Datenschutzerklärung

1. Verantwortlicher

Dawid Oleksiuk, Einzelunternehmer, Anschrift gemäß Impressum.

Datenschutzanfragen: [email protected]

2. Aufruf von Website und App

Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser- und Geräteinformationen sowie Status- und Fehlerdaten. Zweck ist die sichere Auslieferung, Fehleranalyse und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und stabilen Betrieb des Dienstes. Die Anwendung wird über Cloudflare Pages und Cloudflare Workers bereitgestellt. Aktivierte Worker-Protokolle werden je nach Cloudflare-Tarif höchstens sieben Tage vorgehalten; Dokumentinhalte werden nicht gezielt in Anwendungslogs geschrieben.

3. Kostenloser Generator ohne Konto

Der Generator speichert einen Entwurf im lokalen Speicher des verwendeten Browsers. Dazu können Unternehmens- und Arbeitsplatzangaben, Gefährdungen, Maßnahmen, Verantwortliche, Fristen und Review-Daten gehören. Der PDF-Export wird im Browser erzeugt. Diese Entwurfsdaten werden nicht an den Workspace übertragen, solange der Nutzer sie nicht in einer Kontofunktion speichert. Nicht mehr genutzte Entwürfe werden nach sieben Tagen beim nächsten Aufruf verworfen. Bis dahin bleiben sie auf dem Gerät, sofern der Browser-Speicher nicht gelöscht oder die Website-Daten anderweitig entfernt werden. Die Verarbeitung erfolgt zur Bereitstellung der ausdrücklich angeforderten Generatorfunktion nach Art. 6 Abs. 1 lit. b DSGVO.

4. Konto und Workspace

Bei Registrierung und Nutzung verarbeiten wir Stammdaten und Zugangsdaten (Name, E-Mail-Adresse, passwortbasierter Anmeldenachweis, Rollen, Sitzungen), Organisations- und Arbeitsplatzdaten sowie die vom Kunden eingetragenen Gefährdungsbeurteilungen, Maßnahmen, Mitarbeitendendaten, Unterweisungszuweisungen, Status, Termine, Dokumente und Exporthistorien. Zwecke sind Authentifizierung, Vertragserfüllung, Mandantentrennung innerhalb eines Workspaces, Dokumentenerstellung, Nachverfolgung und Support. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Optional können Sie sich mit Google anmelden oder ein Google-Konto mit Ihrem bestehenden Konto verbinden. Erst wenn Sie diese Möglichkeit wählen, werden Sie zu Google weitergeleitet. Wir erhalten Ihre Google-Kontokennung, Ihren Namen, Ihre E-Mail-Adresse und deren Bestätigungsstatus sowie gegebenenfalls Ihr Profilbild. Wir speichern diese Kontodaten und die für die Anmeldung erforderlichen technischen OAuth-Nachweise. Zugriffstoken werden verschlüsselt gespeichert. Google erfährt dabei, dass Sie sich bei ArbeitsschutzPilot anmelden, und verarbeitet technische Verbindungsdaten nach seiner Datenschutzerklärung. Wir fordern ausschließlich die Berechtigungen für Identität, E-Mail und Basisprofil an; keinen Zugriff auf Gmail, Drive, Kalender oder Kontakte. Die Anmeldung mit E-Mail und Passwort steht weiterhin zur Verfügung. Gespeicherte Beurteilungen werden für die Google-Anmeldung nicht an Google übermittelt.

Kunden entscheiden als Verantwortliche, welche Beschäftigtendaten sie in den Workspace eintragen. ArbeitsschutzPilot verarbeitet diese Daten im Auftrag. Hierfür steht eine Vereinbarung zur Auftragsverarbeitungbereit. Gesundheitsdaten, Diagnosen oder andere besondere Kategorien personenbezogener Daten sollen nicht in Freitextfelder eingetragen werden, sofern dies nicht zwingend erforderlich, rechtlich geklärt und durch eine dokumentierte Weisung gedeckt ist.

5. Abrechnung über Stripe

Für bezahlte Pläne werden Name, E-Mail-Adresse, gewählter Plan, Kunden- und Abonnementreferenzen, Zahlungsstatus und abrechnungsbezogene Metadaten an Stripe übermittelt oder von Stripe empfangen. Vollständige Karten- oder Kontodaten werden in Stripe Checkout eingegeben und nicht auf unseren Systemen gespeichert. Die Verarbeitung dient Vertragsschluss, Abrechnung, Betrugsprävention und der Erfüllung handels- und steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. b, c und f DSGVO). Für eigene Verarbeitungen von Zahlungsdaten ist Stripe nach seinen Datenschutzinformationen verantwortlich.

6. Support und E-Mail

Bei einer Kontaktaufnahme verarbeiten wir Absender, Kontaktdaten, Inhalt, Anhänge und Zeitpunkte der Kommunikation zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen und ansonsten Art. 6 Abs. 1 lit. f DSGVO. Supportnachrichten werden grundsätzlich nach Abschluss des Vorgangs gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweis- und Sicherheitsinteressen entgegenstehen.

7. Journey by Mediavine und Einwilligungsverwaltung

Auf redaktionellen Ratgeber- und Artikelseiten verwenden wir Journey by Mediavine für die Werbevermarktung. Anbieter ist Mediavine, Inc., 8 The Green, #20971, Dover, DE 19901, USA. Mediavine und seine Werbepartner können Informationen wie IP-Adresse, Browser- und Gerätedaten, aufgerufene Seite, ungefähre Region sowie Einwilligungs- und Interaktionsdaten verarbeiten. Cookies oder vergleichbare Technologien und personalisierte Werbung werden nur nach Maßgabe der zuvor erteilten Auswahl verwendet. Ohne Einwilligung können – soweit technisch und rechtlich zulässig – eingeschränkte oder nicht personalisierte Anzeigen erscheinen; andernfalls werden keine Anzeigen ausgeliefert.

Für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz wird die von Mediavine bereitgestellte Einwilligungsverwaltung von consentmanager eingesetzt. Über diese gemeinsame Auswahl werden die Einwilligungen für Werbung und Google Analytics verwaltet; es gibt keinen zusätzlichen Statistik-Banner. Rechtsgrundlage für einwilligungsbedürftige Zugriffe auf das Endgerät und die anschließende Datenverarbeitung ist die Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Auswahl kann jederzeit über „Datenschutz- und Cookie-Einstellungen“ im Seitenfuß der übrigen öffentlichen Seiten widerrufen oder geändert werden. Die Datenschutzerklärung ist ohne Zustimmung zugänglich. Auf dieser Seite werden keine Anzeigen und keine Google-Analytics-Messungen eingebunden; der Mediavine-Code stellt hier die Werbedatenschutzhinweise und den Zugang zu den Einwilligungseinstellungen bereit.

Mediavine und seine Partner können Informationen zur interessenbezogenen Werbung zusammenführen und in Werbeauktionen weitergeben. Eine Verarbeitung kann auch in den USA stattfinden. Weitere Informationen zu Zwecken, Empfängern, Aufbewahrung und internationalen Übermittlungen stehen unter Datenschutzhinweise von Mediavine.

Entwurfsübernahme und technische Kontofunktionen

Wenn Sie „Entwurf im Konto speichern“ wählen, übertragen wir die Angaben an app.arbeitsschutzpilot.de und halten sie dort bis zur Einrichtung im Sitzungsspeicher dieses Tabs bereit. Sie stehen nicht in der URL. Nach erfolgreichem Speichern wird die Zwischenkopie gelöscht; andernfalls endet sie mit dem Sitzungsspeicher oder wird nach sieben Tagen bei erneuter Nutzung verworfen.

Zur Nachvollziehbarkeit von Registrierung, Einrichtung, Speicherung und Abrechnung speichern wir technische Statusereignisse mit Zeitpunkt und internen Konto- bzw. Organisationskennungen. Diese enthalten keine Beurteilungsinhalte und werden nicht an Google Analytics gesendet. Sie werden bei Löschung des zugehörigen Kontos oder Arbeitsbereichs mitgelöscht.

7a. Google Analytics 4 für Website-Statistiken

Auf der öffentlichen Website verwenden wir Google Analytics 4 von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ausschließlich nach Ihrer Einwilligung. Ohne Einwilligung wird das Analytics-Skript nicht geladen und es werden keine Analytics-Messdaten oder sogenannten cookielosen Messsignale an Google gesendet. Die angemeldete Anwendung unter app.arbeitsschutzpilot.de wird durch diese Einbindung nicht erfasst.

Erfasst werden Seitenaufrufe, Sitzungen, Nutzungsdauer, Scroll-Ereignisse sowie Klicks auf Produktangebote, Generator-Schritte, Validierungsfehler ohne Feldinhalte, PDF-Exporte und Übergänge zur Kontoerstellung sowie technische Browser- und Geräteinformationen, die Herkunfts-Domain und die ungefähre geografische Herkunft. Die IP-Adresse wird für die Verbindung und die geografische Zuordnung verarbeitet. Wir übermitteln keine Formulareingaben, Dokumentinhalte, Nutzer-IDs oder URL-Suchparameter. Google Signals und die Verwendung dieser Messdaten zur Anzeigenpersonalisierung sind deaktiviert. Zweck ist die Auswertung und Verbesserung unserer Inhalte und des Einstiegs in das Produkt sowie die Bewertung der Reichweite für die Werbevermarktung.Für die Reichweiten- und Leistungsberichte von Journey verwenden wir eine zusätzliche Analytics-Property mit der Berichtszeitzone New York. Mediavine erhält lesenden Zugriff auf diese Berichte. Die Erfassung in beiden Properties erfolgt nur nach Ihrer Analytics-Einwilligung.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Analytics-Cookies (_ga und _ga_*) haben eine Laufzeit von höchstens 180 Tagen. Ihre Einwilligungsauswahl wird durch die von Mediavine bereitgestellte Einwilligungsverwaltung gespeichert. Über „Datenschutz- und Cookie-Einstellungen“ im Seitenfuß der übrigen öffentlichen Seiten können Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Dabei werden die von dieser Einbindung gesetzten Analytics-Cookies gelöscht und die weitere Erfassung gestoppt.

Für nutzer- und ereignisbezogene Detaildaten ist in Google Analytics eine Aufbewahrungsdauer von zwei Monaten eingestellt. Neue Aktivitäten verlängern diese Frist nicht. Zusammengefasste Standardberichte können darüber hinaus verfügbar bleiben.

Google kann Daten auch in den USA verarbeiten. Informationen zu Empfängern und den Grundlagen internationaler Übermittlungen finden Sie im folgenden Abschnitt sowie in Googles Datenschutzerklärung und den Datenverarbeitungsbedingungen.

8. Empfänger und Auftragsverarbeiter

• Cloudflare, Inc.: DNS, CDN, Schutz, Pages, Workers, Hyperdrive und technische Protokolle.
• Neon, Inc.: verwaltete PostgreSQL-Datenbank; das konfigurierte Produktionsprojekt liegt in AWS eu-central-1 (Frankfurt).
• Stripe-Gesellschaften: Checkout, Abonnementverwaltung, Zahlung und Abrechnung.
• Google Ireland Limited: optionale Anmeldung mit Google und einwilligungsbasierte Website-Statistiken mit Google Analytics 4.
• Mediavine, Inc. und Werbepartner: Werbevermarktung auf redaktionellen Seiten sowie Einwilligungsverwaltung über consentmanager; die beteiligten Anbieter und Zwecke sind in den Cookie-Einstellungen aufgeführt.

Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, werden die Übermittlungen auf Angemessenheitsbeschlüsse, insbesondere eine gültige Zertifizierung nach dem EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln und ergänzende Maßnahmen gestützt. Die jeweils aktuelle Unterauftragnehmerliste ist unter AVV aufgeführt.

9. Speicherdauer, Export und Löschung

Konten und Workspace-Inhalte werden während des Vertrags gespeichert. Gefährdungsbeurteilungen und Unterweisungsnachweise können durch berechtigte Nutzer als PDF exportiert werden. Owner und Admins können außerdem in den Workspace-Einstellungen einen vollständigen maschinenlesbaren JSON-Export herunterladen. Nach Ende einer aktiven Subskription kann der Owner den Workspace samt produktiven Kundendaten dort unmittelbar löschen. Die Löschung des persönlichen Login-Kontos oder eine unterstützte Löschung kann über [email protected] angefordert werden und erfolgt grundsätzlich innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht oder dokumentierte Weisung zur weiteren Aufbewahrung besteht. Wiederherstellungspunkte des Datenbankanbieters werden nach Ablauf des für das Projekt konfigurierten Restore-Fensters überschrieben und nicht zur regulären Rückholung einzelner Kundendaten verwendet. Abrechnungsunterlagen werden entsprechend den gesetzlichen Fristen aufbewahrt.

10. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Anfragen können an [email protected] gerichtet werden. Beschäftigte wenden sich bei Daten, die ihr Arbeitgeber in einem Workspace verwaltet, vorrangig an diesen Verantwortlichen. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.