Datenschutzerklärung

1. Wer wir sind

Baktam ist ein Cloud-Softwaredienst für Kfz-Werkstätten, betrieben von Fatih Bilgiç, Istanbul, Türkei („Baktam“, „wir“, „uns“). Bei Fragen zum Datenschutz erreichen Sie uns unter [email protected]. Vertreter in der Europäischen Union nach Art. 27 DSGVO und gegebenenfalls in der Schweiz nach Art. 14 revDSG: [noch zu bestätigen].

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

Wann Baktam Verantwortlicher ist

Wir entscheiden über Zweck und Mittel der Verarbeitung für unsere eigenen Zwecke: Benutzerkonten, Abonnement- und Abrechnungsdaten, Supportanfragen, Nachrichten über unser Kontaktformular, Besuche dieser Website und die Sicherheit des Dienstes.

Wann Baktam Auftragsverarbeiter ist

Jede Werkstatt (unser Kunde, der „Betrieb“) entscheidet, welche Daten sie über ihre eigenen Kunden, Fahrzeuge und Mitarbeiter erfasst. Für diese Daten ist der Betrieb Verantwortlicher, und Baktam verarbeitet sie im Auftrag des Betriebs und nur zur Erbringung des Dienstes (Art. 28 DSGVO). Wenn Sie Kunde einer Werkstatt sind und Ihre Rechte ausüben möchten, wenden Sie sich bitte zuerst an diese Werkstatt; wir unterstützen sie bei der Antwort. Auftragsverarbeitungsvertrag für Geschäftskunden: [noch zu bestätigen].

3. Welche Daten wir verarbeiten

• Kontodaten: Name, Telefonnummer, E-Mail-Adresse, bevorzugte Sprache und ein Passwort, das nur als Einweg-Hash gespeichert wird.
• Betriebs- und Abrechnungsdaten: Firmenname, Adresse, Land, Währung, Steuer- bzw. Umsatzsteuer-Identifikationsnummer (zum Beispiel USt-IdNr., UID- oder MWST-Nummer), Paket und Zahlungsunterlagen.
• Daten, die der Betrieb in Baktam erfasst: Namen, Telefonnummern, E-Mail-Adressen und Steuernummern von Kunden; Fahrzeuge (Kennzeichen, Fahrgestellnummer/FIN, Marke, Modell, Kilometerstand); Arbeitsaufträge, Verkäufe, Zahlungen, Erinnerungen, Notizen, Fotos und Unterschriften.
• Öffentliche Seiten: Nutzt ein Kunde die Online-Terminbuchung, erhalten wir den eingegebenen Namen, die Telefonnummer, das Kennzeichen und die Notiz; beantwortet er einen Freigabelink, speichern wir seine Entscheidung, seinen Namen und seine Unterschrift.
• Technische Daten: IP-Adresse, Browser- oder Geräteinformationen und Anmeldeprotokolle, um Konten zu schützen, Missbrauch zu begrenzen und Fehler zu beheben. Die Apps speichern ein Token für Push-Benachrichtigungen, wenn Sie Benachrichtigungen erlauben.

4. Zwecke und Rechtsgrundlagen

Für die Daten, für die wir verantwortlich sind, stützen wir uns auf folgende Rechtsgrundlagen der DSGVO (für die Schweiz gelten die Grundsätze des revidierten Datenschutzgesetzes, revDSG, entsprechend):

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Einrichtung und Führung Ihres Kontos, Erbringung des Dienstes und des Supports sowie Abrechnung.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen und Buchhaltungsunterlagen für die gesetzlich vorgeschriebenen Fristen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Absicherung des Dienstes, Verhinderung von Betrug und Missbrauch sowie Fehlerbehebung, abgewogen gegen Ihre Rechte.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing-E-Mails und optionale Analyse. Sie können Ihre Einwilligung jederzeit widerrufen.

Wir nutzen personenbezogene Daten nicht für automatisierte Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

5. Wo die Daten gespeichert werden

Der Baktam-Clouddienst wird in der Europäischen Union betrieben, in Rechenzentren in Deutschland. Tägliche Sicherungen werden für einen begrenzten Zeitraum aufbewahrt, um eine Wiederherstellung zu ermöglichen. Enterprise-Kunden können Baktam stattdessen auf ihrem eigenen Server betreiben; dann bleiben die Daten auf diesem Server, und der Betrieb ist für Hosting, Sicherungen und Sicherheit selbst verantwortlich.

Einige Dienstleister, die ein Betrieb selbst anbindet (zum Beispiel SMS- oder WhatsApp-Anbieter), können Daten außerhalb der EU verarbeiten. Werden Daten außerhalb der EU bzw. des EWR oder der Schweiz übermittelt, stützen wir uns auf geeignete Garantien wie Angemessenheitsbeschlüsse oder Standardvertragsklauseln [noch zu bestätigen].

6. Dienstleister (Unterauftragsverarbeiter)

Wir geben personenbezogene Daten nur so weit weiter, wie der jeweilige Dienstleister sie für seine Aufgabe braucht:

• Hosting: Infrastrukturanbieter mit Rechenzentren in Deutschland.
• E-Mail-Versand: ein Versanddienst für Konto-E-Mails wie das Zurücksetzen des Passworts und tägliche Zusammenfassungen.
• Vom Betrieb gewählte Nachrichtendienste: SMS über Twilio oder WhatsApp Business (Cloud API) von Meta, jeweils mit dem eigenen Konto und Vertrag des Betriebs bei diesem Anbieter.
• Push-Benachrichtigungen der Apps: der Push-Dienst von Expo, der Benachrichtigungen über Apple und Google zustellt.
• Website-Analyse: Microsoft Clarity, nur auf der öffentlichen Website und nur mit Ihrer Einwilligung (siehe Abschnitt 7).
• Fehlerüberwachung: Sentry, nur wenn aktiviert. Es ist so konfiguriert, dass keine personenbezogenen Standarddaten gesendet werden; Telefonnummern und E-Mail-Adressen werden maskiert, Cookies, Authorization-Header und Request-Inhalte werden entfernt.

Eine Liste der konkreten Anbieter erhalten Sie auf Anfrage. Wir können Daten offenlegen, wenn das Gesetz oder eine wirksame Anordnung eines Gerichts oder einer Behörde es verlangt.

7. Cookies und ähnliche Technologien

Notwendige Cookies

Diese sind für den Betrieb des Dienstes erforderlich und benötigen keine Einwilligung: ein Sitzungs-Cookie, das Sie angemeldet hält, ein Cookie, das sich Ihre Sprache merkt, und baktam_consent, das Ihre Cookie-Auswahl 6 Monate lang speichert. Das Web-Panel speichert außerdem einige Oberflächeneinstellungen (etwa Favoriten) im lokalen Speicher Ihres Browsers.

Analyse-Cookies (nur mit Ihrer Einwilligung)

Auf unserer öffentlichen Website (baktam.com einschließlich der deutschsprachigen Seiten unter /de) nutzen wir Microsoft Clarity, um zu verstehen, wie Besucher die Website nutzen, und sie zu verbessern. Clarity wird erst geladen, nachdem Sie im Cookie-Banner „Analyse-Cookies akzeptieren“ gewählt haben; solange Sie nicht entschieden haben oder wenn Sie ablehnen, werden keine Daten an Clarity gesendet. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Deutschland) bzw. § 165 Abs. 3 TKG 2021 (Österreich); in der Schweiz informieren wir Sie nach dem revDSG und bieten dieselbe Wahlmöglichkeit.

• Was erfasst wird: Klicks, Scrollen, Mausbewegungen, besuchte Seiten, Sitzungsdauer, Geräte- und Browserinformationen sowie ungefährer Standort. Text, den Sie in Formularfelder eingeben, wird maskiert und nie aufgezeichnet.
• Cookies: _clck (1 Jahr) und _clsk (1 Tag), gesetzt von Clarity. Werbespeicher lehnen wir ab; die Daten werden von uns nicht für Werbung genutzt.
• Wer verarbeitet: Microsoft Corporation als unser Dienstleister; die Daten können außerhalb Ihres Landes gespeichert werden, auch in den Vereinigten Staaten.
• Wo Clarity nie läuft: im Baktam-Web-Panel, auf Anmeldeseiten, auf den Freigabe-, Beleg- und Terminlinks, die Werkstätten ihren Kunden schicken, und auf Druckseiten.

Sie können Ihre Einwilligung jederzeit widerrufen: Öffnen Sie „Cookie-Einstellungen“ in der Fußzeile der Website und wählen Sie „Ablehnen“. Clarity wird dann beendet, seine Cookies werden gelöscht, und es wird bei späteren Besuchen nicht geladen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Wir verwenden keine Werbe-Cookies und kein seitenübergreifendes Tracking.

8. Wie lange wir Daten speichern

• Konto- und Betriebsdaten: solange das Abonnement aktiv ist.
• Nach der Kündigung: Die Daten stehen 60 Tage zum Export bereit und werden danach gelöscht, sofern der Betrieb keine frühere Löschung verlangt [noch zu bestätigen].
• Sicherungen: werden nach einem begrenzten Zeitraum fortlaufend überschrieben [Aufbewahrungsfrist noch zu bestätigen].
• Rechnungen und Abrechnungsunterlagen: für die nach Steuer- und Handelsrecht vorgeschriebene Dauer.

Daten, die ein Betrieb über seine eigenen Kunden erfasst, werden nach den Weisungen dieses Betriebs aufbewahrt und gelöscht, wenn der Betrieb sie löscht oder sein Konto schließt.

9. Wie wir Daten schützen

• Alle Verbindungen sind per HTTPS (TLS) verschlüsselt.
• Passwörter und API-Schlüssel werden nur als Einweg-Hash gespeichert.
• Freigabe- und Beleglinks nutzen zufällige Tokens, die nur als Hash gespeichert werden. Öffentliche Seiten (Freigaben, Belege, Terminbuchung und geteilte Fahrzeughistorie) sind gegen massenhafte Abrufe begrenzt und zeigen persönliche Angaben maskiert an.
• Zugangsdaten für SMS-, WhatsApp- und E-Rechnungs-Anbieter werden in der Datenbank verschlüsselt (AES-256-GCM) und weder in der Oberfläche noch über die API jemals wieder angezeigt.
• Die Daten jedes Betriebs sind von denen anderer Betriebe getrennt, und rollenbasierte Berechtigungen begrenzen, was jeder Benutzer sieht: Techniker sehen zum Beispiel keine Preise oder Kosten.
• Wichtige Aktionen werden in einem Aktivitätsprotokoll festgehalten, und die Daten werden täglich gesichert.

Betrifft eine Verletzung des Schutzes personenbezogener Daten Ihre Daten, informieren wir den betroffenen Betrieb und, soweit erforderlich, die zuständige Aufsichtsbehörde unverzüglich.

10. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung zu widerrufen (Art. 15–21 DSGVO). In der Schweiz stehen Ihnen vergleichbare Rechte nach dem revidierten Datenschutzgesetz (revDSG) zu.

Um Ihre Rechte auszuüben, schreiben Sie an [email protected]. Wir antworten innerhalb eines Monats bzw. der Frist, die das für Sie geltende Recht vorsieht. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren: in Deutschland insbesondere bei der Datenschutzbehörde Ihres Bundeslandes, in Österreich bei der Datenschutzbehörde (DSB), in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder bei jeder anderen zuständigen Aufsichtsbehörde in der EU.

11. Kinder

Baktam ist ein Dienst für Unternehmen und richtet sich nicht an Kinder.

12. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen kündigen wir den Kontoinhabern vor ihrem Inkrafttreten per E-Mail an.

13. Kontakt

Fragen zu dieser Erklärung oder zu Ihren Daten: [email protected].