Datenschutzerklärung

1. Verantwortlicher

Manuel Büttner
MB SmartSystems
Schlesierstraße 19a
64665 Alsbach-Hähnlein
E-Mail: info@mb-smartsystems.de
Telefon: +49 155 60857823

2. Erhobene Daten

Im Rahmen der Nutzung von ToolTrust erheben und verarbeiten wir folgende personenbezogene Daten:

  • E-Mail-Adresse (für Registrierung, Login, Benachrichtigungen)
  • Vor- und Nachname
  • Firmenname
  • Gerätedaten (Bezeichnung, Standort, Prüfintervalle, Normvorgaben)
  • Prüfprotokolle (Prüfergebnis, Prüfer, Datum, Bemerkungen)
  • Technische Zugriffsdaten (IP-Adresse, Browser, Zugriffszeitpunkt)

3. Rechtsgrundlage

Die Verarbeitung Ihrer Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bereitstellung der Daten ist für die Nutzung des Dienstes erforderlich. Ohne diese Daten können wir die vertraglich vereinbarten Leistungen nicht erbringen.

Soweit wir Ihre E-Mail-Adresse für automatische Prüffristen-Erinnerungen verwenden, erfolgt dies ebenfalls auf Grundlage der Vertragserfüllung, da dies ein wesentlicher Bestandteil des Dienstes ist.

4. Hosting

Diese Website wird bei Vercel Inc. gehostet. Die Server befinden sich in der EU (Frankfurt, Deutschland). Vercel verarbeitet Daten im Auftrag und hat sich zur Einhaltung der DSGVO verpflichtet.

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA
Datenschutzerklärung: https://vercel.com/legal/privacy-policy

4a. Server-Logs

Beim Zugriff auf ToolTrust werden automatisch folgende technische Daten verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, User-Agent, HTTP-Statuscode. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb). Server-Logs werden nach 14 Tagen automatisch gelöscht, sofern keine konkreten Anhaltspunkte für einen Angriff vorliegen.

5. Datenbank

Ihre Daten werden in einer Supabase-Datenbank gespeichert. Anbieter ist Supabase Inc. (USA) als technischer Plattform-Anbieter; die Datenhaltung erfolgt in einem EU-Rechenzentrum bei Hetzner in Frankfurt (Deutschland). Die Verbindung ist durchgehend TLS-verschlüsselt. Supabase agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Rechtsgrundlage für den Datentransfer zur US-Muttergesellschaft (z. B. Support, Plattform-Betrieb): EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO, ergänzend EU-US Data Privacy Framework (DPF).

Datenschutzerklärung Supabase: https://supabase.com/privacy

5a. Zahlungsabwicklung (Stripe)

Für die Zahlungsabwicklung kostenpflichtiger Tarife nutzen wir Stripe. Anbieter ist die Stripe Payments Europe, Limited (SPEL), The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland. Beim Abschluss eines kostenpflichtigen Tarifs werden Zahlungsdaten (Name, E-Mail, Rechnungsanschrift, Zahlungsmittel) an Stripe übertragen und von Stripe verarbeitet. Wir selbst speichern keine vollständigen Zahlungsdaten (z. B. Kreditkartennummern).

Stripe kann Daten an seine Muttergesellschaft Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, USA) übermitteln. Stripe ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Ergänzend bestehen EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Details: https://stripe.com/de/privacy

5b. Typenschild-Erkennung (Anthropic Claude Vision)

Für die automatische Erkennung von Typenschildern auf Geräte-Fotos nutzen wir die Vision-KI-API von Anthropic. Wenn Sie im Geräte-Dialog ein Foto hochladen, wird das Bild einmalig an Anthropic übertragen, dort ausgewertet und das Ergebnis (Hersteller, Modell, Seriennummer) an ToolTrust zurückgegeben. Anthropic speichert Bilder laut Vertrag ausschließlich für Abuse-Detection für maximal 30 Tage und nutzt sie nicht für Modell-Training. Details zur Aufbewahrung und Verarbeitung siehe Anthropic Commercial Terms und Data Processing Addendum: anthropic.com/legal/commercial-terms.

Anbieter: Anthropic PBC, 548 Market Street PMB 90375, San Francisco, CA 94104, USA. Anthropic ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Ergänzend bestehen EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da die Typenschild-Erkennung ein ausdrücklich gewählter Service-Teil ist. Die Funktion ist optional — die manuelle Dateneingabe der Geräte-Informationen bleibt jederzeit möglich.

Details: https://www.anthropic.com/legal/privacy

5c. Web-Analyse (Umami, selbst gehostet)

Zur Reichweitenmessung dieser Website setzen wir Umami ein. Umami ist eine Open-Source-Software, die auf unserem eigenen Server (VPS in Nürnberg, Deutschland) läuft. Es werden keine Cookies gesetzt; es werden ausschließlich pseudonyme, aggregierte Daten verarbeitet: aufgerufene Seiten, Herkunfts-Land, Referrer (verweisende Seite), Browser-Typ und Bildschirm-Auflösung.

IP-Adressen werden vor Speicherung durch eine Hash-Funktion anonymisiert und lediglich zur tagesgenauen Deduplizierung genutzt. Eine Wiedererkennung einzelner Nutzer ist durch das Fehlen persistenter Identifier (keine Cookies, gehashte IP) stark eingeschränkt. Eine Datenübertragung an Dritte findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und der Verbesserung der Website). Ein Cookie-Einwilligungsbanner nach TTDSG § 25 ist nicht erforderlich, da keine Cookies oder vergleichbaren Technologien auf Ihrem Endgerät gesetzt werden.

5d. E-Mail-Versand

Für den Versand von Transaktions-E-Mails (z. B. Bestätigungen, Feedback-Antworten, ggf. Prüffristen-Erinnerungen) nutzen wir Google Workspace von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google kann Daten an seine Muttergesellschaft Google LLC in den USA übermitteln. Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Ergänzend bestehen EU-Standardvertrags- klauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Interne System-Benachrichtigungen über neue Registrierungen werden über einen selbst betriebenen Telegram-Bot ausschließlich an den Betreiber gesendet und enthalten keine Nutzer-Inhalte.

Details: https://policies.google.com/privacy

5e. Google Analytics 4 via Google Tag Manager (nur mit Einwilligung)

Auf den öffentlichen Seiten setzen wir nach Ihrer Einwilligung Google Analytics 4 (Mess-ID G-FRG69JHEGQ) ein, eingebunden über den Google Tag Manager (Container GTM-WZGKGRVP). Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erst nach Klick auf „Akzeptieren" im Cookie-Banner werden der Tag Manager und damit Google Analytics geladen und Cookies gesetzt; ohne Einwilligung findet keine Analyse durch Google statt. Die IP-Anonymisierung ist aktiv.

Eine Übermittlung an die Google LLC in den USA kann stattfinden; Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert, ergänzend bestehen EU-Standardvertrags- klauseln (SCC) nach Art. 46 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG (Einwilligung), jederzeit mit Wirkung für die Zukunft widerrufbar. Speicherdauer: 14 Monate. Details: https://policies.google.com/privacy

6. Cookies

ToolTrust verwendet technisch notwendige Session-Cookies für die Authentifizierung. Diese Cookies sind für den Betrieb der Anwendung erforderlich und werden nach Ende der Sitzung gelöscht.

Darüber hinaus werden Analyse-Cookies durch Google Analytics (siehe 5e) ausschließlich nach Ihrer Einwilligung über das Cookie-Banner gesetzt. Ihre Entscheidung wird lokal in Ihrem Browser gespeichert; Sie können sie jederzeit ändern. Die cookielose Reichweitenmessung mit Umami (siehe 5c) erfordert keine Einwilligung.

7. Auftragsverarbeitung

Wir haben mit folgenden Dienstleistern Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen:

  • Supabase Inc. — Datenbank und Authentifizierung
  • Vercel Inc. — Hosting und Bereitstellung der Webanwendung

Eine Übermittlung in Drittländer erfolgt nur mit angemessenen Garantien (EU-US Data Privacy Framework, EU-Standardvertragsklauseln).

AVV für Kunden von ToolTrust: Sofern Sie ToolTrust als Unternehmen einsetzen und dabei personenbezogene Daten Dritter (z. B. Ihrer Mitarbeiter oder Prüfer) erfassen, sind Sie die verantwortliche Stelle und wir agieren als Auftragsverarbeiter. Einen entsprechenden Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO stellen wir kostenfrei zur Verfügung. AVV einsehen oder per E-Mail unter info@mb-smartsystems.de anfordern.

7a. Speicherdauern

  • Account-Daten (E-Mail, Name, Firma): bis zur Löschung des Accounts bzw. 3 Jahre nach letztem Login
  • Geräte-/Prüfprotokolle: gemäß Ihren Kundeneinstellungen, max. 10 Jahre (Compliance mit DGUV)
  • Rechnungsdaten (inkl. Stripe): 10 Jahre gemäß § 147 AO
  • Server-Logs: 14 Tage
  • Session-Cookies: Sitzungsende

Nach Ablauf werden Daten automatisch gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Löschkonzept bei Kündigung: Bei Kündigung Ihres ToolTrust-Accounts werden Ihre Daten innerhalb von 30 Tagen vollständig gelöscht. Eine vorzeitige Löschung auf Ihr Verlangen ist jederzeit möglich (Art. 17 DSGVO).

Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Rechnungsdaten) bleiben unberührt — die davon betroffenen Daten (Rechnungen, Zahlungsinformationen) werden für 10 Jahre revisionssicher archiviert, aber ansonsten nicht weiter verarbeitet.

Prüffristen-Protokolle können Sie auf Anfrage jederzeit als PDF-Archiv exportieren, bevor die Daten gelöscht werden.

7b. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen für eine Bestellpflicht nach § 38 Abs. 1 BDSG liegen nicht vor (weniger als 20 mit der automatisierten Datenverarbeitung befasste Personen, keine Verarbeitung besonderer Kategorien nach Art. 9 DSGVO, keine umfangreiche Überwachung).

7c. Übersicht Subprozessoren

Zum Zeitpunkt dieser Datenschutzerklärung sind folgende Subprozessoren eingesetzt:

DienstZweckStandortRechtsgrundlage
Vercel Inc.Hosting Frontend/APIEU (Frankfurt) + US (DPF/SCC)Art. 28 DSGVO
Supabase Inc.Datenbank, Auth, StorageHetzner Frankfurt (EU)Art. 28 DSGVO
Anthropic PBCTypenschild-Erkennung (optional)US (DPF/SCC)Art. 28 DSGVO
Stripe Payments Europe Ltd.ZahlungsabwicklungEU (IE) + US-Mutter (DPF/SCC)Art. 28 DSGVO
Google Ireland Limited (Workspace)Transaktions-E-MailsEU (IE) + US-Mutter (DPF/SCC)Art. 28 DSGVO
Umami (Self-Hosted)Web-AnalyseEU (eigener VPS Nürnberg)Keine Subprozessor-Weitergabe
Google Ireland LimitedGoogle Analytics 4 / Tag Manager (nur mit Einwilligung)EU (IE) + US-Mutter (DPF/SCC)Art. 6 Abs. 1 lit. a DSGVO

Änderungen an dieser Liste (Hinzufügen oder Ersetzen) werden im Datenschutz-Dokument mit aktualisiertem Stand-Datum dokumentiert. Im Rahmen eines aktiven Auftragsverarbeitungs- Vertrags werden Sie vorab benachrichtigt (siehe AVV § 6).

8. Technische und organisatorische Maßnahmen (TOM)

Wir treffen folgende Maßnahmen zum Schutz Ihrer Daten:

  • Zugangskontrolle: Zugriff auf Systeme nur mit Passwort und optional Zwei-Faktor-Authentifizierung. Passwörter werden mit bcrypt gehasht.
  • Zugriffskontrolle: Daten einzelner Kunden sind in Supabase durch Row-Level-Security-Policies (RLS) voneinander getrennt. Ein Zugriff auf fremde Daten ist durch diese Policies verhindert; der Einsatz privilegierter Service-Role-Schlüssel ist auf wenige, klar abgegrenzte Server-Routen beschränkt.
  • Weitergabekontrolle:Alle Verbindungen (Browser – Server, Server – Datenbank, Server – Subprozessoren) sind TLS-verschlüsselt (TLS 1.2 oder höher). Daten „at rest“ werden von Supabase in Standard-Konfiguration verschlüsselt.
  • Eingabekontrolle: Supabase führt ein detailliertes Audit-Log aller schreibenden Datenzugriffe.
  • Auftragskontrolle: Mit allen Subprozessoren bestehen schriftliche Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO.
  • Verfügbarkeitskontrolle: Supabase stellt Point-in-Time-Recovery bereit (Standardbereich 7 Tage je Plan). Vercel liefert nach dem Pro-Plan-SLA eine Verfügbarkeitszusage; Einzelheiten siehe vercel.com/legal.
  • Trennungskontrolle: Multi-Mandant-Architektur — jedes Unternehmen hat einen eigenen Datenraum ohne Überlapp.
  • Widerstandsfähigkeit: Automatisches Failover bei Ausfall; Monitoring-Benachrichtigungen an den Betreiber via Telegram. Regelmäßige Sicherheitsupdates der verwendeten Komponenten.

Eine ausführliche TOM-Beschreibung stellen wir Ihnen auf Anfrage als PDF zur Verfügung (info@mb-smartsystems.de).

9. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO) — Welche Daten wir über Sie speichern
  • Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
  • Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten
  • Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
  • Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten
  • Widerspruch (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an info@mb-smartsystems.de.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 3163
65021 Wiesbaden
Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de

11. Kontakt für Datenschutzanfragen

Bei Fragen zum Datenschutz erreichen Sie uns unter:

Manuel Büttner
MB SmartSystems
E-Mail: info@mb-smartsystems.de
Telefon: +49 155 60857823

Stand: Mai 2026, Version 1.2