Datenschutzerklärung

HeWo Systems GbR
Gesellschafter: Bo Herzog und Lios Wolters
Elbchaussee 17
22765 Hamburg
Deutschland
E-Mail: kontakt@hewosystems.com

Es ist kein Datenschutzbeauftragter bestellt. Datenschutzanfragen können direkt an die genannte E-Mail-Adresse gerichtet werden.

Wir verarbeiten personenbezogene Daten insbesondere:

• zur Durchführung eines Vertrags oder vorvertraglicher Maßnahmen nach Art. 6 Abs. 1 lit. b DSGVO,
• zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO,
• auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO, vor allem für sicheren Betrieb, Missbrauchsschutz, Fehleranalyse und die Beantwortung geschäftlicher Anfragen,
• auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, bei Zugriffen auf euer Endgerät zusätzlich nach § 25 Abs. 1 TDDDG, wenn sie für einen bestimmten Vorgang ausdrücklich eingeholt wird.

Soweit wir Daten im Auftrag eines Kundenbetriebs verarbeiten, richtet sich die Rechtsgrundlage der Verarbeitung durch den Kundenbetrieb. Wir verarbeiten diese Daten nach dessen Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Die Website wird über Vercel bereitgestellt. Beim Aufruf können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser, Betriebssystem und technische Fehlerdaten verarbeitet werden. Die Verarbeitung ist erforderlich, um die Website auszuliefern, Angriffe abzuwehren und Fehler zu untersuchen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb des Angebots. Empfänger ist Vercel Inc., USA. Vercel nennt primäre Verarbeitung in den USA und Standardvertragsklauseln als Transfermechanismus. Die Serverfunktionen der Website laufen in der Region Frankfurt. Weitere Informationen: Vercel Privacy Policy und Vercel DPA.

Serverprotokolle werden nur so lange aufbewahrt, wie dies für Betrieb, Sicherheit und Fehleranalyse erforderlich ist oder gesetzliche Pflichten bestehen. Die konkrete technische Vorhaltezeit kann zusätzlich vom eingesetzten Hosting-Tarif und von Sicherheitsereignissen abhängen.

Beim Kontaktformular verarbeiten wir Name, Firma, E-Mail-Adresse, eine optionale Telefonnummer und den Nachrichteninhalt. Bei der Demo-Qualifizierung kommen Angaben zum Betrieb, Gewerk, zur Betriebsgröße, eingesetzten Werkzeugen, Softwarestatus und gewünschten Verbesserungen hinzu. Außerdem können übergebene Kampagnenparameter und der Seitenpfad verarbeitet werden.

Bei der App-Demo-Anfrage ist die Telefonnummer ein Pflichtfeld. Wir nutzen sie für Rückfragen zur Anfrage und zur Abstimmung des Demo-Zugangs. Beim Partnerformular verarbeiten wir Name, Firma, E-Mail-Adresse, eine optionale Website, die Art der betreuten Handwerkskunden und eine optionale Nachricht.

Zweck ist die Bearbeitung der Anfrage, die Vorbereitung eines Gesprächs und gegebenenfalls die Vertragsanbahnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei allgemeinen geschäftlichen Anfragen zusätzlich Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung geschäftlicher Anfragen. Pflichtfelder sind erforderlich, um die Anfrage sinnvoll zuzuordnen und zu beantworten. Optionale Angaben können weggelassen werden.

Für den E-Mail-Versand verwenden wir Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Dabei werden Absender- und Empfängeradresse, Betreff, Nachricht, Versandzeitpunkt und technische Versanddaten verarbeitet. Die primäre Verarbeitung findet laut Anbieter in den USA statt. Das aktuelle Data Processing Addendum des Anbieters enthält EU-Standardvertragsklauseln: Resend Data Processing Addendum.

Bei der App-Demo-Anfrage senden wir an die angegebene E-Mail-Adresse zusätzlich automatisch eine Eingangsbestätigung. Sie nennt Name und Firma aus der Anfrage und bestätigt nur den Eingang; eine Freigabe ist damit nicht verbunden. Auch dieser Versand läuft über Resend. Die Adresse wird dafür nicht gesondert überprüft: Die Bestätigung geht an die Adresse, die im Formular steht. Mehrere Anfragen mit derselben Adresse am selben Tag lösen nur eine Bestätigung aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Website selbst führt keine eigene Lead-Datenbank. Eingaben aus dem Kontakt- und dem Partnerformular werden ausschließlich als E-Mail an unser Postfach übermittelt.

App-Demo-Anfragen werden zusätzlich zur E-Mail in unserer internen Auftragsplattform gespeichert und dort in einem geschützten, nur für uns zugänglichen Verwaltungsbereich bearbeitet. Gespeichert werden die im Formular gemachten Angaben, die genannten Kampagnen- und Seiteninformationen sowie Eingangszeitpunkt und Bearbeitungsstand, dazu der Versandstand der zugehörigen E-Mails (gesendet oder nicht gesendet, bei einem Fehler mit einer kurzen technischen Kennung). Die Auftragsplattform wird bei Vercel betrieben, die Daten liegen in der Datenbank von Supabase; beide sind in Abschnitt 9 aufgeführt. Bearbeitete Anfragen werden 90 Tage nach der Entscheidung automatisch gelöscht, nicht bearbeitete Anfragen spätestens 180 Tage nach Eingang.

Bei der Buchung eines Gesprächstermins verarbeiten wir zusätzlich den gewählten Termin, das Anliegen (Auswahl: HeWo kennenlernen oder Demo, Bestandskunde, Idee oder Zusammenarbeit, Sonstiges), Name, Firma, E-Mail-Adresse, Telefonnummer, die gewünschte Gesprächsart und eine optionale Nachricht. Die Buchung wird in unserer internen Auftragsplattform gespeichert, damit ein Termin nicht doppelt vergeben wird. Dort halten wir auch fest, ob die interne Benachrichtigung und die Bestätigung an die buchende Person per E-Mail versendet wurden, wie weit das Zoom-Meeting erstellt ist, und welche Fassung der Datenschutzhinweise beim Absenden angezeigt wurde. Der E-Mail-Versand läuft über Resend (siehe oben). Buchungen werden 90 Tage nach dem Termin automatisch gelöscht.

Wählen Sie bei der Terminbuchung einen Videocall, legen wir über unser Zoom-Konto ein Meeting an. An Zoom übermitteln wir dafür nur einen Titel mit einer internen Buchungskennung, die Startzeit und die Dauer, keine Angaben zu Ihrer Person. Den Teilnehmerlink erhalten Sie per E-Mail, wir speichern ihn zusammen mit der Meeting-ID bei der Buchung. Wenn Sie dem Meeting beitreten, verarbeitet Zoom nach eigenen Angaben technische Daten und weitere Daten der Teilnehmenden; Einzelheiten stehen in der Datenschutzerklärung von Zoom (siehe Abschnitt 9). Bei einem Telefontermin wird kein Zoom-Meeting angelegt.

10-Minuten-Testzugang

Für den Testzugang verarbeiten wir Vorname, Nachname, Betrieb, E-Mail-Adresse und Telefonnummer. Die Telefonnummer prüfen wir nur auf ein gültiges Format, die E-Mail-Adresse wird nicht gesondert bestätigt. Die Website speichert diese Angaben nicht selbst: Mit dem Klick auf „10 Minuten jetzt starten“ gibt sie sie an unsere Auftragsplattform weiter, zusammen mit der IP-Adresse, damit wir zu viele Starts von einem Anschluss bremsen können.

Die Auftragsplattform legt dann einen eigenen Testbetrieb mit Beispieldaten an und meldet Sie dort an. Gespeichert werden die Angaben aus dem Formular, Wortlaut und Zeitpunkt Ihres Einverständnisses zur Kontaktaufnahme, Beginn und Ende des Tests, Ihre Auswahl beim Einstieg (etwa die Größe des Betriebs) und welche der drei Aufgaben im Test erledigt wurden. Was Sie im Testbetrieb eingeben, etwa Sprachaufnahmen, Fotos oder Notizen, verarbeiten wir dort wie in der HeWo-App (siehe Abschnitt 8). Importe von Daten sind im Testbetrieb gesperrt. Bitte geben Sie dort keine echten Kundendaten ein.

Den Testbetrieb löschen wir sieben Tage nach Ablauf der zehn Minuten, bei einem gebuchten Gesprächstermin drei Tage nach dem Termin. Damit jede E-Mail-Adresse den Testzugang nur einmal nutzt, behalten wir einen Hash-Wert der Adresse zwölf Monate lang.

Mit dem Pflicht-Häkchen erklären Sie sich einverstanden, dass wir Sie zu diesem Testzugang per E-Mail und Telefon kontaktieren, zum Beispiel mit Terminvorschlägen für eine Demo. Rechtsgrundlage für den Testzugang ist Art. 6 Abs. 1 lit. b DSGVO, für die Kontaktaufnahme Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an kontakt@hewosystems.com. Schreiben Sie uns über die Seite nach dem Test eine Nachricht, schicken wir sie zusammen mit Name, Betrieb, E-Mail-Adresse und Telefonnummer aus dem Testzugang per E-Mail an unser Postfach.

Auf dem letzten Schritt des Formulars prüft Cloudflare Turnstile, ob eine Person und kein Programm die Anfrage stellt. Das Skript von Cloudflare laden wir erst auf diesem Schritt. Dabei werden technische Angaben, unter anderem die IP-Adresse und Merkmale des Browsers, an Cloudflare, Inc. übermittelt, auch in die USA. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit unseres Angebots und am Schutz vor automatisierten Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Einzelheiten zum Anbieter stehen in Abschnitt 9. Weitere Informationen: Cloudflare Privacy Policy.

Newsletter und Startguthaben

Wenn Sie sich über die Leiste oben auf unserer Website für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse. Damit schicken wir Ihnen nach Ihrer Bestätigung die Informationen zum Startguthaben und danach höchstens einmal im Monat Neuigkeiten zu HeWo und Aktionen per E-Mail. Pflichtangabe ist nur die E-Mail-Adresse. Zusätzlich speichern wir, über welche unserer Websites Sie sich angemeldet haben, Wortlaut und Fassung Ihrer Einwilligung sowie den Zeitpunkt der Anmeldung und der Bestätigung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG.

Wir nutzen das Double-Opt-In-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrem Klick darauf nehmen wir Ihre Adresse in den Verteiler auf; ohne Bestätigung erhalten Sie weder Newsletter noch Startguthaben. Buchen Sie später ein Paket, gleichen wir die bestätigte Adresse mit Ihrem HeWo-Kundenkonto ab, um Ihnen das Startguthaben gutzuschreiben (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben zur Anmeldung und Bestätigung speichern wir, um Ihre Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Für die Anmeldung lädt unsere Website kein Skript von Brevo: Ihre Eingabe geht an unseren eigenen Server und wird von dort an Brevo übermittelt. Ob Sie unsere E-Mails öffnen oder Links darin anklicken, messen wir nicht.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Abmeldelink in jeder E-Mail oder mit einer Nachricht an kontakt@hewosystems.com. Ein bereits entstandener Anspruch auf das Startguthaben bleibt davon unberührt. Nach der Abmeldung entfernen wir Ihre Adresse aus dem Verteiler. Damit wir Ihren Widerspruch dauerhaft beachten können, kann die Adresse in einer Sperrliste verbleiben (Art. 6 Abs. 1 lit. f DSGVO). Für Anmeldung und Versand nutzen wir Brevo (siehe Abschnitt 9).

Darüber hinaus löschen wir Anfragen, wenn sie abschließend bearbeitet sind und keine Vertrags-, Nachweis- oder gesetzlichen Aufbewahrungsgründe mehr bestehen.

Zur Abwehr automatisierter oder übermäßiger Anfragen wird die IP-Adresse für eine begrenzte Anzahl von Versuchen in einem flüchtigen, serverseitigen Arbeitsspeicher verarbeitet. Die Website legt dafür keine dauerhafte eigene IP-Datenbank an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Website vor Missbrauch und Überlastung.

Der öffentliche Arbeitsnachweis-Scanner verarbeitet ausgewählte Bilder und den erkannten Text lokal im Browser. Bilder, OCR-Text, Namen, Arbeitszeiten, Tätigkeiten und Materialangaben werden im geprüften Ablauf nicht an unsere Server übertragen. Die OCR-Ressourcen werden von unserer eigenen Domain geladen.

Für die Übergabe an den PDF-Generator wird ein strukturierter Entwurf ohne Originalbild im Local Storage des Browsers unter dem Schlüssel hewo_scanner_draft gespeichert. Das PDF-Tool liest den Entwurf und entfernt ihn anschließend. Wird der Vorgang abgebrochen, bleibt der Eintrag bis zur manuellen Löschung der Browserdaten bestehen. Sprachdaten der lokalen Tesseract-OCR können zur Beschleunigung weiterer Aufrufe im IndexedDB-Speicher des Browsers zwischengespeichert werden.

Nutzer sollten nur Dokumente verarbeiten, zu deren Verwendung sie berechtigt sind. Arbeitsnachweise können Daten von Mitarbeitenden, Kunden oder anderen Personen enthalten.

Speicher im Browser

Wir setzen keine eigenen Cookies. Die Website nutzt den lokalen Speicher eures Browsers (Local Storage und IndexedDB) für die folgenden Einträge. Sie bleiben auf eurem Gerät und werden nicht an uns übertragen.

• hewo_consent_v2: eure Entscheidung in den Datenschutz-Einstellungen (Statistik zugestimmt oder abgelehnt) mit Zeitpunkt. Ohne diesen Eintrag müssten wir euch bei jedem Seitenaufruf erneut fragen.
• Ein Eintrag, der mit hewo-promo- beginnt: wird gesetzt, wenn ihr den Aktionshinweis schließt, damit er nicht erneut erscheint.
• Ein Eintrag, der mit hewo-bell-seen- beginnt: wird gesetzt, wenn ihr die Nachrichtenglocke öffnet, damit die Markierung „neu“ verschwindet.
• hewo_scanner_draft sowie im IndexedDB-Speicher zwischengespeicherte Sprachdaten der Texterkennung: siehe Abschnitt 5.

Diese Speicherzugriffe sind unbedingt erforderlich, um die von euch ausdrücklich gewünschte Funktion bereitzustellen: eure Auswahl zu beachten, einen geschlossenen Hinweis geschlossen zu halten und den Scanner-Entwurf an das PDF-Tool zu übergeben. Sie sind deshalb nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage für den Einwilligungseintrag Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, eure Entscheidung zu beachten, ohne erneut zu fragen. Für die übrigen Einträge gilt Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine nutzerfreundliche Darstellung und die Bereitstellung der angefragten Tool-Funktionen.

Die Einträge bleiben gespeichert, bis ihr die Websitedaten in eurem Browser löscht. Den Scanner-Entwurf entfernt das PDF-Tool nach dem Einlesen. Den Einwilligungseintrag überschreibt ihr mit jeder neuen Auswahl.

Reichweitenmessung mit Cloudflare Web Analytics (nur mit Einwilligung)

Wenn ihr in den Datenschutz-Einstellungen der Statistik zustimmt, lädt die Website das Messskript von Cloudflare Web Analytics von static.cloudflareinsights.com. Ohne Zustimmung wird das Skript nicht geladen und es besteht keine Verbindung zu Cloudflare.

Zweck: Wir sehen in zusammengefasster Form, welche Seiten aufgerufen werden, über welche Seiten Besucher zu uns kommen und wie schnell die Seiten laden. So erkennen wir, welche Inhalte genutzt werden und wo die Website zu langsam ist.

Verarbeitete Daten: Das Skript liest im Browser Lade- und Leistungswerte der Seite aus, zum Beispiel Ladezeiten und Core Web Vitals. Es sendet sie zusammen mit der aufgerufenen Adresse und der verweisenden Seite (Referrer) an cloudflareinsights.com. Technisch bedingt erhält Cloudflare dabei eure IP-Adresse sowie Browser-, Betriebssystem- und Geräteangaben aus dem User-Agent. In unserer Auswertung sehen wir nur zusammengefasste Werte, etwa nach Seite, Herkunftsland, Browser, Betriebssystem und Gerätetyp. Einzelne Personen und IP-Adressen sehen wir nicht. Cloudflare setzt dafür nach eigenen Angaben weder Cookies noch lokalen Speicher ein und erstellt keine Fingerabdrücke oder Profile einzelner Besucher.

Rechtsgrundlage ist eure Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Für das Auslesen von Informationen aus eurem Endgerät durch das Skript gilt zusätzlich § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig. Ohne sie könnt ihr die Website uneingeschränkt nutzen.

Empfänger ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, als unser Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Data Processing Addendum von Cloudflare. Dabei können Daten in die USA übermittelt werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend enthält das Data Processing Addendum EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: Cloudflare Privacy Policy und Cloudflare Data Processing Addendum.

Speicherdauer: Nach Angaben von Cloudflare werden die Messdaten 7 Tage vollständig vorgehalten und danach auf eine Stichprobe von etwa 10 Prozent zusammengefasst. Die zusammengefassten Werte stehen uns im Cloudflare-Konto zur Auswertung zur Verfügung.

Widerruf: Ihr könnt eure Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Link „Datenschutz-Einstellungen“ unten auf jeder Seite oder hier: Datenschutz-Einstellungen. Nach dem Widerruf lädt die Seite neu und das Skript wird nicht mehr eingebunden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Alle Schriftarten werden von der eigenen Website ausgeliefert. Beim Seitenaufruf wird keine Verbindung zu Google Fonts oder einem anderen Schriftdienst hergestellt.

Links zu Social-Media-Profilen, Google Maps oder anderen externen Angeboten übertragen erst nach aktivem Öffnen Daten an den jeweiligen Anbieter. Dazu können IP-Adresse, Referrer, Browserdaten und – bei angemeldeten Nutzern – Kontoinformationen gehören. Für die weitere Verarbeitung ist der externe Anbieter verantwortlich.

NDR-Beitrag auf den Startseiten

Auf unseren Startseiten bieten wir einen Beitrag des NDR Hamburg Journals an. Der externe NDR-Player wird erst geladen, wenn ihr auf „NDR-Player laden“ klickt. Vorher stellt dieser Bereich keine Verbindung zum NDR her. Mit dem Klick lädt euer Browser den Player von ndr.de. Dabei erhält der NDR insbesondere eure IP-Adresse, Browserdaten und die Adresse unserer Seite. Der NDR kann die Nutzung des Videos messen und dafür Informationen in eurem Browser speichern oder auslesen.

Rechtsgrundlage für das Laden des Players ist eure Einwilligung, die ihr mit dem Klick erteilt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Verarbeitung nach dem Laden des Players ist der Norddeutsche Rundfunk, Rothenbaumchaussee 132, 20149 Hamburg, verantwortlich. Weitere Hinweise stehen in der Datenschutzerklärung des NDR.

Mit „Player schließen“ entfernt ihr die Einbettung und widerruft damit eure Einwilligung für die Zukunft. Bereits übertragene Daten bleiben davon unberührt. Bei einem erneuten Besuch wird der Player erst nach einem neuen Klick geladen. Alternativ könnt ihr den Beitrag über den direkten Link beim NDR öffnen.

Produktvideo auf der Partnerseite

Auf der Partnerseite bieten wir ein Produktvideo an, das bei YouTube liegt. Es wird im erweiterten Datenschutzmodus über youtube-nocookie.com eingebunden und erst geladen, wenn ihr auf das Vorschaubild klickt. Vorher besteht keine Verbindung zu YouTube. Mit dem Klick lädt euer Browser den YouTube-Player. Dabei erhält Google insbesondere eure IP-Adresse, Browserdaten und die Adresse unserer Seite. YouTube kann Informationen in eurem Browser speichern oder auslesen, etwa für die Wiedergabe und zur Messung der Nutzung, und Daten an Google LLC in den USA übermitteln.

Rechtsgrundlage ist eure Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Verarbeitung nach dem Laden ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verantwortlich. Für Übermittlungen in die USA stützt sich Google auf die Zertifizierung der Google LLC nach dem EU-US Data Privacy Framework (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

Die Einwilligung gilt nur für den einzelnen Aufruf. Beim nächsten Besuch wird das Video erst nach einem neuen Klick geladen. Verlasst ihr die Seite, endet die Verbindung zu YouTube.

Verantwortlichkeiten

Die HeWo-App wird Unternehmen zur Organisation ihrer Aufträge und Außendienstarbeit bereitgestellt. Für Mitarbeiter-, Kunden-, Auftrags-, Zeit-, Material-, Foto-, Standort- und Unterschriftsdaten ist regelmäßig der jeweilige Kundenbetrieb verantwortlich. Die HeWo Systems GbR verarbeitet diese Daten dann als Auftragsverarbeiter nach Weisung des Kundenbetriebs. Ergänzend gelten dessen Datenschutzhinweise.

Für eigene Zwecke wie Verwaltung der App-Zugänge, Missbrauchsschutz, IT-Sicherheit, eigene Supportkommunikation und Erfüllung gesetzlicher Pflichten kann die HeWo Systems GbR selbst Verantwortlicher sein.

Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Bereitstellung des App-Zugangs erforderlich ist, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und missbrauchsfreie Betrieb der App und die Bearbeitung von Supportanfragen.

Herkunft und Kategorien der Daten

App-Konten werden in der Regel durch den Kundenbetrieb eingerichtet; eine freie Selbstregistrierung in der nativen App ist nicht vorgesehen. Stammdaten können deshalb vom Kundenbetrieb stammen. Auftrags- und Kundendaten werden aus dem Auftragssystem des Betriebs bereitgestellt oder von berechtigten Nutzern eingegeben.

Je nach freigeschalteter Funktion verarbeitet die App:

• Name, E-Mail-Adresse, Nutzer- und Mitarbeiterkennung, Firma, Rolle und Berechtigungen,
• Kundennamen und -kontaktdaten, Auftragsadresse, Auftragsbeschreibung, Status und Termine,
• Arbeits-, Fahrt- und Pausenzeiten, Tätigkeiten, Material, Notizen und Arbeitsnachweise,
• Fotos, Fotokategorie, Auftragsbezug und Dateimetadaten,
• Kundenunterschriften mit Auftrags- und Nachweisbezug,
• einmalig abgerufene Standortkoordinaten und Genauigkeit bei einer aktiv ausgelösten Anwesenheitsprüfung,
• aktiv aufgenommene Audiodaten, Transkript und daraus erzeugte Vorschläge für Material oder Auftragsnotizen,
• zufällig erzeugte App-Geräte-ID, Plattform, App-/Build-Version, Push-Token, Netzwerkstatus und Synchronisationsinformationen,
• Supportnachricht, optionale Auftrags-ID, Seite, User-Agent sowie Name, E-Mail und Rolle des angemeldeten Nutzers,
• Sicherheits- und Diagnosedaten wie IP-Adresse, Anmeldeerfolg/-fehler, Zeitpunkt, Anfrage-ID, Fehlerart und technische Zähler.

Die App ist nicht für Werbung, Nutzertracking, den Verkauf von Daten, Hintergrundortung, den Zugriff auf das Adressbuch oder In-App-Käufe vorgesehen.

Konto, Sitzung und Offline-Nutzung

Die Anmeldung erfolgt über Supabase Auth. Sitzungstoken werden im geschützten Keychain-/Keystore-Bereich des Geräts gespeichert. Für die Offline-Nutzung hält die App Auftrags-, Kunden-, Arbeits- und Synchronisationsdaten in einer je Nutzer verschlüsselten SQLite-Datenbank vor. Ausstehende Vorgänge werden verschlüsselt gespeichert und bei bestehender Verbindung synchronisiert.

Bei einer vollständigen Abmeldung löscht die App die lokale Datenbank, verschlüsselte lokale Fotodateien und die lokale Sitzung und widerruft die Gerätebindung. Vorher warnt sie vor noch nicht synchronisierten Vorgängen. Die Abmeldung löscht nicht automatisch das serverseitige Konto oder Geschäftsunterlagen des Kundenbetriebs.

Kamera, Fotos und lokale Texterkennung

Kamera und Fotobibliothek werden nur nach aktiver Auswahl und nach Freigabe der Systemberechtigung verwendet. Fotos werden lokal verschlüsselt, an einen privaten Supabase-Storage übertragen und nach erfolgreicher Synchronisation lokal entfernt. Der Zugriff auf Serverfotos ist auf berechtigte Nutzer und Aufträge beschränkt.

Der native Papiernachweis-Scanner verwendet ML-Kit- Texterkennung auf dem Gerät. Im geprüften Ablauf wird das Bild hierfür nicht an einen separaten OCR-Server von HeWo übertragen.

Standort und Navigation

Die App führt keine Hintergrundortung durch. Eine genaue Position wird nur abgerufen, wenn der Nutzer die Anwesenheitsprüfung aktiv startet und die Systemberechtigung erteilt hat. Die Koordinaten und die Genauigkeit werden mit dem hinterlegten Auftragsort verglichen. Bei fehlender Verbindung können sie bis zur Synchronisation verschlüsselt auf dem Gerät verbleiben.

Serverseitig wird nach erfolgreicher Prüfung die Bestätigung mit Firma, Auftrag, Mitarbeiter und Zeitpunkt gespeichert; die geprüfte Routine sieht eine Löschung nach 90 Tagen vor. Rohkoordinaten, Distanz und Genauigkeit werden nicht als dauerhafte Bestätigung aufbewahrt.

Bei aktivem Öffnen der Navigation wird die Zieladresse an Google Maps oder den auf dem Gerät ausgewählten Kartendienst übergeben. Der externe Kartendienst verarbeitet diese Daten in eigener Verantwortung.

Sprachassistent

Der Sprachassistent wird nur nach aktivem Start und Mikrofonfreigabe verwendet. Eine Aufnahme ist technisch auf maximal 120 Sekunden begrenzt. Die Aufnahme wird über die HeWo-API an Microsoft Azure zur Transkription übertragen. Das Transkript wird anschließend zusammen mit der Auftragsbeschreibung und dem relevanten Materialkatalog an ein in Azure bereitgestelltes Sprachmodell gesendet, um Vorschläge zu erzeugen.

Vorschläge werden nicht automatisch übernommen; der Nutzer bestätigt sie einzeln. Die HeWo-API speichert Aufnahme und Transkript im geprüften Ablauf nicht dauerhaft. Protokolliert werden können Auftrags-ID, Audiogröße, Materialanzahl, Anfrage-ID und Fehlerdaten, nicht aber der vollständige Sprachinhalt.

Nach der derzeitigen technischen Konfiguration erfolgt die Transkription über eine Azure-Ressource in Sweden Central und die Textverarbeitung in einer EU Data Zone. Eingaben und Ausgaben werden laut Microsoft nicht zum Training der Basismodelle verwendet. Azure kann Inhalte zur Missbrauchserkennung automatisiert prüfen; bei auffälligen Mustern kann nach den Diensteinstellungen eine begrenzte Überprüfung durch autorisierte Personen erfolgen. Weitere Informationen: Microsoft Azure – Daten, Datenschutz und Sicherheit.

Versand von Kundendokumenten

Angebote, Rechnungen, Gutschriften, Auftragsunterlagen und Arbeitsnachweise können aus der Auftragsplattform an die vom Kundenbetrieb ausgewählten Empfänger versandt werden. Je nach Einstellung erfolgt der Versand entweder über ein verbundenes Microsoft-365-Postfach des Kundenbetriebs oder über den Versanddienst von HeWo. HeWo verarbeitet die Kundendaten dabei als Auftragsverarbeiter nach Weisung des Kundenbetriebs.

Beim Versand über HeWo verarbeitet Resend Absender- und Antwortadresse, Empfängeradresse, Betreff, Nachrichtentext, PDF-Anhänge sowie Zustell-, Rückläufer- und Beschwerdedaten. Die Versanddomain ist für den Versand aus Irland konfiguriert. Die Regionswahl steuert nach Angaben von Resend jedoch nicht den Speicherort: Nachrichteninhalte, E-Mail-Metadaten, Protokolle, Webhook-Daten und Kontodaten werden in den USA gespeichert. Für diese Übermittlung gelten das Data Processing Addendum von Resend einschließlich EU-Standardvertragsklauseln sowie die Teilnahme des Anbieters am EU-US Data Privacy Framework.

Push-Benachrichtigungen

Push-Benachrichtigungen sind optional. Nach Zustimmung des Betriebssystems werden Push-Token, zufällige Geräte-ID, Plattform und App-Version registriert. Für Android wird Firebase Cloud Messaging von Google eingesetzt; auf iOS erfolgt die Zustellung zusätzlich über den Apple Push Notification Service. Eine Nachricht kann Titel, Nachrichtentext, Zielseite, Tag und Auftragsbezug enthalten.

Push-Token werden bei Deaktivierung, vollständiger Abmeldung oder festgestellter Ungültigkeit entfernt beziehungsweise widerrufen. Interne Benachrichtigungsereignisse werden nach der geprüften Routine 90 Tage aufbewahrt. Apple kann nicht sofort zustellbare Nachrichten nach seinen technischen Bedingungen abhängig vom gesetzten Ablaufwert vorübergehend speichern.

Support und Sicherheit

Supportfeedback wird in der Auftragsplattform gespeichert und über Microsoft Graph an unser Supportpostfach gesendet. Sicherheitsereignisse zu erfolgreichen und fehlgeschlagenen Anmeldungen, Abmeldungen und Missbrauchsindikatoren können E-Mail-Adresse, IP-Adresse, User-Agent, Zeitpunkt und technische Metadaten enthalten. Die geprüfte Löschroutine sieht für diese Sicherheitsereignisse 90 Tage vor.

Je nach aktivierter Funktion erhalten folgende Dienstleister Daten. Sie werden nur in dem Umfang eingesetzt, der für die jeweilige Funktion erforderlich ist:

• Cloudflare, Inc. – Reichweitenmessung der Website mit Cloudflare Web Analytics, nur nach Einwilligung (Abschnitt 6), und Sicherheitsprüfung mit Cloudflare Turnstile vor dem Start des 10-Minuten-Testzugangs (Abschnitt 4). Zertifiziert nach dem EU-US Data Privacy Framework; das Data Processing Addendum enthält EU-Standardvertragsklauseln. Cloudflare DPA
• Vercel Inc. – Hosting der App-Webanwendung und mobilen API sowie technische Protokolle. Dort wird auch die Auftragsplattform betrieben, in der eingegangene App-Demo-Anfragen der Website bearbeitet werden. Vercel nennt primäre Verarbeitung in den USA und Standardvertragsklauseln als Transfermechanismus. Vercel DPA
• Supabase, Inc. – Authentifizierung, Postgres-Datenbank und privater Dateispeicher. Das Projekt ist an eine gewählte Infrastrukturregion gebunden; einzelne globale Dienste und Unterauftragnehmer können außerhalb des EWR tätig sein. In dieser Datenbank werden auch die über die Website eingegangenen App-Demo-Anfragen gespeichert. Das DPA enthält Regelungen für internationale Transfers. Supabase DPA
• Resend (Plus Five Five, Inc.) – Versand von Konto- und Systemnachrichten, der Eingangsbestätigung zu App-Demo-Anfragen sowie, wenn der Kundenbetrieb diesen Versandweg auswählt, von Angeboten, Rechnungen, Gutschriften, Auftragsunterlagen und Arbeitsnachweisen an dessen Kunden. Die Versanddomain ist für die Region Irland konfiguriert. Resend speichert nach eigenen Angaben Nachrichteninhalte, E-Mail-Metadaten, Protokolle, Webhook-Daten und Kontodaten in den USA. Das Data Processing Addendum enthält EU-Standardvertragsklauseln; Resend nimmt außerdem am EU-US Data Privacy Framework teil. Resend Datenschutz und Datenstandorte
• Brevo GmbH – Anmeldung mit Double-Opt-In und Versand des Newsletters und der Mail zum Startguthaben (Abschnitt 4). Anschrift: Köpenicker Straße 126, 10179 Berlin; Tochtergesellschaft der Brevo SAS, Paris. Brevo verarbeitet die Daten in unserem Auftrag nach Art. 28 DSGVO. Brevo Datenschutzerklärung
• Zoom Communications, Inc. – Videokonferenz, nur bei einem Gesprächstermin per Videocall. Wir legen das Meeting über unser Zoom-Konto an und übermitteln dafür Titel mit interner Buchungskennung, Startzeit und Dauer. Beim Beitritt verarbeitet Zoom Daten der Teilnehmenden nach eigener Datenschutzerklärung. Zoom ist in den USA ansässig; nach Angaben von Zoom ist ein Data Processing Addendum mit EU-Standardvertragsklauseln Teil der Nutzungsbedingungen. Zoom und die DSGVO Zoom Datenschutzerklärung
• Microsoft Ireland Operations Limited – Azure-Sprach- und Textverarbeitung sowie Microsoft Graph für Support-E-Mails. Anschrift: One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Microsoft stellt ein Data Protection Addendum und Standardvertragsklauseln für relevante Transfers bereit. Microsoft Privacy Statement
• Google Ireland Limited / Google LLC – Firebase Cloud Messaging und auf Wunsch Google Maps. Firebase kann Daten auf globaler Infrastruktur verarbeiten. Google stellt für Firebase Data Processing and Security Terms bereit. Firebase Datenschutz
• Apple Distribution International Ltd. – Zustellung von Push-Nachrichten an iOS-Geräte. Anschrift: Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Apple Datenschutz

Bei Empfängern in Staaten außerhalb des EWR werden – abhängig von Anbieter und Verarbeitung – ein Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder geeignete Garantien nach Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln, verwendet. Trotz dieser Mechanismen kann bei einer Verarbeitung in Drittländern ein abweichendes Datenschutzniveau bestehen.

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck, einen Kundenauftrag, gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden. Danach werden sie gelöscht oder anonymisiert. In Sicherungskopien können Daten bis zum turnusmäßigen Überschreiben gesperrt fortbestehen.

Für auftragsbezogene Geschäftsunterlagen, Arbeitsnachweise, Fotos, Unterschriften, Zeiten, Material und Kundendaten bestimmt der verantwortliche Kundenbetrieb die konkrete Aufbewahrungs- und Löschfrist. Gesetzliche handels- und steuerrechtliche Pflichten bleiben unberührt.

Konkret festgelegt sind im geprüften App-Ablauf 90 Tage für positive Anwesenheitsbestätigungen, interne Benachrichtigungsereignisse und Sicherheitsereignisse. Gerätebindung und Push-Token werden bei vollständiger Abmeldung, Deaktivierung oder Ungültigkeit entfernt. Lokale App-Daten werden bei vollständiger Abmeldung vom Gerät gelöscht.

Anfragen zur Auskunft, Berichtigung oder Löschung können über unsere Seite für Datenanfragen gestellt werden.

Wir setzen technische und organisatorische Maßnahmen ein, die dem Risiko der jeweiligen Verarbeitung angemessen sind. Dazu gehören verschlüsselte Übertragung, Zugriffskontrollen, rollenbasierte Berechtigungen, private Dateispeicher, verschlüsselte lokale App-Daten, geschützte Schlüssel-/Token-Speicherung, Rate-Limiting und begrenzte Sicherheitsprotokolle.

In der HeWo App sehen und ändern nur Admins die Bankverbindung des Betriebs. Wird sie geändert, erhalten die übrigen Admins einen Hinweis in der App. Der Versand von E-Mails an Kunden ist je Person und je Betrieb begrenzt, um Missbrauch zu verhindern.

Nutzer müssen Zugangsdaten geheim halten und dürfen personenbezogene oder vertrauliche Inhalte nur hochladen, wenn dies für den Auftrag erforderlich und rechtlich zulässig ist.

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch nach Art. 21 DSGVO (siehe den folgenden Kasten),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO, für die Statistik über „Datenschutz-Einstellungen“ unten auf jeder Seite, für den NDR-Player über „Player schließen“ (Abschnitt 7).

Bei Daten aus einem Kundenbetrieb kann der Betrieb Verantwortlicher sein. Anfragen können an ihn oder an uns gerichtet werden; wir prüfen die Zuständigkeit und unterstützen den Betrieb als Auftragsverarbeiter.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns ist regelmäßig zuständig:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22
20459 Hamburg
E-Mail: mailbox@datenschutz.hamburg.de
datenschutz-hamburg.de

Es finden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Vorschläge des Sprachassistenten werden erst nach einer Entscheidung des Nutzers übernommen.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Dienstleister, Rechtslage oder Datenverarbeitungen ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.