Datenschutzerklärung

Stand: 23.09.2026

1. Einleitung

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst und verpflichten uns, die Informationen, die Sie uns in Verbindung mit der Nutzung unserer Website, Web-Applikation und mobilen App (zusammen: „digitale Assets") zur Verfügung stellen, zu schützen. Diese Datenschutzerklärung erläutert unsere Praktiken in Bezug auf die Erfassung, Verwendung und Offenlegung Ihrer Daten durch die Nutzung unserer Dienste.

2. Verantwortlicher

Dmitri Petri
Borsigstraße 18
27574 Bremerhaven
E-Mail: [email protected]

3. Welche Daten wir erfassen

Nicht personenbezogene Daten: Technische und zusammengefasste Nutzungsinformationen, die keine Rückschlüsse auf Ihre Identität zulassen (z. B. Browsertyp, Betriebssystem, Zugriffszeiten).

Personenbezogene Daten: Bei Nutzung der CraftX-Applikation können Informationen wie Name, E-Mail-Adresse, Firmenname, Betriebsdaten, IP-Adresse und weitere geschäftsbezogene Daten erfasst werden.

Geschäftsdaten: Im Rahmen der ERP-Nutzung verarbeiten wir in Ihrem Auftrag Geschäftsdaten wie Kunden- und Lieferantendaten, Aufträge, Angebote, Rechnungen, Zeiterfassungsdaten und Terminplanungen.

Mobile App – Zusätzliche Daten: Bei Nutzung der CraftX Mobile App (iOS/Android) können zusätzlich folgende Daten erhoben werden:

• Standortdaten (GPS / Geofencing) – Bei aktivierter Standortfreigabe wird Ihr präziser Standort beim Ein-/Ausstempeln erfasst, um die Zeiterfassung einem Arbeitsort zuzuordnen. Zusätzlich unterstützt die App eine automatische Zeiterfassung („Automatisches Tagesprotokoll"): Um definierte Arbeitsorte (Baustellen von Aufträgen, Werkstatt) werden virtuelle Zonen (Geofences, Radius typischerweise ca. 150 m) eingerichtet. Ist die Hintergrund-Standortfreigabe erteilt und der Nutzer eingestempelt, erkennt das Gerät das Betreten und Verlassen dieser Zonen; diese Ereignisse (Ort, Zeitpunkt, Ereignisart) werden gespeichert und zu einem Tagesprotokoll mit Arbeits-, Fahrt- und Pausenblöcken zusammengesetzt. Es findet keine kontinuierliche Aufzeichnung des Standortverlaufs statt – gespeichert werden ausschließlich Ereignisse an den definierten Arbeitsorten. Die App zeigt in einem Transparenz-Bildschirm jederzeit an, welche Orte aktuell überwacht werden. Die Standorterfassung ist optional und kann jederzeit in den App-Einstellungen oder den Geräteeinstellungen deaktiviert werden; die Zeiterfassung bleibt auch ohne Standortfreigabe (manuell oder per NFC) nutzbar.
• Geräteinformationen – Gerätetyp, Betriebssystem, App-Version und eine eindeutige Gerätekennung werden zur Authentifizierung, zur Zuordnung von Sitzungen und für Audit-Protokolle erhoben.
• NFC-Daten – Bei Nutzung der NFC-Anwesenheitserfassung werden die Kennung des gescannten NFC-Tags sowie der Zeitstempel der Erfassung gespeichert.
• Push-Benachrichtigungs-Token – Zum Versand von Benachrichtigungen (z. B. Terminerinnerungen, Auftragsänderungen) wird ein geräteinternes Push-Token bei Apple (APNs) bzw. Google (FCM) registriert. Dieses Token ist kein personenbezogenes Datum, wird jedoch Ihrem Benutzerkonto zugeordnet.
• Authentifizierungsdaten – Zugangsdaten (E-Mail, Passwort) werden zur Anmeldung verwendet. Authentifizierungs-Token werden verschlüsselt auf dem Gerät gespeichert (iOS Keychain / Android Keystore).

4. Wie und warum wir Daten erfassen

Wir erfassen Daten bei der Nutzung unserer Dienste, wenn Sie direkt mit uns Kontakt aufnehmen oder sich bei unseren Diensten registrieren. Wir verwenden Ihre Daten, um unsere Dienste bereitzustellen und zu verbessern, auf Ihre Anfragen zu reagieren, die Datensicherheit zu gewährleisten und gesetzliche Verpflichtungen zu erfüllen.

Standortdaten in der mobilen App werden ausschließlich für folgende Zwecke verwendet:

• Zuordnung von Zeiterfassungseinträgen zu Arbeitsorten (beim Ein-/Ausstempeln)
• Automatische Erstellung des Tagesprotokolls: Erkennung des Betretens/Verlassens definierter Arbeitsorte (Geofencing) und Zusammensetzung zu Arbeits-, Fahrt- und Pausenblöcken, die der Nutzer am Feierabend prüfen und korrigieren kann
• Anzeige nahegelegener Baustellen und Aufträge zur vereinfachten Auswahl
• Automatische Erinnerungen beim Betreten/Verlassen von Arbeitsorten (deaktivierbar in den App-Einstellungen)

Standortdaten werden nicht für Werbezwecke, Profiling oder die Erstellung von Bewegungsprofilen verwendet. Es erfolgt keine kontinuierliche Aufzeichnung des Standortverlaufs; gespeichert werden ausschließlich Ereignisse zum Betreten und Verlassen der definierten Arbeitsorte im Rahmen der Zeiterfassung. Die Standorterfassung erfordert die ausdrückliche Zustimmung des Nutzers über die Berechtigungsabfrage des Betriebssystems und kann jederzeit widerrufen werden.

Hinweis für Arbeitgeber: Zeiterfassungsdaten einschließlich der Zuordnung zu Arbeitsorten verarbeiten wir im Auftrag des jeweiligen Betriebs (Auftragsverarbeitung, siehe Punkt 6). Der Betrieb bleibt als Arbeitgeber Verantwortlicher im Sinne der DSGVO und stellt sicher, dass der Einsatz der standortgestützten Zeiterfassung gegenüber seinen Beschäftigten zulässig ist (insbesondere § 26 BDSG) und diese entsprechend informiert werden.

5. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer Daten erfolgt auf Grundlage folgender Rechtsgrundlagen gemäß Art. 6 DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) – Bereitstellung und Betrieb der CraftX-Applikation, Kontoverwaltung
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f) – Verbesserung unserer Dienste, Gewährleistung der IT-Sicherheit, Betrugsprävention
• Gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c) – Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten
• Einwilligung (Art. 6 Abs. 1 lit. a) – Soweit Sie uns eine Einwilligung erteilt haben, z. B. für die Standorterfassung in der mobilen App, Push-Benachrichtigungen oder den Erhalt von Informationen

6. Auftragsverarbeitung (Art. 28 DSGVO)

Als SaaS-Anbieter verarbeiten wir Geschäftsdaten (Kunden, Aufträge, Rechnungen, Mitarbeiter- und Zeiterfassungsdaten) in Ihrem Auftrag. Sie als Nutzer bleiben Verantwortlicher für diese Daten. Grundlage ist der Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO, der Bestandteil des Nutzungsvertrags ist und die eingesetzten Unterauftragsverarbeiter sowie die technischen und organisatorischen Maßnahmen aufführt.

7. Cookies

Diese Marketing-Website verwendet keine Tracking-Cookies. Die Web-Applikation (app.craftx-software.de) verwendet ausschließlich technisch notwendige Session-Cookies für die Authentifizierung. Diese Cookies sind für den Betrieb der Anwendung erforderlich und können nicht deaktiviert werden. Die mobile App verwendet keine Cookies, sondern verschlüsselt gespeicherte Authentifizierungs-Token.

8. Server-Logfiles

Bei jedem Zugriff auf unsere Website werden automatisch Informationen in Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und Betriebssystem. Diese Daten sind nicht bestimmten Personen zuordenbar und werden nach 30 Tagen automatisch gelöscht. Die Speicherung erfolgt auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) zur Sicherstellung eines störungsfreien Betriebs.

9. Hosting und Datenspeicherung

Diese Website und die Web-Applikation werden auf Servern innerhalb der Europäischen Union gehostet. Es erfolgt keine Übertragung personenbezogener Daten in Drittländer, mit Ausnahme der unter den Punkten 10 bis 12, 19 und 20 genannten Dienste.

10. Weitergabe an Dritte

Wir können Ihre Daten an folgende Kategorien von Dienstleistern weitergeben:

• Hosting-Anbieter – Betrieb und Wartung unserer Server innerhalb der EU
• E-Mail-Dienste – Versand von Transaktions-E-Mails (z. B. Registrierungsbestätigung, Angebotsversand)
• Apple Inc. / Google LLC – Zustellung von Push-Benachrichtigungen über Apple Push Notification Service (APNs) bzw. Firebase Cloud Messaging (FCM). Dabei wird lediglich ein geräteinternes Token übermittelt, keine personenbezogenen Inhalte.
• Expo (820 Industries, Inc.) – Bereitstellung von Build- und Update-Diensten für die mobile App. Expo verarbeitet keine personenbezogenen Nutzerdaten aus der App.
• Google Maps Platform – Adressvervollständigung, Geokodierung und Routenberechnung (siehe Punkt 12).
• Calendly – Online-Terminbuchung auf der Marketing-Website, nur nach Klick auf einen Termin-Button (siehe Punkt 19).

Eine darüber hinausgehende Weitergabe erfolgt nur zur Untersuchung rechtswidriger Aktivitäten, zum Schutz unserer Rechte und Sicherheit oder aufgrund gesetzlicher Verpflichtungen.

11. KI-gestützte Funktionen (Anthropic)

CraftX nutzt KI-Dienste von Anthropic PBC (Claude API) für folgende Funktionen: KI-Assistent „Bob", automatische Rechnungserkennung, Positionsübernahme aus Dokumenten und Bildgenerierung. Dabei können Dokumenteninhalte (z. B. hochgeladene Rechnungs-PDFs) zur Verarbeitung an die Anthropic API übermittelt werden.

Anthropic ist als Unterauftragsverarbeiter vertraglich gebunden: Grundlage sind die Anthropic Commercial Terms of Service einschließlich Data Processing Addendum (DPA) mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) für die Übermittlung in die USA. API-Eingaben und -Ausgaben werden von Anthropic nicht zum Training von KI-Modellen verwendet und standardmäßig innerhalb von 30 Tagen gelöscht. Weitere Informationen: Anthropic Privacy Policy.

12. Google Maps Platform

CraftX nutzt Dienste der Google Maps Platform (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) für folgende Funktionen:

• Adressvervollständigung (Places API) – Bei der Eingabe von Adressen (z. B. Kunden-, Auftrags- oder Betriebsadressen) werden die eingegebenen Zeichen zur Vervollständigung an Google übermittelt.
• Geokodierung (Geocoding API) – Gespeicherte Adressen von Aufträgen, Kunden und dem Betrieb werden in Geokoordinaten umgewandelt, um Arbeitsorte für die Zeiterfassung (Geofencing) und Kartendarstellungen zu bestimmen.
• Routenberechnung (Routes API) – Zur Plausibilisierung von Fahrtzeiten im Tagesprotokoll wird die erwartete Fahrtdauer zwischen Arbeitsorten (z. B. Werkstatt und Baustelle) berechnet.

An Google werden dabei ausschließlich Adressen bzw. die Koordinaten der hinterlegten Arbeitsorte übermittelt – zu keinem Zeitpunkt der Live-Standort von Mitarbeitern. Die Übermittlung kann eine Datenverarbeitung durch Google LLC in den USA einschließen; Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: Google Datenschutzerklärung.

13. Datensicherheit

Die gesamte Kommunikation zwischen Ihrem Browser bzw. der mobilen App und unseren Servern erfolgt über TLS/SSL-verschlüsselte Verbindungen (HTTPS). Ihre Daten werden auf sicheren Servern hinter einer Firewall gespeichert. Passwörter werden ausschließlich als kryptografische Hashes gespeichert. In der mobilen App werden Authentifizierungs-Token in der sicheren Systemumgebung des Geräts gespeichert (iOS Keychain / Android Keystore). Ungeachtet der von uns ergriffenen Maßnahmen können wir keinen absoluten Schutz garantieren.

14. Aufbewahrungsfristen

Wir bewahren Ihre Daten so lange auf, wie es für die Bereitstellung unserer Dienste erforderlich ist. Darüber hinaus gelten folgende gesetzliche Aufbewahrungsfristen:

• 10 Jahre – Rechnungen, Buchungsbelege und steuerlich relevante Unterlagen (§ 147 AO, § 257 HGB)
• 6 Jahre – Geschäftsbriefe, Angebote und Handelskorrespondenz (§ 257 HGB)

Nach Vertragsbeendigung werden personenbezogene Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Geschäftsdaten können auf Wunsch exportiert werden.

15. Minderjährige

Die Dienste sind nicht für Nutzer bestimmt, die noch nicht die gesetzliche Volljährigkeit erreicht haben. Wir werden wissentlich keine Daten von Kindern erfassen.

16. Ihre Rechte (DSGVO)

Als betroffene Person haben Sie folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Die zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen. Wenden Sie sich für die Ausübung Ihrer Rechte an die oben genannte E-Mail-Adresse.

17. Mobile App – Berechtigungen und Datenkontrolle

Die CraftX Mobile App erfordert bestimmte Berechtigungen auf Ihrem Gerät. Alle Berechtigungen sind optional und werden erst bei Bedarf über eine Systemabfrage angefordert:

• Standort (bei Nutzung / im Hintergrund) – Für die Zeiterfassung mit Ortsangabe, das automatische Tagesprotokoll (Geofencing) und Einstempel-Erinnerungen. Die überwachten Arbeitsorte sind in der App im Transparenz-Bildschirm einsehbar. Kann in den Geräteeinstellungen und in der App unter Einstellungen deaktiviert werden.
• NFC – Für die Anwesenheitserfassung per NFC-Tag. Nur aktiv während des Scan-Vorgangs.
• Benachrichtigungen – Für Terminerinnerungen und Auftragsbenachrichtigungen. Kann in den Geräteeinstellungen deaktiviert werden.
• Kamera und Fotobibliothek – Für Projektfotos. Nur bei aktiver Nutzung, kein Zugriff im Hintergrund.

Auf dem Gerät gespeicherte Daten (Authentifizierungs-Token, Einstellungen) werden bei der Abmeldung oder Deinstallation der App automatisch gelöscht.

Kein Tracking: Die CraftX Mobile App enthält keine Werbe-SDKs, keine Analyse-Tracker von Drittanbietern und kein Cross-App-Tracking. Es werden keine Daten an Werbenetzwerke weitergegeben.

18. Google Fonts

Diese Website nutzt Google Fonts. Beim Laden der Schriftarten wird eine Verbindung zu Google-Servern hergestellt. Weitere Informationen: Google Datenschutzerklärung.

19. Terminbuchung (Calendly)

Auf unserer Website können Sie über einen Button einen Gesprächstermin buchen. Dafür nutzen wir Calendly (Calendly LLC, 115 E Main St, Buford, GA 30518, USA). Das Calendly-Widget wird erst nach Ihrem Klick auf den Termin-Button geladen; beim reinen Aufruf der Seite findet keine Verbindung zu Calendly statt.

Bei der Buchung verarbeitet Calendly die von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, ggf. Telefonnummer und Nachricht), den gewählten Termin sowie technische Daten (IP-Adresse, Browserdaten). Zusätzlich übergeben wir, sofern vorhanden, die Kampagnenkennung, über die Sie auf unsere Website gelangt sind (UTM-Parameter), um den Termin einer Werbequelle zuordnen zu können. Rechtsgrundlage ist die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer einfachen Terminvereinbarung (Art. 6 Abs. 1 lit. f DSGVO). Calendly ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: Calendly Datenschutzerklärung.

20. Website: Befragung, Kontaktformulare und Reichweitenmessung

Hosting der Website: Diese Website (craftx-software.de) wird über Cloudflare Pages ausgeliefert (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite), um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und schnellen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Kundenbefragung und Kontaktformulare: Wenn Sie an unserer Befragung teilnehmen oder über ein Formular (z. B. Rückrufwunsch, Zeitfresser-Check) Kontakt aufnehmen, verarbeiten wir Ihre Antworten bzw. Angaben sowie, falls freiwillig angegeben, Name, Firma, Telefonnummer oder E-Mail-Adresse. Die Antworten der Befragung werten wir intern aus, um unser Produkt an den Bedürfnissen von Handwerksbetrieben auszurichten; Kontaktdaten nutzen wir nur, um uns wie gewünscht bei Ihnen zu melden. Rechtsgrundlage ist Ihre Einwilligung durch das freiwillige Absenden (Art. 6 Abs. 1 lit. a DSGVO), bei Anfragen zu unserem Produkt die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Brechen Sie die Befragung vor dem Absenden ab, übermitteln wir die bis dahin gegebenen Antworten ohne Kontaktdaten ebenfalls zur Auswertung; Rechtsgrundlage hierfür ist unser berechtigtes Interesse an einer aussagekräftigen Auswertung (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden zur Zustellung an uns per E-Mail über den Dienst Resend (Resend, Inc., USA) übermittelt; die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln. Zusätzlich können Befragungsantworten in einem Datenspeicher von Cloudflare gesichert werden. Befragungsantworten ohne Kontaktdaten lassen keinen Rückschluss auf Ihre Person zu. Wir löschen die Angaben, sobald sie für die Auswertung bzw. Bearbeitung nicht mehr erforderlich sind, spätestens nach 24 Monaten. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft per E-Mail an [email protected] widerrufen.

Reichweitenmessung (Plausible): Zur statistischen Auswertung der Websitenutzung setzen wir Plausible Analytics ein (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland). Plausible verwendet keine Cookies und speichert keine personenbezogenen Daten; IP-Adressen werden nur gekürzt bzw. gehasht verarbeitet und nicht gespeichert. Erfasst werden u. a. aufgerufene Seiten, Herkunftsseite, Gerätetyp sowie bei der Befragung, bis zu welchem Schritt sie ausgefüllt wurde. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden in der EU verarbeitet.

21. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit überarbeiten. Die auf der Website veröffentlichte Version ist immer aktuell. Bei wesentlichen Änderungen werden wir einen Hinweis auf unserer Website veröffentlichen.

Kontakt

Dmitri Petri
Borsigstraße 18, 27574 Bremerhaven
E-Mail: [email protected]