Datenschutzhinweise

1. Verantwortlicher

TürPilot – Inhaber David Jan Bauer
Münchinger Weg 20/2, 71701 Schwieberdingen
Telefon: +49 7150 9218966
E-Mail: info@tuerpilot.de

2. Zwei getrennte Rollen

Die Unterscheidung ist für das Verständnis dieser Hinweise wesentlich:

• Für diese Website und dein Kundenkonto sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
• Für die Daten, die du in TürPilot über deine eigenen Kunden erfasst, bist du der Verantwortliche. Wir verarbeiten sie ausschliesslich weisungsgebunden als Auftragsverarbeiter auf Grundlage des Vertrages zur Auftragsverarbeitung.

3. Aufruf der Website

Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, abgerufene Seite, Browsertyp und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Die Protokolle werden grössenbegrenzt geführt und rollierend überschrieben; wie weit sie zurückreichen, hängt vom Verkehr ab – bei heutigem Aufkommen sind es einige Wochen. Eine Auswertung zu anderen Zwecken als der Fehlersuche und der Abwehr von Angriffen findet nicht statt. Suchbegriffe aus dem Cockpit und die zuvor besuchte Seite werden dabei nicht mitprotokolliert.

4. Kundenkonto

Für die Registrierung verarbeiten wir Betriebsname, Name, E-Mail-Adresse und das Passwort in Form eines nicht umkehrbaren Hashes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei der Registrierung und bei jeder Anmeldung, solange deine E-Mail-Adresse noch nicht bestätigt ist, sowie dauerhaft, wenn du den zweiten Faktor eingeschaltet hast, verarbeiten wir zusätzlich einen Anmeldecode – in gehashter Form, zehn Minuten gültig –, den Zeitpunkt der Anmeldung und den Zeitpunkt, an dem die Adresse bestätigt wurde. Grundlage ist unser berechtigtes Interesse an der Sicherheit der Zugänge (Art. 6 Abs. 1 lit. f DSGVO).

Scheitert eine Anmeldung an einem bestehenden Zugang – etwa an einem falschen Passwort, einem falschen Code beim Zurücksetzen des Passworts, weil der Zugang deaktiviert ist, oder am Vor-Ort-Formular eines Betriebs –, halten wir im Prüfprotokoll die IP-Adresse fest, von der sie kam, auch wenn du dich nur vertippt hast. Grundlage ist ebenfalls unser berechtigtes Interesse an der Sicherheit der Zugänge (Art. 6 Abs. 1 lit. f DSGVO): So erkennen wir Angriffe auf ein Konto. Nach 30 Tagen wird die Adresse automatisch entfernt, in den verschlüsselten Datensicherungen spätestens nach zwölf Monaten; dass es den Fehlversuch gab, bleibt vermerkt.

Lässt du TürPilot die Rechnungen deines Betriebs schreiben, hinterlegst du dafür deine Bankverbindung (IBAN, BIC, Bank, gegebenenfalls einen abweichenden Kontoinhaber), die Einstellungen deines Nummernkreises und – für den DATEV-Export und die Übergabe an deine Buchhaltung – die Buchungskonten deiner Kanzlei. Die Bankverbindung ist die Angabe, wohin deine Kunden zahlen, und steht auf jeder dieser Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben bleiben, solange dein Konto besteht; auf bereits ausgestellten Rechnungen bleiben sie mit diesen gespeichert (Abschnitt 9).

Abrechnung und Zahlung

Für die monatliche Abrechnung verarbeiten wir Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, die Zahl der abgerechneten Einsätze und Nachrichten sowie den Zahlungsstand unserer Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG für die Aufbewahrung der Rechnungen.

Die Rechnungen werden in unserer eigenen Buchhaltungssoftware erstellt – das ist sevDesk, unser Auftragsverarbeiter, und nicht zu verwechseln mit der Buchhaltung, die du selbst anbindest. Eingezogen wird per SEPA-Lastschrift. Dafür setzen wir SepaHeld der d-automation GmbH, Müllheim, als Auftragsverarbeiter ein: SepaHeld übernimmt die Rechnung aus sevDesk, schickt dir per E-Mail den Link, über den du das Lastschriftmandat erteilst, und übergibt Name, Anschrift, E-Mail-Adresse, Rechnungsnummer und Betrag an den Zahlungsdienstleister GoCardless (GoCardless SAS, Paris, und GoCardless Ltd, London). Für diese E-Mails nutzt SepaHeld den Versanddienst SendGrid der Twilio Inc., USA; die Übermittlung dorthin ist durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert.

GoCardless nimmt deine Bankverbindung entgegen, kündigt jeden Einzug an und führt ihn aus. GoCardless ist dabei nicht unser Auftragsverarbeiter, sondern ein eigenständiger Verantwortlicher: Als reguliertes Zahlungsinstitut entscheidet es selbst über Zwecke und Mittel der Verarbeitung, etwa zur Betrugsprävention und zur Erfüllung bankaufsichtsrechtlicher Pflichten. Rechtsgrundlage für die Übermittlung an GoCardless ist Art. 6 Abs. 1 lit. b DSGVO; was GoCardless mit den Daten tut, steht in dessen eigenen Datenschutzhinweisen. Für die Übermittlung an GoCardless Ltd im Vereinigten Königreich gilt der Angemessenheitsbeschluss der EU-Kommission. Eine Bonitätsprüfung durch uns findet nicht statt.

Für diesen Einzug geben wir deine IBAN nicht in TürPilot ein und speichern sie dort nicht, und auch den Nachweis des Mandats bewahrt GoCardless auf, nicht wir. Die Bankverbindung, die du für deine eigenen Rechnungen hinterlegst (siehe oben), ist eine andere Angabe und wird für den Einzug nicht verwendet. Wir sehen in sevDesk nur, ob eine Rechnung bezahlt ist, und merken uns das je Abrechnungsmonat. Ist eine Rechnung mehr als fünf Tage nach Fälligkeit offen, ruht der SMS-Versand deines Betriebs, bis sie bezahlt ist – Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Den Zahlungsstand speichern wir so lange wie die Abrechnungszeile selbst.

Kontaktaufnahme

Schreibst du uns eine E-Mail, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage – Art. 6 Abs. 1 lit. b DSGVO, wenn es um den Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Anfragen ohne Vertragsbezug löschen wir spätestens nach sechs Monaten.

Auf unseren Werbebriefen, auf der Startseite (Knopf „Kontaktieren“) und im Hilfefenster unten rechts bieten wir zusätzlich WhatsApp als Kontaktweg an. Unsere Seiten laden dafür nichts von WhatsApp – Link und QR-Code entstehen bei uns, und zu WhatsApp gelangst du erst, wenn du selbst darauf tippst oder den Code scannst. Schreibst du uns dort, verarbeitet der Anbieter WhatsApp Ireland Limited (Merrion Road, Dublin 4, Irland) deine Mobilnummer, deinen Profilnamen und den Inhalt der Nachricht; dabei können Daten an Meta Platforms, Inc. in den USA übermittelt werden, die unter dem EU-US Data Privacy Framework zertifiziert ist. Wir nutzen die Angaben nur, um deine Anfrage zu beantworten – Rechtsgrundlage wie bei der E-Mail – und löschen den Verlauf ohne Vertragsbezug ebenfalls spätestens nach sechs Monaten. Möchtest du das nicht, erreichst du uns genauso per E-Mail oder Telefon.

Hilfefenster unten rechts

Auf unserer Website und im Cockpit steht unten rechts ein Hilfefenster. Wählst du dort ein Thema und schreibst eine Frage, zeigen wir dir passende Texte aus unseren Hilfeseiten. Dafür gehen Thema und Frage an unseren Server; eine KI oder ein anderer Anbieter ist daran nicht beteiligt. Sobald du angibst, dass die Texte geholfen haben, ein Ticket anlegst oder einen Wunsch abschickst, speichern wir das Thema, deine Frage, die Titel der angezeigten Hilfetexte, die Seite, auf der du warst (ohne Suchangaben in der Adresse), den Zeitpunkt und das Ergebnis – bist du als Kunde angemeldet, zusätzlich den Namen deines Betriebs und deinen Namen. Deine IP-Adresse speichern wir dabei nicht in der Datenbank; gegen massenhafte Anfragen zählen wir nur im Arbeitsspeicher des Servers mit, wie oft von einem Anschluss angefragt wurde. Diese Zähler wirken zehn Minuten bis einen Tag; die Kennung des Anschlusses bleibt dafür nur im Arbeitsspeicher und ist spätestens mit dem nächsten Neustart des Servers weg.

Wir nutzen die Angaben, um deine Frage zu beantworten und um zu sehen, welche Hilfetexte fehlen oder nicht verständlich sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um deinen Vertrag mit uns oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO – unser Interesse, Fragen zu beantworten und die Hilfe zu verbessern. Bist du als Kunde angemeldet, löschen wir die Anfrage zwölf Monate nach dem Erledigen, eine nicht erledigte zwölf Monate nach Eingang, und spätestens mit deinem Konto. Anfragen ohne Anmeldung – auch aus dem Vorführzugang – löschen wir wie jede Anfrage ohne Vertragsbezug sechs Monate nach Eingang. Bitte trag dort keine Daten deiner Kunden ein; für die Antwort brauchen wir sie nicht.

Brauchst du danach noch Hilfe, legt das Fenster ein Ticket mit Nummer an, und du wählst, wie wir antworten sollen. Per WhatsApp: Das Fenster bietet dir an, WhatsApp mit einer vorbereiteten Nachricht an uns zu öffnen. In dieser Nachricht stehen nur Ticketnummer und Thema, nicht deine Frage. Ob du sie abschickst, entscheidest du; für WhatsApp gilt der Abschnitt oben. Per E-Mail: Du gibst deine E-Mail-Adresse an, wir speichern sie am Ticket und schicken unsere Antwort von noreply@tuerpilot.de über unseren Mailserver bei der Hetzner Online GmbH. Die Antwort halten wir am Ticket fest und löschen sie mit ihm; die Adresse nutzen wir für nichts anderes als die Antwort auf dieses Ticket. Zu jedem neuen Ticket mit einer Frage (nicht bei Wünschen) geht eine Benachrichtigung an unser eigenes Postfach. Sie enthält nur die Ticketnummer – keine Frage, keine Adresse, keinen Namen; bearbeitet wird das Ticket in unserem Verwaltungsbereich.

Werbebriefe an Schlüsseldienste

Wir schreiben Schlüsseldienstbetriebe per Brief an. Dafür verarbeiten wir Firma und Anschrift sowie – soweit öffentlich angegeben – Name des Ansprechpartners, Telefon, E-Mail-Adresse und Website. Die Angaben stammen aus öffentlich zugänglichen Quellen wie Firmenwebsites und Branchenverzeichnissen; die Quelle halten wir je Datensatz fest. Dazu kommen unsere Notizen und der Verlauf unserer Kontakte. Jeder Brief trägt einen persönlichen QR-Code: Rufst du ihn auf, halten wir in der Interessentenverwaltung nur Zahl und Zeitpunkt fest; unser Webserver protokolliert den Aufruf wie jeden anderen Seitenaufruf (Abschnitt 3).

Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung gegenüber Gewerbetreibenden (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Angaben längstens 24 Monate nach dem letzten Kontakt. Legst du später selbst ein Konto an, ordnen wir es nach der Bestätigung deiner E-Mail-Adresse oder beim Speichern deiner Firmendaten über die Anschrift (Postleitzahl und Straße oder Hausnummer) einem vorhandenen Datensatz zu, um zu sehen, ob die Werbung gewirkt hat.

Du kannst der Verarbeitung zu Werbezwecken jederzeit widersprechen (Art. 21 Abs. 2 DSGVO) – formlos per E-Mail oder Brief. Wir schreiben dich dann nicht mehr an. Damit das auch beim nächsten Adressabgleich gilt, behalten wir als Sperrvermerk Firma, Postleitzahl und Ort, Datum und Weg deines Widerspruchs sowie als Nachweis unserer Werbung: die Quelle der Adresse, den Kurzcode und die Zahl der Briefe mit dem Datum des letzten, Zahl und Zeitpunkte der QR-Aufrufe und – ohne Inhalt – Art und Datum unserer bisherigen Kontakte (Art. 21 Abs. 3 DSGVO). Ansprechpartner, Strasse, Telefon, E-Mail-Adresse, Website und Notizen löschen wir.

Gemeldete Fehler

Bricht in der Anwendung etwas ab, kannst du den Fehler auf dem Fehlerbildschirm mit einem Klick an uns melden. Dabei übermitteln wir die technische Fehlerkennung, die aufgerufene Seite, den Zeitpunkt, eine auf Browser und Betriebssystem verkürzte Gerätekennung sowie – falls du angemeldet bist – deinen Betrieb und deinen Namen. Ein Freitextfeld ist freiwillig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da wir dir eine funktionsfähige Software schulden. Die Meldung wird zwölf Monate nach Erledigung des Fehlers gelöscht. Solange brauchen wir sie, um einen Fehler wiederzuerkennen, der nach der Behebung erneut auftritt. Haben wir eine Meldung nicht bearbeitet, löschen wir sie zwölf Monate nach Eingang. Eine IP-Adresse speichern wir dabei nicht.

Erforderlichkeit

Die genannten Angaben sind erforderlich, um den Vertrag zu schliessen und durchzuführen; ohne sie ist eine Nutzung nicht möglich (Art. 13 Abs. 2 lit. e DSGVO). Eine automatisierte Entscheidungsfindung einschliesslich Profiling nach Art. 22 DSGVO findet nicht statt (Art. 13 Abs. 2 lit. f DSGVO).

Nach Vertragsende bleiben die Daten gespeichert, bis du die Löschung in der Software beantragst (§ 8 Abs. 5 der AGB); gelöscht wird dann, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Von uns aus löschen wir nicht, weil wir nicht wissen können, ob du die Belege noch brauchst – mit einer Ausnahme: Bleibt die Grundgebühr für das Vorhalten nach Vertragsende mehr als zwei Monate unbezahlt, können wir nach einer Mahnung und weiteren 30 Tagen löschen (§ 8 Abs. 6 der AGB). Die Mahnung weist darauf hin, und bis dahin kannst du alles exportieren.

5. Verarbeitung in der Anwendung

In TürPilot erfasst du Daten über deine eigenen Kunden – Name, Anschrift, Kontaktdaten, Angaben zum Einsatz und gegebenenfalls eine Unterschrift. Wir verarbeiten diese Daten ausschliesslich in deinem Auftrag.

Was wir bewusst nicht speichern

Einige Entscheidungen sind fest in die Software eingebaut und lassen sich auch nicht aktivieren:

• Keine Ausweiskopien. Das Einsatzprotokoll vermerkt nur, dass eine Legitimation geprüft wurde – mit der Art des Dokuments und den letzten drei Zeichen seiner Nummer. Eine Kopie oder ein Foto des Ausweises wird nicht angelegt (§ 20 PAuswG, Grundsatz der Datenminimierung).
• Keine biometrischen Unterschriftsdaten. Von der Unterschrift wird ausschliesslich das gezeichnete Bild gespeichert. Druck, Geschwindigkeit und Beschleunigung werden weder erfasst noch ausgewertet – die Unterschrift ist damit kein biometrisches Datum nach Art. 9 DSGVO.
• Keine Karten- oder Kontodaten. Zahlt ein Endkunde über den Kartenzahlungsanbieter des Betriebs, wickelt dieser die Zahlung als eigener Verantwortlicher ab. TürPilot erhält und speichert davon nur Betrag, Zahlungsart und die Transaktionskennung, damit sich Zahlung und Einsatzprotokoll einander zuordnen lassen – keine Kartennummern, keine Kontodaten. Ein Kassenbuch führt TürPilot nicht.

Fotos vom Einsatzort

Optional erfasste Fotos können Einblicke in Wohnräume enthalten. Sie unterliegen einer eigenen Löschfrist, sind im Zugriff beschränkt und werden nicht an Drittsysteme übertragen.

6. Übermittlung an die Buchhaltung

Wenn du eine Schnittstelle einrichtest, übermitteln wir auf deine Weisung Kundenstammdaten und Rechnungspositionen an das von dir benannte System, dazu im Fusstext der Rechnung die Zuordnung zum Nachweis: Protokollnummer und Zeitpunkt der Abnahme, Einsatzort, Öffnungsart und ob eine Legitimation geprüft wurde – diese Nachweiskette ab Fassung 5 des Vertrags zur Auftragsverarbeitung. Unabhängig von der Fassung stehen im Fusstext ausserdem die Belegnummer der Zahlung, die E-Mail-Adresse deines Kunden, sofern die Rechnung an ihn selbst geht, und der gesetzliche Hinweis auf die Pflicht, die Rechnung aufzubewahren – an einen Privatkunden vollständig, an einen abweichenden Rechnungsempfänger in bedingter Form, für den Fall, dass er die Leistung nicht als Unternehmer bezogen hat, an einen Geschäftskunden gar nicht. Geht die Rechnung an einen abweichenden Empfänger, entfallen E-Mail-Adresse und Legitimationsvermerk. Bei einem Auftrag eines Drittanbieters stehen im Fusstext stattdessen Mitglieds- und Schadennummer und – ab Fassung 5 – der Einsatzort. Interne Notizen, Fotos, Unterschriften sowie Art und Nummer eines vorgelegten Ausweises werden dabei nicht übertragen. Der Zugriff erfolgt mit deinem eigenen Zugangsschlüssel; das Verhältnis zwischen dir und dem Drittanbieter richtet sich nach dessen Bedingungen.

Schaltest du zusätzlich die Übernahme von Umsatz und Ausgaben ein (derzeit nur sevDesk), liest TürPilot einmal am Tag in die andere Richtung: Rechnungen, Belege und Gutschriften der letzten zwölf Monate werden aus deiner Buchhaltung gelesen und zu Monatssummen verdichtet. Gespeichert werden ausschliesslich diese Summen; die einzelnen Vorgänge – und damit die Namen deiner Kunden und Lieferanten – werden nur für die Berechnung verarbeitet und nicht abgelegt. Die Übernahme setzt den Vertrag zur Auftragsverarbeitung ab Fassung 3 voraus und lässt sich jederzeit wieder ausschalten; dann werden die Summen gelöscht.

Lässt du die Rechnungen von TürPilot schreiben, entsteht die Rechnung mit einer Nummer aus deinem eigenen Nummernkreis in TürPilot: mit Name, Anschrift und – soweit erfasst – USt-IdNr. des Rechnungsempfängers, den Positionen und – bei eigenen Einsätzen – demselben Fusstext wie oben; der Hinweis auf die Aufbewahrungspflicht steht dort als eigener Absatz. Die Rechnung an einen Drittanbieter trägt keinen Fusstext und keine Angaben der Person vor Ort; zugeordnet wird sie über die Auftragsnummer des Drittanbieters. Auf deine Weisung schicken wir sie per E-Mail an deinen Kunden, wenn er selbst der Rechnungsempfänger ist – über unseren Mailversand oder, wenn du es so eingerichtet hast, über dein eigenes Postfach. An einen abweichenden Rechnungsempfänger, etwa einen Vermieter, verschicken wir nichts: Die erfasste E-Mail-Adresse gehört deinem Kunden vor Ort. Diese Rechnung lädst du herunter. Auf Wunsch erzeugen wir zusätzlich eine XRechnung zum Herunterladen; sie trägt die Leitweg-ID eines öffentlichen Auftraggebers oder die E-Mail-Adresse seines Rechnungseingangs, die du dafür einträgst. Jede Rechnung legen wir in der versandten Fassung im revisionssicheren Archiv ab (Abschnitt 9). An sevDesk geht sie dann nicht als Positionsliste, sondern als fertiger Beleg. Der DATEV-Export ist eine Datei, die du selbst herunterlädst und an deine Kanzlei gibst. Aufgehoben wird eine Rechnung nur durch eine Stornorechnung, nie durch Ändern oder Löschen.

7. Aufträge, die dir Drittanbieter schicken

Bekommst du Aufträge von Drittanbietern – etwa von Versicherungen, Schutzbriefanbietern oder Vermittlern – als Dokument per E-Mail, kannst du uns beauftragen, ein von dir benanntes Postfach daraufhin anzusehen. Wir schalten die Funktion für deinen Betrieb frei, und du bestätigst die Beauftragung vorher mit einem Code aus einer E-Mail. Fehlt eines von beidem, wird kein Postfach gelesen.

Dieselbe Freischaltung und dieselbe Bestätigung brauchst du auch, wenn du einen solchen Auftrag ohne Postfachüberwachung erfasst – indem du das Dokument (Auftrag oder Tätigkeitsbericht) selbst hochlädst oder die Angaben von Hand einträgst. Es entsteht derselbe Entwurf mit denselben Angaben.

Beim Ansehen des Postfachs wird nur gelesen: Nachrichten werden nicht als gelesen markiert, nicht verschoben und nicht gelöscht. Gesucht wird auf dem Server nach einem festgelegten Absender, und nur in Nachrichten der letzten 90 Tage, höchstens 25 je Durchgang. Von jedem Treffer werden Betreff, Absender, Empfänger, Zeitpunkt und Grösse gelesen, um zu prüfen, ob es wirklich ein Auftrag ist – erst dann wird das Dokument geholt. Trifft die Suche daneben, weil ein fremder Absender den gesuchten Namen enthält, wird von dieser Nachricht nichts ausser diesen Kopfangaben gelesen und nichts davon gespeichert. Vom Inhalt anderer Nachrichten in deinem Postfach wird nichts heruntergeladen. Die Zugangsdaten hinterlegst du selbst: Servername, Port und Benutzername stehen im Klartext, damit du in den Einstellungen siehst, welches Postfach gelesen wird; das Passwort wird mit AES-256-GCM verschlüsselt gespeichert und nie im Klartext angezeigt.

Aus dem gefundenen Dokument lesen wir die Angaben zum Auftrag aus und legen daraus einen Entwurf an. Gespeichert werden daraus nur Auftragsnummer, Mitglieds- und Schadennummer, Abrechnungsweg, Tarif, der Zeitpunkt der Beauftragung, der zugesagte Betrag und der Einsatzort als eigene Angabe am Auftrag sowie der Name der hilfesuchenden Person in den internen Notizen des Belegs. In die Rechnung an den Drittanbieter – und damit an deine Buchhaltung – gehen Auftragsnummer, Mitglieds- und Schadennummer sowie – sobald für deinen Betrieb Fassung 5 des Vertrags zur Auftragsverarbeitung gilt – der Einsatzort; die internen Notizen nie. Schreibt TürPilot die Rechnung an den Drittanbieter selbst, stehen darauf nur der Drittanbieter als Empfänger und seine Auftragsnummer, aber keine Angaben der hilfesuchenden Person. Das Dokument selbst wird nicht gespeichert. Es wird gelesen und verworfen; aufbewahren muss es der Drittanbieter. Dasselbe gilt, wenn du ein Dokument statt über das Postfach selbst hochlädst. Du kannst die Angaben auch einfach eintippen.

Rechtsgrundlage gegenüber dir ist Art. 6 Abs. 1 lit. b DSGVO – das Ansehen des Postfachs und das Erfassen dieser Aufträge sind die Leistung, die du beauftragt hast. Für die Daten der hilfesuchenden Personen aus diesen Aufträgen bist du der Verantwortliche; wir verarbeiten sie weisungsgebunden als Auftragsverarbeiter auf Grundlage des Vertrages zur Auftragsverarbeitung (Abschnitt 2). Mit dem Drittanbieter haben wir keine Vereinbarung; dass du berechtigt bist, diese Aufträge auf diesem Weg zu erfassen, sicherst du uns zu.

Die ausgelesenen Angaben bleiben am Beleg und teilen dessen Aufbewahrungsfrist (Abschnitt 9). Die Zugangsdaten des Postfachs löschen wir, sobald du die Schnittstelle entfernst; danach wird nichts mehr gelesen. Belege aus solchen Aufträgen tragen keine Unterschrift der hilfesuchenden Person, werden ihr nicht zugestellt und nicht im revisionssicheren Archiv abgelegt – abgerechnet wird gegenüber dem Drittanbieter. Die Rechnung an ihn ist dagegen dein eigener Beleg: Schreibt TürPilot sie, wird sie wie jede Rechnung im Archiv abgelegt.

8. Zugangsschlüssel für Drittsysteme

Hinterlegte API-Schlüssel werden mit AES-256-GCM verschlüsselt gespeichert, nie im Klartext angezeigt und nicht protokolliert. Du kannst sie jederzeit austauschen oder entfernen.

9. Aufbewahrung und Löschung

Einsatzprotokolle sind Grundaufzeichnungen und unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten. TürPilot bewahrt sie zehn Jahre auf, gerechnet ab dem Ende des Jahres der Leistung (§ 147 Abs. 1 Nr. 1, Abs. 3 und 4 AO). Innerhalb dieser Frist werden Protokolle nicht gelöscht, sondern bei Bedarf mit Begründung storniert.

Der Beleg ohne Aufnahmen wird bei der Freigabe zusätzlich verschlüsselt in ein Archiv geschrieben, das eine Unveränderbarkeitssperre trägt. Bis zum Ablauf der Frist lässt er sich dort weder ändern noch löschen – auch von uns nicht. Das ist der Zweck. Ebenso jede Rechnung, die TürPilot für einen Betrieb schreibt, in der Fassung, die der Empfänger bekommt; sie wird acht Jahre aufbewahrt, gerechnet ab dem Ende des Jahres, in dem sie ausgestellt wurde (§ 14b UStG, § 147 AO). In den kostenlosen Tagen eines Betriebs geschieht das noch nicht – sofern für ihn die Fassung des Vertrages zur Auftragsverarbeitung gilt, die das vorsieht; nach einer früheren Fassung wird auch dort mit der Freigabe abgelegt. Gilt die neue Fassung, werden die Belege aus dieser Zeit mit Beginn des kostenpflichtigen Vertrags in ihrer letzten Fassung abgelegt, und endet der Vertrag vorher, gar nicht.

Die Aufnahmen des Einsatzortes folgen einer eigenen, kürzeren Frist: Sie werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung. Gilt für einen Betrieb noch die erste Fassung unseres Vertrags zur Auftragsverarbeitung, werden sie schon zwei Jahre nach dem Einsatz gelöscht. Danach besteht kein Aufbewahrungsgrund mehr.

Verlangt eine Person die Löschung ihrer Daten, entfernt der Betrieb die personenbezogenen Angaben aus dem Vorgang; der Buchungsvorgang bleibt in anonymisierter Form bestehen. Solange ein freigegebener Beleg nicht im Archiv liegt – etwa in den kostenlosen Tagen –, bleibt er als einziger Beleg zunächst unverändert; liegt er später dort, wird die Anonymisierung automatisch nachgeholt. Wird er nie abgelegt – etwa weil der Vertrag mit den kostenlosen Tagen endet –, bleibt er längstens bis zum Ende der Aufbewahrungsfrist unverändert. Hat ein Betrieb sein Archiv auf eigenen Antrag unlesbar machen lassen, bleibt ein freigegebener Beleg dagegen unverändert, solange er die einzige aufbewahrte Fassung ist – längstens bis zum Ende der Aufbewahrungsfrist. Eine Ausnahme sind die Aufnahmen des Einsatzortes: Sie bleiben noch zwei Jahre ab dem Tag des Einsatzes erhalten und werden dann automatisch gelöscht. Sie sind der einzige Nachweis gegen den Vorwurf, ein Schaden sei bei der Öffnung entstanden, und dieser Anspruch verjährt erst nach zwei Jahren (§ 634a Abs. 1 Nr. 1 BGB, Art. 17 Abs. 3 lit. e DSGVO). Liegt der Einsatz bereits länger zurück, werden sie sofort gelöscht. Die archivierte Fassung des Belegs bleibt davon unberührt. Für eine Rechnung gilt dasselbe: Liegt sie im Archiv, werden die Angaben der Person aus der gespeicherten Rechnung entfernt, und die archivierte Fassung bleibt als Beleg bestehen; liegt sie dort noch nicht, wird das nachgeholt, und wird sie nie abgelegt, bleibt sie als Beleg unverändert. Verlangt ein Betrieb später die Löschung seines Archivs oder seines Kontos, wird im Archiv nicht die Datei gelöscht, sondern ihr Schlüssel – danach ist sie für niemanden mehr lesbar, in den verschlüsselten Datensicherungen spätestens nach zwölf Monaten.

10. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Verträge nach Art. 28 DSGVO bestehen:

Zusätzlich sichern wir die Datenbank selbst: Jeden Tag entsteht ein vollständiger Abzug auf einer lokalen Festplatte eines Rechners in unserem Büro in Deutschland, verschlüsselt mit AES-256. Er wird nach 30 Tagen gelöscht und nie in einem Cloudspeicher abgelegt. Dabei geht nichts an einen Dienstleister.

Kein Auftragsverarbeiter, sondern eigener Verantwortlicher ist der Zahlungsdienstleister für Kartenzahlungen, den ein Betrieb selbst anbindet. Er wickelt die Zahlung in eigener Verantwortung ab; wir übermitteln ihm nur Betrag und Verwendungszweck und erhalten die Transaktionskennung zurück. Dasselbe gilt für das Buchhaltungssystem, das der Betrieb mit eigenen Zugangsdaten anbindet. Ebenfalls eigenständig verantwortlich ist GoCardless, über das wir unsere Rechnungen an die Betriebe einziehen (siehe „Abrechnung und Zahlung“).

Eine Übermittlung in Drittländer findet durch die Server von TürPilot nicht statt; zu den E-Mails von SepaHeld über einen Versanddienst in den USA siehe „Abrechnung und Zahlung“. Sollte sie künftig erforderlich werden, erfolgt sie nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO. Eine Ausnahme löst der Betrieb selbst aus: Tippt sein Monteur im Formular auf „Navigieren“, öffnet sein Browser Google Maps mit der Anschrift des Einsatzorts – das ist ein Aufruf seines Geräts an Google (EU-US Data Privacy Framework), nicht eine Übermittlung durch uns.

11. Cookies und Reichweitenmessung

Technisch notwendig ist bei uns ein Sitzungscookie zur Anmeldung und, wenn du „angemeldet bleiben“ wählst, ein längerlebiges Cookie derselben Art. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Beim Anmelden mit einem Code aus der Mail kommt für zehn Minuten ein Cookie hinzu, das den laufenden Vorgang kennzeichnet; es enthält weder den Code noch deine Kennung.

Darüber hinaus setzen wir Dienste ein, die eine Einwilligung voraussetzen. Ohne deine Zustimmung wird davon nichts geladen – kein Skript, kein Cookie, keine Verbindung zu den genannten Anbietern. Wir fragen vor dem ersten Aufruf; Ablehnen ist dabei genauso einfach wie Zustimmen. Deine Entscheidung speichert dein Browser, nicht unser Server.

Rechtsgrundlage ist deine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit für die Zukunft widerrufen – über „Cookie-Einstellungen“ in der Fusszeile. Die Rechtmässigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Reichweitenmessung mit Google Analytics 4

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erhoben werden aufgerufene Seiten, Verweildauer, ungefährer Standort auf Stadtebene, verwendetes Gerät und die Seite, von der du gekommen bist. Deine IP-Adresse wird gekürzt verarbeitet. Zweck ist zu erkennen, welche Inhalte gelesen werden und wo Besucher abbrechen.

Dabei werden Daten in die Vereinigten Staaten übermittelt. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für Übermittlungen an so zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend hat Google Standardvertragsklauseln vereinbart.

Die gesetzten Cookies laufen spätestens nach 24 Monaten ab; die Aufbewahrung der Ereignisdaten bei Google ist auf die kürzeste dort wählbare Dauer eingestellt.

Meta-Pixel

Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Das Pixel erkennt, ob ein Besuch auf eine Anzeige zurückgeht und ob daraus eine Anmeldung wurde, und erlaubt es, Besuchern dieser Seite später Werbung auszuspielen.

Für die Erhebung und Übermittlung der Daten sind Meta und wir gemeinsam Verantwortliche nach Art. 26 DSGVO; für die anschliessende Verarbeitung bei Meta ist Meta allein verantwortlich. Die Vereinbarung nach Art. 26 DSGVO ist die Zusatzvereinbarung für Verantwortliche von Meta, abrufbar unter facebook.com/legal/controller_addendum. Deine Rechte kannst du sowohl uns gegenüber als auch gegenüber Meta geltend machen.

Dabei werden Daten an die Meta Platforms, Inc. in den Vereinigten Staaten übermittelt. Sie ist nach dem EU-US Data Privacy Framework zertifiziert; für Übermittlungen an so zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Die Cookies laufen spätestens nach 90 Tagen ab.

12. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)

Widerspruchsrecht: Verarbeiten wir deine Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) – beim Aufruf der Website (Abschnitt 3), bei der Sicherung der Anmeldung (Abschnitt 4), bei einer Kontaktaufnahme ohne Vertragsbezug, beim Hilfefenster und bei unseren Werbebriefen –, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einer Verarbeitung zu Werbezwecken kannst du ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO, siehe „Werbebriefe an Schlüsseldienste“). Ein formloser Hinweis per E-Mail oder Brief genügt.

Ausserdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde, etwa bei der für unseren Sitz zuständigen Behörde.

13. Datensicherheit

Wir treffen technische und organisatorische Massnahmen nach Art. 32 DSGVO, darunter Transportverschlüsselung, verschlüsselte Ablage von Zugangsschlüsseln, rollenbasierte Zugriffsrechte, Protokollierung sicherheitsrelevanter Vorgänge und regelmässige Sicherungen. Die vollständige Beschreibung steht in der Anlage über die technischen und organisatorischen Massnahmen – sie ist Bestandteil des Vertrages über die Auftragsverarbeitung.