Rechtliches

Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) sowie, für Nutzer in der Schweiz, ergänzend nach dem Schweizer Datenschutzgesetz (DSG).

EntwurfStand: 4. Oktober 2026

Dieses Dokument ist ein sorgfältig vorbereiteter Entwurf und wird vor dem Produktivstart juristisch geprüft. Mit eckigen Klammern markierte Angaben sind Platzhalter und werden vor Veröffentlichung durch die echten Betreiberdaten ersetzt.

Verantwortlicher im Sinne der DSGVO ist der Anbieter: [noch nicht hinterlegt], [noch nicht hinterlegt], Österreich. E-Mail: [noch nicht hinterlegt], Telefon: [noch nicht hinterlegt].

Sofern ein Datenschutzbeauftragter benannt ist: [Kontaktdaten des Datenschutzbeauftragten].

Konto- und Anmeldedaten: E-Mail-Adresse, Anzeigename, Kontotyp, Gerichtsbarkeit (DE/AT/CH), Passwort in gehashter Form, Sitzungs- und Anmeldemetadaten wie IP-Adresse und Browserkennung. Bei aktivierter Zwei-Faktor-Anmeldung zusätzlich verschlüsselt gespeicherte TOTP-Geheimnisse und gehashte Wiederherstellungscodes. Neue Passwörter werden gegen eine Liste bekannt gewordener Passwörter geprüft; dabei verlässt nur ein kurzer Anfang der Prüfsumme des Passworts den Server, nie das Passwort selbst.

Anfragedaten: Kontaktdaten des Auftraggebers, Postleitzahl und Ländercode des Einsatzorts, Gewerk, Dringlichkeit, Projektbeschreibung, Nachrichten sowie hochgeladene Anhänge. Postleitzahl und Ländercode dienen der regionalen Zuordnung der Anfrage zu passenden Betrieben sowie der Einteilung in regionale Zonen, etwa für künftige, gesondert angekündigte Entgeltmodelle gegenüber Betrieben; sie werden bei der Anonymisierung der Anfrage gelöscht.

Betriebsdaten: Geschäftsname, Gewerk, Servicegebiet, Kontaktdaten und Verifizierungsstatus von Handwerksbetrieben.

Rechnungs- und Abrechnungsdaten: Rechnungsentwürfe, Rechnungsnummern, Positionen und steuerlich relevante Angaben sowie Abrechnungsdaten des Betriebs gegenüber der Plattform, etwa künftige Lead-Gebühren, Zahlungsstatus und Mahnstufen.

Protokoll- und Sicherheitsdaten: revisionssichere Audit-Protokolle zu sicherheits- und statusrelevanten Aktionen, Virenscan-Ergebnisse für Anhänge sowie technische Server-Logs.

Bereitstellung der Plattform, Kontoverwaltung und Abwicklung von Anfragen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Regionale Zuordnung von Anfragen zu passenden Betrieben und Einteilung in regionale Zonen anhand der angegebenen Postleitzahl: Art. 6 Abs. 1 lit. b DSGVO; im Rahmen künftiger, gesondert angekündigter Entgeltmodelle gegenüber Betrieben zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an regional differenzierter Preisgestaltung).

Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten für Rechnungsdaten: Art. 6 Abs. 1 lit. c DSGVO.

Gewährleistung von Sicherheit, Missbrauchs- und Betrugsvermeidung, Mandantentrennung und revisionssicherer Protokollierung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb).

Freiwillige Angaben, etwa Präferenzen für faire Angebotsvorschläge: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die Plattform verwendet ausschließlich technisch notwendige Cookies, insbesondere für die sichere Anmeldung und den Schutz vor Cross-Site-Request-Forgery. Diese Cookies sind für den Betrieb erforderlich und bedürfen keiner Einwilligung.

Einstellungen wie Sprache und Farbschema werden lokal im Browser (localStorage) gespeichert. Wählen Sie eine Sprache, merkt sich die Plattform diese zusätzlich in einem technisch notwendigen Cookie („hw-locale“, ein Jahr), damit Seiten direkt in dieser Sprache ausgeliefert werden. Nichts davon wird an Dritte übermittelt.

Es werden keine Tracking-, Analyse- oder Werbe-Cookies von Drittanbietern eingesetzt. Für den technischen Betrieb zählt die Plattform lediglich Tagessummen erfolgreicher und fehlgeschlagener Vorgänge (etwa gestellte Anfragen oder Registrierungen), ohne Cookies und ohne Bezug zu Personen, Betrieben, Geräten oder IP-Adressen.

Schriftarten werden ausschließlich vom eigenen Server ausgeliefert und bereits beim Erstellen der Anwendung fest eingebunden. Beim Aufruf der Seiten wird daher keine Verbindung zu Servern von Schriftanbietern hergestellt; es werden insbesondere keine IP-Adressen an Dritte übermittelt.

KI-gestützte Assistenten erstellen Entwürfe für die Beschreibung von Anfragen, für die Bearbeitung von Anfragen durch Betriebe und für faire Angebotsvorschläge. Sie arbeiten nur mit den Daten der jeweiligen Anfrage und des jeweiligen Betriebs; Daten anderer Mandanten und externe Quellen werden nicht hinzugezogen.

Diese Funktionen arbeiten EU-first: Eine Verarbeitung durch externe KI-Anbieter findet erst statt, wenn dafür ein Auftragsverarbeitungsvertrag und erforderlichenfalls eine Transferprüfung vorliegen; bis dahin bleiben externe KI-Aufrufe deaktiviert. Vor dem Einsatz eines externen Modellanbieters wird diese Datenschutzerklärung um den Anbieter, den Verarbeitungsort und seinen Umgang mit den übermittelten Daten ergänzt.

Der Anbieter verwendet Eingaben, Entwürfe und Protokolle nicht zum Training von KI-Modellen.

KI-Funktionen erstellen ausschließlich Entwürfe, die von Menschen geprüft und freigegeben werden. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die rechtliche Wirkung entfaltet oder Nutzer in ähnlicher Weise erheblich beeinträchtigt.

Zu jedem KI- und Agentenaufruf werden Protokolldaten gespeichert: Mandant, auslösender Nutzer oder verwendeter API-Schlüssel, aufgerufene Funktion, Zeitpunkt, Ergebnisstatus, Freigabeentscheidungen und Verbrauch gegenüber dem Kontingent. Eingaben und Ergebnisse werden in diesen Protokollen nur als Prüfsumme festgehalten, nicht im Klartext. Ausgenommen sind von Agenten vorgeschlagene schreibende Aktionen: Deren Inhalt, etwa der Text einer vorgeschlagenen Nachricht, wird mit dem Freigabevorschlag gespeichert, damit nach der Freigabe genau das Geprüfte ausgeführt wird. Zweck ist die Nachvollziehbarkeit der Verarbeitung, die Durchsetzung von Berechtigungen und Kontingenten sowie der Nachweis der menschlichen Aufsicht (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden nach zwölf Monaten gelöscht (Abschnitt 8).

Betriebe, die eigene Software-Agenten anbinden, können Änderungsereignisse zu ihren Anfragen abrufen. Diese Ereignisse enthalten nur Kennungen, Ereignistyp und Zeitpunkt, keine Namen, Texte oder Kontaktdaten, und werden nach sieben Tagen gelöscht.

Ruft ein Betrieb Daten über einen eigenen Agenten ab, erhält der Agent nur die Daten, die der Betrieb auch in der Oberfläche sieht, begrenzt auf die Berechtigungen des verwendeten API-Schlüssels. Für die weitere Verarbeitung dieser Daten durch den Agenten ist der Betrieb verantwortlich.

Für KI-Funktionen gelten zusätzliche Schutzmaßnahmen: mandantengetrennte Datenhaltung, eine Berechtigungsprüfung vor jedem Werkzeugaufruf, Budget- und Freigabesteuerung, ein Not-Aus-Mechanismus (Kill-Switch) sowie revisionssichere Protokollierung der Agentenläufe.

Innerhalb der Plattform erhalten nur die jeweils beteiligten Parteien Zugriff auf Anfragedaten: der anfragende Kunde, die zugeordneten Betriebe und, soweit erforderlich, die Plattform-Administration.

Der Bearbeitungsstand einer Anfrage kann über einen individuellen, nicht erratbaren Status-Link ohne Anmeldung abgerufen werden. Der Link zeigt nur eingeschränkte Statusinformationen und sollte nicht an unbeteiligte Dritte weitergegeben werden.

Für den technischen Betrieb setzen wir Dienstleister als Auftragsverarbeiter ein, insbesondere für Hosting in der Europäischen Union (Hetzner, Deutschland). Für den Versand von System-E-Mails (etwa Statusbenachrichtigungen, Zahlungserinnerungen und Vertragsmitteilungen) ist der Dienstleister Resend vorgesehen; der Einsatz beginnt erst nach Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO und Sicherstellung einer Verarbeitung in der EU beziehungsweise geeigneter Garantien nach Art. 44 ff. DSGVO.

Die Rechnungsbelege werden vollständig auf unserer eigenen Infrastruktur erzeugt. Für die Erstellung der Rechnungs-PDFs wird kein externer Dienst eingesetzt; es werden dabei keine Rechnungsdaten an Dritte übermittelt.

Mit allen Auftragsverarbeitern werden vor dem Produktivbetrieb Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen. Ein aktuelles Verzeichnis der eingesetzten Unterauftragsverarbeiter wird bereitgestellt und bei Änderungen aktualisiert.

Die Plattform wird auf Servern in der Europäischen Union betrieben. Eine Übermittlung personenbezogener Daten in Drittländer findet grundsätzlich nicht statt.

Sollte im Einzelfall ein Dienstleister mit Drittlandbezug eingesetzt werden, erfolgt dies nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln und einer dokumentierten Transferfolgenabschätzung.

Konto- und Anfragedaten werden für die Dauer der Vertragsbeziehung gespeichert und nach deren Ende gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Kunden können die Kontoschließung unter Meine Daten mit einer erneuten Passwortbestätigung beauftragen. Ab Bestätigung gilt eine Wartefrist von genau 30 Tagen (720 Stunden). Bis zum angezeigten Zeitpunkt sind Datenexport und Rücknahme möglich; neue Anfragen, Nachrichten und normale Kontoänderungen sind gesperrt. Ohne Rücknahme erfolgt danach die automatische Kontobereinigung auf Grundlage der bestätigten Kundenanweisung. Zugeordnete alte Statuslinks werden dabei ungültig. Auftrags-, Abrechnungs- und erforderliche Nachweisdaten sowie Sicherungskopien folgen getrennten Aufbewahrungsregeln und werden nicht pauschal mitgelöscht. Diese Produktfunktion verzögert keine unabhängigen Datenschutzersuchen.

Rechnungs- und buchführungsrelevante Daten werden entsprechend den gesetzlichen Fristen aufbewahrt: in Deutschland grundsätzlich zehn Jahre nach Handels- und Steuerrecht, in Österreich grundsätzlich sieben Jahre nach der Bundesabgabenordnung, in der Schweiz grundsätzlich zehn Jahre nach Obligationenrecht. Maßgeblich ist die für den jeweiligen Betrieb geltende Gerichtsbarkeit.

Sicherheits- und Audit-Protokolle werden so lange aufbewahrt, wie dies für Nachvollziehbarkeit, Missbrauchsabwehr und gesetzliche Nachweispflichten erforderlich ist.

Protokolle zu KI- und Agentenaufrufen sowie die zugehörigen, bereits entschiedenen Freigaben werden zwölf Monate aufbewahrt und danach in einem kontrollierten Löschlauf entfernt. Offene Freigaben bleiben bis zu ihrer Entscheidung oder ihrem Ablauf erhalten. Jeder Löschlauf wird mit Zeitpunkt, Stichtag und Anzahl der entfernten Einträge protokolliert.

Abgeschlossene Anfragen werden in einem zweistufigen Verfahren zunächst anonymisiert (unter anderem Name, E-Mail-Adresse, Beschreibung, Nachrichten, Anhänge sowie Postleitzahl und Ländercode werden entfernt oder unkenntlich gemacht) und nach einer Karenzzeit von grundsätzlich 30 Tagen endgültig gelöscht. Löschläufe erfolgen kontrolliert, werden dokumentiert freigegeben und revisionssicher protokolliert.

Datenbank-Backups werden täglich erstellt, auf Wiederherstellbarkeit geprüft und nach einer Aufbewahrungszeit von grundsätzlich 14 Tagen automatisch gelöscht.

Betroffene Personen haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Betriebe können ihre Kontostammdaten zusätzlich jederzeit über die Exportfunktion des Kontos in einem gängigen, maschinenlesbaren Format (ZIP) selbst herunterladen; weitere Datenkategorien werden diesem Export hinzugefügt, sobald die jeweilige Funktion aktiviert ist. Nach einer Kündigung stellt der Anbieter den Export noch für einen Übergangszeitraum von 30 Tagen bereit; danach werden die Daten gelöscht oder anonymisiert. Löschersuchen kommen wir nach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 Abs. 3 lit. b DSGVO); rechnungs- und buchführungsrelevante Daten werden in diesem Fall für die Dauer der Aufbewahrungsfrist gesperrt und nur noch eingeschränkt verarbeitet.

Solange ein privater Status-Link gültig ist, können Kunden darüber ohne Konto den Bearbeitungsstand einsehen und erteilte Präferenzen für faire Angebotsvorschläge mit Wirkung für die Zukunft widerrufen. Neue Nachrichten sind bei archivierten Anfragen und während der Kontoschließung für zugeordnete Anfragen nicht möglich. Unabhängige Datenschutzanfragen bleiben über den Datenschutzkontakt möglich, auch nach Ungültigkeit eines Status-Links.

Verarbeitungen auf Grundlage berechtigter Interessen können betroffene Personen aus Gründen ihrer besonderen Situation widersprechen (Art. 21 DSGVO). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die im Impressum genannten Kontaktdaten. Daneben besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, insbesondere im Mitgliedstaat des Wohnorts oder Arbeitsplatzes. Für den Anbieter zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (www.dsb.gv.at). Nutzer in Deutschland können sich auch an die Landesdatenschutzbehörde ihres Bundeslands wenden, Nutzer in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDOEB). Für Nutzer in der Schweiz gelten die Betroffenenrechte des Schweizer Datenschutzgesetzes entsprechend.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um personenbezogene Daten zu schützen. Dazu gehören insbesondere verschlüsselte Übertragung, feldbezogene Verschlüsselung besonders schutzbedürftiger Daten (AES-256-GCM, etwa für Namen, E-Mail-Adressen, Anfragebeschreibungen und Nachrichten), strikte Mandantentrennung auf Datenbankebene, rollenbasierte Zugriffskontrollen, revisionssichere Audit-Protokolle, Ratenbegrenzung gegen automatisierten Missbrauch, automatisierte Schadsoftware-Prüfung von Dateianhängen sowie täglich erstellte und auf Wiederherstellbarkeit geprüfte Datenbank-Backups.

Passwörter werden ausschließlich als kryptografische Hashes gespeichert. Konten können zusätzlich durch eine Zwei-Faktor-Authentifizierung (TOTP) mit Wiederherstellungscodes geschützt werden; besonders sensible Aktionen erfordern eine erneute Passwortbestätigung. Anmeldungen sind durch Sperrmechanismen gegen Brute-Force-Angriffe geschützt.

Diese Datenschutzerklärung wird angepasst, sobald sich die Verarbeitungstätigkeiten, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.