Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie personenbezogene Daten bei der Nutzung von Tulz verarbeitet werden: auf tulz.work (Website mit Produktseiten, Preisen und Bewerbung als Testwerkstatt, Einstieg, Hilfe, Statusseite, Kontaktformular), im Partner-Portal, in der Plattform-Verwaltung, in den Instanzen der Betriebe unter ihren eigenen Adressen und in den Apps für Android und Desktop.

1. Verantwortlicher

Luca Berwind
Tulz
[Anschrift wird ergänzt]
Deutschland
E-Mail: kontakt@tulz.work

Ein Datenschutzbeauftragter ist nicht benannt, weil dazu keine gesetzliche Pflicht besteht. Anfragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse oder als Kunde über die Support-Kategorie „Datenschutz-Auskunft“.

2. Wer ist wofür verantwortlich?

Wir als Verantwortlicher: Für Daten, die wir für eigene Zwecke verarbeiten, sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Dazu gehören der Besuch der Plattform-Seiten, Einstieg und Anmeldung, Verträge mit Kunden und Partnern, die Abrechnung, der Support und die Sicherheit. Dafür gilt diese Datenschutzerklärung.

Der Betrieb als Verantwortlicher: Die Daten, die ein Betrieb in seiner Tulz-Instanz erfasst, verarbeitet der Betrieb als Verantwortlicher. Das sind insbesondere die Benutzerkonten seiner Mitarbeiter, Ausleihen, Begleitscheine mit Unterschriften, Prüfungen, Schadensmeldungen, Reservierungen, Inventuren und das Aktivitätsprotokoll. Wir verarbeiten diese Daten nur im Auftrag des Betriebs, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Als Mitarbeiter eines Betriebs wenden Sie sich mit Fragen zu diesen Daten bitte zuerst an Ihren Arbeitgeber. Anfragen, die uns erreichen, leiten wir an den Betrieb weiter.

3. Aufruf der Seiten und Server-Logfiles

Bei jedem Aufruf verarbeitet der Webserver technisch notwendige Daten:

• IP-Adresse, Datum und Uhrzeit
• aufgerufene Adresse, übertragene Datenmenge und Statuscode
• Adresse der zuvor besuchten Seite (Referrer)
• Browser und Betriebssystem (User-Agent)

Die Verarbeitung dient der Auslieferung der Seiten, der Stabilität des Dienstes und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und fehlerfreie Betrieb.

Die Protokolldateien des Webservers werden nach 14 Tagen automatisch gelöscht. Ausgenommen sind einzelne Einträge, die zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

4. Hosting

Tulz wird auf einem Server in Deutschland betrieben. Hosting-Anbieter ist [wird ergänzt].

Der Hosting-Anbieter stellt Server, Netzanbindung und Rechenzentrum bereit. Er ist als Auftragsverarbeiter vertraglich zur Einhaltung der DSGVO verpflichtet. Daten werden nicht in Länder außerhalb der EU und des EWR übermittelt.

5. Cookies und lokale Speicherung

Wir setzen keine Cookies oder vergleichbaren Techniken für Analyse, Werbung oder Tracking ein. Inhalte von Drittanbietern binden wir nicht ein; Schriften und Programmbibliotheken liegen auf unserem Server. Auch der Bestätigungscode der Google Search Console (Nr. 14) lädt nichts nach und setzt keine Cookies. Eine Einwilligung ist deshalb nicht erforderlich; beim ersten Besuch weist ein Hinweis auf diese Speicherung hin.

Gespeichert wird nur, was für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG):

Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Dienstes). Innerhalb der Instanzen der Betriebe handeln wir im Auftrag des Betriebs.

6. Einstieg und Anmeldung

Einstieg auf tulz.work: Sie geben eine Betriebsnummer, eine Adresse oder eine E-Mail-Adresse ein.

• Bei einer Betriebsnummer oder Adresse leiten wir Sie zum Betrieb weiter.
• Bei einer E-Mail-Adresse schicken wir die Zugänge aller Betriebe, in denen diese Adresse zu einem aktiven Benutzer gehört, per E-Mail an genau diese Adresse. Die Seite zeigt in jedem Fall dieselbe Antwort.

Zum Schutz vor Missbrauch zählen wir die Versuche je IP-Adresse (höchstens 10 in 10 Minuten). Diese Zähler werden nach einem Tag gelöscht.

Anmeldung: Dabei verarbeiten wir:

• Benutzername bzw. E-Mail-Adresse
• das Passwort, gespeichert nur als nicht umkehrbarer Hashwert
• bei Passkeys den öffentlichen Schlüssel und eine Bezeichnung des Geräts
• fehlgeschlagene Anmeldeversuche mit IP-Adresse (gelöscht nach 24 Stunden) und Sperrvermerke nach wiederholten Fehlversuchen

Bei „Angemeldet bleiben“ speichern wir je Gerät einen Token (als Hashwert), eine Gerätebezeichnung und den Zeitpunkt der letzten Nutzung. Die Geräte sind im Profil einsehbar und einzeln abmeldbar.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Zugangs) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff). Für Benutzerkonten innerhalb eines Betriebs handeln wir im Auftrag des Betriebs (Nr. 2).

7. Verträge mit Kunden

Für Abschluss und Durchführung eines Vertrags verarbeiten wir:

• Firma, Ansprechpartner, E-Mail-Adresse und USt-IdNr.
• gewünschte Adresse (Subdomain), Betriebsnummer und ggf. eine Domain des Kunden
• Tarif, Lizenzen und Laufzeiten
• Zahlungen: Bestellnummer, Betrag, Steuer, Währung und Zeitpunkt
• die Kundennummer im Shop und ggf. den zuständigen Vertriebspartner
• die Zustimmungen zu den AGB und zum AVV: Fassung, Zeitpunkt sowie Name, E-Mail-Adresse und IP-Adresse der zustimmenden Person

Außerdem werten wir Zähler aus: die Anzahl der Benutzer, Standorte und Werkzeuge sowie den belegten Speicher. Damit wenden wir die Grenzen des Tarifs an und rechnen ab. Die Inhalte der Instanz werten wir nicht aus.

Die Daten stammen von Ihnen, aus Ihrer Bestellung in einem Online-Shop oder von dem Vertriebspartner, über den Sie Tulz beziehen.

Rechtsgrundlagen sind:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Zustimmungen)

Nach Vertragsende und Löschung der Instanz bleiben der Stammsatz des Betriebs (Betriebsnummer, Name, Status), die Zahlungen und das Plattform-Protokoll erhalten. Das gilt, soweit und solange gesetzliche Aufbewahrungsfristen bestehen (je nach Unterlage 6, 8 oder 10 Jahre nach § 257 HGB und § 147 AO) oder die Daten zur Abwehr von Ansprüchen benötigt werden. Nachweise über Zustimmungen bewahren wir bis drei Jahre nach Vertragsende auf.

8. Bestellungen über Online-Shops

Tarife können in Online-Shops (WooCommerce oder Shopify) gekauft werden – bei uns oder bei einem Vertriebspartner. Für die Bestellung selbst, die Zahlung und die Rechnung gilt die Datenschutzerklärung des jeweiligen Shops.

Nach einer bezahlten Bestellung übermittelt der Shop automatisch an Tulz:

• Bestellnummer, gekaufte Artikelnummern, Betrag, Steuer und Währung
• Firma, Name, E-Mail-Adresse, Kundennummer im Shop und USt-IdNr.
• gewünschte Adresse und einen verwendeten Partner- oder Gutscheincode
• die Bestätigung von AGB und AVV
• bei Abos zusätzlich Änderungen des Abo-Status

Damit richten wir den Betrieb ein oder verlängern die Lizenz (Art. 6 Abs. 1 lit. b DSGVO). Den Inhalt dieser Meldungen löschen wir 90 Tage nach der Verarbeitung.

9. Vertriebspartner

Die Daten unserer Partner verarbeiten wir zur Durchführung der Partnerschaft (Art. 6 Abs. 1 lit. b DSGVO): Firma, Ansprechpartner, E-Mail-Adressen der Zugänge, USt-IdNr., Konditionen, Abrechnungen, den API-Token als Hashwert sowie bei White-Label Marke und Logo.

Beziehen Sie Tulz über einen Partner, sieht dieser im Partner-Portal nur die Stammdaten Ihres Betriebs und Zähler, etwa Status, Tarif und die Anzahl der Benutzer und Werkzeuge. Werkzeuge, Buchungen oder Mitarbeiterdaten sieht er nicht. Einblick in Ihre Instanz erhält ein Partner nur, wenn ein Administrator Ihres Betriebs ihm einen Support-Zugriff freigibt (Nr. 11).

Rechtsgrundlage für die Übermittlung an den Partner ist Art. 6 Abs. 1 lit. b DSGVO bzw. unser berechtigtes Interesse an der Abwicklung des Vertriebs (Art. 6 Abs. 1 lit. f DSGVO).

10. E-Mails

Tulz verschickt nur E-Mails, die für den Dienst erforderlich sind:

• Willkommensmail und Zugangslinks sowie Links zum Zurücksetzen des Passworts
• Erinnerungen an Rückgaben und Prüfungen, im Auftrag des Betriebs
• Hinweise zu Testphase, Lizenz, Zahlung und Löschfristen
• Nachrichten des Supports
• Mitteilungen zu Wartung, Störungen und neuen Versionen an Administratoren und Partner

Werbemails versenden wir nicht. Der Versand erfolgt über den eigenen Mailserver auf dem Server der Plattform.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Mitteilungen zu Wartung und Störungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

11. Support

Anfragen: Sie können Anfragen im Betrieb, im Partner-Portal, per E-Mail an unser Support-Postfach oder über das Kontaktformular stellen. Dabei verarbeiten wir:

• Name, E-Mail-Adresse und ggf. Betrieb und Benutzerkonto
• Kategorie, Betreff, Nachricht und den weiteren Verlauf
• Anhänge; Bilder werden dabei ohne Metadaten neu gespeichert
• eine freiwillige Bewertung
• bei Anfragen per E-Mail die empfangene Nachricht mit ihren Kopfzeilen

Diagnose: Mit einer Anfrage aus dem Betrieb kann ein Diagnose-Paket mitgehen. Sie sehen es vor dem Absenden und können es abwählen. Es enthält Betriebsnummer und Adresse, Tarif und Lizenzstand, Programmversion, Rolle und Standort des Benutzers, den verwendeten Browser bzw. die App, die zuletzt aufgerufene Seite, Zähler und die letzten Fehlermeldungen mit dieser Betriebsnummer. Werkzeug- oder Buchungsdaten enthält es nicht.

Kontaktformular: Das Ticket entsteht erst, wenn Sie den Link in unserer Bestätigungsmail anklicken; der Link gilt 24 Stunden. Zum Schutz vor Missbrauch gibt es ein für Menschen unsichtbares Feld und höchstens 5 Anfragen je IP-Adresse und Stunde.

Je nach Vertrag bearbeitet zuerst Ihr Vertriebspartner die Anfrage und gibt sie bei Bedarf an uns weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Vertrag Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

Speicherdauer: Gelöste Tickets werden automatisch geschlossen und samt Nachrichten und Anhängen 24 Monate nach dem Schließen gelöscht. Nicht zuordenbare E-Mails löschen wir nach 30 Tagen, die Eingangsprotokolle des Postfachs nach 12 Monaten.

Support-Zugriff: Der Support sieht die Daten einer Instanz nur, wenn ein Administrator des Betriebs dies freigibt. Die Freigabe gilt für eine gewählte Dauer, auf Wunsch nur lesend, und ist jederzeit widerrufbar. Jede Freigabe und jeder Aufruf wird protokolliert und ist für den Betrieb einsehbar. Benutzerverwaltung, Einstellungen, Datenexport und Passkeys bleiben dabei immer gesperrt.

12. Hilfe-Center und Statusseite

Hilfe-Artikel und Statusseite sind ohne Anmeldung lesbar.

Suchbegriffe im Hilfe-Center speichern wir 90 Tage lang zusammen mit der Anzahl der Treffer, der Zielgruppe und ggf. dem Betrieb, aber ohne Benutzerkonto. So erkennen wir, welche Artikel fehlen. „War das hilfreich?“ speichern wir nur als Zähler.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der Hilfe).

13. Bewerbung als Testwerkstatt

Über das Formular auf tulz.work/testphase können sich Werkstätten als Testwerkstatt bewerben. Wir verarbeiten dabei:

• Name der Werkstatt, Ansprechpartner und E-Mail-Adresse (Pflichtangaben)
• freiwillig: Telefonnummer, Ort, Angaben zur Größe (Standorte, Mitarbeiter, Werkzeuge), die bisherige Lösung und Ihre Nachricht
• Zeitpunkt und IP-Adresse der Bewerbung

Zweck: Wir prüfen die Bewerbung, nehmen Kontakt auf und richten bei einer Zusage einen Testzugang ein. Sie erhalten eine Eingangsbestätigung per E-Mail, wir eine Benachrichtigung über die neue Bewerbung. Mit der Freischaltung legen wir für Ihre Werkstatt eine Instanz an; ab dann gilt Nr. 7, die Testphase endet automatisch nach der angegebenen Dauer.

Schutz vor automatisierten Einsendungen: Die Sicherheitsprüfung aus Nr. 15, ein für Menschen unsichtbares Feld, eine Mindest-Ausfüllzeit (in Ihrer Sitzung gespeichert) und eine Begrenzung der Einsendungen je IP-Adresse. Dienste von Drittanbietern wie Captchas nutzen wir dafür nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage); für die IP-Adresse und den Schutz vor Missbrauch Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Die IP-Adresse entfernen wir nach 90 Tagen. Abgelehnte Bewerbungen löschen wir 6 Monate nach der Entscheidung, freigeschaltete 12 Monate nach der Freischaltung, unbearbeitete spätestens 12 Monate nach Eingang. Auf Wunsch löschen wir Ihre Bewerbung sofort.

14. Suchmaschinen (Google Search Console, IndexNow)

Damit Tulz in Suchmaschinen gefunden wird, nutzen wir die Google Search Console, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Um nachzuweisen, dass uns die Website gehört, nutzen wir einen Bestätigungscode – als Eintrag im DNS unserer Domain oder als Meta-Tag auf der Startseite. Dieser Code ist reiner Text: Er lädt nichts von Google nach, setzt keine Cookies und überträgt beim Besuch unserer Seiten keine Daten an Google. Google-Dienste wie Analytics, Tag Manager, Fonts oder Karten binden wir nicht ein.

In der Search Console sehen wir, wie unsere Seiten in der Google-Suche erscheinen, etwa Suchbegriffe, Klicks, Einblendungen und Positionen. Diese Angaben erhalten wir ausschließlich als zusammengefasste Statistik, aus der wir keine einzelnen Personen erkennen können. Erhoben werden sie von Google bei der Nutzung der Google-Suche in eigener Verantwortung; dafür gilt die Datenschutzerklärung von Google: https://policies.google.com/privacy

Adressen neuer oder geänderter öffentlicher Seiten melden wir über das Verfahren IndexNow (api.indexnow.org) an teilnehmende Suchmaschinen wie Microsoft Bing. Übermittelt werden nur Seitenadressen, keine Daten von Besuchern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, dass Interessenten Tulz über Suchmaschinen finden.

15. Protokolle und Sicherheit

• Plattform-Protokoll: Anlage und Änderungen von Betrieben, Tarifen, Lizenzen, Shops und Partnern, Anmeldungen im Partner-Portal und Zustimmungen – jeweils mit Handelndem, Zeitpunkt und IP-Adresse. Die IP-Adressen werden nach 90 Tagen entfernt; die Einträge selbst bleiben zum Nachweis erhalten.
• Fehlerprotokoll: technische Fehlermeldungen mit Betriebsnummer und Anfrage-ID, ohne Inhalte der Instanz. Die Datei wird ab 2 MB rotiert; nur eine ältere Fassung bleibt erhalten.
• Aktivitätsprotokoll der Betriebe: wer wann was geändert hat, mit IP-Adresse. Es gehört zur Instanz des Betriebs (Nr. 2) und wird nach der vom Betrieb eingestellten Dauer gelöscht (Standard 730 Tage).
• Schutzmaßnahmen: Verschlüsselung per TLS, Begrenzung von Anmelde- und Formularversuchen, Sperren nach Fehlversuchen und automatische Abmeldung nach Inaktivität.
• Sicherheitsprüfung (Captcha): Formulare, die ohne Anmeldung abgeschickt werden können (Anmeldung, Passwort vergessen, Einstieg, Kontakt, Bewerbung, Angebot), prüfen wir mit einem eigenen Verfahren: Ihr Browser löst im Hintergrund eine kleine Rechenaufgabe, ohne JavaScript beantworten Sie eine Rechenfrage. Dabei werden keine Cookies gesetzt und keine Dienste Dritter eingebunden. Zur Begrenzung der Anfragen speichern wir die IP-Adresse höchstens 24 Stunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit) in Verbindung mit Art. 32 DSGVO.

16. Apps für Android und Desktop

Die Apps zeigen die Web-Oberfläche von Tulz an. Bei der Ersteinrichtung speichern sie die Adresse Ihres Betriebs auf dem Gerät. Darüber hinaus erheben die Apps keine eigenen Daten; es gilt diese Datenschutzerklärung.

Die Kamera wird nur zum Scannen genutzt, und nur wenn Sie das Scannen starten. Die Kamerabilder werden auf dem Gerät ausgewertet und weder gespeichert noch übertragen; übertragen wird nur der erkannte Code.

17. Kalender-Abo und Schnittstelle

Betriebe können fällige Termine als Kalender abonnieren und, sofern freigeschaltet, eine Schnittstelle (API) nutzen. Der Zugriff ist nur mit einem geheimen Schlüssel möglich. API-Schlüssel speichern wir nur als Hashwert, zusammen mit Zeitpunkt und IP-Adresse der letzten Nutzung. Diese Verarbeitung erfolgt im Auftrag des Betriebs.

18. Empfänger

Personenbezogene Daten erhalten nur:

• unser Hosting-Anbieter (Nr. 4)
• bei Bezug über einen Vertriebspartner dieser Partner im beschriebenen Umfang (Nr. 9)
• die Betreiber der Online-Shops im Rahmen der Bestellung (Nr. 8)
• Behörden, soweit wir gesetzlich dazu verpflichtet sind

19. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist; die konkreten Fristen stehen bei den einzelnen Verarbeitungen.

Nach dem Ende eines Vertrags oder einer Testphase steht die Instanz noch 90 Tage im Export-Modus bereit. Sieben Tage vor der Löschung erhalten die Administratoren eine E-Mail. Danach werden alle Daten der Instanz einschließlich Bildern und Dokumenten gelöscht. In den Sicherungen des Servers sind sie noch bis zu 30 Tage enthalten, bis diese turnusmäßig überschrieben werden.

20. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Betrifft Ihr Anliegen Daten in der Instanz eines Betriebs (Nr. 2), wenden Sie sich bitte an den Betrieb; wir unterstützen ihn bei der Beantwortung.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

21. Bereitstellung der Daten und automatisierte Entscheidungen

Die als erforderlich gekennzeichneten Daten sind für Vertragsschluss und Nutzung notwendig; ohne sie können wir Tulz nicht bereitstellen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Der automatische Wechsel in den Export-Modus nach Ablauf einer Lizenz folgt allein den vereinbarten Laufzeiten.

22. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.