Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Christoph Johannes Wider
Etmißl 168, 8622 Thörl, Österreich
office@christoph-wider.at
+43 664 4303611

Für Konto-, Sicherheits-, Vertrags- und Plattformbetriebsdaten ist der Betreiber Verantwortlicher. Für Kunden-, Kontakt-, Standort-, Mitarbeiter-, Wartungs-, Auftrags- und Rechnungsdaten handelt Werklplan grundsätzlich als Auftragsverarbeiter der jeweils nutzenden Organisation.

2. Daten, Zwecke und Rechtsgrundlagen

Website, Server und Sicherheit

Bei Abrufen fallen insbesondere IP-Adresse, Zeitpunkt, Zieladresse, Statuscode, Referrer, User-Agent und technische Fehler an. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Missbrauchsabwehr auf Grundlage des berechtigten Interesses am sicheren Plattformbetrieb (Art. 6 Abs. 1 lit. f DSGVO).

Konto, Anmeldung und Sitzungen

Verarbeitet werden Name, E-Mail-Adresse, Passwort-Hash, E-Mail-Bestätigung, Rollen und Organisationszugehörigkeiten, Zwei-Faktor- und Passkey-Status, Sicherheitsmerkmale, Sitzungskennung, IP-Adresse, Browserkennung sowie Anmelde-, Ablauf- und Widerrufszeitpunkte. Zwecke sind Vertragserfüllung, Authentifizierung, Berechtigungsprüfung und Kontoschutz (Art. 6 Abs. 1 lit. b und f DSGVO).

Organisationen, Kunden und Standorte

Werklplan verarbeitet Organisationsprofile, Kontakt- und Rechnungsdaten sowie bei Kunden und Ansprechpartnern Namen, Unternehmen, Anschriften, E-Mail-Adressen, Telefonnummern, UID-Nummern, Standorte, Anfahrts- und interne Hinweise. Zutritts- und Schlüsselhinweise werden verschlüsselt gespeichert und nur berechtigten Rollen angezeigt. Die Verarbeitung erfolgt zur Erbringung der beauftragten Plattformleistung (Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 28 DSGVO).

Mitarbeiter, Anlagen, Wartung und Aufträge

Gespeichert werden Mitarbeitername, Funktion, Kontaktangaben und Kontoverknüpfung, Anlagendaten, Wartungsintervalle, Termine, Zuständigkeiten, Tätigkeiten, Messwerte, Mängel, Empfehlungen und Notizen. Diese Daten dienen Planung, Durchführung, Dokumentation und Nachweis von Serviceleistungen im Auftrag der nutzenden Organisation.

Rechnungen und Zahlungen

Empfänger-, Aussteller-, Bank-, Steuer-, Leistungs-, Positions-, Betrags- und Zahlungsdaten werden für Rechnungserstellung, Zahlungszuordnung und gesetzliche Nachweise verarbeitet. Rechtsgrundlagen sind Vertragserfüllung und rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. b und c DSGVO). Ausgestellte Rechnungen und gespeicherte PDFs bleiben unveränderlich.

E-Mail, Einladungen und Support

Für Einladungen, E-Mail-Bestätigung, Kennwortwiederherstellung und Support werden Empfängeradresse, Zustellinhalt, Zustellstatus und freiwillig übermittelte Angaben verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO.

Audit-Protokolle

Sicherheits- und Geschäftsereignisse werden mit Zeitpunkt, pseudonymer Benutzerkennung, Organisationsbezug, Ereignistyp und einer begrenzten Metadaten-Whitelist protokolliert. Passwörter, Token, Zutrittsinformationen, vollständige Notizen und PDF-Inhalte sind ausgeschlossen. Zweck sind Rechenschaft, Missbrauchserkennung und Nachweis unveränderlicher Geschäftsvorgänge (Art. 6 Abs. 1 lit. c und f DSGVO).

Technische Betriebsdiagnose

Bei aktivierter Anlagenüberwachung übermittelt ein lokales Gateway Messwerte, Gerätequalität, Konfigurationsversion und Verbindungsstatus an Werklplan. Die Organisation ordnet Anlagen, verantwortliche Techniker, Servicevertretung und ausdrücklich ausgewählte Eigentümerkontakte zu. Alarm- und Entwarnungsnachrichten enthalten den Anlagenbezug und werden über den SMTP-Dienst der Organisation versendet. Quittierungen und bewusste Serviceaktionen dokumentieren Benutzer und Zeitpunkt. Automatische Eskalationen sind nicht vorgesehen.

Zur Untersuchung von Verbindungsunterbrechungen und langsamen Reaktionen speichert Werklplan technische Diagnoseereignisse mit Zeitpunkt, Organisations- und Benutzerkontozuordnung, zufälliger Diagnosekennung, grobem Seitenbereich, Dauer und Ergebnis. Hinzu kommen Tab-Sichtbarkeit und der vom Browser gemeldete Netzwerkstatus sowie globale App- und Datenbankmesswerte. Sichtbare, verbundene Tabs führen alle 30 Sekunden eine kurze Antwortzeitmessung aus. Fachliche Formularinhalte, Suchtexte, vollständige URLs, IP-Adressen, Passwörter und Authentifizierungstoken werden hierbei nicht gespeichert. Ausschließlich Plattformadministratoren können die Diagnose einsehen. Die Übertragung erfolgt an Werklplan selbst. Ein begrenzter tabbezogener Zwischenspeicher überbrückt vorübergehende Verbindungsabbrüche; bei Konto- oder Mandantenwechsel werden fremde Restmeldungen verworfen. Die Verarbeitung dient der Stabilität und Fehleranalyse des Plattformbetriebs. Die Betriebsdiagnose ist von der optionalen Matomo-Nutzungsstatistik getrennt.

Optionale Nutzungsstatistik mit Matomo

Nach ausdrücklicher Einwilligung lädt Werklplan Matomo von https://matomo.jowihome.at (Website-ID 6). Erfasst werden normalisierte Seitenpfade, Seitentitel und Linkinteraktionen sowie technisch anfallende Browser-, Geräte-, Referrer- und Netzwerkdaten. Query, Hash und GUID-Pfadsegmente werden entfernt; Benutzer- und Organisations-IDs werden nicht übertragen. Do-Not-Track wird respektiert und IP-Adressen werden serverseitig anonymisiert. Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Ohne Zustimmung wird keine Verbindung zu Matomo hergestellt. Die Auswahl kann unter Cookie-Einstellungen widerrufen werden.

Automatisierte Entscheidungen

Es finden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung statt.

3. Hosting und Empfänger

Anwendung, PostgreSQL, Reverse Proxy, Backups und Matomo laufen auf selbstverwalteter Infrastruktur in Österreich. Für den Versand transaktionaler E-Mails wird World4You Internet Services GmbH, Wolfgang-Pauli-Straße 2, BT3, 4020 Linz, Österreich, eingesetzt. Weitere Angaben stehen in der Dienstleisterliste.

Es werden keine externen Webfonts, Content-Delivery-Netzwerke, Marketingplattformen oder Zahlungsanbieter eingesetzt. Internationale Übermittlungen sind für den beschriebenen Betrieb nicht vorgesehen.

4. Aufbewahrung und Löschung

• Kontodaten: bis zur Kontolöschung oder Beendigung der Vertragsbeziehung, soweit keine Aufbewahrungspflicht entgegensteht.
• Abgelaufene oder widerrufene Sitzungen und erledigte oder abgelaufene Einladungen: 90 Tage.
• Audit-Protokolle: sieben volle Kalenderjahre.
• Rechnungen, Belege und zugehörige Zahlungsnachweise: mindestens sieben volle Kalenderjahre und darüber hinaus, solange sie für ein anhängiges Verfahren erforderlich sind.
• Matomo-Besuchs- und Aktionsdaten: 13 Monate.
• Technische Diagnoseereignisse und Messwerte: 30 Tage mit täglicher Bereinigung. Noch referenzierte technische Diagnoseregistrierungen bleiben bis zum Ablauf ihrer Ereignisse erhalten. Bei Kontolöschung wird der Benutzerbezug entfernt.
• Anlagenüberwachung: minütliche Messhistorie 30 Tage, numerische 15-Minuten-Aggregate zwölf Monate, geschlossene Alarm- und Versandhistorie zwölf Monate. Mit einem Mangel oder Auftrag verknüpfte Nachweise bleiben Teil der Fachhistorie. Auf dem Gateway werden unübertragene Daten höchstens sieben Tage innerhalb eines begrenzten lokalen Puffers gehalten. Bei Kontolöschung entfällt der Benutzerbezug der Quittierungen und Serviceaktionen.
• Verschlüsselte Backups: 30 Tage; Löschungen wirken mit Ablauf der jeweiligen Sicherung auch in Backups.
• Sonstige Organisations- und Fachdaten: nach Weisung der verantwortlichen Organisation, nach Wegfall des Zwecks oder bei Vertragsende, soweit keine gesetzlichen oder nachweisbezogenen Gründe entgegenstehen.

5. Ihre Rechte

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Angemeldete Benutzer können unter Kontosicherheit → Persönliche Daten eine Datenkopie laden oder ihr Konto löschen, sofern dadurch nicht der letzte Owner oder Plattformadministrator entfernt würde.

Für Daten, die eine Organisation in Werklplan verwaltet, richten Betroffene ihr Anliegen vorrangig an diese verantwortliche Organisation. Werklplan unterstützt die Organisation bei der Bearbeitung.

Beschwerden können an die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, gerichtet werden.

6. Sicherheit und Änderungen

Zum Schutz dienen Transportverschlüsselung, sichere Cookies, Zwei-Faktor-Anmeldung, Passkeys, rollenbasierte Mandantentrennung, kurzlebige Datenbankkontexte, verschlüsselte Secrets und Zutrittshinweise, Rate Limits, restriktive Browser-Header, Audit-Protokolle sowie verschlüsselte und regelmäßig getestete Backups.

Wesentliche Änderungen an Zwecken, Empfängern oder optionalen Technologien werden vor ihrem Wirksamwerden transparent veröffentlicht; soweit erforderlich wird erneut eine Einwilligung eingeholt.