Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, wie wir Ihre personenbezogenen Daten verarbeiten, wenn Sie die Web-Anwendung unter app.quadviso.com, die mobile App „Quadviso“ (iOS und Android) oder den zugehörigen Microsoft-Teams-Tab nutzen (zusammen „die Anwendung“).

1. Verantwortlicher

Verantwortlich für die Verarbeitung ist die QUADVISO GmbH. Anschrift, Vertretung und Kontaktdaten finden Sie im Impressum. Fragen zum Datenschutz richten Sie an [email protected].

2. Für wen die Anwendung bestimmt ist

Die Anwendung ist das Arbeitssystem der QUADVISO GmbH. Nutzen können sie zum einen Beschäftigte sowie von uns beauftragte Geschäftspartnerinnen und Geschäftspartner mit einem von uns eingerichteten Arbeitskonto (Microsoft Entra ID), zum anderen Ansprechpersonen unserer Kunden, die wir zu einem konkreten Projekt eingeladen haben („Kundenzugang“). Eine Registrierung in der Anwendung ist nicht möglich; Konten werden durch unsere Personal- und IT-Verwaltung angelegt und deaktiviert, ein Kundenzugang wird von der Projektleitung eingerichtet und wieder entzogen.

3. Welche Daten wir verarbeiten

• Konto- und Anmeldedaten: Name, dienstliche E-Mail-Adresse, die Kennung Ihres Microsoft-Kontos, Rollen und Berechtigungen, der Zeitpunkt der ersten Anmeldung, technische Sitzungsdaten.
• Kundenzugang: Name und E-Mail-Adresse der eingeladenen Ansprechperson, die Kennung ihres Anmeldekontos im Identitätsdienst, die Projekte, zu denen sie eingeladen ist, wer sie wann eingeladen hat, der Zeitpunkt der ersten Anmeldung sowie welches freigegebene Dokument sie wann geöffnet hat.
• Personalstammdaten: Personalnummer, Position, Abteilung, Filiale, Führungskraft, Eintritts- und Austrittsdatum, dienstliche Telefonnummern, Beschäftigungsart, Vertragsstunden sowie – sofern freigeschaltet – Ihr Profilbild aus dem Unternehmensverzeichnis.
• Arbeitszeitdaten: erfasste Stunden je Projekt und Tag, Sonderstunden, Kommentare, Freigabestatus.
• Abwesenheitsdaten: Urlaubsanträge und Urlaubskonten, firmenfreie Tage, Krankheitszeiten und Kind-krank-Tage einschließlich der Angabe, ob eine Arbeitsunfähigkeitsbescheinigung vorliegt. Krankheitsbezogene Angaben sind Gesundheitsdaten im Sinne des Art. 9 DSGVO.
• IT-Asset-Daten: Ihnen zugewiesene Geräte, Lizenzen und Verträge mit Kennungen, Fotos und Laufzeiten.
• Dokumente und Fotos: Dateien, die Sie zu Objekten, Projekten, Geräten oder Ihrer Personalakte hochladen, mit Dateiname, Prüfsumme, Dokumentklasse und Zeitpunkt.
• Geschäftsdaten mit Personenbezug: Ansprechpersonen bei Kunden und Objektgesellschaften, Ihre Zuordnung als Projektleitung oder Teammitglied, Benachrichtigungen über Freigaben und Änderungen.
• Protokoll- und Sicherheitsdaten: Zugriffs- und Änderungsprotokoll, IP-Adresse, Gerätetyp, App- und Betriebssystemversion, Fehler- und Absturzberichte.

4. Zwecke und Rechtsgrundlagen

4.1 Anmeldung, Konto und Berechtigungen

Zweck: Zugang zur Anwendung, Zuordnung Ihrer Rechte, Schutz vor unberechtigtem Zugriff. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses); für Geschäftspartner Art. 6 Abs. 1 lit. b und f DSGVO.

4.2 Zusammenarbeit im Unternehmen

Zweck: Bearbeitung von Kunden, Objekten, Angeboten und Projekten, Zuordnung zu Teams, Benachrichtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und § 26 Abs. 1 BDSG; bei Ansprechpersonen unserer Kunden Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung des Vertrags mit dem Kunden).

4.3 Zeiterfassung

Zweck: Erfassung und Auswertung der Arbeitszeit, Projektcontrolling, Nachweis gegenüber Kunden. Rechtsgrundlage: § 26 Abs. 1 BDSG sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Aufzeichnung der Arbeitszeit, § 3 und § 16 Abs. 2 ArbZG).

4.4 Urlaub, Abwesenheiten und Krankheit

Zweck: Urlaubsplanung und Urlaubskonten, Firmenkalender, Vertretungen, Entgeltfortzahlung, gesetzliche Melde- und Nachweispflichten. Rechtsgrundlage für Urlaubsdaten: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b und c DSGVO (Bundesurlaubsgesetz). Rechtsgrundlage für krankheitsbezogene Angaben: Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG (Erfüllung von Pflichten aus dem Arbeits- und Sozialrecht, insbesondere Entgeltfortzahlungsgesetz und § 45 SGB V). Ob eine Abwesenheit krankheitsbedingt ist, sehen nur Sie selbst und die Personen mit einer Personalberechtigung; Kolleginnen und Kollegen sehen lediglich, dass Sie abwesend sind.

4.5 IT-Assets

Zweck: Inventarisierung und Zuordnung von Geräten, Lizenzen und Verträgen, Verfolgung von Laufzeiten. Rechtsgrundlage: § 26 Abs. 1 BDSG und Art. 6 Abs. 1 lit. f DSGVO (Schutz des Unternehmenseigentums).

4.6 Dokumente und Fotos

Zweck: Ablage und Austausch von Unterlagen zu Objekten und Projekten, Führung der digitalen Personalakte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und § 26 Abs. 1 BDSG; soweit Aufbewahrungspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO (HGB, AO).

4.7 Protokolle, Sicherheit und Fehlerberichte

Zweck: Nachvollziehbarkeit sicherheitsrelevanter Vorgänge, Abwehr von Angriffen, Fehlersuche und Stabilität der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb) und Art. 32 DSGVO. Fehlerberichte enthalten keine Inhalte Ihrer Daten; personenbezogene Angaben wie E-Mail-Adressen werden vor der Übermittlung entfernt.

4.8 Kundenzugang

Zweck: Ansprechpersonen unserer Kunden Einblick in die Eckdaten ihres Projekts, ihre Ansprechpartner bei uns und die für sie freigegebenen Dokumente zu geben. Die Einladung richtet unsere Projektleitung ein; die Anmeldung erfolgt ohne Passwort mit einem einmaligen Code, der bei jeder Anmeldung an die eingeladene E-Mail-Adresse gesendet wird. Ansprechpersonen sehen ausschließlich die Projekte, zu denen sie eingeladen sind, und dort nur die Eckdaten, die Namen, Positionen und dienstlichen Kontaktdaten der Projektleitung und Assistenz sowie die einzeln freigegebenen Dokumente – keine Honorare, Stunden, Kalkulationen oder internen Notizen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags mit dem Kunden) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Projektkommunikation); für die Protokollierung der Anmeldungen und Dokumentabrufe Art. 6 Abs. 1 lit. f und Art. 32 DSGVO.

5. Empfänger und Auftragsverarbeiter

Innerhalb des Unternehmens erhalten nur die Personen Zugriff, deren Aufgabe es erfordert (Berechtigungskonzept nach dem Need-to-know-Prinzip). Darüber hinaus setzen wir folgende Auftragsverarbeiter nach Art. 28 DSGVO ein:

• Microsoft Ireland Operations Ltd. (Microsoft Entra ID, Microsoft Graph, Microsoft Teams): Anmeldung mit Ihrem Arbeitskonto, Unternehmensverzeichnis und Profilbilder, Einbettung als Teams-Tab, Versand der Einladung zum Kundenzugang aus einem Postfach unseres Unternehmens. Verarbeitung auf Grundlage des Microsoft Products and Services Data Protection Addendum mit Datenspeicherung in der Europäischen Union (EU Data Boundary).
• Amazon Web Services EMEA SARL (AWS): Betrieb der Anwendung, Datenbanken, Dokumentenspeicher und Zwischenspeicher ausschließlich in der Region Frankfurt (eu-central-1); für den Kundenzugang außerdem der Identitätsdienst Amazon Cognito (Anmeldekonten der eingeladenen Ansprechpersonen und Versand der Anmeldecodes über Amazon SES), ebenfalls in Frankfurt. Verarbeitung auf Grundlage des AWS GDPR Data Processing Addendum.
• Functional Software, Inc. (Sentry): Fehler- und Absturzberichte der Web-Anwendung, der Schnittstelle und der mobilen App, gespeichert in der EU-Region von Sentry. Verarbeitung auf Grundlage des Sentry Data Processing Addendum.

Eine Weitergabe an Dritte zu deren eigenen Zwecken erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet oder Sie haben eingewilligt.

6. Übermittlung in Drittländer

Ihre Daten werden in der Europäischen Union gespeichert und verarbeitet. Eine Übermittlung in Länder außerhalb der EU und des EWR findet nicht statt – mit Ausnahme der Fälle, in denen die genannten Auftragsverarbeiter zu Support- oder Sicherheitszwecken auf Systeme in Drittländern zugreifen. Für diese Fälle bestehen mit Microsoft, Amazon Web Services und Sentry Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); soweit die Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert sind, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Konto- und Personalstammdaten: für die Dauer des Beschäftigungs- oder Vertragsverhältnisses; danach bis zum Ablauf der gesetzlichen Aufbewahrungs- und Verjährungsfristen (in der Regel drei Jahre, bei Entgeltunterlagen bis zu zehn Jahre).
• Arbeitszeitdaten: mindestens zwei Jahre (§ 16 Abs. 2 ArbZG), als Grundlage der Entgeltabrechnung bis zu zehn Jahre (§ 147 AO).
• Urlaubsdaten: bis zum Ablauf der Übertragungs- und Verjährungsfristen des Urlaubsjahres, in der Regel drei Jahre nach dessen Ende.
• Krankheitsbezogene Angaben: 3 Jahre nach Ende der Erkrankung. Danach wird der Eintrag automatisch neutralisiert: Art der Abwesenheit, Bemerkung und Angaben zur Bescheinigung werden entfernt; die Zeiträume bleiben als „Sonstige Abwesenheit“ für Kalender und Urlaubskonto erhalten.
• Dokumente zu Objekten und Projekten: 10 Jahre ab dem Hochladen der aktuellen Version, entsprechend den handels- und steuerrechtlichen Fristen.
• Dokumente der Personalakte: 10 Jahre ab dem Hochladen der aktuellen Version, soweit nicht kürzere gesetzliche Fristen gelten (etwa für Abmahnungen oder Arbeitsunfähigkeitsbescheinigungen).
• IT-Asset-Daten: für die Dauer der Zuweisung oder Nutzung des Geräts oder Vertrags, danach bis zum Ablauf der handelsrechtlichen Aufbewahrungsfristen für Anlagegüter.
• Kundenzugang: für die Dauer der Einladung. 90 Tage nach dem Entzug des letzten Zugangs wird das Konto automatisch anonymisiert: Name und E-Mail-Adresse werden ersetzt, die Kennung des Anmeldekontos wird entfernt und das Anmeldekonto im Identitätsdienst gelöscht. Die Protokolleinträge bleiben erhalten; sie verweisen weiterhin über eine technische Kennung auf das anonymisierte Konto und enthalten für Einladung und Entzug die Angaben der handelnden Beschäftigten (Zeitpunkt, IP-Adresse, Gerätetyp). Wird die Ansprechperson innerhalb dieser Frist erneut eingeladen, bleibt das Konto bestehen.
• Protokolldaten und Fehlerberichte: Zugriffs- und Änderungsprotokolle für die Dauer der gesetzlichen Nachweispflichten; Fehlerberichte in der Regel 90 Tage.

8. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten,
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten,
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) der von Ihnen bereitgestellten Daten in einem gängigen, maschinenlesbaren Format,
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben.

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Telefon +49 981 180093-0, [email protected], www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzes wenden.

Zur Ausübung Ihrer Rechte genügt eine E-Mail an [email protected]. Wir antworten unverzüglich, spätestens innerhalb eines Monats.

9. Löschung Ihrer Daten beantragen

Konten werden nicht in der Anwendung angelegt, sondern von uns im Rahmen des Beschäftigungs- oder Vertragsverhältnisses eingerichtet – ein Kundenzugang durch die Projektleitung. Bei dessen Ende werden sie deaktiviert und nach Ablauf der Fristen aus Abschnitt 7 gelöscht beziehungsweise anonymisiert. Sie können die Löschung Ihrer Daten jederzeit auch selbst beantragen: in der mobilen App unter „Mehr → Datenlöschung anfragen“, auf der Support-Seite oder per E-Mail an [email protected] mit dem Betreff „Datenlöschung“. Wir prüfen den Antrag, löschen alle Daten, für die keine gesetzliche Aufbewahrungspflicht besteht, und teilen Ihnen das Ergebnis mit.

10. Keine automatisierten Entscheidungen, keine Werbung

Wir treffen keine automatisierten Entscheidungen im Einzelfall und führen kein Profiling durch (Art. 22 DSGVO). Die Anwendung enthält keine Werbung und kein Tracking zu Werbezwecken; es werden keine Daten an Werbe- oder Analysenetzwerke übermittelt. Die mobile App verwendet keine Werbe-Identifikatoren.

11. Cookies und lokale Speicherung

Die Web-Anwendung setzt ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie, das Sie nach der Anmeldung identifiziert; zwei kurzlebige, verschlüsselte Cookies für den Anmeldevorgang, die höchstens zehn Minuten gelten und mit Abschluss der Anmeldung gelöscht werden – eines für die Anmeldung mit dem Microsoft-Konto und eines für den Kundenzugang, das zwischen der Eingabe der E-Mail-Adresse und der Eingabe des Codes die eingegebene Adresse, die Vorgangskennung des Identitätsdienstes für den Code, die Art der Anmeldung (Code oder Passwort) und die Seite enthält, zu der Sie danach geleitet werden; sowie ein Cookie für Ihre Darstellungseinstellung (hell oder dunkel). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Die mobile App bewahrt Ihre Anmeldung im geschützten Schlüsselspeicher des Geräts auf und speichert zuletzt geladene Daten zwischen, damit Listen auch ohne Verbindung angezeigt werden; beim Abmelden wird dieser Zwischenspeicher gelöscht.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung finden Sie unter dieser Adresse und in der mobilen App unter „Mehr → Datenschutz“.

Stand: September 2026