Datenschutzerklärung

1. Verantwortlicher

Florian Mändl
[Adresse wird ergänzt]
E-Mail: florian.maendl@gmx.de

2. Was wir verarbeiten

Auftragswerk ist eine SaaS-Anwendung, die Handwerksbetriebe bei der Bearbeitung eingehender Kundenanfragen unterstützt. Im Rahmen der Vertragserfüllung verarbeiten wir folgende Daten:

• Konto-Daten: E-Mail-Adresse, Passwort-Hash, Betriebs-Stammdaten (Firmenname, Inhaber, Branche, Region)
• Kunden-Korrespondenz: Eingehende und ausgehende E-Mails, Anhänge (Bilder, PDFs, Office-Dokumente), Empfänger- und Absender-Adressen
• KI-Analyse-Ergebnisse: Klassifikation der Anfragen, extrahierte Stammdaten (Name, Firma, Telefon, Ort), Termin-Vorschläge
• Kalender-Daten: Verfügbarkeits-Regeln, Sperrzeiten, bestätigte Termine
• Gmail-OAuth-Tokens (verschlüsselt at-rest), wenn Sie Ihr Gmail-Konto über die App verbinden – siehe Abschnitt 5
• Technische Daten: Verarbeitungs-Logs zur Fehlerdiagnose, IP-Adresse bei API-Aufrufen (kurzzeitig)

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Wartung der Anwendung).

4. Eingesetzte Dienstleister (Auftragsverarbeiter)

• Supabase (Datenbank, Auth, Storage) – Hosting in der EU (Frankfurt). Auftragsverarbeitungs-Vertrag (AVV) abgeschlossen.
• Vercel (Application Hosting) – AVV abgeschlossen.
• Anthropic (KI-Klassifikation und -Entwurfs-Generierung via Claude API) – Datenverarbeitung gemäß Anthropic Privacy Policy und Data Processing Addendum.
• Postmark (E-Mail-Versand und -Empfang) – AVV abgeschlossen.
• Google (nur bei optionaler Gmail-Verbindung): OAuth-Authentifizierung und Versand über die Gmail API. Es werden ausschließlich Tokens gespeichert (verschlüsselt), keine Mail-Inhalte aus Ihrem Postfach gelesen.

5. Gmail-OAuth-Verbindung (optional)

Wenn Sie Ihr Gmail-Konto verbinden, fordern wir ausschließlich die Berechtigung gmail.send an – also das Versenden von E-Mails aus Ihrem Namen. Wir lesen keine E-Mails in Ihrem Postfach. Die zur Authentifizierung notwendigen OAuth-Tokens werden AES-256-GCM-verschlüsselt at-rest in unserer Datenbank gespeichert. Die Verbindung kann jederzeit im Betriebsprofil sowie in Ihrem Google-Konto widerrufen werden.

6. Speicherdauer

Wir speichern Ihre Daten so lange, wie es für die Vertragserfüllung erforderlich ist beziehungsweise gesetzliche Aufbewahrungspflichten dies vorschreiben. Gelöschte Anfragen verbleiben 30 Tage im Papierkorb und werden danach endgültig gelöscht. Bei Kündigung des Vertrags werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Bitte richten Sie entsprechende Anfragen an florian.maendl@gmx.de.

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein, insbesondere:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Row-Level-Security in der Datenbank (Mandantentrennung)
• OAuth-Tokens AES-256-GCM-verschlüsselt at-rest
• Strikte Zugriffsbeschränkung über rollenbasierte Authentifizierung

9. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unseres Dienstes zu berücksichtigen. Den jeweils aktuellen Stand finden Sie auf dieser Seite.