Datenschutzerklärung

1. Verantwortlicher

FacilityStack – Rene Staude (Einzelunternehmen)
Nordring 26, 34513 Waldeck
E-Mail: info@facilitystack.de

2. Arten der verarbeiteten Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Bestandsdaten: Name, Firma, Adresse
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Nutzungsdaten: Zugriffszeiten, Seitenaufrufe, IP-Adressen
• Vertragsdaten: Modulbuchungen, Zahlungshistorie, Abrechnungszeitraum
• Inhaltsdaten: Alle von Ihnen eingegebenen Facility-Management-Daten (Gebäude, Anlagen, Wartungstermine, Verbrauchsdaten etc.)

Zahlungsdaten (Kreditkartennummern, Bankverbindungen) werden nicht von uns gespeichert, sondern ausschließlich von Stripe verarbeitet.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis folgender Rechtsgrundlagen nach der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Nutzung der Plattform)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (Sicherheit, Fehleranalyse)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (Newsletter, falls vorhanden)
• Art. 28 DSGVO – Auftragsverarbeitung (durch Sub-Dienstleister)

4. Drittanbieter & Empfänger

Wir setzen folgende Dienstleister ein:

Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO. Für Übermittlungen in die USA gelten EU-Standardvertragsklauseln (SCC).

4a. KI-gestützte Datenverarbeitung (Anthropic Claude)

FacilityStack bietet optional KI-gestützte Funktionen zur Analyse und Verarbeitung von Facility-Management-Daten. Dabei werden folgende Daten an die Anthropic Claude API übermittelt:

• Tickettexte (Betreff und Beschreibung von Störmeldungen und Aufgaben)
• Beschreibungen von Gebäuden, Anlagen und Einrichtungen
• Wartungsprotokolle und Prüfberichte

Rechtsgrundlage: Die Verarbeitung erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), soweit die KI-Analyse Bestandteil des gebuchten Leistungsumfangs ist. Sofern die KI-Analyse als optionale Zusatzfunktion genutzt wird, erfolgt die Verarbeitung auf Basis Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer bei Anthropic: Die übermittelten Daten werden von Anthropic ausschließlich zur Verarbeitung der jeweiligen Anfrage verwendet und nicht dauerhaft gespeichert. Es findet kein Training von KI-Modellen mit Ihren Daten statt (Zero Data Retention Policy).

Opt-out: Die KI-Funktionen sind standardmäßig aktiviert und können jederzeit in den Profileinstellungen deaktiviert werden. Bei Deaktivierung werden keinerlei Daten an externe KI-Dienste übermittelt. Bereits verarbeitete Anfragen können nicht nachträglich bei Anthropic gelöscht werden, da keine dauerhafte Speicherung erfolgt (Zero Data Retention).

4b. Unfallbuch (Verbandbuch)

Kunden, die das Modul Unfallbuch nutzen, dokumentieren darin Arbeits- und Wegeunfälle, Erste-Hilfe-Leistungen und Beinaheunfälle. Verantwortlicher für diese Daten ist der jeweilige Kunde als Arbeitgeber. FacilityStack verarbeitet sie ausschließlich in dessen Auftrag (Art. 28 DSGVO, siehe Auftragsverarbeitungsvertrag).

Betroffene: verletzte oder erkrankte Beschäftigte, Leiharbeitnehmer, Beschäftigte von Fremdfirmen, Gäste und sonstige Personen; namentlich genannte Ersthelfer und Zeugen; Nutzer, deren Zugriffe auf das Unfallbuch protokolliert werden.

Datenkategorien: Zeitpunkt, Ort und Hergang des Ereignisses; Name und Personengruppe der verletzten Person; Art der Verletzung und der Ersten Hilfe; Angaben zu Arbeitsunfähigkeit. Für Beschäftigte und Leiharbeitnehmer zusätzlich die Angaben für die Unfallanzeige (z. B. Geburtsdatum, Krankenkasse). Diese Angaben sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO). Beinaheunfälle werden ohne Personen- und Gesundheitsdaten erfasst.

Rechtsgrundlage (beim Kunden als Verantwortlichem): Art. 6 Abs. 1 lit. c und Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 24 Abs. 6 DGUV Vorschrift 1 (Dokumentation von Erste-Hilfe-Leistungen), § 193 SGB VII (Unfallanzeige) und § 6 ArbSchG. Für Gäste und sonstige Personen, für die keine Dokumentationspflicht besteht: Art. 6 Abs. 1 lit. f und Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen).

Zugriff: Lesen dürfen nur die meldende Person (ihre eigene Meldung, 7 Tage lang) sowie der Haus-Admin der betroffenen Liegenschaft und die vom Kunden dafür freigegebenen Positionen. Eigentümer und Gruppen-Admins des Kunden sehen keine Einzelmeldungen, sondern nur zusammengefasste Jahreswerte. Jeder Zugriff auf Einzelmeldungen, Datenblatt und Exporte wird protokolliert. Support-Zugänge und Plattform-Administratoren von FacilityStack haben keinen Zugriff.

Speicherdauer: Einträge werden 5 Jahre nach der letzten Eintragung automatisch gelöscht, Einträge zu Gästen 3 Jahre nach Ende des Kalenderjahres der letzten Eintragung. Das Zugriffsprotokoll wird jeweils 1 Jahr länger aufbewahrt. Löscht der Kunde eine Liegenschaft, werden deren Einträge mit gelöscht; vorher bietet die Anwendung einen Export an.

Empfänger: Es gelten die in Abschnitt 4 genannten Dienstleister für Datenbank und Hosting. Daten aus dem Unfallbuch werden nicht an KI-Dienste übermittelt und nicht in Benachrichtigungen (E-Mail, Push) genannt.

Das Unfallbuch ist für die Nutzung in Deutschland ausgelegt.

5. Übermittlung in Drittländer

Supabase: Firmensitz USA, Server ausschließlich in Deutschland (Frankfurt, eu-central-1). DPA + EU-Standardvertragsklauseln vorhanden.

IONOS Cloud: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Hosting im IONOS-Rechenzentrum Logroño (Spanien, EU).

Brevo (Sendinblue GmbH): Sendinblue GmbH, Berlin, Deutschland. AVV nach Art. 28 DSGVO vorhanden.

Stripe: EU-Verarbeitung durch Stripe Payments Europe Ltd. (Dublin).

Cloudflare Turnstile: Cloudflare Inc., USA. DSGVO-konform durch EU-Standardvertragsklauseln (SCC). Keine Cookies, keine Tracking-Daten. Verarbeitet nur technische Browser-Signale zur Bot-Erkennung.

Google (Firebase): Firebase Cloud Messaging über Google Ireland Ltd. (EU).Anthropic: KI-Analysen werden über die Anthropic Claude API verarbeitet (USA, EU-Standardvertragsklauseln). DPA + EU-Standardvertragsklauseln vorhanden. Die KI-Analyse ist optional und kann deaktiviert werden.

Sentry (Fehlerüberwachung): Functional Software, Inc. (Sentry), USA. Ereignisdaten (Fehlermeldung, Stacktrace, Browser- und Gerätetyp, aufgerufene URL) werden in der EU-Region (Frankfurt) gespeichert. Die Kontoverwaltung und Metadaten des Anbieters werden in den USA verarbeitet; ein Zugriff aus den USA ist möglich. Grundlage der Übermittlung ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag des Anbieters. IP-Adressen und Nutzerkennungen werden nicht als Nutzerattribute übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb).

6. Speicherdauer & Löschung

• Inhaltsdaten (von Ihnen eingegebene Facility-Management-Daten): für die Dauer des Vertragsverhältnisses; nach Kündigung bzw. Löschung gemäß dem unten beschriebenen Lösch-Lebenszyklus.
• Eigene Abrechnungsdaten (Abonnement-Rechnungen): die von uns an Sie gestellten Rechnungen bewahren wir zur Erfüllung unserer eigenen handels- und steuerrechtlichen Aufbewahrungspflichten auf (§ 257 HGB, § 147 AO: 6 bzw. 10 Jahre). Diese sind von der Löschung der Inhaltsdaten getrennt.
• Nutzungsdaten (Server-Logs): max. 30 Tage.
• Zahlungsdaten: bei Stripe gespeichert, nicht bei uns.
• Unfallbuch: 5 Jahre nach der letzten Eintragung, bei Gästen 3 Jahre nach Ende des Kalenderjahres der letzten Eintragung; Zugriffsprotokoll jeweils 1 Jahr länger (siehe Abschnitt 4b).
• Warteliste: nach erfolgter Benachrichtigung, spätestens 12 Monate nach dem Eintrag (siehe Abschnitt 7b).

Lösch-Lebenszyklus (30-Tage-Frist): Wenn Sie Ihr Konto oder eine einzelne Liegenschaft löschen — oder nach einer Kündigung — werden die betroffenen Daten zunächst zur Löschung vorgemerkt. Wir informieren Sie vorab per E-Mail und weisen Sie auf die Export-Möglichkeit hin. Innerhalb von 30 Tagen können Sie die Löschung widerrufen. Nach Ablauf dieser Frist werden alle betroffenen Daten einschließlich der gespeicherten Dateien (Datei-Speicher) unwiderruflich gelöscht.

Ihre Aufbewahrungspflicht: FacilityStack verarbeitet Ihre Inhaltsdaten als Auftragsverarbeiter; Verantwortlicher im Sinne der DSGVO sind Sie. Die Einhaltung gesetzlicher Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) für Ihre eigenen Geschäftsunterlagen liegt daher bei Ihnen. Wir archivieren Ihre Inhaltsdaten nicht dauerhaft über das Vertragsende hinaus. Bitte exportieren und sichern Sie aufbewahrungspflichtige Daten vor Ablauf der 30-Tage-Frist selbst über die Export-Funktion (siehe Abschnitt 8).

7. Cookies

Wir setzen ausschließlich technisch notwendige First-Party-Cookies ein. Diese sind für den Betrieb der Plattform erforderlich und dienen nicht der Analyse oder dem Marketing. Da kein Tracking durch Dritte stattfindet, ist ein Einwilligungs-Banner nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Cookie-Kategorien:

• Notwendig: Erforderlich für grundlegende Funktionen wie Anmeldung, Sitzungsverwaltung und Sicherheit (Supabase Auth Session-Cookies). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; eine Einwilligung ist nicht erforderlich. Diese Cookies können nicht deaktiviert werden.
• Funktional (First-Party): Speichern Ihre Auswahl innerhalb der Anwendung, etwa die zuletzt gewählte Liegenschaft, zur Performance-Optimierung (z. B. fs_tenant_cache, Gültigkeitsdauer: Sitzung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Sie können in Ihrem Browser sämtliche Cookies löschen oder deren Speicherung unterbinden. Bei deaktivierten notwendigen Cookies stehen Anmeldung und geschützte Bereiche der Plattform jedoch nicht zur Verfügung.

7a. Reichweitenmessung (Plausible Analytics)

Wir nutzen Plausible Analytics (cookielos, ohne Personenbezug, auf unserem eigenen Server in der EU betrieben) zur anonymen Reichweitenmessung – keine Cookies, keine personenbezogenen Daten, daher keine Einwilligung erforderlich.

7b. Warteliste

Ist die Registrierung geschlossen, können Sie sich auf der Registrierungsseite in eine Warteliste eintragen. Gespeichert werden Ihre E-Mail-Adresse, der Wortlaut Ihrer Einwilligung, der Zeitpunkt und die Herkunft des Eintrags (Registrierungsseite). Zweck ist ausschließlich eine einmalige Benachrichtigung, sobald die Registrierung öffnet. Es erfolgt keine Werbung, kein Newsletter-Versand und keine Verknüpfung mit einer Newsletter-Liste.

Nach dem Eintragen erhalten Sie eine E-Mail mit einem Bestätigungslink (48 Stunden gültig). Erst nach der Bestätigung ist der Eintrag aktiv. Unbestätigte Einträge löschen wir nach 7 Tagen. Zusätzlich speichern wir den Zeitpunkt der Bestätigung und einen Prüfwert des Links. Die Bestätigungs-E-Mail versenden wir über Brevo (Empfänger siehe Abschnitt 4).

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit mit Wirkung für die Zukunft per E-Mail an info@facilitystack.de widerrufen; Ihr Eintrag wird danach gelöscht. Ohne Widerruf löschen wir den Eintrag nach erfolgter Benachrichtigung, spätestens 12 Monate nach dem Eintrag. Die Daten werden in der Supabase-Datenbank in Frankfurt gespeichert (Empfänger siehe Abschnitt 4).

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte nach der DSGVO:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Auskunft und Datenübertragbarkeit (Art. 15 und 20 DSGVO): Eigentümer eines Kontos können jederzeit selbst einen Mandanten-Export erstellen und dabei das Format JSON oder CSV wählen. Der Export wird als ZIP-Archiv bereitgestellt und enthält alle Datentabellen des Mandanten, eine Dateiliste aller im Speicher des Mandanten abgelegten Dateien sowie die Dateien selbst bis 50 MB je Datei. Größere Dateien stehen mit Verweis in der Dateiliste. Damit lassen sich Auskunfts- und Datenübertragbarkeitsansprüche in einem strukturierten, gängigen und maschinenlesbaren Format erfüllen.

Zur Geltendmachung Ihrer übrigen Rechte wenden Sie sich an: info@facilitystack.de

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• Verschlüsselte Datenübertragung via HTTPS (TLS 1.3)
• Row Level Security (RLS) für mandantenspezifische Datenisolation
• Passwörter werden als bcrypt-Hash gespeichert
• Regelmäßige Sicherheitsupdates
• Keine Weitergabe von Daten an Dritte zu Marketingzwecken

10. Auftragsverarbeitung

FacilityStack ist Auftragsverarbeiter i.S.v. Art. 28 DSGVO für die Daten, die Sie in die Plattform eingeben. Ein separater Auftragsverarbeitungsvertrag (AVV) steht unter /avv zum Download bereit.