Datenschutzerklärung

Ein Datenschutzbeauftragter ist nicht benannt. Datenschutzanfragen können unmittelbar an die oben genannte E-Mail-Adresse gerichtet werden.

JOOSN entscheidet selbst über Zwecke und Mittel der Verarbeitung, soweit es um den Besuch der zentralen Website, die Kontoverwaltung, den SaaS-Vertrag, die Abrechnung, Missbrauchsabwehr, den sicheren Betrieb und Supportkommunikation geht.

Legt ein Unternehmenskunde in Assetriva Daten seiner Kunden, Ansprechpartner, Beschäftigten, Nachunternehmer oder sonstiger Personen an, bestimmt grundsätzlich dieser Unternehmenskunde Zweck und Inhalt. JOOSN ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Betroffene richten fachliche Auskunfts-, Berichtigungs- oder Löschanfragen zuerst an das Unternehmen, das die Daten in Assetriva eingestellt hat. JOOSN unterstützt dieses Unternehmen nach dem AVV.

Beim Aufruf von assetriva.app oder einer zugehörigen App-Domain werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser- und Geräteangaben, HTTP-Status, übertragene Datenmenge sowie Sicherheits- und Anforderungskennungen gehören.

Die Verarbeitung ist erforderlich, um Seiten und App-Funktionen auszuliefern, Angriffe und technische Fehler zu erkennen und den sicheren Betrieb zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem funktionsfähigen, sicheren und nachvollziehbar betreibbaren Onlineangebot. Soweit der Aufruf der Vertragsanbahnung oder Vertragserfüllung dient, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Hosting, Content-Auslieferung und Serverfunktionen erfolgen über Vercel. Kerndatenbank, Anmeldung und privater Dateispeicher werden über Supabase betrieben; das aktive Assetriva-Datenbankprojekt liegt in der Region Frankfurt (eu-central-1). Die Wahl einer EU-Region schließt technische Zugriffe oder Unterauftragnehmer außerhalb des EWR nicht vollständig aus; hierzu siehe Abschnitt 12.

Für ein Assetriva-Konto verarbeiten wir insbesondere Namen, geschäftliche E-Mail-Adresse, Authentifizierungskennung, E-Mail-Bestätigungsstatus, Firmenzuordnung, Rollen, Berechtigungen, Einladungen und sicherheitsbezogene Authentifizierungsereignisse. Passwörter werden vom Authentifizierungsdienst verarbeitet und nicht im Klartext gespeichert.

Zweck ist die Einrichtung und Absicherung des Kontos, die Mandantenzuordnung und die Vertragserfüllung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Missbrauchsmaßnahmen beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Wenn „Mit Google fortfahren“ gewählt wird, leitet Assetriva zum Google-Anmeldedienst weiter. Dabei werden mindestens die für die Anmeldung benötigten Kennungen sowie – abhängig vom Google-Konto und den dort erteilten Freigaben – Name, E-Mail-Adresse und Profilangaben zwischen Google, Supabase und Assetriva übermittelt. Die Nutzung ist freiwillig; alternativ steht die Anmeldung mit E-Mail und Passwort bereit. Für die Datenverarbeitung im Google-Konto gelten ergänzend die Datenschutzhinweise von Google.

Je nach gebuchtem Modul können Assetriva-Kunden insbesondere folgende Daten verarbeiten:

• Unternehmens-, Kunden-, Ansprechpartner-, Mitarbeiter- und Nachunternehmerdaten einschließlich Kontakt- und Adressdaten;
• Baustellen, Einsatzorte, Zufahrts- und Standortinformationen;
• Maschinen, Geräte, Serien- und Inventarnummern, Verfügbarkeiten, Prüfungen, Reparaturen, Schäden und Telematikangaben, soweit ein solches Modul aktiviert ist;
• Vermietungen, Dienstleistungen, Termine, Zeiten, Tätigkeiten, Material, Preise, Angebote, Rechnungen und Zahlungsreferenzen;
• Dokumente, Bilder, Audiodateien, Unterschriften, Prüfberichte, Übergabe- und Zustandsnachweise.

JOOSN verarbeitet diese Inhalte für Bereitstellung, Speicherung, Sicherung, Berechtigungsprüfung, Ausgabe, Fehlerbehebung und vertragsgemäße Weiterentwicklung ausschließlich nach dokumentierter Weisung des jeweiligen Kunden. Rechtsgrundlage für die Verarbeitung durch den Kunden bestimmt der Kunde selbst. Zwischen Kunde und JOOSN gilt der Auftragsverarbeitungsvertrag.

Dateien werden in einem privaten Mandantenspeicher abgelegt und über zeitlich begrenzte, signierte Zugriffe bereitgestellt. Zugriffe sind rollen- und mandantenbezogen. Kunden sollen keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO einstellen, sofern dies nicht zuvor ausdrücklich vereinbart und abgesichert wurde.

Bei einer Nachricht an JOOSN verarbeiten wir Absenderdaten, Inhalt, Zeitpunkt und Kommunikationsmetadaten zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung und Dokumentation geschäftlicher Kommunikation.

Auf öffentlichen Mietkatalogen eines Assetriva-Kunden können Name, E-Mail, Telefon, Firma, gewünschter Zeitraum, ausgewähltes Gerät und Nachricht erfasst werden. Für diese Anfrage ist der im jeweiligen Katalog genannte Assetriva-Kunde Verantwortlicher. JOOSN schützt die Übermittlung gegen Manipulation und Mehrfachmissbrauch und verarbeitet die Anfrage als Auftragsverarbeiter. Der Kunde muss dort seine eigenen Datenschutzinformationen bereitstellen und die Löschfrist festlegen.

Zur Buchung und Verwaltung eines Standardabos verarbeiten wir Vertrags- und Abrechnungsdaten wie Firma, Name, E-Mail, Rechnungsanschrift, gewähltes Paket, Laufzeit, Steuer-ID, Stripe-Kunden- und Abonnementkennungen, Zahlungsstatus, Rechnungsreferenzen und protokollierte Vertragsannahme.

Kartendaten und Kontoverbindungen werden unmittelbar von Stripe erhoben; Assetriva speichert keine vollständigen Zahlungsdaten. Stripe verarbeitet Daten teilweise als unser Auftragsverarbeiter und teilweise in eigener Verantwortlichkeit, insbesondere soweit gesetzliche Pflichten eines Zahlungsdienstleisters bestehen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Zahlung sowie Art. 6 Abs. 1 lit. c DSGVO für handels-, steuer- und zahlungsrechtliche Pflichten.

Weitere Informationen enthalten die Datenschutzhinweise von Stripe.

E-Mail-Bestätigungen, Einladungen, Passwortnachrichten und andere transaktionale Systemnachrichten werden über Supabase Auth und den Versanddienst Resend zugestellt. Dabei werden insbesondere Empfängeradresse, Absender, Betreff, technischer Nachrichteninhalt, Versandzeit, Zustellstatus und Fehlerdaten verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht für Konto oder Vertrag erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für zuverlässige Zustellung, Missbrauchsabwehr und Fehlerdiagnose. Werbliche Newsletter sind hiervon nicht umfasst und werden nicht allein durch die Assetriva-Registrierung erlaubt.

Ergänzende Informationen finden Sie in der Datenschutzerklärung von Resend.

Für berechtigte, angemeldete Nutzer protokolliert Assetriva sicherheits- und betriebsrelevante Ereignisse. Dazu gehören Nutzerkennung, Mandant, Route, Art und Ergebnis einer Aktion, Zielkategorie, Zeit, technische Anfrage-, Interaktions- und Korrelationskennungen, HTTP-Status, Dauer, Deploymentkennung sowie eng begrenzte Geräte- und Verbindungsangaben.

Die Anwendungsprotokollierung speichert keine eingegebenen Feldwerte, Passwörter, Tokens, freien Texte, Dateiinhalte oder rohen Browserfehlermeldungen. Sie dient Fehlerdiagnose, Nachweisbarkeit, Missbrauchsabwehr und Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Anwendungsereignisse werden automatisiert nach 90 Tagen gelöscht. Fachliche Auditnachweise können wegen Vertrags-, Sicherheits- oder Nachweispflichten länger aufbewahrt werden.

Bei nicht angemeldeten Besuchern wird keine mandantenbezogene Anwendungsinteraktion in der Assetriva-Datenbank gespeichert. Technische Hosting- und Sicherheitslogs nach Abschnitt 3 können unabhängig davon entstehen.

Assetriva verwendet nach aktuellem Stand keine Marketing- oder Werbetracker. Eingesetzt werden nur Speichermechanismen, die für Anmeldung, Sicherheit, Navigation, Fortschrittsanzeige und vereinbarte App-Funktionen erforderlich sind.

• Authentifizierungs-Cookies halten die sichere Anmeldung aufrecht, erneuern Sitzungen und ordnen Anfragen dem korrekten Konto zu.
• Ein technisch erforderlicher Sitzungsbezeichner im Session Storage verbindet zusammengehörige Bedienereignisse und endet mit der Browsersitzung.
• Bestimmte nicht abgeschlossene Vermietungs- oder Auftragsentwürfe können im IndexedDB-Speicher des Endgeräts gesichert werden. Diese Entwürfe werden mit AES-GCM verschlüsselt, an Mandant und Nutzer gebunden und nach spätestens sieben Tagen verworfen. Nicht mehr benötigte lokale Schlüssel laufen spätestens nach 30 Tagen ohne zugehörigen Entwurf aus.
• Installations- und Darstellungsdaten der PWA können im Browserspeicher gehalten werden, damit die App auf dem Endgerät funktioniert.

Der Zugriff auf diese Informationen ist für den ausdrücklich gewünschten App-Dienst unbedingt erforderlich und erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Sollte Assetriva künftig optionale Analyse- oder Marketingtechnologien einsetzen, werden diese erst nach einer erforderlichen Einwilligung aktiviert und diese Erklärung wird angepasst.

Innerhalb von JOOSN erhalten nur Personen Zugriff, die ihn für Vertrag, Support, Abrechnung, Sicherheit oder Administration benötigen. Externe Empfänger werden nur im erforderlichen Umfang eingesetzt:

• Vercel Inc. für Hosting, Content-Auslieferung, Serverfunktionen und technische Betriebsprotokolle;
• Supabase Inc. für Authentifizierung, Datenbank, privaten Dateispeicher und zugehörige Plattformdienste;
• Stripe Payments Europe, Limited und verbundene Stripe-Unternehmen für Checkout, Abonnement, Zahlung, Steuer- und Rechnungsfunktionen;
• Plus Five Five, Inc. (Resend) für transaktionalen E-Mail-Versand;
• Google nur bei freiwilliger Nutzung der Google-Anmeldung;
• Behörden, Gerichte, Berater oder sonstige Empfänger, wenn eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine wirksame Einwilligung dies erlaubt.

Für die Verarbeitung von Mandanten-Fachdaten enthält der AVV die aktuelle Unterauftragnehmerliste.

Mehrere technische Anbieter haben ihren Hauptsitz in den USA oder setzen Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums ein. Auch bei einer EU-Datenbankregion können Support-, Sicherheits-, Abrechnungs- oder Zustellvorgänge eine Drittlandübermittlung auslösen.

Solche Übermittlungen erfolgen nur auf Grundlage der Art. 44 ff. DSGVO, insbesondere eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework, soweit der Empfänger wirksam zertifiziert ist, oder der EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Schutzmaßnahmen. Maßgeblich sind die mit den jeweiligen Anbietern geschlossenen Datenschutzvereinbarungen und deren aktuelle Unterauftragnehmerlisten.

• Vercel Datenschutzhinweise und Unterauftragnehmer
• Supabase Datenschutzhinweise und DPA
• Stripe DPA
• Resend DPA und Unterauftragnehmer

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck, Vertrag, eine Weisung des Kunden, Sicherheitsinteressen oder gesetzliche Aufbewahrungspflichten dies erfordern. Danach werden die Daten gelöscht, anonymisiert oder bis zum Ablauf einer Aufbewahrungspflicht gesperrt.

• Konto- und Vertragsdaten: für die Dauer des Kontos und Vertragsverhältnisses sowie anschließende Nachweis- und Verjährungsfristen;
• Abrechnungs-, Steuer- und Handelsunterlagen: nach den jeweils geltenden gesetzlichen Aufbewahrungsfristen;
• Anwendungsprotokolle: 90 Tage, soweit nicht ein konkreter Sicherheitsvorfall eine gesonderte, rechtlich zulässige Beweissicherung erfordert;
• lokale verschlüsselte Entwürfe: höchstens sieben Tage; verwaiste lokale Schlüssel höchstens 30 Tage;
• Kontaktanfragen: bis zur abschließenden Bearbeitung und danach nach den für die Korrespondenz erforderlichen Nachweisfristen;
• Mandanten-Fachdaten: nach Weisung und Löschkonzept des jeweiligen Kunden, dem AVV, etwaigen gesetzlichen Pflichten und dem kontrollierten Offboarding.

Daten in Sicherungskopien werden nicht für normale Zwecke weiterverarbeitet und mit der jeweiligen Backup-Rotation gelöscht. Bei einer Wiederherstellung werden bereits wirksam angeordnete Löschungen erneut angewandt.

Bei Vorliegen der gesetzlichen Voraussetzungen haben betroffene Personen insbesondere folgende Rechte:

• Auskunft nach Art. 15 DSGVO;
• Berichtigung nach Art. 16 DSGVO;
• Löschung nach Art. 17 DSGVO;
• Einschränkung der Verarbeitung nach Art. 18 DSGVO;
• Datenübertragbarkeit nach Art. 20 DSGVO;
• Widerspruch gegen Verarbeitungen nach Art. 21 DSGVO;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Anfragen können an joerg@joosn.de gerichtet werden. Betrifft die Anfrage Daten im Firmenbereich eines Assetriva-Kunden, teilen Sie bitte auch dieses Unternehmen und den betroffenen Arbeitsbereich mit. Wir können zur Vermeidung unbefugter Offenlegung einen angemessenen Identitätsnachweis verlangen.

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für JOOSN ist insbesondere zuständig:

Aktuelle Kontaktdaten veröffentlicht der LfDI Baden-Württemberg.

JOOSN trifft im Rahmen des Assetriva-Vertragsschlusses keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Technische Sicherheits-, Plausibilitäts-, Verfügbarkeits- und Berechtigungsprüfungen können Aktionen blockieren, werden aber nicht zur Bewertung persönlicher Eigenschaften oder zu Werbeprofilen eingesetzt.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitungen, Anbieter oder Rechtslage ändern. Die jeweils aktuelle Fassung ist unter assetriva.app/datenschutz abrufbar. Bei wesentlichen Änderungen, die bestehende Konten betreffen, informieren wir zusätzlich über einen geeigneten Kanal.