Datenschutzerklärung

Wir als Verantwortlicher

Für diese Website, die Anfrage einer Demo, das Konto der Werkstatt und seiner Mitarbeitenden (Registrierung, Anmeldung, E-Mails zum Konto) und den technischen Betrieb entscheiden wir über Zweck und Mittel der Verarbeitung. Dafür gilt diese Datenschutzerklärung.

Wir als Auftragsverarbeiter der Werkstätten

Die Daten, die eine Werkstatt in der App erfasst, nämlich ihre Kundinnen und Kunden, deren Fahrzeuge, Aufträge, Kostenvoranschläge, Rechnungen, Nachrichten und Einwilligungen, verarbeiten wir nur im Auftrag und nach Weisung der Werkstatt. Verantwortlich dafür ist die Werkstatt, mit der Sie einen Vertrag haben. Dafür schließen wir mit jeder Werkstatt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wenn Sie Kunde einer Werkstatt sind und Auskunft, Berichtigung oder Löschung wünschen, wenden Sie sich bitte an diese Werkstatt. Wir leiten Anfragen, die uns dazu erreichen, an die Werkstatt weiter.

3.1 Aufruf der Website und Server-Logs

Zweck

Auslieferung der Seiten, Sicherheit und Fehlersuche

Daten

IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser-Kennung (User-Agent) in den Protokollen der Server

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb)

Speicherdauer

[SPEICHERDAUER DER LOGS]

Empfänger

[HOSTING-ANBIETER]

Hinweis zur Prüfung: Umfang und Aufbewahrung der Logs hängen vom Server ab (Docker-Logs, auf 50 MB je Dienst begrenzt) und sind noch festzulegen. Die Logs enthalten IP-Adressen und sollten möglichst kurz aufbewahrt werden.

3.2 Cookies und lokale Speicherung

Wir setzen keine Cookies für Statistik, Marketing oder Tracking und binden keine Analyse- oder Werbedienste ein. Es gibt zwei Speicherungen im Browser:

• Anmelde-Cookie werkstatt_session: wird nur beim Registrieren und Anmelden gesetzt, ist HttpOnly (für Skripte nicht lesbar), SameSite=Lax und in Produktion nur über HTTPS gültig. Es enthält eine zufällige Kennung; auf dem Server steht nur deren Prüfsumme. Es läuft nach 12 Stunden ab und wird beim Abmelden ungültig. Es ist technisch notwendig, damit Sie angemeldet bleiben.
• Darstellung werkstatt.theme im lokalen Speicher des Browsers: merkt sich, ob Sie die helle oder dunkle Ansicht gewählt haben. Der Wert bleibt auf Ihrem Gerät und wird nicht an uns gesendet.

Da nur technisch notwendige Speicherungen genutzt werden, zeigen wir kein Cookie-Banner.

Hinweis zur Prüfung: Rechtsgrundlage und Ausnahme nach § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b bzw. f DSGVO bestätigen lassen.

3.3 Schriften

Die Schriften (IBM Plex) werden von unserem eigenen Server ausgeliefert. Beim Aufruf der Seiten wird keine Verbindung zu Google Fonts oder anderen Schriftdiensten aufgebaut.

3.4 Demo-Anfrage

Zweck

Beantwortung Ihrer Anfrage, Kontaktaufnahme zur Vorführung von GarDesk

Daten

Name, Name der Werkstatt, E-Mail-Adresse, optional Telefonnummer und Nachricht; Zeitpunkt Ihrer Einwilligung und die Fassung des Einwilligungstextes

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Sie können sie jederzeit widerrufen; daneben Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen)

Speicherdauer

30 Tage nach der Anfrage, danach werden die Daten automatisch gelöscht, sofern daraus kein Vertrag entstanden ist.

Empfänger

Wir, intern. Über neue Anfragen informieren wir uns per E-Mail über unseren E-Mail-Anbieter (siehe 3.6).

Eine Eingangsbestätigung schicken wir nicht automatisch. Das Formular schützt sich gegen Missbrauch durch ein verstecktes Feld und Begrenzungen je Internetadresse (siehe 3.7).

3.5 Konto, Registrierung und Anmeldung

Zweck

Anlegen und Betrieb des Kontos der Werkstatt, Anmeldung, Schutz des Kontos

Daten

Name der Werkstatt, Adresse der Werkstatt in der Web-Adresse, Name und E-Mail-Adresse der Mitarbeitenden, Rolle im Team, Passwort (nur als Argon2id-Prüfwert, nie im Klartext), Zeitpunkt der Bestätigung der E-Mail-Adresse, Anmeldeversuche (Zähler, vorübergehende Sperre), Zeitpunkt der letzten Anmeldung, Sitzungen mit grober Gerätebezeichnung (zum Beispiel „Firefox · Windows“) und letzter Nutzung

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO

Speicherdauer

Solange das Konto besteht. Sitzungen enden mit dem Ablauf oder dem Abmelden, Links aus E-Mails (Passwort, Bestätigung, Einladung) laufen nach kurzer Zeit ab. Eine Frist für unbestätigte Konten ist noch festzulegen.

Empfänger

[HOSTING-ANBIETER]

Hinweis zur Prüfung: Frist für das Aufräumen unbestätigter Konten festlegen (Vorschlag im Code: 30 Tage, Einstellung UNVERIFIED_ACCOUNT_DAYS) und hier eintragen: [FRIST UNBESTÄTIGTE KONTEN]. Dasselbe für die Aufbewahrung nach Vertragsende und für gesetzliche Fristen.

3.6 E-Mail-Versand

Zweck

E-Mails zum Konto (Bestätigung der Adresse, Passwort zurücksetzen, Einladung ins Team, Wechsel der Adresse) und Hinweise an uns zu neuen Anfragen

Daten

Empfängeradresse, Art der E-Mail, Status, Zeitpunkte und Zahl der Versuche im Versandprotokoll (ohne Betreff, Text und Anhang)

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO, für Hinweise an uns Art. 6 Abs. 1 lit. f DSGVO

Speicherdauer

[AUFBEWAHRUNG VERSANDPROTOKOLL] (Vorschlag: 2 Jahre)

Empfänger

[E-MAIL-ANBIETER]

E-Mails, die eine Werkstatt über die App an ihre Kunden schickt (zum Beispiel Status, Kostenvoranschlag, Rechnung), versenden wir im Auftrag der Werkstatt (siehe Abschnitt 2).

3.7 Schutz vor Missbrauch (Begrenzungen)

Zweck

Schutz von Registrierung, Anmeldung, Demo-Formular und E-Mail-Versand vor Massenanfragen und Durchprobieren

Daten

IP-Adresse und E-Mail-Adresse werden nicht im Klartext gespeichert, sondern nur als nicht umkehrbarer Prüfwert (HMAC-SHA-256 mit geheimem Schlüssel), zusammen mit dem Zeitpunkt des Versuchs

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (Sicherheit)

Speicherdauer

Einträge werden nach einem Tag gelöscht

3.8 Hosting

Web-App, Server-Anwendung und Datenbank laufen gemeinsam auf einem eigenen Server bei [HOSTING-ANBIETER] (Standort [STANDORT HOSTING]). Mit dem Anbieter schließen wir einen Auftragsverarbeitungsvertrag ab [PRÜFEN: Stand des Vertrags].

Hinweis zur Prüfung: Anbieter und Standort des Servers eintragen, sobald sie feststehen.

3.9 Kundenansicht per Link

Werkstätten können ihren Kundinnen und Kunden einen Link schicken. Über ihn sehen sie ohne Anmeldung den Stand ihres Auftrags, den Kostenvoranschlag mit den Positionen und die Rechnung. Sie können den Kostenvoranschlag freigeben oder ablehnen. Dabei speichern wir den Zeitpunkt, die Entscheidung und die IP-Adresse als Nachweis. Der Link enthält ein zufälliges Kennzeichen; in der Datenbank steht nur dessen Prüfsumme. Er gehört zu genau einem Auftrag, läuft nach 30 Tagen ab und lässt sich von der Werkstatt widerrufen. Zur Abwehr von Missbrauch zählen wir Abrufe je Link und je IP-Adresse, die IP-Adresse nur als nicht umkehrbare Prüfsumme. Verantwortlich dafür ist die Werkstatt, wir sind ihr Auftragsverarbeiter.

Hinweis zur Prüfung: Rechtsgrundlage (Vertragsdurchführung, Art. 6 Abs. 1 lit. b DSGVO, bzw. berechtigtes Interesse am Nachweis) und die Speicherdauer der Freigaben (Aufbewahrung des Kostenvoranschlags 6 Jahre) prüfen lassen.