Datenschutzerklärung

Stand: 29.10.2026 · gilt für die Website schlotigmbh.com und die Plattform OperationPilot unter cockpit.schlotigmbh.com

1. Wer verantwortlich ist

Schloti GmbH, Krüselstraße 7a, 48341 Altenberge, vertreten durch die Geschäftsführer Luca Tiggemann und Chris Lorenz, eingetragen beim Amtsgericht Steinfurt, HRB 12894. Für alle Fragen zum Datenschutz: info@schlotigmbh.com.

Einen Datenschutzbeauftragten haben wir derzeit nicht benannt. Ob die Pflicht dazu nach Art. 37 DSGVO und § 38 BDSG besteht, prüfen wir und tragen das Ergebnis hier ein: wir sind weniger als zwanzig Personen, verarbeiten im Auftrag der Betriebe aber auch Gesundheitsdaten von Beschäftigten (Krankmeldungen).

2. Zwei Rollen, die Sie kennen sollten

OperationPilot ist ein kaufmännisches Cockpit für Handwerksbetriebe. Dabei treten wir in zwei getrennten Rollen auf:

• Als Verantwortlicher für die Daten, die beim Betrieb der Plattform selbst anfallen: Zugänge und Anmeldungen, Sitzungen, das Nachweisbuch, die Betreuung unserer Kunden (Abschnitte 3 bis 7).
• Als Auftragsverarbeiter für alles, was ein Betrieb im Cockpit erfasst: seine Kunden, Angebote, Rechnungen, Mitarbeiter, Belege und Zahlen. Verantwortlich dafür ist der Betrieb; wir verarbeiten diese Daten nur auf seine Weisung und auf Grundlage einer Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (Abschnitte 8 bis 11).

Sind Sie Kunde, Lieferant oder Mitarbeiter eines Betriebs, der OperationPilot nutzt, ist dieser Betrieb Ihr Ansprechpartner für Auskunft, Berichtigung und Löschung. Wir unterstützen ihn dabei.

3. Besuch der Website schlotigmbh.com

Die Website ist eine reine Informationsseite. Beim Aufruf verarbeitet der Hoster IONOS SE, Montabaur, in seinen Server-Protokollen die IP-Adresse, den Zeitpunkt, die aufgerufene Seite und die Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb). Die Protokolle werden nach ⟨Frist, Vorschlag: 7 Tagen⟩ gelöscht.

Die Website setzt keine Cookies, nutzt keine Analyse- oder Werbedienste, bindet keine Inhalte Dritter ein und liefert ihre Schriften selbst aus. Sie verweist auf keine Seiten Dritter.

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten und einen Vertrag anzubahnen oder zu erfüllen (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Unser Postfach liegt bei IONOS SE, Montabaur. Geschäftsbriefe bewahren wir nach Handels- und Steuerrecht sechs beziehungsweise zehn Jahre auf, alles andere löschen wir, sobald es nicht mehr gebraucht wird.

4. Wo die Plattform läuft

OperationPilot läuft auf einem virtuellen Server, den wir bei ⟨Hostinger-Rechtsträger laut Rechnung⟩ mieten; das Rechenzentrum steht in ⟨Ort des Rechenzentrums laut Kundenkonto⟩. Hostinger betreibt die Hardware und das Netz und ist unser Auftragsverarbeiter nach Art. 28 DSGVO ⟨Vereinbarung des Anbieters ablegen und ihre Fassung eintragen, Prüfliste Hostinger Punkt 1.3⟩. Hostinger setzt nach dieser Vereinbarung weitere Dienstleister ein ⟨Liste laut Anhang der Vereinbarung eintragen; genannt sind unter anderem Amazon Web Services EMEA, Google Cloud EMEA und Cloudflare, Prüfliste Punkt 1.4⟩. Die Inhalte sind in der Datenbank nicht zusätzlich verschlüsselt: wer den Server betreibt, kann sie technisch lesen. Die Datenbank ist von außen nicht erreichbar, jede Verbindung zur Plattform ist verschlüsselt (TLS mit HSTS). Die Seiten der Plattform laden keine Schriften, Skripte oder Bilder von Dritten nach und binden keine Analyse- oder Werbedienste ein (Content-Security-Policy).

Der Webserver auf diesem Rechner protokolliert wie jeder Webserver die IP-Adresse, den Zeitpunkt und den aufgerufenen Pfad (Art. 6 Abs. 1 lit. f DSGVO); diese Protokolle werden nach ⟨Frist, Vorschlag: 7 Tagen⟩ gelöscht.

5. Ihr Zugang zur Plattform

Konto. Um das Cockpit bereitzustellen, speichern wir zu jedem Zugang die E-Mail-Adresse, den Namen, die Art des Zugangs (Geschäftsleitung, auch Betriebsleitung genannt, Büro, Handwerker oder Plattformverwaltung), den Status des Zugangs, die Bereiche des Cockpits, die der Zugang sehen darf, die Person im Reiter Team, mit der er verknüpft ist, sowie das Passwort ausschließlich als Hashwert (scrypt); im Klartext liegt es nirgends. Nach fünf Fehlversuchen wird die Anmeldung 15 Minuten gesperrt; dazu zählen wir die Fehlversuche und merken uns den Sperrzeitpunkt. Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO).

Zugang entfernen. Die Geschäftsleitung kann einen Zugang ihres Betriebs im Cockpit entfernen, nicht den eigenen und nicht den letzten der Geschäftsleitung. Dann leeren wir den Namen des Zugangs, ersetzen seine E-Mail-Adresse durch eine Platzhalteradresse, die es nicht gibt, und löschen sein Passwort, seine Sitzungen und vertrauten Geräte, das Geheimnis seiner Anmeldung mit Code, offene Einladungen an diese Adresse und die, die dieser Zugang noch offen ausgesprochen hatte, und beenden seine Verbindungen zu KI-Programmen; die Adresse ist danach für einen neuen Zugang frei. Was der Betrieb über die Person im Cockpit führt (Zeiten, Stempel, Belege, Projekte), bleibt, denn es hängt an der Person im Reiter Team und nicht am Zugang, und der Betrieb muss einen Teil davon aufbewahren; die Person im Team entfernt der Betrieb dort selbst. Die Plattformverwaltung kann keinen Zugang entfernen. Im Nachweisbuch (Abschnitt 6) steht, dass ein Zugang entfernt wurde, mit seiner Kennung und dem Typ, nie mit der Adresse; der Zugang erscheint dort danach als „entfernter Zugang“. Ältere Einträge, in deren Angaben seine Adresse stand (zum Beispiel eine Einladung), lassen sich im laufenden Betrieb nicht ändern (Abschnitt 6). Dasselbe gilt für den Nachweis, dass dieser Zugang Bedingungen angenommen hat (weiter unten in diesem Abschnitt): Name und E-Mail-Adresse der handelnden Person bleiben dort bis zur Löschung des Betriebs stehen. Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO).

Einladungen und Rücksetzlinks. Neue Zugänge entstehen über einen Einladungslink, vergessene Passwörter werden über einen Rücksetzlink erneuert. Beide Links sind Schlüssel; wir speichern sie nur als Hashwert. Ein Einladungslink gilt sieben Tage, ein Rücksetzlink 24 Stunden, der Link aus „Passwort vergessen“ eine Stunde, jeder genau einmal. Wer einen Einladungslink erzeugt, gibt ihn selbst weiter oder lässt ihn als E-Mail der Plattform senden (nächster Absatz); einen Rücksetzlink, den die Betriebsleitung oder wir erzeugen, gibt der Erzeuger selbst weiter. Ein Link hebt den Code der Anmeldung mit zweitem Faktor nie auf: wer ein Gerät eingerichtet hat, gibt den Code auch nach einem neuen Passwort ein.

E-Mails der Plattform. Ist der Mailversand der Plattform eingeschaltet, senden wir genau diese Arten von E-Mails: den Link zum Neusetzen eines Passworts, wenn jemand auf der Anmeldeseite „Passwort vergessen“ wählt; die Einladung zu einem Zugang, wenn die Betriebsleitung oder wir „Einladung per E-Mail senden“ wählen; den Link zur Bestätigung einer Registrierung (oder, wenn die Adresse schon einen Zugang hat, den Hinweis darauf mit dem Weg zur Anmeldung); bis zu zwei Hinweise an die Geschäftsleitung eines Betriebs in der Testphase (die Testphase endet bald; und, wenn die automatische Löschung eingeschaltet ist, die Daten werden bald gelöscht); nach dem Ende eines Vertrags die Ankündigung der Löschung an die Geschäftsleitung und, nach der Löschung, deren Bestätigung an die Adressen der Geschäftsleitung, die wir kurz davor gelesen haben und danach nicht behalten (Abschnitt 8, Löschung); und, wenn ein Betrieb uns eine Nachricht schreibt (Abschnitt 7), einen Hinweis an eine feste Adresse von uns selbst („Im Eingang der Verwaltung wartet etwas“, ohne den Inhalt der Nachricht und ohne den Namen des Betriebs, höchstens eine Mail alle zehn Minuten). Die Mails haben einen festen Text ohne Betriebsnamen und ohne Werbung. Sie gehen an die Adresse des Zugangs beziehungsweise der Einladung oder Registrierung, die Mail an uns selbst ausgenommen, nie im Namen eines Betriebs und nie an dessen Kunden. Den Versand übernimmt ein eigenes Postfach der Plattform bei ⟨Mailanbieter der Plattform⟩ (⟨Ort⟩), unser Auftragsverarbeiter nach Art. 28 DSGVO; er erhält die Adresse, den Zeitpunkt und den Text der Mail mit dem Link. Wer „Passwort vergessen“ aufruft oder sich registriert, bekommt auf der Seite immer dieselbe Antwort, ob es zur Adresse einen Zugang gibt oder nicht; die eingegebene Adresse speichern wir bei „Passwort vergessen“ nicht (zur Registrierung der nächste Absatz). Damit niemand mit Mails überschüttet wird, zählen wir, wie viele Mails ein Zugang heute bekommen hat, begrenzen die Anfragen je Anschluss (im Arbeitsspeicher des Servers, nicht in der Datenbank) und zählen, wie viele Bestätigungsmails der Registrierung heute insgesamt hinausgingen; ist diese Grenze erreicht, sagt die Seite es ehrlich und nimmt erst morgen wieder Adressen an. Im Nachweisbuch (Abschnitt 6) steht nur, dass und welche Art von Mail gesendet wurde, nie die Adresse, der Link oder der Text. Bei „Passwort vergessen“ und bei der Einladung gehört der Eintrag zu dem Zugang, der die Mail ausgelöst hat, und trägt die IP-Adresse der Anfrage; daraus zählen wir die Grenzen je Zugang. Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO) und die Sicherheit der Verarbeitung (Art. 32 DSGVO). Ist der Mailversand nicht eingeschaltet, senden wir nichts, und die Betriebsleitung oder wir geben den Link weiter.

Registrierung. Legt ein Betrieb sein Cockpit selbst an, geschieht das in zwei Schritten. Im ersten tragen Sie nur Ihre E-Mail-Adresse ein (und, wenn wir ihn persönlich vergeben haben, den Zugangscode). Dazu löst Ihr Browser eine kleine Rechenaufgabe: sie läuft auf Ihrem Gerät, schickt nichts an Dritte und bremst nur automatische Anmeldungen. Wir speichern die Adresse, eine vereinfachte Schreibweise davon (ohne „+Zusatz“, damit die Grenzen für Mails nicht durch Abwandlungen derselben Adresse umgangen werden) und den Hashwert eines Links in einer eigenen Tabelle, dazu den Weg (mit Zugangscode oder offen) sowie wann und wie oft wir die E-Mail gesendet haben, und senden eine E-Mail an die Adresse. Erst wer den Link öffnet (er gilt 24 Stunden und lässt sich einmal benutzen), kommt zum zweiten Schritt: dort tragen Sie Betriebsname, Ihren Namen und eine Telefonnummer für den Rückruf ein, bestätigen, dass Sie als Unternehmer handeln und den Betrieb vertreten dürfen, nehmen, sobald unsere Bedingungen freigegeben sind, auch sie an und wählen ein Passwort. Dann legen wir Betrieb, Ihren Zugang und, soweit Texte freigegeben sind, die Annahme der Bedingungen an und löschen die Zeile aus der Tabelle; Ihr Name und Ihre Telefonnummer stehen danach als Ansprechpartner bei der Betreuung (Abschnitt 7). Öffnen Sie den Link nicht, löschen wir sie spätestens nach sieben Tagen. Wer nur eine fremde Adresse eintippt, erreicht damit nichts außer ein paar Mails an diese Adresse (höchstens fünf, solange ein Link gilt, im Abstand von mindestens einer Minute): Name, Betrieb, Telefonnummer und Zustimmung kommen erst von der Person, die das Postfach hat. Adressen von Wegwerf-Diensten lehnen wir ab, und wir fragen den Namensdienst des Internets, ob die Domain der Adresse E-Mails empfangen kann; übertragen wird dabei nur der Domainname. Nach der Registrierung steht im Nachweisbuch (Abschnitt 6) des Betriebs, wann sie war, auf welchem Weg, welche Adresse sie bestätigt hat und von welcher IP-Adresse; die E-Mails der Registrierung vor der Bestätigung stehen im Nachweisbuch der Plattform, ohne Betrieb, nur als Art (und ob die Anfrage neu war), ohne Adresse und ohne IP-Adresse. Damit eine Testphase nicht beliebig oft neu beginnt, speichern wir am Betrieb drei Prüfsummen (SHA-256, gekürzt): der vereinfachten Adresse, des vereinfachten Betriebsnamens (ohne Rechtsform) und der Telefonnummer, und vermerken, wenn eine davon schon bei einem anderen Betrieb vorkommt, der sich ebenfalls selbst registriert hat. Diesen Vermerk sehen nur wir in der Verwaltung, als Hinweis; gesperrt wird dadurch niemand, und die Seite verrät nichts. Rechtsgrundlage ist die vorvertragliche Maßnahme und der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und, für den Vermerk, unser berechtigtes Interesse, Missbrauch zu erkennen (lit. f). Die Registrierung ist nur mit einem persönlich vergebenen Zugangscode möglich, für alle offen (erst, wenn die Bedingungen freigegeben sind) oder ganz geschlossen.

Testphase. Ein Betrieb, der sich selbst registriert hat, arbeitet 30 Tage zur Probe. Danach ist sein Cockpit nur noch lesbar; Daten ansehen und sichern geht weiter. Wählt er keinen Tarif, löschen wir den Betrieb mit allen Daten ⟨Frist mit der Anwältin oder dem Anwalt abstimmen: hier 30 Tage nach dem Ende der Testphase, § 8 der Vereinbarung zur Auftragsverarbeitung nennt 90 Tage nach Vertragsende⟩. Das geschieht von selbst nur, wenn wir die automatische Löschung eingeschaltet haben, nur bei einem Betrieb, der nie bezahlt hat und weder gestellte Rechnungen noch eine unterschriebene Angebotsannahme im Archiv hat, und erst, wenn der zweite Hinweis (nächster Satz) an die Geschäftsleitung hinausging und sieben Tage vergangen sind; sonst löscht die Verwaltung den Betrieb von Hand, in zwei Stufen (Abschnitt 8, Löschung). Wir sehen dabei nur Zahlen (etwa, ob Rechnungen oder Angebotsannahmen im Archiv liegen), nicht den Inhalt des Betriebs. Dazu schicken wir der Geschäftsleitung einen Hinweis drei Tage vor dem Ende der Testphase und, wenn die automatische Löschung eingeschaltet ist, einen zweiten eine Woche vor der Löschung. Gelöscht wird nicht von selbst, wenn der Betrieb Rechnungen gestellt oder eine Angebotsannahme unterschrieben hat, die wir aufbewahren müssen. In der Testphase ist der Speicher insgesamt kleiner (Zustand, Belege, Unterlagen, Kundendateien und Rechnungsarchiv zusammen), und die Texterkennung für Belege ist begrenzt, damit sie die zahlenden Betriebe nicht bremst; Einladungen verschicken wir in dieser Zeit nicht per E-Mail, die Geschäftsleitung gibt den Link selbst weiter; Postfach, Buchhaltung und KI-Assistent schalten wir auf Wunsch frei.

Sitzung und Cookie. Nach der Anmeldung setzt die Plattform genau ein Cookie namens cockpit_session. Es ist technisch notwendig, um Sie angemeldet zu halten, und braucht nach § 25 Abs. 2 TDDDG keine Einwilligung. Es enthält ein Zufallsmerkmal, kein Passwort, ist für Skripte unzugänglich (HttpOnly), wird nur verschlüsselt übertragen (Secure) und nicht an fremde Seiten mitgeschickt (SameSite=Strict). Eine Sitzung endet nach zwölf Stunden ohne Nutzung, spätestens nach dreißig Tagen, oder wenn Sie sich abmelden. Zu jeder Sitzung speichern wir den Hashwert des Merkmals, die IP-Adresse, die Browserkennung und die Zeitpunkte; so können Sie Ihre angemeldeten Geräte sehen und sich überall abmelden.

Anmeldung mit Code (zweiter Faktor). Wer seinen Zugang zusätzlich mit einem Einmalcode aus einer Authenticator-App schützt, richtet das Gerät selbst unter „Konto und Sicherheit“ ein. Die Geschäftsleitung eines Betriebs kann den Code für alle Zugänge ihres Betriebs verlangen; für die Zugänge der Plattformverwaltung lässt er sich verbindlich einschalten. Dafür speichern wir je Zugang das gemeinsame Geheimnis der App ausschließlich verschlüsselt (AES-256-GCM; der Schlüssel liegt auf dem Server, nicht in der Datenbank), den zuletzt angenommenen Zeitschritt, die Zahl der Fehlversuche mit einer eventuellen Sperrzeit, bis zu zehn Wiederherstellungscodes ausschließlich als Prüfsumme (HMAC-SHA-256) und den Zeitpunkt der Einrichtung. Nach fünf falschen Codes ist die Eingabe 15 Minuten gesperrt, nach acht eine Stunde, nach zehn einen Tag. Rechtsgrundlage sind der Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO) und die Sicherheit der Verarbeitung (Art. 32 DSGVO). Wer „Auf diesem Gerät 30 Tage nicht erneut fragen“ wählt, bekommt ein zweites, technisch notwendiges Cookie namens cockpit_geraet (§ 25 Abs. 2 TDDDG). Es enthält ein Zufallsmerkmal, gilt nur für diesen Zugang und diesen Browser, ist für Skripte unzugänglich (HttpOnly), wird nur verschlüsselt übertragen (Secure) und nicht an fremde Seiten mitgeschickt (SameSite=Strict); wir speichern davon den Hashwert, die Browserkennung und die Zeitpunkte. Es entfällt bei einem neuen Passwort, beim Zurücksetzen oder Ersetzen des Geräts, bei einer Sperre des Zugangs, beim Wechsel des Kontotyps, bei „Auf allen Geräten abmelden“ und wenn Sie es unter „Konto und Sicherheit“ selbst vergessen lassen. Für die Plattformverwaltung gibt es dieses Cookie nicht. Wer Handy und Wiederherstellungscodes verloren hat, lässt das Gerät über die Geschäftsleitung zurücksetzen oder fragt bei uns an. Wir stoßen es dann erst nach einer Wartezeit von 24 Stunden an, in der die Geschäftsleitung und die Person widersprechen können, und tragen Zeitpunkt, Art der Prüfung und Grund im Nachweisbuch des Betriebs ein.

Bedingungen und Nutzerregeln. Nimmt die Geschäftsleitung die Nutzungsbedingungen und die Vereinbarung zur Auftragsverarbeitung an, oder bestätigt eine Person die Nutzerregeln, halten wir fest, welche Fassung (mit Prüfsumme), von welchem Zugang, auf welchem Weg und wann. Beim Annehmen für den Betrieb speichern wir außerdem die Bestätigung, dass der Betrieb Unternehmer ist und die handelnde Person ihn vertreten darf, sowie den Namen und die E-Mail-Adresse der handelnden Person; die IP-Adresse steht im Nachweisbuch (Abschnitt 6). Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, die Annahme beweisen zu können (lit. f). Diesen Nachweis bewahren wir ⟨Frist mit der Steuerberatung bestätigen, Vorschlag: sechs Jahre⟩ auf; nach dem Löschen eines Betriebs bleiben im Nachweisbuch der Betrieb (Name und Kürzel), das Dokument, die Fassung mit Prüfsumme, der Weg und der Zeitpunkt der Annahme erhalten, ohne IP-Adresse und ohne den Namen der handelnden Person.

Speicher im Browser. Das Cockpit hält die Daten Ihres Betriebs während der Nutzung als Zwischenspeicher im Browser (IndexedDB), damit es schnell und auch bei kurzen Verbindungsabbrüchen arbeitet. Der Zwischenspeicher trägt die Kennung Ihres Betriebs und wird beim Abmelden gelöscht. Maßgeblich ist immer der Stand auf dem Server. Dazu merkt sich der Browser reine Einstellungen der Oberfläche (localStorage), etwa ob Sie das dunkle Aussehen gewählt haben und welche Ansicht Sie zuletzt in einem Bereich offen hatten, und für diesen einen Tab (sessionStorage) die Adresse eines Links, den Sie eben für einen Kunden erstellt haben (Kundenformular oder Angebotsannahme), die Adresse, die Sie auf der Anmeldeseite eingegeben haben, damit sie beim Wechsel zu „Passwort vergessen“ nicht neu getippt werden muss, und ob Sie einen Hinweis auf später verschoben haben, dazu auf der Seite zum Aufmessen Ihre noch nicht gespeicherten Eingaben (nur Zahlen und Namen), falls Sie sich zwischendurch neu anmelden müssen; das verschwindet mit dem Tab. Die Plattformverwaltung speichert im Browser nur die Wahl zwischen hellem und dunklem Aussehen. Wer das Cockpit als App auf dem Handy oder Tablet installiert, bekommt dazu einen kleinen Dienst im Browser (Service Worker), der nur eine Ersatzseite und das Logo für den Fall ohne Verbindung ablegt, nichts aus Ihrem Cockpit.

6. Das Nachweisbuch

Die Plattform führt je Betrieb ein Nachweisbuch über sicherheitsrelevante Vorgänge: Anmeldungen und Fehlversuche, Sperren, Einladungen, gesendete E-Mails der Plattform (nur die Art, nie die Adresse), Passwortänderungen, das Einrichten, Ersetzen und Zurücksetzen des zweiten Faktors, falsche Codes und Sperren der Codeeingabe, Änderungen am Betrieb, Sicherungen, Importe, Läufe des Angebotsagenten, das Einrichten oder Lösen einer Anbindung, Schaltungen durch die Plattform, Freigaben des Betriebs für die Plattform, das Entfernen eines Zugangs, die Ankündigung und die Durchführung einer Löschung (samt der Art der Mails dazu), das Ausfüllen des Kundenformulars und das Verwerfen oder Aufräumen seiner Eingaben (nur Zahlen), jeder Link der Plattform zum Neusetzen eines Passworts, jeder Zugriff der Plattform auf Systemeinstellungen, Sicherung oder Import, der Weg einer Nachricht an uns (geschrieben, nachgefragt, beantwortet, Stand geändert, gelöscht; nur Art und Länge, nie der Text, Abschnitt 7) und die Vorgänge des Arbeitsalltags: jedes Speichern von Änderungen im Cockpit (nur, welcher Bereich und welche Version, nie der Inhalt), vergebene Nummern, abgelegte und gelöschte Dateien (nur Kennung und Größe, nie der Name), gestellte Rechnungen und angenommene Angebote (Nummer und Prüfsumme), das Stempeln, Nachtragen und Stornieren von Arbeitszeiten (nur, ob für eine andere Person, nie Dauer oder Art), Verbindungen und Abrufe des KI-Assistenten (nur das Werkzeug und der Ausgang) sowie Abo, Tarif und Zahlungen. Ein Eintrag enthält Zeitpunkt, Art des Vorgangs, Betrieb, handelnden Zugang, IP-Adresse und wenige Detailangaben. Beim Ausfüllen des Kundenformulars durch einen Kunden (Abschnitt 10) tragen wir keine IP-Adresse ein; ältere Einträge dazu haben wir einmalig davon bereinigt. Zu den Detailangaben gehören je nach Vorgang E-Mail-Adressen (etwa bei einem Anmeldeversuch, auch wenn es zu der eingegebenen Adresse keinen Zugang gibt, oder bei einer Einladung), bei einem Eingriff der Plattform in einen Zugang der Grund (Weisung des Betriebs, Sicherheit oder Vertragsende) und bei einem im Postfach abgelegten Entwurf nur die Zahl der Empfänger. Nie enthalten sind Passwörter, Codes, das Geheimnis der Authenticator-App, Einladungs- oder Rücksetzlinks, Inhalte von E-Mails oder Belegen, Empfänger, Betreffzeilen, Kundennamen und Dateinamen.

Zweck ist der Nachweis nach Art. 5 Abs. 2 DSGVO, das Erkennen von Angriffen und die Nachvollziehbarkeit für den Betrieb selbst (Art. 6 Abs. 1 lit. c und lit. f DSGVO). Im laufenden Betrieb lassen sich Einträge auf Datenbankebene weder ändern noch löschen. Der Betrieb sieht in seinem Cockpit unter Systemeinstellungen › Sicherheit, was die Plattform bei ihm getan hat, und auf Wunsch alle wichtigen Vorgänge in Worten, ohne IP-Adressen. Wird ein Betrieb gelöscht, bereinigen wir seine Einträge: Zeitpunkt und Art des Vorgangs bleiben, die Detailangaben und die IP-Adresse fallen weg. Ausgenommen sind nur die Angaben der Einträge zu Abo, Tarif und Zahlung (Aufbewahrung von Buchungsbelegen) und zur Annahme der Vertragsbedingungen; auch bei ihnen fällt die IP-Adresse weg. Der Eintrag über die Löschung selbst behält Namen und Kürzel des Betriebs und einige Zahlen (etwa die Zahl der Zugänge und der Rechnungen im Archiv), dazu ob die Verwaltung oder der Tageslauf gelöscht hat, ob zuvor eine Sicherung gezogen wurde und ob aufbewahrungspflichtige Unterlagen mitgingen, damit nachweisbar bleibt, dass und wann gelöscht wurde. Was in einem Eintrag nicht stehen soll (Empfänger, Betreffzeilen, Kundennamen, Dateinamen, Art einer Abwesenheit), steht auch in keinem älteren: bei der Einführung dieser Regel haben wir die bestehenden Einträge einmalig bereinigt. Eine feste Aufbewahrungsfrist ⟨Frist, Vorschlag: zwölf Monate für sicherheitsrelevante Einträge, sechs Monate für die übrigen⟩ ist vorgesehen, aber noch nicht umgesetzt; wir tragen sie hier ein, sobald sie gilt. Bis dahin bewahren wir Einträge ohne Frist auf, bei einem gelöschten Betrieb nach der Bereinigung wie beschrieben.

7. Betreuung unserer Kunden

Zu jedem Betrieb hält die Plattformverwaltung fest, was für die Betreuung nötig ist: Gewerk, Ansprechpartner mit Telefonnummer (bei einer Selbstregistrierung Name und Rückrufnummer aus der Registrierung), das vereinbarte Modell mit Preis und Konditionen, einen Pilotvermerk, Startdatum und interne Notizen. Diese Angaben sieht nur die Schloti GmbH, sie sind nicht Teil des Cockpits und nicht Teil der Sicherung, die der Betrieb ziehen kann. Rechtsgrundlage ist der Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO). Sie gehören zum Eintrag des Betriebs und verschwinden mit dessen Löschung (Abschnitt 8, Löschung).

Nachrichten an uns. Unter Systemeinstellungen › Hilfe kann die Betriebsleitung uns schreiben, was nicht läuft, was wir einarbeiten sollen oder was sie fragen möchte. Wir speichern die Nachricht mit ihrer Art (etwas läuft nicht, bitte einarbeiten, Frage), dem Text, dem Namen der schreibenden Person und dem Zeitpunkt, dazu wenige Angaben zum Zusammenhang: die Version des Programms, die Umgebung, die Rolle der Person, der Bereich des Cockpits, in dem sie war, und ob am Handy oder am Rechner. Dazu kommen unsere Antworten (mit dem Vermerk, ob der Betrieb sie geöffnet hat), die Nachfragen des Betriebs, der Stand der Nachricht, eine interne Notiz, der Bearbeiter und der Aufwand in Minuten; Notiz, Aufwand und Bearbeiter sieht der Betrieb nicht. Dafür sind wir selbst verantwortlich, nicht Auftragsverarbeiter: der Betrieb schickt uns die Nachricht bewusst. Bitte schreiben Sie keine Passwörter, Kontodaten und keine Daten Ihrer Kunden hinein. Rechtsgrundlage ist der Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO). Die Nachricht steht im Eingang unserer Verwaltung, die dafür nur diese Nachrichten sieht, nie den übrigen Inhalt des Cockpits. Eine beantwortete Nachricht, deren Antworten der Betrieb gelesen hat und auf die er vierzehn Tage nicht mehr reagiert, gilt als erledigt; eine offene Nachricht bleibt, bis wir sie bearbeitet haben. Erledigte Nachrichten löschen wir nach zwölf Monaten, auf Wunsch des Betriebs sofort. Mit dem Löschen des Betriebs sind auch seine Nachrichten weg; in der Sicherung, die der Betrieb ziehen kann, stehen sie nicht.

Abrechnung und Zahlung. Schließt ein Betrieb ein Abo ab, läuft die Zahlung über den Zahlungsdienst Stripe ⟨Stripe-Gesellschaft, Anschrift und Datenort laut Stripe-Konto eintragen, Vorschlag: Stripe Payments Europe, Limited, Dublin, Irland⟩. Die Zahlungsdaten (Karte, Konto für die Lastschrift) gibt der Betrieb auf der Seite von Stripe ein, nicht bei uns; sie berühren unseren Server nie. An Stripe geben wir weiter: den Namen des Betriebs, die E-Mail-Adresse der Geschäftsleitung, die Kennung des Betriebs bei uns (zur Zuordnung) und die Zahl der Zugänge je Art; die Rechnungsanschrift und die Umsatzsteuer-ID gibt der Betrieb auf der Seite von Stripe selbst ein. Wir speichern die Kennungen des Betriebs bei Stripe (Kunde, Abo, Rechnungen), je Zahlung den Betrag ohne und mit Steuer, den Zeitraum, den Stand (bezahlt, offen, fehlgeschlagen, erstattet, zurückgebucht), die Links auf die Rechnung und die PDF bei Stripe und, wenn eine Abbuchung nicht geklappt hat, den Grund aus einer festen Liste, die Zahl der Versuche und den Zeitpunkt des nächsten Versuchs. Das Zahlungsmittel merken wir uns nur als Art, Marke, die letzten vier Stellen sowie Ablaufmonat und Ablaufjahr, nie die ganze Nummer, nie die IBAN, nie die Adresse eines PayPal-Kontos. Dazu kommt das Land der Rechnungsanschrift. Die Zustimmung des Betriebs, die Rechnungen nur elektronisch als PDF zu bekommen, holt Stripe im Checkout ein und hält sie dort fest; im Nachweisbuch des Betriebs steht nur, ob sie erteilt wurde, mit dem Zeitpunkt des Abschlusses. Zu jedem Ereignis, das Stripe uns meldet, merken wir uns nur die Art, die Kennung des Vorgangs und des Kunden bei Stripe und den Zeitpunkt, nie Namen, Anschriften oder Beträge. Was Stripe selbst bei der Zahlung erhebt und wofür, richtet sich nach den Datenschutzhinweisen von Stripe ⟨Rolle von Stripe (Auftragsverarbeiter oder eigener Verantwortlicher) mit der Anwältin oder dem Anwalt klären⟩. Rechtsgrundlage ist der Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO) und, für die Aufbewahrung von Rechnungen und Buchungsbelegen, eine rechtliche Pflicht (lit. c). Einmal am Tag lesen wir bei Stripe nach und gleichen unseren Stand damit ab, damit eine verlorene Meldung nicht dazu führt, dass ein Betrieb gesperrt wird, der längst gezahlt hat; an Stripe melden wir dabei nur die Zahl der Zugänge, wie bei jeder Änderung der Zugänge. Eine Gutschrift oder eine Rückbuchung, die Stripe meldet, tragen wir nur ein; wir lösen weder das eine noch das andere aus und kündigen nichts von uns aus. Bieten wir PayPal als weitere Zahlungsart an (zurzeit ist es ausgeschaltet; wir schalten es erst ein, wenn diese Erklärung und die Liste der Unterauftragnehmer es nennen), kommt PayPal ⟨PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, bestätigen⟩ als weiterer Empfänger dazu; die Adresse des PayPal-Kontos speichern wir nicht. Zahlt ein Betrieb nicht über Stripe, sondern per Überweisung, tragen wir die Zahlung von Hand ein. Löschen wir einen Betrieb, löschen wir den Kundeneintrag bei Stripe nicht mit; was Stripe von sich aus aufbewahren muss, richtet sich nach den Hinweisen von Stripe. Die Angaben zur Zahlung bewahren wir so lange auf, wie Rechnungen aufzubewahren sind ⟨Frist mit der Steuerberatung bestätigen⟩.

8. Was ein Betrieb im Cockpit erfasst

Ein Betrieb legt in seinem Cockpit Kunden mit Anschrift und Kontaktdaten an, erstellt Angebote, übernimmt Rechnungen und Mahnstände aus seiner Buchhaltung, führt Mitarbeiter mit Rollen, Arbeitszeiten, Abwesenheiten, Einsatzplan und Terminen, legt Belege, Unterlagen und Fotos zu Baustellen ab, liest Kontoauszugsdateien ein und pflegt seine Betriebszahlen. Für all das ist der Betrieb der Verantwortliche; wir sind sein Auftragsverarbeiter.

• Speicherort. Datenbank und Dateiablage auf dem in Abschnitt 4 beschriebenen Server. Jeder Datensatz trägt die Kennung des Betriebs; die Trennung zwischen Betrieben wird in der Datenbank selbst erzwungen, nicht nur im Programm.
• Zugriff. Nur die Zugänge des Betriebs. Die Verwaltung der Plattform sieht, wie das Cockpit genutzt wird (Zugänge, Anbindungen ohne Passwörter oder Schlüssel, Abo, Zeitpunkt der letzten Anmeldung), aber keine Kunden, Angebote, Preise, Unterlagen oder Kontodaten des Betriebs. Systemeinstellungen (einschließlich der Einstellungen seiner Routinen), Sicherung und Import eines Betriebs öffnet die Verwaltung nur, solange der Betrieb sie im Cockpit unter Systemeinstellungen › Sicherheit freigegeben hat: Einrichtungshilfe für 24 Stunden, Datenübernahme für 4 Stunden. Der Betrieb nimmt die Freigabe jederzeit mit einem Klick zurück. Drei Ausnahmen, alle im Nachweisbuch des Betriebs sichtbar: Ist ein Betrieb noch nicht übergeben (es hat sich noch nie ein Zugang angemeldet), richten wir ihn in seinem Auftrag ein. Für einen geschlossenen Betrieb, der nichts mehr freigeben kann (seine Geschäftsleitung kann sich anmelden und lesen, aber nichts mehr ändern, siehe Löschung unten), ziehen wir die Sicherung nur auf seine Weisung; haben wir den Betrieb selbst geschlossen, erst sieben Tage danach. Die Weisung tragen wir selbst ein; der Betrieb liest sie in seinem Nachweisbuch im Cockpit, auch wenn es nur noch lesbar ist, und das Buch kennzeichnet sie als von uns eingetragen. Und hat ein Betrieb keinen Zugang der Geschäftsleitung mehr, der sich anmelden darf, erstellen wir auf Bitte eine Einladung oder einen Link zum Neusetzen des Passworts (sonst setzt jede Person ihr Passwort selbst per E-Mail zurück, solange der Mailversand eingeschaltet ist). Ist der Mailversand ausgeschaltet, stellen wir den Link auf Bitte des Betriebs auch für andere Zugänge aus. Bei eingeschaltetem Mailversand gilt dasselbe für die einzige Geschäftsleitung eines Betriebs, die ihr Postfach nicht mehr erreicht: Wir stellen den Link erst aus, wenn wir die Person auf mindestens zwei Wegen geprüft haben (zum Beispiel Rückruf an die notierte Nummer und Vergleich der Stammdaten); die Prüfschritte stehen mit dem Grund im Nachweisbuch des Betriebs. Wer diesen Link hat, kann sich als dieser Zugang anmelden. Darum steht der Link mit seinem Grund im Nachweisbuch, und ein danach gesetztes Passwort und was der Zugang kurz darauf tat, sind dort gekennzeichnet. Jede Nutzung steht im Nachweisbuch des Betriebs; lässt sie sich dort nicht eintragen, gewährt die Verwaltung den Zugriff nicht. Das ist eine Sperre in der Oberfläche und der Schnittstelle der Verwaltung; wer den Server betreibt, hat technisch weiterhin Zugriff auf die Datenbank und nutzt ihn nur für Wartung, Fehlersuche und Sicherungen.
• Beschäftigtendaten. Zeiterfassung und Abwesenheiten betreffen die Beschäftigten des Betriebs. Krankmeldungen sind Gesundheitsdaten (Art. 9 DSGVO): das Cockpit hält fest, dass und von wann bis wann jemand krankgemeldet ist und ob die Bescheinigung (eAU) fristgerecht eingegangen ist; es ruft keine Bescheinigung ab. Im Nachweisbuch steht nie, wer krank war oder wie lange. Ob der Betrieb diese Daten verarbeiten darf und ob sein Betriebsrat beteiligt werden muss, entscheidet und verantwortet der Betrieb.
• Aufmaß und Fotos. Über die Seite „Aufmaß“ erfassen Beschäftigte Maße, Skizzen und Fotos einer Baustelle auf dem Handy oder Tablet. Die Fotos liegen als Unterlagen der Baustelle auf dem Server aus Abschnitt 4; Personen, die auf einem Foto zu sehen sind, sind Betroffene des Betriebs. Zum Messen und für Fotos fragt der Browser nach der Kamera; das Kamerabild beim Messen bleibt auf dem Gerät, übertragen werden die gemessenen Maße und die Fotos, die jemand ausdrücklich aufnimmt.
• Sicherung. Vor jeder Aktualisierung der Plattform entsteht eine Sicherung der Datenbank und der Daten des Automatisierungsdienstes auf dem Server; die hochgeladenen Dateien (Belege, Unterlagen, Fotos) gehören nicht dazu. Diese Kopien liegen zurzeit unverschlüsselt auf dem Server und werden nicht aufgeräumt; die Umstellung auf verschlüsselte Kopien, die nach sieben Tagen verschwinden, ist vorbereitet, aber noch nicht eingespielt. Eine tägliche, verschlüsselte Sicherung mit einer wöchentlichen Kopie an einem zweiten Ort, die auch diese Dateien erfassen soll, ist vorbereitet, aber noch nicht eingerichtet; bis dahin gibt es von den hochgeladenen Dateien keine Sicherung von uns. Sobald sie läuft, schlüsselt sie nur ein Schlüssel auf, der nicht auf dem Server liegt, und die Kopie geht an ⟨Anbieter und Ort des Sicherungsziels, z. B. Hetzner Online GmbH, Storage Box⟩. Der Betrieb sollte seine Daten deshalb regelmäßig selbst als Datei herunterladen.
• Datenübertragbarkeit. Die Geschäftsleitung des Betriebs kann die Daten ihres Cockpits jederzeit als Datei herunterladen, solange ihr Zugang offen ist, auch bei gesperrtem Abo und nach dem Ende des Vertrags bis zur Löschung. In der Datei stehen alle Bereiche des Cockpits, die Unterlagen und Belege, die gestellten Rechnungen als PDF und E-Rechnung, die unterschriebenen Angebotsannahmen mit Unterschrift, Protokoll und Nachweis, die Eingaben der Kunden aus dem Kundenformular samt Dateien, die Zähler der Angebots- und Rechnungsnummern und die Vorschläge der KI. Nicht in der Datei stehen die Zugänge mit ihren Passwörtern und Geräten für die Anmeldung mit Code, die Zugangsdaten zu Postfach und Buchhaltung, die Schalter der Plattform für Ihren Betrieb, die Abrechnung mit OperationPilot, Ihre Nachrichten an uns (Abschnitt 7; die lesen Sie im Cockpit unter Hilfe) und das Nachweisbuch (das liest der Betrieb im Cockpit unter Sicherheit); die Datei nennt selbst, was sie enthält, was nicht und was sich nicht lesen ließ. Ist der Vertrag beendet, bleibt das Cockpit für die Geschäftsleitung lesbar (Löschung, nächster Punkt). Kann sie sich nicht anmelden, stellen wir ihr die Sicherung bis zur Löschung auf ihre Bitte in Textform bereit.
• Löschung. Auf Weisung des Betriebs oder neunzig Tage nach Vertragsende löschen wir den Betrieb mit allen Daten, Dateien und Zugängen, auch mit den gestellten Rechnungen und den unterschriebenen Angebotsannahmen: die Sperre, eine Rechnung vor Ablauf der Aufbewahrungsfrist zu löschen, gilt im laufenden Betrieb und endet mit der Löschung des ganzen Betriebs. Die Aufbewahrungspflicht liegt dann beim Betrieb, der diese Unterlagen vorher mit seiner Sicherung mitnimmt. So läuft es ab: Mit dem Ende des Vertrags ist das Cockpit für die Geschäftsleitung nur noch lesbar (Lesemodus: ansehen und sichern, sonst nichts), die übrigen Zugänge sind gesperrt, und ein Hinweis im Cockpit nennt den Löschtag, sobald er feststeht. Spätestens sieben Tage vorher kündigen wir die Löschung an, im Cockpit, in unserer Verwaltung und, wenn der Mailversand der Plattform eingeschaltet ist, per E-Mail an die Geschäftsleitung. Gelöscht wird dann nicht von selbst, sondern von der Verwaltung in zwei Schritten: erst die Prüfung, dann die Bestätigung mit dem Kürzel des Betriebs. Hat der Betrieb gestellte Rechnungen oder unterschriebene Angebotsannahmen, verlangt die Bestätigung eine zusätzliche, ausdrückliche Zustimmung; wir sehen dabei nur die Zahl und die späteste Aufbewahrungsfrist, nicht den Inhalt. Verlangt der Betrieb die Löschung selbst, tragen wir das mit seiner Weisung in Textform ein; die neunzig Tage und die Ankündigungsfrist von sieben Tagen entfallen dann, es bleibt eine Wartezeit von 24 Stunden zwischen der Ankündigung und der Löschung, und auch diese Löschung kündigen wir an. Nach der Löschung bestätigen wir sie der Geschäftsleitung in Textform (wenn der Mailversand eingeschaltet ist). Das Nachweisbuch des Betriebs wird bereinigt (Abschnitt 6). Kopien in Sicherungen verschwinden nicht sofort: die Kopien vor einer Aktualisierung bleiben sieben Tage (sobald sie verschlüsselt abgelegt werden), die vorbereitete nächtliche Sicherung 14 Tage; eine Kopie außer Haus löschen wir nicht gezielt, sie läuft mit der Aufbewahrungszeit des Sicherungsziels ab ⟨Aufbewahrungszeit der Kopie außer Haus festlegen und hier nennen⟩.
• Keine eigenen Zwecke. Wir werten diese Daten nicht für uns aus, geben sie nicht weiter und nutzen sie nicht für Werbung.

9. Anbindungen, die der Betrieb selbst einrichtet

Postfach. Die Betriebsleitung kann das Postfach des Betriebs anbinden. Die Zugangsdaten (Server, Benutzername, Passwort) speichern wir verschlüsselt (AES-256-GCM); der Schlüssel liegt nur in der Serverkonfiguration, nie in der Datenbank, und die Plattformverwaltung kann ihn nicht einsehen. Das Cockpit liest nur auf Klick des Betriebs, und nur zweierlei: Antworten von Lieferanten auf eine Preisanfrage, die es am Anfragezeichen erkennt, und E-Mails mit Lieferantenrechnungen, die es an Stichwörtern im Betreff erkennt, samt ihren PDF- und XML-Anhängen. Es legt fertige Entwürfe (Angebot, Preisanfrage, Mahnung) im Ordner Entwürfe ab. Es versendet nichts, löscht nichts, verschiebt nichts. Der Server speichert den Inhalt gelesener E-Mails nicht; im Nachweisbuch steht nur die Zahl der gelesenen Nachrichten und bei einem Entwurf die Zahl der Empfänger, nie ein Anfragezeichen, ein Empfänger oder ein Betreff. Was der Betrieb daraus im Cockpit übernimmt, etwa den Text einer Antwort als Beleg zu einem Preis oder den Anhang einer Rechnung als Beleg, gehört zu seinen Daten im Cockpit (Abschnitt 8). Welchen Mailanbieter der Betrieb nutzt, entscheidet er selbst; bei einem Anbieter außerhalb der EU (etwa Google, Apple oder Yahoo) verantwortet der Betrieb diese Übermittlung. Um den Mailanbieter zu erkennen, fragen wir zuerst den Namensdienst des Internets nach dem Mail-Eingangsserver (MX) und dem Servereintrag (SRV) der Domain und, wenn uns der Anbieter dann noch unbekannt ist, die Servereinstellungen bei autoconfig.thunderbird.net (Mozilla) ab; übertragen wird dabei nur der Domainname, nie ein Benutzername oder Passwort. Microsoft 365 und Outlook lassen sich zurzeit nicht anbinden.

Buchhaltung. Der Betrieb kann Lexware Office (Haufe-Lexware, Freiburg) oder sevDesk (sevDesk GmbH, Offenburg) anbinden. Den Schnittstellenschlüssel speichern wir wie ein Postfach-Passwort verschlüsselt. Das Cockpit liest Ausgangs- und Eingangsrechnungen (Nummer, Daten, Beträge, Status, Geschäftspartner und dessen Kennung in der Buchhaltung). Bei Lexware Office liest es außerdem die Kontakte des Betriebs, also Kunden und Lieferanten mit Name, Ansprechpartner, Anschrift, Telefon, E-Mail, USt-IdNr. und Kunden- oder Lieferantennummer, und die Artikel (nur Produkte, mit Bezeichnung, Einheit und Artikelnummer, ohne Preis), und legt sie in der Kundenkartei, bei den Lieferanten und im Katalog des Cockpits ab: die Kunden beim Öffnen der Kundenliste (höchstens alle 15 Minuten), Kunden, Lieferanten und Artikel auf Knopfdruck und, wenn der Betrieb es einschaltet, einmal am Tag. Dabei gehen die Daten vom Buchhaltungsanbieter über unseren Server an den Browser des Betriebs; der Server reicht sie nur durch und hält keine eigene Kopie, gespeichert werden sie im Cockpit wie selbst erfasste Kundenkarten, Lieferanten und Material. Geschrieben wird bei Lexware Office an zwei Stellen: jeden im Cockpit abgelegten Beleg legt das Cockpit einmal als Datei im Posteingang der Buchhaltung ab, und auf ausdrücklichen Klick wird ein im Cockpit neu angelegter Kunde mit Auftrag oder Rechnung dort als Kontakt angelegt (Name, Ansprechpartner, Anschrift, Telefon, E-Mail), nachdem das Cockpit dort nach Name und E-Mail gesucht hat, ob es ihn schon gibt. Das Cockpit bucht nichts, ändert und löscht dort nichts. Der Buchhaltungsanbieter ist ein vom Betrieb selbst beauftragter Dienstleister mit eigenem Vertrag; wo und wie er verarbeitet, regelt dieser Vertrag.

Belege lesen. Lädt ein Betrieb einen Beleg als Foto oder PDF hoch, liest die Plattform ihn auf dem eigenen Server (Texterkennung mit der Open-Source-Software Tesseract, ohne einen Dienst Dritter) und macht daraus Vorschläge für Art, Lieferant, Datum, Betrag und Positionen. Der Beleg verlässt den Server dabei nicht; im Nachweisbuch stehen nur Größe, Herkunft und Seitenzahl der Datei, nie der gelesene Text und nie der Dateiname. Ein Mensch bestätigt jeden Vorschlag.

Kontoauszüge. Der Betrieb kann Kontoauszugsdateien (CAMT oder CSV) im Cockpit einlesen, um Zahlungen offenen Rechnungen zuzuordnen. Das Cockpit hat keinen Zugang zu Bankkonten, löst keine Zahlung aus und fragt nie nach PIN oder TAN. Umsätze von Privatkonten werden nicht gespeichert. Binden wir später einen lizenzierten Kontoinformationsdienst an, ergänzen wir diese Erklärung vorher.

Angebotsagent. Für Freitext-Auswertung, Kalkulation und die Vorbereitung von PDF und Begleitmail nutzt das Cockpit einen Automatisierungsdienst (n8n), der auf demselben Server läuft. Daten verlassen den Server dabei nicht; der Dienst speichert im Regelfall nichts, nur fehlgeschlagene Läufe werden für 24 Stunden zur Fehlersuche aufbewahrt.

KI-Assistent des Betriebs. Die Plattform selbst ruft keine künstliche Intelligenz auf; von uns aus gibt es keinen Aufruf an Anthropic, OpenAI oder einen anderen Anbieter. Die Betriebsleitung kann aber erlauben, dass ein Zugang des Betriebs seinen eigenen KI-Assistenten (etwa Claude von Anthropic oder ChatGPT von OpenAI) mit dem Cockpit verbindet; ab Werk ist das ausgeschaltet. Das Programm des Betriebs ruft dann über eine verschlüsselte Verbindung Daten aus dem Cockpit ab, nur mit den Rechten des Zugangs, der es freigegeben hat, und ohne Stundensätze, Kontodaten, Notizen zu Mitarbeitern, persönliche Termine der Mitarbeiter oder Gründe einer Abwesenheit. Was es abruft, verarbeitet der Anbieter des Programms für den Betrieb, oft außerhalb der EU; diese Übermittlung verantwortet der Betrieb, mit eigenem Vertrag mit dem Anbieter. Was der Assistent anlegen möchte, legt das Cockpit erst an, wenn ein Mensch zustimmt; versendet, gebucht oder bezahlt wird nichts. Zur Verbindung speichern wir den Namen des Programms, seine Rücksprungadresse, wer sie wann freigegeben hat, die Schlüssel nur als Prüfwert und die Vorschläge des Assistenten; im Nachweisbuch steht je Abruf nur, welches Werkzeug benutzt wurde, nie der Inhalt. Trennen kann der Betrieb jederzeit unter Systemeinstellungen › Anbindungen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO trifft die Plattform nicht.

10. Das Kundenformular

Ein Betrieb kann seinem Kunden einen persönlichen Link schicken (er gilt 14 Tage und erlaubt höchstens fünf Eingaben), über den der Kunde Kontaktdaten, Anschrift, sein Vorhaben, einen Wunschtermin und Dateien wie Pläne oder Fotos (PDF oder Bilder, bis 8 MB, höchstens zehn je Eingabe) einträgt, ohne sich anzumelden. Verantwortlich für diese Daten ist der Betrieb, der den Link verschickt hat; wir speichern die Eingaben und Dateien in seinem Auftrag auf dem Server aus Abschnitt 4, bis der Betrieb sie in sein Cockpit übernommen oder verworfen hat, längstens 30 Tage; danach löschen wir, was der Betrieb nicht übernommen hat. Das Formular nennt dem Kunden diese Frist. Entfernt der Betrieb den Kunden aus seiner Kartei, löschen wir auch dessen Eingaben und Dateien auf dem Server, sofort, und spätestens nach sieben Tagen, falls die Meldung des Cockpits nicht angekommen ist. Was der Betrieb übernommen hat, gehört zu seinen Daten im Cockpit (Abschnitt 8). Im Nachweisbuch (Abschnitt 6) steht nur, dass ein Formular ausgefüllt wurde, ohne IP-Adresse. Die Eingabe setzt die Zustimmung des Kunden voraus (Art. 6 Abs. 1 lit. a DSGVO); Löschung und Auskunft verlangt der Kunde beim Betrieb, der uns dazu anweist.

11. Die Annahme eines Angebots

Ein Betrieb kann einem Kunden ein Angebot als Link schicken. Der Kunde öffnet es ohne Anmeldung, nennt zum Schutz des Links die Postleitzahl seiner Anschrift, so wie sie auf dem Angebot steht, sieht das Angebot, trägt seinen Namen ein, zeichnet seine Unterschrift mit dem Finger oder der Maus und nimmt an. Verantwortlich für diese Daten ist der Betrieb, von dem das Angebot kommt; wir verarbeiten sie in seinem Auftrag auf dem Server aus Abschnitt 4.

Zum Nachweis der Annahme speichern wir den Namen, die Unterschrift als Bild, den Zeitpunkt, die IP-Adresse und die Kennung des Browsers, dazu das Angebot als PDF mit seiner Prüfsumme, die Kerndaten des Angebots (Nummer, Betrag, Gültigkeit) und die Angabe des Kunden, ob er als Gewerbekunde oder als Privatkunde nach einem Termin vor Ort annimmt. Die Postleitzahl dient nur dem Zugangsschutz; nach mehreren falschen Eingaben ist der Link gesperrt. Der Schlüssel im Link wird nur als Prüfwert gespeichert und steht in der Adresse hinter dem Doppelkreuz, damit er nie an unseren Server und in dessen Protokolle gelangt. Damit ein Neuladen die Seite nicht von vorn beginnen lässt, merkt sich der Browser des Kunden den Schlüssel nur für diesen einen Tab (sessionStorage); er verschwindet, wenn der Tab geschlossen wird. Rechtsgrundlage ist der Vertrag zwischen Betrieb und Kunde (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse des Betriebs, die Annahme beweisen zu können (lit. f). Die Unterschrift ist eine einfache elektronische Signatur, keine qualifizierte.

Wir versenden nichts: den Link verschickt der Betrieb selbst, die Kopie lädt der Kunde auf der Bestätigungsseite herunter. Der Nachweis bleibt gespeichert, solange der Betrieb ihn braucht, höchstens ⟨Frist, Vorschlag: zehn Jahre ab Ende des Jahres der Unterschrift⟩. Auskunft und Löschung verlangt der Kunde beim Betrieb.

12. Empfänger und Drittländer

Wir selbst übermitteln keine personenbezogenen Daten in Länder außerhalb der EU ⟨gilt erst, wenn das Rechenzentrum in der EU bestätigt ist und die Dienstleister des Server-Anbieters keine Daten in Drittländer übertragen⟩. Wählt ein Betrieb einen Postfachanbieter oder einen KI-Assistenten außerhalb der EU, ist das seine Entscheidung als Verantwortlicher. Für die Zahlung der Abos ist Stripe vorgesehen (Tabelle); für echte Zahlungen schalten wir es erst ein, wenn diese Erklärung freigegeben ist. Stripe kann Zahlungsdaten auch in Ländern außerhalb der EU verarbeiten ⟨Übermittlung in Drittländer und Grundlage (Standardvertragsklauseln oder Data Privacy Framework) laut Stripe eintragen⟩. Weitere Empfänger gibt es nach unserem Stand zurzeit nicht, außer den Dienstleistern des Server-Anbieters ⟨eintragen, sobald bestätigt⟩. Wir verkaufen keine Daten und schalten keine Werbung.

13. Wie wir die Daten schützen

Verschlüsselte Verbindungen mit HSTS, Trennung der Betriebe in der Datenbank (Row-Level-Security), Passwörter nur als scrypt-Hash, Zugangsdaten für Anbindungen verschlüsselt mit einem Schlüssel außerhalb der Datenbank, ein im laufenden Betrieb nicht änderbares Nachweisbuch, Datenbank und Cockpit-Dienst nur auf dem Server selbst erreichbar (von außen nimmt der Webserver Verbindungen an, daneben der verschlüsselte Fernzugang zur Verwaltung des Servers), Schutz gegen fremde Seiten (Origin- und CSRF-Prüfung), Anmeldung mit Code auf Wunsch, eine Sicherung vor jeder Aktualisierung (die tägliche verschlüsselte Sicherung mit Schlüssel außerhalb des Servers ist vorbereitet, aber noch nicht eingerichtet), der Cockpit-Container mit schreibgeschütztem Dateisystem (beschreibbar ist nur die Ablage für Unterlagen) und ohne erweiterte Rechte. Die Bedienoberfläche des Automatisierungsdienstes n8n liegt hinter dem Webserver, ist also aus dem Internet erreichbar, und durch ein Passwort geschützt ⟨Servereinstellung prüfen, Prüfliste Hostinger Punkt 5.5⟩. Die Übersicht der Schutzmaßnahmen, jede mit ihrem Stand, steht unter cockpit.schlotigmbh.com/sicherheit; die ausführliche Beschreibung nach Art. 32 DSGVO legen wir auf Anfrage offen.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dafür an info@schlotigmbh.com; für Daten, die ein Betrieb im Cockpit über Sie erfasst hat, an diesen Betrieb.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

15. Änderungen

Diese Erklärung beschreibt den Stand vom 16.10.2026. Ändert sich die Plattform, ändern wir die Erklärung vorher und tragen das neue Datum oben ein. Betriebe mit laufendem Vertrag informieren wir über wesentliche Änderungen gesondert.

Zur Anmeldung · Impressum