Datenschutzerklärung

1. Einleitung und Verantwortlicher

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften (DSGVO) sowie dieser Datenschutzerklärung.

2. Welche Daten wir verarbeiten und warum

2.1 Beim Besuch der Webseite & Web-App

Beim Aufruf unserer Plattform werden durch unseren Hosting-Provider technisch notwendige Logfiles erfasst (IP-Adresse, Browser, Zeitstempel), um die Sicherheit und Stabilität des Systems zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an Sicherheit).

2.2 Bei Registrierung und Nutzung (SaaS)

Wir verarbeiten Bestandsdaten (Name, Firma, Adresse, E-Mail), die Sie bei der Registrierung angeben, sowie die Daten, die Sie im Rahmen der Nutzung in das System eingeben (Kundendaten Ihrer Endkunden, Projektdaten, Mitarbeiterdaten, Chat-Inhalte, Dokumente). Hierzu zählen auch Material- und Lagerdaten (Artikel, Bestände, projektbezogener Materialverbrauch, interne Einkaufskosten zur Nachkalkulation) sowie — sofern Sie die Funktion nutzen — die Zuordnung von Materialentnahmen zu einzelnen Beschäftigten. Für diese Beschäftigtendaten sind Sie als Arbeitgeber der/die Verantwortliche (Art. 88 DSGVO i.V.m. § 26 BDSG); NexDeck verarbeitet sie ausschließlich auf Ihre Weisung. Interne Einkaufskosten und Margen sind reine Innenkalkulation und erscheinen nicht auf Angeboten, Rechnungen oder E-Rechnungen Ihrer Endkunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2a Abrechnung Ihres NexDeck-Tarifs

Für die Abrechnung Ihres NexDeck-Tarifs übermitteln wir Firmenname, Rechnungsanschrift, E-Mail-Adresse und gegebenenfalls Ihre USt-IdNr. an Stripe Payments Europe, Ltd. (Irland). Stripe stellt Ihnen eine eigene Bankverbindung (virtuelle IBAN) für Überweisungen bereit und ordnet eingehende Zahlungen zu; zahlen Sie per Lastschrift oder Karte, verarbeitet Stripe Ihre IBAN und das Lastschriftmandat bzw. die Kartendaten. Stripe verarbeitet diese Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Zur Betrugsprävention, Risikosteuerung und Erfüllung eigener gesetzlicher Pflichten (u. a. Geldwäscheprävention) handelt Stripe als eigener Verantwortlicher (stripe.com/de/privacy). Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Daten Ihrer Ansprechpartner Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vertragsabwicklung); für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 14b UStG.

2.2b Link-Aufruf bei unseren eigenen Angeboten und Rechnungen

Schicken wir Ihnen ein Angebot für NexDeck (auch über einen unserer Vertriebspartner) oder eine Rechnung für Ihren NexDeck-Tarif per E-Mail mit einem persönlichen Link, erfassen wir als Verantwortlicher, wann Sie auf der verlinkten Seite zum ersten Mal das PDF des Belegs öffnen. Dafür gelten dieselben Regeln wie in Abschnitt 2.4c: nur Datum und Uhrzeit des ersten Öffnens, keine IP-Adresse, keine Browserkennung und kein Gerät; das Ansehen der Seite allein wird nicht erfasst; Widerspruch über den Knopf „Aufruf nicht melden“; Löschung, sobald der Beleg abgeschlossen ist. Den Zeitpunkt sieht nur, wer den Beleg selbst einsehen darf: unsere Mitarbeitenden und — bei einem Angebot, das Ihnen ein Vertriebspartner geschickt hat — dieser Vertriebspartner, solange er für uns tätig ist. Auf Zahlungserinnerungen, Mahnungen und Fristen hat der Zeitpunkt keinen Einfluss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, zu erkennen, ob unser Angebot oder unsere Rechnung Sie erreicht hat, damit wir Rückfragen zeitlich passend stellen und nicht unnötig nachfassen.

2.2c Annahme unserer Angebote über den persönlichen Link

Nehmen Sie ein Angebot für NexDeck über den persönlichen Link an, halten wir fest: Zeitpunkt der Annahme, IP-Adresse und Browserkennung des verwendeten Geräts, eine Prüfsumme des angenommenen Inhalts (Tarif, Preise, Laufzeit, Leistungsumfang), die Fassungen der dabei vorgelegten AGB, des Auftragsverarbeitungsvertrags und dieser Datenschutzerklärung sowie Ihre Bestätigung, als Unternehmer zu handeln. Dazu kommen Name und E-Mail-Adresse der Ansprechperson aus dem Angebot. Die Angaben dienen dem Nachweis, wer wann welchem Angebot in welcher Fassung zugestimmt hat; IP-Adresse und Browserkennung werden darüber hinaus nicht ausgewertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsschluss); für die Aufbewahrung des angenommenen Angebots als Handelsbrief Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB, § 147 AO; für IP-Adresse und Browserkennung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, den Vertragsschluss nachvollziehen zu können). Speicherdauer: Das angenommene Angebot bewahren wir sechs Jahre ab dem Ende des Jahres der Annahme auf. Beim Bestellformular für Ihren Tarif entfernt ein täglicher Lauf danach Name, E-Mail-Adresse, IP-Adresse und Browserkennung; abgelehnte oder abgelaufene Bestellformulare verlieren die Angaben zur Ansprechperson nach 90 Tagen. Bei anderen Angeboten, die wir Ihnen über die Plattform schicken, entfernt ein täglicher Lauf die bei der Annahme am Angebot gespeicherte IP-Adresse und Browserkennung nach einer eigenen Frist: Sie endet drei Jahre nach dem Ende des Kalenderjahres, in das der spätere der beiden Zeitpunkte Vertragsschluss und letzte Rechnung zum Angebot, zuzüglich zwölf Monaten und 14 Tagen, fällt. Besteht eine Aufbewahrungssperre, bleiben beide Angaben bis zu deren Ende stehen.

2.3 Anmeldung über Drittanbieter (Social Login / OAuth)

Speicherung: Die übermittelten Daten werden in Ihrem NexDeck-Profil gespeichert. Wir speichern keine Passwörter der Drittanbieter. Die Authentifizierung erfolgt über sichere OAuth 2.0 Token, die verschlüsselt in unserer Datenbank abgelegt werden.

Anbieter und Datenschutz:

• Google: Google Ireland Limited, Gordon House, Dublin 4, Irland. Datenschutzerklärung
• Microsoft: Microsoft Ireland Operations Limited, Dublin, Irland. Datenschutzerklärung
• Apple: Apple Distribution International Ltd., Cork, Irland. Datenschutzerklärung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Auswahl des Login-Anbieters).

2.4 Mobile App (iOS & Android)

Unsere App nutzt Funktionen Ihres Endgeräts, jedoch nur nach Ihrer expliziten Freigabe:

• Kamera: Zur Erfassung von Baustellen-Fotos, kurzen Doku-Videos (ohne Tonaufnahme) und Beleg-Scans.
• Standort (GPS) — Voraussetzungen: Ein Standort wird nur gespeichert, wenn zwei Voraussetzungen zusammen vorliegen: Ihr Arbeitgeber hat die Standortverarbeitung freigeschaltet, und Sie haben in Ihrem Profil in der aktuellen Fassung des Einwilligungstexts eingewilligt und nicht widerrufen. Das gilt für Zeiteinträge (auch für solche, die ohne Verbindung erfasst und später übertragen oder nachträglich von Hand gebucht werden), Baustellenfotos, Barcode-Scans und Sprachnotizen in der Materialerfassung, Fahrzeug-Inspektionen sowie für den Aufnahmeort von Lieferscheinfotos. Fehlt eine Voraussetzung, wird der Eintrag trotzdem gespeichert, nur ohne Standort, und Ihr Gerät wird gar nicht erst nach dem Standort gefragt. Der Arbeitgeber bestätigt bei der Freischaltung unter anderem, dass eine Betriebsvereinbarung vorliegt (§ 87 Abs. 1 Nr. 6 BetrVG) oder kein Betriebsrat besteht.
• Standort (GPS) — wann gefragt wird: Es findet keine fortlaufende Ortung statt. Das Gerät wird nur in einzelnen Momenten nach der Position gefragt: beim Starten und beim Beenden der Zeiterfassung sowie beim Wechsel zwischen Arbeit und Pause, und zwar einmal, wenn Sie die Pause beginnen (Ende des Arbeitsabschnitts), und einmal, wenn Sie mit „Weiter“ fortfahren (Wiederbeginn der Arbeit); gefragt wird dabei jeweils nur, wenn der Schalter „Standort beim Start erfassen“ eingeschaltet ist oder der Arbeitsabschnitt vor der Pause mit Standort begonnen wurde. Die Pause selbst trägt nie einen Standort. Außerdem beim Hochladen eines Baustellenfotos (in der mobilen Fotoaufnahme nur, wenn Sie „Standort mitspeichern“ wählen); einmal beim Öffnen einer Sprachnotiz oder eines Barcode-Scans in der Materialerfassung; bei einer Fahrzeug-Inspektion, wenn Sie „Standort aufzeichnen“ einschalten. Darüber hinaus wird zwischen Start und Ende der Zeiterfassung keine Position an NexDeck übertragen. Hat der Betrieb für ein Projekt den Abgleich mit dem Einsatzort eingeschaltet, wird beim Start einer Zeitbuchung mit Standort festgehalten, ob der Standort innerhalb des eingestellten Radius lag. Das ist ein Hinweis: Der Start wird dadurch nicht verhindert, die gebuchte Zeit ändert sich nicht, und das Ergebnis wird nicht in Lohn- oder Abrechnungsdaten übernommen. Liegt der Start außerhalb, zeigt Ihnen die App einen Hinweis. Den Standort an einem Zeiteintrag können Sie selbst sowie Inhaber, Administratoren, Betriebsleitung, Disposition, Backoffice und Buchhaltung Ihres Betriebs abrufen. Im Standort-Detail eines Zeiteintrags erscheinen bei einem Abgleich mit dem Einsatzort nur Abstand und Ergebnis, sonst ein auf etwa 100 m gerundeter Ort. Auf der Übersicht „Wer ist wo?“ sehen Inhaber und Administratoren bei laufender Zeiterfassung nur das Ergebnis des Abgleichs, ohne Koordinaten, Karte oder Verlauf. Eine Umwandlung Ihres Standorts in eine Adresse findet nicht statt. Sie können den Schalter jederzeit ausschalten.
• Aufnahmeort in Fotos und Videos: Den Aufnahmeort, den Ihre Kamera in ein Foto oder Video schreibt, übernehmen wir nicht als Standort. Bei Fotos in den Formaten JPEG, PNG, WebP, HEIC/HEIF und AVIF und bei Videos in den Formaten MP4, MOV, M4V und 3GP entfernen wir ihn vor dem Ablegen aus der Datei; Bild, Ton und die Ausrichtung des Fotos bleiben unverändert. Das gilt für Baustellen- und Lieferscheinfotos, für Fotos und Videos in den Projekt- und Kundenmedien, im Bautagebuch und im Projekt- und Kundenchat, für Fotos zu Checklisten, zu Geräten und aus der mobilen Materialerfassung sowie für Fotos und Videos, die als Anhang an ein Angebot, eine Rechnung oder einen Kunden hochgeladen werden. In der Datei enthalten bleiben kann er bei anderen Videoformaten (etwa WebM), bei Ortsangaben in komprimierten Metadatenblöcken (XMP), bei Ortsspuren, die manche Action- und Fahrzeugkameras als eigene Spur im Video aufzeichnen, bei Ortsnamen im Titel oder in der Beschreibung einer Datei. Für Fotos und Videos, die Endkunden über den Kundenchat senden, gilt dasselbe. Bei Lieferscheinfotos wird der Aufnahmeort mit Freischaltung und Einwilligung verwendet, um den Lieferschein der Baustelle zuzuordnen; ohne sie wird er nicht gespeichert.
• Standort (GPS) — Fahrzeug-Inspektion: Bei einer Fahrzeug-Inspektion können Sie die aktuelle Position abfragen und mit der Inspektion speichern. Auch das setzt die Freischaltung und Ihre Einwilligung oben voraus; ohne sie wird der Schalter nicht angezeigt, und eine Inspektion wird ohne Standort gespeichert.
• Standort (GPS) — Einwilligung: Die Einwilligung erteilen und widerrufen Sie in Ihrem Profil. Der Einwilligungstext in der Fassung 4 gilt seit dem 08.10.2026; eine Einwilligung zu einer älteren Fassung oder ohne Fassungsangabe gilt nicht mehr, bis Sie erneut einwilligen. Gespeichert werden, ob Sie eingewilligt haben, der Zeitpunkt, die Fassung der Einwilligung sowie gegebenenfalls der Zeitpunkt des Widerrufs, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO); IP-Adresse und Browser-Kennung speichern wir dafür nicht. Diese Angaben bleiben für die Dauer des Vertrags mit Ihrem Betrieb gespeichert und werden mit dessen übrigen Daten nach Vertragsende gelöscht. Ein Widerruf (Art. 7 Abs. 3 DSGVO) wirkt für neue Standorte sofort; bereits gespeicherte Standorte werden beim Widerruf nicht vorzeitig gelöscht. Die Koordinaten an Zeiteinträgen, Baustellenfotos, Sprachnotizen, Barcode-Scans, Fahrzeug-Inspektionen (einschließlich der dort gespeicherten Adresse) und Lieferscheinfotos werden 90 Tage nach der Erfassung automatisch geleert; der jeweilige Eintrag bleibt mit seiner eigenen Frist bestehen, ebenso das Ergebnis des Abgleichs mit dem Einsatzort (innerhalb/außerhalb des Radius). Solange für den Betrieb eine Aufbewahrungssperre besteht, wird nicht geleert. Im Projekt- und Kundenchat kann kein Standort geteilt werden.
• Push-Benachrichtigungen: Um Sie über Statusänderungen (z.B. „Rechnung bezahlt“, neuer Einsatz zugewiesen) zu informieren.
• Face ID / Touch ID (App-Sperre): Nur wenn Sie in den Einstellungen der App die App-Sperre einschalten. Die Prüfung nimmt das Betriebssystem Ihres Geräts vor; wir erhalten nur das Ergebnis (entsperrt oder nicht entsperrt) und keine biometrischen Daten. Auf dem Gerät wird gespeichert, dass die Sperre eingeschaltet ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. b (Vertragserfüllung). Für Mitarbeiter-bezogene Standortverarbeitungen zusätzlich Art. 88 DSGVO i.V.m. § 26 BDSG und BetrVG § 87 Abs. 1 Nr. 6.

2.4a Kunden-Benachrichtigungen im Auftrag unserer Tenants

Als Auftragsverarbeiter unserer Tenants versenden wir optional Kunden- Benachrichtigungen (z.B. „Auf dem Weg“-Email mit Ankunftszeit), wenn der Monteur den entsprechenden Status setzt. Versendet wird nur, wenn alle folgenden Bedingungen erfüllt sind:

• Der Tenant hat den E-Mail-Kanal tenant-weit eingeschaltet (ab Werk aus).
• Für den Endkunden ist eine E-Mail-Adresse hinterlegt.
• Der Endkunde hat diese Benachrichtigungen nicht abbestellt.
• Der Versand fällt nicht in eine tenant-konfigurierte Ruhezeit (Default 20:00–07:00 Europe/Berlin).

Die Vorlage teilt nur mit, wer zum vereinbarten Termin unterwegs ist und wann. Die Rechtsgrundlage wählt der Tenant als Verantwortlicher; eine gesonderte Einwilligung des Endkunden fragt NexDeck nicht ab. Jede Benachrichtigung enthält einen Link zum Abbestellen (Widerspruch, Art. 21 DSGVO); danach erhält dieser Endkunde keine weiteren. E-Mail-Versand über AWS SES (Stockholm); jeder Versand wird in einem Aktivitätsprotokoll festgehalten. Speicherdauer Email-Metadaten: sechs Jahre als Geschäftsbrief (§ 257 Abs. 1 Nr. 2 und 3 HGB, § 147 Abs. 1 Nr. 2 und 3 AO), acht Jahre, soweit die Nachricht Buchungsbeleg ist (§ 147 Abs. 1 Nr. 4 AO).

2.4b Nachfrage zu Angeboten und E-Mail-Serien im Auftrag unserer Tenants

Tenants können mit NexDeck E-Mail-Serien an ihre eigenen Kontakte versenden. Dabei handeln wir als Auftragsverarbeiter des Tenants (Art. 28 DSGVO); Verantwortlicher für Einsatz, Inhalt und Empfänger ist der Tenant.

• Eine Nachfrage zu einem Angebot: Hat der Tenant sie eingeschaltet, versenden wir je Angebot höchstens eine E-Mail an den Empfänger des Angebots, nie an Dritte — eine sachliche Nachfrage, ob Sie Fragen zu diesem Angebot haben. Sie geht nach der vom Tenant eingestellten Wartezeit (Vorgabe: sieben Tage) nach dem Versand des Angebots hinaus, spätestens zwei Kalendertage vor dem Ende der Bindefrist. Die Angebots-E-Mail kündigt sie an; über den Link darin und in der Nachfrage selbst können Sie ihr jederzeit widersprechen. Die Nachfrage unterbleibt nach Ihrem Widerspruch, nach einer allgemeinen Abmeldung, nach Annahme oder Ablehnung des Angebots und nach Ende der Bindefrist. Verarbeitet werden Name und E-Mail-Adresse, Nummer, Titel und Link des Angebots, der Versandzeitpunkt sowie gegebenenfalls der Zeitpunkt Ihres Widerspruchs; den Widerspruch speichern wir am Angebot, damit keine Nachfrage mehr erfolgt. Beim Klick auf den Widerspruchs-Knopf wird Ihre IP-Adresse nur kurzzeitig verarbeitet, um wiederholte Aufrufe zu begrenzen; am Widerspruch selbst speichern wir weder IP-Adresse noch Browserkennung.
• Mehrteilige Nachfass-Serien und jede weitere Nachfrage: nur an Empfänger, für die beim Tenant eine Werbe-Einwilligung dokumentiert ist.

Rechtsgrundlage: Für Nachfrage und Serien bestimmt sie der Tenant als Verantwortlicher; Angaben dazu finden Sie in seinen Datenschutzhinweisen. Werbliche Serien versenden wir nur an Empfänger, für die beim Tenant eine Einwilligung dokumentiert ist.

2.4c Link-Aufruf bei Angeboten und Rechnungen im Auftrag unserer Tenants

Tenants können Angebote und Rechnungen per E-Mail mit einem persönlichen Link zur Ansicht versenden. Ist die Funktion beim Tenant eingeschaltet (Vorgabe: eingeschaltet), sieht er am Beleg, wann Sie auf der verlinkten Seite zum ersten Mal das PDF des Belegs geöffnet haben („Link aufgerufen am …“). Dabei handeln wir als Auftragsverarbeiter des Tenants (Art. 28 DSGVO); Verantwortlicher ist der Tenant.

• Was erfasst wird: nur Datum und Uhrzeit des ersten Öffnens je Beleg. Wir speichern dazu weder IP-Adresse noch Browserkennung oder Gerät, keine weiteren Aufrufe und keine Verweildauer. Beim Öffnen des PDF und beim Klick auf „Aufruf nicht melden“ wird Ihre IP-Adresse nur kurzzeitig verarbeitet, um wiederholte Aufrufe zu begrenzen.
• Wann ein Aufruf zählt: erst, wenn Sie auf der Seite über den Knopf das PDF des Belegs öffnen. Der Zeitpunkt entsteht dabei auf dem Server als Nebenwirkung dieser Anforderung; die Seite sendet dafür keine eigene Meldung. Das Laden und das Ansehen der Seite, zum Beispiel durch einen Sicherheitsfilter oder eine Linkvorschau, werden nicht gemeldet. Aufrufe durch angemeldete Mitarbeitende des Tenants zählen nicht.
• Hinweis und Widerspruch: Die E-Mail und die Seite weisen darauf hin. Mit dem Knopf „Aufruf nicht melden“ auf der Seite können Sie jederzeit widersprechen: Ein bereits erfasster Zeitpunkt wird gelöscht, und für diesen Beleg wird nichts mehr gemeldet. Gespeichert wird dann nur der Zeitpunkt Ihres Widerspruchs, ohne IP-Adresse oder Browserkennung.
• Abschalten durch den Tenant: Der Tenant kann die Funktion in seinen Einstellungen ausschalten. Dann wird kein neuer Aufruf erfasst, und der Hinweis in E-Mail und auf der Seite entfällt.
• Speicherdauer: Der Zeitpunkt wird gelöscht, sobald der Beleg abgeschlossen ist — beim Angebot nach Annahme, Ablehnung, Ablauf der Bindefrist oder Rücknahme, bei der Rechnung nach Zahlung oder Storno. Das prüft ein täglicher Löschlauf; ausgenommen ist nur die Zeit einer Aufbewahrungssperre des Tenants. Ein Widerspruch bleibt gespeichert, bis der Beleg endgültig abgeschlossen ist, damit auch nach einer Verlängerung der Bindefrist kein Aufruf gemeldet wird. Wird der Beleg gelöscht, entfällt beides mit ihm.

Diese Erfassung ist von der Öffnungs- und Klickmessung in E-Mails (Abschnitte 2.6 und 4.4) getrennt: Sie beruht nicht auf einem Zählpixel oder einer Klickmessung in der E-Mail, sondern allein darauf, dass Sie auf der aufgerufenen Seite das PDF anfordern.

Rechtsgrundlage: Sie bestimmt der Tenant als Verantwortlicher; Angaben dazu finden Sie in seinen Datenschutzhinweisen. Ihr Widerspruch über den Knopf wirkt unabhängig davon. Für Angebote und Rechnungen, die wir selbst verschicken, siehe Abschnitt 2.2b.

2.4d Online-Annahme von Angeboten im Auftrag unserer Tenants

Nimmt ein Kunde eines Tenants ein Angebot über den persönlichen Link an, halten wir dazu im Auftrag des Tenants Angaben fest. Wir handeln als Auftragsverarbeiter (Art. 28 DSGVO); Verantwortlicher ist der Tenant. Unsere eigenen Angebote an Sie beschreibt Abschnitt 2.2c.

• Annahme: Zeitpunkt, IP-Adresse und Browserkennung des verwendeten Geräts, ein Fingerabdruck der angenommenen Positionen und die Fassungen der dabei vorgelegten Texte.
• Erklärungen von Verbrauchern: die Zustimmung, die Unterlagen per E-Mail statt auf Papier zu erhalten (mit der E-Mail-Adresse), und gegebenenfalls das Verlangen, dass die Leistung schon vor Ablauf der Widerrufsfrist beginnt (mit dem geplanten Beginn). Gespeichert werden der angezeigte Wortlaut mit Fassungskennung und Prüfsumme, der Zeitpunkt und bei der ursprünglichen Erklärung IP-Adresse und Browserkennung; wurde die Erklärung auf einem Gerät des Betriebs abgegeben, steht dabei die Kennung der angemeldeten Person des Betriebs. Dazu kommen Nachweise über den Versand von Widerrufsbelehrung, Muster-Widerrufsformular und Auftragsbestätigung (Empfängeradresse, Anlass, Versandweg, Kennung der Nachricht, Versandzeitpunkt sowie das versandte Dokument mit Fassung und Prüfsumme). Wortlaut, Prüfsumme und Zeitpunkt lassen sich nach dem Speichern nicht mehr ändern.
• Vermerk einer Rücknahme: Nimmt der Kunde seine Zustimmung zu den Unterlagen per E-Mail beim Betrieb zurück, kann der Betrieb das in NexDeck vermerken. Gespeichert werden der Zeitpunkt, die vermerkende Person des Betriebs und auf Wunsch eine Notiz von bis zu 500 Zeichen. Danach wertet NexDeck die Zustimmung bei offenen Angeboten nicht mehr als vorliegend (die Annahmeseite fragt erneut). Wortlaut, Prüfsumme und Zeitpunkt der Erklärung bleiben unverändert; an der Zeile wird nur der Vermerk ergänzt.
• Speicherdauer: Wortlaut, Fassung, Prüfsumme und Zeitpunkt bleiben sechs Jahre ab dem Ende des Kalenderjahres, in dem sie gespeichert wurden; gelöscht wird danach nur nach Freigabe des Jahres durch den Tenant und ohne Aufbewahrungssperre. IP-Adresse und Browserkennung, die bei der Annahme oder beim Widerruf am Angebot, an mit dem Angebot angenommenen Anlagen, im Änderungsprotokoll des Angebots und der Anlagen oder bei einer Erklärung gespeichert wurden, entfernt ein täglicher Lauf unabhängig davon nach einer eigenen Frist: Sie endet drei Jahre nach dem Ende des Kalenderjahres, in das der spätere der beiden Zeitpunkte Vertragsschluss und letzte Rechnung zum Angebot, zuzüglich zwölf Monaten und 14 Tagen, fällt (bei einer Zustimmung, auf die sich mehrere Angebote berufen, der späteste dieser Zeitpunkte; wurde die Angabe erst danach gespeichert, zählt ihr eigener Zeitpunkt). Besteht eine Aufbewahrungssperre des Tenants oder ein Legal-Hold, bleiben beide Angaben bis zu deren Ende stehen. In einem bereits erzeugten, unveränderbar abgelegten Nachweisdokument zu einer Anlage bleibt eine dort abgedruckte IP-Adresse bis zum Ende seiner Aufbewahrung stehen.

Rechtsgrundlage: Sie bestimmt der Tenant als Verantwortlicher; Angaben dazu finden Sie in seinen Datenschutzhinweisen. IP-Adresse und Browserkennung werden nur gespeichert, damit nachvollziehbar bleibt, von welchem Gerät aus eine Erklärung abgegeben wurde, und nicht darüber hinaus ausgewertet; die IP-Adresse wird außerdem kurzzeitig verarbeitet, um wiederholte Aufrufe zu begrenzen.

2.5 Marketing, Vertrieb & Demos

Wenn Sie Interesse an unserem Produkt bekunden (z.B. über ein Kontaktformular, Demo-Buchung oder Newsletter-Anmeldung), verarbeiten wir Ihre Kontaktdaten, um Ihnen NexDeck vorzustellen.

• Newsletter / Werbe-Einwilligung: Der Versand werblicher E-Mails erfolgt nur nach Ihrer ausdrücklichen Einwilligung (Double-Opt-In). Eine solche Einwilligung können Sie über das Newsletter-Formular sowie über eine optionale Einwilligungs-Checkbox in unserem Kontakt- bzw. Buchungsformular erteilen; in beiden Fällen erhalten Sie eine Bestätigungs-E-Mail mit Bestätigungslink. Sie können sich jederzeit abmelden.
• CRM-System: Zur Verwaltung unserer Kundenbeziehungen speichern wir Lead-Daten in unserem internen CRM. Eine erteilte Werbe-Einwilligung wird dort dokumentiert (Quelle/Zeitpunkt zur Nachweisbarkeit gem. Art. 7 Abs. 1 DSGVO) und kann jederzeit widerrufen werden.
• Automatisierte Follow-up-/Werbe-Sequenzen: Mehrstufige E-Mail-Serien (z.B. mehrteilige Nachfass-Serien) versenden wir ausschließlich an Empfänger mit dokumentierter Werbe-Einwilligung; ohne Einwilligung erfolgt kein werblicher Versand.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse bei B2B-Kontakten).

Speicherdauer: Wird eine über ein Formular angestoßene Marketing-Anmeldung nicht innerhalb von 30 Tagen per Bestätigungslink bestätigt, löschen wir die unbestätigte Anmeldung samt der dabei erfassten Einwilligungs- Metadaten (E-Mail-Adresse, Zeitstempel, ggf. IP/User-Agent). Bestätigte Einwilligungen und dokumentierte Widerrufe bewahren wir für die Dauer der Nachweis-/Verjährungsfristen auf (Art. 17 Abs. 3 lit. b DSGVO).

2.6 Öffnungs- und Klickmessung in E-Mail-Serien

Mandanten (Tenants) können für ihre E-Mail-Serien optional eine Öffnungs- und Klickmessung einschalten. Sie ist standardmäßig ausgeschaltet. Belege — Rechnungen, Angebote, Mahnungen — werden nie mit Messung versendet.

Gemessen wird nur bei Empfängern, die in die Messung eingewilligt haben: über ein eigenes, nicht vorausgewähltes Kästchen im Anmelde- oder Kontaktformular des Mandanten, getrennt von der Einwilligung in Werbe-E-Mails. Alle anderen Empfänger erhalten dieselbe E-Mail ohne Zählpixel und ohne umgeschriebene Links.

Erhobene Daten

• Zeitpunkt der E-Mail-Öffnung
• Anzahl der Öffnungen
• Geklickte Links in E-Mails (URL, Zeitpunkt)
• IP-Adresse des Empfängers
• User-Agent des E-Mail-Clients

Rechtsgrundlage

Einwilligung des Empfängers (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung wird mit Zeitpunkt, Textfassung und Herkunft gespeichert.

Hinweis und Widerruf

• Für Empfänger: Jede gemessene E-Mail enthält einen Hinweis auf die Messung und einen Link, mit dem Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können. Danach gehen E-Mails an Ihre Adresse ohne Messung raus. Sie können sich dafür auch an den absendenden Mandanten oder an support@nexdeck.de wenden.
• Für Mandanten: Die Messung lässt sich jederzeit unter „Einstellungen → Rechtliches → E-Mail-Tracking“ ausschalten.

Speicherdauer und Auftragsverarbeiter

Speicherdauer: Öffnungs- und Klick-Ereignisse werden nach sechs Monaten gelöscht. Zusätzlich vermerkt NexDeck am Serieneintrag des Empfängers einmal je E-Mail, dass sie geöffnet oder ein Link geklickt wurde (Zeitpunkt, ohne IP-Adresse und User-Agent). Für diesen Vermerk gilt die Frist von sechs Monaten nicht; er bleibt gespeichert, bis die Daten des Mandanten gelöscht werden.
Auftragsverarbeiter: Zählpixel und Klick-Weiterleitung stellt der E-Mail-Versanddienst Amazon Web Services (AWS EMEA SARL, Versand aus der Region Stockholm) im Rahmen der bestehenden Auftragsverarbeitungsvereinbarung (AVV) bereit (siehe Abschnitt 4e.1).

2.7 Kontakt-Synchronisation und Auto-Matching

Bei Verbindung externer Konten (E-Mail, LinkedIn, WhatsApp) werden Kontaktdaten automatisch mit bestehenden Kundendaten abgeglichen:

• E-Mail-Adresse (exakter Abgleich)
• Telefonnummer (normalisierter Abgleich)
• Firmenname (unscharfer Abgleich)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenverwaltung).
Es werden nur bereits im System vorhandene Daten abgeglichen. Es findet keine Anreicherung durch externe Dienste statt.

2.8 Automatisierte Lead-Bewertung (Lead Scoring)

Wir verwenden ein automatisiertes Bewertungssystem für Geschäftskontakte:

• Basisdaten (Vollständigkeit des Profils)
• Engagement (E-Mail-Antworten, Terminvereinbarungen, Angebote)
• Aktualität (Zeitraum seit letztem Kontakt)

Die Bewertung dient der Priorisierung von Vertriebsaktivitäten und hat keine rechtlichen Auswirkungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Vertriebssteuerung).
Ihre Rechte nach Art. 22 DSGVO: Sie können der automatisierten Bewertung jederzeit widersprechen. Kontaktieren Sie uns dafür unter den in Abschnitt 1 genannten Kontaktdaten.
Das Lead Scoring kann pro Mandant in den Einstellungen deaktiviert werden.

2.8a Automatisierte Banking-Reconciliation (Bank-Transaktions-Abgleich)

Sofern Sie einen Kontoauszug (CAMT.053) importiert oder, sobald diese Anbindung im Echtbetrieb verfügbar ist, Ihr Geschäftskonto via Open Banking (finAPI GmbH, BaFin-lizenzierter PSD2-AISP) verbunden haben (siehe Sub-Prozessor-Tabelle weiter unten), führen wir einen automatisierten Abgleich Ihrer eingehenden Bank-Transaktionen mit offenen Rechnungen durch. Der Abgleich nutzt einen Score-basierten Algorithmus (Betragsmatch, Referenz-Erkennung in Buchungstext, Kunden-Name, Datum):

• Score 95–100: Auto-Match — Rechnung wird automatisch als bezahlt markiert (rechtswirksam: Mahnwesen-Worker überspringt diese Rechnung).
• Score 70–94: Vorschlag — wird im Banking-UI als manuelle Match-Empfehlung angezeigt.
• Score < 70: Keine Empfehlung — Transaktion bleibt unmatched.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Sie haben uns mit der automatisierten Rechnungs-Abgleichung beauftragt).
Ihre Rechte nach Art. 22 DSGVO (CJEU Schufa-Urteil 2023-12-07): Da der Auto-Match-Score eine Entscheidung mit Rechtswirkung treibt (Rechnung gilt als bezahlt), greift Art. 22 DSGVO. Sie können daher:

• Auto-Reconciliation komplett deaktivieren: Unter Einstellungen → Banking → "Automatisches Matching deaktivieren". Bank-Transaktionen werden dann ausschließlich als manuell zu bestätigende Vorschläge angezeigt.
• Score-Schwelle erhöhen: Default 95, einstellbar zwischen 70 (mehr Auto-Matches) und 100 (nur perfekte Matches).
• Jeden Auto-Match manuell aufheben ("Match rückgängig"-Button im Banking-UI). Rückgängig-Operationen werden im GoBD-unterstützenden Audit-Log dokumentiert.

Jeder Auto-Match wird in einem Abgleichprotokoll mit Score-Breakdown (Betrag, Referenz, Kunde, Datum), Zeitstempel und Match-Type („auto“ vs „manual“) protokolliert.

2.9 Kunden-Gesamtansicht (Customer 360 View)

Für die effiziente Kundenbetreuung aggregieren wir folgende bereits vorhandene Daten in einer Gesamtansicht:

• Umsatzkennzahlen (Rechnungen, offene Forderungen)
• Projektinformationen und -status
• Kommunikationsverlauf (E-Mails, Anrufe, Nachrichten)
• Angebote und Deals

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Es werden keine externen Datenquellen hinzugezogen.

2.10 Eingangsbelege: Automatische Erkennung & Lieferanten-Zuordnung

Wenn Sie das Feature „E-Mail zu Beleg“ aktivieren, werden eingehende E-Mail-Anhänge (PDF, JPG, PNG) automatisch verarbeitet:

• OCR (KI-basiert): Anhänge werden mit Google Gemini (EU-Multiregion, Auftragsverarbeiter Google Cloud EMEA Limited) analysiert. Extrahierte Daten: Lieferant, Rechnungsnummer, Datum, Betrag, USt.
• Auto-Verknüpfung mit Kunden/Leads: Die Absender-E-Mail-Adresse des Belegs wird mit Ihren bestehenden Kunden- und Lead-Datensätzen abgeglichen (hinterlegte E-Mail-Adressen von Kunden, Ansprechpartnern und Leads). Bei einer Übereinstimmung wird der Beleg automatisch dem entsprechenden Kunden/Lead zugeordnet.
• Confidence-Gate: Auto-Verknüpfung erfolgt nur bei KI-Confidence ≥ 70 %. Bei unsicherer OCR bleibt der Beleg für manuelle Zuordnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Buchhaltung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Buchhaltungs-Software).
Ihre Rechte nach Art. 22 DSGVO: Die Auto-Verknüpfung stellt eine automatisierte Entscheidung dar, hat aber keine Rechtswirkung — die Buchung erfolgt erst durch Ihre manuelle Bestätigung. Sie können:

• Email-zu-Beleg deaktivieren: Unter Einstellungen → Belegerfassung → „Email-Anhang-Erkennung“ deaktivieren.
• Auto-Verknüpfung pro Beleg aufheben: Im Beleg-Review zeigt ein 🤖-Hinweis die KI-Verknüpfung. Per Klick aufheben und manuell ändern.

KI-Act Art. 50 Disclosure: Auto-verknüpfte Belege sind in der UI mit „🤖 KI-verknüpft“ gekennzeichnet. Der OCR-Vorschlag wird in einem Protokoll der Belegerkennung mit AI-Confidence, Modell, Verarbeitungs-Zeit und Sender-Email protokolliert (GoBD-unterstützend).

2.10b Vendor-Auto-Import — Belege von vertrauenswürdigen Absendern

Sie können bei einzelnen Lieferanten in NexDeck eine E-Mail-Whitelist hinterlegen (Einstellungen → Integrationen → Vendor-Auto-Import). Eingehende E-Mails von diesen Absendern werden dann automatisch als Beleg in die Belegerfassung übernommen — ohne dass Sie ein Label manuell vergeben müssen.

• Tier A — Auto-Import: Exakte Absender-Adresse (z.B. rechnung@vodafone.de) + Owner-Opt-In plus erfolgreiche DKIM- und SPF-Authentifizierung durch den Mailserver + PDF-Anhang + Filename-Hinweis (rechnung/invoice/RG-/…). Nur dann wird der Beleg automatisch importiert.
• Tier B — Vorschlag: Domain-Treffer (z.B. vodafone.de) oder ≥ 3 historische Belege vom selben Absender. Beleg landet als „zu prüfen“ im Review, NICHT auto-importiert.
• Anti-Spoofing: Sub-Domains wie vodafone.de.evil.com werden technisch von einem echten Sub-Domain-Treffer wie mail.vodafone.de unterschieden und nicht akzeptiert. Bei DKIM-Fail erfolgt automatisches Downgrade auf Tier B (Review-Pflicht).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Beleg-Verarbeitung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Buchhaltungs-Software). Default ist deaktiviert — Sie müssen pro Lieferant explizit das Opt-In aktivieren.

Art. 22 DSGVO (Automatisierte Entscheidung): Der Import ist eine rein deterministische Regel ohne KI/Profiling. Die eigentliche Verbuchung erfolgt nicht automatisch — jeder Beleg muss von Ihnen vor der Buchung in der DATEV-Übergabe manuell bestätigt werden (GoBD-Pflicht). Sie können die Whitelist jederzeit unter Einstellungen → Integrationen → Vendor-Auto-Import bearbeiten oder das Opt-In für einen Lieferanten widerrufen.

Speicherdauer: Die Whitelist-Einträge (Domain / E-Mail-Adresse / Opt-In-Status) werden so lange gespeichert, wie der Lieferant in Ihrem Account existiert. Bei Vendor-Löschung werden die Whitelist-Felder mitgelöscht. Sender-E-Mail-Adressen auf importierten Belegen unterliegen der GoBD-Aufbewahrungsfrist von acht Jahren (§ 147 Abs. 1 Nr. 4 AO — identisch zu allen anderen Buchungsbelegen; bis zum Vierten Bürokratieentlastungsgesetz zehn).

Automatische Erkennung von Absender-Domains: Zusätzlich zum oben beschriebenen Opt-In-Mechanismus kann ein Owner oder Admin manuell eine automatische Domain-Erkennung auslösen. Dabei werden die Absender-Domains früherer Lieferanten-Mails zu bereits erfassten Eingangsbelegen ausgewertet und erkannte Firmen-Domains beim jeweiligen Lieferanten hinterlegt. Generische E-Mail-Provider (gmail.com, gmx.de, web.de, t-online.de, outlook.com usw. — insgesamt 24 Domains) werden ausgefiltert, um falsche Lieferanten-Zuordnungen zu verhindern. Die Erkennung ist nicht-destruktiv: bereits manuell vom Tenant gepflegte Domains werden nicht überschrieben, sondern nur leere Felder befüllt. Sie kann höchstens einmal pro Stunde und Tenant ausgelöst werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Stammdaten-Pflege). Auslösung, Abschluss und die erkannten Domains werden im Änderungsprotokoll festgehalten (acht Jahre Aufbewahrung gem. § 147 Abs. 1 Nr. 4 AO, § 257 Abs. 1 Nr. 4 HGB).

2.11 Offline-Modus und lokale Datenspeicherung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) in Verbindung mit Art. 32 DSGVO (Sicherheit der Verarbeitung). Details zu den eingesetzten technischen und organisatorischen Maßnahmen finden Sie in unseren Technischen und Organisatorischen Maßnahmen (TOMs).

2.11a Chat: Zustell- und Lesestand (Haken)

Im Projekt- und Objekt-Chat zeigt NexDeck an eigenen Nachrichten Haken: einen, wenn die Nachricht auf dem Server gespeichert ist, zwei, wenn sie bei allen anderen Mitgliedern des Chats angekommen ist, und zwei grüne, wenn alle anderen sie gelesen haben. Dafür speichert NexDeck je Chat und Mitglied zwei Zeitpunkte: wann die App des Mitglieds den Stand des Chats zuletzt abgeholt hat (beim Öffnen der App oder wenn sie wieder in den Vordergrund kommt) und wann das Mitglied den Chat zuletzt gelesen hat. Diese Zeitpunkte sehen nur die Mitglieder desselben Chats, und zwar als Haken bzw. als Angabe „Gelesen von … von …“ an ihren eigenen Nachrichten. Kundinnen und Kunden, die über einen Link schreiben, sind keine Mitglieder und sehen keine Haken.

Jede Person kann in den Einstellungen unter „Chat“ die Lesebestätigungen abschalten. Andere sehen dann bei ihr höchstens, dass eine Nachricht angekommen ist, und sie selbst sieht bei anderen keine grünen Haken. Diese Einstellung kann nur die Person selbst ändern, auch kein Administrator des Betriebs. Die Zeitpunkte bleiben gespeichert, solange die Person Mitglied des Chats ist. NexDeck wertet sie darüber hinaus nicht aus. Ob und wie ein Betrieb Lesebestätigungen im Arbeitsalltag einsetzt, entscheidet der Betrieb.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Chat-Funktion).

3. Einsatz von Künstlicher Intelligenz (KI)

Ein Kernbestandteil von NexDeck sind intelligente Assistenzfunktionen.

3.1 Beleg-Scanner & Dokumentenanalyse (Google Vertex AI / Gemini)

Für den Beleg-Scanner und die automatische Rechnungserfassung nutzen wir Google Cloud Vertex AI mit einem Modell der Reihe Google Gemini Flash (Anbieter: Google Cloud EMEA Limited, Irland).

3.2 Chat-Assistent & Finance BI (Anthropic Claude)

Für den KI-gestützten Chat-Assistenten nutzen wir Claude-Modelle von Anthropic, ausschließlich über folgende EU-Anbieter geleitet:

1. Primär: Google Cloud Vertex AI (EU-Multiregion, Verarbeitung innerhalb der EU)
2. Fallback: AWS Bedrock EU (eu-central-1, Frankfurt/Deutschland)

Kein US-Fallback: Sollten beide EU-Anbieter gleichzeitig ausfallen, wird die Verarbeitung bewusst unterbrochen (DSGVO Hard Fail) — wir routen niemals stillschweigend in die USA. Eine direkte Anbindung an Anthropic findet nicht statt.

3.3 NEX Sales Call Assistant

Bei aktivierter Telefonie nutzen wir optional NEX, einen KI-Sales-Assistenten, für kontextuelle Vorschläge rund um Anrufe (Pre-Call-Briefing, Outcome-Vorschlag, Folge-Aktionen, Datenlückenerkennung, Kampagnen-Insights). Die KI-gestützten Funktionen (Briefing, Outcome-Vorschlag, Folge-Aktionen, Kampagnen-Insights) sind standardmäßig ausgeschaltet und werden von NexDeck je Mandant einzeln freigeschaltet; die Datenlückenerkennung arbeitet ohne KI-Modell und ist standardmäßig eingeschaltet.

• Modelle: Claude Haiku (Briefing, Tags, Follow-up) + Claude Sonnet (Outcome) — alle ueber Vertex AI EU (EU-Multiregion). Bedrock EU (eu-central-1 Frankfurt) als Fallback.
• Datenkategorien: Lead-Stammdaten, Aktivitäts-Snapshots, Call-Notes des Sales-Users, Outcome. KEIN Call-Audio, KEINE Transkripte.
• PII-Pseudonymisierung: Vor jedem LLM-Call werden Namen, E-Mails, Telefonnummern, IBANs serverseitig durch Platzhalter ersetzt und im Modell-Output wieder zurückgesetzt.
• Human-in-the-Loop (KI-Act Art. 14): NEX schreibt nichts autonom — alle Vorschläge erfordern explizite Bestätigung durch den Sales-User.
• Tagesbudget: Pro Tenant gibt es ein konfigurierbares Tageslimit für KI-Kosten (Voreinstellung 5 EUR/Tag). Ist es ausgeschöpft, werden die NEX-Funktionen automatisch gesperrt.
• Audit-Trail: Jeder NEX-Aufruf wird im Aktivitätsprotokoll mit Kennzeichnung als KI-Aufruf und den angefallenen Kosten festgehalten (10 Jahre Aufbewahrung,Verfahrensverzeichnis V-17).

3.4 Sprachein- und -ausgabe (Deepgram / Azure TTS)

Für die Spracheingabe (Speech-to-Text) — Sprachbefehle an den Assistenten und das Diktat in Notizfelder (etwa die Notiz zu einem Einsatz, einer Aufgabe oder einem Kunden) — nutzen wir Deepgram Inc. (USA) ausschließlich über den EU-Endpoint (api.eu.deepgram.com); Audio- und Transkriptdaten werden in AWS Frankfurt verarbeitet und nicht dauerhaft gespeichert. Diktierter Text erscheint im Notizfeld und wird erst mit dem Feld gespeichert. Konto-, Nutzungs- und Abrechnungsdaten des Zugangs sowie administrative Zugriffe des Anbieters können außerhalb des EWR erfolgen. Übermittlung auf Basis der EU-Standardvertragsklauseln.

Für die Sprachausgabe (Text-to-Speech) nutzen wir Microsoft Azure Cognitive Services (Microsoft Ireland Operations Ltd., West Europe / Niederlande). Der Anbieter behält sich vor, bei Kapazitätsengpässen oder Qualitätsverbesserungen gleichwertige alternative TTS-Dienstleister einzusetzen (siehe AGB § 11b und die Liste der Unterauftragsverarbeiter).

Für die Batch-Transkription von Sprachnotizen (asynchron, z.B. nach Upload einer Sprachaufnahme) nutzen wir Microsoft Azure OpenAI Whisper (Sweden Central, EU) — nur, wenn die aufnehmende Person eingewilligt hat; erteilen und widerrufen lässt sich das in der App unter Einstellungen und am Computer unter Mein Profil. Ohne Einwilligung wird nicht transkribiert. Die Audiodatei wird standardmäßig direkt nach der Transkription gelöscht, in jedem Fall spätestens 90 Tage nach der Aufnahme, auch wenn sie nicht transkribiert wurde. Beim Löschen werden alle gespeicherten Fassungen der Datei sofort entfernt; nur eine Datei, die erst die 90-Tage-Regel des Speichers löscht, bleibt dort noch sieben Tage. Das Transkript bleibt an der Sprachnotiz, bis der Betrieb es löscht oder eine von ihm eingestellte Frist abläuft. Transfergrundlage: EU-Datenresidenz + Microsoft Product Terms.

3.4a Sprachgesteuertes Diktat (Aufmaß & Baustellendokumentation)

Tenants können für ihre Mitarbeiter und Monteure ein sprachgesteuertes Diktat aktivieren: Auf der Baustelle wird per Push-to-Talk diktiert und in Text umgewandelt. Es gibt zwei Anwendungsfälle: (a) Voice-Aufmaß — Maße werden als Aufmaß-Position übernommen (z. B. „Wohnzimmer, Wand drei Meter zwanzig hoch“); (b) Dokumentations-Diktat — während einer stummen Doku-Videoaufnahme (Mängel-/Baustellen­dokumentation) wird parallel diktiert und daraus ein strukturierter Bautagebuch-/Dokumentations­ eintrag erzeugt.

Beim Dokumentations-Diktat bleibt das Video ohne Tonspur; der Diktat-Ton läuft als separater, flüchtiger Stream ausschließlich zur Transkription und wird nicht in das Video gemuxt und nicht gespeichert. Der erzeugte Eintrag ist zunächst ein KI-Entwurf und wird vor dem Speichern durch die bedienende Person geprüft und bestätigt (Human-in-the-Loop); er ist als KI-gestützt erzeugt gekennzeichnet (Transparenz nach Art. 50 KI-VO).

Keine Audio-Speicherung, kein Stimmprofil. Das Audiosignal wird ausschließlich flüchtig im Arbeitsspeicher verarbeitet und sofort in Text umgewandelt (On-the-fly-Transkription). Es wird keine Audiodatei gespeichert, kein Stimmprofil (Voiceprint) erstellt, keine Sprecher-Identifikation und keine Sprecher-Trennung (Diarization) durchgeführt. Gespeichert wird ausschließlich das erzeugte Transkript als Teil Ihres Aufmaß-, Projekt- bzw. Bautagebuch-Datensatzes. Vor der Speicherung prüfen und bestätigen Sie das Ergebnis: beim Voice-Aufmaß per akustischer Rückbestätigung (Text-to-Speech-Readback), beim Dokumentations-Diktat per sichtbarer Bearbeiter-Bestätigung des erkannten Eintrags (Human-in-the-Loop).

Die Sprache-zu-Text-Umwandlung erfolgt durch Deepgram Inc. (USA) ausschließlich über den EU-Endpoint (api.eu.deepgram.com); die Verarbeitung der Audio- und Transkriptdaten findet in AWS Frankfurt statt; für diese Daten gilt Zero Data Retention — sie werden nicht dauerhaft gespeichert und nicht zur Modell-Verbesserung genutzt. Konto-, Nutzungs- und Abrechnungsdaten des Zugangs sowie administrative Zugriffe des Anbieters können außerhalb des EWR erfolgen; hierfür gelten die EU-Standardvertragsklauseln (Modul 3) aus dem Auftragsverarbeitungsvertrag vom 03.09.2026. Die akustische Rückbestätigung erfolgt über Microsoft Azure Cognitive Services (Microsoft Ireland Operations Ltd., West Europe / Niederlande, EU). Beide werden im Rahmen der bestehenden Auftragsverarbeitung eingesetzt (siehe die Liste der Unterauftragsverarbeiter).

Soweit das Aufmaß durch Mitarbeiter eines Tenants erfolgt, verarbeitet der Tenant als Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses bzw. des Kundenauftrags), hilfsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter, fehlerarmer Maßerfassung). § 26 BDSG wird hierfür nicht herangezogen. Eine automatisierte Entscheidung mit Rechtswirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die mikrofonseitige Geräte-Freigabe ist eine technische Berechtigung Ihres Endgeräts und keine datenschutzrechtliche Einwilligung.

3.5 Google Cloud Dienste (Document AI + Cloud Run)

Neben Vertex AI (siehe 3.1, 3.2) nutzen wir weitere Google-Cloud-Services auf Basis desselben Google-Cloud-DPA:

• Google Document AI (EU-Region, europe-west3 Frankfurt) — Layout-Parser für die automatische Erkennung von Belegen und Rechnungen (OCR, Struktur-Erkennung).
• Google Cloud Run (EU-Region) — gehosteter XSD-Validator für die Prüfung von E-Rechnungen (ZUGFeRD 2.2 / XRechnung). Daten bleiben während der Validierung in der EU.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) + Google Cloud DPA + EU-Datenresidenz.

Rechtsgrundlage (Sprachfunktionen, siehe 3.4 / 3.4a):Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), hilfsweise lit. f DSGVO (berechtigtes Interesse). Die Freigabe des Mikrofons durch Ihr Endgerät ist eine technische Geräte-Berechtigung und keine datenschutzrechtliche Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO.

3.6 Projekt-Medien (Fotos, Videos, Dateien): Speicherung & Löschung

Projektbezogene Medien werden ausschließlich auf EU-Servern gespeichert (AWS S3, Region Frankfurt; Zugriff nur nach server-seitiger Rechteprüfung über einen mandanten-/sitzungsgebundenen Proxy bzw. kurzlebige signierte Links). Zur Wahrung der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gilt eine zweck­abhängige Aufbewahrung: reine Koordinations-/Beifang-Medien werden nach Projektabschluss und einer Karenz (Standard 12 Monate, mandanten­seitig konfigurierbar) automatisch gelöscht; als Leistungs- oder Mängelnachweis markierte Medien werden mit Blick auf Gewährleistungs-/Rechtsansprüche länger aufbewahrt (i.d.R. bis zu 5 Jahre, Art. 17 Abs. 3 lit. e DSGVO); Medien mit steuerlich-/handelsrechtlichem Belegcharakter unterliegen den gesetzlichen Fristen (acht Jahre nach § 147 Abs. 1 Nr. 4 AO). Die Löschung erfolgt zweistufig (Sperrung, dann endgültige Entfernung aus dem Speicher); eine sinnvolle Anonymisierung von Bild-/Videoinhalten ist technisch nicht möglich, daher wird gelöscht. Bei einem laufenden Streit-/Gewährleistungs-/Mahnfall kann der Verantwortliche für ein Projekt einen Beweissicherungs-Hinweis (Legal Hold)setzen, der die automatische Löschung der betroffenen Medien aussetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Ton in Medien & Sprachfunktionen: Der in der App integrierte Video-Recorder nimmt bewusst keinen Ton auf (stumme Bild-Dokumentation). Sprachfunktionen dienen ausschließlich der Diktat-/Protokoll-Erfassung (Spracherkennung zu Text in Berichte/Bautagebuch), nicht der Aufzeichnung von Gesprächen. Vom Betrieb selbst aufgenommene oder hochgeladene Medien (z.B. über die Geräte-Kamera oder die Galerie) können vom Betrieb eingebrachten Ton enthalten; für die rechtmäßige Erhebung solcher Aufnahmen — insbesondere eine etwaige Einwilligung aufgenommener Dritter (§ 201 StGB, Art. 6 DSGVO) — ist der nutzende Betrieb als Verantwortlicher zuständig. Wir stellen die Werkzeuge als Auftragsverarbeiter bereit und begünstigen keine heimlichen Tonaufnahmen.

3a. EU-KI-Verordnung (AI Act) — Transparenz und Risikoklassifizierung

NexDeck unterliegt als Anbieter KI-gestützter Funktionen der EU-Verordnung über Künstliche Intelligenz (Verordnung (EU) 2024/1689, „AI Act“). Wir setzen die Anforderungen wie folgt um:

Einordnung nach der KI-Verordnung

Die KI-Funktionen von NexDeck (Chat-Assistent, Beleg-Scanner, Smart Drafts, Sprachassistent) sind nach unserer Einschätzung keine Hochrisiko-KI-Systeme im Sinne von Art. 6 und Anhang III der KI-Verordnung; für sie gelten die Transparenzpflichten nach Art. 50. Gründe unserer Einschätzung:

• Keine biometrische Identifikation oder Kategorisierung
• Keine kritische Infrastruktur-Steuerung
• Keine Kreditwürdigkeitsprüfung oder Scoring
• Keine Strafverfolgung oder Migrationskontrolle
• Assistenzfunktionen ohne eigenständige Entscheidungsbefugnis („Human in the Loop“)
• Alle KI-generierten Inhalte sind Vorschläge, die vom Nutzer geprüft werden müssen

Transparenzpflichten (Art. 50 AI Act)

Eingesetzte KI-Systeme und Zweck

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f (berechtigtes Interesse an Produktverbesserung). Die oben beschriebene Kennzeichnung bezieht sich auf die Transparenzpflichten nach Art. 50 der EU-KI-Verordnung (Verordnung (EU) 2024/1689), die ab dem 02.08.2026 gelten.

4. Infrastruktur & Weitergabe an Dritte

Wir hosten unsere Systeme nicht auf eigenen Servern, sondern nutzen spezialisierte Cloud-Infrastruktur. Mit allen Anbietern haben wir Verträge zur Auftragsverarbeitung (AVV gemäß Art. 28 DSGVO) geschlossen.

Sofern Daten an Anbieter in den USA übermittelt werden, erfolgt dies auf Grundlage des EU-U.S. Data Privacy Frameworks (DPF) oder Standardvertragsklauseln (SCC).

4.1 Optionale Kunden-Integrationen (kein Unterauftragnehmer)

Folgende Dienste können Sie optional mit NexDeck verbinden. Hierbei verwenden Sie Ihre eigenen Zugangsdaten und schließen den Vertrag direkt mit dem jeweiligen Anbieter. NexDeck fungiert dabei lediglich als technische Schnittstelle, nicht als Auftragsverarbeiter:

• Sipgate: VoIP-Telefonie-Integration (sipgate GmbH, Düsseldorf)
• Weitere Buchhaltungs-Integrationen (z.B. DATEV-Export) können durch den Nutzer optional aktiviert werden. Eine aktuelle Liste verfügbarer Integrationen finden Sie in Ihrem Admin-Bereich unter „Integrationen“.

API-Schlüssel und Tokens werden verschlüsselt in Ihrer Mandanten-Instanz gespeichert und bei Trennung der Verbindung vollständig gelöscht.

4.2 Telefonie-Integration (optional, nur bei aktivierter Sipgate-Anbindung)

Wenn ein Tenant die Sipgate-Integration aktiviert, verarbeitet NexDeck folgende Metadaten eingehender und ausgehender Telefonate:

• Eingehende und ausgehende Rufnummer
• Zeitstempel (Start, Antwort, Ende)
• Gesprächsdauer
• Zuordnung zu Lead, Kunde oder Projekt (sofern die Nummer bekannt ist)
• Verantwortlicher Nutzer (Bearbeiter des Gesprächs)

Keine Gesprächsaufzeichnung: Inhalte von Telefongesprächen werden nicht aufgezeichnet oder transkribiert. Die Audio- Verarbeitung verbleibt vollständig bei Sipgate; NexDeck empfängt ausschließlich Webhook-Metadaten über die Sipgate Push-API.

Widerspruchsrecht (Art. 21 DSGVO): Betroffene können bei dem jeweiligen Tenant (Verantwortlicher) jederzeit schriftlich der Verarbeitung widersprechen.

4.3 E-Mail-Archivierung (BCC, gesetzliche Pflicht)

Versendete Rechnungen, Angebote, Mahnungen und geschäftsrelevante E-Mails werden als BCC-Kopie in das interne E-Mail-Postfach des Tenants archiviert. Dies ist eine gesetzliche Aufbewahrungspflicht und keine Opt-in-Funktion.

4e.1 Transaktionaler E-Mail-Versand

Optional kann der Tenant eine eigene Absende-Domain bestätigen und E-Mails unter seiner Geschäftsadresse versenden (z. B. info@meine-firma.de). Versand erfolgt über AWS Simple Email Service (SES) in der Region Stockholm (eu-north-1). Bounces, Complaints und Versand-Events werden erfasst und für die Überwachung der Zustellbarkeit sowie als Versandnachweis ausgewertet.

Datenarten: Versand-Metadaten (Absender, Empfänger, Betreff, Header), Versand-Events (Send/Delivery/Bounce/Complaint/Reject), Diagnostic-Codes bei Bounces (gekürzt auf 200 Zeichen, keine vollständigen Mailserver-Antworten), unterdrückte Empfänger-Adressen in einer Suppression-Liste. Das Versandprotokoll für Geschäftsdokumente hält Empfänger, Betreff, Dokument, Namen der Anhänge und Versandstatus fest, nicht den Text der E-Mail; zur Archivkopie versendeter Geschäftsdokumente siehe 4.3.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bei Versand von Rechnungen/Angeboten/Mahnungen); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse bei Zustellbarkeits-Monitoring + Bounce-Hygiene zur Sicherung der E-Mail-Reputation).

Open-/Click-Tracking ist standardmäßig deaktiviert. Der Mandant kann sie für E-Mail-Serien einschalten; gemessen wird dann nur bei Empfängern, die in die Messung eingewilligt haben. Belege werden nie gemessen (siehe Abschnitt 2.6).

Aufbewahrung: Zustellereignisse (Versand, Zustellung, Bounce, Beschwerde, Ablehnung) sechs Jahre als Nachweis zum Geschäftsbrief; ihre Rohdaten werden nach sechs Monaten auf die Zustellangaben gekürzt. Öffnungs- und Klick-Ereignisse werden nach sechs Monaten gelöscht. Das Versandprotokoll für Geschäftsdokumente wird sechs Jahre aufbewahrt, gerechnet ab dem Schluss des Kalenderjahres des Versands (§ 257 Abs. 4 und 5 HGB). Danach wird es nur gelöscht, wenn der Inhaber des Mandanten das Jahr ausdrücklich zur Löschung freigegeben hat und keine Aufbewahrungssperre besteht; bis dahin lässt die Datenbank keine Löschung zu. Ohne diese Freigabe wird nichts automatisch gelöscht. Audit-Log siehe Abschnitt 4d; Suppression-Einträge bis manuelle Owner-Freigabe oder Tenant-Löschanfrage.

Sub-Prozessor: AWS EMEA SARL (Amazon Web Services), Standort Stockholm. Standardvertragsklauseln (SCC 2021) für etwaige Drittland-Übermittlungen. AWS unterliegt dem US CLOUD Act — Details und Transfer Impact Assessment in unseren AVV-Anlagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. HGB § 257 / AO § 147 (Aufbewahrungspflicht für Geschäftsbriefe sechs Jahre, für Rechnungen und Buchungsbelege acht Jahre gemäß § 147 Abs. 1 Nr. 4 AO).

Keine Öffnungs-/Klickmessung standardmäßig: E-Mails werden ohne Zählpixel und ohne umgeschriebene Links versendet. Eine optionale Messung für E-Mail-Serien, nur mit Einwilligung des Empfängers, beschreibt Abschnitt 4.4.

4e.2 Gemeinsamer Kommunikationsverlauf

Versendete E-Mails und ausgelöste Versand-Events (Send/Delivery/ Bounce/Complaint/Reject) werden je Lead, Kunde, Projekt, Rechnung und Angebot in einem chronologisch sortierten Verlauf sichtbar gemacht. Dies bündelt drei bereits vorhandene Quellen (Verlaufs­einträge, Versand-Events und das Versandprotokoll für Geschäftsdokumente) in einer einzigen Lese-Ansicht — es entstehen keine neuen personenbezogenen Datenarten, lediglich eine User-Interface-Sichtbarkeit auf existierende Audit-Daten.

Öffnungen und Klicks: Rechnungen und Angebote werden nie mit Messung versendet; an ihnen erscheinen keine Öffnungs- oder Klick-Daten. Öffnungs- und Klick-Ereignisse entstehen nur bei Serien-E-Mails mit Messung (nur mit Einwilligung des Empfängers, Abschnitt 4.4).

Hinweis auf Zustellfehler: Wenn eine E-Mail nicht zugestellt werden kann, wird im Verlauf des betroffenen Datensatzes ein entsprechender Eintrag angelegt, sodass Owner und Team sofort sehen, dass eine an den Kunden gesendete E-Mail nicht zugestellt werden konnte. Die Zustellereignisse und das Versandprotokoll, aus denen der Verlauf gespeist wird, werden mindestens sechs Jahre aufbewahrt (siehe 4e.1).

Mandantentrennung: Der Verlauf ist strikt nach Tenants getrennt; die Datenbank lässt keinen Zugriff auf Einträge anderer Tenants zu. Die Sichtbarkeit ist zusätzlich nach dem Rollen- und Berechtigungsmodell eingeschränkt.

E-Mails aus persönlich verbundenen Postfächern: Hat eine Person ihr Postfach (etwa Gmail oder Outlook) mit NexDeck verbunden, sieht sie selbst alle ihre E-Mails. Kolleginnen und Kollegen in Büro-Rollen (Inhaber, Administration, Leitung, Disposition, Backoffice, Buchhaltung) sehen davon nur E-Mails, die einem Kunden, Interessenten oder Projekt zugeordnet sind — und nur, wenn sie diesen Datensatz selbst sehen dürfen. Nicht zugeordnete E-Mails bleiben bei der Person. Sie kann einzelne Verläufe als privat markieren und, sofern der Betrieb das nicht für alle festgelegt hat, das Teilen für ihr Postfach ganz abschalten. Der Betrieb legt die Vorgabe für neue Postfächer fest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Nachvollziehbarkeit der Geschäfts- Korrespondenz) sowie Art. 32 Abs. 1 lit. d DSGVO (Nachweisbarkeit als TOM).

4e.3 Gemeinsames Team-Postfach

Optional kann ein Tenant ein bestehendes E-Mail-Postfach (z. B. info@meine-firma.de) via OAuth oder App-Passwort über den Subprozessor Unipile (Frankreich) anbinden. Mehrere vom Tenant autorisierte Nutzer können dann eingehende Mails gemeinsam lesen, Antworten verfassen, Zuweisungen vornehmen und Statusänderungen durchführen.

Datenarten: E-Mail-Inhalte (Subject, Plain-Text- und HTML-Body), Header (From/To/CC/Reply-To/Message-ID), Anhänge mit Metadaten (Dateiname, Dateityp, Größe — siehe unten), Zustelldaten, Thread-Status, Zuweisungen, Lese-/Antwort-/Statusänderungs-Audits.

NexDeck protokolliert jeden lesenden, antwortenden und administrativen Zugriff auf das Team-Postfach in einem nachvollziehbaren Audit-Log mit 10 Jahren Aufbewahrung (Art. 32 Abs. 1 lit. d DSGVO „Nachweisbarkeit“, § 257 HGB).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Tenants an Team-basierter Geschäftskommunikation) sowie Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen NexDeck und Tenant (AVV Modul A). Sub-Verarbeitung durch Unipile (siehe Subprozessor-Liste). Bei vom Tenant gewähltem US-Provider (Google Workspace, Microsoft 365) liegt die Drittland-Bewertung beim Tenant.

Tenant-Verantwortung: Der jeweilige Tenant regelt die interne Berechtigungsvergabe, dokumentiert Beschäftigten-Informationspflichten (Art. 13 DSGVO i.V.m. § 26 BDSG), prüft Betriebsrat-Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG) und nimmt seine Endkunden in einer eigenen Datenschutzerklärung mit, dass eingehende E-Mails über das NexDeck-Team-Postfach laufen.

Aufbewahrung: Mail-Bodies und Anhänge als Geschäftsbriefe sechs Jahre (§ 257 Abs. 1 Nr. 2 und 3 HGB), als Buchungsbeleg oder Rechnung acht Jahre (§ 147 Abs. 1 Nr. 4 AO, § 14b Abs. 1 UStG). Audit-Log-Einträge 10 Jahre. Löschen und Pseudonymisieren: Einzelne Nachrichten können als gelöscht markiert werden; dabei wird der Inhalt entfernt, ein Löschvermerk bleibt für die Nachweisfrist (10 Jahre) erhalten. Eine vollständige Pseudonymisierung nach Art. 17 DSGVO ist auf Antrag über den Support möglich. Eine Aufbewahrungssperre (Legal Hold) blockiert jede Löschung bei rechtlicher Aufbewahrungspflicht. Mails, die auf GoBD-relevante Inhalte hindeuten (PDF-Anhänge, Absender wie Rechnung/Mahnung), werden automatisch vor versehentlicher Löschung geschützt.

Verschlüsselte Speicherung: Nachrichtentexte im Team-Postfach werden in der EU-Datenbank nur mit AES-256-GCM verschlüsselt abgelegt, auf allen Wegen, auf denen NexDeck sie speichert: beim automatischen und beim manuellen Abruf aus einem verbundenen Postfach, beim Senden, Beantworten und Verfassen, bei Entwürfen und bei automatisierten Nachrichten. Steht die Verschlüsselung nicht zur Verfügung, wird kein Text unverschlüsselt gespeichert: der Abruf unterbleibt, und eine dennoch versendete Nachricht erscheint ohne Text im Verlauf. Nachrichten aus Messenger-Chats (etwa WhatsApp oder LinkedIn) werden derzeit nicht gesondert verschlüsselt gespeichert. Interne Notizen und Antwort-Vorlagen werden ebenfalls nur verschlüsselt gespeichert. Ältere Bestände, die noch unverschlüsselt vorliegen (auch Antwort-Vorlagen), verschlüsselt ein nächtlicher Lauf schrittweise nach. Ist eine Nachricht einem Kunden zugeordnet, wird zusätzlich eine kurze Vorschau (bis zu 200 Zeichen) im Verlauf des Kunden gespeichert; diese Vorschau ist nicht gesondert verschlüsselt. Für die Anzeige in Übersichten, in der Suche und im Sprachassistenten wird der verschlüsselte Text auf dem Server nur für die angezeigten Nachrichten entschlüsselt und auf eine kurze Vorschau gekürzt; diese Vorschauen werden nicht gesondert gespeichert. Da verschlüsselte Texte nicht durchsucht werden können, sucht die Suche bei E-Mails in Betreff und Absender, nicht im Nachrichtentext. Die E-Mail-Suche umfasst nur die Postfächer, die die suchende Person lesen darf: die eigenen, die ihr ausdrücklich zum Lesen freigegebenen und, für Inhaber und Administration, die Team-Postfächer des Betriebs. Persönliche Geschäfts-Postfächer (Abschnitt 4e.3a) findet in der Suche nur die zugeordnete Person oder wer eine Lesefreigabe hat. Als gelöscht markierte E-Mails werden nicht gefunden. Die Übertragung ist in allen Fällen mit TLS 1.2 oder höher verschlüsselt.

Teamarbeit an einer Konversation:

• Interne Notizen: Mitarbeitende mit Lese-Zugriff können team-interne Notizen an einer Konversation hinterlassen. Diese sind ausschließlich teamintern sichtbar; die Datenbank verhindert, dass sie nach außen versendet werden. Notizen werden verschlüsselt (AES-256-GCM) gespeichert. Das Protokoll hält Verfasser, Konversation und Länge der Notiz fest (nicht ihren Inhalt).
• CRM-Auto-Verknüpfung: Eingehende Mails werden automatisch mit existierenden Lead-, Projekt- oder Client- Datensätzen verknüpft, sofern die Absender-Adresse exakt einer hinterlegten Kontakt-E-Mail entspricht. Diese Verknüpfung ist eine technische Hilfsfunktion ohne Rechtswirkung im Sinne von Art. 22 DSGVO — Owner können sie jederzeit manuell ändern. Reihenfolge des Matchings: Lead → Projekt → Kunde → Lieferant (Lieferanten werden über ihre hinterlegten Domains und E-Mail-Adressen erkannt; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an effizienter Belegerfassung, sowie lit. c i.V.m. § 147 AO/§ 257 HGB).
• Quick-Actions: Auf Basis der verknüpften Entity werden in der Konversation passende Aktionen angeboten — bei Kunden z. B. „Rechnung erstellen“, „Termin anlegen“; bei Lieferanten „Belegerfassung öffnen (Lieferant vorausgewählt)“. Diese öffnen lediglich die jeweilige Editor-Seite — kein automatischer Versand und keine automatische Speicherung finden statt.

Team-Kollaboration und Statistik:

• Presence-Tracking (Kollisions-Warnung): Wenn Mitarbeitende gleichzeitig dieselbe Konversation öffnen, zeigt die Oberfläche das mit einem farbigen Ring am Profilbild an (gelb = liest mit, rot = schreibt gerade eine Antwort). Erfasst werden ausschließlich kurzlebige Angaben (Nutzer, Konversation, Schreibhinweis, letztes Lebenszeichen), die nach höchstens 5 Minuten automatisch gelöscht werden. Es findet keine forensische Auswertung dieser Daten statt und kein Audit-Log-Eintrag bei reinem View-only-Verhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Vermeidung doppelter Antworten).
• Anhang-Download: Beim Herunterladen eines Mail-Anhangs wird ein Protokolleintrag mit Nutzer, Konversation, Anhang, Größe, Dateityp und einer gekürzten Prüfsumme des Dateinamens (SHA-256-Hashwert, nicht der Dateiname selbst) geschrieben — Aufbewahrung 10 Jahre (Art. 32 Abs. 1 lit. d DSGVO). Bei Anhängen aus einem verbundenen Postfach erfolgt die Übertragung über Unipile (Streaming-Durchleitung, kein dauerhafter Speicher beim Subprozessor). Bei über NexDeck empfangenenE-Mails (siehe 4e.3a) liegt die Roh-E-Mail inkl. Anhänge in einem Speicher bei AWS S3 (Stockholm, EU/EWR); der Anhang wird beim Download daraus nachgeladen und gestreamt — es entsteht keine zusätzliche dauerhafte Anhang-Kopie außerhalb dieses Speichers.
• Antwort-Vorlagen (Saved Replies): Tenants können textuelle Antwort-Vorlagen anlegen (Owner/Admin pflegen). Diese sind Tenant-eigene Inhalte, gelten nicht als Drittpersonen-Korrespondenz, werden verschlüsselt (AES-256-GCM; zu älteren Vorlagen siehe oben „Verschlüsselte Speicherung“) in der EU-Datenbank gespeichert und sind ausschließlich teamintern sichtbar. Tenant ist Verantwortlicher für den Inhalt der Vorlagen. Manuelle Löschung jederzeit möglich, kein Auto-Delete.
• Manuelle Verknüpfung: Nutzer mit Zuweisungs-Berechtigung können Konversationen manuell mit einem Lead, Kunden oder Projekt verknüpfen. Die Aktion wird protokolliert (10 Jahre Aufbewahrung).
• KPI-Aggregat (Team-Übersicht): Die Inbox-Statistik zeigt aggregierte Werte über das Team (offene Konversationen, in 7 Tagen erledigte Konversationen, Eingangsmenge, Median der Antwortzeit der letzten 30 Tage). Der Median wird nur berechnet, wenn mindestens drei verschiedene Personen im Zeitraum geantwortet haben — andernfalls wird der Wert nicht angezeigt. Diese Hürde stellt sicher, dass keine individuelle Leistungs- oder Verhaltenskontrolle einzelner Mitarbeitender möglich ist (§ 87 Abs. 1 Nr. 6 BetrVG, Art. 88 DSGVO i.V.m. § 26 BDSG). Es handelt sich nicht um eine automatisierte Einzelfallentscheidung im Sinne von Art. 22 DSGVO.

Lebenszyklus und Datenminimierung:

• Löschen einzelner Nachrichten: Nutzer mit entsprechender Berechtigung können einzelne Nachrichten als gelöscht markieren. Der Inhalt (auch in verschlüsselter Form) wird dabei unwiderruflich entfernt. Ein Löschvermerk bleibt für die Nachweisfrist (10 Jahre) erhalten — mit Nutzer, Zeitpunkt und optionalem Lösch-Grund (max. 256 Zeichen).
• Automatische Löschung ohne Geschäftsbezug: E-Mails und Messenger-Nachrichten, die weder jetzt noch früher einem Kunden oder Projekt zugeordnet waren und nicht unter Legal Hold stehen, löscht NexDeck zwölf Monate nach dem Eingang bzw. Versand; einen Chat ohne solche Zuordnung zwölf Monate nach seiner letzten Nachricht. Die Angaben zu einem getrennten Postfach entfernt der Lauf 30 Tage nach der Trennung, wenn daran keine zugeordnete oder gesperrte Nachricht mehr hängt. Der Lauf erfolgt monatlich für alle Mandanten; eine offene Aufbewahrungssperre des Mandanten hält ihn an. Gelöscht wird die Kopie in NexDeck; im Postfach beim E-Mail-Anbieter bleibt die Nachricht erhalten. Ob und wann die im Originalformat abgelegte Datei weitergeleiteter E-Mails (siehe 4e.3a) dabei aus dem Speicher bei AWS S3 entfernt wird, sagen wir hier nicht zu. Eine automatische Archivierung oder Pseudonymisierung nach Zeitablauf findet darüber hinaus nicht statt.
• Komplett-Löschung nach Art. 17 DSGVO: Bei einem Auskunfts- oder Lösch-Antrag eines Endkunden kann der Tenant über den Support eine vollständige Pseudonymisierung des Löschvermerks beantragen (Absender, Empfänger und Betreff werden durch einen Löschhinweis ersetzt), sofern keine GoBD-/HGB- Aufbewahrungspflicht entgegensteht. Der Vorgang wird protokolliert.
• Platzhalter in Antwort-Vorlagen: Platzhalter (z. B. für den Kundennamen) werden im Browser des Nutzers vor dem Versand mit den konkreten Werten gefüllt. Der fertige Text wird erst beim Versand vom Server an AWS SES übergeben — NexDeck-Server sehen nur den bereits ausgefüllten Text.
• Legal Hold: Owner/Admin können einzelne Nachrichten unter Legal Hold stellen — blockt jede Lösch-/ Pseudonymisierungs-Aktion (für Beweis-/Compliance-Zwecke). Audit-Event protokolliert wer wann setzt/löst.
• Klassifikation eingehender Mails (5 Buckets): Eingehende E-Mails werden automatisch in eine von fünf Klassen einsortiert: echte Kundennachricht, Auto-Antwort, Zustellfehler, Mailing-Liste oder unbekannt. Die Voreinstellung „nur Kunden-Mails“ blendet Auto/Bounce/Listen aus — keine forensische Auswertung der Klassifikation, nur Workflow-Hilfe.
• Benachrichtigung bei interner Notiz: Wenn ein Team-Mitglied eine interne Notiz an eine Konversation hinterlegt, erhalten andere Team-Mitglieder mit Lese-Zugriff auf das Postfach (sowie die Person, die das Postfach angebunden hat, und die zugewiesene bearbeitende Person) eine Benachrichtigung mit Hinweis auf die Konversation. Der Notiz-Inhalt und auch die Notiz-Länge werden NICHT in die Benachrichtigung übernommen. Sie enthält die Kennung der verfassenden Person (für Rückfragen und Nachweis). Je Notiz werden höchstens 25 Personen benachrichtigt.

4e.3a Persönliche Geschäfts-Postfächer, Alias-Adressen & Versand über NexDeck

Persönliches Geschäfts-Postfach: Ein Postfach kann als „persönlich“ eingerichtet werden. Dann sehen die eingehenden Mails nur der zugeordnete Mitarbeiter sowie Personen, denen Owner oder Admin ausdrücklich eine Lesefreigabe erteilt haben. Owner und Admin selbst sehen ein persönliches Postfach nicht automatisch mit; sie können sich eine solche Freigabe erteilen, und jede Freigabe wird protokolliert (betriebliche Aufsicht). „Persönlich“ bedeutet geschäftlich zugeordnet, nicht privat: Es handelt sich um dienstliche Kommunikation, auf die der Verantwortliche (Tenant) im Rahmen seiner Organisations- und Aufsichtspflichten über eine solche Freigabe zugreifen kann. Der Tenant ist dafür verantwortlich, den betroffenen Mitarbeiter hierüber zu informieren (berechtigtes Interesse Art. 6 Abs. 1 lit. f DSGVO; Beschäftigtendatenschutz § 26 BDSG i.V.m. Art. 88 DSGVO) und — sofern vorhanden — die Mitbestimmung des Betriebsrats zu beachten (§ 87 Abs. 1 Nr. 6 BetrVG). Jeder lesende und administrative Zugriff wird wie beim Team-Postfach nachvollziehbar protokolliert (10 Jahre, Art. 32 DSGVO).

Alias-Adressen & Antwort als Alias: Einem Postfach können mehrere Adressen zugeordnet sein (z. B. info@… und vertrieb@…). Eingehende Mails an einen Alias werden automatisch erkannt; beim Antworten kann die Absende-Adresse gewählt werden — standardmäßig die Adresse, an die der Empfänger ursprünglich geschrieben hat. Es werden dieselben Datenarten wie in 4e.3 verarbeitet (insb. Header From/Reply-To). Serverseitig wird erzwungen, dass ausschließlich ein aktiver Alias des jeweiligen Postfachs als Absender verwendet wird (Schutz gegen Absender-Fälschung); der tatsächlich verwendete Absender wird im Versand-Nachweis archiviert.

Versand & Empfang über NexDeck (AWS SES): Alternativ zum Anbieter-Postfach (Gmail/Outlook via Unipile) kann der Versand über NexDeck mittels AWS SES (Stockholm) mit einer vom Tenant verifizierten Absende-Domain erfolgen. Eingehende Mails können zusätzlich per Weiterleitung an eine eigene NexDeck-Empfangsadresse des Tenants in das Postfach geleitet werden; die darin enthaltene Zufallskennung dient ausschließlich der Mandanten-Trennung. Subprozessor ist AWS (Amazon Web Services EMEA SARL, siehe Subprozessor-Liste), Auftragsverarbeitung gemäß Art. 28 DSGVO. Eingehende E-Mails werden von AWS SES (Stockholm) entgegengenommen; die vollständige E-Mail im Originalformat inkl. aller Anhänge wird dabei in einem Speicher bei AWS S3 (Stockholm, EU/EWR) abgelegt und dient als Quelle für die spätere Anzeige/den Anhang-Download. Der Mail-Inhalt wird zusätzlich verschlüsselt in der NexDeck-Datenbank gespeichert (zur Verschlüsselung insgesamt siehe 4e.3). Die Übertragung erfolgt TLS-verschlüsselt. Speicherdauer: mit dem zugehörigen Vorgang bzw. nach den gesetzlichen Aufbewahrungsfristen (§ 257 HGB / § 147 AO) für geschäftliche Korrespondenz. Rechtsgrundlage wie 4e.3 (Art. 6 Abs. 1 lit. b/f DSGVO, Auftragsverarbeitung Art. 28 DSGVO).

4e.5 Online-Meeting-Links (Google Meet / Microsoft Teams / Zoom)

Beim Erstellen eines Online-Meetings aus einem NexDeck- Termin heraus (Google Meet, Microsoft Teams, Zoom) wird der Meeting-Link vom jeweiligen Drittanbieter erzeugt und an NexDeck zurückgespielt. Dieser Link kann persönliche Zugangsangaben (Konferenz-Kennung, Kenncode, Verweis auf den Organisator) enthalten. NexDeck speichert den Link am Termin-Datensatz, damit sie im Kalender und in Einladungs-Mails verfügbar ist.

Drittanbieter-Verantwortung: Der jeweilige Meeting- Provider ist eigener Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO für die Verarbeitung während des Meetings (Audio, Video, Chat, ggf. Aufzeichnung). Die Drittland-Bewertung (Google LLC, Microsoft Corp., Zoom Video Communications) liegt beim Tenant; SCCs/Adequacy-Frameworks müssen vom Tenant beim Provider-Account selbst geschlossen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Termin-Links als Kernfunktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an reibungsloser Geschäftskommunikation).

4.4 Öffnungs- und Klickmessung in E-Mail-Serien (optional, nur mit Einwilligung)

Inhaber und Administratoren eines Mandanten können für E-Mail-Serien eine Öffnungs- und Klickmessung einschalten. Sie ist standardmäßig ausgeschaltet. Belege (Rechnungen, Angebote, Mahnungen) werden nie mit Messung versendet.

Widerruf (Art. 7 Abs. 3 DSGVO): Jede gemessene E-Mail enthält einen Link, mit dem der Empfänger seine Einwilligung jederzeit widerrufen kann; danach gehen E-Mails an seine Adresse ohne Messung raus, auch in laufenden Serien. Der Mandant kann die Messung jederzeit ausschalten — ab dann werden keine neuen Zählpixel mehr eingefügt. Bereits versendete Zählpixel lassen sich technisch nicht zurückholen; Öffnungen und Klicks aus ihnen speichert NexDeck aber nicht mehr, sobald die Messung ausgeschaltet oder die Einwilligung widerrufen ist. Einen Widerruf, den der Empfänger gegenüber dem Mandanten erklärt, kann der Mandant am Kontakt festhalten.

4a. Adress-Eingabe, Geocoding und Kartendarstellung

Adress-Autocomplete (Google Maps Platform)

Wenn Sie in einem Adressfeld zu tippen beginnen (z. B. beim Anlegen eines Kunden, eines Projekts oder eines Leads), übermitteln wir Ihre Eingabe an die Google Maps Platform (Vertragspartner für EU/EEA-Kunden: Google Ireland Limited, Mutterkonzern Google LLC, USA), um Ihnen Adress-Vorschläge anzuzeigen. Bei Auswahl eines Vorschlags wird die strukturierte Adresse einschließlich der Geo-Koordinaten in Ihre NexDeck-Datenbank übernommen und nicht erneut bei Google nachgefragt.

Wichtig zur rechtlichen Einordnung: Google Maps Platform verarbeitet diese Daten als eigenständiger Verantwortlicher nach Art. 4 Nr. 7 DSGVO — NICHT als unser Auftragsverarbeiter. Es besteht kein Auftragsverarbeitungsvertrag (AVV); stattdessen gelten die Google Controller-Controller Terms sowie die Google-Datenschutzerklärung. Google ist DPF-zertifiziert und trägt seit 2024 die Pflichten aus den EU-Standardvertragsklauseln für EU-Kundenverbindungen eigenständig.

Die Anfrage an Google läuft über unseren Server, nicht aus Ihrem Browser. Google erhält dadurch ausschließlich den von Ihnen eingegebenen Adress-Suchbegriff und ein Sitzungs-Kennzeichen zur Abrechnung — nicht Ihre IP-Adresse und nicht Ihren Browser-Kennzeichner (User-Agent). Es wird auch kein Google-Skript in Ihrem Browser geladen. Ebenso wenig werden Klarnamen, Mandanten- oder Datensatz-Kennungen oder sonstiger Geschäftskontext übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Adress-Validierung und betriebseffizienter Stammdaten-Erfassung. Die Datenverarbeitung lässt sich nicht mehr nachträglich aufheben (Klick-basierte aktive Eingabe durch Sie). Eine Einwilligung ist nicht erforderlich, da die Datenübermittlung im Rahmen Ihrer aktiven Adress-Eingabe als zwingende technische Voraussetzung für die Funktion erfolgt.

Geocoding und Routen (Geoapify)

Wir nutzen die Dienste der KEPTAGO LTD (Geoapify; Geschäftssitz Zypern, EU; Hosting der API auf Hetzner-Servern in Deutschland und Finnland über den EU-Endpunkt von Geoapify) für zwei Zwecke: (a) Umwandlung einer Adresse in Koordinaten, damit Einsätze auf der Karte erscheinen und Touren geplant werden können. Das geschieht automatisch für die Firmenanschrift (bei der Einrichtung sowie beim Speichern der Einstellungen, solange dafür noch keine Koordinaten hinterlegt sind) und für die Leistungsadresse, wenn aus einem angenommenen Angebot ein Projekt entsteht (dies kann über die öffentliche Angebots-Annahmeseite ausgelöst werden, wenn ein Kunde — ggf. eine Privatperson — annimmt). Außerdem lassen sich in der Projektkarte alle Projekte ohne Koordinaten auf Knopfdruck nachträglich verorten; fehlt dabei eine eigene Leistungsadresse, wird ersatzweise die Rechnungsanschrift des Kunden verwendet. Ebenso wird eine Adresse umgewandelt, wenn in einer Tour oder Tourvorlage ein Stopp angelegt wird, für den noch keine Koordinaten vorliegen (Rechnungsanschrift eines Kunden, Adresse eines Projekts oder Interessenten oder eine von Hand eingegebene Adresse); stammt der Stopp aus einem Kunden, Projekt oder Interessenten und wurde die Adresse nicht geändert, können die Koordinaten auch dort gespeichert werden; und (b) Routenberechnung für Reinigungstouren: Die Koordinaten der Stopps einer Tour und die gewählte Fahrzeugart werden übermittelt, Geoapify liefert Strecke, Entfernung und Fahrzeit zurück. Die Route beginnt an der Firmenanschrift, sofern diese verortet ist und der Tourstart dort nicht abgeschaltet wurde. Die Adressvorschläge während der Eingabe liefert Google (siehe oben), nicht Geoapify.

Geoapify ist unser Auftragsverarbeiter nach Art. 28 DSGVO; der entsprechende Auftragsverarbeitungsvertrag (DPA) ist bei Nutzung der API verbindlich. Bei der Umwandlung wird die jeweilige Anschrift (die im Einzelfall eine private Wohnanschrift sein kann) als Text, ohne Namen und ohne Kennung des Kundenkontos, an Geoapify übermittelt — dies ist zwingende technische Voraussetzung der Umwandlung in Koordinaten. Aus der Geoapify-Antwort speichern wir anschließend nur das zurückgelieferte Koordinatenpaar (Lat/Lng); die Adresse selbst verarbeiten und speichern wir unabhängig davon als Teil Ihrer Stammdaten (siehe die Abschnitte zu Kunden-, Projekt- und Angebotsdaten). Bei der Routenberechnung werden ausschließlich Koordinaten übermittelt. Um wiederholte Anfragen zu vermeiden, halten wir Ergebnisse in einem Zwischenspeicher vor: Umwandlungen bis zu 30 Tage, wobei die Adresse als Suchschlüssel dient, Routen bis zu 7 Tage. Geoapify speichert Anfrage-Metadaten lt. eigenem DPA maximal 24 Stunden (in Verdachtsfällen bis zu 2 Monaten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datenqualität).

Kartendarstellung (OpenFreeMap + Protomaps-Fallback)

Zur Visualisierung von Projekt- und Tour-Standorten auf einer Karte beziehen wir das Kartenmaterial primär von OpenFreeMap (gemeinnützige Open-Source-Initiative, Community-Hosting). Bei Ausfall des Primary-Anbieters greift automatisch ein Fallback auf vorgefertigtes Kartenmaterial (Protomaps PMTiles), das wir auf eigener AWS-EU-Infrastruktur in Frankfurt hosten — keine zusätzlichen Drittanbieter in dieser Fallback-Kette.

In beiden Fällen werden ausschließlich allgemeine Kartenausschnitte ausgeliefert; es werden keine personenbezogenen Daten an OpenFreeMap oder andere Karten-Provider übertragen, abgesehen von der technisch unvermeidbaren IP-Adresse und User-Agent des aufrufenden Browsers.

Navigation (Deep-Link, kein Daten-Sharing)

Wenn Sie auf „Route starten“ klicken, öffnet NexDeck Ihre bevorzugte Navigations-App (Apple Maps, Google Maps, Waze) mit der Zieladresse vorbelegt. Die anschließende Navigation erfolgt unter der Datenschutzerklärung der jeweiligen App; NexDeck verarbeitet dabei keine weiteren Daten.

4b. Datenmigration aus Buchhaltungssystemen (optional, nur bei aktivem Wizard)

Wenn Sie als Tenant Bestandsdaten aus einem externen Buchhaltungssystem in NexDeck übernehmen möchten, stellen wir Ihnen einen Migrations-Wizard bereit. Die nachfolgenden Verarbeitungen finden ausschließlich dann statt, wenn Sie im Wizard aktiv einen API-Schlüssel des jeweiligen Anbieters eintragen. Ohne diese Aktion wird keine Verbindung zu Lexware Office oder sevDesk aufgebaut.

Rollenverteilung (Art. 4 Nr. 7 / Art. 28 DSGVO): Sie sind Verantwortlicher der bei Lexware Office bzw. sevDesk gespeicherten Daten — Sie beauftragen uns mit deren einmaligem Lesezugriff zur Migration. Wir sind dabei Auftragsverarbeiter für das temporäre Staging der gelesenen Daten in unseren EU-Servern.

Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg)

Wenn Sie Bestandsdaten aus Lexware Office in NexDeck migrieren, lesen wir mit Ihrem API-Schlüssel einmalig folgende Datenkategorien: Kontakte / Kunden, Ausgangsrechnungen, Eingangsbelege, Buchungskategorien, Artikel. Die Daten werden temporär in einem Staging-Bereich auf EU-Servern gespeichert (max. 30 Tage) und nach Ihrer Freigabe in Ihre NexDeck-Instanz übernommen oder gelöscht.

Sitz Lexware: Munzinger Str. 9, 79111 Freiburg im Breisgau, Deutschland (DE-EU). Es findet kein Drittland-Transfer statt — Lexware ist in Deutschland gehostet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Portierung Ihrer eigenen Geschäftsdaten). Ihr bestehender Vertrag und AVV mit Lexware ( lexware.de/avv) bleibt davon unberührt.

sevDesk GmbH (Karlsruhe)

Analog zu Lexware Office oben: Wenn Sie Bestandsdaten aus sevDesk in NexDeck migrieren, lesen wir mit Ihrem API-Token einmalig dieselben Datenkategorien (Kontakte / Kunden, Ausgangsrechnungen, Eingangsbelege, Buchungskategorien, Artikel). Die Daten werden temporär in einem Staging-Bereich auf EU-Servern gespeichert (max. 30 Tage) und nach Ihrer Freigabe in Ihre NexDeck-Instanz übernommen oder gelöscht.

Sitz sevDesk: Am Sandfeld 11c, 76149 Karlsruhe, Deutschland (DE-EU). Es findet kein Drittland-Transfer statt — sevDesk ist in Deutschland gehostet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Portierung Ihrer eigenen Geschäftsdaten). Ihr bestehender Vertrag und AVV mit sevDesk ( sevdesk.de/avv) bleibt davon unberührt.

Speicherdauer Staging und KI-Schema-Mapping

Die in den Staging-Tabellen abgelegten Daten werden spätestens 30 Tage nach Anlage der Migrations-Sitzung automatisch gelöscht. Sobald Sie auf „Übernehmen“ klicken, werden die Daten in Ihre Live-Tabellen übernommen und das Staging sofort geleert. Bei „Migration abbrechen“ erfolgt die Löschung ebenfalls sofort.

Während des Wizards kommt zur Erkennung der Spalten- und Kategorienzuordnung unsere KI-Komponente Vertex AI Claude Sonnet (EU) zum Einsatz. Es werden ausschließlich Spalten-Header und maximal fünf PII-redaktierte Beispielzeilen an die KI übermittelt — niemals Bulk-Daten (Datenminimierung Art. 5 DSGVO). Details siehe Abschnitt 3a.

Aufnahme in Subprozessor-Listing: Lexware Office und sevDesk sind als optionale Datenquellen / Migrations-Schnittstellen in der Subprozessor-Liste geführt. Diese Auflistung dient der Transparenz; im klassischen Sinne des Art. 28 DSGVO handelt es sich nicht um Subprozessoren von NexDeck, sondern um Drittsysteme, mit denen Sie selbst eine Vertragsbeziehung haben.

4c. Kalender, Disposition und Ressourcen-Planung

Für die Termin- und Einsatzplanung („Plantafel“), die Echtzeit-Synchronisation zwischen Disponent:innen und Mitarbeiter:innen sowie für Push-, Standort- und Arbeitszeitfunktionen verarbeiten wir zusätzliche Daten. Die nachfolgenden Verarbeitungen finden ausschließlich für angemeldete Tenant-Nutzer:innen statt, nicht für Besucher:innen unserer Website.

4c.1 Realtime-Benachrichtigungen via Supabase Realtime

Sobald Termine, Aufträge oder Crew-Zuordnungen geändert werden, übermitteln wir die Änderung in Echtzeit (WebSocket) an die jeweils berechtigten Sitzungen (Disponent:in, betroffene Worker-Sessions). Hierfür nutzen wir den Realtime-Dienst unseres Datenbank-Anbieters Supabase (EU, Frankfurt). Die Auslieferung erfolgt über getrennte Kanäle je Tenant, Rolle und Person, so dass eine Sitzung ausschließlich Daten erhält, die nach unserer Rollen- und Sichtbarkeits-Logik für sie freigegeben sind.

Schwärzung: Bevor eine Änderung an Mitarbeiter-Sitzungen ausgeliefert wird, läuft sie server-seitig durch eine geschwärzte Datenbank-Ansicht: Fremde Privat-Termine werden als „Belegt“ angezeigt, sensible Felder (Kunde, Adresse, Beschreibung) werden je nach Sichtbarkeits-Modus entfernt oder durch generische Werte ersetzt (vgl. Abschnitt 3a der Datenschutzhinweise für Beschäftigte).

Versionierung (Manipulationsschutz): Jedes Realtime-Event trägt zwei Versions-Zähler: einen für den Stand des Termin-Datensatzes und einen für den Stand der Sichtbarkeitsregeln zum Zeitpunkt der Auslieferung. Empfangende Clients verwerfen Events mit veralteten Versionen — so wird verhindert, dass ein Worker-Client Daten anzeigt, die nach einer zwischenzeitlichen Berechtigungs-Änderung nicht mehr für ihn freigegeben wären.

Datenkategorien: Termin-Metadaten (Anfang/Ende, Status, Crew-Zuordnung), redaktierte Termin-Inhalte je nach Sichtbarkeits-Modus, Empfänger-User-ID, Tenant-ID, Versions-Zähler, Auth-Token (kurzlebig).Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Einsatzplanung als Kernfunktion der SaaS-Leistung) für Disponent:innen-Sicht; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Team-Koordination) i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG für die Mitarbeitenden-Sicht.Speicherdauer: Realtime-Events selbst werden nicht persistiert; sie werden nach Auslieferung verworfen. Der zugrundeliegende Datensatz unterliegt den allgemeinen Speicherdauern (Abschnitt 6).

4c.2 Push-Benachrichtigungen via OneSignal

Wenn Sie Push-Benachrichtigungen aktiviert haben (Browser-Permission bzw. native App-Permission), versenden wir betriebliche Benachrichtigungen (z. B. neuer Termin, Terminänderung, Crew-Zuordnung) über unseren Push-Dienstleister OneSignal (EU-Rechenzentren, Niederlande). Bevor eine Push gesendet wird, prüft die Plattform server-seitig, ob für den Empfänger eine gültige Permission UND ein gültiges Device-Token vorliegen. Liegt eine Permission nicht (mehr) vor, wird der Versand stillschweigend übersprungen.

Laden des Push-Dienstes im Browser: Die Software von OneSignal wird im Browser erst geladen, wenn Sie Push-Benachrichtigungen unter Einstellungen → Benachrichtigungen einschalten und Ihr Browser die Erlaubnis erteilt hat, oder wenn Push für Ihr Konto bereits eingeschaltet ist. Erst dann legt sie ihre Daten in Ihrem Browser ab (IndexedDB) und wird von den Servern von OneSignal abgerufen; zusätzlich richtet Ihr Browser einen Hintergrunddienst (Service Worker) von OneSignal ein, der die Benachrichtigungen empfängt. Ohne eingeschaltete Push-Benachrichtigungen wird die Software nicht geladen und kein Hintergrunddienst eingerichtet. Das gilt für die Nutzung im Browser; in der iOS- und Android-App ist der Push-Dienst Bestandteil der App.

Zustell-Status & Retry-Backoff: Für jeden Push-Versand protokollieren wir intern den Zustellstatus (wartend, zugestellt, fehlgeschlagen, verworfen) und die Zahl der Versuche. Bei vorübergehenden Fehlern (z. B. APNs/FCM kurzzeitig nicht erreichbar) erfolgt ein 5-Stufen-Retry-Backoff (gestaffelt nach Sekunden, Minuten, Stunden — Max-Alter 24 h). Danach wird der Versand als endgültig fehlgeschlagen markiert; eine erneute Zustellung erfolgt nur bei einem neuen, auslösenden Ereignis. Diese Statusdaten dienen ausschließlich der Zustellbarkeits-Analyse und Idempotenz (Vermeidung von Doppel-Pushes) und werden nach 90 Tagen automatisch gelöscht.

Direkter Sprung zum Inhalt: Jede Push enthält einen Link mit Tenant-Kennung, Art des Eintrags (z. B. Termin oder Crew-Zuordnung) und dessen Kennung. Beim Tap öffnet sich automatisch die entsprechende Detail-Ansicht innerhalb der Mandanten-isolierten Anwendung. Die Push-Payload (Titel + Text) wird vor dem Versand durch unseren dreistufigen Filter geprüft; je nach Datenschutz-Einstellung des Tenants für Push-Nachrichten erscheint entweder der Original-Text, ein generischer Kategorie-Hinweis oder nur „Neue NexDeck-Benachrichtigung“.

Datenkategorien: Device-Token, Push-Payload (sanitisiert), Externer User-Hash (Supabase-UUID, keine Klarnamen), Zustellungs-Status und Versuchsanzahl, Tenant-/Ressource-IDs für Deep-Linking. Nach Ihrer Einwilligung erfasst der Push-Baustein von OneSignal außerdem technische Gerätedaten (IP-Adresse, Gerätemodell, Betriebssystem, Sprache, Zeitzone, Land, Mobilfunkanbieter, Zahl und Dauer der Sitzungen); Standortdaten geben wir an OneSignal nicht weiter. Push-Nachrichten dienen nur betrieblichen Hinweisen, nicht der Werbung.Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 TDDDG (technische Speicherung Subscription-Token); für Beschäftigte zusätzlich Art. 88 DSGVO i.V.m. § 26 Abs. 2 BDSG (Einwilligung im Beschäftigungsverhältnis). Sie erteilen die Einwilligung im Browser wie in der App ausschließlich durch Klicken bzw. Tippen auf „Push aktivieren“ unter Einstellungen → Benachrichtigungen; vorher erklärt Ihnen die Seite, welche Daten an wen gehen. Erst danach fragt Ihr Browser bzw. Ihr Gerät nach der Benachrichtigungs-Erlaubnis. Die App fragt beim Start nicht von sich aus. Erteilen Sie die Erlaubnis nicht, wird nichts registriert und Push bleibt aus; Nachteile in der Anwendung entstehen Ihnen dadurch nicht, wichtige Hinweise sehen Sie weiterhin in der Anwendung. Bis zu Ihrer Einwilligung überträgt der Push-Baustein der App keine Daten an OneSignal. Der Widerruf ist jederzeit über „Push deaktivieren“ unter Einstellungen → Benachrichtigungen bzw. in der App unter Mehr → Einstellungen → Benachrichtigungen möglich; in der App wird die Einwilligung dabei auch im Push-Baustein der App zurückgenommen. Die Benachrichtigungs-Erlaubnis in den Geräte- bzw. Browser-Einstellungen können Sie zusätzlich dort entziehen.Subprozessor: OneSignal, Inc., Sitz USA, Verarbeitung in Rechenzentren in der EU; eine Übermittlung in die USA ist abgesichert über die Zertifizierung nach dem EU-US Data Privacy Framework und Standardvertragsklauseln (siehe Subprozessor-Liste). Android-Transport via Google FCM, iOS-Transport via Apple APNs.

4c.3 Standortdaten für Routing und Distance-Matrix

Für die Routenplanung und für Disposition-Funktionen wie „nächstgelegene:r verfügbare:r Mitarbeiter:in“ speichern wir zu jedem Einsatztermin eine Einsatzadresse sowie die zugehörigen geografischen Koordinaten (Breitengrad / Längengrad). Diese werden bei den Einsatzdetails des Termins hinterlegt. Beim Speichern der Einsatzdetails werden Koordinaten nur übernommen, wenn sie mitgeliefert werden; eine eigene Umwandlung der Adresse in Koordinaten findet an dieser Stelle nicht statt. Wann Anschriften über Geoapify in Koordinaten umgewandelt werden, beschreibt Abschnitt 4a.

Distance-Matrix-Cache: Für die Berechnung von Fahrzeiten und Entfernungen zwischen Mitarbeiter:innen-Standort und Einsatzort nutzen wir die Distance-Matrix-API der Google Maps Platform. Ergebnisse werden in einem tenant-isolierten Cache (max. 30 Tage) vorgehalten, um die API-Last und Kosten zu reduzieren sowie Offline-Robustheit zu gewährleisten. Google Maps Platform ist als eigenständige:r Verantwortliche:r eingestuft (Datenempfänger D-1 in unserer Subprozessor-Liste), nicht als Auftragsverarbeiter.

Zur Standorterfassung auf dem Gerät siehe Abschnitt 2.4 sowie die Datenschutzhinweise für Beschäftigte. Für die hier beschriebene Adress- und Routing-Funktion werden keine Live-Positionen verarbeitet, sondern ausschließlich die statisch hinterlegte Einsatzadresse.

Datenkategorien: Einsatzadresse (Straße, Postleitzahl, Ort, Land), Geokoordinaten (Lat/Lng), Distance-Matrix-Cache-Einträge (Origin/Destination, Fahrzeit, Distanz).Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Routing und Disposition sind Kernfunktionen der vertraglich vereinbarten SaaS-Leistung).Speicherdauer: Einsatzadresse + Koordinaten so lange wie der zugehörige Termin im System bleibt (analog Abschnitt 6); Distance-Matrix-Cache max. 30 Tage.

4c.4 Arbeitszeiterfassung (Arbeit / Pause / Fahrt)

Wenn Ihr Arbeitgeber die Arbeitszeiterfassung aktiviert hat, erfassen Mitarbeiter:innen pro Einsatztermin Zeit-Einträge. Pro Eintrag werden Start- und Endzeit sowie eine Kategorie protokolliert:

• Arbeit — produktive Arbeitszeit am Einsatzort
• Pause — gesetzliche oder selbstgewählte Pause (§ 4 ArbZG)
• Fahrt — An- und Abfahrtszeit zwischen Einsätzen

Die Zeit-Einträge werden für die Lohnabrechnung, für die Erfüllung gesetzlicher Aufzeichnungspflichten, soweit sie für das Beschäftigungsverhältnis gelten (etwa § 17 Abs. 1 MiLoG bei Beschäftigung nach § 8 Abs. 1 SGB IV und in den Wirtschaftsbereichen nach § 2a SchwarzArbG, § 16 Abs. 2 ArbZG für Arbeitszeit über acht Stunden), und für die Einhaltung des Arbeitszeitgesetzes (ArbZG) (Höchstarbeitszeit, Ruhepausen, Ruhezeit) verwendet. Hinweis zum EuGH-Urteil C-55/18 („CCOO“) sowie BAG-Beschluss 1 ABR 22/21 (13.09.2022): Arbeitgeber sind verpflichtet, ein objektives und verlässliches System zur Erfassung der täglichen Arbeitszeit ihrer Beschäftigten einzurichten. NexDeck stellt hierfür die technische Grundlage bereit; verantwortlich für die konkrete Anordnung und Umsetzung ist Ihr Arbeitgeber.

Datenkategorien: User-ID, Tenant-ID, Termin-Referenz, Start- und End-Zeitstempel, Kategorie (Arbeit/Pause/Fahrt), optionale Bemerkung, Geräte-Quelle (Web/Mobile).Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Arbeitsvertrag) i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Beschäftigtendatenschutz) UND Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 17 Abs. 1 MiLoG / § 16 Abs. 2 ArbZG, soweit anwendbar (rechtliche Verpflichtung des Arbeitgebers zur Arbeitszeit-Aufzeichnung).Speicherdauer: Mindestens 2 Jahre ab dem für die Aufzeichnung maßgeblichen Zeitpunkt (§ 17 Abs. 1 Satz 1 MiLoG; § 16 Abs. 2 Satz 2 ArbZG: mindestens zwei Jahre), soweit diese Pflichten gelten und sofern Ihr Arbeitgeber keine längeren Aufbewahrungspflichten anwendet (z. B. § 147 AO für Lohnunterlagen mit steuerlicher Relevanz: 6 Jahre).Mitbestimmung: Soweit ein Betriebsrat besteht, ist die Einführung der elektronischen Zeiterfassung gemäß § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Verantwortlich für diese Prüfung ist Ihr Arbeitgeber.

Detaillierte Hinweise für Mitarbeiter:innen (Sichtbarkeit zwischen Kolleg:innen, Need-to-know-Prinzip, Beschwerderecht): Datenschutzhinweise für Beschäftigte.

4c.5 Tagesübersicht der Auslastung

Auf Basis der unter 4c.4 erfassten Arbeitszeit, der hinterlegten individuellen Verfügbarkeit (Wochenplan) und genehmigter Urlaubs- bzw. Abwesenheitseinträge erzeugen wir eine tagesgenaue Übersicht. Sie enthält pro Mitarbeiter:in und Datum: verfügbare Stunden (aus dem Wochenplan), geplante Termin-Stunden, Urlaubsstunden sowie die daraus berechnete Auslastung. Diese Übersicht dient ausschließlich der operativen Disposition und Kapazitätsplanung durch berechtigte Rollen (Inhaber, Administration, Leitung, Disposition).

Datenkategorien: Pseudonymisierte Nutzer-Kennung + Datum + 4 Stundenwerte (Verfügbarkeit, Geplant, Urlaub, Auslastungs-Quote). KEIN Klarname & KEIN Standort in der Übersicht selbst. Der Name wird erst bei der Anzeige in der Oberfläche aus dem Nutzerprofil ergänzt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses — Schichtplanung & Personaleinsatzplanung) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Betriebsorganisation), zusätzlich Art. 88 DSGVO i.V.m. § 26 BDSG (Beschäftigtendatenschutz).

Mitbestimmungspflicht: Soweit ein Betriebsrat besteht, ist die Einführung einer aggregierten Leistungs- und Auslastungs-Auswertung auf Basis personenbezogener Daten gemäß § 87 Abs. 1 Nr. 6 BetrVG (technische Einrichtung zur Verhaltens- oder Leistungskontrolle) mitbestimmungs­pflichtig. Verantwortlich für die Prüfung & Durchführung der Mitbestimmungs-Verfahren ist Ihr Arbeitgeber (Tenant) — NexDeck stellt lediglich die technische Infrastruktur als Auftragsverarbeiter.

Sichtbarkeit: Mitarbeitende, Mitglieder und Vertriebspartner sehen NUR ihre eigenen Zeilen; das setzt die Datenbank durch. Eine Team-Übersicht ist nur für Inhaber, Administration, Leitung und Disposition verfügbar — dort werden vollständige Namen angezeigt für operative Dispositions-Zwecke.

Speicherdauer: Die Übersicht selbst ist eine reine Zusammenfassung aus Terminen, Abwesenheiten und hinterlegter Verfügbarkeit. Sie wird bei Bedarf neu berechnet und enthält keine eigenständigen historischen Daten. Die zugrunde liegenden Daten haben ihre eigenen Speicherdauern (siehe 4c.4 und Aufbewahrungsklauseln der AGB).

Keine Profilbildung im Sinne von Art. 22 DSGVO: Die Aggregation liefert tagesbezogene Soll/Ist-Stunden für Disponenten — sie wird NICHT für automatisierte Einzelentscheidungen oder Profiling gegenüber Mitarbeiter:innen verwendet. Bewertungen und Personal­entscheidungen bleiben menschlich begründet beim Arbeitgeber.

4d. Audit-Trail interne Verwaltungsaktionen (Forensik & GoBD)

NexDeck schreibt zu jeder sicherheits- oder steuerrelevanten Verwaltungsaktion einen Eintrag in ein Änderungsprotokoll (Audit-Trail), das nur ergänzt werden kann (Einzelheiten unten). Dieser Trail dient Forensik (DSGVO Art. 32 TOMs; Beschäftigtendatenschutz Art. 88 DSGVO i.V.m. § 26 BDSG) und GoBD-Pflicht (§ 257 HGB Aufbewahrungsfristen) gleichzeitig.

Geloggte Pflicht-Events (nicht-abschließend): Rollen-Änderungen, Permission-Override-Änderungen, Reassign von Terminen, Genehmigung von Sales-Bookings & Urlaubsanträgen, Finalisierung & Stornierung von Rechnungen, Sync-Modus-Änderungen, Privacy-Flag-Toggle, Hard-Delete-Aktionen, abgelehnte Zugriffsversuche (HTTP 403), Login-Events (Erfolg + Fehlversuch; in einem gesonderten Anmeldeprotokoll), Tenant-Setting-Änderungen.

Datenkategorien pro Audit-Eintrag:

• Aktion (z. B. Rechnung festgeschrieben, Rolle eines Teammitglieds geändert)
• Auslösender Nutzer (pseudonyme Kennung, nicht Klarname)
• Tenant-Kennung (Mandant)
• Art und Kennung des betroffenen Eintrags (z. B. Rechnung, Projekt, Nutzerkonto)
• Stand der betroffenen Felder vorher und nachher
• IP-Adresse — soweit übermittelt, bei automatischen Hintergrundvorgängen leer
• User-Agent des aufrufenden Browsers — soweit übermittelt, bei automatischen Hintergrundvorgängen leer
• Zeitstempel (Server-Zeit, UTC)

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB & GoBD — rechtliche Verpflichtung zur lückenlosen Buchführung & Belegnachvollziehbarkeit
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse Plattform-Sicherheit & Tampering-Schutz (IP/User-Agent zur Abuse-Forensik)
• Art. 32 DSGVO (TOMs) — angemessene technische Maßnahmen zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit & Belastbarkeit
• Art. 6 Abs. 1 lit. f DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG — Beschäftigtendatenschutz (Überwachung dienstlicher Handlungen ist erforderlich für die Durchführung & Beendigung des Beschäftigungsverhältnisses, keine vorbereitende Verhaltens- oder Leistungskontrolle)

Hinweis: § 26 Abs. 1 S. 1 BDSG ist nach dem EuGH-Urteil vom 30.03.2023 (Rs. C-34/21) als alleinige Rechtsgrundlage nicht mehr anwendbar; maßgeblich ist Art. 6 Abs. 1 DSGVO, § 26 BDSG nur ergänzend (fortgeltende Teile, insb. Abs. 2) sowie Art. 88 DSGVO. Über Beschäftigtendaten-Verarbeitungen entscheidet der jeweilige Tenant als Verantwortlicher; NexDeck ist insoweit ausschließlich Auftragsverarbeiter (Art. 28 DSGVO).

Speicherdauer:

• 10 Jahre vollständig ab Eintragserstellung — der Audit-Trail wird als Aufzeichnung im Sinne des § 147 Abs. 1 Nr. 1 AO behandelt. Das gilt einheitlich für alle Einträge, auch für solche ohne unmittelbaren Steuer-Bezug (z. B. abgelehnte Zugriffsversuche). Die Belege selbst (Rechnungen, Bankbelege) unterliegen der kürzeren Frist von acht Jahren (§ 147 Abs. 1 Nr. 4 AO)
• Danach werden IP-Adresse und Browserkennung (User-Agent) automatisch entfernt, sofern keine Aufbewahrungssperre besteht. Der übrige Eintrag (Aktion, Zeitpunkt, betroffener Eintrag, Mandant) bleibt erhalten und ist über die pseudonyme Nutzerkennung weiterhin einer Person zuordenbar. Gelöscht werden Einträge erst, wenn die Frist von zehn Jahren, gerechnet ab dem Schluss des Kalenderjahres des Eintrags, abgelaufen ist, der Inhaber des Mandanten dieses Jahr ausdrücklich zur Löschung freigegeben hat und keine Aufbewahrungssperre besteht. Die Datenbank prüft das für jeden einzelnen Eintrag. Ohne diese Freigabe wird nichts automatisch gelöscht.
• Anmeldungen (Erfolg und Fehlversuch) werden in einem gesonderten Anmeldeprotokoll festgehalten — mit gekürzter IP-Adresse und nur der Browser-Familie statt der vollständigen Browserkennung. Zweck ist die Erkennung von Missbrauch (etwa gehäufte Fehlversuche) und der Nachweis, wann auf ein Konto zugegriffen wurde (Art. 32 DSGVO). Gespeichert werden Zeitpunkt, gekürzte IP-Adresse, Browser-Familie, Erfolg oder Fehlversuch, Anmeldeweg und ob eine Zwei-Faktor-Bestätigung erfolgte. Die Einträge werden 90 Tage nach der Anmeldung automatisch gelöscht; der Lauf erfolgt täglich. Ausgenommen sind Einträge, solange für den Mandanten eine Aufbewahrungssperre besteht (etwa wegen eines Rechtsstreits). Die Einträge zu Ihrer Person sind Teil einer Auskunft nach Art. 15 DSGVO.
• Wer im Betrieb den Aktivitätsverlauf eines Kunden, Interessenten oder Projekts oder die Einsatzplanung aufruft oder die Termine als Kalenderdatei exportiert, wird in einem gesonderten Zugriffsprotokoll festgehalten (Nutzer, Zeitpunkt, Art des Zugriffs, aufgerufener Eintrag und verwendete Filter). Zweck ist der Nachweis, wer auf Kundendaten zugegriffen hat (Art. 5 Abs. 2 DSGVO). Die Einträge werden zwölf Monate nach dem Zugriff in einem täglichen Lauf gelöscht, außer solange für den Mandanten eine Aufbewahrungssperre besteht.
• Greift der NexDeck-Support im Notfall auf Daten eines Mandanten zu, geschieht das über eine befristete, begründete Freigabe. Freigabe und Zugriffe werden in einem gesonderten Protokoll festgehalten (Person, Zeitpunkt, Grund, aufgerufener Bereich). Die Einträge sind miteinander verkettet, sodass eine nachträgliche Änderung erkennbar wird. Zweck ist der Nachweis, wer von NexDeck auf Mandantendaten zugegriffen hat (Art. 5 Abs. 2 DSGVO). Die Protokolleinträge werden zwölf Monate nach dem Zugriff gelöscht, die Freigaben zwölf Monate nach ihrem Ablauf oder Widerruf, jedoch erst, wenn kein verbliebener Protokolleintrag mehr zu ihnen gehört. Der Lauf erfolgt täglich und ruht, solange für den Mandanten eine Aufbewahrungssperre besteht. Damit die Verkettung nach dem Löschen prüfbar bleibt, wird der Prüfwert des zuletzt gelöschten Eintrags aufbewahrt; er enthält selbst keine Angaben zu Personen.
• Weitere Änderungsprotokolle folgen der Frist der Daten, deren Änderungen sie festhalten. Das Protokoll der Rollenzuweisungen im Team wird zehn Jahre aufbewahrt, das Protokoll zu Angebotsanlagen sechs Jahre (§ 257 Abs. 1 Nr. 2 und 3 HGB), jeweils gerechnet ab dem Schluss des Kalenderjahres des Eintrags. Danach wird nur gelöscht, wenn der Inhaber des Mandanten das Jahr freigibt und keine Aufbewahrungssperre besteht. Die Protokolle zu Projektnachrichten und zum Kundenzugang zum Projektchat werden nicht länger aufbewahrt als die Projektinhalte selbst und mit ihnen nach Vertragsende gelöscht. Die Protokolle zu Änderungen an Kundenstammdaten und zum Zusammenführen doppelter Kunden bleiben so lange erhalten wie die Kundendaten selbst. Das Protokoll zum Versand von E-Mail-Serien (wie viele Empfänger mangels Einwilligung übersprungen wurden) wird 36 Monate nach dem Versand in einem täglichen Lauf gelöscht, außer solange für den Mandanten eine Aufbewahrungssperre besteht.
• Neue Einträge werden nur angefügt. Nachträglich lässt die Datenbank an einem bestehenden Eintrag nur zwei Änderungen zu: das Entfernen von IP-Adresse und Browserkennung (siehe oben) und das Leeren von Verweisen auf inzwischen gelöschte Nutzerkonten oder Datensätze. Einzelne Einträge lassen sich nicht löschen; Einträge entfallen nur mit der Löschung des gesamten Mandanten oder nach Fristablauf mit Freigabe (siehe oben). Für ein Löschverlangen nach Art. 17 DSGVO bedeutet das: Die Einträge bleiben für die Dauer der Aufbewahrung erhalten (vgl. Art. 17 Abs. 3 lit. b DSGVO). Wird das Nutzerkonto gelöscht, wird der Verweis auf dieses Konto in den Einträgen geleert; die übrigen Angaben des Eintrags bleiben unverändert.

Externe Auditor-Zugriffe: Im Falle einer Wirtschaftsprüfung oder GoBD-Audit erhält der Auditor einen pseudonymisierten Read-Only-Zugriff über eine eigene Prüfer-Rolle — Exporte enthalten Hash-Referenzen statt Klarnamen, keine inhaltlichen Termindetails, nur Protokoll-Metadaten. Exporte sind mit einem Wasserzeichen und einem je Export eigenen Zufallswert versehen und werden selbst protokolliert (höchstens 5 Exporte pro Tag und Prüfer, max. 10.000 Einträge bzw. 90 Tage Zeitraum pro Export). Der Zugriff erfolgt über den Bereich „Audit“ in der Verwaltungsoberfläche sowie über eine Export-Schnittstelle.

Zugriffsbeschränkungen: Auf den Audit-Trail haben innerhalb des Tenants nur Inhaber, Administration und die Prüfer-Rolle Lese-Zugriff. Mitarbeitende, Mitglieder und Vertriebspartner sehen ihren Audit-Trail NICHT, wohl aber alle Verarbeitungs-Hinweise dieser Datenschutzerklärung sowie ihr Auskunftsrecht (Art. 15 DSGVO) gegenüber dem Tenant.

4f. DATEV-Export-Verarbeitung, Versand an Steuerberater und Fehler-Monitoring

4f.1 DATEV-Export-Verarbeitung

Zweck: Wir stellen eine technische Funktion zur Generierung von Buchungsstapel-Exporten im DATEV-EXTF-Format bereit. Zweck der Verarbeitung ist die strukturierte Übergabe von Buchhaltungsdaten an den Steuerberater oder das Buchhaltungssystem des Tenants. NexDeck ist kein DATEV-Partner und nicht „DATEV-zertifiziert“ (vgl. AGB § 12r.1).

Datenkategorien:

• Buchungssätze (Konto, Gegenkonto, Betrag, Belegfeld 1, Belegfeld 2, BU-Schlüssel, Steuersatz)
• Mandanten- und Beraternummer (vom Tenant in den Einstellungen hinterlegt)
• Belegmetadaten (Rechnungsnummer, Belegdatum, Fälligkeitsdatum)
• Tenant-Stammdaten (Firma, Anschrift, USt-IdNr.)
• Empfänger-/Kontaktdaten der Buchungen (Kunden, Lieferanten)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung Tenant ↔ Kunde) sowie Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufzeichnungs- und Aufbewahrungspflichten des Tenants nach § 147 AO, § 257 HGB, GoBD).

Speicherdauer:

• DATEV-Export-Dateien selbst: 10 Jahre (Buchungsstapel = Aufzeichnung nach § 147 Abs. 1 Nr. 1 AO — die zugrunde liegenden Belege selbst nur acht Jahre, § 147 Abs. 1 Nr. 4 AO)
• Versandprotokoll der Exporte: 10 Jahre
• Protokoll der Download-Aufrufe: 7 Tage Klartext-IP, danach automatische Maskierung auf /24 (IPv4) bzw. /48 (IPv6) für die restliche Aufbewahrungsdauer von 90 Tagen (Sicherheits-Monitoring, Art. 6 Abs. 1 lit. f DSGVO)

Zugriff: Nutzer des Tenants mit entsprechender Berechtigung (Administration, Finanzen, Prüfer-Rolle), durchgesetzt in der Datenbank; der NexDeck-Support nur über einen dokumentierten Notfallzugriff, der gesondert protokolliert wird (vgl. Abschnitt 4d). Besonders sensible Inhalte (Export-Dateien, Beleg-PDFs, Rechnungs-PDFs, vollständige Bank-Transaktionen) unterliegen einer Vier-Augen-Pflicht, die die Datenbank technisch erzwingt.

4f.2 Versand an Steuerberater (Secure Download Gateway)

DATEV-Export-Dateien werden nicht als E-Mail-Anhang versendet. Stattdessen erhält der Steuerberater eine E-Mail- Benachrichtigung mit einem zeitlich begrenzten, widerruflichen Download-Link. Diese Architektur dient der Reduzierung des Datenexpositions-Risikos (E-Mail-Postfächer können kompromittiert werden, Anhänge bleiben dort dauerhaft).

• Download-Token: kryptografisch zufällig (256 Bit, base64url), wird in der Datenbank nur als SHA-256-Hash gespeichert. Der Klartext-Token ist ausschließlich in der E-Mail an die hinterlegte StB-Adresse zu lesen.
• Token-Gültigkeit: standardmäßig 7 Tage, danach automatische Invalidierung.
• Manuelle Widerruflichkeit: Der Tenant kann jeden Download-Link über die Export-Historie sofort widerrufen.
• E-Mail-Whitelist: Versand erfolgt nur an explizit hinterlegte und durch Doppel-Verify bestätigte Steuerberater-Adressen, die der Tenant in den Einstellungen hinterlegt.
• Protokollierung: Jeder Aufruf des Download- Links wird in einem nur ergänzbaren Protokoll festgehalten (IP-Adresse, User-Agent, Erfolg/Fehler, Zeitstempel). Die Zahl der Abrufe wird auch bei gleichzeitigen Aufrufen genau gezählt.

4f.3 Fehler- und Performance-Monitoring (Sentry)

Zweck: NexDeck verwendet Sentry.io zur Erkennung von Software-Fehlern und Performance-Problemen im Produktivbetrieb (Stabilität und Sicherheit der Plattform). Wir nutzen die Berichte nicht für andere Zwecke.

Was im Browser und was auf dem Server passiert:

• Im Browser sendet Sentry nur, wenn Sie im Fenster „Cookie-Einstellungen“ zugestimmt haben — auch in der angemeldeten Anwendung. Dann gehören dazu Fehlerberichte, Messwerte zu Ladezeiten und Seitenaufrufen und — wenn ein Fehler auftritt — eine Aufzeichnung der Sitzung. Die Aufzeichnung gibt den Ablauf der Seite wieder, einschließlich Klicks und Mausbewegungen; Texte und Eingaben sind darin maskiert, Bilder und Medien ausgeblendet, Verweise auf Kundenlinks werden als Platzhalter aufgezeichnet. Ohne Fehler wird keine Aufzeichnung übertragen. Berichte aus dem Browser leitet unsere Anwendung über ihre eigene Adresse (/monitoring) an Sentry weiter. Es gibt kein Einwilligungsfenster auf Seiten, die Sie über einen zugesandten Link öffnen (von Ihrem Auftragnehmer oder von NexDeck), zum Beispiel Angebot, Rechnung, Kundenportal, Freigaben und das Verkaufsangebot von NexDeck; auf der Terminbuchung, den Kontakt- und Newsletter-Formularen sowie dem Kundenchat; auf Kündigungsseiten; auf Rückkehrseiten nach einer Zahlung; auf Abmelde- und Bestätigungsseiten; auf den Rechtstexten eines Betriebs (Impressum, Datenschutz, Geschäftsbedingungen, Widerruf); auf den Rechtstexten von NexDeck (unter anderem dieser Datenschutzerklärung, Impressum, Geschäftsbedingungen und Cookie-Richtlinie — Ihre Auswahl ändern Sie dort über den Knopf „Cookie-Einstellungen“) sowie auf dem Hallenbildschirm; dort sendet Ihr Browser nie Fehlerberichte, Messwerte oder Aufzeichnungen — auch dann nicht, wenn Sie in diesem Browser früher zugestimmt haben.
• Auf unseren Servern erfassen wir Fehler immer und Messwerte zur Laufzeit (zum Beispiel Dauer eines Aufrufs) als Stichprobe. Dabei greifen wir nicht auf Ihr Endgerät zu; ein Einwilligungsfenster gibt es dafür nicht. Das gilt auch für Aufrufe der Seiten ohne Fenster.

Rolle und Rechtsgrundlage: Fehler- und Leistungsüberwachung dient dazu, die Plattform zu betreiben und abzusichern. Soweit sie Daten betrifft, die wir im Auftrag eines Betriebs verarbeiten (die angemeldete Anwendung sowie Seiten und Schnittstellen, die ein Betrieb für seine Kunden nutzt), ist sie Teil der Auftragsverarbeitung nach Art. 28 DSGVO; Verantwortlicher ist der Betrieb (Tenant), und wir verwenden die Berichte nicht für eigene Zwecke über Stabilität und Sicherheit der Plattform hinaus (AVV § 1 Abs. 4i). Angaben zur Rechtsgrundlage finden Sie in den Datenschutzhinweisen des Betriebs. Soweit es um unsere eigenen Seiten und unsere eigene Kundenbeziehung geht (zum Beispiel Anmeldeseite, Website, Tarifbestellung), sind wir selbst Verantwortliche: Fehlerberichte aus Ihrem Browser beruhen auch hier auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Fehlerberichte, die auf unseren Servern entstehen, auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität, Verfügbarkeit und Sicherheit des Dienstes) sowie Art. 32 DSGVO. Die Einwilligung in Fehlerberichte aus dem Browser holen wir mit dem Fenster „Cookie-Einstellungen“ ein, auch in der angemeldeten Anwendung (§ 25 Abs. 1 TDDDG).

Datenkategorien (mit Minimierungs-Bestreben):

• Stacktraces des fehlgeschlagenen Code-Pfads
• Aufgerufene Seite oder Schnittstelle und Messwerte zur Laufzeit. Zugangskennungen in den Adressen der Seiten und Schnittstellen, die wir kennen, werden vor dem Versand ersetzt, auch in Kopfdaten wie der Herkunftsseite (Referer). Kopfdaten-Angaben der Laufzeitmessung werden dabei ganz gestrichen.
• IP-Adressen: Sentry ist so eingestellt, dass es die IP-Adresse der Verbindung nicht speichert. Wir übermitteln IP-Adressen nicht gezielt, entfernen sie aus dem Nutzerkontext der Berichte und streichen Kopfdaten aus den Messwerten.
• Browser-/Geräte-Info (User-Agent)
• Technische Kennungen: Mandanten-Nummer (eine fortlaufende Zahl) und Kennung des angemeldeten Kontos (eine Zufallskennung), ohne Name, E-Mail-Adresse oder Firmenname im Nutzerkontext
• Protokoll der letzten Ereignisse (zum Beispiel Seitenwechsel und Netzwerkaufrufe, höchstens 30; auch Berichte vom Server tragen ein solches Protokoll): vor dem Versand zentral gefiltert — Felder mit sensiblen Bezeichnungen (zum Beispiel IBAN, BIC, Steuernummer, USt-IdNr., Beträge, Kennwörter, Cookies, Download- und Zugangskennungen) werden ersetzt; E-Mail-Adressen in Texten werden durch einen Kurzwert (Hash) ersetzt, erkennbare IBAN-Muster gekürzt.
• Sitzungsaufzeichnung bei Fehlern (nur Browser, nur mit Ihrer Zustimmung, siehe oben): gibt den Ablauf der Seite wieder, einschließlich Klicks und Mausbewegungen; Texte und Eingaben sind darin maskiert, Bilder und Medien ausgeblendet, Verweise auf Kundenlinks werden als Platzhalter aufgezeichnet.

Minimierungs-Bestreben (Pflicht-Maßnahme): Kein Volltext von Belegen, keine Klartext-Kontonummern, keine Steuerdaten in Events, keine Klartext-Download-Tokens. Konsolenausgaben und Klicks auf Seitenelemente werden nicht als Bedienschritte in die Berichte geschrieben; es werden höchstens die letzten 30 Ereignisse mitgeschickt (die Sitzungsaufzeichnung bei einem Fehler ist davon getrennt, siehe oben). Die Filter ersetzen, was sie erkennen; dass in einer Fehlermeldung doch einmal personenbezogene Angaben stehen, lässt sich nicht ausschließen.

Empfänger: Functional Software, Inc. (Sentry.io), Sitz USA. Die Fehlerberichte werden in der EU-Region von Sentry in Frankfurt am Main gespeichert. Wegen des Sitzes des Anbieters in den USA stützt sich ein etwaiger Zugriff aus den USA zusätzlich auf die EU-Standardvertragsklauseln (2021/914) und das EU-US Data Privacy Framework. Einzelheiten nennt die Liste der Unterauftragsverarbeiter. Sentry ist Unterauftragsverarbeiter, soweit wir im Auftrag eines Betriebs handeln (AVV Anlage 2), und im Übrigen unser Auftragsverarbeiter.

Speicherdauer: Sentry hält Fehler und Laufzeitmesswerte derzeit 30 Tage vor. Verdichtete Messwerte ohne Einzelereignisse hält der Anbieter bis zu 396 Tage vor.

Widerruf und Widerspruch: Ihre Zustimmung zu Fehlerberichten aus dem Browser können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO): über den Knopf „Cookie-Einstellungen“ im Seitenfuß der Rechtstexte-Seiten, nach der Anmeldung auch unter „Mein Profil“ und in der App im Menü „Mehr“; der Knopf öffnet das Fenster erneut. Gegen die serverseitige Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit wir selbst Verantwortliche sind, können Sie nach Art. 21 DSGVO Widerspruch einlegen; betrifft sie Daten, die wir im Auftrag eines Betriebs verarbeiten, wenden Sie sich an den Betrieb. Anfragen über datenschutz@nexdeck.de.

DATEV ist eingetragene Marke der DATEV eG, Nürnberg. NexDeck steht in keiner gesellschaftsrechtlichen oder partnerschaftlichen Verbindung zur DATEV eG. Die DATEV-Schnittstelle wird ausschließlich deskriptiv im Sinne von § 23 Abs. 1 Nr. 3 MarkenG genannt.

4a. Öffentliche Terminbuchung (optional pro Tenant)

Tenants (Unternehmen, die NexDeck nutzen) können optional ein öffentliches Buchungs-Widget aktivieren, das unter einer eigenen Buchungsadresse des Tenants erreichbar ist. Wenn Sie als Endkunde einen Termin über dieses Widget buchen, verarbeiten wir Ihre Daten wie folgt:

Verantwortlicher: Der jeweilige Tenant (Anbieter), nicht NexDeck. NexDeck ist Auftragsverarbeiter gem. Art. 28 DSGVO und stellt die technische Infrastruktur bereit. Die Verantwortlichkeit für die Verarbeitung Ihrer Buchungsdaten liegt bei dem Anbieter, dessen Buchungsseite Sie aufrufen.

Datenkategorien (von Ihnen aktiv eingegeben):

• Name (Pflicht)
• E-Mail-Adresse (Pflicht; ggf. Magic-Link-Bestätigung erforderlich)
• Telefonnummer (optional)
• Unternehmensname (optional)
• Nachricht / Anliegen (optional, max. 2.000 Zeichen)
• Gewählter Terminslot

Technisch erhobene Anti-Abuse-Daten (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse Plattform-Schutz):

• IP-Adresse (für Rate-Limit, max. 90 Tage Audit-Trail)
• User-Agent (für Abuse-Forensik)
• Anti-Bot-Verification-Hash (SHA-256 von ALTCHA-Payload, nicht der Original-Token)
• Honeypot-Status (Bot-Detection-Flag)
• Embed-Origin-URL falls iframe-Embed (für CSP-Audit)

Eingesetzte Auftragsverarbeiter:

• ALTCHA Self-Hosted (Anti-Bot-Schutz, cookie-less) — Proof-of-Work-Mechanismus läuft komplett auf NexDecks eigener Infrastruktur (Vercel Frankfurt). KEIN externer Subprozessor, kein Drittland-Transfer, keine Cookies, kein Browser-Fingerprinting. Open-Source unter MIT-Lizenz.
• AWS SES (Magic-Link-Email, Region Stockholm, eu-north-1) — Versand der Bestätigungs-Email
• Upstash (Frankfurt) — Rate-Limiting-Counter (IP-Hashes, ≤ 1 Stunde TTL)
• Supabase (Frankfurt eu-central-1) — persistente Speicherung der Buchungs-Anfrage

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) — für Ihre Kontaktdaten + Nachricht; der Termin selbst ist Vertragsanbahnung mit dem Tenant
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Anti-Abuse) — für IP, User-Agent, ALTCHA-Proof-Hash, Honeypot-Flag

Speicherdauer:

• Bestätigte Buchung: 90 Tage in der Booking-Request-Tabelle + weitere Aufbewahrung als regulärer Termin gem. Tenant-Settings (acht Jahre bei steuerrelevantem Vorgang)
• Blockierte/Unverifizierte Anfragen: 30 Tage für Abuse-Forensik, danach Löschung
• Magic-Link-Token: 24h Gültigkeit, danach unbrauchbar

Ihre Rechte: Sie können jederzeit Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16) oder Löschung (Art. 17) verlangen. Wenden Sie sich primär an den jeweiligen Tenant (der Anbieter, dessen Buchungsseite Sie genutzt haben) — er ist Verantwortlicher. NexDeck unterstützt als Auftragsverarbeiter bei der Erfüllung Ihrer Rechte. Bei Fragen: privacy@nexdeck.de.

iframe-Embed-Hinweis: Tenants können das Buchungs-Widget via iframe in ihre eigene Website einbetten. Auch in diesem Fall gilt: die Verarbeitung Ihrer Daten erfolgt durch den Tenant (Verantwortlicher) und NexDeck (Auftragsverarbeiter). Der iframe-Host (Tenant-Website) ist KEIN eigener Datenverarbeiter dieser konkreten Buchungs-Daten — wohl aber für seine eigene Website-Telemetrie. Bitte beachten Sie die Datenschutzerklärung der einbettenden Website zusätzlich.

4g. Projektgebundener Kundenbereich (Client-Portal / Magic-Link-Kundenchat)

Tenants (Unternehmen, die NexDeck nutzen) können optional einen projektgebundenen Kundenbereich aktivieren: einen No-Login-Zugang über einen persönlichen Magic-Link, über den ihr Endkunde projektbezogen Nachrichten schreiben, Fotos/Videos/Dateien hochladen sowie kunden-sichtbar freigegebene Meilensteine einsehen kann. Der Zugang ist auf genau ein Projekt beschränkt (nicht übertragbar) und zeitlich befristet.

Verantwortlicher: Der jeweilige Tenant (Anbieter), nicht NexDeck. NexDeck stellt die technische Plattform als Auftragsverarbeiter (Art. 28 DSGVO) und als neutraler Hosting-Dienst bereit. Die Pflicht zur Information Ihrer Endkunden nach Art. 13 DSGVO trifft den Tenant; diese Erklärung ersetzt die eigene Endkunden-Information des Tenants nicht.

Datenkategorien (von Endkunden aktiv eingegeben bzw. hochgeladen):

• Angezeigter Name (serverseitig aus dem Zugangs-Datensatz)
• Nachrichteninhalte (max. 10.000 Zeichen pro Nachricht)
• Hochgeladene Medien (Fotos, Videos, Dateien) — können Metadaten wie z. B. EXIF-Aufnahmedaten enthalten

Technisch erhobene Zugriffs-/Nachweisdaten (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Zugangssicherung und Missbrauchsabwehr):

• Zugangs-Token — gespeichert als Hash (SHA-256); im Klartext werden nur die ersten acht Zeichen zur Zuordnung aufbewahrt, der vollständige Token nicht
• Pseudonymisierte (gehashte) IP-Adresse + User-Agent
• Zeitstempel von Ausstellung, Zugriff und gesendeten Nachrichten (Audit-Protokoll)

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Projekts/Vertragsverhältnisses mit dem Tenant) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an projektbezogener Kommunikation, Zugangssicherung und Nachweis); soweit Inhalte beleg-/beweisrelevant sind, zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. den gesetzlichen Aufbewahrungspflichten.

Speicherdauer (zweckdifferenziert, Grundsatz der Datenminimierung Art. 5 DSGVO):

• Zugangslink: zeitlich befristet (Standard 90 Tage, max. 365 Tage); nach Projektabschluss in der Regel Read-Only-Karenz, anschließend läuft der Zugang ab. Der Ablauf befristet nur den Zugang und löscht selbst keine Daten.
• Koordinationsmedien (Fotos/Videos/Dateien ohne Beleg-/ Beweiswert): werden ab Projektabschluss innerhalb der vom Verantwortlichen konfigurierten Frist (Standard 12 Monate) automatisch gelöscht.
• Nachrichteninhalte: werden spätestens mit Beendigung des Vertrags-/Projektverhältnisses (Karenz) sowie auf Löschverlangen (Art. 17) gelöscht bzw. anonymisiert.
• Beleg-/beweisrelevante Inhalte werden nach den gesetzlichen Fristen aufbewahrt (u. a. § 257 HGB, § 147 AO sowie §§ 195, 199, 634a BGB).

Einzelheiten regelt das Löschkonzept des Auftragsverarbeitungsvertrags (AVV Anlage 3).

Rolle / DSA-Einordnung: NexDeck stellt den geschlossenen, projektgebundenen Zugang als neutralen Hosting-Dienst bereit und betreibt für gemeldete rechtswidrige Inhalte einen Melde-/Abhilfe-Mechanismus (in Anlehnung an Art. 6/16 DSA), ohne eine allgemeine Überwachungspflicht (Art. 8 DSA). Der Kundenbereich ist als geschlossener Magic-Link-Kreis ausgestaltet (kein öffentliches Verzeichnis, kein offenes Beitreten).

Ihre Rechte: Sie können jederzeit Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) sowie Widerspruch (Art. 21 DSGVO) verlangen. Wenden Sie sich primär an den jeweiligen Tenant (Verantwortlicher); NexDeck unterstützt als Auftragsverarbeiter. Rechtswidrige Inhalte können Sie über nexdeck.de/notice melden.

4h. Nutzungskennzahlen über Ihren Betrieb (Produktauswertung des Betreibers)

NexDeck wertet aus, wie die Plattform genutzt wird, um über die Weiterentwicklung zu entscheiden. Anders als in den übrigen Abschnitten ist der Betreiber dafür selbst Verantwortlicher und nicht Auftragsverarbeiter: es geht um Kennzahlen über das Vertragsverhältnis, nicht um die Inhalte, die Sie uns nach dem Auftragsverarbeitungsvertrag anvertrauen.

Welche Angaben erhoben werden

• Tageszähler je Mandant — wie viele Rechnungen, Angebote, Belege, Projekte, Leads, Kunden, E-Mails, Kalendereinträge und Zeiterfassungen an einem Tag angelegt oder bearbeitet wurden, dazu die Gesamtzahl der Aktionen.
• Zahl der an einem Tag aktiven Nutzerkonten — gespeichert wird ausschließlich die Anzahl. Wer davon aktiv war, wird nicht festgehalten.
• Kennzahlen der KI-Nutzung — Anzahl der Aufrufe, Anteil der erfolgreichen, durchschnittliche Zuversicht der Modellantwort, angefallene Kosten sowie die Zahl angenommener und abgelehnter Vorschläge. Der Inhalt eines Vorschlags, die Fehlermeldung eines Modellaufrufs und die Person, die ihn ausgelöst oder angenommen hat, gehören nicht dazu.
• Schnappschüsse der freigeschalteten Module je Mandant und die eingestellte Branche.
• Firmenname, Branche und Anlagedatum Ihres Mandanten, damit die Auswertung einem Vertragspartner zugeordnet werden kann. Eine Nummer allein wäre für die Betreuung wertlos.

Keine Inhalte. Die Auswertung liest keine Rechnungen, Dokumente, Nachrichten, Fotos, Diktate oder Kundendaten Ihres Betriebs. Diese Grenze ist nicht nur beschrieben, sondern im Quelltext durch einen automatisierten Test abgesichert, der die inhalts- und personenführenden Datenfelder gegen eine Verwendung in dieser Auswertung sperrt.

Zweck und Rechtsgrundlage

Zweck ist die Produktentwicklung und Betreuung: erkennen, welche Module tatsächlich genutzt werden, wo Abläufe scheitern, welche Kosten die KI-Funktionen verursachen und welche Mandanten Unterstützung brauchen. Rechtsgrundlage ist allein Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer bedarfsgerechten Weiterentwicklung der Plattform.

Auf die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) stützen wir diese Auswertung ausdrücklich nicht. Der Europäische Datenschutzausschuss hat dazu festgehalten, dass das Erheben von Kennzahlen zur Nutzung eines Dienstes und die Verbesserung eines Dienstes in aller Regel nicht objektiv erforderlich sind, um den Vertrag mit der Nutzerin oder dem Nutzer zu erfüllen — der Dienst ließe sich auch ohne diese Verarbeitung erbringen (Leitlinien 2/2019, Rn. 48 f.). Wir nennen die Grundlage deshalb so, wie sie trägt, und nicht breiter.

Betroffen sind die Angaben in der Regel nur als Unternehmensdaten: die DSGVO gilt nicht für Daten juristischer Personen. Ist Ihr Betrieb einEinzelunternehmen, eine Freiberufler-Praxis oder einePersonengesellschaft (GbR, OHG, KG, PartG), können Kennzahlen über den Betrieb zugleich personenbezogene Daten der dahinterstehenden Personen sein — deshalb dieser Abschnitt. Wir leiten das aus der Rechtsform ab, die Sie in Ihren Firmendaten hinterlegt haben; ist dort nichts hinterlegt, behandeln wir die Angaben vorsorglich als personenbezogen.

Empfänger, Speicherdauer und Widerspruch

• Empfänger: ausschließlich der Betreiber. Die Auswertung ist im Verwaltungsbereich der Plattform allein Personen mit Plattform-Administrationsrechten zugänglich; für Ihre eigenen Beschäftigten ist sie nicht sichtbar. Es findet keine Weitergabe an Dritte und keine Übermittlung in ein Drittland statt.
• Speicherdauer: Tageswerte werden nach zwölf Monaten zu Monatswerten verdichtet; die einzelnen Tageszeilen werden dabei gelöscht. Die Monatswerte werden nach weiteren 36 Monaten gelöscht. Nach insgesamt vier Jahren ist damit nichts mehr vorhanden. Für die Produktbeobachtung zählt der Verlauf, nicht der einzelne Tag.

Abgrenzung: Zugriffe von Beschäftigten des Betreibers auf Mandanteninhalte im Rahmen der Unterstützung sind etwas anderes — sie sind weisungsgebunden nach Art. 28 DSGVO, werden gesondert protokolliert und sind im Auftragsverarbeitungsvertrag geregelt. Würde die hier beschriebene Auswertung Inhalte einbeziehen, wäre der Betreiber dafür nach Art. 28 Abs. 10 DSGVO Verantwortlicher. Genau das findet nicht statt.

4i. Kündigungsseite für Verträge mit Betrieben, die NexDeck nutzen

Betriebe, die NexDeck nutzen, können ihren Kundinnen und Kunden eine Kündigungsseite anbieten — entweder unter einer eigenen Adresse des Betriebs oder über die allgemeine Kündigungsseite von NexDeck. Die Seite erfasst die Angaben, die § 312k Abs. 2 BGB für die Bestätigungsseite vorsieht, und nimmt die Kündigungserklärung mit der Schaltfläche „jetzt kündigen“ entgegen.

• Daten: Art der Kündigung und ggf. Grund, Name, E-Mail-Adresse, freiwillig eine Kundennummer, Bezeichnung des Vertrags, gewünschter Zeitpunkt, Adresse für die Bestätigung, Zeitpunkt des Eingangs; zum Schutz vor Missbrauch ein mit einem geheimen Schlüssel gebildeter Hashwert der IP-Adresse (nicht die IP-Adresse selbst) und die Browserkennung.
• Zweck und Verantwortlicher: Entgegennahme und Bestätigung der Kündigung (§ 312k Abs. 3 und 4 BGB) für den Betrieb, mit dem der Vertrag besteht. Verantwortlicher ist dieser Betrieb; NexDeck verarbeitet die Daten in seinem Auftrag (Art. 28 DSGVO). Über die allgemeine Seite ohne Betriebsangabe ordnet NexDeck die Erklärung dem Betrieb zu und leitet sie an ihn weiter.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312k BGB (Pflichten des Betriebs) sowie Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags).
• Empfänger: der Betrieb; die Bestätigung geht per E-Mail (AWS SES, Stockholm) an die angegebene Adresse und, wenn abweichend, an die beim Vertrag hinterlegte Adresse.
• Speicherdauer: sechs Jahre (empfangener Geschäftsbrief, § 257 Abs. 1 Nr. 2, Abs. 4 HGB), danach Löschung. Der Inhalt einer abgegebenen Erklärung ist in NexDeck nicht mehr änderbar.

4j. Meldungen rechtswidriger Inhalte

Über nexdeck.de/notice kann jede Person Inhalte melden, die sie für rechtswidrig hält (Melde- und Abhilfeverfahren nach Art. 16 der Verordnung (EU) 2022/2065, DSA). Für diese Verarbeitung ist die Kre8ive Evolution UG (haftungsbeschränkt) selbst Verantwortlicher.

• Daten: E-Mail-Adresse, bei einer nicht anonymen Meldung Name und freiwillig eine Anschrift, die gemeldete Adresse und Beschreibung, die Erklärung zum guten Glauben, eine gekürzte IP-Adresse (bei IPv4 ohne die letzte Zifferngruppe), die Browserkennung, Zeitpunkte von Eingang, Bestätigung und Entscheidung sowie die Entscheidung mit Begründung.
• Zweck und Rechtsgrundlage: Bearbeitung der Meldung, Eingangsbestätigung und Mitteilung der Entscheidung (Art. 16 Abs. 4 und 5 DSA), Begründung gegenüber dem betroffenen Betrieb (Art. 17 DSA) — Art. 6 Abs. 1 lit. c DSGVO; Schutz vor Missbrauch des Formulars — Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: intern die mit der Bearbeitung betraute Stelle; die Bestätigungen gehen per E-Mail (AWS SES, Stockholm) an die angegebene Adresse. Der betroffene Betrieb erhält die gemeldete Adresse, Ihre Beschreibung und eine Begründung der Entscheidung — ohne Ihren Namen und Ihre Kontaktdaten; Namen, E-Mail-Adressen und Telefonnummern in der Beschreibung entfernen wir vor der Weitergabe. Besteht der Verdacht einer Straftat, die eine Gefahr für Leben oder Sicherheit darstellt, informieren wir die zuständigen Behörden (Art. 18 DSA).
• Speicherdauer: Name, Anschrift, E-Mail-Adresse, gekürzte IP-Adresse und Browserkennung werden drei Jahre nach Schluss des Kalenderjahres der Entscheidung entfernt; die Meldung selbst bleibt ohne diese Angaben für die Transparenzberichte (Art. 15 DSA) erhalten. Bei einer Meldung ohne Entscheidung geschieht das spätestens fünf Jahre nach Schluss des Kalenderjahres des Eingangs. Ausgenommen sind Meldungen, deren betroffener Betrieb wegen eines Verfahrens gesperrt ist, und Meldungen, auf die eine Meldung an eine Behörde verweist.

5. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten („Recht auf Vergessenwerden“), sofern keine Aufbewahrungspflichten bestehen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) – z.B. LDI NRW

Speicherdauer Ihres Antrags: Die im Antragsverfahren erfassten Angaben (Antrag, Identitätsprüfung, Bearbeitungsprotokoll) bewahren wir auf, um die Erfüllung belegen zu können (Art. 5 Abs. 2 DSGVO). Drei Jahre nach Schluss des Kalenderjahres, in dem der Antrag abgeschlossen wurde, löschen wir Protokoll und Identitätsprüfung und entfernen Ihre Angaben aus dem Antrag; ein nicht abgeschlossener Antrag wird spätestens fünf Jahre nach Schluss des Kalenderjahres des Eingangs so behandelt. Ist für den Betrieb, bei dem Ihr Nutzerkonto geführt wird, eine Aufbewahrungssperre (etwa wegen eines Rechtsstreits) eingetragen, warten wir damit bis zu deren Aufhebung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 12 und 5 Abs. 2 DSGVO.

Für weitere Anfragen wenden Sie sich bitte an: support@nexdeck.de

6. Speicherdauer

• Während der Vertragslaufzeit: Wir speichern Ihre Daten so lange, wie Sie einen aktiven Account bei uns haben.
• Nach Kündigung: Ihre Inhaltsdaten werden 45 Tage nach Vertragsende unwiderruflich gelöscht (Karenzzeit für Datenexport). Eine Kündigung Ihres NexDeck-Vertrags erklären Sie über den Kündigungs-Button unter Einstellungen → Mein NexDeck-Vertrag oder per E-Mail an legal@nexdeck.de (AGB § 9 Abs. 4).
• Steuerrecht: Rechnungen und Buchungsbelege müssen wir gesetzlich acht Jahre aufbewahren (§ 147 Abs. 1 Nr. 4 AO, seit dem Vierten Bürokratieentlastungsgesetz); Bücher, Jahresabschlüsse und Inventare zehn Jahre (§ 147 Abs. 1 Nr. 1 AO).

7. Datensicherheit

Wir nutzen moderne Verschlüsselungsverfahren:

• SSL/TLS für die Übertragung
• AES-256 für die Datenbank
• Besonders sensible Daten (API-Token, OAuth-Credentials) werden zusätzlich isoliert und verschlüsselt gespeichert
• Row Level Security (RLS) auf Datenbankebene für strikte Mandantentrennung

8. Cookies und vergleichbare Speicherungen

Welche Cookies und vergleichbaren Speicherungen (Local Storage, Session Storage, IndexedDB, Zwischenspeicher der Web-App) die NexDeck-Anwendung einsetzt, jeweils mit Name, Zweck, Speicherdauer und Anbieter, steht in unserer Cookie-Richtlinie.

• Technisch notwendige und funktionale Speicherungen (zum Beispiel Anmeldung, Ihre Cookie-Entscheidung, Offline-Nutzung, Einstellungen der Oberfläche) erfolgen ohne Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Der Hintergrunddienst (Service Worker) für die Offline-Nutzung wird nur in der angemeldeten Anwendung eingerichtet, nicht auf Seiten, die Sie über einen zugesandten Link öffnen.
• Der Push-Dienst von OneSignal (einschließlich eines eigenen Hintergrunddienstes im Browser) wird erst nach Ihrem Klick auf „Push aktivieren“ und der Erlaubnis Ihres Browsers eingerichtet; dazu Abschnitt 4c.2.
• Fehlerberichte, Messwerte und die maskierte Sitzungsaufzeichnung bei Fehlern über Sentry aus Ihrem Browser laufen nur mit Ihrer Zustimmung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); Einzelheiten in Abschnitt 4f.3.
• Werbedienste und Dienste Dritter zur Reichweitenmessung setzen wir nicht ein; die optionale Messung von Ladezeiten und Seitenaufrufen durch Sentry beschreibt Abschnitt 4f.3.

Das Fenster „Cookie-Einstellungen“ erscheint beim ersten Aufruf und erneut, wenn sich ändert, wofür wir um Ihre Einwilligung bitten; eine neue Fassung der Cookie-Hinweise allein löst es nicht aus. Es erscheint kein Fenster auf Seiten, die Sie über einen zugesandten Link öffnen (von Ihrem Auftragnehmer oder von NexDeck), zum Beispiel Angebot, Rechnung, Kundenportal, Freigaben und das Verkaufsangebot von NexDeck; auf der Terminbuchung, den Kontakt- und Newsletter-Formularen sowie dem Kundenchat; auf Kündigungsseiten; auf Rückkehrseiten nach einer Zahlung; auf Abmelde- und Bestätigungsseiten; auf den Rechtstexten eines Betriebs (Impressum, Datenschutz, Geschäftsbedingungen, Widerruf); auf den Rechtstexten von NexDeck (unter anderem dieser Datenschutzerklärung, Impressum, Geschäftsbedingungen und Cookie-Richtlinie — Ihre Auswahl ändern Sie dort über den Knopf „Cookie-Einstellungen“) sowie auf dem Hallenbildschirm; dort fragen wir nichts ab, und Ihr Browser sendet dort keine Fehlerberichte (Abschnitt 4f.3). Ihre Entscheidung speichert Ihr Browser im lokalen Speicher (Local Storage) für nexdeck.app; ein Cookie dafür setzen wir nicht. Sind Sie angemeldet, halten wir Ihre Entscheidung zusätzlich zum Nachweis (Art. 7 Abs. 1 DSGVO) in einem nur ergänzbaren Protokoll fest: Zeitpunkt, Fassung, Ihre Auswahl sowie IP-Adresse und Browserkennung. Ohne Anmeldung wird auf unseren Servern nichts davon gespeichert.

Ihre Entscheidung können Sie jederzeit ändern oder widerrufen: über den Knopf „Cookie-Einstellungen“ im Seitenfuß dieser und der übrigen Rechtstexte-Seiten, nach der Anmeldung auch unter „Mein Profil“ und in der App im Menü „Mehr“. Der Knopf löscht Ihre gespeicherte Auswahl und öffnet das Fenster erneut. Alternativ können Sie die Websitedaten für nexdeck.app im Browser löschen.