Datenschutzerklärung 5S UnitCore

Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung von personenbezogenen Daten innerhalb unserer mobilen Applikation sowie der damit verbundenen SaaS-Dienste (5S UnitCore).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

5S Projects Raik Wehner
Wiskenweg 14
25764 Wesselburen
E-Mail: unitcore@5sprojects.com
0151 / 647 291 56

2. Art der verarbeiteten Daten

A. Stammdaten & Benutzerprofil

Bei der Nutzung der App werden folgende Daten verarbeitet:

? Identifikationsdaten: Name, Vorname, E-Mail-Adresse.
? Systemdaten: Firebase-Benutzer-ID (UID), Zeitstempel der Registrierung.
? Anwesenheitsdaten: Aufzeichnungen �ber Dienste, Veranstaltungszeiten und gefahrene Kilometer.

B. Finanzdaten (Sonderkategorie)

Zur Vorbereitung von Aufwandsentschädigungen können Sie folgende Daten hinterlegen:

? Bankverbindung: IBAN, BIC, Name der Bank, Kontoinhaber.

Zugriffsberechtigungen und Datenhoheit

Ausschließliche Änderungskompetenz: Änderungen, Aktualisierungen oder Löschungen der Finanzdaten können ausschließlich durch den betroffenen Nutzer selbst vorgenommen werden. Systemadministratoren oder die Abrechnungsstelle verfügen über keinerlei Schreibrechte auf diese Datenfelder.

Eigeneinsicht: Der angemeldete Nutzer hat jederzeit Zugriff auf seine eigenen hinterlegten Daten.

Abrechnungsstelle (Leseberechtigung): Autorisierte Mitarbeiter der Abrechnungsstelle Ihrer Trägerorganisation können die Daten zur Erfüllung ihrer steuerlichen und buchhalterischen Aufgaben einsehen, jedoch nicht verändern.

Administratoren (Leseberechtigung): Administratoren Ihrer Trägerorganisation haben ausschließlich dann Einsicht in die Finanzdaten, wenn dies im Rahmen der Erstellung von Abrechnungslisten technisch erforderlich ist. Auch hier besteht kein technisches Recht zur Datenänderung.

??? Zero-Access-Policy des Betreibers: Wir als technischer Betreiber der SaaS-Plattform haben zu keinem Zeitpunkt Zugriff auf Ihre im Klartext hinterlegten Finanzdaten. Diese Daten sind durch strikte systemseitige Zugriffskontrollen geschützt, die sicherstellen, dass eine Einsichtnahme durch uns als Provider ausgeschlossen ist.

2C. Erstattungsdaten (Modul: Entgelterstattung für Arbeitgeber)

Bei Nutzung des optionalen Moduls „Entgelterstattung für Arbeitgeber” werden zusätzlich folgende Daten verarbeitet:

• Arbeitgeberdaten: Name, Anschrift und E-Mail-Adresse des Arbeitgebers, der einen Erstattungsantrag stellt.
• Einsatzbezogene Daten: Datum, Dauer und Art des Einsatzes, aus dem der Erstattungsanspruch entsteht.
• Erstattungsdaten: Höhe des Erstattungsbetrags, Status des Antrags (eingereicht, bewilligt, abgelehnt, ausgezahlt).
• Protokolldaten: Unveränderliche Aufzeichnung aller Statusänderungen zur revisionssicheren Nachvollziehbarkeit.

Magic-Link-Verfahren

Der Arbeitgeber erhält einen zeitlich befristeten, kryptografisch signierten Link („Magic-Link”). Eine Registrierung oder dauerhafte Speicherung eines Arbeitgeber-Kontos ist nicht erforderlich. Alle über diesen Link eingegebenen Daten werden clientseitig verschlüsselt, bevor sie den Server erreichen.

Zugriffsberechtigungen

🔸

Einsatzkraft: Hat Einsicht in alle ihre eigenen Erstattungsvorgänge, einschließlich des Status und der eingereichten Arbeitgeberdaten.

🔸

Erstattungsstelle der Organisation: Kann alle Erstattungsanträge der eigenen Organisation einsehen. Die vom Arbeitgeber eingegebenen Bank- und Kontaktdaten sind ausschließlich für diesen Zweck lesbar.

🔸

Arbeitgeber: Hat nur über den Magic-Link Zugriff — ausschließlich auf den eigenen Antrag, zeitlich befristet.

🔒 Zero-Knowledge auch im Erstattungsprozess: Die vom Arbeitgeber übermittelten Daten (insbesondere Kontaktdaten und Bankverbindungen) werden clientseitig verschlüsselt und liegen zu keinem Zeitpunkt im Klartext auf dem Server vor. Ein direkter Datenbankzugriff durch Administratoren oder den Betreiber liefert ausschließlich verschlüsselte Datenfelder. Die Entschlüsselung erfolgt nur bei berechtigtem Zugriff durch die Erstattungsstelle.

3. Zweck der Verarbeitung

? Bereitstellung der App-Funktionen (Login, Dienstplanung).
? Dokumentation von Anwesenheiten und Leistungen innerhalb des SaaS-Systems.
? Administrative Vorbereitung der Aufwandsentschädigung (Bereitstellung der Bankdaten für die interne Abrechnung der Organisation).
? Kommunikation via Push-Benachrichtigungen über neue Dienste.

4. Hosting und Drittanbieter

A. MongoDB Atlas (Datenbank)

Wir nutzen MongoDB Atlas (MongoDB Inc., USA) als Cloud-Datenbank. Die Daten werden verschlüsselt gespeichert. Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag auf Basis von EU-Standardvertragsklauseln abgeschlossen.

B. Google Firebase (Authentifizierung & Push)

Die App nutzt Dienste von Google Firebase (Google Ireland Ltd.):

? Firebase Authentication: Zur sicheren Anmeldung und Identifizierung.
? Firebase Cloud Messaging (FCM): Zum Versand von Push-Benachrichtigungen. Hierzu wird ein anonymisierter Ger�te-Token an Google �bertragen.

C. Serilog (Logging)

Zur Gewährleistung der App-Stabilit�t nutzen wir das Logging-Framework Serilog.

? Lokale Logs: Ereignisprotokolle werden im gesicherten Speicherbereich der App auf Ihrem Gerät gespeichert.
? Keine PII in Logs: Es ist technisch sichergestellt, dass keine sensiblen Daten (Passwörter, IBANs) in den Protokolldateien gespeichert werden.

D. Stripe (Zahlungsabwicklung)

Die Zahlungsabwicklung für den Erwerb von Lizenzen erfolgt über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Die von Ihnen im Kaufprozess eingegebenen Daten werden verschlüsselt an Stripe übertragen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: stripe.com/de/privacy.

5. Berechtigungen der App

Die App fordert folgende Berechtigungen an:

? Internet: Kommunikation mit der API und Firebase.
? Benachrichtigungen: Empfang von Push-Meldungen.

Kein Tracking

Die App verwendet kein Tracking zu Werbezwecken. Es werden keine Nutzungsprofile erstellt, keine IDFA/Advertising-ID ausgelesen und keine Daten an Werbenetzwerke übermittelt. Sämtliche Datenverarbeitung dient ausschließlich der Bereitstellung der in §3 genannten App-Funktionen.

6. Datenübermittlung an Dritte

Eine Übermittlung Ihrer Daten an Dritte findet ausschließlich innerhalb Ihrer Trägerorganisation an die autorisierte Abrechnungsstelle sowie die Systemadministratoren (zweckgebunden und nur lesend) statt. Es erfolgt keine Weitergabe von Daten an werbetreibende Dritte oder sonstige unbefugte externe Stellen.

7. Ihre Rechte

Nach der DSGVO haben Sie folgende Rechte:

? Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO).
? Berichtigung unrichtiger Daten - in der App durch den Nutzer selbst durchführbar (Art. 16 DSGVO).
? Löschung Ihrer Daten - "Recht auf Vergessenwerden" (Art. 17 DSGVO).
? Einschränkung der Datenverarbeitung (Art. 18 DSGVO).
? Datenübertragbarkeit (Art. 20 DSGVO).

Löschung Ihres Kontos: Sie können Ihr Konto und alle zugehörigen Daten jederzeit selbstständig in den Profileinstellungen der App unter „Konto löschen” entfernen. Alternativ senden Sie eine E-Mail an unitcore@5sprojects.com. Die Löschung erfolgt innerhalb von 30 Tagen. Nach der Löschung ist eine Wiederherstellung nicht möglich.

Zur Ausübung dieser Rechte wenden Sie sich bitte an: unitcore@5sprojects.com.

8. Datensicherheit

Wir setzen modernste technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten vor Manipulation, Verlust oder unbefugtem Zugriff zu schützen. Dazu gehören insbesondere:

? TLS-Verschlüsselung für alle Datenübertragungen.
? JWT-Authentifizierung für sichere API-Zugriffe.
? Strikte Rollentrennung innerhalb des Mandantensystems.
? Exklusives Schreibrecht des Nutzers auf eigene Finanzdaten (technisch abgesicherte Datenintegrität).

? Zurück zu 5S UnitCore

Datenschutzerklärung