Datenschutzerklärung

Stand: | Gültig für modulwerke SaaS-Plattform

1. Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Tobias Schmid
[STRASSE HAUSNUMMER]
[PLZ ORT], Deutschland
E-Mail: [E-MAIL-ADRESSE]

2. Verarbeitete Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

Account-Daten: Benutzername, E-Mail-Adresse, Passwort (bcrypt-gehasht)
Nutzungsdaten: Login-Zeitpunkte, Aktionen im System (Audit-Log)
Technische Daten: IP-Adresse, Browser-Typ (in Server-Logs), Session-Tokens
Geschäftsdaten: Vom Nutzer eingegebene Daten (Bestellungen, Personalakten, etc.) – diese unterliegen der alleinigen Verantwortung des Tenant-Betreibers

3. Zweck und Rechtsgrundlage der Verarbeitung

Zweck	Rechtsgrundlage	Speicherdauer
Bereitstellung des SaaS-Dienstes (Login, Authentifizierung)	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)	Dauer des Vertragsverhältnisses
Sicherheit & Missbrauchsprävention (Audit-Log)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)	90 Tage
Server-Logs (IP, Zeitstempel)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)	30 Tage, danach automatisch gelöscht
Rechnungsstellung / Buchhaltung	Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)	10 Jahre (§ 147 AO)
E-Mail-Kommunikation (Support)	Art. 6 Abs. 1 lit. b DSGVO	Dauer des Vertragsverhältnisses + 3 Jahre

4. Cookies und Session-Management

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies (Session-Token für die Anmeldung). Es werden keine Analyse-, Werbe- oder Tracking-Cookies verwendet.

    Da keine nicht-notwendigen Cookies eingesetzt werden, ist kein Cookie-Consent-Banner
    gemäß TTDSG erforderlich.

Session-Cookie

Name	Zweck	Typ	Laufzeit
`access_token`	Authentifizierungstoken (JWT)	HttpOnly, Secure, SameSite=Strict	8 Stunden
`refresh_token`	Erneuert den Access Token	HttpOnly, Secure, SameSite=Strict	30 Tage (nur wenn "Angemeldet bleiben")

5. Datenspeicherung und Sicherheit

Mandanten-Isolation: Jeder Kunde (Tenant) hat eine eigene PostgreSQL-Datenbank. Ein technischer Zugriff auf Daten anderer Tenants ist architekturbedingt ausgeschlossen.
Verschlüsselung: Alle Verbindungen sind TLS 1.3 verschlüsselt. Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 12) gespeichert.
Serverstandort: Die Server befinden sich in Deutschland / EU. Es findet keine Datenübertragung in Drittländer statt.
Backups: Tägliche verschlüsselte Backups, Aufbewahrung 30 Tage.

6. Auftragsverarbeitung (Art. 28 DSGVO)

    Wichtig für Unternehmenskunden: Als B2B-SaaS-Anbieter verarbeiten wir
    personenbezogene Daten im Auftrag unserer Kunden (Tenants). Mit jedem Unternehmenskunden
    wird ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen.
    Bitte kontaktieren Sie uns für den Abschluss eines AVV.

7. Ihre Rechte (Art. 15–22 DSGVO)

Sie haben das Recht auf:

Auskunft (Art. 15) – welche Daten wir über Sie gespeichert haben
Berichtigung (Art. 16) – Korrektur unrichtiger Daten
Löschung (Art. 17) – "Recht auf Vergessenwerden"
Einschränkung (Art. 18) – der Verarbeitung
Datenübertragbarkeit (Art. 20) – Ihrer Daten in maschinenlesbarem Format
Widerspruch (Art. 21) – gegen Verarbeitungen auf Basis berechtigter Interessen

Zur Ausübung Ihrer Rechte wenden Sie sich an: [E-MAIL-ADRESSE]

Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen (zuständig: Landesbeauftragter für Datenschutz und Informationsfreiheit Ihres Bundeslandes).

8. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.