwegs ist, mit Fahrzeugen und Geräten
• Aufträge im Kalender: Baustelle, Tage und Uhrzeit, wer eingeteilt ist, was zu tun ist und woher der Auftrag kam
• Bestand: Leistungen, Material, Geräte und Fahrzeuge mit Preisen und Kosten
• Rapporte: Datum, Leistungen, Material, Zeiten und Unterschriften mit Name, Ort und Datum
• Verlauf der Rapporte: wer einen Rapport angelegt, abgeschlossen, wieder geöffnet oder unterschrieben hat und wann – mit dem Namen zum Zeitpunkt, der auch stehen bleibt, wenn ein Zugang später entzogen wird
• Kommentare an einem Rapport mit allem, was Sie dazu schreiben
• Hinweise an Baustellen, Auftraggebern und Mitarbeitern („Schlüssel beim Hausmeister“)
• Verlauf der Arbeitszeiten: wer eine Zeit wann geändert oder gelöscht hat, mit dem Stand davor und danach – er bleibt stehen, auch wenn die Person später nicht mehr im Betrieb ist
• Fotos an Rapporten, in der Galerie und der Dokumentation einer Baustelle und als Bild eines Kunden, eines Mitarbeiters oder Ihres Kontos
• Dateien bei Kunden, Baustellen und Mitarbeitern – etwa Verträge, Pläne und Tabellen – mit Dateiname, Größe und wer sie hochgeladen hat; welche ein Mitarbeiter sehen darf, legen Sie fest. Sie liegen im selben Speicher wie die Fotos (Abschnitt 10)
• Belege: Foto oder PDF eines Einkaufs mit Lieferant, Nummer, Datum, Beträgen, Posten, Baustelle und wer ihn erfasst hat
• Rechnungen und Angebote: Empfänger mit Anschrift, Positionen und Beträge, bei Rechnungen der Zahlungs- und Mahnstand, bei Angeboten, wie der Kunde darauf geantwortet hat (Abschnitt 9)
• Übernommene Daten: Was Sie unter „Daten übernehmen“ aus einer Datei – etwa Excel, CSV oder PDF – oder aus den Kontakten Ihres Handys (Abschnitt 11) übernehmen, steht danach in den Listen oben. Die Datei selbst bewahren wir nicht auf; ihre Zeilen liegen nur bis zum Übernehmen bei uns, ein Entwurf, den Sie nicht übernehmen, wird nach zwei Tagen gelöscht. Danach bleiben Dateiname, Spaltenköpfe und was daraus angelegt wurde, damit Sie es zurücknehmen können

Diese Inhalte sieht nur Ihr Betrieb – Sie und die Mitarbeiter, die Sie eingeladen haben (Abschnitt 6) – und wem Sie selbst einen Link geben, etwa Ihrem Kunden, Lohnbüro oder Steuerberater (Abschnitt 9); jede Seite und jede Aktion prüft das. Auch Fotos liefert der Server nur an das Konto aus, dem sie gehören – über ihre Adresse allein kommt niemand heran. PDFs von Rapporten, Berichten und Stundenzetteln entstehen beim Abruf auf Ihrem Gerät – im Browser oder in der App – und werden auf unserem Server nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Viele dieser Inhalte betreffen andere Menschen: Ihre Kunden, deren Ansprechpartner und Ihre Mitarbeiter. Für diese Daten sind Sie als Betrieb Verantwortlicher im Sinne der DSGVO; wir verarbeiten sie nur in Ihrem Auftrag und nach Ihren Weisungen (Art. 28 DSGVO, siehe § 8 der AGB). Die Betroffenen informieren Sie selbst. Anfragen, die dazu bei uns eingehen, leiten wir an Sie weiter.

Meldeformular. Ein Betrieb kann für eine Baustelle ein Meldeformular einschalten. Darüber melden Mieter, Hausverwaltungen und andere ohne Konto einen Schaden oder Mangel – mit einer Beschreibung, ihrem Namen und freiwillig dem Ort im Haus, der Wohnung sowie Telefonnummer oder E-Mail-Adresse. Die Meldung wird nicht gespeichert – außer als Auftrag im Kalender, wenn der Betrieb das so eingestellt hat (unten). Sie geht als E-Mail über das Postfach, das der Betrieb mit der Anwendung verbunden hat (Abschnitt 6), an die Adresse des Kontos, an die Firmenadresse und an die Mitarbeiter mit Zugang, die diese Baustelle betreuen – und ist damit sonst nur im Postfach des Betriebs, nicht in unserer Datenbank. Wurde eine E-Mail-Adresse angegeben, geht an sie – ebenfalls über das Postfach des Betriebs, sofern er das nicht abgeschaltet hat – eine Eingangsbestätigung; sie nennt das Objekt und die Notfallnummer, nicht den gemeldeten Text. Verantwortlich ist dieser Betrieb; wir verarbeiten die Angaben in seinem Auftrag wie oben beschrieben. Die Seite des Formulars setzt kein Cookie und legt kein Konto an. Die IP-Adresse wird nicht gespeichert, sondern nur kurzzeitig im Arbeitsspeicher des Servers gezählt, um massenhafte Einsendungen zu bremsen. Damit eine E-Mail-Adresse nicht mehr als drei Bestätigungen am Tag bekommt, zählen wir sie in der Datenbank mit; dieser Zähler wird am übernächsten Tag gelöscht.

Visitenkarte. Ein Betrieb kann eine öffentliche Visitenkarte einschalten – eine Seite unter einem zufälligen Link, auf der sein Logo, sein Firmenname, die Anschrift, Telefonnummer, E-Mail-Adresse und Webseite stehen – dazu, wenn er das einträgt, ein Satz zu seiner Arbeit, seine Erreichbarkeit und eine Notfallnummer. Außerdem kann der Betrieb eigene Links auf die Karte setzen – etwa zu seinem Auftritt bei Instagram, Facebook, WhatsApp oder zu seinen Bewertungen bei Google –, und neben der Anschrift steht „Route", ein Link zu Google Maps. Das sind gewöhnliche Links: Die Karte lädt nichts von diesen Diensten, erst wer einen davon antippt, landet auf der fremden Seite, und für sie gilt dann deren Datenschutzerklärung. Alle diese Angaben trägt der Betrieb selbst in seinen Unternehmensdaten ein; er entscheidet, ob es die Seite gibt, und schaltet sie jederzeit wieder aus – dann führt der Link ins Leere. Verantwortlich für die Angaben ist der Betrieb. Suchmaschinen wird die Seite nicht angeboten („noindex"); wer den Link hat, kann sie öffnen und weitergeben. Sie setzt kein Cookie und legt kein Konto an. Über die Karte kann der Betrieb ein Meldeformular anbieten – was darüber gemeldet wird, behandeln wir wie oben beschrieben; statt einer Wohnung tippt der Melder die Anschrift, um die es geht. Ebenso kann er über die Karte ein Kontaktformular und eine Terminanfrage anbieten; dazu die nächsten Absätze.

Nachricht über die Visitenkarte. Auf der Karte kann der Betrieb ein Kontaktformular anbieten – eine Nachricht an ihn, wie auf der Kontaktseite einer Webseite. Was dort steht – Name und E-Mail-Adresse, freiwillig Telefonnummer und Betreff sowie der Text –, speichern wir nicht (außer als Auftrag im Kalender, unten); wir leiten es als E-Mail über das Postfach des Betriebs (Abschnitt 6) an seine Adressen weiter, und damit liegt es sonst nur in seinem Postfach; „Antworten" führt an die angegebene E-Mail-Adresse. An diese geht außerdem eine Eingangsbestätigung ohne den geschriebenen Text, sofern der Betrieb sie nicht abgeschaltet hat. Pflicht sind Name, E-Mail-Adresse und der Text – ohne sie käme keine Antwort zustande. Um Missbrauch zu verhindern, zählen wir für kurze Zeit Nachrichten je IP-Adresse und je Betrieb und begrenzen, wie viele E-Mails am Tag an eine Adresse gehen. Das Formular gibt es nur, wenn der Betrieb es einschaltet und ein Postfach verbunden hat.

Terminanfrage. Ein Betrieb kann über seine Visitenkarte eine Terminanfrage anbieten. Wer den Link öffnet, sagt, wann es ihm passt und worum es geht. Angegeben werden Name und E-Mail-Adresse, freiwillig Telefonnummer, ein Wunschtermin in eigenen Worten und die Anschrift, um die es geht. Die Anfrage wird nicht gespeichert (außer als Auftrag im Kalender, unten); wir leiten sie als E-Mail über das Postfach des Betriebs an seine Adressen weiter, „Antworten" führt an die angegebene E-Mail-Adresse, und an diese geht eine Eingangsbestätigung ohne den Text, sofern der Betrieb sie nicht abgeschaltet hat. In der E-Mail an den Betrieb steht ein Link, mit dem er den Termin aus der Anwendung zusagen kann; die Angaben der Anfrage stehen dafür unterschrieben im Link selbst, nicht in unserer Datenbank. Sagt er darüber zu, geht die Zusage nach einer Vorschau über sein Postfach an die angegebene E-Mail-Adresse, und nutzt er den Kalender, steht der Termin danach mit Name, Anschrift und Text als Auftrag darin. Pflicht sind Name, E-Mail-Adresse und der Text – ohne sie käme keine Zusage zustande. Einen Kalender mit freien Zeiten, eine Buchung, einen persönlichen Link zum Termin, eine Kalenderdatei und die Erinnerung am Vorabend gibt es seit Oktober 2026 nicht mehr; der Betrieb meldet sich selbst. Um Missbrauch zu verhindern, zählen wir für kurze Zeit Anfragen je IP-Adresse und je Betrieb und begrenzen, wie viele E-Mails am Tag an eine Adresse gehen. Das Formular gibt es nur, wenn der Betrieb es einschaltet und ein Postfach verbunden hat.

Als Auftrag im Kalender. Hat der Betrieb die Automatik „Anfragen in den Kalender“ eingeschaltet, legen wir aus jeder Meldung, Nachricht und Terminanfrage – auch über den Kundenzugang – zusätzlich einen Auftrag in seinem Kalender an: mit dem Text und – je nach Formular – Name und Anschrift bzw. der Baustelle, ohne E-Mail-Adresse und Telefonnummer. Dazu halten wir in der Liste dessen, was die Automatik erledigt hat, fest, wann das war, von wem es kam und den Anfang des Textes. Der Auftrag bleibt, bis der Betrieb ihn löscht oder zurücknimmt, der Vermerk so lange wie sein Konto. Die E-Mail an den Betrieb geht trotzdem.

Übergangsfrist. Bis zum 3. Dezember 2026 nehmen die Formulare eines Betriebs abweichend von den Absätzen oben auch dann etwas an, wenn er noch kein Postfach verbunden hat, sofern die Adresse seines Kontos bestätigt ist. Die E-Mail ans Büro geht dann über unseren E-Mail-Dienst (Abschnitt 6) an seine Adressen; eine Eingangsbestätigung an den Absender gibt es in diesem Fall nicht.

Auf der Webseite des Betriebs. Der Betrieb kann seine Visitenkarte, die Terminanfrage, das Meldeformular und das Kontaktformular auch auf seiner eigenen Webseite einbinden – als Teil der Seite, als Knopf oder als Link, der ein Fenster öffnet. Technisch lädt die Webseite dazu ein kleines Skript und die jeweilige Seite von uns in einem Rahmen. Dabei erhalten wir, wie bei jedem Aufruf, die IP-Adresse und die Angaben des Browsers (Abschnitt 2); was im Rahmen eingegeben wird, behandeln wir wie in den Absätzen oben beschrieben. Das Skript und der Rahmen setzen kein Cookie und legen kein Konto an. Für die Webseite selbst ist der Betrieb verantwortlich, er weist in seiner eigenen Datenschutzerklärung auf die Einbindung hin. Damit Formulare nicht von Programmen massenhaft ausgefüllt werden, misst der Browser außerdem, wie lange das Ausfüllen gedauert hat; nur diese Zahl geht mit und wird nicht gespeichert.

Kundenzugang. Ein Betrieb kann seinem Kunden einen Link einrichten, über den dieser ohne Konto in seine Baustellen sieht – je nach Einstellung abgeschlossene Rapporte mit den Namen und Arbeitszeiten der eingesetzten Mitarbeiter. Über den Link kann der Kunde auch melden – die Meldung geht dann wie über den Aushang als E-Mail ans Büro und wird nicht gespeichert (außer als Auftrag im Kalender, oben) – und Rapporte als Auftraggeber unterschreiben; Name, Ort, Datum und Unterschrift werden am Rapport gespeichert. Den Link gibt der Betrieb selbst weiter – kopiert, aus seinem eigenen E-Mail-Programm oder über sein verbundenes Postfach; über unseren E-Mail-Dienst geht er nicht. In der Datenbank steht nur ein Hashwert des Links, dazu der Zeitpunkt, an dem er zuletzt geöffnet wurde. Die Seiten des Zugangs setzen kein Cookie. Widerruft der Betrieb den Zugang, führt der Link ins Leere.

Angebot per Link. Ein Betrieb kann seinem Kunden ein Angebot als Link geben. Darüber sieht der Kunde das Angebot ohne Konto und lädt es als PDF; er kann Posten „auf Wunsch“ wählen, das Angebot mit Name, Ort, Datum und Unterschrift annehmen – freiwillig mit einer Anmerkung und ob früher begonnen werden darf –, es mit einem freiwilligen Grund ablehnen oder es, wo die Seite das anbietet, widerrufen. Das speichern wir am Angebot, und der Betrieb bekommt darüber eine E-Mail; an die Adresse auf dem Angebot geht nach dem Annehmen eine Bestätigung über das Postfach des Betriebs, sofern er sie nicht abgeschaltet hat. In der Datenbank steht ein Hashwert des Links, dazu, wie oft und wann er zuletzt geöffnet wurde. Die Seite setzt kein Cookie. Verantwortlich ist der Betrieb.

Lohnbüro und Steuerberater. Als Inhaber können Sie unter Einstellungen › Steuerbüro & DATEV je einen Link einschalten, über den Ihr Lohnbüro bzw. Ihr Steuerberater ohne Konto liest. Das Lohnbüro sieht die Monate der letzten zwölf, die Sie freigegeben haben – je Mitarbeiter Name, Personalnummer, Soll- und gearbeitete Stunden, Feiertage, Krank-, Urlaubs- und andere Abwesenheitstage, Zuschläge, Rufbereitschaft, Mehr- und Minderstunden, Spesen und weitere Beträge – und lädt sie als PDF, CSV und, je nach Lohnprogramm, als Importdatei. Der Steuerberater sieht die gestellten Rechnungen mit Nummer, Empfänger und Betrag, jede auch als PDF und XRechnung, und die Belege mit Lieferant, Betrag und dem Foto oder PDF dazu, je Monat der letzten 24 und auch als Buchungsstapel für DATEV. Gespeichert wird der Schlüssel des Links; wer ihn hat, kann die Seiten öffnen und weitergeben, Suchmaschinen werden sie nicht angeboten. Sie setzen kein Cookie. Schalten Sie den Zugang aus, führt der Link ins Leere; eingeschaltet gibt es einen neuen.

Dokumente per E-Mail. Jedes Dokument – Arbeitsbericht, Baustellenbericht, Stundenzettel, Dokumentation – lässt sich statt herunterladen auch per E-Mail weitergeben – ebenso Angebot, Rechnung, Zahlungserinnerung, Terminzusage, die Monatsmeldung ans Lohnbüro, die Rechnungen eines Monats an den Steuerberater und Belege und Rechnungen an DATEV Upload Mail. Verschickt wird immer von Ihrer eigenen Adresse, nie über unseren E-Mail-Dienst, und – außer dem, was Sie im nächsten Absatz von selbst gehen lassen – nur, wenn Sie nach einer Vorschau auf „Senden" drücken: Ist ein Postfach verbunden (Abschnitt 6), geht die E-Mail samt Anhang über unseren Server an Ihren Anbieter und von dort hinaus; dann steht der Versand mit Empfänger, Betreff und Zeitpunkt im Postausgang (Abschnitt 12), der Anhang wird nicht gespeichert. Sonst übergibt die Anwendung das PDF an das E-Mail-Programm auf Ihrem Gerät, und bei uns wird nichts zusätzlich gespeichert.

Von selbst über das Postfach des Betriebs. Ohne Vorschau gehen nur die folgenden E-Mails hinaus, und nur, wenn Sie sie eingeschaltet haben und das Postfach des Betriebs verbunden ist (Abschnitt 6) – nie über unseren E-Mail-Dienst:

• Zahlungserinnerung und Mahnungen, wenn unter „Von selbst“ „Mahnen“ an ist oder eine Rechnung auf „Automatisch“ steht: an die E-Mail-Adresse auf der Rechnung, im Text Rechnungsnummer, Datum, Betrag und Bankverbindung, dazu das Blatt als PDF
• Wartungsverträge (Plugin „Wartungsverträge“): sechs Wochen vor jedem Vertragsjahr die Ankündigung des neuen Preises an die E-Mail-Adresse des Auftraggebers und, je nach Einstellung am Vertrag, die Rechnung eines Zeitraums als PDF an die Adresse auf der Rechnung – für Behörden dazu die XRechnung
• Bitten um eine Bewertung (Plugin „Bewertung“, nächster Absatz)

Das PDF dazu zeichnet in diesen Fällen unser Server; gespeichert wird es nicht. Jede dieser E-Mails steht mit Empfänger, Betreff und Zeitpunkt im Postausgang (Abschnitt 12) und in der Liste dessen, was die Anwendung von selbst erledigt hat – mit der Empfängeradresse, bei Mahnungen auch Rechnungsnummer und Betrag. Am neuen Preis eines Vertrags merken wir uns, wann und an wen er angekündigt wurde.

Bitte um eine Bewertung. Mit dem Plugin „Bewertung“ legen wir für einen Auftraggeber eine Bitte an, wenn für ihn – je nach Einstellung – ein Rapport abgeschlossen oder eine Rechnung bezahlt ist: ab Werk nur für Privatkunden, höchstens eine je Kunde in 90 Tagen, nie für einen Auftraggeber, der nicht gefragt werden möchte. Gespeichert werden dazu der Auftraggeber, wofür (etwa „Bad 2. OG“), seine E-Mail-Adresse, wann die Bitte fällig ist, auf welchem Weg und wann sie hinausging, wann der Link darin zuerst geöffnet wurde, ob sie abgesagt wurde und gegebenenfalls, warum der Versand scheiterte. Geht sie von selbst, dann tagsüber über das Postfach des Betriebs an diese Adresse; per Knopf schickt der Betrieb sie selbst oder teilt sie am Handy, etwa über WhatsApp oder SMS. In der Bitte stehen die Anrede mit dem Namen, der Name des Betriebs und zwei Links zu unserem Server: „Jetzt bewerten“ merkt sich, dass er geöffnet wurde, und führt weiter auf die Bewertungsseite, die der Betrieb eingetragen hat, etwa bei Google – dort gilt die Datenschutzerklärung dieses Anbieters. „Nicht mehr fragen“ vermerkt am Auftraggeber, dass er keine Bitte mehr bekommt, und hält das in dessen Verlauf fest. Beide Links setzen kein Cookie und legen kein Konto an. Verantwortlich ist der Betrieb.

Fotos werden schon in Ihrem Browser verkleinert – auf höchstens 1.280 Pixel an der längsten Kante – und als WebP (wo der Browser das nicht kann, als JPEG) neu gespeichert, bevor sie hochgeladen werden. Dabei fallen eingebettete Metadaten weg, etwa Kameramodell, Aufnahmezeit und GPS-Standort. Hochladen lassen sich Fotos nur mit einem Konto, nicht als Gast, und je Betrieb nur bis zu einer festen Speichergrenze.

In der Handy-App geschieht dasselbe auf dem Gerät: Erst wenn Sie auf „Foto“ tippen, fragt die App nach der Kamera bzw. der Fotomediathek. Sie verkleinert das Bild dort auf 1.280 Pixel, speichert es als WebP ohne Metadaten und hält es in ihrem eigenen Speicher, bis es übertragen ist – auch ohne Netz. Ohne Konto bleibt es auf dem Gerät und geht beim Anmelden mit in Ihr Konto.

Die Fotos liegen im Objektspeicher unseres Hosting-Anbieters (Abschnitt 2), auf Servern in Deutschland. Sie sind nicht öffentlich: Unser Server holt jedes Foto selbst aus dem Speicher und gibt es nur an Ihren Betrieb heraus – Ihr Browser und die Handy-App verbinden sich dafür allein mit unserem Server. Die kleine Vorschau rechnet unser Server beim Hochladen aus dem Foto und legt sie daneben ab. Löschen Sie ein Foto, löschen wir auch die Datei samt Vorschau.

Fotos von Menschen – etwa das Bild eines Mitarbeiters oder Ansprechpartners – laden Sie als Betrieb in eigener Verantwortung hoch (Abschnitt 9); holen Sie dafür vorher das Einverständnis der Person ein.

Unterschriften zeichnen Sie mit Finger, Stift oder Maus. Gespeichert wird nur das fertige Bild, nicht Druckstärke, Geschwindigkeit oder andere Merkmale des Schreibens; biometrische Daten entstehen dabei nicht.

Die Rapporte App gibt es auch als App fürs Handy. Laden Sie sie aus dem App Store von Apple oder aus Google Play, verarbeiten Apple bzw. Google dabei Ihre Daten als eigene Verantwortliche, etwa Ihre Kennung im Store und den Zeitpunkt des Downloads; das richtet sich nach deren Datenschutzerklärungen. Wir erfahren davon nichts, was Sie persönlich erkennen ließe.

Ohne Konto bleibt alles, was Sie in der App anlegen, in einer Datenbank auf Ihrem Gerät und geht nicht an uns. Melden Sie sich an oder registrieren Sie sich, übernimmt die App diese Einträge in Ihr Konto – beim Anmelden an einem bestehenden Konto erst, wenn Sie zustimmen. Ein Gastkonto auf unserem Server entsteht dabei nicht.

Melden Sie sich in der App mit Google oder Apple an, gilt Abschnitt 6. Die Seite von Google – auf Android auch die von Apple – öffnet die App dafür im Anmeldefenster des Systems, nicht in sich selbst; die App sieht weder Ihr Google- noch Ihr Apple-Passwort.

Mit Konto hält die App eine Abschrift dessen auf dem Gerät, was Sie im Betrieb sehen dürfen – dieselben Rechte wie auf der Webseite –, damit sie auch ohne Netz funktioniert. Was Sie ohne Netz eintragen, wartet auf dem Gerät und geht an uns, sobald wieder Verbindung besteht. Damit Rapporte, Berichte und Stundenzettel auch ohne Netz als PDF entstehen, liegen dazu der Briefkopf und das Logo des Betriebs, die Unterschriften an den Rapporten und die Fotos der Dokumentation auf dem Gerät; die PDFs selbst entstehen erst beim Abruf und werden nicht aufbewahrt. Angemeldet bleibt die App über einen zufälligen Schlüssel, der im geschützten Schlüsselbund des Geräts liegt (Keychain bzw. Keystore); bei uns steht davon wie beim Cookie nur ein Hashwert, und er endet wie eine Anmeldung im Browser nach 30 Tagen ohne Nutzung, beim Abmelden und mit einem neuen Passwort. Nach dem Abmelden bleibt die Abschrift auf dem Gerät, damit sie beim nächsten Anmelden sofort da ist und noch nicht Übertragenes nicht verloren geht; wird der Zugang entzogen, löscht die App sie beim nächsten Kontakt mit dem Server. Ganz weg ist sie, wenn Sie die App löschen.

Die App fragt nicht nach Ihrem Standort oder Ihrem Kalender – nach der Kamera und den Fotos nur, wenn Sie ein Foto aufnehmen oder auswählen (Abschnitt 10), nach Ihren Kontakten nur, wenn Sie unter Einstellungen › Daten übernehmen „Kontakte vom Handy“ öffnen –, schickt keine Mitteilungen, enthält keine Werbung und keine Analyse- oder Absturzdienste von Dritten und verbindet sich nur mit unserem Server (Abschnitt 2), auch um Fotos zu zeigen (Abschnitt 10). Die Kontakte liest die App dann nur auf dem Gerät; an uns gehen allein die, die Sie anhaken – mit Name, Firma, Telefon, E-Mail-Adresse und Anschrift –, und werden Auftraggeber (Abschnitt 8). Tippen Sie auf eine Telefonnummer, eine E-Mail-Adresse oder „Route", übergibt die App diese an die Telefon-, Mail- oder Karten-App Ihres Geräts – bei der Route die Adresse an Apple Karten bzw. Google Maps; was dort geschieht, verantwortet der jeweilige Anbieter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir geben Ihre Daten nicht weiter und verkaufen sie nicht. Zugriff haben nur unsere Auftragsverarbeiter, soweit ihre Aufgabe es erfordert: der Hosting-Anbieter für den Betrieb der Server und die Ablage der Fotos (Abschnitte 2 und 10), Cloudflare als Schutz davor (Abschnitt 2) und der E-Mail-Dienst für Versand und Empfang von E-Mails. Haben Sie ein Postfach verbunden, gehen die E-Mails darüber an Ihren eigenen Anbieter (Abschnitt 6). Für Abos kommt Stripe als Zahlungsdienstleister hinzu (Abschnitt 6). Für die KI-Funktionen kommt Anthropic hinzu (Abschnitt 6). Wer sich mit Google bzw. Apple anmeldet, für den tauschen wir dabei Daten mit diesem Anbieter aus (Abschnitt 6). Verbinden Sie Ihr Postfach oder Ihren Kalender über Google, tauschen wir dafür Daten mit diesem Anbieter aus (Abschnitt 6). Was Sie selbst freigeben – über einen Link oder per E-Mail an Kunden, Lohnbüro oder Steuerberater –, erreicht die, denen Sie es geben (Abschnitt 9). Haben Sie der Messung zugestimmt, kommt Google für die Reichweitenmessung auf den öffentlichen Seiten hinzu (Abschnitt 4); Ihre Inhalte erreichen Google nicht. Ausgenommen sind Fälle, in denen wir gesetzlich verpflichtet sind, Daten etwa an Behörden herauszugeben.

Zu jeder E-Mail, die die Anwendung verschickt oder zu verschicken versucht, führen wir einen Postausgang: Art der E-Mail, Absender- und Empfängeradresse, Betreff, Zeitpunkt und ob sie rausging – bei einem Fehlschlag den Grund, nie den Text. Der Inhaber eines Betriebs sieht darin, was für seinen Betrieb verschickt wurde; wir sehen ihn, um Fehler im Versand zu finden. Die Einträge löschen wir nach 90 Tagen, mit dem Konto sofort.

Der Hosting-Anbieter verarbeitet die Daten nur innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. E-Mails können dabei in die USA übermittelt werden. Der E-Mail-Dienst ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO). Cloudflare verarbeitet Daten auch in den USA; die Grundlage dafür steht in Abschnitt 2. Stripe übermittelt Zahlungsdaten auch an die Stripe, Inc. in den USA (Abschnitt 6). Für die KI-Funktionen gehen Inhalte an Anthropic in den USA; die Grundlage dafür steht in Abschnitt 6. Google verarbeitet Daten bei der Anmeldung und für ein verbundenes Postfach auch in den USA (Abschnitt 6). Google verarbeitet die Messdaten auch in den USA; die Grundlagen dafür stehen in Abschnitt 4.

Inhalte bleiben gespeichert, bis Sie sie in der Anwendung löschen. Mit einer Baustelle gehen ihre Dokumentation samt Fotos und Kommentaren und ihre Galerie; Rapporte bleiben erhalten. Mit einem Kunden oder Mitarbeiter geht sein Bild. Leere Gastkonten ohne jeden Inhalt löschen wir 24 Stunden nach ihrer Anlage, jedes andere Gastkonto sieben Tage nach seiner Anlage samt seinen Inhalten (siehe Abschnitt 5).

Ihr Konto löschen Sie selbst unter Einstellungen › Mein Konto („Konto löschen“, als Inhaber „Betrieb löschen“), auf der Webseite wie in der Handy-App, zur Sicherheit mit Ihrem Passwort – ohne Passwort mit einer erneuten Anmeldung bei Google oder Apple. Als Inhaber löschen Sie damit alle Inhalte Ihres Betriebs, dazu die Konten Ihrer Mitarbeiter, sofern diese sonst nichts enthalten. Als Mitarbeiter löschen Sie nur Ihren eigenen Zugang; Ihr Datensatz im Betrieb bleibt beim Inhaber. Die Schritte stehen auch unter Konto löschen. Fragen zur Löschung beantworten wir unter [email protected]. Aufbewahrungspflichten nach Handels- und Steuerrecht treffen Sie als Betrieb – laden Sie solche Unterlagen vorher herunter.

Zum Schutz vor Datenverlust sichern wir jede Nacht die Datenbank und die abgelegten Fotos und Dateien. Die Sicherungen liegen auf unserem Server beim Hosting-Anbieter und, verschlüsselt, in einem getrennten Speicher desselben Anbieters in Deutschland – nur für uns lesbar – und werden nach 14 Tagen gelöscht; Gelöschtes verschwindet aus ihnen also gut zwei Wochen nach der Löschung. Spätestens wenn Sie die Handy-App vom Gerät entfernen, ist auch die Abschrift dort weg (Abschnitt 11).

Die Verbindung zur Anwendung ist verschlüsselt (TLS), auch auf dem Weg von Cloudflare zu unserem Server. In der Handy-App liegt der Anmeldeschlüssel im Schlüsselbund des Geräts. Passwörter und Sitzungen liegen nur als Hashwerte vor – wer die Datenbank liest, kann damit weder Passwörter erfahren noch Sitzungen übernehmen. Jede Anfrage wird einem Konto zugeordnet und darf nur dessen Daten lesen oder ändern.

Sie haben das Recht auf

• Auskunft über die Daten, die wir über Sie verarbeiten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Eine E-Mail an [email protected] genügt. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland, in dem Sie wohnen oder arbeiten, oder in dem, in dem wir unseren Sitz haben.

Für ein Konto brauchen wir Name, E-Mail-Adresse und Passwort – oder statt des Passworts die Anmeldung über Google bzw. Apple (Abschnitt 6); als Gast und in der Handy-App ohne Anmeldung geht es auch ohne. Alles andere tragen Sie freiwillig ein. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Ändert sich die Anwendung, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung.