Datenschutzerklärung
Diese Erklärung beschreibt die Datenverarbeitung auf orgaintakt.de sowie bei der Nutzung von OrgaIntakt durch Betriebe und deren Beschäftigte.
1. Verantwortlicher und Kontakt
Für Website, Vertragsanbahnung und Kundenverwaltung verantwortlich ist:
SVTS-Medien, Inhaber Sascha Siegfried
Am Katzenellbogen 11
58644 Iserlohn, Deutschland
E-Mail: info@svts-medien.de
Beschäftigtendaten: Nutzt ein Betrieb OrgaIntakt für seine Beschäftigten, ist grundsätzlich der jeweilige Betrieb Verantwortlicher. SVTS-Medien verarbeitet diese Daten im Auftrag des Betriebs nach Art. 28 DSGVO.
2. Aufruf der Website und Hosting
Beim Seitenaufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Ressource und technische Browserinformationen. Zweck sind sichere Auslieferung, Fehleranalyse und Missbrauchsschutz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und stabilen Betrieb.
Die Anwendung wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Es werden keine externen Webfonts, Werbe- oder Tracking-Cookies eingesetzt.
2a. Besuchsstatistik und deine Entscheidung
Beim ersten Aufruf fragen wir dich, ob wir eine anonyme Besuchsstatistik führen dürfen. Sie kommt ohne Cookies, ohne Speicherung der IP-Adresse und ohne Profilbildung aus; Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Lehnst du ab, funktioniert die Website unverändert — es entsteht dir kein Nachteil.
Deine Entscheidung wird ausschließlich lokal in deinem Browser gespeichert (Schlüssel oi_datenschutz), damit wir dich nicht bei jedem Aufruf erneut fragen. Sie verlässt dein Gerät nicht. Du kannst sie jederzeit mit Wirkung für die Zukunft ändern:
3. Demo- und Kontaktanfragen
Bei einer Anfrage verarbeiten wir Name, Betrieb, E-Mail-Adresse sowie freiwillige Angaben wie Telefonnummer, Mitarbeiterzahl und Nachricht. Zusätzlich wird die IP-Adresse zum Missbrauchsschutz gespeichert. Die Verarbeitung erfolgt zur Bearbeitung der Anfrage und Vertragsanbahnung nach Art. 6 Abs. 1 lit. b DSGVO sowie zum Spam- und Missbrauchsschutz nach Art. 6 Abs. 1 lit. f DSGVO. Die Angaben werden gelöscht, sobald sie hierfür nicht mehr erforderlich sind und keine gesetzlichen Pflichten entgegenstehen.
4. Nutzung durch Administratoren
Für Betriebsadministratoren werden insbesondere E-Mail-Adresse, Mandantenzuordnung, Login- und Auditinformationen verarbeitet. Magic-Links sind einmalig und kurzzeitig gültig. Für eine komfortable Wiederanmeldung wird ein technisch notwendiges, mit HttpOnly, Secure und SameSite geschütztes Sitzungscookie eingesetzt. Es dient ausschließlich der Anmeldung und wird nicht zu Werbe- oder Analysezwecken verwendet.
Anzeigename der Betriebsleitung: Beim Kauf kann ein Name des Inhabers (Vor- und Nachname oder eine gewählte Bezeichnung) angegeben werden. Die Angabe ist freiwillig; ohne Angabe funktioniert der Kauf unverändert. Zwecke der Verarbeitung sind (1) die persönliche Ansprache in der eingeloggten Oberfläche des Chefs („Hallo <Vorname>“) und (2) die Zurechenbarkeit im internen Organigramm und in Nachweisen, deren erster Eintrag sonst als „ohne Namen“ erschiene. Rechtsgrundlage für Zweck (1) ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen, personalisierten Bedienung); für Zweck (2) Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Der Anzeigename wird beim Kauf zusammen mit den übrigen Bestelldaten an den Zahlungsdienstleister übermittelt, sobald die Online-Bezahlung freigeschaltet ist (siehe Ziffer 8). Er lässt sich später in den Konto-Einstellungen jederzeit ändern.
5. Nutzung durch Beschäftigte
Je nach Freigabe des Betriebs verarbeitet OrgaIntakt Anzeigename, Rolle, pseudonyme Gerätekennung, zugewiesene Dokumente, Quittierungen, Zeitstempel, Benachrichtigungen und technische Sicherheitsprotokolle. Eine Beschäftigten-E-Mail-Adresse ist nicht erforderlich. Der Betrieb bestimmt Zweck, Rechtsgrundlage, Zugriffsberechtigungen und Aufbewahrungsdauer.
Stammkarte: Die Betriebsleitung kann je Person zusätzlich Abteilung, Arbeitssprache sowie Konfektionsgrößen für Schuhe, Arbeitskleidung und Handschuhe hinterlegen. Zweck der Größenangaben ist die Bereitstellung passender persönlicher Schutzausrüstung (§ 2 PSA-Benutzungsverordnung), Zweck von Abteilung und Arbeitssprache sind Arbeitseinteilung und verständliche Zustellung von Unterweisungen.
Einsatzbeschränkungen: Ergänzend kann vermerkt werden, dass eine Person bestimmte Tätigkeiten nicht oder nur eingeschränkt ausüben soll (etwa „kein Heben über 10 kg“ oder „Unterweisung vorlesen lassen“). Auswählbar sind ausschließlich Einträge aus einer festen, vom Anbieter vorgegebenen Liste; ein Freitextfeld besteht dafür nicht, abweichende Werte weist das System zurück. Erfasst wird damit die Auswirkung auf den Einsatz, nicht deren Ursache — es ist weder vorgesehen noch zulässig, Diagnosen, Krankheitsgründe oder sonstige Gesundheitsangaben einzutragen. Zweck und Rechtsgrundlage bestimmt der Betrieb als Verantwortlicher (in der Regel § 26 BDSG in Verbindung mit den Arbeitsschutzpflichten).
Krankmeldung: Beschäftigte können über die App eine Abwesenheit wegen Krankheit melden. Erfasst werden ausschließlich Beginn und Ende des Zeitraums sowie die Zuordnung zur Person — kein Grund, keine Diagnose, keine Gesundheitsdaten im Sinne des Art. 9 DSGVO. Die Leitung des Betriebs sieht den Abwesenheitsstatus. Zweck und Rechtsgrundlage bestimmt der Betrieb als Verantwortlicher (in der Regel Art. 6 Abs. 1 lit. b und f DSGVO sowie § 26 BDSG).
Beschäftigte bestätigen bei der Aktivierung, dass sie die Datenschutzhinweise zur Kenntnis genommen haben; diese Bestätigung ersetzt keine vom Betrieb zu bestimmende Rechtsgrundlage.
6. Nachweise und Integrität
Quittierungen werden mit Zeitpunkt und kryptografischer Bindung an den quittierten Dokumentstand gespeichert. Sicherheits- und Kenntnisnahmeprotokolle werden manipulationserschwerend geführt. Dies dient der Nachvollziehbarkeit, ersetzt aber keine rechtliche Einzelfallprüfung des jeweiligen Unterweisungsprozesses.
7. Zugriff des Anbieters auf den Betrieb
Für Verwaltung und Betreuung der Betriebe betreibt SVTS-Medien eine interne Konsole. Über sie sind ausschließlich Kennzahlen einsehbar: Anzahl aktiver Beschäftigter, Anzahl Dokumente, Quittierungen und offener Meldungen, belegter Speicherplatz, Vertragsstatus, Laufzeit und Zeitpunkt der letzten Aktivität.
Inhalte sind über die Konsole nicht abrufbar — weder Dokument- oder Meldungstexte noch Anzeigenamen von Beschäftigten, Krankmeldungen, Stammkartendaten oder Anhänge. Eine Funktion, die diese Daten ausgäbe, existiert nicht. Möglich sind Verlängerung der Laufzeit, Stilllegung und Freigabe des Zugangs, Änderung von Tarif und Platzkontingent, Ausstellung neuer Aktivierungscodes sowie Ausstellung eines Anmeldelinks an die im System hinterlegte Adresse der Betriebsleitung. Ein Mitlesen der laufenden Oberfläche des Betriebs ist nicht eingerichtet.
Jeder Eingriff wird mit Zeitpunkt, handelnder Stelle und Pflichtgrund protokolliert, und zwar auch in der manipulationsgeschützten Nachweiskette des betroffenen Betriebs. Der Betrieb kann diese Einträge selbst über seinen Datenexport abrufen, ohne beim Anbieter nachfragen zu müssen.
8. Rechnung und Zahlung
Für Vertrag und Abrechnung verarbeitet SVTS-Medien als eigener Verantwortlicher die Firmierung, Anschrift, den Ansprechpartner mit E-Mail-Adresse, den gebuchten Tarif, die Laufzeit sowie die gestellten Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, soweit es die Aufbewahrung betrifft, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB); diese betragen je nach Unterlage sechs oder zehn Jahre.
Online-Bezahlung über Stripe: Für kostenpflichtige Buchungen setzt SVTS-Medien die Stripe Payments Europe, Ltd. (Irland) ein; je nach Zahlungsweg können weitere Gesellschaften der Stripe-Gruppe beteiligt sein. Dabei kann eine Übermittlung in ein Drittland, insbesondere in die USA, stattfinden. Sie wird auf die von Stripe bereitgestellten EU-Standardvertragsklauseln gestützt.
Verarbeitet werden die für Vertragsschluss und Abrechnung nötigen Angaben — Name des Betriebs, E-Mail-Adresse der Betriebsleitung, der optional angegebene Anzeigename der Betriebsleitung (siehe Ziffer 4), Rechnungs- und Zahlungsdaten sowie Angaben zum gebuchten Paket. Zahlungsdaten wie Karten- oder Kontonummern erreichen unsere Systeme nicht; sie werden ausschließlich bei Stripe eingegeben und dort verarbeitet. Beschäftigte eines Betriebs sind von der Zahlungsabwicklung nicht betroffen: Ihre Daten werden Stripe nicht übermittelt. Eine manuelle Abrechnung per Rechnung kann daneben vereinbart werden.
9. Empfänger und Auftragsverarbeiter
Daten erhalten nur Stellen, die sie für Betrieb, Support oder vertragliche Leistungen benötigen. Eingesetzte Auftragsverarbeiter werden im Auftragsverarbeitungsvertrag beziehungsweise in der aktuellen Unterauftragnehmerliste benannt. Eine Übermittlung zu Werbezwecken findet nicht statt.
Maschinelle Übersetzung und KI-Textvorschlag (nur in den Premium-Modulen „Sprachen“ bzw. „KI-Textvorschlag“): Bucht ein Betrieb Premium und willigt die Betriebsleitung ausdrücklich ein, werden die betreffenden Texte — bei der Übersetzung der zu übersetzende Dokument- oder Mitteilungstext, beim KI-Textvorschlag der Entwurf einer Arbeitsanweisung — an Mistral AI (Mistral AI SAS, Paris, Frankreich; Verarbeitung innerhalb der EU) übermittelt und dort verarbeitet. Ohne gebuchtes Modul und ohne Einwilligung findet keine solche Übermittlung statt. Die Funktionen sind nicht dafür vorgesehen, personenbezogene Angaben in den übermittelten Text aufzunehmen.
Stand dieser Funktionen: Beide Premium-Module sind zum Stand dieser Erklärung nicht freigeschaltet; es findet keine Übermittlung an Mistral statt. Der Tag der Freischaltung wird in der Änderungshistorie am Ende dieser Erklärung eingetragen.
10. Löschung und Vertragsende
Der Betrieb kann Daten exportieren, Mitarbeiterzugänge sperren und operative Personendaten löschen. Bei Kontoschließung werden Zugänge sofort gesperrt und operative Personen- sowie Mediendaten gelöscht. Erforderliche Nachweisprotokolle können pseudonymisiert für festgelegte Nachweis- oder Aufbewahrungszeiträume erhalten bleiben. Danach werden sie gelöscht.
11. Rechte betroffener Personen
Betroffene Personen haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Beschäftigte wenden sich vorrangig an ihren Betrieb; Anfragen können zusätzlich an SVTS-Medien weitergeleitet werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde; für SVTS-Medien ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
12. Sicherheit und Änderungen
OrgaIntakt nutzt TLS-Verschlüsselung, Mandantentrennung auf Datenbankebene, rollenbasierte Zugriffe, kurzlebige Zugangsdaten und technische Prüfprotokolle. Die eingesetzten technischen und organisatorischen Maßnahmen sind gegenüber Betrieben als Anlage zum Auftragsverarbeitungsvertrag im Einzelnen dokumentiert. Diese Erklärung wird angepasst, wenn sich Funktionen, Anbieter oder rechtliche Anforderungen ändern.