Datenschutzerklärung

Verantwortlicher

Christian Werkmann
Steigerstr. 4a
47166 Duisburg
E-Mail: kontakt@woerki.de

Zweck des Systems

GewerbeOffice ist ein nicht öffentliches Verwaltungs-, Dokumenten- und Buchhaltungssystem. Es verarbeitet insbesondere geschäftliche Stammdaten, Belege, Rechnungen, Ausgaben, Verträge, Briefe, Arbeitsmappen sowie die für deren Nachvollziehbarkeit erforderlichen Benutzer- und Protokolldaten.

Benutzerkonten, Anmeldung und Sitzungen

Für Benutzerkonten werden unter anderem Benutzername, Anzeigename, E-Mail-Adresse, Rolle, Berechtigungen und ein Passwort-Hash gespeichert. Passwörter werden nicht im Klartext gespeichert. Für angemeldete Sitzungen werden technisch notwendige Session-Cookies verwendet. Bei ausdrücklich gewählter Funktion „Eingeloggt bleiben“ kann zusätzlich ein zeitlich begrenztes Remember-Me-Cookie eingesetzt werden.

Aktivitäts- und Sicherheitsprotokoll

Zur Nachvollziehbarkeit von Änderungen, zur Missbrauchsabwehr, zur Aufklärung von Sicherheitsvorfällen und zur Beweissicherung werden sicherheitsrelevante Aktivitäten protokolliert. Dazu können Benutzerkennung, Zeitpunkt, konkrete Aktion, betroffener Datensatz, geänderte Felder, Ergebnis, IP-Adresse, Browser-/Clientangaben sowie eine ausschließlich aus der Sitzung abgeleitete, gehashte Sitzungsreferenz gehören.

Passwörter, vollständige Session-Cookies, API-Tokens oder vergleichbare Geheimnisse werden nicht in das Aktivitätsprotokoll übernommen. Umfangreiche oder besonders sensible Feldinhalte werden nicht nochmals vollständig im Änderungsprotokoll dupliziert.

Zugriffsbeschränkung im Protokoll

Das Aktivitätsprotokoll darf keine fachlichen Informationen offenlegen, auf die der betrachtende Benutzer außerhalb des Protokolls keinen Zugriff besitzt. In solchen Fällen wird nur die Art der Aktivität angezeigt, beispielsweise „hat einen Brief geöffnet“, ergänzt um den Hinweis „Zugriffsbeschränkt“.

Speicherdauer der Sicherheitsmetadaten

IP-Adresse, Browser-/Clientangaben und gehashte Sitzungsreferenzen werden im Regelfall für 180 Tage vorgehalten. Danach werden diese technischen Angaben automatisiert aus dem Aktivitätsprotokoll entfernt. Das fachliche Ereignis selbst kann zur dauerhaften Nachvollziehbarkeit länger erhalten bleiben.

Ist ein konkreter Protokolleintrag zur Untersuchung, Abwehr oder Beweissicherung eines Sicherheitsvorfalls markiert, wird die automatische Bereinigung für diesen Eintrag ausgesetzt, solange der Sicherungszweck fortbesteht. Nach Wegfall des Zwecks ist die Sicherungsmarkierung wieder aufzuheben.

Serverzugriffe

Beim Aufruf der Anwendung verarbeitet der Server die zur Auslieferung und Absicherung technisch erforderlichen Zugriffsdaten. Dazu können insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status und Browser-/Clientangaben gehören.

Rechtsgrundlage und berechtigte Interessen

Soweit die Datenschutz-Grundverordnung anwendbar ist, erfolgt die Verarbeitung technisch notwendiger Sicherheits- und Protokolldaten insbesondere zur sicheren Bereitstellung des Systems, zur Nachvollziehbarkeit geschäftlicher Vorgänge sowie zur Missbrauchs- und Angriffserkennung auf Grundlage berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Gesetzliche Aufbewahrungs- und Nachweispflichten bleiben unberührt.

Empfänger und Weitergabe

Daten werden nur weitergegeben, soweit dies für den Betrieb technisch erforderlich, gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Eine Nutzung zu Werbe- oder Trackingzwecken findet innerhalb von GewerbeOffice nicht statt.

Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Diese Datenschutzerklärung beschreibt den aktuellen technischen Stand von GewerbeOffice. Bei wesentlichen Änderungen der Verarbeitung oder der Aufbewahrungsfristen wird sie angepasst.