Datenschutzerklärung
1. Verantwortlicher und Kontakt
Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:
Robert Trepte
c/o MDC Management#1781
Welserstraße 3
87463 Dietmannsried
E-Mail: datenschutz@klopfwerk.de
Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und nicht bestellt.
2. Unsere Rollen
Klopfwerk verarbeitet personenbezogene Daten in zwei Rollen:
- Als Verantwortlicher für Konto-, Vertrags-, Login- und Server-Logdaten sowie für den Newsletter. Für diese Verarbeitung gilt diese Datenschutzerklärung.
- Als Auftragsverarbeiter für die Daten, die bei der Überwachung der von Kunden angelegten Ziele anfallen (z. B. Checks, Heartbeats, Änderungsverlauf, Antwortinhalte, Statusseiten). Diese Verarbeitung erfolgt ausschließlich auf Weisung des jeweiligen Kunden; Grundlage ist der Auftragsverarbeitungsvertrag.
3. Welche Daten wir verarbeiten und warum
| Bereich | Daten | Zweck |
|---|---|---|
| Konto und Profil | Name, E-Mail-Adresse, Passwort-Hash, Account-Zugehörigkeit, Rolle, Kundentyp (Unternehmen oder Privatperson) mit Zeitpunkt der Wahl, USt-IdNr. bei Unternehmen (freiwillig), Kenntnisnahme der Widerrufsbelehrung mit Zeitpunkt und Version, optionales Profilbild, Benachrichtigungseinstellungen | Bereitstellung des Kontos, Anmeldung, Teamverwaltung, Nachweis des Vertragsschlusses |
| Login und Sitzung | Session-Token, IP-Adresse, User-Agent, Zeitpunkt, Ablaufzeit | Sichere Anmeldung, Schutz vor Missbrauch, Sitzungsverwaltung |
| Monitoring | Vom Kunden angelegte Ziele, Check-Konfiguration, Zugangsdaten (verschlüsselt), Heartbeats, Änderungsverlauf, Antwortinhalte, Webhook-Zustellungen, Statusseiten-Inhalte, Slack-Integrationen, Telefonnummern für SMS (verschlüsselt, gekürzt angezeigt), Zustellprotokolle für Slack und SMS | Durchführung der Überwachung und Alarmierung im Auftrag des Kunden |
| Zahlungs- und Rechnungsdaten | Rechnungsadresse (Name, Straße, Postleitzahl, Ort, Land), USt-IdNr. bei Unternehmen, Tarif, Zahlungsvorgänge mit Nettobetrag, Umsatzsteuer, Bruttobetrag, Leistungszeitraum, Fälligkeit, Status und Verwendungszweck | Vertragserfüllung und Buchhaltung |
| Widerruf und Kündigung | Art der Erklärung, gewählter Weg (Formular, E-Mail, Brief), angegebene E-Mail-Adresse, Zeitpunkt des Zugangs, betroffene Periode, Freitext, Zeitpunkt und Inhalt der Bestätigung, Erstattungsbetrag und Bearbeitung durch den Betreiber | Nachweis der Erklärung, Abwicklung des Vertrags, Buchhaltung |
| Newsletter | E-Mail-Adresse, Zeitpunkt und Version der Einwilligung, Bestätigungs- und Abmeldezeitpunkt | Information über neue Funktionen, Preise und den Betrieb (siehe Abschnitt 10) |
| Server-Logs | IP-Adresse, User-Agent, Zeitpunkt, Pfad, HTTP-Status | Sicherer und stabiler Betrieb, Fehlersuche (siehe Abschnitt 7) |
4. Zahlungs- und Rechnungsdaten
Für bezahlte Tarife erhebt Klopfwerk eine Rechnungsadresse (Name, Straße, Postleitzahl, Ort und Land), bei Unternehmen freiwillig die USt-IdNr., sowie je Zahlungsvorgang den Tarif, den Nettobetrag, die Umsatzsteuer, den Bruttobetrag, den Leistungszeitraum, die Fälligkeit, den Status und den Verwendungszweck. Zweck ist die Vertragserfüllung und die Buchhaltung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Widerrufe und Kündigungen speichert Klopfwerk mit Art, Weg, Zeitpunkt des Zugangs, angegebener E-Mail-Adresse, betroffener Periode, Inhalt der Bestätigung und dem erstatteten Betrag. Zweck ist der Nachweis der Erklärung und die Abwicklung des Vertrags; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Empfänger dieser Daten können das kontoführende Bankinstitut, die Steuerberatung und – nach seiner Einführung – der Zahlungsdienstleister Creem.io sein. Karten- oder Kontodaten speichert Klopfwerk nicht.
Die Rechnung stellt der Betreiber außerhalb der App; in Klopfwerk gespeichert sind nur die Zahlungsvorgänge. Rechnungen bewahrt der Betreiber nach den gesetzlichen Aufbewahrungsfristen auf.
5. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Registrierung, Login und Bereitstellung der überwachten Funktionen.
- Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse: sicherer Betrieb, Missbrauchsabwehr, Server-Logs, technische Weiterentwicklung.
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Aufnahme in den Newsletter sowie die optionale Buchung von Probe-Standorten außerhalb der EU.
- Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung: soweit gesetzliche Aufbewahrungs- oder Prüfpflichten bestehen.
6. Cookies und lokale Speicherung
Klopfwerk setzt ausschließlich technisch notwendige Cookies ein: ein Session-Cookie für die Anmeldung, ein CSRF-Schutz-Cookie und – bei passwortgeschützten Statusseiten – ein Cookie für den entriegelten Zugriff. Es gibt kein Tracking, keine Werbe-Cookies und kein Cookie-Banner, weil nichts anderes gesetzt wird.
Das Formular zum Anlegen von Monitoren speichert Entwürfe lokal im Browser (IndexedDB), damit Eingaben bei einem versehentlichen Neuladen nicht verloren gehen. Diese Entwürfe verlassen den Browser nicht und werden beim nächsten Öffnen der Seite bereinigt; Zugangsdaten werden nicht lokal gespeichert.
7. Server-Logs
Beim Aufruf der Anwendung entstehen Logeinträge mit IP-Adresse, User-Agent, Zeitpunkt, Pfad und HTTP-Status. Sie werden über journald bzw. die Logs des Webservers verarbeitet und nach 14 Tagen gelöscht. Eine Auswertung mit zusätzlichen Analysewerkzeugen findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, störungsfreier Betrieb).
8. Kommunikation per E-Mail
Klopfwerk versendet System-Mails (Registrierung, Passwort-Reset, Alarmierungen, Datenexport) über den eigenen Mailserver des Betreibers. Ein externer E-Mail-Dienstleister ist nicht im Einsatz. Alarm-Mails gehen an die im Account hinterlegten Mitglieder und lassen sich über die Benachrichtigungseinstellungen abbestellen.
Zusätzlich lassen sich Alarme an Slack-Kanäle und per SMS an bestätigte Telefonnummern des Kunden senden. Slack-Webhook-URLs und Telefonnummern werden verschlüsselt gespeichert; Telefonnummern sind in der Oberfläche nur gekürzt sichtbar. Der SMS-Versand erfolgt über den Anbieter seven.io mit Sitz in Deutschland, und zwar erst auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die Nummern werden vor der ersten Nutzung per Code bestätigt.
Slack ist ein Dienst der Slack Technologies (Salesforce, USA). Standardmäßig werden die Daten außerhalb der EU gespeichert; eine EU-Datenresidenz in Frankfurt bietet Slack erst ab dem Tarif Business+. Auch dann verarbeitet Slack einige Metadaten außerhalb der EU. Ob eine konkrete Integration EU-resident ist, bestätigt der Kunde in den Einstellungen; ohne Bestätigung wird sie wie eine Integration außerhalb der EU behandelt.
9. Monitoring-Daten als Auftragsverarbeitung
Inhalte und Ziele der Überwachung bestimmt ausschließlich der Kunde. Er entscheidet, welche Systeme geprüft, welche Zugangsdaten hinterlegt und welche Inhalte auf Statusseiten veröffentlicht werden. Klopfwerk verarbeitet diese Daten nur zur Erbringung der Monitoring-Leistung, zur Alarmierung und – soweit eingestellt – zur Aufbewahrung. Statusseiten werden nur veröffentlicht, wenn der Kunde sie aktiv freigibt.
10. Newsletter
Wer sich für den Newsletter einträgt, erhält zunächst eine Bestätigungsmail (Double-Opt-in). Erst nach Klick auf den Link wird die Adresse in die Liste aufgenommen. Der Newsletter informiert über neue Funktionen, Preise und Hinweise zum Betrieb von Klopfwerk. Jede Mail enthält einen Abmeldelink; die Abmeldung ist jederzeit ohne Angabe von Gründen möglich. Ohne Einwilligung versenden wir keine Marketing-Mails. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.
11. Empfänger und Subunternehmer
Wir geben Daten nur weiter, soweit dies für den Betrieb erforderlich ist und eine Rechtsgrundlage besteht. Eingesetzt werden:
- Hosting des Servers: netcup GmbH, Karlsruhe (Deutschland)
- E-Mail-Versand: eigener Mailserver des Betreibers; kein externer Dienstleister
- Zahlungsdienstleister: nach seiner Einführung Creem.io für Abrechnung und Rechnungsstellung
- SMS-Versand: seven.io, Deutschland
- Slack: Kanäle des Kunden bei Slack Technologies (Salesforce, USA); EU-Datenresidenz nur ab Slack Business+
- Probe-Standorte außerhalb der EU: nur bei ausdrücklicher Buchung
Mit dem Hoster besteht ein Vertrag nach Art. 28 DSGVO. Der SMS-Versand über seven.io erfolgt nur auf Grundlage eines solchen Vertrags; er wird erst aufgenommen, wenn die Vereinbarung abgeschlossen ist. Eine aktuelle Übersicht steht im AVV.
12. Übermittlung in Drittländer
Klopfwerk läuft auf europäischer Infrastruktur. Eine Übermittlung in Drittländer findet grundsätzlich nicht statt. Ausnahme: Probe-Standorte außerhalb der EU werden nur gebucht, wenn der Kunde dies ausdrücklich möchte.
13. Speicherdauer
| Daten | Speicherdauer |
|---|---|
| Konto- und Profildaten | Bis zur Löschung des Kontos; danach anonymisiert bzw. gelöscht |
| Sessions | 30 Tage rollierend, höchstens 90 Tage ab Anmeldung |
| Heartbeats, Änderungsverlauf, Rohinhalte, Webhook-Protokolle | Vom Kunden pro Datentyp einstellbar: unbegrenzt oder eine bestimmte Zahl von Tagen. Ohne Einstellung unbegrenzt. |
| Stundenstatistik (aggregiert, ohne IP und Nachrichtentext) | 24 Monate |
| Datenexporte | 7 Tage nach Erstellung |
| Zahlungsvorgänge | In der App bis zur Kontolöschung; Rechnungen beim Betreiber nach gesetzlicher Aufbewahrungsfrist |
| Widerrufs- und Kündigungserklärungen | Bis zur Kontolöschung; soweit sie Zahlungen betreffen, längstens nach der gesetzlichen Aufbewahrungsfrist |
| Server-Logs | 14 Tage |
| Newsletter | Bis zur Abmeldung |
| Backups | Verschlüsselte externe Backups; Kopien gelöschter Daten werden mit der nächsten Rotation entfernt und bis dahin nicht aktiv genutzt |
14. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
Für Konto- und Profildaten stellt Klopfwerk Auskunft und Löschung im Self-Service bereit: Datenexport und Kontolöschung finden sich in den Einstellungen. Für Monitoring-Daten ist der jeweilige Kunde verantwortlich; wenden Sie sich in diesem Fall an ihn. Anfragen können Sie außerdem an datenschutz@klopfwerk.de richten. Wir antworten innerhalb eines Monats.
Nach einer Löschung können Kopien in verschlüsselten Backups noch bis zum Ablauf der Backup-Frist vorhanden sein; sie werden nicht mehr aktiv genutzt und mit der nächsten Rotation gelöscht.
15. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
16. Datensicherheit
Die Übertragung erfolgt verschlüsselt per TLS. Passwörter werden mit bcrypt gehasht, Zugangsdaten für Monitore, Webhook-Secrets, Slack-Webhook-URLs, Telefonnummern und das TOTP-Secret der Zwei-Faktor-Authentifizierung liegen verschlüsselt in der Datenbank. Zugriffe auf die Anwendung sind auf authentifizierte Nutzer beschränkt; Backups werden verschlüsselt aufbewahrt. Weitere technische und organisatorische Maßnahmen beschreibt das AVV.
Das TOTP-Secret wird verschlüsselt gespeichert und bei der Einrichtung einmalig an die vom Nutzer gewählte Authenticator-App übergeben. Eine Kopie in einer Cloud sichert die App gegebenenfalls selbst; dafür ist der jeweilige App-Anbieter verantwortlich. Klopfwerk übermittelt das Secret an keinen App-Anbieter. Wir empfehlen Apps, die nur lokal speichern, oder eine EU-Region des Anbieters.
17. Minderjährige und Änderungen
Klopfwerk richtet sich an Erwachsene und nicht an Kinder oder Jugendliche. Wir verarbeiten wissentlich keine Daten von Personen unter 18 Jahren.
Bei inhaltlichen Änderungen dieser Datenschutzerklärung aktualisieren wir Version und Stand oben auf der Seite. Wesentliche Änderungen, die einer neuen Einwilligung bedürfen, holen wir vorab ein.