Datenschutzerklärung

• Wir verarbeiten nur, was für Webseite, Vertrag und Software nötig ist.
• Keine Werbenetzwerke, keine fremden Analysedienste, kein Verkauf von Daten.
• Unsere Server und die Server unserer Dienstleister stehen in Deutschland. Nur wenn Sie über unseren Zahlungsdienst bezahlen, die App über Google Play beziehen oder ein Kalender-Abo bei einem Kalenderdienst eintragen, können diese Anbieter Daten in eigener Verantwortung auch außerhalb der EU verarbeiten. Schalten Sie in der App Benachrichtigungen ein, stellt Google sie für uns zu; dabei kann Google Daten auch in den USA verarbeiten. Scannen Sie in der App einen Beleg, erhält Google Angaben zur Nutzung des Scanners, kein Bild; auch sie kann Google in den USA verarbeiten.
• Daten, die ein Betrieb in CoPunkt über seine Kunden und Mitarbeiter ablegt, verarbeiten wir nur in seinem Auftrag. Verantwortlich dafür ist der Betrieb.
• Sie können jederzeit Auskunft, Berichtigung und Löschung verlangen und Verarbeitungen aus berechtigtem Interesse widersprechen.

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Für alle Fragen zum Datenschutz erreichen Sie uns per E-Mail an support@copunkt.de oder über das Kontaktformular.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen dafür nicht vorliegen (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner ist der Inhaber selbst.

CoPunkt ist eine Software für Handwerksbetriebe. Dabei gibt es zwei Arten von Daten, und für sie gelten unterschiedliche Regeln:

• Unsere eigenen Daten: Besuche dieser Webseite, Anfragen, das Kundenkonto des Betriebs, Verträge, Rechnungen, Zahlungen und die Lizenzverwaltung. Dafür sind wir verantwortlich, und davon handelt diese Erklärung.
• Daten, die ein Betrieb mit CoPunkt verarbeitet: seine Kunden, Angebote, Rechnungen, Buchhaltung, Einsätze, Rapporte und Fotos, die Zugänge seiner Mitarbeiter und die Zugänge, die er seiner Steuerberatung oder für eine Betriebsprüfung einrichtet, samt dem Verlauf, was darüber heruntergeladen und, bei der Steuerberatung, angesehen wurde. Dafür ist der Betrieb verantwortlich. Soweit diese Daten über unsere Server laufen oder dort liegen, sind wir sein Auftragsverarbeiter nach Art. 28 DSGVO. Was dabei gilt, steht im Vertrag über die Auftragsverarbeitung. Das gilt auch, wenn eine Problemmeldung solche Daten enthält: Dann verarbeiten wir sie im Auftrag des Betriebs, um die Störung zu beheben. Automatische Fehlerberichte und das Systemprotokoll nutzen wir, um die Software für alle Kunden fehlerfrei zu halten (Abschnitte Windows-Programm, Handwerker-App und Protokolle); beheben wir damit eine Störung bei einem Betrieb, gehört das zugleich zur Verarbeitung in seinem Auftrag.

Sind Sie Monteur, Kunde oder Steuerberater eines Betriebs, der CoPunkt einsetzt, wenden Sie sich mit Fragen zu Ihren Daten bitte an diesen Betrieb. Was eine Steuerberaterin oder ein Steuerberater mit eigenem Zugang dort abruft und herunterlädt, verarbeitet die Kanzlei danach in eigener Verantwortung. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich an ihn weiter; entscheiden darf über diese Daten nur der Betrieb. Die Abschnitte zur Handwerker-App und zum Serverbetrieb weiter unten beschreiben trotzdem, was technisch geschieht, damit Sie es nachlesen können.

Wenn Sie eine Seite aufrufen, sendet Ihr Browser technisch notwendige Angaben an unseren Server: IP-Adresse, Zeitpunkt, aufgerufene Adresse, die Seite, von der Sie kamen, sowie Browser- und Betriebssystemkennung. Ohne diese Angaben lässt sich keine Seite ausliefern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt darin, die Seite sicher und zuverlässig bereitzustellen.

Ein Zugriffsprotokoll mit IP-Adressen führen wir nicht. Der Server verarbeitet die Angaben nur für die Dauer der Verbindung. Tritt dabei ein Fehler auf, kann die Fehlermeldung im Systemprotokoll landen; es wird nach 30 Tagen gelöscht (siehe Protokolle).

Die Verbindung ist verschlüsselt (HTTPS). Ihr Browser merkt sich ein Jahr lang, diese Adressen nur verschlüsselt aufzurufen (HSTS). Wir binden keine fremden Schriften, Karten, Videos, Werbenetzwerke oder Analysedienste ein. Diese Webseite lädt nichts von anderen Anbietern nach.

Solange CoPunkt nur ausgewählten Betrieben angeboten wird, sind einige Seiten dieser Webseite (etwa Preise, Kauf und Installation) nur mit einem Einladungscode erreichbar. Geben Sie einen Code ein, prüft unser Server ihn und legt in Ihrem Browser ein Cookie mit dem Namen copunkt_einladung ab. Es enthält eine unterschriebene Zugangsmarke mit dem Code und ihrem Ablaufzeitpunkt und gilt bis zum Ablauf des Codes, höchstens 30 Tage. Sie können es jederzeit in Ihrem Browser löschen; dann fragt die Seite den Code erneut ab.

Das Cookie ist für den von Ihnen ausdrücklich gewünschten Zugang unbedingt erforderlich. Es wird deshalb ohne Einwilligung gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG). Es dient keinem anderen Zweck und wird nicht ausgewertet. Beim Eingeben eines Codes zählen wir, dass der Code benutzt wurde, ohne Angaben zu Ihrer Person. Fehlversuche werden mit IP-Adresse 30 Tage gespeichert, damit sich Codes nicht durch Ausprobieren erraten lassen (Art. 6 Abs. 1 Buchst. f DSGVO).

Legen Sie mit einem Einladungscode ein Kundenkonto an, vermerken wir zu dem Code Ihre E-Mail-Adresse, den Namen Ihres Betriebs und den Zeitpunkt. So sehen wir, welche Einladung zu welchem Konto geführt hat (Art. 6 Abs. 1 Buchst. b und f DSGVO). Der Vermerk wird nach zwei Jahren gelöscht; auf Ihren Wunsch entfernen wir die E-Mail-Adresse daraus sofort.

Wir möchten wissen, wie oft unsere Seiten aufgerufen werden und wie Besucher zu uns finden. Dafür nutzen wir keinen fremden Dienst: Die Zählung läuft auf unserem eigenen Server, und es gehen keine Daten an andere Unternehmen.

In Ihrem Browser wird dafür nichts gespeichert und nichts ausgelesen. Kein Cookie, kein Eintrag im Browserspeicher, keine Abfrage von Browsereigenschaften. Ein kleines Skript meldet unserem Server nur, welche unserer Seiten aufgerufen wurde. Alles Weitere leitet der Server aus den Angaben ab, die Ihr Browser bei jeder Anfrage ohnehin mitsendet. Ist JavaScript abgeschaltet, findet keine Zählung statt.

Gespeichert wird je Aufruf:

• der Tag und welche unserer Seiten aufgerufen wurde,
• die Art der Herkunft (Suchmaschine, Verweis oder direkt), in den ersten beiden Fällen nur der Servername der Herkunft (etwa google.de), nie die vollständige Adresse,
• ob es ein Telefon, ein Tablet oder ein Rechner war,
• eine Kennung des Tages, mit der sich Aufrufe desselben Besuchers innerhalb eines Tages zusammenfassen lassen.

Ihre IP-Adresse und Ihre Browserkennung speichern wir dafür nicht. Der Server bildet aus beiden zusammen mit einem zufälligen Schlüssel des Tages die Kennung des Tages und verwirft sie danach. Der Schlüssel liegt nur im Arbeitsspeicher und wird täglich neu erzeugt. Eine Wiedererkennung über mehrere Tage, Geräte oder fremde Webseiten hinweg ist damit ausgeschlossen.

Die Einzelzeilen bleiben nur bis zum Ende ihres Tages. Spätestens etwa eine Stunde nach Mitternacht fassen wir sie zu Tageszahlen zusammen (Zahl der Aufrufe und Besucher, Verteilung auf Seiten, Geräte und Herkunft) und löschen sie. Die Tageszahlen enthalten keinen Personenbezug mehr und bleiben erhalten.

Sendet Ihr Browser das Signal „Do Not Track“ oder „Global Privacy Control“, zählen wir Sie nicht. Ebenso wenig zählen wir Programme, die sich als automatische Abrufer zu erkennen geben, und den Kundenbereich überhaupt nicht.

Aufrufe von unseren eigenen Anschlüssen zählen wir nicht mit. Dazu vergleicht der Server Ihre Adresse beim Aufruf mit einer kurzen Liste dieser Anschlüsse und verwirft sie danach wie oben beschrieben; über Sie wird dabei nichts gespeichert.

Weil auf Ihrem Gerät nichts gespeichert und nichts ausgelesen wird, braucht die Zählung keine Einwilligung (§ 25 TDDDG), und es gibt kein Einwilligungsbanner. Rechtsgrundlage für die Verarbeitung auf unserem Server ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist es, zu erfahren, ob und wie unser Angebot gefunden wird. Sie können der Zählung jederzeit widersprechen, am einfachsten mit einem der beiden Signale in Ihrem Browser.

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Nachricht und, wenn Sie sie angeben, den Namen Ihres Betriebs und Ihre Telefonnummer. Wir brauchen diese Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 Buchst. f DSGVO (unser Interesse, Anfragen beantworten zu können).

Eine Nachricht über das Formular speichern wir zusammen mit dem Zeitpunkt und der Fassung dieser Datenschutzerklärung, deren Kenntnisnahme Sie bestätigt haben, und leiten sie per E-Mail an unser Postfach weiter. Gegen massenhafte Fremdeinträge schützen wir das Formular ohne fremden Dienst: mit einem für Menschen unsichtbaren Feld, einer Zeitprüfung, einer Höchstzahl von Nachrichten je E-Mail-Adresse und einer Grenze für Anfragen je IP-Adresse, die nur im Arbeitsspeicher gezählt und nicht gespeichert wird. Die gespeicherte Nachricht löschen wir nach 180 Tagen, auf Wunsch früher. E-Mails, aus denen sich ein Vertrag oder eine Rechnung ergibt, sind Geschäftsbriefe; wir bewahren sie sechs Jahre ab Ende des Kalenderjahres auf (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO, § 257 HGB).

Über die Seite Konto löschen können Sie die Löschung eines Zugangs beantragen, auch ohne die App. Dabei wird noch nichts gelöscht. Betrifft der Antrag Ihr Kundenkonto bei uns, prüfen wir ihn und führen ihn aus, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Betrifft er einen Zugang, den ein Betrieb für Sie eingerichtet hat, etwa als Monteur, entscheidet der Betrieb; wir leiten den Antrag unverzüglich an ihn weiter.

Für das Kundenkonto eines Betriebs verarbeiten wir: Firmenname, Anschrift, Ansprechpartner (freiwillig), Telefon (freiwillig), E-Mail-Adresse, Steuernummer oder Umsatzsteuer-Identifikationsnummer (oder den Vermerk, dass die Steuernummer beim Finanzamt beantragt ist), Rechtsform, bei eingetragenen Gesellschaften Registergericht, Registernummer und die Namen der Geschäftsführung, ob Sie Kleinunternehmer sind, das Bundesland und den gewünschten Kontenrahmen (diese Angaben übernimmt Ihr Programm beim ersten Start in seine Firmendaten, damit es sie nicht noch einmal fragt), den gebuchten Tarif, die eingerichteten Arbeitsplätze und App-Zugänge sowie Zeitpunkt und Fassung Ihrer Zustimmung zu AGB und Auftragsverarbeitungsvertrag und, woher sie kam (Kundenbereich, Windows-Programm oder App). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Einer neuen Fassung von AGB und Auftragsverarbeitungsvertrag können Sie auch im Windows-Programm oder als Inhaber in der App zustimmen. Dafür geben Sie E-Mail-Adresse und Kennwort Ihres Kundenkontos ein, bei eingeschaltetem zweiten Faktor auch den Code. Diese Angaben gehen über eine verschlüsselte Verbindung an unser Portal, das damit prüft, ob das Kundenkonto zu Ihrem Betrieb gehört. Gespeichert werden sie dabei nicht, weder im Programm noch in der App noch im Serverbetrieb.

Ob Ihnen der Kundenbereich seinen Rundgang schon angeboten hat, merkt sich unser Portal an Ihrem Kundenkonto, damit die Frage nur einmal kommt, auf jedem Gerät gleich. Gespeichert ist nur der Zeitpunkt des Angebots, nicht Ihre Antwort; im Browser wird dafür nichts abgelegt. Der Vermerk geht mit dem Kundenkonto.

Zu Bestellungen, Tarifwechseln, zusätzlichen Plätzen und Käufen aus dem Vorlagenkatalog speichern wir Zeitpunkt, Inhalt, Preis und Rechnung. Kommt die Bestellung aus dem Programm, vermerken wir die E-Mail-Adresse der dort angemeldeten Person. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit § 147 AO und § 14b UStG: Rechnungen sind Buchungsbelege und werden acht Jahre aufbewahrt, Bücher und Buchungsaufzeichnungen zehn Jahre, jeweils ab Ende des Kalenderjahres.

Rechnungen erhalten Sie per E-Mail. Das Windows-Programm holt sie zusätzlich als PDF und als E-Rechnung ab, damit Sie sie in Ihre Buchhaltung übernehmen können. Rechnungen, Stornobelege und Rechnungskorrekturen legen wir beim nächsten Abgleich auch im Belegeingang Ihres Programms ab. Im Kundenbereich stehen sie zum Abruf bereit, solange Ihr Kundenkonto besteht; vor der Schließung weisen wir Sie darauf hin, und Sie können alle gesammelt als ZIP-Archiv herunterladen. Nach der Schließung ist kein Abruf mehr möglich; unsere eigene Ausfertigung bewahren wir nach § 147 AO auf (siehe oben).

Damit wir Anfragen von Betrieben mit bevorzugtem Support (§ 3 Abs. 6a der AGB) vorrangig bearbeiten können, vergleichen wir die Absenderadresse einer Anfrage oder einer Rückmeldung mit den Mailadressen der Kundenkonten. Gespeichert wird dabei nichts Zusätzliches. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Bleibt eine Rechnung lange unbezahlt, kündigen wir Ihnen per E-Mail an, dass Ihr Zugang in den Lesemodus wechselt, und tun das frühestens 14 Tage danach (§ 8 Abs. 5 der AGB). Dafür werten wir nur Rechnungsdatum, Versand und Zahlungseingang aus. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Müssen wir einen Zugang nach § 5 Abs. 7 und 8 der AGB vorläufig sperren, etwa bei einem Angriff aus dem Konto oder einem übernommenen Zugang, halten wir Grund, Umfang, Zeitpunkt, wer gesperrt hat und eine kurze Begründung fest und teilen Ihnen die Sperre und ihre Aufhebung per E-Mail mit. Das entscheidet ein Mensch, nicht ein Automat. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b und f DSGVO (Schutz unserer Systeme, anderer Kunden und Dritter). Diese Vermerke gehören zu den Nachweisen zum Vertrag im Änderungsprotokoll (siehe Protokolle).

Endet Ihre kostenlose Testphase, ohne dass Sie einen Tarif buchen, bleibt Ihr Zugang im Lesemodus. Frühestens 60 Tage danach kündigen wir Ihnen per E-Mail die Löschung an; damit endet der Vertrag, und es gilt dasselbe wie nach jedem Vertragsende: 30 Tage zum Herunterladen, Erinnerung 14 und 3 Tage vorher, dann Löschung und Bestätigung per E-Mail (§ 2 Abs. 3 der AGB). Buchen Sie vorher, entfällt das. Für Testbetriebe gilt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; gelöscht wird, weil die Daten ohne Vertrag keinem Zweck mehr dienen (Art. 5 Abs. 1 Buchst. e, Art. 17 DSGVO).

Damit jeder Betrieb CoPunkt nur einmal kostenlos testet, merken wir uns beim Beginn einer Testphase einen Prüfwert des Windows-Rechners, auf dem CoPunkt eingerichtet wird, sowie der Steuernummer und der USt-IdNr. Der Prüfwert ist mit einem geheimen Schlüssel gebildet; aus ihm lassen sich Rechner und Nummern nicht zurückgewinnen, er dient nur dem Vergleich. Er bleibt auch nach dem Löschen des Kundenkontos gespeichert, weil er sonst seinen Zweck nicht erfüllt. Rechtsgrundlage ist unser berechtigtes Interesse, Missbrauch der kostenlosen Testphase zu verhindern (Art. 6 Abs. 1 Buchst. f DSGVO).

Bei kostenlosen Zugängen (Testphase oder Testbetrieb) sehen wir nach, ob sie genutzt werden. Dafür werten wir je Rechner, Telefon und Serverbetrieb nur Zeitpunkte aus: wann er sich zuletzt bei uns gemeldet hat (diese Zeitpunkte speichern wir ohnehin für Lizenz und Betrieb) und je Rechner und Serverbetrieb den Zeitpunkt der letzten Änderung (nicht welche): im Serverbetrieb, wann zuletzt etwas gespeichert wurde, ohne Serverbetrieb ab dem Windows-Programm 0.9.4 den Zeitpunkt, den das Programm mit seiner Meldung, dass es geöffnet ist, nennt. Inhalte, Namen von Personen oder einen Verlauf werten wir dafür nicht aus. Meldet sich ein kostenloser Zugang an (im Windows-Programm, auch beim Programmstart, an der Kammer, in der Handwerker-App, auch beim Öffnen nach einer Pause, oder im Kundenbereich), erhalten wir höchstens einmal am Tag je Betrieb eine E-Mail mit dem Namen des Betriebs, dem Zeitpunkt und dem Weg der Anmeldung; Namen von Personen und E-Mail-Adressen stehen nicht darin. Gemerkt wird dafür nur der Tag der letzten solchen E-Mail. Wird ein kostenloser Zugang länger nicht genutzt, können wir einen einzelnen Rechner oder App-Zugang sperren oder den Testzugang beenden (Lesemodus), damit andere Betriebe testen können. Das entscheidet ein Mensch. Wir kündigen es Ihnen 14 Tage vorher per E-Mail an und nehmen es auf Ihre Nachricht hin zurück; Ihre Daten bleiben erhalten und lassen sich weiter ansehen und exportieren (§ 2 Abs. 6 der AGB; für eine so beendete Testphase gilt danach der Absatz oben). Nimmt Ihr Betrieb am Beta-Test teil, gelten dafür die Bedingungen für den Beta-Test (unten). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung des kostenlosen Testzugangs) und Art. 6 Abs. 1 Buchst. f DSGVO (unser berechtigtes Interesse, kostenlose Plätze an Betriebe zu vergeben, die sie nutzen).

Wir versenden drei Arten von E-Mails mit drei verschiedenen Grundlagen:

• Nachrichten zum Vertrag: Rechnungen, Bestätigungscodes, Kündigungsbestätigungen, Erinnerungen vor der Löschung nach Vertragsende. Grundlage ist der Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO, § 11 Abs. 1 der AGB). Sie lassen sich nicht abbestellen. Dazu gehören auch die Ankündigung einer neuen Fassung der AGB oder des Vertrags über die Auftragsverarbeitung (§ 17 Abs. 1 der AGB) und die Bestätigung, dass Ihre Daten nach Vertragsende gelöscht sind (§ 5 des Vertrags über die Auftragsverarbeitung). Sie gehen an die Adresse Ihres Betriebs, auch wenn Sie keine Werbung erhalten möchten, denn sie sind Mitteilungen zum Vertrag und keine Werbung.
• Hinweise zum Vertragsverhältnis, etwa dass Ihre Lizenz bald abläuft. Grundlage ist unser berechtigtes Interesse, dass Sie nicht unbeabsichtigt den Zugang verlieren (Art. 6 Abs. 1 Buchst. f DSGVO). Sie können jederzeit widersprechen.
• Werbung nur mit Ihrer vorherigen ausdrücklichen Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Sie ist freiwillig und ohne Einfluss auf die Nutzung der Software.

Eine Einwilligung in Werbung wird erst wirksam, wenn Sie Ihre E-Mail-Adresse bestätigt haben. Das gilt auch, wenn Sie nach einem früheren Widerruf erneut einwilligen.

Widerruf und Widerspruch gehen mit einem Klick über den Link am Ende jeder Hinweis- und Werbemail, ohne Anmeldung, oder im Kundenbereich unter „Mails vom Anbieter“. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Zu einer Einwilligung speichern wir E-Mail-Adresse, Zeitpunkt der Einwilligung und der Bestätigung, Fassung des Einwilligungstextes, den Weg, auf dem sie erteilt wurde, und einen Widerruf. Diese Angaben bleiben nach einem Widerruf noch drei Jahre gespeichert, weil wir nachweisen müssen, dass wir niemandem ungefragt geschrieben haben (Art. 7 Abs. 1 DSGVO), und seit wann jemand nichts mehr bekommen wollte.

Das Programm arbeitet auf Ihrem Rechner mit einer eigenen Datenbank. Kunden, Belege, Buchhaltung und Pläne liegen dort und nicht bei uns, solange Sie keinen Serverbetrieb gebucht haben. Quittungen, die ein Monteur mit der App ans Büro schickt, reisen nur verschlüsselt über unser Portal (unten). Mit uns spricht das Programm nur über eine verschlüsselte Verbindung zu unserem Portal, und nur für die folgenden Zwecke:

• Lizenz: Beim Anmelden eines Rechners übermittelt das Programm eine zufällig erzeugte Gerätekennung (keine Hardwarekennung), den Windows-Computernamen, das Betriebssystem und die Programmfassung. Danach fragt es jede Minute den aktuellen Lizenzstand ab, damit eine Änderung ohne Neustart wirkt, und erneuert seine Lizenzmarke etwa zweimal am Tag. Wir speichern zum Gerät Kennung, Name, Fassung und den Zeitpunkt der letzten Meldung. Ohne Verbindung arbeitet das Programm für die im Tarif angegebene Kulanzzeit weiter.
• Programm geöffnet: Solange das Programm offen ist, meldet es jede Minute nur, dass es läuft, und beim Schließen, dass es zu ist. Damit sehen wir, wie viele Programme gerade offen sind, und im Support, ob ein Rechner gerade läuft. Was im Programm geschieht, wer daran arbeitet, Klicks oder Inhalte übermittelt es dabei nicht. Den Zustand „offen“ halten wir nur im Arbeitsspeicher und führen keinen Verlauf; in der Datenbank steht wie bisher nur der Zeitpunkt der letzten Meldung des Geräts. Ab Fassung 0.9.4 nennt das Programm ohne Serverbetrieb dabei auch, wann zuletzt etwas gespeichert wurde, nur den Zeitpunkt und nicht was; behalten wird er nur bei kostenlosen Zugängen (siehe Vertrag).
• Aktualisierungen: Beim Start der Oberfläche fragt das Programm, ob es eine neue Fassung gibt, und nennt dabei seine Gerätekennung, damit wir neue Fassungen schrittweise verteilen können. Heruntergeladen wird nur auf Ihren Klick, von unserem eigenen Portal, und jede Datei wird vor der Installation auf unsere digitale Signatur geprüft.
• Rechnungen und Vorlagenkatalog: Alle sechs Stunden holt das Programm Ihre Rechnungen und das Angebot des Vorlagenkatalogs ab. Dabei übermittelt es nur seine Lizenzmarke; die Vorschau einer Vorlage entsteht auf Ihrem Rechner, Ihr Logo und Ihre Firmenangaben gehen dafür nicht an uns.
• Handwerker-App: Nutzen Ihre Monteure die App, gleicht das Programm etwa alle 20 Sekunden mit unserem Portal ab (siehe Handwerker-App).
• Kalender-Abo: Auf Wunsch stellt das Programm für einen Zugang oder für alle Einsätze des Betriebs eine Abruf-Adresse aus, unter der ein Kalender die Einsätze abholt (siehe Kalender-Abo).
• Problem melden: Unter Einstellungen, Problem melden können Sie uns eine Beschreibung und einen Ausschnitt des Programmprotokolls schicken. Das geschieht nur, wenn Sie den Knopf drücken. Was mitgeht, sehen Sie vorher im Klartext; Kennwörter, Schlüssel, Codes, E-Mail-Adressen, Windows-Benutzernamen, Telefon- und Steuernummern, IBAN und lange Zahlenfolgen werden auf Ihrem Rechner unkenntlich gemacht, IP-Adressen zusätzlich auf unserem Server beim Eingang. Wir speichern die Meldung mit Ihrer Anmeldeadresse und löschen sie nach 90 Tagen.
• Automatische Fehlerberichte: Tritt im Programm ein unerwarteter Fehler auf, meldet es uns das von selbst, damit wir Fehler finden und beheben können, bevor sie viele Betriebe treffen. Übermittelt werden nur Zeitpunkt, Plattform, Programmfassung, der Ort im Programm ohne Kennungen (etwa die Seite /customers/:id statt der Nummer des Kunden), die Art des Fehlers (Fehlercode oder Fehlerklasse) mit der Stelle im Programmcode, die Anzahl sowie Ihr Betrieb und die Gerätekennung aus der Lizenz. Keine Inhalte: keine Fehlertexte, keine Eingaben, keine Namen, Beträge oder Adressen; Mailadressen, IBAN, Zahlenfolgen und Benutzernamen werden auf Ihrem Rechner und noch einmal beim Eingang unkenntlich gemacht. Auf demselben Weg meldet das Programm einen Start, der länger als 30 Sekunden dauert oder bei dem ein Versuch scheitert, mit der Dauer der einzelnen Startschritte in Sekunden (etwa „Datenbank einrichten 52 s“), ob es der erste Start war, und der Programmfassung. Gesendet wird gesammelt, höchstens einmal je Minute und höchstens 50 Berichte je Stunde. Wir löschen einen Bericht 90 Tage nach dem letzten Auftreten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist eine fehlerfreie und sichere Software für alle Kunden. Sie können das jederzeit unter Einstellungen, Problem melden mit dem Schalter „Fehler automatisch melden (ohne Inhalte)“ abschalten; dann sendet das Programm keine Fehlerberichte mehr.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Bereitstellung der lizenzierten Software), für die schrittweise Verteilung von Aktualisierungen Art. 6 Abs. 1 Buchst. f DSGVO (Schutz aller Kunden vor einer fehlerhaften Fassung).

Das Programm sendet keine Nutzungsstatistik. Fehler meldet es nur als automatischen Fehlerbericht ohne Inhalte (oben, abschaltbar); Einzelheiten zu Abstürzen schreibt es nur in eine Protokolldatei auf Ihrem Rechner. Auch die darin enthaltenen Werkzeuge senden keine Nutzungsmeldungen an ihre Hersteller; wir haben das abgeschaltet. Belegmails an Ihre Kunden verschickt das Programm über Ihr eigenes E-Mail-Postfach, nicht über uns. Kontoauszüge lesen Sie als Datei ein; das Programm verbindet sich dafür nicht mit Ihrer Bank.

Die Oberfläche des Programms und die Erzeugung von PDF-Dateien nutzen die Windows-Komponente Microsoft Edge WebView2, ersatzweise einen auf dem Rechner vorhandenen Browser. Fehlt die Komponente oder funktioniert sie nicht, bietet das Programm beim Start an, sie einzurichten: Es lädt dann den Installer direkt bei Microsoft, wobei Microsoft Ihre IP-Adresse erhält, und startet ihn nur mit Ihrer Erlaubnis. Diese Bestandteile von Microsoft oder anderen Herstellern können eigene Verbindungen aufbauen, etwa für Aktualisierungen; dafür ist der jeweilige Hersteller verantwortlich.

Auf Ihrem Rechner liegen Datenbank, tägliche Sicherungen, Protokolldatei und die Anmeldedaten des Programms im Benutzerordner von Windows. Haben Sie beim Anmelden „E-Mail und Kennwort auf diesem PC speichern“ gewählt, liegen beide zusätzlich in der Windows-Anmeldeinformationsverwaltung (siehe Kennwort auf Ihrem Gerät speichern). Ältere technische Verlaufsdaten lagert das Programm dort in eigene Dateien aus und löscht sie nach rund zwölf Jahren. Wir greifen auf Ihren Rechner nicht zu. Schützen Sie ihn wie jeden anderen mit Geschäftsdaten, etwa mit einem Windows-Kennwort und einer Laufwerksverschlüsselung.

Die App für Android (ab Android 7.0) bekommen Monteure und Inhaber von ihrem Betrieb. Für die Daten, die darin erfasst werden, ist der Betrieb verantwortlich; wir verarbeiten sie in seinem Auftrag. Fragen dazu richten Sie bitte an Ihren Betrieb.

Ein Betrieb kann den Serverbetrieb buchen. Dann liegt seine Geschäftsdatenbank nicht auf seinem Rechner, sondern auf unseren Servern im Rechenzentrum Nürnberg unseres Dienstleisters Hetzner, damit mehrere Arbeitsplätze und der Inhaber unterwegs auf denselben Stand zugreifen. Es sind dieselben Daten wie im Windows-Programm: Kunden, Lieferanten, Belege, Buchhaltung mit eingelesenen Bankumsätzen, Lager, Einsätze, Rapporte, Fotos und die Zugänge der Mitarbeiter. Verantwortlich bleibt der Betrieb; wir verarbeiten im Auftrag nach dem Vertrag über die Auftragsverarbeitung.

Jeder Betrieb bekommt einen eigenen, abgeschotteten Bereich: eigener Prozess, eigene Datenbankdatei, eigenes Netz. Die Daten eines anderen Betriebs liegen nicht in derselben Datenbank und sind von dort aus nicht erreichbar. Der Bereich hat eine eigene Adresse der Form name.kammer.copunkt.de; den Namen schlagen wir aus dem Firmennamen vor. Wie jede Adresse mit Zertifikat wird sie in öffentlichen Verzeichnissen der Zertifikatsstellen geführt. Möchten Sie einen Namen, der Ihren Betrieb nicht erkennen lässt, sagen Sie es uns bei der Buchung.

Unser Zugriff: Als Betreiber der Server haben wir technisch Zugriff auf diese Daten. Auf die Inhalte greifen wir nur zu, wenn der Betrieb uns anweist, etwa um eine von ihm gemeldete Störung zu beheben, oder wenn ein Gesetz uns dazu verpflichtet. Die Verwaltung der Server selbst (Starten, Sichern, Aktualisieren) berührt die Inhalte nicht. Ein Diagnosefenster für einen Betrieb und jeder Blick in seine Akte im Portal werden automatisch vermerkt. Der Inhaber eines Betriebs meldet sich über unser Portal mit einem Pass an, der nur einmal einlösbar ist; jede Ausstellung wird mit IP-Adresse vermerkt.

Fehlerberichte: Auch der Serverbetrieb meldet unerwartete Fehler seines Dienstes und der Oberfläche im Browser von selbst an unser Portal, mit denselben Angaben und Grenzen wie das Windows-Programm (Abschnitt Das Windows-Programm, Automatische Fehlerberichte) und abschaltbar mit demselben Schalter unter Einstellungen, Problem melden. Auch im Serverbetrieb geht mit einer Problemmeldung ein Ausschnitt des Programmprotokolls mit: Das Programm auf Ihrem Rechner liest sein Protokoll und macht Kennwörter, Schlüssel, Codes, E-Mail-Adressen, Telefon- und Steuernummern, IBAN und lange Zahlenfolgen unkenntlich, und der Serverbetrieb hängt seine letzten Fehlermeldungen an. Was mitgeht, sehen Sie vorher.

Der Bereich wird täglich verschlüsselt gesichert (siehe Sicherungen). Nach dem Ende des Vertrags kann der Betrieb seine Daten 30 Tage lang lesen und herunterladen; 14 Tage und 3 Tage vor der Löschung erinnern wir ihn per E-Mail. Danach entfernen wir den Bereich. Zum Schutz vor einem versehentlichen Löschen bleiben der Datenträger und die Sicherungen auf dem Server noch 30 Tage erhalten, in den Abbildern der Serverplatte bis zu sieben Tage länger; Kopien im gesonderten Speicher laufen innerhalb der dort genannten Frist aus.

Dasselbe gilt, wenn nur der Serverbetrieb endet, weil er nach der kostenlosen Testphase nicht gebucht oder für sich gekündigt wurde (§ 4 Abs. 8 der AGB): Er ist dann 30 Tage im Lesemodus, wir erinnern 14 und 3 Tage vor der Löschung per E-Mail und entfernen danach den Bereich mit denselben Schutzfristen. Das übrige Kundenkonto bleibt bestehen.

Speichermessung: Im Serverbetrieb ist ein bestimmter Speicher enthalten (§ 4 Abs. 9 der AGB). Damit wir das Kontingent einhalten und den Betrieb rechtzeitig benachrichtigen können, messen wir täglich, wie viel Platz seine Datenbank und seine Dateien belegen. Gespeichert werden nur diese Größen als Betriebsdaten, keine Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Erfüllung des Vertrags). Die Tageswerte löschen wir nach 400 Tagen; den jeweils aktuellen Stand behalten wir, solange der Vertrag besteht.

In der Windows-Software, in der Handwerker-App und im Kundenbereich können Sie uns über einen Fragebogen Mängel, Verbesserungsvorschläge und Ihre Zufriedenheit mitteilen. Zweck ist allein, CoPunkt zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO (unser Interesse, Fehler zu finden und die Software nach den Wünschen der Nutzer weiterzuentwickeln).

Die Rückmeldung ist anonym. Wir speichern nur Ihre Antworten, woher sie kommt (Software, App oder Kundenbereich), die Programmfassung, die Fassung des Fragebogens und den Tag des Eingangs, keine Uhrzeit. Nicht gespeichert werden Ihr Name, Ihr Betrieb, Ihr Zugang, Ihr Gerät, Ihre IP-Adresse und Ihr Browser. Damit nur Kunden Rückmeldungen senden können, prüft unser Server beim Empfang Ihre Lizenz, Ihr Diensttelefon oder Ihre Anmeldung und vergisst das Ergebnis danach; gegen massenhafte Einträge zählt er Anfragen je Zugang und IP-Adresse nur im Arbeitsspeicher. Die Angaben über Ihre Rolle und die Größe Ihres Betriebs sind freiwillig und bewusst grob. Bitte tragen Sie in die freien Felder keine Namen oder Daten Ihrer Kunden ein; finden wir solche Daten, löschen wir sie.

Mailadresse für Rückfragen: Nur wenn Sie den Haken dafür setzen und eine Adresse eintragen, speichern wir sie zu Ihrer Rückmeldung. Dann ist die Rückmeldung nicht mehr anonym. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an support@copunkt.de; wir löschen die Adresse dann. Ohne Widerruf löschen wir sie, sobald die Rückmeldung erledigt ist, spätestens ein Jahr nach Eingang.

Wann wir um eine Rückmeldung bitten: höchstens alle 60 Tage und nie in den ersten 14 Tagen eines Kontos; „Nicht mehr fragen“ schaltet die Bitte ab. Dafür merkt sich die Software am Benutzerkonto, in der App unser Portal am App-Zugang, wann zuletzt gefragt wurde. Ob Sie danach eine Rückmeldung geschickt haben, wird dort nicht vermerkt; die Rückmeldung bleibt anonym.

Der Entwurf eines Fragebogens im Kundenbereich bleibt bis zum Absenden in Ihrem Browser (siehe die Tabelle unter Was im Browser gespeichert wird). Die Rückmeldungen liegen in derselben Datenbank wie die übrigen Daten des Portals, beim Hoster in Deutschland (siehe Empfänger), und werden mit ihr gesichert. Darüber hinaus erhält sie niemand. Lesen dürfen sie nur Verwalter mit dem Recht dafür. Eine erledigte Rückmeldung löschen wir ein Jahr nach ihrer Erledigung, jede Rückmeldung spätestens drei Jahre nach Eingang; ein täglicher Lauf setzt das durch. Vorschläge dürfen wir nach § 7 Abs. 6 der AGB unentgeltlich nutzen und umsetzen. Rückmeldungen sind unsere eigenen Daten und keine Verarbeitung im Auftrag eines Betriebs.

Wir führen mehrere getrennte Aufzeichnungen, jeweils mit eigenem Zweck:

• Änderungsprotokoll: wer im Portal welche Daten geändert hat. Jeder Eintrag gehört zu einer von drei Klassen mit eigener Frist:
  • Einträge mit steuerlicher Bedeutung, etwa zu Rechnungen, Stornos, Zahlungen, Lizenzen, Tarifen und Steuereinstellungen: zehn Jahre ab Ende des Kalenderjahres. Sie gehören zu unseren Aufzeichnungen nach § 147 Abs. 1 Nr. 1 AO (Art. 6 Abs. 1 Buchst. c DSGVO).
  • Nachweise zum Vertrag, etwa Kontoanlage mit Zustimmung zu AGB und Auftragsverarbeitungsvertrag, gebuchter Serverbetrieb, Sperren und ihre Aufhebung, Einwilligungen und Widerrufe: drei Jahre ab Ende des Jahres, in dem der Vertrag endete oder die Erklärung widerrufen wurde. So lange können daraus Ansprüche entstehen (§§ 195, 199 BGB; Art. 6 Abs. 1 Buchst. f DSGVO).
  • Alle übrigen Einträge, etwa zu Geräten und Zugängen: ein Jahr.
  Die IP-Adresse des Handelnden entfernen wir in jeder Klasse nach 90 Tagen. Ein täglicher Lauf löscht abgelaufene Einträge von selbst, und die Datenbank lässt eine Löschung erst nach Ablauf der Frist zu. Ist die Aufbewahrung gehemmt, etwa während einer Betriebsprüfung bei uns oder eines Rechtsstreits, halten wir das Löschen an und löschen erst danach (§ 147 Abs. 3 Satz 5 AO, Art. 17 Abs. 3 Buchst. e DSGVO). Das Protokoll wird täglich mit einer Prüfsumme außer Haus versiegelt; eine nachträgliche Änderung wird dadurch erkannt.
• Zugriffsvermerke: wer von uns in die Akte eines Betriebs hineingesehen hat, auch ohne etwas zu ändern, mit Zeitpunkt und Bereich der Akte; mehrere Aufrufe desselben Bereichs durch dieselbe Person innerhalb einer halben Stunde stehen als ein Vermerk. Damit beantworten wir die Frage, wer Ihre Daten gesehen hat. Aufbewahrung: ein Jahr.
• Systemprotokoll: Fehler und Warnungen der Server, damit sich Störungen nachvollziehen lassen; was einen Betrieb betrifft, sehen unsere Verwalter für Technik und Support auch in dessen Akte, zusammen mit seinen automatischen Fehlerberichten. Mailadressen, Kennwörter, Schlüssel und IBAN sind dort unkenntlich, und jeder solche Blick steht in den Zugriffsvermerken. Das ganze Systemprotokoll sehen nur Verwalter für Technik. Aufbewahrung: 30 Tage. Eine ausführlichere Aufzeichnung für einen einzelnen Betrieb gibt es nur in einem befristeten Diagnosefenster.
• Sperren am Server: Versucht jemand wiederholt erfolglos, sich am Server anzumelden, sperrt der Server seine IP-Adresse für eine Stunde, bei Wiederholung für eine Woche (fail2ban). Dafür hält er IP-Adresse, Zeitpunkt, den betroffenen Dienst und die Art des Ereignisses (gesperrt, freigegeben) fest, keine Benutzernamen. Das Protokoll von fail2ban am Server wird wöchentlich gedreht und reicht bis etwa fünf Wochen zurück; die Übersicht für unsere Verwalter für Technik bleibt 28 Tage, danach löschen wir sie automatisch. Das Systemjournal des Servers hält gescheiterte Anmeldungen am Server mit IP-Adresse und dem versuchten Benutzernamen höchstens vier Wochen. Zusätzlich können unsere Verwalter für Technik eine Adresse oder einen Bereich von Adressen von Hand sperren, etwa bei einem laufenden Angriff, befristet oder bis auf Widerruf. Dafür halten wir Adresse oder Bereich, Dauer, Grund und wer gesperrt hat fest. Vor dem Sperren prüft das System anhand der vorhandenen Protokolle (Anmeldungen und Änderungen der letzten 90 Tage, Ereignisse von fail2ban), ob von dort jemand angemeldet war; gespeichert wird dabei nichts Neues. Eine befristete Sperre löschen wir 28 Tage nach ihrem Ende, eine dauerhafte prüfen wir jährlich und löschen sie 28 Tage nach dem Aufheben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist der Schutz des Servers und der darauf gespeicherten Daten vor Angriffen (siehe auch Art. 32 DSGVO).
• Protokolle der Serverdienste: was die einzelnen Dienste beim Laufen ausgeben, vor allem Fehlermeldungen. Höchstens 50 MB je Dienst; ältere Teile werden dabei überschrieben, und mit jeder neuen Fassung eines Dienstes wird sein Protokoll gelöscht.
• Lastmessung: Auslastung von Rechner und Speicher, ohne jeden Personenbezug. Aufbewahrung: 14 Tage.
• Interne Mitteilungen: kurze Hinweise an unsere Verwalter, dass etwas geschehen ist, etwa eine Bestellung, eine Zahlung, eine Mahnung oder eine Anfrage. Sie nennen höchstens den Namen des Betriebs, keine Mailadressen und keine Inhalte; alles Weitere steht nur an der Stelle, auf die sie verweisen. Sie dienen denselben Zwecken wie der Vorgang selbst. Aufbewahrung: 90 Tage nach dem letzten Auftreten.

Rechtsgrundlage ist, soweit nicht anders genannt, Art. 6 Abs. 1 Buchst. f DSGVO.

Wir geben Daten nur weiter, wenn es für die genannten Zwecke nötig ist. Folgende Dienstleister verarbeiten Daten in unserem Auftrag; mit jedem besteht ein Vertrag nach Art. 28 DSGVO:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Server (Rechenzentrum Nürnberg), die täglichen Abbilder der Serverplatte (im selben Rechenzentrum) und Speicher für die Sicherungen (Rechenzentrum Falkenstein).
• ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf: Versand unserer E-Mails und unser Postfach.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging): Zustellung der Benachrichtigungen an Telefone, nur wenn sie in der App eingeschaltet sind; mit möglicher Verarbeitung in den USA durch die Google LLC (Abschnitt Benachrichtigungen). Beim Scannen eines Belegs in der App Angaben zur Nutzung des Scanners, kein Bild (Abschnitt Belege scannen).

Die Mollie B.V. erhält bei einer Zahlung über unseren Zahlungsdienst die oben genannten Angaben und ist dafür selbst verantwortlich (siehe Zahlung). Darüber hinaus geben wir Daten nur weiter, wenn ein Gesetz es verlangt, etwa an das Finanzamt.

Keine Daten von Ihnen erhalten zwei Stellen, mit denen unsere Server sprechen:

• Die Zertifizierungsstelle, die die Zertifikate für die verschlüsselte Verbindung ausstellt (Let's Encrypt der Internet Security Research Group, USA). Unser Server übermittelt ihr nur die Adressen, für die ein Zertifikat gebraucht wird.
• Ein Überwachungsdienst (live24h, Fuldatal), der von außen prüft, ob unsere Server erreichbar sind, und dem unsere Sicherungsläufe melden, dass sie gelaufen sind. Er erhält nur diese Lebenszeichen, keine personenbezogenen Daten.

Wir selbst und unsere Dienstleister Hetzner und ALL-INKL verarbeiten Ihre Daten ausschließlich in Deutschland. Auch Daten, die wir im Auftrag eines Betriebs verarbeiten, übermitteln wir nicht ins Ausland. Eine Ausnahme sind Benachrichtigungen, die jemand in der App eingeschaltet hat, und Notfall-Einsätze: Sie stellt Google über Firebase Cloud Messaging zu, und Google kann Gerätekennung, Zeitpunkt, Art und allgemeinen Text dabei auch in den USA verarbeiten (Datenschutzrahmen EU-USA, ergänzend Standardvertragsklauseln; Abschnitt Benachrichtigungen). Trägt ein Betrieb ein Kalender-Abo bei einem Kalenderdienst ein, holt dieser Dienst die Einsätze selbst ab; ob er sie außerhalb der EU verarbeitet, liegt in der Verantwortung des Betriebs (Abschnitt Kalender-Abo).

Zahlen Sie über unseren Zahlungsdienst, verarbeiten Mollie, bei Kartenzahlung die Kartennetze und bei PayPal, sofern angeboten, die PayPal (Europe) S.à r.l. et Cie, S.C.A. Ihre Zahlungsdaten in eigener Verantwortung. Diese Stellen können Daten auch in Länder außerhalb der EU übermitteln, etwa in die USA. Nach ihren Angaben geschieht das auf Grundlage von Standardvertragsklauseln der EU-Kommission oder eines Angemessenheitsbeschlusses, für die USA etwa des Datenschutzrahmens EU-USA. Darauf haben wir keinen Einfluss; Einzelheiten stehen in den Datenschutzerklärungen dieser Stellen. Zahlen Sie per Überweisung, geschieht das nicht.

Sofern Sie die Handwerker-App über Google Play beziehen, gilt für Google dasselbe: Google verarbeitet die Daten Ihres Google-Kontos in eigener Verantwortung und kann sie in die USA übermitteln (Abschnitt Die Handwerker-App). Die App selbst sendet nur dann etwas an Google, wenn Benachrichtigungen eingeschaltet sind oder ein Beleg mit dem Scanner erfasst wird (dann Angaben zur Nutzung, kein Bild).

Die Datenbank des Portals und die Bereiche des Serverbetriebs werden jede Nacht gesichert und verschlüsselt (AES-256), bevor die Sicherung den Server verlässt. Diese Sicherungen legen wir auf dem Server nur verschlüsselt ab. Auf dem Server bleiben die letzten 14 Stände.

Abbilder der ganzen Serverplatte: Zusätzlich erstellt unser Hoster Hetzner jeden Tag ein Abbild der gesamten Platte unseres Servers, im selben Rechenzentrum wie der Server. Es bleiben die letzten sieben Tagesstände; jeder neue ersetzt den ältesten. Zweck ist, den ganzen Server nach einem Ausfall schnell wiederherstellen zu können. Ein solches Abbild enthält alles, was an diesem Tag auf der Platte lag. Gelöschte Daten können darin deshalb bis zu sieben Tage länger enthalten sein. Zugriff auf die Abbilder hat nur unser Konto beim Hoster.

Zusätzlich liegt jede Sicherung in einem gesonderten Speicher in Deutschland. Dort ist sie 30 Tage gegen Löschen gesperrt; diese Sperre kann niemand vorzeitig aufheben, auch wir nicht. Der Server selbst kann die Sicherungen dort nur ablegen, aber weder lesen noch löschen. Nach 90 Tagen wird die Sicherung gelöscht und binnen weiterer sieben Tage endgültig entfernt, also spätestens 97 Tage nach ihrer Anlage. Die längere Frist ist der Zweck der Sicherung: Wird ein Angriff erst nach Wochen entdeckt, braucht es einen Stand von davor (Art. 32 DSGVO).

Eine Löschung wirkt im laufenden Betrieb sofort und läuft in den Sicherungen innerhalb dieser Fristen aus: in den Abbildern der Serverplatte nach sieben Tagen, in den Sicherungen auf dem Server nach 14 Ständen (in einem Abbild der Platte also nach höchstens 21 Tagen) und im gesonderten Speicher spätestens 97 Tage nach der letzten Sicherung, die die Daten noch enthielt. Müssen wir eine Sicherung oder ein Abbild einspielen, führen wir die Löschungen seit ihrem Stand erneut aus. Dafür führen wir eine Löschliste: Sie enthält zu jeder gelöschten Person nur eine Prüfsumme ihrer E-Mail-Adresse und den Zeitpunkt, also ein Pseudonym und keine Adresse im Klartext. Die Liste wird nach 120 Tagen bereinigt, weil keine Sicherung länger aufbewahrt wird; ihre Kopien im gesonderten Speicher laufen wie jede Sicherung spätestens 97 Tage nach ihrer Anlage aus, in den Abbildern der Serverplatte nach sieben Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 17 DSGVO.

Grundsätzlich speichern wir Daten, solange der Zweck es erfordert, und löschen sie dann. Gesetzliche Aufbewahrungspflichten gehen vor (Art. 17 Abs. 3 Buchst. b DSGVO). Die Fristen im Einzelnen:

Besuchszählung (Einzelzeilen mit Tageskennung)

bis zum Ende des Tages; spätestens etwa eine Stunde danach zu Tageszahlen ohne Personenbezug verdichtet und gelöscht

Einladungs-Cookie im Browser

bis zum Ablauf des Codes, höchstens 30 Tage

Fehlversuche bei Einladungscodes, mit IP-Adresse

30 Tage

Vermerk, mit welchem Einladungscode ein Konto angelegt wurde

zwei Jahre

Nachrichten über das Kontaktformular

180 Tage

Fehlgeschlagene Anmeldeversuche

30 Tage

Sperren am Server nach erfolglosen Anmeldeversuchen (IP-Adresse, Zeitpunkt, Dienst)

Sperre eine Stunde, bei Wiederholung eine Woche; Protokoll von fail2ban am Server bis etwa fünf Wochen, Übersicht im Verwalterbereich 28 Tage

Systemjournal des Servers bei gescheiterten SSH-Anmeldungen (IP-Adresse, versuchter Benutzername)

höchstens vier Wochen

Sperren von Hand am Server (IP-Adresse oder Bereich, Dauer, Grund)

befristete bis 28 Tage nach ihrem Ende; dauerhafte bis zum Aufheben, jährlich überprüft

Sicherheitsereignisse mit IP-Adresse

30 Tage, bei der Anmeldung im Serverbetrieb 90 Tage

Systemprotokoll (Fehler und Warnungen)

30 Tage

Interne Mitteilungen an unsere Verwalter

90 Tage nach dem letzten Auftreten

Protokolle der Serverdienste

höchstens 50 MB je Dienst, gelöscht mit jeder neuen Fassung des Dienstes

Protokoll der Kennwortmails an Monteure

30 Tage

Vorgänge zur Einrichtung eines App-Zugangs

90 Tage

Problemmeldungen aus dem Windows-Programm, dem Serverbetrieb und der Handwerker-App

90 Tage

Urlaubsantrag oder Abwesenheitsmeldung vom Telefon (im Auftrag des Betriebs)

bis das Büro ihn abholt, die Kennung danach 30 Tage

Stand des Urlaubsplaners für die Telefone (im Auftrag des Betriebs)

solange der Betrieb ihn führt

Arbeitszeit: Kommen, Pause, Gehen oder ein Tag aus dem Wochenblatt vom Telefon (im Auftrag des Betriebs)

bis das Büro ihn abholt, die Kennung danach 30 Tage; auch wenn der App-Zugang vorher gelöscht wird

Arbeitszeit: die eigenen Tage der letzten fünf Wochen und Änderungen durch andere mit Grund für das Telefon (im Auftrag des Betriebs)

solange der Betrieb sie führt

Arbeitszeit: eigener Kontostand und eigene Korrekturanträge der letzten 60 Tage für das Telefon (im Auftrag des Betriebs)

solange der Betrieb sie führt; ein Antrag vom Telefon bis das Büro ihn abholt, die Kennung danach 30 Tage

Arbeitszeit im Programm des Betriebs, auch Konto und Stundenlisten für die Kanzlei (Verantwortlicher ist der Betrieb)

bis zum Ende des sechsten Kalenderjahres nach dem Tag, wenn der Betrieb nichts anderes einstellt (mindestens zwei Jahre); danach löscht das Programm sie von selbst

Automatische Fehlerberichte (Windows-Programm und App, ohne Inhalte)

90 Tage nach dem letzten Auftreten

Rückmeldungen zur Software (anonym)

ein Jahr, nachdem sie erledigt ist, spätestens drei Jahre nach Eingang

Mailadresse zu einer Rückmeldung (nur mit Einwilligung)

bis die Rückmeldung erledigt ist, spätestens ein Jahr nach Eingang

Zugriffsvermerke

ein Jahr

Änderungsprotokoll: steuerlich bedeutsame Einträge

zehn Jahre ab Ende des Kalenderjahres

Änderungsprotokoll: Vertragsnachweise

drei Jahre ab Ende des Jahres, in dem der Vertrag endete oder die Erklärung widerrufen wurde

Änderungsprotokoll: übrige Einträge

ein Jahr

IP-Adresse im Änderungsprotokoll

90 Tage

Einwilligungsnachweis für Werbung

drei Jahre nach dem Widerruf

Löschliste (Prüfsumme einer gelöschten Mailadresse)

120 Tage

Kundenkonto, Zugänge, Geräte

Vertragsdauer und 30 Tage Abholfrist

Testkonto ohne gebuchten Tarif

Lesemodus nach dem Ende der Testphase; frühestens nach 60 Tagen Ankündigung der Löschung, gelöscht nach weiteren 30 Tagen

Prüfwert zur Testphase (Rechner, Steuernummer, USt-IdNr.)

auch nach dem Löschen des Kundenkontos, solange wir eine kostenlose Testphase anbieten

Vermerke der Handwerker-App am Zugang (Rundgang, verstandene Hinweise, zuletzt um Rückmeldung gebeten)

solange der App-Zugang besteht

Vermerk am Kundenkonto, wann der Kundenbereich den Rundgang angeboten hat

solange das Kundenkonto besteht

Kostenlose Zugänge: Vormerkung einer Sperre oder Beendigung

mit dem Kundenkonto; der Vermerk im Änderungsprotokoll als Nachweis zum Vertrag drei Jahre

Kostenlose Zugänge: Tag der letzten Anmeldemail, Zeitpunkt der letzten Änderung

mit dem Kundenkonto oder dem Gerät

Beta-Test: Zustimmung zu den Bedingungen

am Betrieb oder App-Zugang, solange er besteht; im Änderungsprotokoll als Nachweis zum Vertrag drei Jahre

Beta-Test: Zeitpunkt der letzten Mail zu einem Bildschirmfoto und Zahl der weiteren

bis der Beta-Test für den Betrieb endet

Gerätekennung für Benachrichtigungen

solange die App an Ihrem Zugang angemeldet ist, auch bei ausgeschaltetem Schalter (für Notfall-Einsätze); gelöscht beim Abmelden, wenn das Telefon nicht mehr angemeldet ist, wenn Google sie als ungültig meldet, spätestens nach 270 Tagen ohne erneute Meldung durch die App

Wartende Benachrichtigung (Ruhezeit)

bis zum Versand, höchstens 24 Stunden

Schlüssel eines Kalender-Abos

bis ein neues ausgestellt, das Abo abgeschaltet oder der Zugang gelöscht wird

Vermerke zu einer vorläufigen Sperre

als Nachweis zum Vertrag drei Jahre ab Ende des Jahres, in dem der Vertrag endete

Speichermessung im Serverbetrieb (nur Größen, keine Inhalte)

Tageswerte 400 Tage; der aktuelle Stand für die Dauer des Vertrags

Unsere Rechnungen an Sie (Buchungsbelege)

acht Jahre ab Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 14b UStG)

Unsere Bücher und Buchungsaufzeichnungen

zehn Jahre ab Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 1, Abs. 3 AO)

Geschäftsbriefe, etwa E-Mails zu einem Vertrag

sechs Jahre ab Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 2 und 3 AO)

Abbilder der ganzen Serverplatte beim Hoster

sieben Tagesstände, rollierend

Sicherungen auf dem Server

14 Tagesstände

Sicherungen im gesonderten Speicher

90 Tage, endgültig entfernt binnen weiterer 7 Tage

Nach dem Ende des Vertrags hat der Betrieb 30 Tage Zeit, seine Daten herunterzuladen (Art. 20 DSGVO); der Zugang bleibt so lange lesend nutzbar, und 14 und 3 Tage vor der Löschung erinnern wir ihn per E-Mail. Danach schließen wir das Konto und löschen Zugänge, Geräte, Ansprechpartner und die Inhalte der Handwerker-App. Ist alles gelöscht, bestätigen wir das per E-Mail. Die Adresse dafür halten wir nur bis zum Versand dieser Bestätigung bereit. Rechnungen und Buchungsaufzeichnungen bleiben für die gesetzlichen Fristen; sie enthalten Firmennamen und Rechnungsanschrift und lassen sich als Belege nicht nachträglich ändern. Was auf den eigenen Rechnern eines Betriebs liegt, rühren wir nicht an.

Gesetzlich verpflichtet sind Sie dazu nicht. Für einen Vertrag brauchen wir aber die Angaben, die eine Rechnung nach § 14 UStG verlangt, und eine E-Mail-Adresse für die Anmeldung. Ohne sie können wir keinen Vertrag schließen. Den Namen einer Ansprechperson, eine Telefonnummer und eine Einwilligung in Werbung geben Sie freiwillig.

Sie haben nach der DSGVO das Recht auf

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen bestimmte Verarbeitungen (Art. 21, siehe unten),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Schreiben Sie dafür an support@copunkt.de oder nutzen Sie das Kontaktformular. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Damit wir keine Daten an Unbefugte herausgeben, können wir Sie bitten, Ihre Identität nachzuweisen, etwa durch eine Antwort von der gespeicherten E-Mail-Adresse.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat, in dem Sie wohnen oder arbeiten. Für uns zuständig ist:

• Wir verkaufen keine Daten und geben keine zu Werbezwecken weiter.
• Wir setzen keine fremden Analyse-, Werbe- oder Absturzmeldedienste ein, weder auf der Webseite noch im Windows-Programm noch in der App. Auch unsere Server und die eingesetzten Werkzeuge senden keine Nutzungsmeldungen an deren Hersteller.
• Wir erkennen niemanden über mehrere Tage, Geräte oder fremde Webseiten hinweg wieder.
• Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung und betreiben kein Profiling (Art. 22 DSGVO). Der Lesemodus bei Zahlungsverzug folgt einer festen, vorher angekündigten Regel aus den AGB und endet mit der Zahlung.
• Wir werten die Geschäftsdaten eines Betriebs nicht für eigene Zwecke aus. Ohne Serverbetrieb liegen sie gar nicht bei uns; mit Serverbetrieb greifen wir auf die Inhalte nur zu, wenn der Betrieb uns anweist, etwa wegen einer Störung, oder wenn ein Gesetz es verlangt. Bei kostenlosen Zugängen sehen wir nur Zeitpunkte, etwa wann zuletzt etwas gespeichert wurde, nie was (Abschnitt Vertrag).

Wir passen diese Erklärung an, wenn sich am System oder an der Rechtslage etwas ändert. Das Datum oben nennt die geltende Fassung, die Liste unten, was sich geändert hat. Wie wir Daten im Auftrag eines Betriebs verarbeiten, regelt der Vertrag über die Auftragsverarbeitung, die vertraglichen Bedingungen stehen in den AGB.