Datenschutzerklärung ToolScan

1. Wer ist verantwortlich?

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Bavaria Systems GmbH, Osterhofener Str. 16, 93055 Regensburg, Deutschland Geschäftsführer: Florian Buchfink E-Mail: info@bavariasystems.de · Telefon: 09431 74 31 72

Für Fragen zum Datenschutz erreichst du uns unter info@bavariasystems.de (Betreff „Datenschutz“). Ein Datenschutzbeauftragter ist nicht benannt, weil weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).

2. Zwei Rollen: Wann wir verantwortlich sind und wann dein Arbeitgeber

ToolScan ist eine Werkzeugverwaltung für Betriebe. Dabei gibt es zwei Rollen:

• Wir sind verantwortlich für die Daten, die wir für eigene Zwecke verarbeiten: Besuch unserer Website, Bestellungen und Abos, Registrierung und Kundenkonto der Firma, Abrechnung, Support, Sicherheit unserer Systeme und die Verbesserung unseres Angebots.
• Dein Betrieb (unser Kunde) ist verantwortlich für die Daten, die er mit ToolScan über seine Mitarbeiter und Werkzeuge verarbeitet – etwa wer welches Werkzeug wann mitgenommen hat. Wir verarbeiten diese Daten nur im Auftrag und nach Weisung des Betriebs (Art. 28 DSGVO, Vertrag zur Auftragsverarbeitung als Anlage unserer AGB). Fragen und Anträge dazu richtest du am besten an deinen Betrieb; wir leiten Anfragen, die uns erreichen, an ihn weiter.

3. Hosting und Server-Protokolle

Website, Plattform und Schnittstellen der App laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen in Rechenzentren in Deutschland. Hetzner ist unser Auftragsverarbeiter.

Bei jedem Aufruf speichern die Server kurzzeitig: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser- bzw. App-Kennung. Zweck: Auslieferung, Stabilität und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Die Protokolle haben einen begrenzten Speicher, werden fortlaufend überschrieben und bei jeder Aktualisierung der Server gelöscht, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert.

4. Website gettoolscan.com

4.1 Einwilligung („Cookie-Banner“)

Beim ersten Besuch fragen wir, ob du dem Meta-Pixel zustimmst. Deine Wahl speichern wir im lokalen Speicher deines Browsers (tsEinwilligung), damit wir nicht bei jedem Besuch erneut fragen. Das ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst deine Wahl jederzeit über „Cookie-Einstellungen“ im Fuß jeder Seite ändern oder widerrufen.

Wählst du im Fuß der Seite die Währung (€ oder CHF), merken wir auch diese Wahl im lokalen Speicher (tsWaehrung). Ohne Wahl schließen wir aus der Zeitzone und Sprache deines Browsers, ob wir Preise in Schweizer Franken zeigen – dabei wird nichts an uns oder Dritte übermittelt.

4.2 Eigene, cookielose Reichweitenmessung

Wir zählen, wie Besucher sich durch die Seite bewegen (z. B. Startseite aufgerufen, Preise angesehen, Bestellung begonnen). Dafür erzeugt dein Browser bei jedem Seitenaufruf eine zufällige Kennung, die nicht auf deinem Gerät gespeichert wird, und sendet sie mit dem Ereignis an unseren eigenen Server. Es werden keine Cookies gesetzt und keine Daten an Dritte weitergegeben. Mit der Bestellung verknüpfen wir diese Kennung, um zu sehen, welche Seiten zu Bestellungen führen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots). Du kannst jederzeit widersprechen (Abschnitt 13). Die Ereignisse speichern wir höchstens 24 Monate.

4.3 Meta-Pixel (nur mit Einwilligung)

Nur wenn du im Banner „Zustimmen“ wählst, laden wir den Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Er setzt Cookies und übermittelt Informationen über deinen Besuch (z. B. aufgerufene Seiten, Gerätedaten, IP-Adresse) an Meta, damit wir die Wirkung unserer Werbung auf Facebook und Instagram messen und Zielgruppen bilden können. Dabei speichern wir außerdem den Werbe-Herkunftsparameter (comefrom, bis zu 12 Monate) in einem Cookie.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Erhebung und Übermittlung sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO; Vereinbarung: https://www.facebook.com/legal/controller_addendum). Meta kann Daten in die USA übermitteln; Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr bei Meta: https://www.facebook.com/privacy/policy. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ widerrufen.

4.4 Schriftarten

Die Schriftarten der Website liefern wir von unserem eigenen Server aus. Es werden dabei keine Daten an Dritte (etwa Google) übermittelt.

5. Bestellung und Bezahlung

5.1 Was wir bei einer Bestellung verarbeiten

Firma, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Rechnungs- und Lieferanschrift, freiwillig die USt-IdNr., die gewählten Produkte, Bestellnummer und Zahlungsstatus. Zweck: Vertragsschluss und -abwicklung, Lieferung, Rechnungsstellung, Rückfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten).

5.2 Zahlungsabwicklung über Stripe

Die Zahlung wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland ab. Deine Zahlungsdaten (z. B. Kartennummer) gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir übermitteln Stripe die Bestelldaten aus 5.1, Stripe uns den Zahlungsstatus und die Rechnung. Stripe verarbeitet Daten teils als eigener Verantwortlicher (z. B. Betrugsprävention, gesetzliche Pflichten) und kann Daten an Stripe, Inc. in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist. Datenschutzhinweise: https://stripe.com/de/privacy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Über das Stripe-Kundenportal kannst du Rechnungen abrufen, die Zahlungsmethode ändern und dein Abo kündigen.

5.3 Versand

Für den Versand von NFC-Aufklebern und Demokits geben wir Name, Firma und Lieferanschrift an den beauftragten Versanddienstleister (Deutsche Post / DHL Paket GmbH, Bonn) weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Messung der Bestellwege

Mit einer Bestellung speichern wir die zufällige Besuchskennung (4.2) und, falls vorhanden, die Werbe-Herkunft. So erkennen wir, welche Wege zu Bestellungen führen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Registrierung und Kundenkonto

Wenn du eine Firma registrierst (in der App oder im Web), verarbeiten wir: Firmenname und Anschrift, Betriebsgröße, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Benutzername und Passwort (nur als kryptografischer Hash gespeichert). Zur Bestätigung schicken wir einen Code an deine E-Mail-Adresse. Zweck: Anlage und Verwaltung des Kundenkontos, Vertragsschluss (Free oder kostenpflichtige Version), Anmeldung, Mitteilungen zum Vertrag (z. B. erreichte Grenzen, Tarifwechsel, Zahlungsprobleme). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Schutz vor Missbrauch: Wir begrenzen Registrierungsversuche je IP-Adresse und E-Mail-Adresse und lehnen Wegwerf-Adressen ab. Dazu speichern wir die IP-Adresse und die Anzahl der Versuche für 24 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Passwort vergessen: Auf Anfrage schicken wir einen Link zum Zurücksetzen an die hinterlegte E-Mail-Adresse. Die Anfragen begrenzen wir zum Schutz vor Missbrauch.

Konto löschen: In der App kannst du dein Konto unter Profil → „Konto löschen“ selbst löschen. Ist es das letzte Admin-Konto einer Firma, wird die Firma mit allen Daten gelöscht; sonst werden deine Personendaten entfernt bzw. anonymisiert, Buchungen bleiben für den Betrieb ohne Personenbezug erhalten. Gesetzliche Aufbewahrungspflichten (z. B. Rechnungen) bleiben unberührt.

7. Nutzung der App und der Plattform

Die folgenden Daten verarbeiten wir im Auftrag deines Betriebs (Abschnitt 2), soweit nicht anders angegeben.

7.1 Werkzeug- und Buchungsdaten

Werkzeuge (Bezeichnung, Hersteller, Fotos, Notizen, Dateien, Wartungen), Lagerorte, Buchungen (wer hat welches Werkzeug wann mitgenommen, verliehen, eingelagert, zur Reparatur gemeldet), Reservierungen, Checklisten, Mitarbeiterkonten (Name, Benutzername, Rolle, optional Telefonnummer für Rückgabe-Erinnerungen per SMS) und NFC-Kennungen von Anhängern.

7.2 Berechtigungen der App

Die App fragt nur nach den Berechtigungen, die eine Funktion gerade braucht. Du kannst sie in den Einstellungen deines Geräts jederzeit entziehen; die betroffene Funktion steht dann nicht zur Verfügung.

• NFC: liest die Kennung von NFC-Chips an Werkzeugen, Lagerplätzen und Anhängern. Es werden keine anderen Daten vom Chip gelesen oder auf ihn geschrieben.
• Kamera: für Werkzeugfotos, Wartungsnachweise und – nur wenn eingerichtet – die Gesichts-Anmeldung. Die App liest deine Fotomediathek nicht.
• Mikrofon und Spracherkennung: für die Spracheingabe von Werkzeugname und Hersteller und den Ton von Reparatur-Videos. Die Umwandlung in Text übernimmt die Spracherkennung deines Geräts; wo das Gerät es unterstützt, verlangt die App die Erkennung direkt auf dem Gerät. Die Sprachaufnahme erreicht uns nicht – wir erhalten nur den fertigen Text, wenn du ihn übernimmst. Ob dein Betriebssystem seinerseits eine Verbindung aufbaut, bestimmt der Hersteller deines Geräts.
• Standort: nur beim Einlagern, nur wenn dein Betrieb für den Lagerplatz den Standortnachweis eingerichtet hat, und erst wenn du auf „Standort ermitteln“ tippst. Die Koordinaten werden mit deinem Namen und dem Zeitpunkt zur Buchung gespeichert. Es gibt keine Ortung im Hintergrund und keine Bewegungsprofile. Ob der Betrieb diese Prüfung einsetzt (und einen Betriebsrat beteiligt), entscheidet er.

Die App enthält keine Analyse-, Absturz- oder Werbedienste Dritter (weder Google Analytics noch Firebase, Sentry oder Facebook), nutzt keine Werbe-ID und greift nicht auf Fotomediathek, Kontakte, Kalender oder Bewegungsdaten zu. Fotos werden vor dem Hochladen auf 1080 Bildpunkte verkleinert.

7.3 Gesichts-Anmeldung (biometrische Daten)

Auf geteilten Lagergeräten, die mehrere Personen benutzen, kann dein Betrieb neben dem persönlichen NFC-Anhänger die Anmeldung per Gesicht anbieten. Das Gesichtsprofil wird über die Web-Oberfläche angelegt: Aus mehreren Fotos wird ein mathematischer Vergleichswert berechnet und auf unseren Servern in Deutschland gespeichert; die Fotos selbst werden nicht abgelegt. Bei der Anmeldung wird ein Foto an den Server übertragen, mit den Vergleichswerten deines Betriebs abgeglichen und danach verworfen.

Der Vergleichswert ist ein biometrisches Datum (Art. 9 DSGVO). Verantwortlich ist dein Betrieb; die Funktion wird nur mit deiner ausdrücklichen, freiwilligen Einwilligung eingerichtet (Art. 9 Abs. 2 lit. a DSGVO), dient allein dem Abgleich innerhalb deines Betriebs und wird keinem Dritten übermittelt. Du kannst die Einwilligung jederzeit widerrufen; das Profil wird dann gelöscht. Eine Anmeldung ohne Gesicht (Anhänger, Zugangsdaten) bleibt immer möglich. Auf persönlichen Geräten gibt es die Funktion nicht.

7.4 KI-Vorschläge für Werkzeugname und Hersteller

Beim Anlegen eines Werkzeugs kann das Foto an den KI-Dienst der Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA gesendet werden, der Bezeichnung und Hersteller vorschlägt. Übermittelt wird nur das Werkzeugfoto, keine Namen von Personen. Anthropic verarbeitet die Daten als unser Unterauftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags und nutzt sie nach den geltenden Geschäftsbedingungen nicht zum Training eigener Modelle. Die Übermittlung in die USA ist durch die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 DSGVO). Das Foto wird vorher verkleinert. Bitte achte darauf, was mit ins Bild gerät (Personen, Kennzeichen). Die Vorschläge kannst du jederzeit überschreiben. Ebenso nutzen wir den Dienst, um Suchbegriffe um gleichbedeutende Begriffe zu ergänzen (nur Werkzeugbezeichnungen, ohne Personenbezug).

7.5 Web-Ansicht in der App

Die App zeigt Teile der Plattform in einer eigenen Web-Ansicht. Für die Anmeldung dort erzeugt die App einen Einmal-Code (60 Sekunden gültig); ein dauerhafter Schlüssel wird nicht in Adressen übertragen.

7.6 Technisch notwendige Cookies der Plattform

login.toolscan.app setzt nur technisch notwendige Cookies: Sitzungs-Cookie (Anmeldung), Schutz vor Cross-Site-Request-Forgery und die gewählte Sprache. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.

7.7 Produktmessung und Hinweise

Wir zählen, welche Schritte Firmen in ToolScan erreichen (z. B. erstes Werkzeug angelegt, Grenze der Free-Version erreicht, Upgrade begonnen), um das Produkt und die Einführung zu verbessern, und schicken Admins dazu passende Hinweise per E-Mail (z. B. bei erreichter Grenze). Gespeichert werden das Ereignis, die Firma, das Konto und der Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Du kannst widersprechen (Abschnitt 13).

8. E-Mails und SMS

Für E-Mails (Bestätigungscodes, Bestell- und Vertragsmitteilungen, Passwort-Links) nutzen wir den E-Mail-Dienst Private Email der Namecheap, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA als Auftragsverarbeiter. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).

SMS-Erinnerungen zur Rückgabe von Werkzeugen (nur wenn dein Betrieb sie einrichtet und eine Telefonnummer hinterlegt ist) versenden wir über ein eigenes Mobilfunkgerät, ohne externen SMS-Dienstleister.

9. Support

Wenn du uns kontaktierst, verarbeiten wir deine Angaben, um die Anfrage zu bearbeiten. Für Hilfe in deinem Konto kann sich Bavaria Systems über ein eigenes Support-Konto bei deiner Firma anmelden; das geschieht nur zur Bearbeitung deiner Anfrage bzw. Einrichtung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

10. Empfänger im Überblick

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Finanzbehörden) oder du eingewilligt hast. Wir verkaufen keine Daten.

11. Wie lange speichern wir?

• Kundenkonto und Inhalte: für die Dauer des Vertrags; nach Vertragsende 30 Tage zum Export, dann Löschung (AGB § 15).
• Rechnungen und Buchungsbelege: 8 bzw. 10 Jahre (§ 147 AO, § 257 HGB).
• Bestellungen ohne Vertrag (z. B. Demokit): 10 Jahre als Buchungsbeleg; Kontaktangaben für Rückfragen bis zu 3 Jahre (Verjährung).
• Server-Protokolle: siehe Abschnitt 3.
• Messdaten der Website und der Produktmessung: höchstens 24 Monate.
• Biometrische Vorlagen: bis zum Widerruf, zur Deaktivierung durch den Betrieb oder zum Löschen des Kontos.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Wende dich dafür an info@bavariasystems.de. Bei Daten, die dein Betrieb mit ToolScan verarbeitet, ist er dein erster Ansprechpartner (Abschnitt 2).

13. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verarbeitung zu Zwecken der Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

14. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Land deines Aufenthalts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.

15. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Die Angaben bei Bestellung und Registrierung sind für den Vertragsschluss erforderlich; ohne sie können wir den Vertrag nicht schließen. Alle anderen Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

16. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.