Datenschutzerklärung

Meier & Wolf UG (haftungsbeschränkt), Geibelstraße 28, 50931 Köln, vertreten durch die Geschäftsführer René Wolf und Jonathan Meier. E-Mail: team@rechnersuite.de

Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen nach Art. 37 DSGVO / § 38 BDSG liegen nicht vor.

• Berater-Konto: E-Mail, Vor- und Nachname, Firma, Telefon (optional) sowie das Passwort ausschließlich als scrypt-Hash, niemals im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Mandanten-Fälle und Belegschaftsdaten: Der Berater gibt zur Berechnung Belegschaftsdaten ein oder lädt sie als Excel-Liste hoch (etwa Einkommensgruppen, Bruttolohn-Cluster, teils Alter einzelner Beschäftigter). Soweit darin personenbezogene Daten von Beschäftigten enthalten sind, verarbeiten wir diese ausschließlich im Auftrag und nach Weisung des Beraters als Auftragsverarbeiter (Art. 28 DSGVO); Verantwortlicher ist insoweit der Berater beziehungsweise der Arbeitgeber. Eine Weitergabe an Dritte findet nicht statt. Die Upload-Funktion ist technisch gesperrt, bis der Auftragsverarbeitungsvertrag abgeschlossen ist.
• Berichte (PDF): Aus den Fall-Daten erzeugen wir auf unserem Server Präsentations- und Report-PDFs für den Arbeitgeber-Termin. Diese werden ausgeliefert und nicht dauerhaft bei uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich enthaltener Beschäftigtendaten Art. 28 DSGVO.
• Nutzungsereignisse: Zur Produktverbesserung und zum Schutz der Anmeldung protokollieren wir technische Ereignisse mit folgenden Feldern: Ereignis-Name, Zeitpunkt, Berater-Kennung (damit besteht ein Personenbezug zum eingeloggten Berater), Sitzungs-Kennung, Browser-Kennung, aufgerufener Pfad, E-Mail-Domain sowie bei Datei-Uploads der Dateiname. Eine IP-Adresse wird ausschließlich beim Anmelde-Schutz (Rate-Limit) und nur als gekürzter SHA-256-Hash mit Server-Salt verarbeitet, niemals im Klartext. Bitte verwenden Sie keine Klarnamen in Excel-Dateinamen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anmelde-Sitzung und lokaler Zwischenspeicher: Siehe die Tabelle in Abschnitt 6.

• Hosting: Vercel Inc. (USA). Beim Abruf der Seiten werden technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) verarbeitet. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln; Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.
• Datenbank: Supabase, gehostet in der EU-Region Frankfurt (eu-central-1). Hier liegen Konto-, Fall- und Belegschaftsdaten.
• E-Mail-Versand (Anmelde- und Magic-Link-Mails): Resend, Inc. (USA). Übermittelt wird die E-Mail-Adresse des Beraters. Übermittlung auf Grundlage der EU-Standardvertragsklauseln; Resend ist unter dem EU-US Data Privacy Framework zertifiziert.
• Fehlerdiagnose: Sentry (Functional Software, Inc., USA). Im Fehlerfall werden technische Fehlerdaten übertragen (Fehlermeldung, Stacktrace, aufgerufene Adresse, Browser-Kennung). Es findet kein Session-Replay und kein Performance-Tracing statt, das Senden personenbezogener Standardfelder ist abgeschaltet, und die Daten werden vor dem Versand bereinigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Absicherung des Dienstes). Sentry ist unter dem EU-US Data Privacy Framework zertifiziert.
• Zahlungsabwicklung: Stripe. Wird erst mit dem kostenpflichtigen Angebot aktiviert. In der kostenfreien Beta findet keine Zahlungsabwicklung statt. Mit Aktivierung werden Name, E-Mail und Zahlungsdaten an Stripe übermittelt; Kartendaten erhalten wir selbst zu keinem Zeitpunkt.

Mit Vercel und Supabase bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Für die weiteren genannten Dienste werden die Verträge vor ihrer produktiven Aktivierung geschlossen.

• Berater-Konto und Mandanten-Fälle: solange das Konto besteht. Nach Vertragsende Löschung spätestens nach 30 Tagen; ein Export ist zuvor auf Anfrage möglich.
• Anmelde- und Magic-Link-Token: 30 Minuten gültig, danach ungültig.
• Nutzungsereignisse: spätestens nach 12 Monaten gelöscht oder anonymisiert aggregiert.
• Fehlerberichte (Sentry): nach der Aufbewahrungsfrist des Dienstes, spätestens nach 90 Tagen.
• Technische Zugriffsdaten des Hostings: für die Dauer der Fehlersuche und Missbrauchsabwehr, längstens 30 Tage.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Anfragen richten Sie bitte an team@rechnersuite.de.

Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de.

Wir setzen ausschließlich technisch notwendige Cookies und Speicherobjekte ein. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich, ein Einwilligungsbanner entfällt.

Wir setzen kein Google Analytics, keinen Marketing-Pixel und kein Nutzer-Tracking zu Werbezwecken ein. Externe Schriftarten werden nicht dynamisch nachgeladen. Die in Abschnitt 3 genannte Fehlerdiagnose setzt keine Cookies.

Die Rechnersuite befindet sich in der geschlossenen Beta. Bis zum Produktiv-Launch kann diese Erklärung erweitert werden. Bei wesentlichen Änderungen informieren wir angemeldete Berater per E-Mail.