This privacy policy is legally binding only in its German version below; the English label is for orientation only.

Datenschutzerklärung

Hinweis: Diese Erklärung bildet die tatsächliche Verarbeitung (Datenkategorien, Auftragsverarbeiter, Speicherdauern) ab. Eine abschließende anwaltliche Prüfung wird vor dem produktiven Vertrieb empfohlen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Worxcamera Jürgen Stephan Neuhauser Straße 48b 84095 Furth Deutschland

E-Mail: stephan@worxcamera.de Telefon: +49 8704 927 800

2. Erhobene Daten und Verarbeitungszwecke

Worxcam ist eine interne, nur nach Anmeldung erreichbare Anwendung. Im Rahmen Ihrer Nutzung verarbeiten wir folgende Datenkategorien:

• Konto-Stammdaten: E-Mail-Adresse, Name, Rolle (Plattform- oder Tenant-User), Aktivierungsstatus.
• Authentifizierungsdaten: Argon2id-gehashte Passwörter, MFA-Codes (SHA-256-gehasht, 10-Minuten-TTL), Session-Tokens (SHA-256-gehasht, 12-Stunden-TTL).
• Audit-Log: jede sicherheitsrelevante Aktion (Login, Logout, Datenänderungen) wird mit Aktor-ID, Aktion, Zeitstempel und IP-Adresse in einer fälschungssicheren Hash-Kette gespeichert.
• Login-Versuche: E-Mail, IP, Ergebnis (erfolgreich/fehlgeschlagen) — zur Erkennung von Brute-Force-Angriffen, gleitendes 15-Minuten-Fenster.
• Mandanten-Daten: Firmenname, Slug, Aktivierungsfenster, Lizenzpaket — vom Plattform-Operator gepflegt.
• Kenntnisnahme- und Signaturdaten: Zuordnung „welcher Mitarbeiter hat welches Dokument wann zur Kenntnis genommen/unterschrieben", inkl. Zeitstempel und ggf. einer vom Mitarbeiter gezeichneten Unterschrift (als Bild).
• Zugriffs-/Nutzungsdaten: Aufrufe von Inhalten durch Mitarbeiter (für die Auswertungsfunktion der Mandanten-Vorgesetzten).
• Mandanten-Inhalte: von Mandanten hochgeladene Dokumente, Videos, Texte und Bilder. Diese können personenbezogene Daten enthalten; insoweit ist der jeweilige Mandant Verantwortlicher und wir verarbeiten in seinem Auftrag (Art. 28 DSGVO).

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Bereitstellung der Anwendung gegenüber den vertraglich verbundenen Mandanten.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — Sicherheits-Audit-Log, Brute-Force-Schutz, technische Verfügbarkeit.

4. Speicherdauer

• Sessions: 12 Stunden absolut gültig; abgelaufene Session-Datensätze werden durch einen täglichen Bereinigungslauf spätestens 7 Tage nach Ablauf gelöscht.
• MFA-Codes: 10 Minuten gültig; verbrauchte/abgelaufene Codes werden täglich gelöscht (Aufbewahrung max. 24 Stunden).
• Passwort-Reset-Tokens: bis zum Ablauf gültig; abgelaufene Tokens werden täglich gelöscht.
• Login-Versuche: 15-Minuten-Sliding-Window für die Brute-Force-Logik; ältere Einträge werden täglich gelöscht.
• Audit-Log: für die Dauer des Vertragsverhältnisses sowie etwaiger gesetzlicher Aufbewahrungs-/Nachweispflichten (Art. 17 Abs. 3 lit. b DSGVO); danach Löschung. Der Eintrag ist manipulationssicher (Append-only + Hash-Kette) und wird zu Rechenschafts-/Sicherheitszwecken vorgehalten.
• Backups: verschlüsselte Off-Host-Backups werden 30 Tage in Google Drive vorgehalten und danach automatisch gelöscht (zweite Senke Backblaze B2 mit Object-Lock).

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter (Art. 28 DSGVO) ein. Eine jeweils aktuelle Übersicht inkl. Verarbeitungsort und Vertragsstand führen wir im Auftragsverarbeiter-Register (`docs/legal/subprocessors.md`).

| Auftragsverarbeiter | Zweck | Verarbeitete Daten | Ort / Transfer | |---|---|---|---| | Hostinger International Ltd | VPS-Hosting der Anwendung + Datenbank | alle Anwendungsdaten | EU (Litauen/Deutschland) | | Google Ireland Ltd (Gmail/Drive) | SMTP-Versand der MFA-/System-Mails; verschlüsselte Off-Host-Backups | E-Mail-Adressen (Versand), GPG-verschlüsselte Backups | EU; EU-US-DPF-zertifiziert | | Bunny.net (BunnyWay d.o.o.) | Auslieferung + Speicherung von Mandanten-Videos und -Dokumenten (CDN/Object-Storage) | von Mandanten hochgeladene Inhalte (können personenbezogene Daten enthalten) | EU-Region | | Backblaze Inc. (B2) | zweite, verschlüsselte Off-Host-Backup-Senke | GPG-verschlüsselte Backups (für Backblaze nicht im Klartext lesbar) | EU-Central (Amsterdam) | | Anthropic PBC | KI-gestützte Zusammenfassung interner Release-Notes | ausschließlich Commit-/Änderungstexte des Betreibers — keine Mandanten- oder Mitarbeiterdaten | USA — Standardvertragsklauseln (SCC, Art. 46 DSGVO) | | DeepL SE | optionale Übersetzung von Mandanten-Inhalten (Ordner-/Text-/Dokumenttitel und -texte) | die zu übersetzenden Inhaltstexte des jeweiligen Mandanten — können personenbezogene Daten enthalten; nur auf Weisung des Mandanten als Verantwortlichem | EU (Deutschland) |

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Für Übermittlungen in die USA (Anthropic) liegen geeignete Garantien gem. Art. 44 ff. DSGVO (Standardvertragsklauseln) vor. Die KI-Funktion (Anthropic) verarbeitet keine Mandanten- oder Mitarbeiter-Personendaten; die Übersetzungsfunktion (DeepL) verarbeitet ausschließlich die vom jeweiligen Mandanten zur Übersetzung bereitgestellten Inhalte.

6. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein:

• `worxcam_session` — Session-Cookie (HttpOnly, Secure, SameSite=Lax), 12-Stunden-TTL.
• `worxcam_mfa_pending` — temporärer MFA-Cookie (HttpOnly, Secure, SameSite=Lax), 10-Minuten-TTL.
• `worxcam_active_company` — UI-State (Secure, SameSite=Lax, 1 Jahr), enthält die zuletzt gewählte Firma.

Es werden keine Tracking-, Analyse- oder Marketing-Cookies gesetzt.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie gespeichert haben. Auf Anfrage stellen wir eine maschinenlesbare Kopie Ihrer Daten bereit (Art. 20 DSGVO).
• Berichtigung (Art. 16 DSGVO) — fehlerhafte Daten korrigieren.
• Löschung (Art. 17 DSGVO) — sofern keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitung auf Basis berechtigten Interesses.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

Anfragen richten Sie bitte an: stephan@worxcamera.de.

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• TLS 1.2/1.3 für jeden Verbindungsaufbau (HSTS mit `max-age=63072000; includeSubDomains; preload`).
• Argon2id-Hashing für Passwörter, SHA-256 für Tokens.
• AES-256-GCM-Verschlüsselung für sensible Konfigurationswerte at rest.
• MFA über E-Mail-Einmal-Codes mit Brute-Force-Sperre.
• Append-only-Audit-Log mit Hash-Kette zur Manipulationserkennung.
• Tägliche, GPG-verschlüsselte Off-Host-Backups.

9. Stand und Änderungen

Stand dieser Erklärung: 2026-05-25. Wir behalten uns vor, diese Erklärung zu aktualisieren — Änderungen erkennen Sie am Datum dieser Erklärung sowie am Versionsstempel im Footer der Anwendung.