Datenschutzerklärung
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Sven Klein
Heubuck 76
79289 Horben
Deutschland
Telefon: bitte ergänzen
E-Mail: bitte ergänzen
2. Übersicht der Verarbeitungen
Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten, die Zwecke ihrer Verarbeitung und die betroffenen Personenkreise zusammen.
Arten der verarbeiteten Daten
- Stammdaten (z. B. Namen, Adressen)
- Kontaktdaten (z. B. Telefonnummern, E-Mail-Adressen)
- Vertragsdaten (z. B. Kaufvertragsnummer, Kommissionsnummer, Bestellgegenstand)
- Inhaltsdaten (Inhalte hochgeladener PDFs, Bilder und Planungsdaten)
- Nutzungsdaten (z. B. besuchte Webseiten, Zugriffszeiten)
- Meta-/Kommunikationsdaten (z. B. Geräte-Informationen, IP-Adressen)
Kategorien betroffener Personen
- Verkäuferinnen und Verkäufer der mit uns kooperierenden Möbelhäuser (Nutzer der Web-App)
- Endkundinnen und Endkunden der Möbelhäuser, deren Bestelldaten an uns übermittelt werden
Zwecke der Verarbeitung
- Erbringung von Aufmaß-Dienstleistungen
- Durchführung technischer Auftragskontrollen (TAK)
- Kommunikation mit Auftraggebern und Endkunden
- Erfüllung vertraglicher und gesetzlicher Pflichten
3. Maßgebliche Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – soweit die Verarbeitung zur Erfüllung eines Aufmaß- oder TAK-Auftrags erforderlich ist.
- Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung) – soweit eine gesetzliche Verpflichtung zur Verarbeitung besteht (z. B. handels- und steuerrechtliche Aufbewahrungspflichten).
- Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen) – zum Betrieb, zur Sicherheit und zur Optimierung der Web-App, soweit unsere Interessen die Interessen der Betroffenen nicht überwiegen.
Im Verhältnis zu den Möbelhäusern handeln wir hinsichtlich der Endkundendaten als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Die Möbelhäuser sind insoweit Verantwortliche.
4. Sicherheitsmaßnahmen
Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
- Verschlüsselte Datenübertragung per HTTPS (TLS)
- Verschlüsselte Speicherung von API-Schlüsseln in geschützten Umgebungsvariablen
- Zugriffsbeschränkungen auf API-Schnittstellen über Domain- und Referrer-Restriktionen
- Zugriffsbeschränkte Bestelllinks (individuelle ID je Verkäufer)
- Regelmäßige Überprüfung der eingesetzten Dienste und ihrer Datenschutz-Standards
- Verwendung von Auftragsverarbeitungsverträgen mit allen externen Dienstleistern
5. Übermittlung von Daten in Drittländer
Einige der von uns eingesetzten Dienstleister verarbeiten Daten außerhalb der Europäischen Union, insbesondere in den USA. Eine Übermittlung erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Dies geschieht durch:
- Auswahl von Anbietern, die nach dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) zertifiziert sind, oder
- Abschluss der Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Durchführungsbeschluss (EU) 2021/914 der EU-Kommission, ergänzt um technische und organisatorische Schutzmaßnahmen.
6. Beschreibung der Verarbeitungsvorgänge
6.1 Bereitstellung der Web-App (Hosting)
Wir betreiben unsere Aufmaßbestellung- und TAK-Web-App über den Cloud-Hosting-Dienst Netlify. Beim Aufruf der App werden technisch notwendige Verbindungsdaten verarbeitet (insb. IP-Adresse, Datum und Uhrzeit des Zugriffs, übertragene Datenmenge, anfragender Browser, Betriebssystem).
- Anbieter:
- Netlify, Inc., 44 Montgomery Street, Suite 300, San Francisco, CA 94104, USA
- Zweck:
- Auslieferung der Web-App, Sicherheit, technische Fehleranalyse
- Rechtsgrundlage:
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb)
- Drittlandtransfer:
- USA, abgesichert durch EU-U.S. Data Privacy Framework und Standardvertragsklauseln
- Datenschutzerklärung:
- netlify.com/privacy
6.2 KI-gestützte Datenerkennung (Anthropic Claude)
Zur Vereinfachung der Auftragserfassung werden hochgeladene PDFs, Bilder und Screenshots an den KI-Dienst Anthropic Claude übertragen. Die KI extrahiert daraus strukturierte Auftragsdaten (z. B. Name, Adresse, Telefonnummer, Kaufvertragsnummer), die der Verkäufer im Anschluss prüft und ergänzt.
- Anbieter:
- Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
- Übermittelte Daten:
- Inhalt der hochgeladenen Dokumente (kann personenbezogene Daten der Endkunden enthalten)
- Zweck:
- Automatisierte Datenextraktion zur Vereinfachung der Bestellabwicklung
- Rechtsgrundlage:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Drittlandtransfer:
- USA, abgesichert durch Standardvertragsklauseln
- Hinweis:
- Übermittelte Inhalte werden nicht zum Training von KI-Modellen verwendet. Speicherdauer bei Anthropic: max. 30 Tage zu Sicherheits- und Missbrauchsprüfungszwecken, danach Löschung.
- Datenschutzerklärung:
- anthropic.com/legal/privacy
6.3 Adressvalidierung (Google Maps Platform)
Im Aufmaßbestellungsformular werden Adressdaten zur Validierung und Normalisierung an die Google Maps Platform übermittelt (Geocoding API und Places API). Zusätzlich kann das Adressfeld Eingabevorschläge anzeigen (Places Autocomplete).
- Anbieter (für EU-Nutzer):
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
- Mutterunternehmen:
- Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
- Übermittelte Daten:
- eingegebene oder ausgelesene Adressdaten, IP-Adresse, technische Verbindungsinformationen
- Zweck:
- Validierung der Lieferadresse für korrekte Aufmaßdurchführung
- Rechtsgrundlage:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Drittlandtransfer:
- USA, abgesichert durch EU-U.S. Data Privacy Framework
- Datenschutzerklärung:
- policies.google.com/privacy
6.4 Workflow-Automatisierung (Make)
Eingereichte Bestelldaten werden über den Automatisierungsdienst Make an unsere internen Systeme weitergeleitet (z. B. Datenbankablage, interne Benachrichtigungen).
- Anbieter:
- Make s.r.o., Křižíkova 148/34, 186 00 Praha 8 – Karlín, Tschechische Republik (Teil der Celonis-Gruppe)
- Übermittelte Daten:
- alle Bestellinhalte einschließlich Endkundendaten
- Zweck:
- Automatisierte Weiterleitung und Verarbeitung von Bestellungen
- Rechtsgrundlage:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Drittlandtransfer:
- keiner – Hauptsitz und Verarbeitung innerhalb der EU
- Datenschutzerklärung:
- make.com/en/privacy-notice
6.5 Datenspeicherung der Aufträge (Airtable)
Eingegangene Aufmaß- und TAK-Bestellungen werden in der Datenbank Airtable gespeichert, in der wir den weiteren Auftragsverlauf verwalten.
- Anbieter:
- Formagrid, Inc. (Airtable), 799 Market Street, Floor 8, San Francisco, CA 94103, USA
- Übermittelte Daten:
- Auftragsdaten inkl. Endkundendaten (Name, Adresse, Telefon, E-Mail, Auftragsdetails), hochgeladene Planungsdateien
- Zweck:
- Auftragsverwaltung und -dokumentation
- Rechtsgrundlage:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Drittlandtransfer:
- USA, abgesichert durch EU-U.S. Data Privacy Framework und Standardvertragsklauseln
- Datenschutzerklärung:
- airtable.com/company/privacy
7. Cookies und lokale Speicherung
Die Aufmaßbestellung- und TAK-Web-App setzt keine Cookies zu Tracking- oder Analysezwecken ein. Es werden lediglich technisch erforderliche Daten im Browser verarbeitet, um die Funktionalität der App während eines Bestellvorgangs sicherzustellen. Diese Daten verlassen den Browser nicht und werden mit dem Schließen der Seite verworfen.
8. Speicherdauer und Löschung
Personenbezogene Daten werden gelöscht, sobald sie für die Zwecke ihrer Verarbeitung nicht mehr erforderlich sind, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen:
- Auftragsdaten in Airtable: bis 10 Jahre nach Auftragsabschluss (handels- und steuerrechtliche Pflichten)
- Hochgeladene Planungsdateien: für die Dauer des Auftrags + max. 3 Jahre
- Server- und Zugriffslogs (Netlify): nach Standard-Aufbewahrungsfristen des Anbieters, in der Regel wenige Wochen
- KI-Verarbeitungslogs (Anthropic): max. 30 Tage
9. Rechte der betroffenen Personen
Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruchsrecht (Art. 21 DSGVO)
- Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannte Kontaktadresse.
Zuständige Aufsichtsbehörde:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Königstraße 10a, 70173 Stuttgart
Telefon: 0711/615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: baden-wuerttemberg.datenschutz.de
10. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Dienste in der Datenschutzerklärung umzusetzen. Für den erneuten Besuch unserer Web-App gilt dann die neue Datenschutzerklärung.