Datenschutzhinweise

1. Überblick

moma-ToDoPilot läuft vollständig auf einem Gerät des Betreibers, zum Beispiel einem Raspberry Pi im eigenen Netzwerk. Alle Daten bleiben auf diesem Gerät. Die Software überträgt keine Daten an moma-webdesign oder an Dritte, enthält keine Analyse-, Werbe- oder Trackingfunktionen und lädt keine Schriften oder Skripte von fremden Servern.

2. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist das Unternehmen oder die Organisation, die moma-ToDoPilot betreibt. Die Kontaktdaten erhalten Sie bei Ihrem Arbeitgeber bzw. beim Betreiber der Installation.

moma-webdesign ist Hersteller der Software und verarbeitet bei einer lokal betriebenen Installation keine personenbezogenen Daten der Anwender. Erhält moma-webdesign im Rahmen von Fernwartung oder Support Zugriff auf eine Installation, ist hierfür eine gesonderte Vereinbarung erforderlich, insbesondere ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

3. Verarbeitete Daten

• Benutzerkonten: Benutzername, Rolle, Aktivstatus, Zeitpunkt von Anlage und Änderung sowie das Passwort als bcrypt-Hash. Das Passwort selbst wird nicht gespeichert.
• Sitzungen: eine zufällige Sitzungskennung (gespeichert nur als Hashwert), Zeitpunkt der Anmeldung und der letzten Aktivität.
• Aufgaben: Titel, Beschreibung, Status, zugewiesene Person sowie Zeitpunkte der Anlage und Erledigung.
• Aufgabenprotokoll: wer eine Aufgabe wann angelegt, übernommen, freigegeben, geändert oder gelöscht hat.
• Schutz vor Passwort-Raten: IP-Adresse und eingegebener Benutzername bei fehlgeschlagenen Anmeldungen. Diese Angaben liegen nur im Arbeitsspeicher und werden nach spätestens 15 Minuten verworfen.
• Technische Protokolle: Start-, Stopp- und Fehlermeldungen im Systemprotokoll des Geräts.

4. Zwecke und Rechtsgrundlagen

Die Daten werden verarbeitet, um Aufgaben im Betrieb zu organisieren, Zuständigkeiten sichtbar zu machen, die Nachvollziehbarkeit von Änderungen zu gewährleisten und das System vor unbefugtem Zugriff zu schützen.

Die Rechtsgrundlage legt der Betreiber fest. In Betracht kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungs- oder Vertragsverhältnisses) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer geordneten Arbeitsorganisation und an der IT-Sicherheit).

5. Kioskanzeige

Die Kioskanzeige zeigt alle offenen Aufgaben mit Titel und dem Benutzernamen der zuständigen Person auf einem Bildschirm, der für Anwesende sichtbar ist. Der Betreiber sollte die Beschäftigten darüber informieren, den Bildschirm so aufstellen, dass ihn nur befugte Personen sehen, und keine vertraulichen Angaben in Aufgabentitel aufnehmen.

6. Cookies und lokale Speicherung im Browser

Nach der Anmeldung setzt moma-ToDoPilot ein Sitzungs-Cookie. Es enthält eine zufällige Kennung, ist für Skripte nicht lesbar (HttpOnly) und wird nur an diese Anwendung gesendet. Zusätzlich wird im Browser ein Merker ohne personenbezogene Daten gespeichert, der anzeigt, dass eine Anmeldung besteht.

Beides ist für die Anmeldung technisch unbedingt erforderlich und bedarf nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Tracking- oder Werbe-Cookies werden nicht verwendet.

7. Weitergabe von Daten

Eine Übermittlung an Dritte oder in Drittländer findet durch die Software nicht statt. Hinterlegt ein Administrator als Logo eine Internetadresse statt einer hochgeladenen Datei, lädt der Browser das Bild von diesem fremden Server. Dabei wird die IP-Adresse des Geräts an dessen Betreiber übertragen. Es wird empfohlen, das Logo hochzuladen.

8. Speicherdauer

• Benutzerkonten, Aufgaben und Aufgabenprotokoll: bis zur Löschung durch einen Administrator. Beim Löschen eines Kontos werden die ihm zugewiesenen Aufgaben freigegeben.
• Sitzungen: bis zur Abmeldung, nach 12 Stunden ohne Aktivität, spätestens nach 7 Tagen, sowie sofort bei Deaktivierung, Löschung oder Passwortänderung des Kontos.
• Fehlgeschlagene Anmeldungen: höchstens 15 Minuten, nur im Arbeitsspeicher.
• Datensicherungen: 14 Tage, danach automatische Löschung.
• Systemprotokoll: nach den Einstellungen des Betriebssystems.

9. Datensicherheit

Zugriffe aus dem Netzwerk erfolgen ausschließlich verschlüsselt über HTTPS. Passwörter werden mit bcrypt gesichert. Rollen trennen die Rechte von Benutzern und Administratoren. Nach wiederholten Fehlversuchen wird die Anmeldung vorübergehend gesperrt. Der Dienst läuft mit eingeschränkten Rechten. Für den Schutz des Geräts, den Zugang zum Netzwerk und die sichere Aufbewahrung von Datensicherungen ist der Betreiber verantwortlich.

10. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Diese Rechte richten sich an den Betreiber der Installation. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

11. Hersteller

moma-webdesign, Inhaber Markus Motz, Oberreutinerweg 33, 88131 Lindau, Deutschland · info@moma-webdesign.de