Datenschutzerklärung

Kurz zusammengefasst

Die wichtigsten Punkte in einfacher Sprache:

• Auf der Website brauchst du kein Konto. Wir setzen dort keine Werbe- oder Tracking-Cookies ein und erstellen keine Profile.
• In Simplework verarbeiten wir die Daten, die du und dein Betrieb eingeben – Konto, Kunden, Angebote, Rechnungen, Belege, Zeiten, Baustellen.
• Für die Daten, die ein Betrieb oder eine Schule über Kunden, Mitarbeitende oder Schüler eingibt, ist der Betrieb bzw. die Schule verantwortlich. Wir verarbeiten sie nur in deren Auftrag.
• Daten liegen auf Servern von DigitalOcean. Zusatzfunktionen wie Bankanbindung, Belegerkennung, KI-Assistenten oder Backups in eigene Speicher laufen nur, wenn du oder dein Betrieb sie nutzt.
• Der KI-Assistent in Simplework (Vorschläge für Bankumsätze, Belege und Tagesberichte sowie Angebotsentwürfe aus Beschreibung und Fotos) läuft nur, wenn der Betrieb ausdrücklich zugestimmt hat.
• Gründe von Abwesenheiten (z. B. Krankheit) sehen nur Inhaber und Admins des Betriebs sowie die betroffene Person selbst.
• Du kannst dein Konto jederzeit selbst löschen. Belege, die das Steuerrecht aufzubewahren verlangt, bleiben bis zum Ablauf der Frist gesperrt gespeichert.

Alle Details findest du in den folgenden Abschnitten.

1. Wer wir sind (Verantwortlicher)

Verantwortlich für die Datenverarbeitung auf dieser Website und für dein Simplework-Konto ist:

Wudio GmbH
Platz der Vereinten Nationen 6
10249 Berlin
E-Mail: hello@simplework.app

Das vollständige Impressum findest du hier: Impressum

Wann wir im Auftrag handeln

Betriebe und Schulen nutzen Simplework, um eigene Daten zu verwalten – etwa Kunden, Mitarbeitende, Schülerinnen und Schüler. Für diese Daten ist der jeweilige Betrieb bzw. die Schule verantwortlich. Wir verarbeiten sie als Auftragsverarbeiter nach Art. 28 DSGVO nur nach deren Weisung; die Einzelheiten regelt unser Auftragsverarbeitungsvertrag (AVV). Wenn du als Kunde eines Betriebs, als Mitarbeiter oder als Schüler Fragen zu diesen Daten hast, wende dich bitte zuerst an den Betrieb bzw. die Schule.

2. Website simplework.de

Auf der Website verarbeiten wir nur wenige Daten. Ein Konto brauchst du hier nicht.

2.1 Technische Daten beim Seitenaufruf

Wenn du unsere Website aufrufst, verarbeitet unser Server automatisch technische Verbindungsdaten, damit die Seite ausgeliefert werden kann. Dazu können gehören:

• Datum und Uhrzeit des Aufrufs
• IP-Adresse (gekürzt oder vollständig, je nach Server-Konfiguration)
• aufgerufene Seite oder Datei
• Browsertyp und Betriebssystem (User-Agent)

Diese Daten werden nicht genutzt, um dich zu identifizieren oder Profile über dein Surfverhalten zu erstellen. Wir werten Seitenaufrufe nur zusammengefasst aus (z. B. welche Seiten wie oft aufgerufen werden). Server-Logdateien werden nach kurzer Zeit automatisch gelöscht.

2.2 Reichweitenmessung

Um zu verstehen, wie Besucher auf unsere Website kommen, nutzen wir eine eigene Reichweitenmessung auf unserem Server statistics.wudio.com. Bei jedem Seitenaufruf sendet dein Browser dorthin die Seite, von der du gekommen bist (Referrer), und – falls im Link enthalten – Kampagnen-Angaben (UTM-Parameter). Dabei ist technisch bedingt auch deine IP-Adresse sichtbar. Wir setzen dafür keine Cookies, speichern nichts in deinem Browser, erkennen dich bei späteren Besuchen nicht wieder und werten die Daten nur zusammengefasst aus. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Website und unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, etwa indem du das Skript mit einem Content-Blocker unterbindest.

2.3 Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, dein Anliegen und deine Nachricht. Damit niemand Anfragen in deinem Namen stellt, senden wir dir zuerst einen Bestätigungslink. Unbestätigte Anfragen löschen wir nach 24 Stunden. Erst nach deiner Bestätigung leiten wir die Anfrage an unser Team weiter und bearbeiten sie. Damit du siehst, was du gesendet hast, zeigen wir deine Anfrage in diesem Browser-Tab noch an – gespeichert im sessionStorage, höchstens 24 Stunden und bis du den Tab schließt.

2.4 Blog und Videos

Kommentare im Blog sind öffentlich sichtbar – mit deinem Namen (oder deinem Spitznamen) und deinem Profilbild. Videos betten wir über youtube-nocookie.com erst ein, wenn du sie anklickst; deine Entscheidung merken wir uns lokal in deinem Browser. Die Vorschaubilder laden wir über unseren eigenen Server; Google erhält erst dann Daten von dir, wenn du ein Video startest.

2.5 Darstellung

Deine Wahl zwischen hellem und dunklem Design speichern wir im Cookie „theme“ (bis zu 365 Tage) und im localStorage deines Browsers. Das ist keine personenbezogene Auswertung, sondern nur deine Einstellung.

3. Simplework: Konto und Anmeldung

3.1 Kontodaten

Für dein Konto verarbeiten wir Vor- und Nachname, E-Mail-Adresse, optional Spitzname und Profilbild sowie deine Einstellungen (Sprache, Design, Benachrichtigungen).

3.2 Anmeldung

Du meldest dich mit einem Code per E-Mail an, optional mit Passwort, Passkey oder über Google bzw. Microsoft:

• Passwörter speichern wir nur als sicheren Hash, nie im Klartext.
• Bei Passkeys speichern wir nur den öffentlichen Schlüssel; der private Schlüssel bleibt auf deinem Gerät.
• Bei der Anmeldung über Google oder Microsoft erhalten wir von dort deinen Namen, deine E-Mail-Adresse und eine Kennung deines Kontos. Wir übernehmen nur E-Mail-Adressen, die der Anbieter als bestätigt meldet.
• Für die Sicherheit speichern wir zu jeder Anmeldesitzung IP-Adresse und Browser bzw. Gerät.

3.3 Zahlung

Buchst du einen kostenpflichtigen Tarif, wickeln wir die Zahlung über Stripe ab (Stripe Payments Europe, Ltd., Irland). Stripe erhält dafür Firmenname, E-Mail-Adresse, Rechnungsadresse, ggf. USt-IdNr. und deine Zahlungsdaten. Zahlungsdaten wie Kartennummern gibst du direkt bei Stripe ein; wir sehen sie nicht.

3.4 E-Mails

Login-Codes, Einladungen, Benachrichtigungen und Angebote bzw. Rechnungen, die du an deine Kunden schickst, versenden wir über Mailjet (Sinch, Frankreich). Mailjet erhält dafür Empfänger, Betreff, Inhalt und Anhänge der E-Mail.

4. Simplework: Daten deines Betriebs

Diese Daten gibt der Betrieb ein und ist dafür verantwortlich (siehe Abschnitt 1). Wir verarbeiten sie, um die jeweilige Funktion bereitzustellen.

4.1 Geschäftsdaten

• Firmendaten, Logo und Mitglieder des Workspaces mit ihren Rollen
• Kunden und Lieferanten mit Kontaktdaten
• Angebote, Rechnungen, Mahnungen und Eingangsrechnungen mit den zugehörigen Dateien
• Baustellen und Projekte mit Notizen, Fotos, Anhängen, Checklisten und Rapporten – bei Rapporten auch Name und Unterschrift der unterschreibenden Person
• Material- und Leistungskataloge

4.2 Zeiten, Abwesenheiten und Personal

• Arbeitszeiten mit Projekt, Dauer und optional Fotos
• Abwesenheiten wie Urlaub, Krankheit, Elternzeit oder Sonderurlaub. Den Grund einer Abwesenheit sehen nur Inhaber und Admins des Betriebs und die betroffene Person selbst; Kolleginnen und Kollegen sehen nur, dass jemand abwesend ist.
• Personaldaten, sofern der Betrieb sie pflegt: z. B. Anschrift, Geburtsdatum, Personalnummer, Ein- und Austritt, Krankenkasse, Steuer-ID, Sozialversicherungsnummer, Bankverbindung, Arbeitszeit und Gehalt, Lohnabrechnungen und Personaldokumente

Angaben zu Krankheit sind Gesundheitsdaten. Der Betrieb verarbeitet sie im Rahmen seiner Pflichten als Arbeitgeber (Art. 9 Abs. 2 lit. b DSGVO); wir handeln dabei nur in seinem Auftrag.

4.3 Belegerkennung

Lädt der Betrieb eine Eingangsrechnung hoch, lassen wir die Datei automatisch und unabhängig von der Zustimmung zum KI-Assistenten von Microsoft Azure AI Document Intelligence auslesen, um Rechnungsnummer, Beträge und Lieferant vorzuschlagen. Microsoft verarbeitet dafür die Belegdatei (höchstens die ersten Seiten) in unserem Auftrag. E-Rechnungen (XRechnung, ZUGFeRD) lesen wir selbst aus. Kann Microsoft einen Beleg nicht auslesen und hat der Betrieb dem KI-Assistenten zugestimmt, übernimmt das der KI-Assistent (siehe 4.9). In Schul- und Prüfungs-Workspaces findet keine Belegerkennung statt. Jeder Betrieb kann außerdem Belege an eine eigene Eingangsadresse schicken oder weiterleiten. Diese Mails nimmt Mailjet (Sinch, Frankreich) in unserem Auftrag an und übergibt sie uns. Wir übernehmen nur die Anhänge als Belege und speichern Absender, Betreff und Ergebnis zur Nachvollziehbarkeit, nicht den Text der Mail. Hat der Betrieb erlaubte Absender festgelegt, halten wir Anhänge anderer Absender bis zu seiner Entscheidung zurück und löschen sie spätestens nach 30 Tagen.

4.4 Bankanbindung

Verbindet der Betrieb ein Bankkonto, rufen wir Kontoumsätze über die finAPI GmbH (München) ab – beim ersten Abruf bis zu 365 Tage rückwirkend. Deine Bank-Zugangsdaten gibst du direkt bei finAPI ein; wir erhalten sie nicht. Die Umsätze nutzen wir, um Zahlungen Rechnungen zuzuordnen. Um die automatische Kategorisierung zu verbessern, werten wir außerdem die Namen von Zahlungsempfängern und -absendern betriebsübergreifend aus; daraus entstehen allgemeine Zuordnungsregeln, keine Profile einzelner Personen.

4.5 Großhändler (IDS Connect)

Bestellt der Betrieb über IDS Connect bei einem Großhändler (z. B. Brillux), meldet sich der Browser direkt beim Shop des Großhändlers an. Kundennummer und Shop-Zugangsdaten gehen dabei an den Großhändler, nicht an uns. Den fertigen Warenkorb erhalten wir zurück, um ihn dem Projekt zuzuordnen.

4.6 Datenübernahme

Für den Umzug aus einer anderen Software kann der Betrieb Dateien hochladen. Unser Team lädt sie herunter und überträgt die Daten in den Workspace. Eine automatische Auswertung durch KI oder andere Dienste findet dabei nicht statt. Die hochgeladenen Dateien löschen wir 30 Tage, nachdem die Übertragung abgeschlossen ist.

4.7 Backups

Der Inhaber eines Betriebs kann Backups herunterladen oder automatisch in einen eigenen Speicher sichern lassen – etwa Google Drive, Microsoft OneDrive, Dropbox, Amazon S3, Azure oder einen anderen S3-kompatiblen Anbieter. Backups in eigene Speicher verschlüsseln wir vorher mit einem Schlüssel, den nur der Betrieb kennt. Herunterladbare Backups löschen wir nach 90 Tagen.

4.8 Steuerberater

Lädt ein Betrieb seine Steuerberatung ein, erhält diese Zugriff auf Belege, Exporte und Lohndaten des Betriebs.

4.9 KI-Assistent in Simplework

Wenn der Betrieb in den Workspace-Einstellungen zugestimmt hat, ergänzt Simplework seine festen Regeln mit einem KI-Modell von Anthropic (Claude) und erstellt auf Wunsch Angebotsentwürfe. Ohne Zustimmung, in Schul-Workspaces und wenn das Monatskontingent des Pakets aufgebraucht ist, findet keine Übermittlung statt. Die KI macht nur Vorschläge, gebucht oder versendet wird nichts automatisch. Übermittelt werden nur die Angaben, die für die jeweilige Aufgabe nötig sind:

• Bankumsätze ohne Rechnung: Empfängername, Verwendungszweck und Betrag – keine IBAN und keine Kontodaten –, um eine Ausgabenkategorie vorzuschlagen.
• Eingangsrechnungen: die Belegdatei, wenn Microsoft sie nicht auslesen konnte. Zum Vorschlagen von Projekt und Art der Ausgabe außerdem Lieferant, Rechnungspositionen, Angaben zur Baustelle sowie Titel, Kunde und Adresse der laufenden Projekte des Betriebs.
• Tagesberichte: der Text des Berichts (Arbeiten, Notizen, gemeldetes Problem) – keine Namen und keine Fotos –, um eine kurze Einschätzung für den Posteingang zu erstellen. Auf Klick bei einer Schlussrechnung außerdem die Texte aller Tagesberichte des Projekts mit Datum, die Positionen und Mengen aus Angebot und Nachträgen (ohne Preise) und passende Leistungen aus dem Katalog, um mögliche Zusatzarbeiten vorzuschlagen.
• Angebotsentwürfe: die Beschreibung der Baustelle, die ein Nutzer dafür eingibt, auf Wunsch bis zu 10 Fotos der Baustelle und bis zu 50 dazu passende Einträge aus dem Leistungs- und Materialkatalog des Betriebs (Bezeichnung, Einheit, Beschreibung) sowie Abschnitte, Positionen und Mengen von bis zu drei ähnlichen angenommenen Angeboten des Betriebs – keine Preise und keine Kundendaten aus Simplework. Die Fotos verkleinern wir vorher und entfernen dabei Metadaten wie den Aufnahmeort; wir speichern sie nicht. Die Übermittlung startet nur auf Klick. Namen oder Adressen von Kunden muss die Beschreibung nicht enthalten, Personen sollten auf den Fotos nicht zu sehen sein.

Anthropic verarbeitet die Daten als Unterauftragsverarbeiter in unserem Auftrag, nutzt sie nicht zum Training von KI-Modellen und speichert sie nur so lange, wie es für die Bereitstellung und die Erkennung von Missbrauch nötig ist. Die Vorschläge speichern wir beim jeweiligen Umsatz, Beleg oder Bericht in Simplework. Der Betrieb kann seine Zustimmung jederzeit in den Workspace-Einstellungen zurücknehmen; danach werden keine Daten mehr übermittelt.

5. Simplework: KI-Assistenten

Du kannst Simplework mit einem KI-Assistenten verbinden, z. B. ChatGPT, Claude, Perplexity oder Grok. Das geschieht nur, wenn du die Verbindung selbst freigibst. Der Assistent erhält dann über die freigegebenen Werkzeuge Daten deines Betriebs, etwa Kontakte, Angebote, Rechnungen, Projekte oder Zeiten – je nach deiner Rolle. Für die Verarbeitung beim Anbieter des Assistenten gelten dessen Datenschutzbestimmungen. Rechnungen und Mahnungen versendet ein Assistent nur, wenn du das freigegeben hast und den Versand im Gespräch ausdrücklich bestätigst. Eine Verbindung endet spätestens nach 90 Tagen und lässt sich jederzeit in den Einstellungen trennen.

6. Simplework für Schulen

Schulen nutzen Simplework für den Unterricht. Dabei verarbeiten wir im Auftrag der Schule Schulen, Klassen, Lehrkräfte und Schüler mit Namen und E-Mail-Adresse sowie Aufgaben, Abgaben, Prüfungen und Bewertungen. Für Prüfungen protokollieren wir, wann eine Prüfung geöffnet, abgegeben, verlängert und bewertet wurde. Bewertungen sehen Schülerinnen und Schüler erst, wenn die Lehrkraft sie freigibt.

7. Mobile-App

Die App für iOS und Android greift nur auf das zu, was du freigibst:

• Kamera und Fotos – um Baustellen- und Belegfotos aufzunehmen oder auszuwählen. Standortdaten aus Fotos lesen wir nicht aus; beim Speichern erzeugen wir das Bild neu, ohne Metadaten.
• Keine Standortabfrage, keine Push-Benachrichtigungen, kein Tracking.

Damit die App auch ohne Netz funktioniert, speichert sie deine Anmeldung sicher im Schlüsselbund des Geräts sowie Projekte und noch nicht übertragene Einträge und Fotos lokal auf dem Gerät.

8. Rechtsgrundlagen

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Konto, Anmeldung, alle Funktionen von Simplework, Zahlung und Support
• Rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen und Belegen nach Handels- und Steuerrecht
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): sicherer Betrieb, Schutz vor Missbrauch, Server-Logs, Auswertung der Seitenaufrufe ohne Profile, Verbesserung der Kategorisierung von Bankumsätzen, Bearbeitung von Kontaktanfragen
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Einbetten von YouTube-Videos nach deinem Klick
• Auftragsverarbeitung (Art. 28 DSGVO): Daten, die Betriebe und Schulen über ihre Kunden, Mitarbeitenden und Schüler eingeben – einschließlich des KI-Assistenten, den der Betrieb als Verantwortlicher freischaltet

9. Dienstleister und Übermittlung in Drittländer

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten nur in unserem Auftrag verarbeiten:

• DigitalOcean, LLC – Server, Datenbank und Dateispeicher (Rechenzentren in der EU)
• Mailjet (Sinch) – Versand von E-Mails und Empfang von Belegen per E-Mail
• Stripe – Zahlungsabwicklung
• finAPI GmbH – Bankanbindung, nur wenn aktiviert
• Microsoft (Azure AI Document Intelligence) – Belegerkennung
• Anthropic – KI-Assistent und Angebotsentwürfe, nur mit Zustimmung des Betriebs
• Google und Microsoft – Anmeldung, nur wenn du sie wählst

Einige dieser Anbieter haben ihren Sitz in den USA. Soweit Daten dorthin gelangen, stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) oder auf EU-Standardvertragsklauseln.

10. Speicherdauer

• Kontodaten: bis du dein Konto löschst
• Daten eines Betriebs: bis der Betrieb sie löscht oder den Workspace auflöst
• Rechnungen und Belege: 8 Jahre ab Ende des Kalenderjahres (§ 147 AO), auch nach Löschung des Workspaces – in dieser Zeit gesperrt und danach automatisch gelöscht
• Anmeldesitzungen: bis zu 30 Tage; Login-Codes: 5 Minuten
• Dateien aus der Datenübernahme: 30 Tage; herunterladbare Backups: 90 Tage
• Unbestätigte Kontaktanfragen: 24 Stunden
• Server-Logs: wenige Tage bis wenige Wochen, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert

11. Cookies und lokale Speicherung

Wir setzen nur technisch notwendige Cookies ein – keine Werbe- oder Tracking-Cookies.

• „refreshToken“ – hält dich angemeldet (bis zu 30 Tage)
• „connect.sid“ – merkt sich während der Anmeldung deine E-Mail-Adresse (24 Stunden)
• „theme“ – helles oder dunkles Design (bis zu 365 Tage)
• „backup_oauth“ – nur beim Verbinden eines Backup-Speichers (10 Minuten)

Im localStorage deines Browsers speichern wir Einstellungen wie Sprache und Design sowie – damit die Anmeldung schneller geht – die zuletzt genutzte Anmeldung mit E-Mail-Adresse, Name und Profilbild. Auf der Website kommen hinzu: deine Entscheidung, YouTube-Videos zu laden („allowYoutube“), und – wenn du angemeldet bist – deine Bewertungen von Blog-Kommentaren, damit sie sofort angezeigt werden. Im sessionStorage, also nur bis du den Tab schließt, merken wir uns eine gesendete Kontaktanfrage (höchstens 24 Stunden) und dass du den Hinweis im Startbereich schon gesehen hast. Du kannst Cookies, localStorage und sessionStorage jederzeit in deinem Browser löschen.

12. Sicherheit

• Verschlüsselte Übertragung über HTTPS (TLS)
• Passwörter nur als Hash, Anmeldesitzungen mit kurzer Laufzeit und Schutz vor gestohlenen Tokens
• Rollen und Berechtigungen im Betrieb; sensible Dateien wie Belege und Personaldokumente nur über kurzlebige, signierte Links
• Zugangsdaten für Bankanbindung und Backup-Speicher sowie Backups selbst verschlüsselt

13. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

Auskunft

Du kannst erfahren, ob und welche personenbezogenen Daten wir über dich verarbeiten.

Berichtigung

Du kannst unrichtige Daten berichtigen lassen. Viele Angaben kannst du direkt in deinem Konto ändern.

Löschung

Du kannst die Löschung verlangen, sofern keine Aufbewahrungspflichten entgegenstehen. Dein Konto kannst du in den Einstellungen selbst löschen.

Einschränkung

Du kannst unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen.

Datenübertragbarkeit

Du kannst die Daten, die du uns bereitgestellt hast, in einem gängigen Format erhalten – Inhaber eines Betriebs etwa über das Backup.

Widerspruch

Du kannst der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.

Widerruf

Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen.

Beschwerde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Simplework, gesetzliche Vorgaben oder eingesetzte Dienstleister ändern. Die aktuelle Version findest du immer auf dieser Seite. Bei wesentlichen Änderungen informieren wir dich, soweit erforderlich, auf geeignete Weise.

15. Kontakt

Bei Fragen zum Datenschutz oder zur Verarbeitung deiner Daten erreichst du uns unter:

Wudio GmbH – Simplework

requests@simplework.app

Wir beantworten Datenschutzanfragen so schnell wie möglich.