Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO):

— noch nicht hinterlegt —
— Anschrift fehlt —
E-Mail: — fehlt —

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter die betreibende Agentur.

Diese Webanwendung ist kein öffentliches Angebot. die Agentur plant, steuert und dokumentiert damit Einsätze in Märkten (Merchandising, Promotion, Umbau). Sie wird genutzt von

• Mitarbeitenden von die Agentur (Innendienst, Disposition, Leitung),
• freien Mitarbeiterinnen und Mitarbeitern im Außendienst (Promoter),
• Ansprechpartnern der jeweiligen Auftraggeber, die einen Lesezugang zu ihren Projekten erhalten.

Außerdem können Daten von Personen in den besuchten Märkten anfallen, etwa Name und Unterschrift einer Marktleitung.

• Benutzerkonto: Name, E-Mail-Adresse, Rolle; das Passwort nur als nicht umkehrbarer Hash (bcrypt). Bei Zwei-Faktor-Anmeldung zusätzlich das Geheimnis für die Authenticator-App.
• Sicherheitsprotokoll: Zeitpunkt, IP-Adresse und Browserkennung bei Anmeldungen, Fehlversuchen, Kontosperren und Passwortänderungen sowie bei Datenexporten (welcher Export mit welchen Filtern) — zur Sicherheit des Systems, zur Erkennung von Angriffen und zur Nachvollziehbarkeit, wer Daten heruntergeladen hat (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO). Einsehbar für die Leitung der Agentur. Löschung nach 365 Tagen.
• Verbindungsdaten: Beim Aufruf verarbeitet der Webserver technisch notwendige Angaben (IP-Adresse, Zeitpunkt, aufgerufene Adresse) für Betrieb und Abwehr von Angriffen.
• Passwort vergessen: Ein Einmal-Link, der 60 Minuten gilt, und eine Bestätigung, wenn das Passwort geändert wurde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Zugangs) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

• Stammdaten: Name, E-Mail-Adresse, Telefon, Anschrift, Einsatzregion, eigenes Fahrzeug (ja/nein), Sprachen, Kleidergröße, Notizen der Disposition, Qualifikationen und Nachweise mit Ablaufdatum, Verfügbarkeiten und Abwesenheiten.
• Einsatzdaten: zugewiesene Einsätze; Check-in und Check-out mit Zeitpunkt, Standort und Entfernung zum Einsatzort; Protokolle mit Antworten, Fotos, Unterschriften sowie Zeitpunkt und Standort beim Absenden; Meldungen, dass ein Einsatz nicht durchführbar war, mit Grund.
• Standort: Die App fragt den Standort nur im Moment des Ein- und Auscheckens und beim Absenden eines Protokolls ab. Es gibt keine laufende oder nachträgliche Ortung. Der Browser fragt vorher um Erlaubnis; wird sie verweigert, wird kein Standort gespeichert.
• Fotos: Bildmetadaten (z. B. GPS-Angaben der Kamera) werden bereits auf dem Gerät entfernt. Fotografiert werden sollen nur Fläche und Ware, keine Personen.
• Bestätigung der Datenschutzhinweise: Beim ersten Anmelden bestätigen Promoter, dass sie über die Verarbeitung informiert wurden; Fassung und Zeitpunkt werden gespeichert.

Zweck und Rechtsgrundlage: Durchführung der Zusammenarbeit als freie Mitarbeiterin bzw. freier Mitarbeiter (Art. 6 Abs. 1 lit. b DSGVO) sowie der Nachweis der erbrachten Leistung gegenüber den Auftraggebern (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer prüfbaren Dokumentation). Ohne diese Daten ist eine Zusammenarbeit über die App nicht möglich.

Auftraggeber-Zugänge: Konto und Anmeldeprotokoll wie unter 3. Auftraggeber sehen den Stand ihrer eigenen Projekte und die freigegebenen Protokolle — ohne Namen und ohne Standortdaten der Promoter (Art. 6 Abs. 1 lit. b und f DSGVO).

Personen in den Märkten: Name und Telefonnummer von Ansprechpartnern sowie Unterschriften zur Bestätigung eines Einsatzes werden vor Ort im Protokoll erfasst. Zweck ist der Nachweis der Leistung gegenüber dem Auftraggeber (Art. 6 Abs. 1 lit. f DSGVO).

• Auftraggeber von die Agentur: ausschließlich freigegebene Protokolle zu ihren Projekten, ohne Namen und Standortdaten der Promoter.
• Hosting: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen. Der Server steht in einem Rechenzentrum in Nürnberg. Grundlage ist ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
• Betrieb und Wartung der Anwendung durch einen IT-Dienstleister, ebenfalls auf Grundlage eines Vertrags zur Auftragsverarbeitung.
• E-Mail-Versand (Passwort-Links, Bestätigungen, Hinweise an den Innendienst): Brevo (Sendinblue SAS), 106 Boulevard Haussmann, 75008 Paris, Frankreich. Übermittelt werden Name, E-Mail-Adresse und der Inhalt der jeweiligen Nachricht; die Verarbeitung erfolgt in der EU. Grundlage ist ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
• Kartendarstellung: Die Kartenkacheln lädt Ihr Browser von der OpenStreetMap Foundation (Vereinigtes Königreich); dabei wird Ihre IP-Adresse übertragen (Art. 6 Abs. 1 lit. f DSGVO).
• Adressen von Märkten (keine Personendaten) werden zur Ermittlung von Kartenkoordinaten an den Dienst Nominatim der OpenStreetMap Foundation übermittelt.
• Navigation: Der Knopf „Navigation“ öffnet Google Maps erst durch Ihren Klick; ab dann gilt die Datenschutzerklärung von Google.

Für das Vereinigte Königreich (Kartenkacheln) besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Darüber hinaus werden keine Daten in Drittländer übermittelt.

• Sicherheitsprotokoll: 365 Tage, danach automatische Löschung.
• Hinweise an die Disposition: 90 Tage nach dem Lesen, ungelesen 365 Tage.
• Links zum Zurücksetzen des Passworts: 60 Minuten gültig, nur einmal verwendbar.
• Protokolle, Fotos und Unterschriften: bis zu 10 Jahre wegen handels- und steuerrechtlicher Aufbewahrungspflichten (§§ 238, 257 HGB, § 147 AO).
• Stammdaten der Promoter: für die Dauer der Zusammenarbeit; danach Sperrung und Löschung, soweit keine Aufbewahrungspflicht besteht.
• Konten von Auftraggebern: bis zum Ende der Zusammenarbeit bzw. bis der Zugang entzogen wird.
• Datensicherungen: Datenbank 30 Tage, Dateien 28 Tage, danach überschrieben.

• Ein Anmelde-Cookie hält Sie angemeldet (höchstens 8 Stunden). Für die automatische Abmeldung wird außerdem der Zeitpunkt Ihrer letzten Eingabe auf dem Gerät gespeichert.
• Auf dem Gerät werden Entwürfe und noch nicht gesendete Protokolle gespeichert, damit auch ohne Netz gearbeitet werden kann, außerdem Ansicht, Filter, Exportspalten und Darstellung.

Diese Speicherungen sind für die angeforderten Funktionen technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bleiben auf Ihrem Gerät bzw. dienen nur der Anmeldung. Es gibt keine Analyse-, Tracking- oder Werbedienste; Schriften und Programmteile werden vom eigenen Server geladen.

Verschlüsselte Übertragung (TLS), Server in Deutschland, Passwörter nur als Hash, Zwei-Faktor-Pflicht für den Innendienst, Rollen- und Mandantentrennung, Sperre eines Kontos nach wiederholten Fehlversuchen, automatische Abmeldung nach 60 Minuten ohne Aktivität (Innendienst und Auftraggeber), tägliche Datensicherung und automatische Löschung nach Ablauf der Fristen. Neue Passwörter werden gegen bekannte Datenlecks geprüft; dabei verlässt nur ein anonymer Teil des Prüfwerts (die ersten fünf Zeichen eines Hashwerts) das System, nie das Passwort selbst.

Sie haben das Recht auf

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Wenden Sie sich dafür an die betreibende Agentur.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.