Datenschutzerklärung

Für die in dieser Datenschutzerklärung als eigene Verarbeitung von DevRack e.U. beschriebenen Vorgänge ist verantwortlich:

DevRack e.U.

Schwarzastraße 5, 2632 Grafenbach-St. Valentin, Österreich

office@devrack.at

Sofern ein Datenschutzbeauftragter bestellt wird, werden dessen Kontaktdaten an dieser Stelle ergänzt.

Diese Datenschutzerklärung gilt für den öffentlichen Web- und Loginbereich des Baustellen-Managers, für bestimmte technische Vorgänge der mobilen App sowie für Kontakt- und Supportvorgänge, bei denen DevRack e.U. selbst über Zweck und Mittel der Verarbeitung entscheidet.

Bei der eigentlichen betrieblichen Nutzung des Baustellen-Managers – insbesondere bei Mitarbeiterstammdaten, Arbeitszeiten, Baustellen-/Auftragsdaten, Standortdaten, Abwesenheiten, Fotos, Dokumenten, Lieferscheinen und interner Kommunikation – ist grundsätzlich der jeweilige Firmenkunde bzw. Arbeitgeber datenschutzrechtlich Verantwortlicher. DevRack e.U. verarbeitet diese Daten im Auftrag des Kunden. Für diese Beschäftigten- und Betriebsdaten gelten zusätzlich die Datenschutzhinweise des jeweiligen Arbeitgebers.

Beim Aufruf des Webangebots werden technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource, Browser-/Geräteinformationen sowie technische Status- und Fehlerdaten gehören.

Die Verarbeitung erfolgt zur sicheren, stabilen und fehlerfreien Bereitstellung des Dienstes sowie zur Abwehr von Missbrauch und Angriffen. Soweit DevRack e.U. hierbei selbst Verantwortlicher ist, stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb des Angebots.

Technische Protokolle werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und IT-Sicherheit erforderlich ist. Die konkrete Dauer richtet sich nach Art des Protokolls, Sicherheitsbedarf und den technisch vorgesehenen Aufbewahrungsfristen der eingesetzten Infrastruktur.

Hosting über Render

Der Baustellen-Manager wird über Render Services, Inc. betrieben. Die produktive Webanwendung/API und die PostgreSQL-Datenbank sind nach der aktuell dokumentierten Konfiguration in Frankfurt am Main, Deutschland, eingerichtet.

Render ist ein US-amerikanischer Anbieter. Auch bei europäischer Hostingregion können im Rahmen des Betriebs, Supports oder durch Unterauftragnehmer internationale Verarbeitungen stattfinden. Hierfür bestehen vertragliche Datenschutzregelungen und geeignete Transfermechanismen.

Für Anmeldung, Benutzerverwaltung, Verifizierung und Sitzungsverwaltung wird Clerk, Inc. eingesetzt. Dabei können insbesondere Name, E-Mail-Adresse, Benutzer-ID, Login-, Session-, Verifizierungs- und Sicherheitsdaten verarbeitet werden.

Clerk verwendet für die Authentifizierung technisch notwendige Cookies bzw. vergleichbare Sitzungsmechanismen. Diese sind für die Anmelde- und Sicherheitsfunktion erforderlich. Nach dem aktuell dokumentierten Stand werden über Clerk keine Arbeitszeit-, Baustellen-, Krankheits-, GPS-, Foto- oder Lieferscheindaten gezielt verarbeitet.

Soweit die Anmeldung Teil der Nutzung durch einen Firmenkunden ist, erfolgt die Verarbeitung der Benutzer-/Authentifizierungsdaten im Rahmen der Auftragsverarbeitung für diesen Kunden. Bestimmte Account- und Sicherheitsdaten kann Clerk nach den eigenen Vertrags- und Datenschutzbedingungen für eigene Zwecke verarbeiten.

Wenn Sie DevRack e.U. per E-Mail, telefonisch oder über eine Anfrage kontaktieren, werden die von Ihnen bereitgestellten Angaben zur Bearbeitung der Anfrage verarbeitet. Hierzu können Name, Unternehmen, Kontaktdaten, Kommunikationsinhalte und Anhänge gehören.

Erfolgt die Kontaktaufnahme zur Vertragsanbahnung oder Vertragsdurchführung, ist Art. 6 Abs. 1 lit. b DSGVO die maßgebliche Rechtsgrundlage. Bei sonstigen geschäftlichen Anfragen erfolgt die Verarbeitung, soweit erforderlich, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an der Bearbeitung geschäftlicher Kommunikation.

Für geschäftliche E-Mail-Kommunikation und Support wird Zoho Mail eingesetzt. Support kann zusätzlich telefonisch erfolgen. Ein Zugriff von DevRack e.U. auf konkrete Produktivdaten eines Firmenkunden erfolgt nur bei einem konkreten Supportfall, nach ausdrücklicher Freigabe des Kunden und nur im erforderlichen Umfang.

Für systembezogene Transaktions-E-Mails, insbesondere Einladungen und – sofern die entsprechende Funktion verwendet wird – den Versand von Lieferschein-PDFs, wird Resend eingesetzt. Dabei können Empfängeradresse, E-Mail-Inhalt, technische Zustelldaten und gegebenenfalls Anhänge mit personenbezogenen Daten verarbeitet werden.

Öffnungs- und Klicktracking ist im aktuell eingesetzten Resend-Konto deaktiviert. Bei aktivem Konto werden E-Mail- und Logdaten nach der aktuell dokumentierten Resend-Regelung grundsätzlich 30 Tage aufbewahrt; Backups bestehen 7 Tage. Verbleibende Kundendaten werden nach Beendigung des Resend-Kontos nach Anbieterangaben innerhalb von 90 Tagen gelöscht.

Für Push-Benachrichtigungen wird der Expo Push Service eingesetzt. Die technische Zustellung erfolgt abhängig vom Betriebssystem über Apple Push Notification Service (APNs) oder Firebase Cloud Messaging (FCM) von Google.

Hierbei können Push-Token bzw. technische Geräte-/Zustellkennungen, Zustellmetadaten und – abhängig von der jeweiligen Benachrichtigung – der Inhalt der Push-Nachricht verarbeitet werden. Push-Protokolle innerhalb des Baustellen-Managers sind so ausgestaltet, dass keine Mitarbeiter-IDs, Push-Inhalte, Push-Tokens, vollständigen externen Antworten oder Rohfehlermeldungen dauerhaft protokolliert werden.

Die mobile App kann über Expo/EAS Update beim Start nach verfügbaren Over-the-Air-Updates suchen. Dabei werden technische Daten an Expo übermittelt, insbesondere IP-Adresse, Plattform, Runtime-/App-Version, Projekt- und Update-Kennungen, eine pseudonyme persistente Installationskennung sowie technische Requestdaten.

Im normal untersuchten Update-Check wurde keine gezielte Übermittlung von Mitarbeiterdaten, Arbeitszeiten, GPS-Koordinaten, Abwesenheiten, Chats, Fotos oder Lieferscheinen festgestellt. Technische Fehlerdiagnosen können jedoch im Ausnahmefall Fehlertexte enthalten. Daher werden Fehlerausgaben nach Möglichkeit datensparsam gestaltet.

Für bestimmte Winterdienst-/Wetterfunktionen kann die App – sofern eine entsprechende Geräteberechtigung erteilt wurde – Standortkoordinaten für eine Wetterabfrage verwenden. Die Wetterdaten werden über GeoSphere Austria abgerufen.

Die Geräteberechtigung ist lediglich eine technische Voraussetzung. Die datenschutzrechtliche Zulässigkeit der Standortverarbeitung im Beschäftigungskontext wird vom jeweiligen Arbeitgeber als Verantwortlichem festgelegt und ist in dessen Mitarbeiterinformation abzubilden.

Google Maps bzw. WetterOnline werden nach der aktuell dokumentierten Umsetzung nur geöffnet, wenn ein Nutzer den jeweiligen externen Link bewusst aufruft. Bei Google Maps können dabei eine Baustellenadresse oder Standortkoordinaten an Google übergeben werden. Bei WetterOnline fallen beim Öffnen die üblichen Web-Zugriffsdaten an; nach aktuellem Code werden im WetterOnline-Link keine Standortkoordinaten übermittelt.

Ab dem Öffnen des externen Angebots gelten zusätzlich die Datenschutzbestimmungen des jeweiligen externen Anbieters.

Auf einzelnen Web-/Loginansichten können Hintergrundbilder über Unsplash geladen werden. Beim Abruf eines extern eingebundenen Bildes kann der Anbieter insbesondere die IP-Adresse sowie technische Zugriffsdaten erhalten. DevRack e.U. prüft externe Ressourcen regelmäßig und kann sie bei Bedarf durch lokal gehostete Inhalte ersetzen.

Im Loginbereich werden technisch notwendige Cookies bzw. Sitzungsmechanismen verwendet, insbesondere für Authentifizierung, Sitzungsverwaltung und Sicherheit. Clerk setzt hierfür erforderliche Sitzungs-Cookies. Nach dem aktuell dokumentierten Stand setzt DevRack e.U. keine eigenständigen Analyse- oder Marketingtracking-Dienste im Baustellen-Manager ein.

Soweit zukünftig nicht technisch notwendige Analyse- oder Marketingtechnologien hinzukommen, wird diese Datenschutzerklärung entsprechend aktualisiert und – sofern gesetzlich erforderlich – eine vorherige Einwilligung eingeholt.

Produktivdaten des jeweiligen Firmenkunden werden in der PostgreSQL-Datenbank bei Render verarbeitet. Fotos und Dokumente werden nach dem aktuell dokumentierten System nicht in einem separaten externen Dateispeicher abgelegt, sondern in der produktiven Datenbank gespeichert.

Nach Vertragsende ist grundsätzlich ein 30-tägiges Fenster für Export bzw. Rückgabe der Kundendaten vorgesehen. Danach werden die Produktivdaten gelöscht, soweit keine gesetzliche Pflicht oder ein konkret begründeter Ausnahmefall entgegensteht.

Eigene Backups von DevRack e.U. werden maximal 30 Tage rollierend auf einer verschlüsselten externen Backup-Lösung aufbewahrt, die im Normalbetrieb getrennt bzw. offline gehalten wird. Die aktuelle Render-Point-in-Time-Recovery-Funktion beträgt 3 Tage. Manuelle Datenbankexporte werden nur zweckgebunden erstellt, extern gesichert und anschließend bei Render entfernt.

Produktive Kundendaten werden nicht in Entwicklungs- oder Testumgebungen kopiert. Development und Production werden getrennt betrieben. KI-gestützte Entwicklungswerkzeuge werden für Codeanalyse und Entwicklung verwendet, nicht für den Zugriff auf die produktive Kundendatenbank.

Je nach Nutzung können insbesondere folgende technische Anbieter bzw. Empfängerkategorien beteiligt sein:

Einige eingesetzte Anbieter oder deren Unterauftragnehmer haben ihren Sitz in den USA oder können personenbezogene Daten dort verarbeiten. Soweit personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies nur unter Beachtung der Anforderungen der Art. 44 ff. DSGVO.

Je nach Anbieter werden insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission – einschließlich des EU-U.S. Data Privacy Framework – und/oder die Standardvertragsklauseln der Europäischen Kommission als Transfergrundlage eingesetzt. Die jeweilige Vertrags- und Transferdokumentation wird von DevRack e.U. intern nachgehalten.

Die Wahl einer europäischen Hostingregion bedeutet daher nicht, dass sämtliche Verarbeitung ausschließlich innerhalb der EU erfolgt. DevRack e.U. verwendet bewusst keine pauschale Zusage einer 'EU-only'-Verarbeitung.

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Soweit gesetzliche Aufbewahrungspflichten bestehen, werden die betroffenen Unterlagen für die jeweilige gesetzliche Dauer aufbewahrt.

• Anfrage- und Kommunikationsdaten: bis zur abschließenden Bearbeitung und anschließend nur soweit für Nachweis-, Vertrags- oder gesetzliche Aufbewahrungszwecke erforderlich.
• Vertrags- und Rechnungsdaten: entsprechend den anwendbaren unternehmens- und steuerrechtlichen Aufbewahrungspflichten.
• Produktivdaten von Firmenkunden: nach den Weisungen und Löschregeln des Kunden; nach Vertragsende grundsätzlich 30-tägiges Export-/Rückgabefenster.
• DevRack-eigene rollierende Backups: maximal 30 Tage.
• Resend E-Mail-/Logdaten im aktuell verwendeten Standardbetrieb: grundsätzlich 30 Tage; Resend-Backups 7 Tage.

Für einzelne technische Protokolle oder Anbieterdaten können abweichende, zweckbezogene Fristen gelten. Soweit eine exakte Dauer nicht vorab festgelegt werden kann, richtet sie sich nach Zweck, Sicherheitsbedarf, vertraglichen Vorgaben und gesetzlichen Pflichten.

Soweit DevRack e.U. selbst Verantwortlicher ist, kommen insbesondere folgende Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragsanbahnung und Vertragsdurchführung, z. B. Kundenanfragen, Angebote und Vertragskommunikation.
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung gesetzlicher Pflichten, insbesondere steuer- und unternehmensrechtliche Pflichten.
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen an sicherem Systembetrieb, Missbrauchsprävention, Fehleranalyse, Support und geschäftlicher Kommunikation, soweit keine überwiegenden Interessen der betroffenen Person entgegenstehen.

Bei Verarbeitungen, die DevRack e.U. ausschließlich im Auftrag eines Firmenkunden durchführt, bestimmt der jeweilige Firmenkunde die einschlägige Rechtsgrundlage gegenüber seinen Beschäftigten und sonstigen betroffenen Personen.

DevRack e.U. setzt technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Dazu gehören insbesondere getrennte Produktions- und Entwicklungsumgebungen, beschränkte Zugriffe, sichere Verwaltung von Produktionsschlüsseln außerhalb des Repositorys, verschlüsselte Backups, datensparsame Protokollierung sowie dokumentierte Supportzugriffe.

Produktions-Secrets und Live-Keys werden nach dem aktuell dokumentierten Stand ausschließlich in der Produktionsumgebung hinterlegt und nicht im Quellcode-Repository gespeichert.

Soweit DevRack e.U. selbst Verantwortlicher ist, haben betroffene Personen nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit.

Wenn es um Mitarbeiter-, Arbeitszeit-, Baustellen-, Standort-, Abwesenheits- oder sonstige Daten geht, die DevRack e.U. im Auftrag eines Firmenkunden verarbeitet, wenden Sie sich bitte primär an den jeweiligen Arbeitgeber bzw. Firmenkunden als Verantwortlichen. DevRack e.U. unterstützt den Kunden bei der Bearbeitung entsprechender Anfragen.

Betroffene Personen haben das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren. In Österreich ist insbesondere die Österreichische Datenschutzbehörde zuständig:

Österreichische Datenschutzbehörde Barichgasse 40–42 1030 Wien

Nach dem aktuell dokumentierten Funktionsumfang des Baustellen-Managers findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO statt. Ein entsprechendes Profiling ist ebenfalls nicht vorgesehen.

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Zwecke, Anbieter, Datenflüsse, Speicherfristen oder rechtliche Anforderungen wesentlich ändern. Maßgeblich ist die jeweils veröffentlichte Fassung.