Datenschutzerklärung

1. Verantwortlicher

The Vegan Goodlife GmbH C4 6 E-Mail: hello@growthestudio.com Telefon: 0621 49094799

2. Worum es geht

Buma Portal ist eine Software für Handwerksbetriebe. Diese Erklärung beschreibt, welche Daten wir als Betreiber selbst verarbeiten: beim Besuch der Website, bei der Registrierung, bei der Anmeldung und im Vertragsverhältnis.

Was ein Betrieb in der Software über seine Beschäftigten und Kunden erfasst, verarbeiten wir im Auftrag dieses Betriebs nach einem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Verantwortlich ist dafür der jeweilige Betrieb. Fragen dazu richten Sie am besten direkt an diesen Betrieb.

3. Aufruf der Website

Beim Aufruf verarbeitet unser Hosting-Dienstleister technisch nötige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Das dient der sicheren Auslieferung und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach kurzer Zeit automatisch gelöscht.

4. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Cookies: ein Sitzungs-Cookie nach der Anmeldung und auf freigegebenen Firmen-Tablets ein Geräte-Cookie. Für die Arbeit ohne Netz speichert die App Buchungen kurz im Browser, bis sie übertragen sind. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 TDDDG).

Wir nutzen keine Werbe-, Analyse- oder Tracking-Werkzeuge und binden keine Inhalte Dritter wie Schriften oder Videos von fremden Servern ein.

5. Registrierung und Vertrag

Bei der Registrierung verarbeiten wir Name des Betriebs, Ihren Namen, Ihre E-Mail-Adresse, Gewerk und Bundesland, später Rechnungs- und Vertragsdaten. Das ist für den Vertrag nötig (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Angaben können wir keinen Zugang einrichten.

Kommen Sie über einen Empfehlungslink, speichern wir, welcher Betrieb oder Partner Sie empfohlen hat, damit beide Seiten ihre Gutschrift bekommen (Art. 6 Abs. 1 lit. b und f DSGVO). Der werbende Betrieb sieht nur die Zahl und den Status seiner Empfehlungen, nicht Ihre Daten.

Die Zustimmung zu AGB und Auftragsverarbeitungsvertrag speichern wir mit Zeitpunkt, Name, Fassung und einem gesalzenen Hash der IP-Adresse als Nachweis.

6. Anmeldung

Die Anmeldung läuft ohne Passwort über Passkeys oder einen einmaligen Link per E-Mail. Bei Passkeys speichern wir nur den öffentlichen Schlüssel und eine Gerätebezeichnung; Fingerabdruck oder Gesichtsbild verlassen Ihr Gerät nie. Zu Sitzungen speichern wir Gerätebezeichnung und letzte Nutzung, damit Sie alte Geräte abmelden können.

7. E-Mails und Push-Benachrichtigungen

E-Mails (Anmeldelinks, Einladungen, Hinweise) versenden wir über einen E-Mail-Dienstleister. Push-Benachrichtigungen gibt es nur, wenn Sie sie auf Ihrem Gerät erlauben (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit im Browser oder in Ihrem Profil wieder abschalten. Der Inhalt ist verschlüsselt und für die Push-Dienste der Hersteller nicht lesbar.

8. Standort beim Arbeitsbeginn

Nur wenn ein Betrieb das ausdrücklich einschaltet, speichert die Zeiterfassung beim Start einmalig den Standort. Es gibt keine laufende Ortung. Der Browser fragt vorher um Erlaubnis.

9. KI-Auswertung von Rapporten und Lieferscheinen

Nutzt ein Betrieb den Baustein Sprachrapport & Belegerkennung, wird der gesprochene Rapport als Text bzw. das Foto eines Lieferscheins an Anthropic (USA) übermittelt, um daraus Vorschläge für Zeiten, Material und Notizen zu erzeugen. Die Spracherkennung selbst läuft im Browser bzw. Betriebssystem des Geräts. Gebucht wird erst, wenn eine Person die Vorschläge bestätigt. Eine automatisierte Entscheidung nach Art. 22 DSGVO findet nicht statt.

10. Empfänger und Drittländer

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein:

• Vercel Inc., San Francisco, USA: Betrieb der Webanwendung (Server, Auslieferung, täglicher Hintergrundlauf). Ort: Serverregion Frankfurt am Main (fra1).
• Neon (Postgres-Datenbankdienst): Speicherung aller Betriebsdaten in der Datenbank, Sicherungen. Ort: AWS-Region Frankfurt am Main (eu-central-1).
• Resend, Inc., San Francisco, USA: Versand von E-Mails (Anmeldelinks, Einladungen, Terminbestätigungen, Belege). Ort: EU-Region Irland (eu-west-1), wenn die Absenderdomain dort eingerichtet ist.
• Push-Dienste der Browser- und Geräte-Hersteller (Apple, Google, Mozilla, Microsoft): Zustellung von Push-Benachrichtigungen an Geräte, die das ausdrücklich erlaubt haben. Ort: je nach Hersteller, auch außerhalb der EU. Nur wenn Push-Benachrichtigungen auf einem Gerät eingeschaltet sind.
• Anthropic PBC, San Francisco, USA: Auswertung von Sprachrapporten (als Text) und Fotos von Lieferscheinen. Ort: USA. Nur wenn der Baustein Sprachrapport & Belegerkennung freigeschaltet ist und genutzt wird.

Einige Dienstleister haben ihren Sitz in den USA. Grundlage der Übermittlung ist das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) bzw. EU-Standardvertragsklauseln. Daten geben wir nicht an Dritte zu Werbezwecken weiter und verkaufen sie nicht.

11. Speicherdauer

Kontodaten speichern wir für die Dauer des Vertrags. Nach Vertragsende stehen die Daten noch 30 Tage zum Export bereit und werden dann gelöscht. Was wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen (z. B. unsere eigenen Rechnungen an Sie: 8 Jahre, Bücher: 10 Jahre), sperren wir bis zum Ablauf der Frist.

12. Ihre Rechte

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (Art. 21)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. der für unseren Sitz zuständigen

Schreiben Sie uns dafür an hello@growthestudio.com.

13. Sicherheit

Wir übertragen alle Daten verschlüsselt und schützen sie mit den Maßnahmen, die auf unserer Seite Sicherheit beschrieben sind.