Datenschutzerklärung

Stand: 11. Oktober 2026

Inhaltsübersicht

• Verantwortlicher
• Unsere Rolle: Verantwortlicher und Auftragsverarbeiter
• Rechtsgrundlagen
• Besuch der Website, Hosting und Cookies
• Registrierung, Kundenkonto und Anmeldung
• Anmeldeschutz, Zwei-Faktor und Bot-Schutz
• Kontaktaufnahme, Support und Support-Aufschaltung
• Bestellung, Zahlung und Rechnungen
• Android-App
• Daten, die du in AuftragsDesk speicherst
• Empfänger und Übermittlung in Drittländer
• Speicherdauer und Löschung
• Externe Links und soziale Netzwerke
• Sicherheitsmaßnahmen
• Deine Rechte
• Änderungen dieser Erklärung

Verantwortlicher

BS Labs UG (haftungsbeschränkt)
Forsthauswinkel 6
45891 Gelsenkirchen
Deutschland

E-Mail-Adresse: service@hausservice-desk.de
Telefon: +49 (0) 209 - 513 070 5 -0
Telefax: +49 (0) 209 - 513 070 5 -9
Impressum: https://www.hausservice-desk.de/impressum

Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

AuftragsDesk ist eine Software für Handwerks- und Servicebetriebe. Wir verarbeiten personenbezogene Daten in zwei verschiedenen Rollen:

• Als Verantwortlicher für die Daten, die wir für Website, Registrierung, Kundenkonto, Bestellung, Abrechnung, Support und die Sicherheit der Plattform brauchen (Abschnitte unten). Dafür gilt diese Erklärung.
• Als Auftragsverarbeiter für alle Daten, die du oder deine Benutzer in AuftragsDesk erfassen – z. B. Kunden, Aufträge, Berichte, Fotos, Arbeitszeiten und Personaldaten. Verantwortlicher für diese Daten ist dein Unternehmen; wir verarbeiten sie nur nach seiner Weisung auf Grundlage des Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO. Wenn du als Kunde oder Mitarbeiter eines Unternehmens betroffen bist, das AuftragsDesk nutzt, wende dich bitte an dieses Unternehmen; wir unterstützen es bei der Beantwortung.

Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der folgenden Vorschriften der Datenschutz-Grundverordnung (DSGVO):

• Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b DSGVO) – z. B. Registrierung, Bereitstellung der Software, Bestellung, Abrechnung, Support;
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO) – z. B. handels- und steuerrechtliche Aufbewahrung von Rechnungen;
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) – z. B. Betrieb und Sicherheit der Plattform, Schutz vor Missbrauch, Beantwortung von Anfragen, Durchsetzung von Ansprüchen;
• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) – nur dort, wo wir ausdrücklich darum bitten; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Ergänzend gelten die nationalen Vorschriften, insbesondere das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Besuch der Website, Hosting und Cookies

Serverprotokolle

Beim Aufruf unserer Website und der Anwendung verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Übertragungsmenge, Antwortcode sowie Browser- und Betriebssystemangaben (User-Agent). Wir nutzen sie für den sicheren und stabilen Betrieb und zur Abwehr von Angriffen und speichern sie nur so lange, wie es dafür erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Hosting

Wir betreiben AuftragsDesk auf Servern in Deutschland, die wir bei folgenden Anbietern von informationstechnischer Infrastruktur mieten; sie verarbeiten die Daten in unserem Auftrag und sind vertraglich nach Art. 28 DSGVO gebunden:

• dataforest GmbH, Taunusstraße 52, 65830 Kriftel, Deutschland (avoro.eu)
• Tom Gewiese (Skrime), Obernaglbach 2, 94259 Kirchberg im Wald, Deutschland (skrime.eu)

Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: ein Sitzungs-Cookie, das dich nach der Anmeldung wiedererkennt und deine Spracheinstellung hält. Es wird beim Schließen der Sitzung bzw. nach Inaktivität ungültig, ist nur über verschlüsselte Verbindungen (Secure) erreichbar und nicht per Skript lesbar (HttpOnly). Zusätzlich verwenden wir Sicherheits-Token (CSRF-Schutz) in Formularen. Wir setzen keine Cookies oder ähnliche Technologien für Reichweitenmessung, Tracking oder Werbung ein. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Schriften, Symbole und Skripte

Bootstrap, Font Awesome, Chart.js und alle Schriftarten werden von unserem eigenen Server ausgeliefert. Beim Aufruf werden dafür keine Daten an Dritte übertragen.

Registrierung, Kundenkonto und Anmeldung

Für die Nutzung von AuftragsDesk legst du ein Kundenkonto an. Dabei verarbeiten wir: Firmenname, E-Mail-Adresse, Passwort (nur als gesicherter Hash, nie im Klartext), den Zeitpunkt deiner Zustimmung zu AGB, Datenschutzerklärung und Auftragsverarbeitungsvertrag samt Version, Kundennummer und Support-PIN, später Firmen- und Rechnungsangaben (Anschrift, Telefon, USt-IdNr.), gewählte Lizenz, Zahlungsart und Abrechnungsintervall. Deine E-Mail-Adresse bestätigst du über einen Link (Double-Opt-in); Konten ohne Bestätigung und ohne Firma erinnern wir nach wenigen Tagen und löschen sie nach 14 Tagen. Weitere Benutzer deines Unternehmens legst du selbst an; für diese gelten die Abschnitte „Daten, die du in AuftragsDesk speicherst“.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO), für den Nachweis der Zustimmungen auch lit. f.

Anmeldeschutz, Zwei-Faktor und Bot-Schutz

• Schutz vor Passwort-Raten: Fehlgeschlagene Anmeldungen zählen wir je Benutzername und je IP-Adresse kurzzeitig im Arbeitsspeicher und sperren bei Häufung vorübergehend. Dasselbe gilt für Anfragen zum Zurücksetzen des Passworts.
• Zwei-Faktor-Anmeldung und Passkeys: Optional (für Firmen auf Wunsch verpflichtend) speichern wir verschlüsselt das Geheimnis deiner Authenticator-App, Wiederherstellungscodes (als Hash) und die öffentlichen Schlüssel deiner Passkeys.
• Sicherheitshinweise: Bei sicherheitsrelevanten Änderungen (z. B. Zurücksetzen des zweiten Faktors) informieren wir dich per E-Mail.
• Aktivitätsprotokoll: In deiner Firma wird protokolliert, wer wann welche Daten angelegt, geändert, gelöscht oder exportiert hat, um Änderungen nachvollziehbar und Missbrauch erkennbar zu machen.
• Bot-Schutz (Cloudflare Turnstile): Bei Registrierung und Kontaktformular kann der Dienst Cloudflare Turnstile eingebunden sein, um automatisierte Missbräuche zu erkennen. Dabei werden Daten wie IP-Adresse und Browsermerkmale an Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, übermittelt (Datenschutzhinweise). Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. f DSGVO (Schutz vor Missbrauch).

Kontaktaufnahme, Support und Support-Aufschaltung

Wenn du uns über das Kontaktformular, per E-Mail, Telefon oder über Support-Tickets im Kundenkonto kontaktierst, verarbeiten wir deine Angaben (Name, Kontaktdaten, Nachricht, Anhänge, ggf. Firma und Konto), um deine Anfrage zu bearbeiten und mögliche Anschlussfragen zu klären. Anfragen speichern wir für die Dauer der Bearbeitung und anschließend für die Dauer möglicher Gewährleistungs- und Folgefragen; E-Mails speichern wir im Postfach. Zur Beschleunigung kann das Team neue Anfragen per E-Mail oder internem Benachrichtigungsdienst weiterleiten.

Support-PIN: Zur Identifikation am Telefon vergibt das Kundenkonto eine sechsstellige PIN, die du jederzeit erneuern kannst. Abrufe der Kundenakte über die PIN werden protokolliert, die Suche ist gegen Durchprobieren gesperrt.

Support-Aufschaltung: Zur Fehleranalyse kann sich ein Mitarbeiter von uns in dein Konto aufschalten. Beginn, Ende und alle Handlungen werden im Aktivitätsprotokoll deiner Firma festgehalten, die Aufschaltung endet nach 30 Minuten Inaktivität. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO), bei Anfragen vor Vertragsschluss lit. b, im Übrigen lit. f.

Bestellung, Zahlung und Rechnungen

Für Bestellung und Abrechnung verarbeiten wir Rechnungsname, Anschrift, E-Mail, ggf. USt-IdNr., Tarif, Preis, Intervall, Gutscheincode, Zahlungsart, Rechnungen, Zahlungseingänge und, bei Zahlungsproblemen, Mahnstufen. Rechnungen stellen wir als PDF im Kundenkonto bereit und versenden sie per E-Mail. Wir verarbeiten diese Daten zur Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und zur Erfüllung steuer- und handelsrechtlicher Pflichten (lit. c).

Zahlungsdienstleister

Die Zahlung wickeln – je nach gewählter Zahlungsart – folgende Dienste ab. Zahlungsdaten wie Kartennummern oder IBAN gibst du direkt beim Zahlungsdienstleister ein; wir speichern nur Referenzen (z. B. Kunden-, Zahlungs- und Abonnement-Kennungen), Status und Beträge. Mit den Diensten tauschen wir technische Ereignisse über gesicherte Schnittstellen („Webhooks“) aus, um Zahlungen zuzuordnen.

• Stripe (Karte, SEPA-Lastschrift, Überweisung und weitere Methoden): Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA – Datenschutzhinweise;
• Mollie (Karte, SEPA-Lastschrift, PayPal, iDEAL, Bancontact, EPS, Przelewy24, Klarna, Apple Pay, TWINT, BLIK u. a.): Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande – Datenschutzhinweise;
• bunq (Überweisung auf unser Konto und automatischer Abgleich der Zahlungseingänge): bunq B.V., Naritaweg 131-133, 1043 BS Amsterdam, Niederlande. Beim Abgleich verarbeiten wir Name des Zahlenden, IBAN, Betrag, Datum und Verwendungszweck, um Zahlungen Rechnungen zuzuordnen.

Es gelten zusätzlich die Bedingungen und Datenschutzhinweise der Dienste. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO). Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Buchhaltung

Unsere Rechnungen und Kundenstammdaten übergeben wir an unsere Buchhaltungssoftware (je nach Einrichtung Lexware Office bzw. orgaMAX – Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg – oder sevDesk – sevDesk GmbH, Hauptstraße 115, 77652 Offenburg), um Buchführung und Steuerpflichten zu erfüllen (Art. 6 Abs. 1 S. 1 lit. b, c und f DSGVO). Die Anbieter verarbeiten die Daten in unserem Auftrag.

Android-App

Mit der App „AuftragsDesk“ greifen Mitarbeiter deines Unternehmens auf dieselben Daten zu wie in der Weboberfläche. Die App kommuniziert ausschließlich mit deinem AuftragsDesk-Server (verschlüsselt über HTTPS). Wir nutzen keine Werbe-, Analyse- oder Absturzberichtsdienste von Drittanbietern und keine Google-Push-Dienste.

• Anmeldung und Daten: Zugangsdaten speichert die App nur, wenn du „Angemeldet bleiben“ wählst, und dann verschlüsselt auf dem Gerät; Aufträge, Berichte, Fotos, Unterschriften, Stempeluhr, Dienstplan, Abwesenheiten und Profil werden mit dem Server abgeglichen. Noch nicht übertragene Fotos liegen bis zur Übertragung lokal auf dem Gerät.
• Standort (optional): Für die Navigation zum Einsatzort kann die App den Standort des Geräts nutzen. Der Standort wird nicht auf unseren Servern gespeichert. Ohne Freigabe zeigt die App nur das Ziel.
• Kartendienste: Für Karte, Adresssuche und Route ruft die App OpenStreetMap-Kartenkacheln, den Suchdienst Nominatim (OpenStreetMap Foundation) und den Routendienst OSRM ab; dabei werden Zieladresse bzw. Koordinaten und, bei Standortfreigabe, der Standort sowie deine IP-Adresse an diese Dienste übertragen (Datenschutzhinweise der OpenStreetMap Foundation). Tippst du auf „Route in Google Maps öffnen“, gelten die Bedingungen von Google.
• Benachrichtigungen: Die App hält eine Verbindung zu deinem Server (Hintergrunddienst) und zeigt Benachrichtigungen an; sie läuft nach einem Neustart des Geräts wieder an.
• Kamera und Dateien: Fotos nimmst du über die Kamera-App des Geräts auf oder wählst sie über die Systemauswahl; die App erhält nur die ausgewählten Dateien.
• Updates: Die App kann Aktualisierungen direkt von unserem Server laden; dafür verlangt Android die Berechtigung zum Installieren.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO); für Beschäftigte des Kunden gilt im Verhältnis zu ihrem Arbeitgeber dessen Rechtsgrundlage.

Daten, die du in AuftragsDesk speicherst

Was dein Unternehmen in AuftragsDesk speichert, bestimmt es selbst. Typisch sind: Kunden und Auftraggeber (Name, Anschrift, Ansprechpartner, Telefon, E-Mail), Aufträge, Termine, Auftragsberichte mit Arbeitsbeschreibung, Arbeitszeit, Material, Fotos und Unterschriften, Zeiterfassung, Dienstplan und Abwesenheiten, Personalakten (u. a. Anschrift, Geburtsdatum, Anstellung, Urlaubskonto, Notfallkontakt, Nachweise und Dokumente), Fahrzeuge, Werkzeuge, Material sowie Rechnungen. Beschäftigtendaten und Gesundheitsangaben (z. B. die Abwesenheitsart „Krankheit“) unterliegen besonderem Schutz; dein Unternehmen steuert, wer sie sehen darf.

Für diese Daten ist dein Unternehmen verantwortlich; wir verarbeiten sie als Auftragsverarbeiter. Auf Weisung deines Unternehmens versenden wir Berichte per E-Mail und übertragen Daten an von ihm aktivierte Dienste (z. B. Gmail, Microsoft 365, eigener Mailserver, OneDrive, Google Drive, Dropbox, sevDesk, Lexware Office, orgaMAX). Diese Dienste setzt dein Unternehmen in eigener Verantwortung ein.

Empfänger und Übermittlung in Drittländer

Empfänger sind: Hosting-Anbieter (Auftragsverarbeiter), Zahlungsdienstleister (Stripe, Mollie, bunq), Buchhaltungsdienstleister, Cloudflare (nur für den Bot-Schutz), Steuerberater und Behörden, soweit gesetzlich erforderlich, sowie auf Veranlassung des jeweiligen Kunden die von ihm aktivierten Dienste. Wir verarbeiten Daten grundsätzlich in Deutschland bzw. der EU. Wo Dienste Daten in die USA übermitteln (Stripe, Cloudflare), geschieht das auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework oder von Standardvertragsklauseln.

Speicherdauer und Löschung

Wir löschen personenbezogene Daten, sobald sie für den Zweck der Verarbeitung nicht mehr erforderlich sind und keine Aufbewahrungspflichten entgegenstehen. Nach Vertragsende werden die Daten deines Unternehmens spätestens nach 30 Tagen gelöscht (siehe AVV); Sicherungen werden nach 14 Tagen überschrieben. Betroffenenanfragen bearbeiten wir als Vorgang mit Fristüberwachung (ein Monat, verlängerbar auf drei).

Gesetzliche Aufbewahrungsfristen nach deutschem Recht:

• 10 Jahre – Bücher, Aufzeichnungen, Jahresabschlüsse, Inventare, Lageberichte, Eröffnungsbilanz (§ 147 Abs. 1 Nr. 1, 2, 3, 4 und 4a AO, § 257 Abs. 1 Nr. 1 und 4 HGB);
• 8 Jahre – Buchungsbelege, z. B. Rechnungen (§ 147 Abs. 1 Nr. 4 und 4a AO, § 257 Abs. 1 Nr. 4 HGB; je nach Fassung auch 10 Jahre);
• 6 Jahre – Handels- und Geschäftsbriefe (§ 147 Abs. 1 Nr. 2, 3 und 5 AO, § 257 Abs. 1 Nr. 2 und 3 HGB);
• 3 Jahre – Daten zur Abwehr möglicher Gewährleistungs- und Schadensersatzansprüche (Regelverjährung, §§ 195, 199 BGB).

Fristen beginnen mit dem Ende des Kalenderjahres, in dem das auslösende Ereignis eingetreten ist. Bei mehreren Fristen gilt die längste.

Externe Links und soziale Netzwerke

In der Fußzeile unserer Website können Symbole mit Links zu unseren Auftritten bei Discord, TeamSpeak, X (Twitter), Facebook, Instagram, YouTube, LinkedIn, TikTok, Twitch, GitHub, Mastodon oder Telegram stehen. Es handelt sich um einfache Links, nicht um eingebundene Plug-ins: Beim Besuch unserer Seite werden keine Daten an diese Anbieter übertragen. Erst wenn du einen Link anklickst, verlässt du unsere Website; dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters, auf die wir keinen Einfluss haben. Soweit wir dort Inhalte veröffentlichen oder Nachrichten erhalten, verarbeiten wir deine Angaben zur Kommunikation und Öffentlichkeitsarbeit (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Wir nutzen keine Webanalyse-, Tracking- oder Remarketing-Dienste, keine Newsletter-Dienste, keine Videokonferenz-, Messenger-, Gewinnspiel- oder Bewertungsplattformen auf dieser Website. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt.

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben und unter Berücksichtigung des Stands der Technik geeignete technische und organisatorische Maßnahmen: verschlüsselte Übertragung (TLS), Hashing von Passwörtern, Verschlüsselung gespeicherter Zugangsdaten, Rollen- und Rechtekonzept mit strikter Trennung der Firmen, Zwei-Faktor- Anmeldung und Passkeys, Schutz vor Passwort-Raten, Protokollierung, regelmäßige Datensicherung und Betriebsüberwachung. Die Maßnahmen sind im AVV (Anlage 2) näher beschrieben.

Deine Rechte

Du hast gegenüber uns als Verantwortlichem folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Als Kunde kannst du viele dieser Rechte direkt im Kundenkonto ausüben (Datenexport, Auskunfts-, Berichtigungs- und Löschanfrage). Sonst genügt eine E-Mail an service@hausservice-desk.de. Wir prüfen vorher deine Identität.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen, eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Zurück zur Startseite