Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir dich nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Besuch von modulhero.de und bei der Nutzung der Software ModulHero verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher und Kontakt zum Datenschutz

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) derzeit nicht vorliegen. Datenschutzanfragen richte bitte an die oben genannte E-Mail-Adresse – am besten mit dem Betreff „Datenschutz“.

2. Zwei Rollen: Anbieter und Auftragsverarbeiter

Als Verantwortlicher verarbeiten wir Daten von Besuchern dieser Website sowie die Vertrags- und Kontodaten unserer Kunden (Name, E-Mail-Adresse, Firma, Rechnungsdaten).

Als Auftragsverarbeiter (Art. 28 DSGVO) verarbeiten wir die Daten, die unsere Kunden in ModulHero erfassen – etwa Kunden- und Mitarbeiterdaten, Rechnungen, E-Mails, Belege oder Zeiterfassungen. Das gilt auch für die öffentlichen Seiten, die unsere Kunden ihren eigenen Kunden bereitstellen (z. B. Online-Terminbuchung, Reservierung, Kursbuchung, Kundenportal, Angebotsannahme, Zahlungslink, Sendungsverfolgung, digitaler Kassenbon). Verantwortlich für diese Daten ist das jeweilige Unternehmen, das ModulHero nutzt. Grundlage ist unser Vertrag zur Auftragsverarbeitung. Betroffene wenden sich mit Anliegen zu diesen Daten bitte an das jeweilige Unternehmen.

3. Hosting in der EU und Server-Logfiles

Website und Software werden bei der Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland, betrieben. Die Server stehen in einem Rechenzentrum in Frankreich (Lauterbourg, EU). Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf unserer Seiten verarbeitet der Webserver automatisch Informationen, die dein Browser übermittelt:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite / Datei, HTTP-Statuscode und übertragene Datenmenge
• Referrer-URL und verwendeter Browser / Betriebssystem (User-Agent)

Die Verarbeitung ist zur Auslieferung der Seiten sowie zur Gewährleistung von Stabilität und Sicherheit (z. B. Abwehr von Angriffen) erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und fehlerfreien Betrieb. Die Zugriffsprotokolle werden nach spätestens 14 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

4. Cookies und Speicher im Browser

Wir verwenden ausschließlich Speicherungen auf deinem Endgerät, die für den gewünschten Dienst erforderlich sind:

• Sitzungs-Cookie (omni_session) – hält dich nach der Anmeldung eingeloggt. Er ist signiert, für Skripte nicht lesbar (HttpOnly), wird nur verschlüsselt übertragen und beim Abmelden bzw. nach Ablauf der Sitzung ungültig.
• Einstellungen im lokalen Speicher (localStorage), z. B. heller/dunkler Modus (mh-theme), Design und Akzentfarbe, Listenansichten sowie deine Entscheidung zu Karten und Diktat (mh-osm-consent, mh-dictation-consent).
• Offline-Stand der App (mh-rq-cache) – zuletzt geladene Daten, damit ModulHero bei schwacher Verbindung schnell startet. Der Stand wird höchstens 24 Stunden verwendet und beim Abmelden gelöscht.
• Empfehlungscode (mh-ref) – wenn du über einen Einladungslink kommst, merken wir uns den Code bis zu 60 Tage, damit die Empfehlung bei der Registrierung zugeordnet werden kann. Du kannst die Einladung bei der Registrierung ablehnen.
• Sitzungsspeicher (sessionStorage), z. B. damit die Startanimation nur einmal je Browsersitzung erscheint.

Diese Speicherungen sind für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht notwendig. Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Software) bzw. lit. f (Einstellungen, Empfehlungsprogramm). Du kannst Cookies und lokalen Speicher jederzeit in deinem Browser löschen.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein und binden keine Social-Media-Plugins, keine externen Schriftarten und keine Videos von Drittanbietern ein. Alle Schriftarten und Programmdateien werden von unserem eigenen Server geladen. Einen Cookie-Banner brauchen wir deshalb nicht. Die einzigen Inhalte von Drittservern – Kartenkacheln und das Sprachmodell für das Diktat – werden erst nach deinem Klick bzw. deiner Zustimmung geladen (Ziffer 10 und 11).

5. Progressive Web App und Offline-Betrieb

ModulHero ist eine Progressive Web App. Dein Browser installiert dafür einen sogenannten Service Worker, der die Programmdateien (HTML, JavaScript, Stylesheets, Bilder) im Browser-Cache speichert, damit die App schneller lädt und auch bei kurzzeitig fehlender Verbindung startet. Daten aus der Programmschnittstelle (z. B. Kunden oder Rechnungen) legt der Service Worker nicht im Cache ab; der Offline-Stand nach Ziffer 4 liegt nur im lokalen Speicher deines Browsers und verlässt dein Gerät nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. § 25 Abs. 2 Nr. 2 TDDDG. Den Service Worker und seinen Cache kannst du in den Browser-Einstellungen („Website-Daten löschen“) entfernen.

6. Registrierung, Kundenkonto und Anmeldung

Wenn du ein Konto anlegst, verarbeiten wir Name, E-Mail-Adresse, Firmenname, gewählte Branche, ein Passwort sowie Zeitpunkt und Fassung der akzeptierten AGB. Das Passwort speichern wir nur als kryptografischen Hash (scrypt), niemals im Klartext. Nutzt du die Zwei-Faktor-Anmeldung, speichern wir den dafür nötigen geheimen Schlüssel. Zweck ist die Bereitstellung der Software und die Durchführung des Vertrags; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für angemeldete Sitzungen speichern wir zusätzlich den Browser-Typ (User-Agent); abgelaufene Sitzungen werden automatisch gelöscht. Zum Schutz vor Angriffen auf Konten protokollieren wir Anmeldeversuche mit Zeitpunkt, E-Mail-Adresse, Ergebnis, Browser-Typ und einer gekürzten IP-Adresse (der letzte Block wird vor dem Speichern entfernt); dieses Protokoll löschen wir nach 90 Tagen. Zur Nachvollziehbarkeit protokollieren wir wichtige Änderungen (z. B. an Rollen, Rechnungen oder Nummernkreisen) mit Benutzer und Zeitpunkt, jedoch ohne IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

Empfehlungsprogramm: Registrierst du dich über den Einladungslink einer anderen Firma, sieht diese deinen Firmennamen und den Stand der Empfehlung (z. B. „registriert“, „Abo gestartet“), damit die Gutschrift zugeordnet werden kann (Art. 6 Abs. 1 lit. f DSGVO). Darauf weisen wir bei der Registrierung hin; du kannst ohne Einladung registrieren.

7. Kontaktaufnahme

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst lit. f). Die Daten löschen wir, wenn die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten bestehen.

8. Vertragsabwicklung und Abrechnung

Für die Abrechnung kostenpflichtiger Editionen, Module und Dienstleistungen verarbeiten wir Rechnungsanschrift, gebuchte Leistungen und Zahlungsinformationen (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungen bewahren wir entsprechend den handels- und steuerrechtlichen Pflichten auf.

9. Funktionen der Software

Künstliche Intelligenz – lokal auf unserem Server

Die KI-Funktionen (z. B. Dokumentenablage, Belegerkennung, Assistent, Buchhaltungs-KI) arbeiten mit Sprachmodellen, die auf unserem eigenen Server in der EU laufen (Ollama). Dokumente, Belegfotos und Texte werden dafür nicht an KI-Anbieter oder andere Dritte übertragen und nicht zum Training von Modellen verwendet; es ist kein externer KI-Dienst angebunden. Ein Teil der Fachfragen wird aus einer im Programm hinterlegten Wissenssammlung beantwortet, also ganz ohne Sprachmodell. Die Ergebnisse sind Vorschläge; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Weil Belege personenbezogene Daten enthalten können, schaltet jeder Kunde die Belegerkennung selbst frei; die Zustimmung wird mit Zeitpunkt und Person protokolliert.

E-Mail-Postfach-Anbindung

Kunden können eigene E-Mail-Postfächer anbinden. ModulHero ruft dann die E-Mails per IMAP vom Mailserver des Kunden ab, speichert sie im Konto der Firma und versendet Antworten über dessen SMTP-Server. Ist die automatische Ablage eingeschaltet, werden Anhänge wie Rechnungen und Belege mit der lokalen KI erkannt und im Dokumentenbereich bzw. in der Buchhaltung abgelegt. Die Zugangsdaten zum Postfach werden verschlüsselt gespeichert. Die Verarbeitung erfolgt im Auftrag des Kunden (Ziffer 2).

Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, speichern wir die von deinem Browser erzeugte Push-Adresse (Endpoint und Schlüssel) zu deinem Benutzerkonto. Die Zustellung läuft technisch über den Push-Dienst deines Browser- bzw. Betriebssystemherstellers (z. B. Google, Apple, Mozilla oder Microsoft); der Inhalt der Nachricht wird dabei Ende-zu-Ende verschlüsselt übertragen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit in den Browser- oder App-Einstellungen widerrufen kannst; ungültige Push-Adressen löschen wir automatisch.

Integrationen, die Kunden selbst einschalten

Je nach gebuchten Modulen können Kunden Dienste anderer Anbieter mit ihrem eigenen Vertrag anbinden. Daten werden dann nur nach Einrichtung durch den Kunden und nur im erforderlichen Umfang an den jeweiligen Anbieter übertragen; es gelten zusätzlich dessen Datenschutzhinweise:

• Zahlungsdienste Stripe, PayPal und SumUp – Zahlungslinks für Rechnungen, Anzahlungen bei Reservierungen und Terminen sowie Abruf von Umsätzen und Gebühren für die Buchhaltung. Bei einer Zahlung gibst du deine Zahlungsdaten direkt beim Zahlungsdienst ein; ModulHero erhält nur Status, Betrag und Referenz.
• Kontoinformationsdienst GoCardless (Bank Account Data, PSD2) – Abruf von Kontoumsätzen nach Freigabe durch den Kontoinhaber bei seiner Bank; ModulHero erhält keine Bank-PIN.
• fiskaly (Cloud-TSE) – Signatur von Kassenvorgängen nach der Kassensicherungsverordnung.
• seven.io (SMS) – Terminerinnerungen per SMS, sipgate – Telefonie-Anbindung, Sendcloud – Versandetiketten und Sendungsdaten.
• OpenStreetMap Nominatim – im Modul Disposition werden Liefer- und Abholadressen (ohne Namen) zur Ermittlung von Koordinaten an den Dienst der OpenStreetMap Foundation (Großbritannien) übermittelt.

Soweit dabei Daten in Länder außerhalb der EU / des EWR gelangen, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (z. B. Großbritannien, EU-US Data Privacy Framework) oder von Standardvertragsklauseln des jeweiligen Anbieters.

10. Karten (OpenStreetMap, 2-Klick-Lösung)

Auf einigen Seiten (z. B. Sendungsverfolgung, Tourenplanung, Fahrzeugortung) kann eine Karte angezeigt werden. Die Kartenkacheln stammen von OpenStreetMap (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Großbritannien). Die Karte wird erst geladen, wenn du auf „Karte laden“ klickst. Erst dann überträgt dein Browser deine IP-Adresse und technische Angaben an die Server von OpenStreetMap. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wenn du „Auf diesem Gerät merken“ wählst, speichern wir das im lokalen Speicher; du kannst das jederzeit durch Löschen der Website-Daten widerrufen. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission. Reine Links zu Google Maps oder OpenStreetMap öffnen erst beim Anklicken die jeweilige Seite.

11. Sprachdiktat

Das Sprachdiktat im Assistenten wandelt Sprache direkt in deinem Browser in Text um – die Aufnahme verlässt dein Gerät nicht. Dafür wird einmalig ein Sprachmodell geladen: die Programmbibliothek über das CDN jsDelivr und das Modell von Hugging Face (USA). Dabei werden deine IP-Adresse und technische Angaben an diese Anbieter übertragen. Das geschieht nur nach deiner ausdrücklichen Zustimmung beim ersten Start des Diktats (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); ohne Zustimmung wird nichts geladen.

12. Empfänger und Drittlandübermittlung

Personenbezogene Daten geben wir nur weiter, wenn es für den Betrieb erforderlich ist (Hosting durch Contabo GmbH), der Kunde eine Integration nach Ziffer 9 einschaltet, du einer Übertragung nach Ziffer 10 oder 11 zustimmst oder wir gesetzlich dazu verpflichtet sind. Hosting und Datenhaltung finden ausschließlich in der Europäischen Union statt. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

13. Speicherdauer

• Server-Logfiles: höchstens 14 Tage.
• Anmeldeprotokoll: 90 Tage.
• Sitzungen: bis zum Abmelden bzw. Ablauf der Sitzung.
• Offline-Stand im Browser: höchstens 24 Stunden; Empfehlungscode: höchstens 60 Tage.
• Kontodaten: für die Dauer des Vertrags.
• Daten unserer Kunden in der Software: nach Vertragsende 30 Tage zum Export, danach Löschung (siehe AVV); Datensicherungen werden im regulären Sicherungszyklus überschrieben.
• Rechnungen und Buchungsbelege: 8 bzw. 10 Jahre nach den gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB).

14. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS / HTTPS). Die Daten der einzelnen Unternehmen sind auf Datenbankebene voneinander getrennt (Row-Level-Security). Zugriffe innerhalb eines Unternehmens sind über Rollen und Rechte beschränkt; eine Zwei-Faktor-Anmeldung steht zur Verfügung. Zugriffe unseres Supports auf Kundendaten erfolgen nur zur Bearbeitung von Anfragen und werden protokolliert. Die technischen und organisatorischen Maßnahmen sind in der Anlage zum Vertrag zur Auftragsverarbeitung beschrieben.

15. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern.

16. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Der Besuch der Website ist ohne Angabe persönlicher Daten möglich (abgesehen von den technisch übermittelten Daten nach Ziffer 3). Für die Nutzung der Software sind die Angaben bei der Registrierung erforderlich. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.