Datenschutz

1. Wer verantwortlich ist

E-Mail: kontakt@gemeinsatt.de

Gemeinsatt ist ein Werkzeug für Firmen. Für die Inhalte, die deine Firma darin verarbeitet (Bestellrunden, Essenswünsche, Abrechnung), ist deine Firma verantwortlich. Wir verarbeiten diese Daten in ihrem Auftrag (Art. 28 DSGVO). Fragen dazu richtest du am besten zuerst an deine Firma.

2. Hosting und Server-Protokolle

Gemeinsatt läuft auf einem Server der IONOS SE in einem Rechenzentrum in Berlin. Bei jedem Aufruf protokolliert der Webserver IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browserkennung und verweisende Seite. Cookies und Anmeldedaten werden dabei geschwärzt. Die Protokolle werden nach sieben Tagen gelöscht.

Das dient dem sicheren und störungsfreien Betrieb und der Aufklärung von Fehlern und Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3. Konto und Anmeldung

Für dein Konto speichern wir Name, E-Mail-Adresse, Firma, Rolle (Admin oder Mitglied), Status, Zeitpunkte von Registrierung und Bestätigung sowie deine Benachrichtigungs-Einstellungen. Dein Passwort speichern wir nur als Argon2-Hash, nie im Klartext. Angemeldete Sitzungen liegen auf dem Server und enden spätestens 30 Tage nach der letzten Nutzung oder beim Abmelden.

Gegen das Ausprobieren von Passwörtern merkt sich der Server für einige Minuten, wie oft von einer IP-Adresse aus eine Anmeldung versucht wurde; das liegt nur im Arbeitsspeicher.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Nutzung von Gemeinsatt) und Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

4. Bestellrunden, Essenswünsche und Abrechnung

In einer Bestellrunde speichert Gemeinsatt, wer sie gestartet hat, die abgegebenen Stimmen, deine Essenswünsche mit Gericht, Anmerkung und Preis, wer angerufen und bestellt hat und die Zeiten der Runde. Nach „Essen ist da“ entstehen Abrechnungsposten: wer wem wie viel schuldet und ob es bezahlt ist.

Sichtbar ist das für dein Team: Alle in deiner Firma sehen den Stand der Abstimmung (nur die Zahl der Stimmen je Lieferant, nicht wer wofür gestimmt hat) und die Essenswünsche mit Namen. Abrechnungsposten sehen nur die beiden Beteiligten. Anmerkungen wie „ohne Nüsse“ sind also für dein ganzes Team lesbar; trag dort nichts ein, was du nicht teilen möchtest, zum Beispiel Angaben zu deiner Gesundheit.

5. E-Mails

Wir schicken dir Mails zu deinem Konto (E-Mail bestätigen, Passwort, Einladung, Freigabe) und zu Bestellrunden (Abstimmung gestartet oder entschieden, Bestellt, Essen ist da, Runde abgebrochen). Sie enthalten deinen Namen, deine Firma, den Lieferanten, Uhrzeiten und gegebenenfalls deinen Betrag. Die Benachrichtigungen zu Bestellrunden kannst du in den Einstellungen abbestellen, außer „Essen ist da“.

Verschickt werden die Mails über Scaleway SAS (8 rue de la Ville l’Évêque, 75008 Paris, Frankreich) als Auftragsverarbeiter; die Daten bleiben in der EU. Wir messen nicht, ob oder wann du eine Mail öffnest. Das Logo in der Mail lädt dein Mailprogramm von gemeinsatt.de; dabei entsteht ein Eintrag im Server-Protokoll wie bei jedem Aufruf. Zur Zustellung liegen die Mails in unserer Datenbank; Links mit Zugangscodes löschen wir dort nach dem Versand.

Schreibst du uns an kontakt@gemeinsatt.de, liegt deine Nachricht im Postfach bei der STRATO AG in Berlin. Wir nutzen sie nur, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

6. Cookie, keine Analyse

Gemeinsatt setzt genau ein Cookie: gs_session. Es enthält einen zufälligen Wert, der dich nach der Anmeldung deiner Sitzung zuordnet, gilt nur für die Adresse deiner Firma und ist als HttpOnly, Secure und SameSite=Lax geschützt. Es ist für den von dir gewünschten Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Wir nutzen keine Analyse-, Werbe- oder Tracking-Dienste und binden keine Inhalte fremder Server ein. Schrift, Bilder und Programmcode kommen von unserem eigenen Server.

7. Protokolle in Gemeinsatt

Zur Nachvollziehbarkeit hält Gemeinsatt wichtige Vorgänge mit Person und Zeitpunkt fest, etwa Anmeldungen, Änderungen an Konten und Rollen, Schritte einer Bestellrunde und das Markieren als bezahlt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

8. Wer Daten bekommt

Die Personen in deiner Firma sehen, was oben unter 4 beschrieben ist; Admins deiner Firma verwalten außerdem die Konten. Als Betreiber sehen wir in der Plattform-Verwaltung Name und Subdomain der Firmen, die Zahl ihrer Personen und ihre Admins, nicht die Bestellrunden. Auf die Datenbank greifen wir nur für Betrieb und Fehlerbehebung zu. Dienstleister (IONOS für den Server, Scaleway für den Mailversand, STRATO für Domain und Postfach) erhalten Daten nur, soweit es für ihre Aufgabe nötig ist. Eine Übermittlung in Länder außerhalb der EU findet nicht statt. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

9. Wie lange wir speichern

Kontodaten und Inhalte speichern wir, solange deine Firma Gemeinsatt nutzt und dein Konto besteht. Endet die Nutzung durch deine Firma, löschen wir ihre Daten nach Absprache mit ihr. Server-Protokolle löschen wir nach sieben Tagen, Sicherungskopien der Datenbank nach 14 Tagen.

10. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Für Inhalte in Gemeinsatt wende dich am besten zuerst an deine Firma; du erreichst uns jederzeit unter kontakt@gemeinsatt.de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

11. Änderungen

Wir passen diese Erklärung an, wenn sich Gemeinsatt, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Es gilt die Fassung auf dieser Seite.