Datenschutzerklärung

1. Verantwortlicher

1.1Verantwortlich für die Verarbeitung ist die Keppler IT-Systems GmbH, Westerstr. 114–116, 28199 Bremen, vertreten durch den Geschäftsführer Tobias Keppler. Sie erreichen uns unter info@keppler.de und +49 421 59630721; weitere Angaben stehen im Impressum.

1.2CAE42 ist das CRM- und ERP-Portal der Keppler IT-Systems GmbH. Unser Geschäftsbereich CloudFaktor betreibt darüber sein Kundenportal; die Anmeldung auf cloudfaktor.de/portal führt in dieses Portal.

1.3Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte mit dem Stichwort „Datenschutz“ an die obige Anschrift oder an info@keppler.de.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

2.1CAE42 ist mandantenfähig: Jede Firma, die das Portal nutzt, arbeitet in einem eigenen, von den anderen getrennten Datenraum (Mandant). Diese Erklärung beschreibt deshalb zwei verschiedene Dinge.

2.2Für die Daten, die beim Aufruf des Portals und beim Führen eines Zugangs anfallen - Zugangsdaten, Anmeldung, Sicherheitsprotokolle - sowie für die Vertrags- und Rechnungsdaten unserer eigenen Kunden sind wir Verantwortlicher. Dafür gilt diese Erklärung unmittelbar.

2.3Für die Daten, die ein Mandant in seinem Datenraum verarbeitet - seine Geschäftspartner und Kontakte, Angebote und Rechnungen, Personal- und Zeitdaten, Unterlagen, Nachrichten und Postfächer -, ist der Mandant Verantwortlicher und wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Wir verarbeiten diese Daten ausschließlich, um das Portal zu betreiben, und niemals zu eigenen Zwecken. Die Einzelheiten regelt die Vereinbarung zur Auftragsverarbeitung.

2.4Wenn Sie als Beschäftigte, freie Mitarbeiterin, Kundin oder Kontaktperson eines Mandanten wissen möchten, welche Daten über Sie im Portal liegen, wenden Sie sich bitte an diesen Mandanten. Wir dürfen darüber nur auf dessen Weisung Auskunft geben und leiten solche Anfragen unverzüglich weiter.

3. Aufruf des Portals

3.1Beim Aufruf des Portals überträgt Ihr Browser Daten, die der Webserver protokolliert: IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, Statuscode, übertragene Datenmenge, verweisende Seite und Browserkennung.

3.2Zweck ist der Betrieb, die Fehlersuche und die Abwehr von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

3.3Diese Protokolle werden täglich gewechselt und nach 14 Tagen gelöscht. Sie werden nicht mit anderen Daten zusammengeführt.

4. Cookies und lokale Speicherung

4.1Sitzungskennung - ein technisch notwendiges Cookie, das eine Anmeldung über mehrere Seitenaufrufe hinweg trägt und das Anmeldeformular gegen Fälschung schützt. Es enthält keine Inhalte, ist auf dieses Portal beschränkt (SameSite=Lax), wird nur verschlüsselt übertragen und verfällt, sobald Sie den Browser schließen; auf dem Server endet eine unbenutzte Sitzung nach acht Stunden.

4.2Hell-/Dunkel-Einstellung - das Cookie „cae42_theme“ und ein gleichnamiger Eintrag im Speicher Ihres Browsers (localStorage) enthalten nur das Wort „light“ oder „dark“, damit die Seite gleich in der richtigen Darstellung erscheint. Das Cookie gilt ein Jahr, im eingebetteten Anmeldedialog auf cloudfaktor.de fünf Minuten. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

4.3Es werden keine Analyse-, Werbe- oder Fremd-Cookies gesetzt. Das Portal lädt weder Schriftarten noch Skripte, Karten oder Zählpixel von fremden Servern. Eine Einwilligungsabfrage ist deshalb nicht nötig.

5. Zugang und Anmeldung

5.1Für einen Zugang verarbeiten wir: E-Mail-Adresse, Anzeigename, Mobilnummer (sofern angegeben), einen Streuwert des Kennworts (nicht das Kennwort selbst), Rollen und Berechtigungen, den Mandanten sowie den Zeitpunkt der letzten Anmeldung. Zweck ist die Bereitstellung des Zugangs (Art. 6 Abs. 1 lit. b DSGVO).

5.2Für die Zwei-Faktor-Anmeldung senden wir einen Einmalcode per E-Mail oder SMS; Codes und Wiederherstellungscodes speichern wir nur als Streuwert. Melden Sie sich mit einem Passkey an, speichern wir nur dessen öffentlichen Schlüssel und eine von Ihnen vergebene Bezeichnung - der geheime Schlüssel verlässt Ihr Gerät nicht.

5.3Beim Zurücksetzen des Kennworts erzeugen wir einen Link, der 60 Minuten gilt, und gegebenenfalls einen SMS-Code, der 10 Minuten gilt.

5.4Zum Schutz vor dem Durchprobieren von Kennwörtern zählt der eingebettete Anmeldedialog Fehlversuche je IP-Adresse; nach zehn Fehlversuchen in 15 Minuten wird die Adresse vorübergehend abgewiesen (Art. 6 Abs. 1 lit. f DSGVO).

6. Registrierung und Einladungen

6.1Freie Mitarbeiter können sich ohne Einladung registrieren. Dafür erheben wir Vorname, Nachname und E-Mail-Adresse und senden einen Bestätigungslink (Double-Opt-In); erst nach der Bestätigung entsteht ein Zugang. Rechtsgrundlage ist Ihre Einwilligung bzw. die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. a und b DSGVO). Ob für eine E-Mail-Adresse schon ein Zugang besteht, verrät das Formular nicht.

6.2Kunden, Mitarbeiter und Steuerberater erhalten von einem Mandanten eine Einladung mit einem persönlichen Link. Die Angaben, die Sie bei der Registrierung machen, verarbeitet dieser Mandant als Verantwortlicher.

7. Daten in den Mandanten

7.1Je nach den freigeschalteten Bereichen verarbeiten Mandanten im Portal: Geschäftspartner und Kontaktpersonen mit Kontaktdaten und Notizen; Angebote, Aufträge, Rechnungen, Zahlungen und Mahnungen; Projekte, Aufgaben und Termine; Personalstammdaten, Arbeitszeiten und Abwesenheiten; Daten freier Mitarbeiter wie Sätze, Fähigkeiten, Verfügbarkeit, Bankverbindung, Verträge und Einsätze; Dokumente und Nachrichten.

7.2Zu den Abwesenheiten gehört die Art „Krankheit“. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; sie sind nur der Personalverwaltung und der Geschäftsleitung des Mandanten zugänglich. Die Rechtsgrundlage (in der Regel § 26 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO) dokumentiert der Mandant.

7.3Für all diese Daten ist der jeweilige Mandant verantwortlich (Ziffer 2). Wir sehen sie nur ein, soweit der Mandant uns um Unterstützung bittet oder Wartung und Fehlerbehebung es im Einzelfall erfordern.

8. Besondere Funktionen

8.1Unterlagen-Import mit KI. Lädt ein Mandant Visitenkarten, Broschüren oder Notizen als Bild oder PDF hoch, liest ein Sprachmodell (Amazon Nova Pro über Amazon Bedrock) die Angaben aus und schlägt Kontakte vor. Die Auswertung läuft in der AWS European Sovereign Cloud in Deutschland; die Daten werden dort nicht zum Training verwendet. Übernommen wird erst, was ein Mensch in der Prüfmaske bestätigt hat.

8.2Postfach-Anbindung. Ein Mandant kann E-Mail-Postfächer anbinden. Das Portal liest sie nur, verändert dort nichts und legt die Nachrichten mit Anhängen in einem durchsuchbaren Archiv des Mandanten ab. Damit gelangen auch Nachrichten Dritter ins Portal; als vertraulich markierte Postfächer sehen nur ihr Inhaber und die Geschäftsleitung.

8.3Prüfung der Umsatzsteuer-Identifikationsnummer. Wird eine USt-IdNr erfasst, fragen wir ihre Gültigkeit beim Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission ab. Übermittelt werden nur die Nummer und das Länderkennzeichen.

8.4Kalender-Abo. Termine lassen sich über einen persönlichen, geheimen Link in andere Kalenderprogramme übernehmen. Wer den Link kennt, sieht die Termine; er kann im Portal jederzeit erneuert werden.

8.5Kopplung mit vNOC42. IT-Häuser, die ihre Kunden in vNOC42 betreuen, können diese Betreuung über CAE42 abrechnen. Dafür übernimmt CAE42 aus vNOC42 die Kunden, die betreuten Systeme und den Abrechnungszeitraum.

9. Nachrichten und Benachrichtigungen

9.1Das Portal versendet E-Mails (Einladungen, Kennwort-Links, Anmeldecodes, Nachrichten, Erinnerungen) und auf Wunsch SMS. Dafür speichern wir Empfänger, Betreff, Inhalt, Zeitpunkt und Zustellergebnis.

9.2Zweck ist die Zustellung und ihr Nachweis (Art. 6 Abs. 1 lit. b DSGVO; bei Nachrichten des Mandanten ist er Verantwortlicher).

10. Empfänger und Auftragsverarbeiter

10.1Wir geben Daten nur weiter, soweit es für den Betrieb erforderlich ist oder eine gesetzliche Pflicht besteht. Eine Weitergabe zu Werbezwecken findet nicht statt, und wir verkaufen keine Daten.

10.2Amazon Web Services - Server, Datenbank, Datensicherung und der KI-Dienst Amazon Bedrock laufen in der AWS European Sovereign Cloud, Region Brandenburg (Deutschland); E-Mails versenden wir über Amazon SES in der Region Frankfurt (Deutschland).

10.3sms4.de - Versand von SMS (Anmeldecodes, Kennwort-Codes, Nachrichten) über einen Anbieter in Deutschland.

10.4Anthropic - Bei Wartungs- und Supportarbeiten am Portal setzen wir den KI-Assistenten Claude ein. Dabei können im Einzelfall auch personenbezogene Daten aus dem Portal an Anthropic in den USA übermittelt werden. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO); Anthropic verwendet diese Daten nicht zum Training seiner Modelle.

10.5Eine Übermittlung in Länder außerhalb der Europäischen Union findet außer im vorstehend genannten Fall nicht statt. Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung; die vollständige Liste steht in der Vereinbarung zur Auftragsverarbeitung.

11. Speicherdauer

11.1Webserver-Protokolle - 14 Tage.

11.2Protokolle zu Dokumentabrufen und Bestätigungen - IP-Adresse und Browserkennung 90 Tage, danach entfernt ein täglicher Löschlauf sie; Anmeldecodes 30 Tage.

11.3Sitzungscookie - bis zum Schließen des Browsers; Hell-/Dunkel-Cookie - ein Jahr.

11.4Zugangs- und Mandantendaten - für die Dauer des Vertragsverhältnisses. Danach werden sie gelöscht, wie in der Vereinbarung zur Auftragsverarbeitung beschrieben. Konten freier Mitarbeiter werden auf Wunsch gelöscht oder, wenn Belege aufbewahrt werden müssen, anonymisiert und gesperrt; jede solche Löschung wird protokolliert.

11.5Rechnungen und Buchungsbelege - acht Jahre, Handels- und Geschäftsbriefe sechs Jahre nach Ablauf des Kalenderjahres, in dem sie entstanden sind (§ 147 AO, § 257 HGB in der seit 2025 geltenden Fassung).

11.6Datensicherungen - verschlüsselt, 14 Tage auf dem Server und 90 Tage in einem Speicher in Deutschland; dort verschwinden die letzten Reste nach weiteren 30 Tagen.

12. Ihre Rechte

12.1Sie haben das Recht auf Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20).

12.2Sie können einer Verarbeitung, die wir auf ein berechtigtes Interesse stützen, jederzeit widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

12.3Betrifft Ihre Anfrage Daten in einem Mandanten, ist Ihr Ansprechpartner dieser Mandant - siehe Ziffer 2.

12.4Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Arndtstraße 1, 27570 Bremerhaven.

13. Sicherheit

13.1Der Zugriff auf das Portal erfolgt ausschließlich verschlüsselt (TLS). Kennwörter speichern wir nur als Streuwert mit modernem Verfahren; besonders schutzbedürftige Feldwerte liegen zusätzlich verschlüsselt in der Datenbank. Datensicherungen sind verschlüsselt.

13.2Die Mandanten sind getrennt: Jede Abfrage ist auf den Mandanten des angemeldeten Zugangs begrenzt. Innerhalb eines Mandanten steuern Rollen, wer welche Bereiche sieht. Mandanten können die Zwei-Faktor-Anmeldung vorschreiben und den Zugang auf bestimmte IP-Bereiche beschränken.

14. Änderungen dieser Erklärung

14.1Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben nennt den Stand.