Datenschutz- und Cookie-Erklärung

1. Wer wir sind

SubstrX ist ein Dienst von ProjectNet (Einzelunternehmen), Meidoornlaan 3, 4286 CV Almkerk, Niederlande, KvK 98078062. Für Fragen zum Datenschutz: privacy@substrx.com. Für andere Fragen: support@substrx.com.

In dieser Erklärung erläutern wir, welche personenbezogenen Daten wir verarbeiten, warum, wie lange und welche Rechte Sie haben.

2. Zwei Rollen

Verantwortlicher: für Kontodaten der Benutzer, Daten zur Sicherheit und Missbrauchsverhinderung sowie die Kommunikation mit uns.

Auftragsverarbeiter: für die Daten, die Unternehmen selbst in den Dienst eingeben, etwa Projekte, Kontaktpersonen von Auftraggebern, Fotos und Berichte. Dafür ist das jeweilige Unternehmen verantwortlich; wir verarbeiten diese Daten nur in dessen Auftrag gemäß dem Auftragsverarbeitungsvertrag in unseren AGB. Wenn Sie Kontaktperson eines Unternehmens oder Auftraggebers sind, wenden Sie sich mit Fragen bitte zuerst an dieses Unternehmen.

3. Welche Daten, zu welchem Zweck und auf welcher Rechtsgrundlage

Konto: Name, E-Mail-Adresse, Passwort (nur verschlüsselt gespeichert), Sprache, Rolle im Unternehmen, der Zeitpunkt, zu dem Sie die Bedingungen akzeptiert haben, und, wenn Sie die Zwei-Faktor-Authentifizierung nutzen, der geheime Schlüssel für die Codes (bei Supabase). Zweck: Anlegen und Verwalten Ihres Kontos und Gewährung des Zugangs. Rechtsgrundlage: Vertragserfüllung.

Unternehmens- und Profildaten: Firmenname, Adresse, Land, Registernummer (etwa die niederländische KvK-Nummer oder die Handelsregisternummer) und USt-IdNr., Telefonnummer, Website, Logo, Corporate Design, Qualifikationen und Zertifikate von Prüfern sowie, falls eine prüfende Person sie zeichnet, deren Unterschrift (sie erscheint in den Berichten, die diese Person finalisiert). Zweck: Anzeige dieser Angaben in Ihren Berichten. Rechtsgrundlage: Vertragserfüllung.

E-Mail: Bestätigungs-E-Mails, Passwortzurücksetzung, Einladungen für Kollegen, Berichts-E-Mails, Erinnerungen, wenn eine Kalibrierung oder ein Zertifikat innerhalb von 30 Tagen abläuft oder abgelaufen ist, sowie für den Inhaber eines neuen Unternehmens eine Willkommens-E-Mail und eine E-Mail zur Hälfte des Testzeitraums mit Hinweisen zur Nutzung. Zweck: Funktion des Dienstes. Rechtsgrundlage: Vertragserfüllung. Wir versenden keine Newsletter oder Werbung ohne Ihre Einwilligung.

Änderungsprotokoll: Bei Prüfungen, Tests, Fotos und Anlagen erfassen wir, wer wann was geändert hat. Zweck: Nachvollziehbarkeit von Berichten und Nachweis im Streitfall. Rechtsgrundlage: berechtigtes Interesse des Unternehmens und Vertragserfüllung. Bei Notizen und Messwerten erfassen wir nur, dass sie geändert wurden, nicht ihren Inhalt. Speicherdauer: solange das Unternehmen ein Konto hat; bei einer gelöschten Prüfung noch 90 Tage.

Einladungen: die E-Mail-Adresse eines eingeladenen Kollegen. Zweck: Versand der Einladung. Rechtsgrundlage: berechtigtes Interesse des einladenden Unternehmens und unser berechtigtes Interesse. Eine Einladung läuft nach 14 Tagen ab.

Sicherheit und Missbrauchsverhinderung: IP-Adresse, Browser- und Gerätedaten, Zeitpunkte von Anmeldungen und Aktionen sowie Zähler für Limits. Zweck: Absicherung des Dienstes und Verhinderung von Eindringen, Spam und Überlastung. Rechtsgrundlage: berechtigtes Interesse.

Bei Registrierung, Anmeldung, Annahme einer Einladung und Passwortzurücksetzung verwenden wir Cloudflare Turnstile. Es beurteilt anhand technischer Daten Ihres Browsers und Ihrer IP-Adresse, ob Sie ein Mensch sind. Rechtsgrundlage: berechtigtes Interesse (Schutz vor automatisiertem Missbrauch).

Kontakt und Support: was Sie uns senden, auch über die Meldeschaltfläche in der App (Ihre Meldung, Ihr Name und Ihr Unternehmen sowie die Seite, auf der Sie sich befanden). Zweck: Beantwortung Ihrer Anfrage und Verbesserung des Dienstes. Rechtsgrundlage: berechtigtes Interesse oder Vertragserfüllung. Meldungen über die Meldeschaltfläche speichern wir höchstens ein Jahr.

Abrechnung: Unternehmensdaten (Name, Adresse, Land, Registernummer und USt-IdNr.) und Zahlungsdaten. Karten- und Kontodaten gehen direkt an Stripe; wir sehen nur die Art der Zahlungsmethode und die letzten Ziffern. Lädt der Inhaber ein Teammitglied ein oder entfernt es, halten wir die Zustimmung zur Anpassung des Abonnements fest (wer, wann und für welche E-Mail-Adresse), solange das Unternehmen ein Konto hat. Die USt-IdNr. von Kunden in der EU prüfen wir in VIES, dem MwSt-Informationsaustauschsystem der Europäischen Kommission; dabei geben wir nur die USt-IdNr. weiter. Zweck: Rechnungsstellung, Anwendung der richtigen Umsatzsteuer und Buchführung. Rechtsgrundlage: Vertragserfüllung und gesetzliche Pflicht.

Wir verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung und erstellen keine Profile. Es findet keine automatisierte Entscheidungsfindung statt.

4. Freigabelinks und Berichts-E-Mails

Ein Unternehmen kann einen Bericht, die Abweichungsliste oder die Übergabedokumentation eines Projekts über einen Link teilen oder an Kontaktpersonen senden lassen. Wer einen Freigabelink öffnet, benötigt kein Konto; wir setzen dabei keine Cookies. Zur Sicherheit verarbeitet unser Hosting die IP-Adresse und technische Daten der Anfrage.

Die Adressen, an die ein Bericht gesendet wurde, sind nur für das Unternehmen selbst sichtbar, nicht über den Freigabelink.

5. An wen wir Daten weitergeben

Wir setzen die folgenden Auftragsverarbeiter ein. Mit jedem von ihnen bestehen Auftragsverarbeitungsverträge.

Supabase Inc. (USA): Datenbank, Dateispeicher und Anmeldung. Die Daten liegen in einem Rechenzentrum in der EU (Frankfurt, Deutschland).

Vercel Inc. (USA): Hosting der Website und der App. Die Verarbeitung erfolgt nach Möglichkeit in der EU (Frankfurt); das weltweite Netzwerk von Vercel kann Anfragen über andere Standorte abwickeln.

Resend Inc. (USA): Versand von E-Mails, etwa Bestätigungen, Einladungen und Berichts-E-Mails.

Cloudflare Inc. (USA): Sicherheitsprüfung (Turnstile) gegen automatisierten Missbrauch bei Registrierung und Anmeldung sowie Speicherung einer täglichen Sicherungskopie der Dateien (Fotos, Dokumente, Logos) in einem Rechenzentrum in der EU.

GitHub Inc. (USA, Teil von Microsoft): Verwaltung des Quellcodes und Ausführung der täglichen Sicherung. Dateien werden dabei nur an die Sicherung weitergeleitet und nicht bei GitHub gespeichert.

Stripe Payments Europe, Ltd. (Irland): Zahlungen, Abonnements und Rechnungen. Zahlungsdaten gehen direkt an Stripe; für die Verarbeitung von Zahlungsdaten und die Betrugsprävention ist Stripe eigenständiger Verantwortlicher.

ImprovMX Inc. (USA): Weiterleitung von E-Mails an support@substrx.com und privacy@substrx.com an unser Postfach. Dies betrifft nur Nachrichten, die Sie uns selbst senden.

Einige dieser Anbieter haben ihren Sitz in den Vereinigten Staaten. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der Europäischen Kommission, bei Bedarf mit ergänzenden Maßnahmen.

Wir geben Daten nur dann an andere weiter, wenn wir gesetzlich dazu verpflichtet sind.

6. Wie lange wir Daten speichern

Konto-, Unternehmens- und Prüfdaten: solange der Vertrag besteht. Nach Vertragsende haben Sie noch 30 Tage Zugriff auf Ihre Daten; danach löschen wir sie innerhalb von 60 Tagen, auch aus Sicherungskopien.

Sicherungskopie der Dateien: Eine Datei, die Sie löschen, bleibt noch 30 Tage in der Sicherungskopie und wird danach auch daraus gelöscht.

Sicherheitsprotokolle: höchstens 90 Tage. Zähler für Limits: höchstens 2 Tage. Nicht genutzte Einladungen: 30 Tage nach Ablauf.

Unbestätigte Registrierungen: Konten, deren E-Mail-Adresse nach 30 Tagen nicht bestätigt ist, löschen wir.

Rechnungen und die dafür erforderlichen Daten: 7 Jahre aufgrund der gesetzlichen Aufbewahrungspflicht.

7. Sicherheit

Wir schützen Daten unter anderem durch verschlüsselte Verbindungen (HTTPS), verschlüsselt gespeicherte Passwörter, strikte Trennung der Daten pro Unternehmen in der Datenbank, ein CAPTCHA gegen automatisierten Missbrauch, Limits für die Anzahl von Aktionen und Speicherung in Rechenzentren in der EU. Der Zugriff auf Verwaltungsfunktionen ist auf die Personen beschränkt, die ihn benötigen.

8. Cookies und Speicherung in Ihrem Browser

Wir verwenden nur funktionale Cookies und Browserspeicher, die für den Betrieb des Dienstes erforderlich sind. Dafür ist keine Einwilligung nötig. Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und laden keine Schriftarten oder Skripte von Werbe- oder Analysediensten.

Anmeldesitzung (Cookies sb-…-auth-token, von Supabase): hält Sie angemeldet. Bleibt gespeichert, bis Sie sich abmelden oder die Sitzung abläuft.

Sprachauswahl (Cookie locale): speichert die gewählte Sprache. Speicherdauer 1 Jahr.

Nach der Registrierung (Cookie substrx_sent_to): speichert 10 Minuten lang, an welche Adresse die Bestätigungs-E-Mail gesendet wurde, um sie auf der Dankesseite anzuzeigen.

Sicherheitsprüfung (Cloudflare Turnstile): verarbeitet technische Daten Ihres Browsers zur Erkennung von Missbrauch, nur auf den Seiten für Registrierung, Anmeldung, Einladungen und Passwortzurücksetzung. Turnstile verwendet keine Cookies für Tracking oder Werbung.

Aufgabenliste (lokaler Speicher substrx-setup-collapsed): speichert, ob Sie die Aufgabenliste eingeklappt haben.

Hinweis zur Berichtssprache (Sitzungsspeicher): speichert, ob Sie einen Hinweis zur Berichtssprache geschlossen haben; wird beim Schließen des Browsers gelöscht.

Sie können Cookies und Browserspeicher in den Einstellungen Ihres Browsers löschen. Ohne das Anmelde-Cookie können Sie nicht angemeldet bleiben.

9. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre personenbezogenen Daten, auf Berichtigung oder Löschung, auf Einschränkung der Verarbeitung, auf Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen und auf Erhalt Ihrer Daten in einem gängigen Format (Datenübertragbarkeit). Viele Ihrer Daten können Sie in der App selbst ändern oder löschen.

Eine Anfrage können Sie an privacy@substrx.com senden. Wir antworten innerhalb eines Monats. Wir können Sie bitten, Ihre Identität nachzuweisen.

Betrifft die Anfrage Daten, die ein Unternehmen in den Dienst eingegeben hat, leiten wir sie an dieses Unternehmen weiter.

Wenn Sie eine Beschwerde über den Umgang mit Ihren Daten haben, teilen Sie uns dies bitte mit. Sie können auch eine Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) oder der Aufsichtsbehörde in Ihrem Land einreichen.

10. Änderungen

Wir können diese Erklärung anpassen, etwa wenn wir einen neuen Auftragsverarbeiter einsetzen. Die aktuelle Fassung steht immer auf dieser Seite. Über wichtige Änderungen informieren wir die Benutzer per E-Mail oder in der App.