Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für Website-Besucher, für Vertreter von Kundenorganisationen und für Kontodaten in der App ist Cleanthes Apps SRL. USt-IdNr., Handelsregister und Anschrift stehen auf Rechnungen und in der Fußzeile der Website. Kontakt für jede DSGVO-Anfrage: support@cleanthes-apps.com (Antwort innerhalb von 30 Kalendertagen).

Kontakt des Datenschutzbeauftragten (DSB): dieselbe Adresse support@cleanthes-apps.com mit Betreff „DSB: DSGVO-Anfrage“.

2. Zwei getrennte Rollen

Für Website-Daten und Kontodaten (Name, E-Mail, Telefon, Organisation, Abrechnung, Protokolle) handelt Cleanthes Apps SRL als Verantwortlicher.

Für Mitarbeiterdaten, die die Kundenorganisation in der App eingibt, ist die Organisation Verantwortlicher und Cleanthes Apps SRL handelt als Auftragsverarbeiter (Art. 28 DSGVO), streng nach den Weisungen der Organisation und dem bei der Registrierung akzeptierten AVV.

3. Was wir konkret erheben und speichern

Personenbezogene Mitarbeiterdaten: E-Mail, Vorname, Nachname, Personalnummer (interne Kennung).

Rollen- und Organisationsdaten: Stellenbezeichnung, Abteilung, Werk, Rollenstufe (L1/L2/L3).

Qualifikationsdaten: Stufe (0-3) pro Qualifikation in der Kompetenzmatrix, Leistungsdaten, KEINE besonderen Kategorien nach Art. 9 DSGVO.

Pflichtschulungen: Ausstellungsdatum, Ablaufdatum, Zertifikatsnummer, Trainer.

Audit-Protokoll (unveränderlich): IP-Adresse, User-Agent, Geräte-ID (wo zutreffend, z. B. Shopfloor-Tablet), Zeitstempel bei jeder Aktion (Anlegen / Ändern / Löschen / Freigeben), erforderlich für IFS-, IATF-16949- und ISO-22000-Konformität.

Abrechnungsdaten (BillingContact): Firmenname, USt-IdNr., Rechtsanschrift, Rechnungs-E-Mail, Kontakttelefon. Kartendaten werden über Stripe verarbeitet und nicht in unseren Datenbanken gespeichert. Wir behalten nur das von Stripe zurückgegebene Token.

Auf der Marketing-Website verwenden wir keine Tracking-Cookies und keine Ressourcen Dritter (keine Google Fonts, kein Analytics). Wenn Sie das Demo-Formular ausfüllen, werden die Daten (Name, Organisation, E-Mail, Telefon, Mitarbeiterzahl, Nachricht) über Ihr E-Mail-Programm gesendet und ausschließlich zur Beantwortung Ihrer Anfrage verarbeitet.

4. Unterauftragsverarbeiter

Wir arbeiten mit wenigen Unterauftragsverarbeitern, alle vertraglich zu Vertraulichkeit und DSGVO-Standards verpflichtet:

Cloudflare, Inc.: DNS + CDN + Website-Hosting (Cloudflare Pages). EU-Server (Frankfurt / Amsterdam). Öffentlicher AVV, Zertifizierung ISO 27001. Zweck: Auslieferung der Seiten und DDoS-Schutz.

LowPings Digital Services SRL (Rumänien): Hosting der Anwendung (Server, Datenbank, Dateien, Backups). Zweck: Betrieb des Dienstes.

Stripe Payments Europe, Ltd. (Irland): Kartenverarbeitung, Tokenisierung. PCI-DSS Level 1. Öffentlicher AVV, EU-US Data Privacy Framework für die US-Infrastruktur aktiv. Zweck: Zahlung von Abonnements und Rechnungen.

SMTP-Anbieter für Transaktions-E-Mails: Derzeit nutzen wir keinen externen E-Mail-Anbieter. Sobald einer aktiviert wird, wird er hier vor der ersten Nachricht aufgeführt.

Anthropic, PBC (USA): die KI-Funktionen der Anwendung (Lesen hochgeladener Anwesenheitslisten und Zertifikate, aus Unterlagen erzeugte Tests, Zuordnung von Excel-Spalten, Frage-Assistent). Optional und standardmäßig aus; wir aktivieren sie für eine Organisation erst nach der 30-tägigen Ankündigung oder auf ihren schriftlichen Wunsch, und die Organisation kann sie jederzeit abschalten. Übermittelt wird nur, was der Vorgang braucht (die hochgeladene Datei, die Frage, die für die Antwort nötigen Daten), nicht die Mitarbeiterliste. Die Daten werden nicht zum Training von Modellen verwendet und von Anthropic innerhalb von 30 Tagen gelöscht. Übermittlung: Standardvertragsklauseln (SCC) über den AVV von Anthropic. Nichts, was die KI vorschlägt, wird ohne Bestätigung durch eine Person gespeichert.

Die vollständige Liste mit Rollen und Standorten ist Teil des AVV. Änderungen werden den Kundenorganisationen mindestens 30 Tage im Voraus mitgeteilt, mit Widerspruchsrecht.

5. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Daten auf folgenden Grundlagen (Art. 6 DSGVO):

(a) Vertragserfüllung: Konto- und Rollendaten, die nötig sind, damit die App für jeden vertraglich erfassten Mitarbeiter funktioniert.

(b) Rechtliche Verpflichtung: Pflichtschulungen, Audit-Protokoll für IFS-/IATF-Konformität, Rechnungen nach rumänischem Steuerrecht.

(c) Berechtigtes Interesse: Sicherheits-Audit-Protokoll (IP, User-Agent) zur Verhinderung von Betrug und unbefugtem Zugriff.

(d) Vorvertragliche Maßnahmen oder berechtigtes Interesse: Beantwortung von Demo- und Supportanfragen.

Wir verkaufen keine personenbezogenen Daten. Wir erstellen keine Werbeprofile. Wir verwenden personenbezogene Daten nicht zum Training öffentlicher KI-Modelle.

6. Aufbewahrungsfristen

Abgestimmt auf unsere interne technische Dokumentation (Abschnitt 7.10) und rumänische gesetzliche Pflichten:

Inaktiver Mitarbeiter: 5 Jahre nach Deaktivierung (Berechnung von Betriebszugehörigkeit + Urlaub nach rumänischem Arbeitsgesetzbuch). Nach 5 Jahren: Soft-Delete + Anonymisierung der identifizierenden Felder.

Audit-Protokoll (unveränderlich): 7 Jahre, IFS-/IATF-Anforderung an die Nachvollziehbarkeit von Schulungen.

Pflichtschulungen: bis Ablauf + 3 Jahre (Nachprüfungsfenster der Arbeitsschutzbehörde).

Rechnungen und Steuerunterlagen: 10 Jahre (rumänisches Steuergesetzbuch, Art. 25).

Supportkorrespondenz: bis zu 3 Jahre.

Kontodaten (ohne Rechnungen): für die Vertragsdauer plus 30 Tage Exportfenster, dann endgültige Löschung.

7. Internationale Übermittlungen

Die Primärdaten werden in der Europäischen Union gespeichert. Unterauftragsverarbeiter, die Daten außerhalb des EWR verarbeiten (Stripe und Cloudflare haben US-Infrastruktur), sind durch geeignete Garantien abgedeckt: Angemessenheitsbeschlüsse (einschließlich EU-US Data Privacy Framework, in Kraft seit Juli 2023) und Standardvertragsklauseln (SCC).

8. Ihre Rechte (Art. 15-22 DSGVO)

Sie haben folgende Rechte, ausübbar per E-Mail an support@cleanthes-apps.com (Antwort innerhalb von 30 Tagen):

Auskunft (Art. 15): Sie können Ihre eigenen Daten in der App über /auth/me und /skill-matrix?self=true einsehen. Auf Anfrage stellen wir auch einen vollständigen Exportbericht bereit.

Übertragbarkeit (Art. 20): JSON-Export über die API, direkt aus der App (Schaltfläche „Meine Daten exportieren“).

Berichtigung (Art. 16): der Nutzer bittet den Admin der Organisation, die Daten zu bearbeiten; der Admin ist de facto Verantwortlicher für Mitarbeiterdaten.

Löschung (Art. 17): Soft-Delete bei Vertragsende + Anonymisierung nach 5 Jahren (rumänische gesetzliche Aufbewahrung für das Vertragsverhältnis).

Einschränkung (Art. 18), Widerspruch (Art. 21), Widerruf der Einwilligung: auf Anfrage, Bearbeitung innerhalb von 30 Tagen.

Sie haben außerdem das Recht, sich bei der rumänischen Datenschutzbehörde (ANSPDCP) zu beschwerenwww.dataprotection.rooder bei der für Sie zuständigen Aufsichtsbehörde.

9. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein: strikte Datentrennung pro Organisation (durch automatisierte Mehrmandanten-Tests geprüft), TLS 1.3 bei der Übertragung, EU-Hosting, kurze Sitzungen, ungültig bei Abmeldung und Passwortänderung, Zwei-Schritt-Anmeldung für Plattform-Administratoren, unveränderliches Audit-Protokoll, tägliche Backups mit dokumentiertem Wiederherstellungsverfahren und rollenbasierte Zugriffskontrolle (RBAC). Der Zugriff unserer Mitarbeiter auf Daten ist streng begrenzt, protokolliert und im Audit-Protokoll der Kundenorganisation sichtbar.

10. Mitarbeiterdaten in der App

Mitarbeiter, die DSGVO-Rechte an ihren Daten in der App ausüben möchten, wenden sich zuerst an die beschäftigende Organisation. Sie ist Verantwortlicher. Auf Weisung der Organisation leistet Cleanthes Apps SRL die erforderliche technische Unterstützung (Export, Berichtigung, Löschung). Wendet sich ein Mitarbeiter direkt an support@cleanthes-apps.com, verweisen wir ihn an seine Organisation und unterstützen auf Anfrage technisch.

11. Cookies und lokaler Speicher

Details in der Cookie-Richtlinie. Kurz: Wir verwenden keine Tracking-Cookies; in der App speichern wir zwei Einträge im sessionStoragecap_token (Sitzungs-JWT) und cap_user (lokale Nutzermetadaten): die beim Schließen des Tabs automatisch gelöscht werden.

12. Änderungen der Erklärung

Wir aktualisieren diese Erklärung bei Bedarf; die aktuelle Fassung und das Aktualisierungsdatum stehen auf dieser Seite. Wesentliche Änderungen kündigen wir per E-Mail oder in der App mindestens 30 Tage vor Wirksamwerden an.