Datenschutzerklärung
Verantwortlicher
Philipp Weller
Glümerstraße 5
76185 Karlsruhe
E-Mail: philipp.weller@nachwerk-app.de
Welche Daten wir verarbeiten und zu welchem Zweck
Kontaktdaten der Ansprechpartner bei Nachunternehmer-Firmen (Name, E-Mail), sowie die von Nachunternehmern hochgeladenen Nachweis-Dokumente (z. B. Unbedenklichkeitsbescheinigungen, Versicherungsnachweise) inklusive der darin enthaltenen personenbezogenen Daten. Zweck: Verwaltung und Nachweis der in § 28e SGB IV geforderten Nachweise für Generalunternehmer.
- Bereitstellung der Kernfunktion: Fristüberwachung und Nachweisdokumentation.
- Kommunikation mit Nachunternehmern (Versand des Upload-Links, optionale automatische Erinnerungs-E-Mail vor Ablauf eines Nachweises).
- Vertragsabwicklung mit der Generalunternehmer-Organisation als Kunde (Abo, Zahlung).
- IT-Sicherheit und Missbrauchsprävention (u. a. Rate-Limiting, Ereignis-Protokoll).
Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO: Erfüllung des Vertrags über die Nutzung von Nachwerk mit der Generalunternehmer-Organisation als Kunde.
- Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse der Generalunternehmer-Organisation daran, ihre Nachunternehmer zur Einreichung und Erneuerung von Nachweisen nach § 28e SGB IV zu kontaktieren; Nachwerk verarbeitet diese Daten insoweit im Auftrag der Organisation (siehe Auftragsverarbeitung).
- Art. 6 Abs. 1 lit. c DSGVO: sofern gesetzliche Aufbewahrungspflichten die Speicherung bestimmter Daten erfordern.
Eingesetzte Auftragsverarbeiter
Zur Bereitstellung des Dienstes werden folgende Unterauftragsverarbeiter eingesetzt. Details zur Auftragsverarbeitung selbst stehen auf der AVV-Seite.
| Anbieter | Zweck | Datenkategorien | Sitz / Drittlandtransfer |
|---|---|---|---|
| Convex | Datenbank, Dateispeicher für hochgeladene Nachweis-Dokumente, Serverfunktionen und Cron-Jobs, die Kernplattform der Anwendung. | Alle in der Anwendung gespeicherten Daten: Nachweis-Dokumente, Stammdaten der Nachunternehmer, Ereignis-Protokoll, Konto-Metadaten der GU-Nutzer. | USA (Convex, Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). |
| Clerk | Anmeldung, Sitzungsverwaltung und Organisationsverwaltung der GU-Nutzerkonten. | Name, E-Mail-Adresse, Login-/Sitzungsdaten und Organisationszugehörigkeit der GU-Mitarbeiter (Admin/Mitarbeiter/Bearbeiter). | USA (Clerk, Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework. |
| Polar | Abwicklung von Checkout, Abonnement und Zahlungsstatus für die kostenpflichtige Nutzung. | Rechnungs- und Abo-Daten der Organisation (z. B. Rechnungsanschrift, Zahlungsstatus); Zahlungsmitteldaten selbst verarbeitet Polar bzw. dessen eigene Zahlungsdienstleister. | USA (Polar Software, Inc., San Francisco, Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission (Modul 2). Bei der Zahlungsabwicklung tritt Polar als Merchant of Record auf und ist insoweit eigenständiger Verantwortlicher. |
| Resend | Versand automatischer Erinnerungs-E-Mails an Nachunternehmer vor Ablauf eines Nachweises (nur sofern von der Organisation aktiviert, Standard: aus). Seit dem Rechnungs-Postfach (Wachstum-Plan, ebenfalls Standard: aus) zusätzlich Empfang eingehender Nachunternehmer-Rechnungen an eine organisationseigene Empfangsadresse sowie Versand der Rückmeldung an die weiterleitende Person. | Name und E-Mail-Adresse des Ansprechpartners beim Nachunternehmer, Nachweistyp, Ablaufdatum, Upload-Link. Beim Rechnungs-Postfach zusätzlich: Absenderadresse und -inhalt der weitergeleiteten Rechnungs-E-Mail (inkl. Anhang, nur zur Verarbeitung gelesen, siehe Abschnitt zum Rechnungs-Postfach, keine dauerhafte Speicherung der Rechnung). | USA (Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework. |
| Vercel | Hosting und Auslieferung des Frontends (Next.js-Anwendung). | Zugriffs-/Server-Logs beim Aufruf der Anwendung, z. B. IP-Adresse, Zeitstempel, aufgerufene URL. | USA (Vercel Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework und nach ISO 27001. |
| Anthropic (Claude API) | Automatisches Auslesen von Ablaufdatum und Dokumenttyp aus neu hochgeladenen Nachweis-Dokumenten als unverbindlicher Vorschlag, nur sofern für das Deployment ein ANTHROPIC_API_KEY hinterlegt ist (siehe SETUP.md), sonst wird nichts an Anthropic übermittelt. Der Vorschlag wird stets von einem Bearbeiter oder Admin bestätigt bzw. explizit übernommen, bevor er verbindlich wird. Seit dem Rechnungs-Postfach (Wachstum-Plan) zusätzlich: Auslesen von Firmenname, USt-IdNr., IBAN und Betrag aus eingegangenen PDF-Rechnungen ohne lesbares ZUGFeRD-/XRechnung-XML, ebenfalls nur als unverbindlicher Vorschlag. Das führt nie automatisch zu einer Zuordnung, sondern immer erst nach manueller Bestätigung. | Inhalt des jeweils neu hochgeladenen Nachweis-Dokuments bzw. der jeweiligen PDF-Eingangsrechnung, nur für die Dauer der einzelnen Auslesung, nicht dauerhaft bei Anthropic gespeichert. | USA (Anthropic, PBC, Drittland): Data Processing Addendum mit Standardvertragsklauseln der EU-Kommission (Modul 2/3); API-Eingaben werden nicht zum Modell-Training verwendet. |
Die Auftragsverarbeitungsverträge der genannten Dienste sind hier abrufbar: Convex, Clerk, Polar, Resend, Vercel, Anthropic.
Speicherdauer
Während der Vertragslaufzeit werden Nachweis-Dokumente und Stammdaten so lange gespeichert, wie die Organisation sie nicht selbst löscht; das Ereignis-Protokoll wird für die gesamte Vertragslaufzeit unverändert aufbewahrt, da seine Beweisfunktion der Kern des Dienstes ist. Nach Kündigung des Vertrags erhält die Organisation einen vollständigen Datenexport; anschließend werden alle Daten der Organisation aus allen Tabellen gelöscht (Nachweise, Nachunternehmer, Ereignis-Protokoll, Upload-Links). Für die Einhaltung eigener gesetzlicher Aufbewahrungspflichten an den exportierten Daten bleibt die Organisation selbst verantwortlich.
Google Analytics 4 (nur mit Ihrer Einwilligung)
Zusätzlich zu den notwendigen Cookies setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), um zu verstehen, wie Besucher diese Seite nutzen. Dieser Dienst lädt ausschließlich, wenn Sie im Cookie-Banner aktiv „Alle akzeptieren“ wählen. Klicken Sie stattdessen auf „Nur notwendige“ oder schließen Sie den Banner ohne Auswahl, wird kein Skript geladen und keine Verbindung zu Google-Servern aufgebaut.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG — Ihre Einwilligung. Sie können diese jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Seitenfuß widerrufen; der Widerruf ist genauso einfach wie die Erteilung.
- Verarbeitete Daten: pseudonyme Nutzungsdaten (aufgerufene Seiten, ungefähre Verweildauer, Geräte-/Browsertyp, grober Standort). Google kürzt bzw. verzichtet bei europäischen Nutzern serverseitig auf die Speicherung der vollständigen IP-Adresse. Es werden keine Namen, E-Mail-Adressen oder Nachweis-Dokumente an Google übermittelt.
- Gesetzte Cookies: u. a.
_gaund_ga_…, Speicherdauer bis zu 14 Monate (Google-Standardwert). - Empfänger/Drittlandtransfer: Google Ireland Limited, mit Übermittlung an die Google LLC (USA, Drittland) auf Basis von Standardvertragsklauseln der EU-Kommission; Google ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert. Nachwerk hat mit Google die dafür vorgesehenen Google Ads/Analytics Data Processing Terms abgeschlossen (Auftragsverarbeitung nach Art. 28 DSGVO für diese konkrete Verarbeitung).
- Weitere Informationen: Googles Datenschutzerklärung und Data Processing Terms.
Rechte der Betroffenen
Betroffene Personen haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach Art. 15–21 DSGVO. Zur Ausübung dieser Rechte genügt eine formlose E-Mail an philipp.weller@nachwerk-app.de. Soweit Nachwerk Daten im Auftrag einer Generalunternehmer-Organisation verarbeitet, richtet sich die Anfrage vorrangig an diese Organisation als Verantwortlichen; Nachwerk leitet dort eingehende Anfragen entsprechend weiter.
Beschwerderecht
Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Eine Übersicht der deutschen Aufsichtsbehörden stellt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter bfdi.bund.de bereit.