Datenschutzerklaerung

1. Verantwortlicher

Verantwortlich fuer die Datenverarbeitung in dieser Anwendung ist:
GS-Consulting, [Vorname Nachname], [Strasse], [PLZ Ort], Deutschland
E-Mail: [E-Mail-Adresse] · Telefon: [Telefonnummer]

Ein Datenschutzbeauftragter ist [nicht benannt, da die gesetzlichen Voraussetzungen nach § 38 BDSG nicht vorliegen / benannt: Name und Kontakt eintragen].

2. Rolle bei der Verarbeitung

QHSE AuditPilot wird Organisationen als Software-as-a-Service bereitgestellt. Fuer die Daten, die eine Kundenorganisation in ihrem Mandanten verarbeitet (z. B. Audits, Feststellungen, Namen von Auditteilnehmern), ist die jeweilige Organisation Verantwortlicher im Sinne der DSGVO; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Fuer die eigenen Stammdaten der Anwendung (Konten, Abrechnung, Betrieb) sind wir Verantwortlicher.

3. Verarbeitete Daten und Zwecke

• Kontodaten: Name, E-Mail-Adresse, Rolle, Organisationszugehoerigkeit, Zeitpunkt der letzten Anmeldung. Zweck: Bereitstellung des Zugangs, Rechtevergabe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung).
• Fachdaten: Audits, Bewertungen, Feststellungen, Massnahmen, hochgeladene Nachweise, digitale Unterschriften. Zweck: Erbringung der Auditmanagement-Funktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Weisung des Verantwortlichen.
• Aenderungsprotokoll (Audit-Trail): Wer hat wann welche Fachdaten geaendert. Zweck: Nachvollziehbarkeit und Beweissicherheit der Auditdokumentation, wie sie fuer Zertifizierungsverfahren erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO (rechtliche Nachweispflichten, berechtigtes Interesse an manipulationssicherer Dokumentation). Diese Eintraege sind technisch unveraenderlich.
• Server-Logdaten: IP-Adresse, Zeitpunkt, aufgerufene Ressource, zur Sicherstellung des technischen Betriebs und der Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies

Diese Anwendung setzt ausschliesslich technisch notwendige Cookies zur Aufrechterhaltung der Anmeldesitzung sowie zur Speicherung der Anzeigepraeferenz (helles oder dunkles Design). Es findet keine Analyse des Nutzerverhaltens, kein Tracking und keine Werbung statt. Eine Einwilligung ist hierfuer nach § 25 Abs. 2 TDDDG nicht erforderlich.

5. Empfaenger und Auftragsverarbeiter

• Supabase (Datenbank, Authentifizierung, Dateispeicher). Verarbeitung im Rechenzentrum in der Europaeischen Union (Region eu-central-1, Frankfurt am Main). Es besteht ein Auftragsverarbeitungsvertrag.
• Hostinger (Hosting der Anwendung). Es besteht ein Auftragsverarbeitungsvertrag.
• [E-Mail-Versanddienst] fuer den Versand von Einladungs- und Systemnachrichten.

Eine Uebermittlung in Drittlaender ausserhalb der EU/des EWR ist nicht vorgesehen. Sollte sie im Einzelfall erforderlich werden, erfolgt sie nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO.

6. Speicherdauer

Fachdaten werden fuer die Dauer des Vertragsverhaeltnisses gespeichert. Nach dessen Ende werden die Daten des Mandanten geloescht, sobald keine gesetzlichen Aufbewahrungspflichten entgegenstehen; die Frist betraegt [Frist eintragen, z. B. 30 Tage] nach Vertragsende. Der Audit-Trail bleibt fuer die Dauer der Aufbewahrung der zugehoerigen Auditdokumentation bestehen, da er deren Nachweiswert traegt. Server-Logdaten werden nach [Anzahl] Tagen geloescht.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Loeschung (Art. 17), Einschraenkung der Verarbeitung (Art. 18), Datenuebertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung zu widersprechen (Art. 21 DSGVO). Wenden Sie sich dazu an die oben genannten Kontaktdaten. Sind Sie Beschaeftigte oder Beschaeftigter einer Kundenorganisation, richten Sie Ihr Anliegen bitte zunaechst an diese als Verantwortlichen; wir leiten entsprechende Anfragen weiter.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehoerde zu, etwa bei der fuer uns zustaendigen Behoerde: [zustaendige Landesbehoerde eintragen].

8. Erforderlichkeit der Bereitstellung

Die Bereitstellung von Name und E-Mail-Adresse ist zur Nutzung der Anwendung erforderlich. Ohne diese Angaben kann kein Zugang eingerichtet werden.

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschliesslich Profiling nach Art. 22 DSGVO findet nicht statt. Bewertungen im Audit werden ausschliesslich durch die auditierenden Personen vorgenommen.