Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist der jeweilige Betreiber der Heina-Instanz (der registrierte Nutzer / Handwerksbetrieb). Kontaktdaten finden Sie in Ihrem Vertragsverhältnis.

Heina (betrieben durch die Abacus.AI, Inc.) fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO im Auftrag des jeweiligen Handwerksbetriebs.

2. Welche Daten wir erheben

2.1 Registrierungsdaten

Name, E-Mail-Adresse, Firmenname, Branche, Anschrift, Telefonnummer, Bankverbindung, Steuernummer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

2.2 Kundendaten (Ihrer Kunden)

Name, Firma, Kontaktdaten, Adressen, Kommunikationshistorie, Projektdaten, Rechnungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung, berechtigtes Interesse)

2.3 Mitarbeiterdaten (Personalakte / Personalfragebogen)

Über den digitalen Personalfragebogen erheben wir: Vorname, Nachname, Geburtsdatum, Geburtsort, Nationalität, Geschlecht, Familienstand, Adresse, Telefon, E-Mail, Steuer-ID, Steuerklasse, Sozialversicherungsnummer, Krankenkasse, IBAN, BIC.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag / Lohnabrechnung)

2.4 Nutzungsdaten

IP-Adresse, Browser-Typ, Zeitpunkt des Zugriffs, aufgerufene Seiten. Diese Daten werden ausschließlich zur Sicherstellung des Betriebs erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

2.5 GPS-Daten (optional)

Bei aktivierter Zeiterfassung mit GPS werden Standortdaten der Mitarbeiter erfasst. Dies geschieht nur mit ausdrücklicher Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

2.6 Push-Benachrichtigungen (Mobile App)

Bei Nutzung der mobilen App werden Push-Tokens gespeichert, um Benachrichtigungen zuzustellen. Die Berechtigung kann jederzeit in den Geräteeinstellungen widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

2.7 Zahlungsdaten

Bei Abschluss eines kostenpflichtigen Abonnements werden Zahlungsdaten (Kreditkarte, SEPA) über den Zahlungsdienstleister Stripe, Inc. verarbeitet. Heina speichert keine vollständigen Zahlungsdaten — lediglich eine Referenz-ID zum Stripe-Kundenkonto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3. Zweck der Datenverarbeitung

• Bereitstellung und Betrieb der Handwerkersoftware
• Angebots- und Rechnungserstellung
• Projektmanagement und Zeiterfassung
• Kundenverwaltung und Kommunikation
• Personalverwaltung und Lohnvorbereitung
• Buchhaltung, DATEV-Export und Steuerberater-Anbindung
• GoBD-konforme Archivierung
• KI-gestützte Textverarbeitung und Dokumentenanalyse
• Zahlungsabwicklung über Stripe

4. KI-gestützte Verarbeitung

Heina setzt KI-Funktionen (Large Language Models) für folgende Zwecke ein:

• Textkorrektur (Rechtschreibung, Grammatik, Satzbau)
• Dokumentenanalyse (PDF-Rechnungen, Lieferscheine, E-Rechnungen)
• Erstellung von Abschlagsplänen und Zahlungsplänen
• Hilfebot für Fragen zur Software
• Baubesprechungs-Protokollierung
• Belegerkennung und Kontierung

Die KI-Verarbeitung erfolgt über die API von Abacus.AI, Inc. (Sitz: USA). Die übermittelten Daten werden ausschließlich zur Verarbeitung Ihrer Anfrage verwendet und nicht als Trainingsdaten genutzt. Es besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) mit angemessenen Garantien gemäß Art. 46 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung, berechtigtes Interesse an Effizienzsteigerung)

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die Zwecke erforderlich ist. Steuerrelevante Daten (Rechnungen, Buchungen) unterliegen den gesetzlichen Aufbewahrungsfristen von 6 bzw. 10 Jahren gemäß §§ 147 AO, 257 HGB.

Personalakten werden nach Beendigung des Arbeitsverhältnisses und Ablauf der gesetzlichen Fristen gelöscht. Kundennotizen und Kommunikationshistorien können vom Verantwortlichen jederzeit gelöscht werden.

6. Ihre Rechte (DSGVO)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15): Sie können eine Kopie aller über Sie gespeicherten Daten anfordern.
• Berichtigung (Art. 16): Sie können die Korrektur unrichtiger Daten verlangen.
• Löschung (Art. 17): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21): Sie können der Verarbeitung widersprechen.

Heina bietet integrierte Funktionen für Datenexport (Art. 15/20) und Datenlöschung (Art. 17) direkt in der Kundenverwaltung und Personalverwaltung, um diese Rechte effizient umzusetzen. Nutzer können zudem ihr eigenes Konto in den Einstellungen löschen.

7. Auftragsverarbeiter und Drittanbieter

Wir setzen folgende Dienstleister (Auftragsverarbeiter) ein:

Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Datenübermittlungen in die USA erfolgen auf Grundlage von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Steuerberater-Anbindung

Heina ermöglicht die Freigabe von Finanzdaten (Rechnungen, Belege, DATEV-Exporte) an den vom Betrieb beauftragten Steuerberater über ein gesichertes Portal. Der Steuerberater erhält ausschließlich Zugriff auf die freigegebenen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung, berechtigtes Interesse an ordnungsgemäßer Buchführung)

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Passwort-Hashing (bcrypt)
• GoBD-konformes Änderungsprotokoll (Audit-Trail mit SHA-256-Verkettung)
• Rollenbasierte Zugriffssteuerung (6 Rollen)
• Mandantentrennung (strikte Datenisolation pro Betrieb)
• Regelmäßige Datensicherungen
• Verschlüsselte Dateispeicherung (AWS S3, serverseitig verschlüsselt)

10. Cookies

Heina verwendet ausschließlich technisch notwendige Cookies (Session-Cookie für die Anmeldung). Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Daher ist kein Cookie-Consent-Banner erforderlich.

11. Externe Freigabe-Links

Für bestimmte Funktionen werden tokenbasierte Links an externe Personen versendet (z.B. Nachtrag-Freigabe durch Kunden, Personalfragebogen für neue Mitarbeiter, Angebots-Ansicht). Diese Links enthalten keine Login-Daten — die Authentifizierung erfolgt über einmalige, zeitlich begrenzte Tokens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Die zuständige Aufsichtsbehörde richtet sich nach dem Bundesland des Verantwortlichen.