Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für die in dieser Erklärung beschriebenen eigenen Verarbeitungen ist:

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@griegoleit-schmitz.de oder unter der oben genannten Anschrift.

2. Angebote und Rollen

Diese Datenschutzerklärung gilt für:

• bma-log.de (auch www.bma-log.de): Informationen zu BMA Log und BMA Office, Demo- und Kontaktanfragen, Hilfe und häufige Fragen,
• BMA Log (portal.bma-log.de): Webanwendung für Prüfung, Wartung und Dokumentation von Brandmeldeanlagen und weiteren Anlagen der Sicherheitstechnik,
• BMA Office (office.bma-log.de): Webanwendung für Aufträge, Einsatzplanung, Arbeitsberichte, Leistungsverzeichnisse und Aufmaß, Lager, Fuhrpark und Abrechnung,
• BMA Log Go: App für Android und iOS für die Arbeit an der Anlage.

BMA Log, BMA Office und BMA Log Go richten sich an Unternehmen, etwa Wartungs- und Errichterbetriebe, die damit ihre eigenen Anlagen, Kunden, Aufträge und Mitarbeiter verwalten (nachfolgend „Firmen“). Für die Inhalte, die eine Firma in den Anwendungen verarbeitet, ist die Firma Verantwortlicher. Wir verarbeiten diese Inhalte als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage einer Vereinbarung zur Auftragsverarbeitung. Bitte wenden Sie sich mit Anliegen zu diesen Daten zunächst an die Firma, die die Daten eingegeben hat; wir unterstützen sie bei der Bearbeitung.

Selbst verantwortlich sind wir insbesondere für die Website, Demo- und Kontaktanfragen, den Support, die KI-Hilfe der FAQ, die technische Bereitstellung und Absicherung der Dienste einschließlich der Anmeldung sowie für die Vertragsbeziehung mit den Firmen.

3. Hosting und Aufruf der Website und Anwendungen

Website und Anwendungen werden auf der Infrastruktur von Cloudflare betrieben: Die Anwendung läuft auf Cloudflare Workers, Daten werden in einer Cloudflare-D1-Datenbank und Dateien im Objektspeicher Cloudflare R2 gespeichert. Beim Aufruf verarbeitet Cloudflare die für Auslieferung und Absicherung technisch erforderlichen Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemangaben (User-Agent) sowie sicherheitsrelevante Verbindungsmerkmale. Cloudflare nutzt diese Daten auch, um Angriffe zu erkennen und abzuwehren.

Für den Cloudflare-R2-Dateispeicher ist die EU-Jurisdiktion eingestellt. Die produktive Cloudflare-D1-Datenbank ist ebenfalls mit EU-Jurisdiktion und der Region Osteuropa konfiguriert; die Lesereplikation war bei der Prüfung am 3. November 2026 deaktiviert. Die Auslieferung und Sicherheitsverarbeitung durch Cloudflare erfolgen über dessen Netzwerk; aus der EU-Jurisdiktion folgt daher nicht, dass jeder Zugriff oder jede Verarbeitung ausschließlich innerhalb der EU erfolgt. Die Anwendung selbst speichert in ihrer Datenbank keine Zugriffsprotokolle mit IP-Adressen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, stabilen und schnellen Bereitstellung. Gegenüber Firmen erfolgt die Bereitstellung zur Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und Speicherungen für Anmeldung, Sicherheit und von Ihnen gewählte Darstellungen. Die öffentlichen Seiten von bma-log.de setzen keine Cookies. Wir setzen keine Analyse-, Tracking- oder Werbedienste ein und binden keine Inhalte von Servern Dritter ein, etwa Schriftarten, Karten oder Videos.

Rechtsgrundlage für das Speichern von und den Zugriff auf Informationen in Ihrem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Eine Übersicht aller Cookies und Speichereinträge finden Sie unter Cookies & Speicher.

5. Demo- und Kontaktanfragen über die Website

Über das Kontaktformular auf bma-log.de können Sie eine Demo anfragen. Dabei verarbeiten wir Name, Firma und E-Mail-Adresse (Pflichtangaben) sowie freiwillig Telefonnummer, ungefähre Anzahl der Techniker und Ihre Nachricht. Über das Formular „BMA Office kennenlernen“ auf der Seite zu BMA Office verarbeiten wir Name und E-Mail-Adresse (Pflichtangaben) sowie freiwillig Firma und Ihr Anliegen.

Ihre Angaben werden per E-Mail über den Versanddienst Resend an unser für Demo- und Vertriebsanfragen vorgesehenes Postfach info@bma-log.de übermittelt. Damit keine Anfrage verloren geht, falls der Versand gestört ist, speichern wir die Anfrage zusätzlich mit Versandstatus in der Datenbank von BMA Log; dort wird sie nach 90 Tagen automatisch gelöscht. Eine Eingangsbestätigung an die angegebene Adresse senden wir nicht.

Zum Schutz vor Missbrauch wird aus Ihrer IP-Adresse ein pseudonymisierter Hashwert (SHA-256) gebildet und mit einem Zähler für das laufende Stundenfenster gespeichert; je Stundenfenster sind höchstens fünf Anfragen möglich. Die IP-Adresse selbst wird dabei nicht gespeichert.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen, Schutz vor Missbrauch).

6. Kontakt per E-Mail und Support

Wenn Sie uns per E-Mail kontaktieren, etwa an info@griegoleit-schmitz.de, info@bma-log.de oder support@bma-log.de, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, den Inhalt Ihrer Nachricht und mitgesendete Anhänge wie Screenshots, um Ihr Anliegen zu bearbeiten. Für den Empfang und die Speicherung von E-Mails setzen wir einen E-Mail-Anbieter ein. Bitte senden Sie keine Passwörter, Zugangsschlüssel oder Einladungscodes mit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anliegen einen Vertrag mit Ihnen oder Ihrer Firma betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

7. KI-Hilfe auf den Hilfeseiten

Auf den Hilfeseiten kann, sofern wir sie aktiviert haben, eine KI-Hilfe genutzt werden, die Fragen zur Bedienung auf Grundlage unserer FAQ beantwortet. Ihre Frage (bis zu 600 Zeichen) wird dazu an die OpenAI API übermittelt. Die Speicherung der Antwort beim Anbieter ist deaktiviert (Option „store: false“). Nach Angaben von OpenAI werden über die API übermittelte Daten standardmäßig nicht zum Training von Modellen verwendet; zur Erkennung von Missbrauch können sie beim Anbieter für einen begrenzten Zeitraum gespeichert werden.

Die KI-Hilfe hat keinen Zugriff auf Konten, Anlagen oder Wartungsdaten. Fragen und Antworten speichern wir nicht in unserer Datenbank; der Gesprächsverlauf besteht nur in Ihrem geöffneten Browserfenster. Zum Schutz vor Missbrauch wird – wie bei der Demoanfrage – ein pseudonymisierter Hashwert Ihrer IP-Adresse mit einem Stundenzähler gespeichert (höchstens zwölf Fragen pro Stunde). Bitte geben Sie keine personenbezogenen Daten, Kundendaten oder Zugangsdaten ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer schnellen Hilfe zur Bedienung unserer Produkte.

8. Registrierung, Anmeldung und Benutzerkonten

Zugänge zu BMA Log, BMA Office und BMA Log Go erhalten Personen, die von einer Firma eingeladen werden oder für ihre Firma einen Zugang beantragen. Dabei werden verarbeitet:

• Konto- und Identitätsdaten: E-Mail-Adresse, Name, Passwort (nur als Hashwert beim Authentifizierungsdienst), Angaben zur Registrierung wie Firmenname und gewünschte Rolle, Bestätigungsstatus der E-Mail-Adresse und gegebenenfalls Faktoren der Zwei-Faktor-Anmeldung,
• Mitgliedschafts- und Berechtigungsdaten: Firmenzugehörigkeit, Rolle (in BMA Log Administration, Projektleitung, Techniker oder Kunde; in BMA Office Firmenadmin, Disposition, Projektleiter oder Techniker), Funktionsberechtigungen, zugeordnete Anlagen, Freigabe für BMA Log und BMA Office sowie Kontostatus,
• Einladungen: E-Mail-Adresse, Rolle, Ablaufdatum und ein Hashwert des Einladungscodes,
• Sitzungsdaten: Zugriffs- und Erneuerungstoken (siehe Cookies & Speicher).

Die Anmeldung erfolgt über den Authentifizierungsdienst Supabase Auth. Passwörter werden nicht in der Datenbank von BMA Log gespeichert. E-Mails zur Bestätigung der Registrierung, zur Anmeldung per E-Mail-Link und zum Zurücksetzen des Passworts versendet der Authentifizierungsdienst. Dabei können beim Anbieter technische Protokolldaten der Anmeldung, etwa Zeitpunkt und IP-Adresse, anfallen. Sie können eine Zwei-Faktor-Anmeldung mit Einmalcodes aus einer Authenticator-App einrichten; danach ist der zweite Faktor bei jeder Anmeldung erforderlich.

Zum Schutz vor dem Ausprobieren von Passwörtern zählen wir Anmeldeversuche je pseudonymisiertem Schlüssel, der aus der E-Mail-Adresse bzw. Benutzerkennung als Hashwert gebildet wird, in Zeitfenstern von zehn Minuten.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des vereinbarten Zugangs) und Art. 6 Abs. 1 lit. f DSGVO (Absicherung der Dienste). Soweit Konten für Mitarbeiter oder Kunden einer Firma eingerichtet werden, verarbeiten wir die Kontodaten im Auftrag dieser Firma; die Firmenadministration kann Benutzer einladen, Rollen und Berechtigungen ändern und Zugänge sperren oder entfernen.

9. Konto selbst löschen

Sie können Ihr Konto selbst löschen – in BMA Log unter „Mein Konto & Sicherheit“ und in BMA Log Go unter „Konto“. Dabei werden Ihre Zugänge zu Firmen, Ihre persönlichen Kalenderverbindungen samt der daraus importierten Termine und offene Einladungen an Ihre E-Mail-Adresse entfernt, Ihre Sitzungen beendet und Ihre Anmeldeidentität (E-Mail-Adresse und Passwort) beim Authentifizierungsdienst gelöscht. Ist die automatische Löschung der Anmeldeidentität im Einzelfall nicht möglich, wird sie vorgemerkt und durch den Support gelöscht. Im Aktivitätsprotokoll der Firma wird die Löschung ohne Ihren Namen vermerkt.

Nicht gelöscht werden Unterlagen, die der Firma gehören, etwa Wartungsprotokolle, Prüf- und Arbeitsberichte, Anlagen und Dateien. Darin kann Ihr Name als bearbeitende Person enthalten bleiben; über diese Daten entscheidet die Firma als Verantwortlicher. Ist Ihr Konto die letzte Administration einer Firma, muss zuvor eine weitere Person als Administrator freigegeben werden. Der Eigentümerzugang einer Firma wird über den Support (support@bma-log.de) übergeben oder aufgelöst.

10. Daten in BMA Log (Auftragsverarbeitung)

Firmen verarbeiten in BMA Log insbesondere:

• Kunden-, Objekt- und Anlagendaten: Kunde, Anschrift, Ansprechpartner und verantwortliche Personen, Anlagenbezeichnung und -nummer, Hersteller, Zentrale, Meldergruppen, Melder und Steuerungen, Batterien, Programmstände, Prüfintervall und Prüftermine,
• Prüf- und Wartungsdaten: Auslösungen, Messwerte, Prüfpositionen, Mängel, Bemerkungen und Notizen an Prüfpunkten, Ereignisse aus dem Ereignisspeicher der Zentrale, Zeitpunkte und Namen der bearbeitenden Personen, Unterschriften und Firmenstempel, abgeschlossene Prüfstände sowie daraus erzeugte Prüfberichte, Auslöselisten und Mängeldokumentationen,
• Dateien: Fotos, Handbücher, Service- und Importdateien, Ereignisspeicher-Exporte und Programmstände,
• Kundenzugänge: Kunden einer Firma sehen nur die für sie freigegebenen Anlagen, Abschlüsse und Dokumente und können Rückmeldungen an die Firma senden,
• Termine und Einsatzplanung sowie das Aktivitätsprotokoll der Firma.

Diese Daten verarbeiten wir ausschließlich im Auftrag der jeweiligen Firma. Zwecke und Rechtsgrundlagen legt die Firma als Verantwortlicher fest.

11. Daten in BMA Office (Auftragsverarbeitung)

Firmen verarbeiten in BMA Office insbesondere:

• Kunden und Kontakte: Name bzw. Firma, Kundennummer, Anschrift, Telefon, E-Mail- und Rechnungs-E-Mail-Adresse, Ansprechpartner mit Funktion sowie Standorte,
• Aufträge und Projekte: Auftragsnummer, Art, Beschreibung, Priorität, Termine und Status, Leistungsverzeichnisse (auch aus GAEB-Dateien) und Aufmaß,
• Einsatzplanung: Zuordnung von Technikern, geplante Zeiten und Notizen,
• Arbeitsberichte: Arbeitsdatum, tatsächliche Beginn- und Endzeiten, Pausen-, Arbeits- und Fahrzeiten, Tätigkeiten, Mängel, verwendetes Material, Name und Unterschrift der unterschreibenden Person beim Kunden, Unterschrift des Technikers oder Grund für eine fehlende Unterschrift sowie frühere Fassungen,
• Lager und Fuhrpark: Artikel, Bestände und Preise; Fahrzeuge mit Kennzeichen, Hersteller, Modell, Kilometerstand und zugeordnetem Techniker,
• Abrechnung: Rechnungen, Abschlags- und Stornorechnungen mit Rechnungsnummer, Leistungszeitraum, Kunden- und Absenderangaben (einschließlich Steuernummer bzw. USt-IdNr. und Bankverbindung der ausstellenden Firma), Positionen und Beträgen sowie die erzeugten PDF- und XML-Rechnungsdateien; Kostenstellen und Kostenträger,
• Dokumente: Auftragsdateien, Dokumentenordner, Briefkopf und Logo,
• E-Mail-Versand von Arbeitsberichten und Rechnungen: Empfänger, Betreff, Nachricht und Anhänge, sowie das Aktivitätsprotokoll.

Diese Daten verarbeiten wir ausschließlich im Auftrag der jeweiligen Firma. Arbeitszeiten in Arbeitsberichten und die Zuordnung von Fahrzeugen sind Beschäftigtendaten; für ihre zulässige Verwendung ist die Firma als Arbeitgeber verantwortlich. Für Rechnungen und andere handels- und steuerrechtlich relevante Unterlagen gelten für die Firma gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO), deren Einhaltung der Firma obliegt.

12. App BMA Log Go

BMA Log Go ist über den App Store von Apple bzw. Google Play erhältlich. Für die Verarbeitung beim Herunterladen, etwa Ihres Store-Kontos, sind die jeweiligen Store-Betreiber verantwortlich.

• Anmeldung: Die Anmeldung erfolgt mit E-Mail-Adresse und Passwort sowie gegebenenfalls dem zweiten Faktor über den Server von BMA Log. Die Sitzung wird im geschützten Speicher des Betriebssystems abgelegt (iOS: Schlüsselbund; Android: mit dem Android Keystore verschlüsselter Speicher).
• Arbeiten ohne Verbindung: Damit Sie auch ohne Netz arbeiten können, speichert die App die Daten der Anlagen und Prüfungen, auf die Sie Zugriff haben, noch nicht übertragene Änderungen und Fotos sowie für freigegebene Anlagen automatisch zum Offline-Einsatz bereitgestellte Dokumente im app-eigenen Speicherbereich des Geräts. Änderungen werden übertragen, sobald wieder eine Verbindung besteht.
• Abmeldung: Beim Abmelden entfernt die App alle Daten Ihres Kontos vom Gerät, einschließlich Offline-Kopie, gesicherter Dokumente, Vorschau-Zwischenspeicher und Sitzung. Bestehen noch nicht übertragene Änderungen, weist die App vorher darauf hin. Meldet sich auf dem Gerät ein anderes Konto an, werden die Daten des vorherigen Kontos ebenfalls entfernt.
• Berechtigungen: Die Kamera wird nur verwendet, um Fotos für die Wartungsdokumentation aufzunehmen und Anlagen-QR-Codes zu scannen; der Zugriff auf Fotos dient der Auswahl vorhandener Bilder. Die App verwendet weder Mikrofon noch Standort, Kontakte oder Push-Benachrichtigungen und enthält keine Analyse-, Werbe- oder Absturzberichts-Dienste.
• Sprachansagen: Auf Wunsch gibt die App Hinweise über die Sprachausgabe des Betriebssystems aus; die Einstellung wird auf dem Gerät gespeichert.

Ob und in welchem Umfang das Betriebssystem App-Daten in Gerätesicherungen einbezieht, richtet sich nach den Einstellungen Ihres Geräts. Rechtsgrundlagen entsprechen denen der Webanwendung (Abschnitte 8, 10 und 11) sowie § 25 Abs. 2 Nr. 2 TDDDG für die Speicherung auf dem Gerät.

13. Dateien, Fotos und Unterschriften

In BMA Log und BMA Office können Fotos, Unterschriften, Firmenstempel, Handbücher, Import-, Service- und Ereignisdateien, Programmstände, Auftragsdokumente und Briefköpfe hochgeladen werden. Die Dateien werden im Objektspeicher Cloudflare R2 mit EU-Jurisdiktion abgelegt und einer Firma sowie gegebenenfalls einer Anlage, einem Auftrag oder einem Bericht zugeordnet. Jeder Abruf wird serverseitig gegen Firma und Berechtigung geprüft. Bitte laden Sie nur Dateien hoch, die für den jeweiligen Zweck erforderlich sind.

14. E-Mail-Versand aus den Anwendungen

• BMA Log: Prüfberichte, Auslöselisten und Mängeldokumentationen werden nur versendet, wenn ein berechtigter Benutzer dies auslöst; Empfänger und Anhänge werden vorher ausdrücklich bestätigt. Verarbeitet werden Empfängeradressen, Betreff, Nachricht, die ausgewählten PDF-Dateien, Absender- und Antwortadresse sowie ein Versandprotokoll mit Empfänger, Betreff, Status, Zeitpunkt und auslösender Person.
• BMA Office: Arbeitsberichte, Rechnungen und Stornorechnungen werden an die vom Benutzer gewählten Empfänger versendet.
• Systemnachrichten: etwa Testnachrichten der Administration sowie die Weiterleitung von Demo- und Kontaktanfragen an unser Postfach.

Für den Versand nutzen wir den Dienst Resend. Standardmäßig erfolgt der Versand über unser Resend-Konto. Firmen können für BMA Office ein eigenes Resend-Konto hinterlegen; der Versand erfolgt dann über das Konto der Firma, die insoweit selbst Vertragspartner von Resend ist.

15. Kalender und Kalenderabonnements

In BMA Log können Termine und Einsätze geplant werden (Bezeichnung, Zeitraum, Anlage, zugeordnete Personen, Notizen). Benutzer können zusätzlich einen eigenen Kalender per ICS-Abonnementlink von Google Kalender, Microsoft Outlook oder Apple iCloud einbinden; andere Anbieter werden nicht angenommen. Der Abonnementlink wird verschlüsselt gespeichert. Zur Synchronisation ruft BMA Log die Termine serverseitig beim jeweiligen Anbieter ab und speichert sie zur Anzeige. Wird die Verbindung getrennt oder das Konto gelöscht, werden die Verbindung und die daraus importierten Termine entfernt. Für die Verarbeitung im eingebundenen Kalender ist dessen Anbieter verantwortlich.

16. KI-Assistent in BMA Log

Mitarbeiter einer Firma mit Zugriff auf eine Anlage können in BMA Log, sofern wir die KI-Verbindung aktiviert haben, einen KI-Assistenten nutzen, etwa um Informationen zur Anlage zusammenzufassen, in einem Handbuch nachzuschlagen, das Foto eines Bedienteils auszulesen oder Entwürfe für Berichtstexte zu erstellen. Nur bei einer solchen Anfrage werden an die OpenAI API übermittelt: die Frage, die Daten der ausgewählten Anlage einschließlich dort hinterlegter Angaben wie Kunde, Anschrift, Ansprechpartner und verantwortliche Person, die Daten der laufenden oder ausgewählten Prüfung, Messwerte, Prüfpositionen und Notizen der letzten beiden Abschlüsse sowie – nur wenn ausgewählt – ein Handbuch der Anlage (PDF) oder ein Foto. Die Speicherung der Antwort beim Anbieter ist deaktiviert (Option „store: false“); im Übrigen gelten die Hinweise in Abschnitt 7.

Antworten sind Entwürfe und Hilfestellungen. Der Assistent ändert keine Daten, bewertet keine Prüfung als bestanden und gibt keine Anlage frei. Die Verarbeitung erfolgt im Auftrag der Firma; OpenAI ist dabei Unterauftragsverarbeiter.

17. Protokolle und Sicherheit

• Aktivitätsprotokoll: Wichtige Aktionen wie Änderungen an Anlagen, Prüfungsabschlüsse, Versand, Rechteänderungen und Exporte werden mit Bezeichnung, Name der handelnden Person, Zeitpunkt, betroffener Anlage und technischen Details protokolliert. Das Protokoll ist für die Firmenadministration einsehbar.
• Zähler zur Begrenzung von Anmeldeversuchen und Anfragen werden ausschließlich pseudonymisiert gespeichert (siehe Abschnitte 5, 7 und 8).
• Kenntnisnahme von Firmenhinweisen: Veröffentlicht Ihre Firma eigene rechtliche Hinweise, wird Ihre Kenntnisnahme mit Benutzerkennung, Fassung und Zeitpunkt gespeichert.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit) sowie Art. 6 Abs. 1 lit. c in Verbindung mit Art. 32 DSGVO. Soweit Protokolle Inhalte einer Firma betreffen, verarbeiten wir sie in deren Auftrag.

18. Empfänger

Wir setzen folgende Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten. Einzelheiten zu Daten, Ort der Verarbeitung und Übermittlungsgrundlagen enthält die Seite Unterauftragsverarbeiter.

Bei eingebundenen Kalendern ruft BMA Log Daten beim gewählten Anbieter ab; beim Herunterladen von BMA Log Go verarbeiten die Store-Betreiber Daten in eigener Verantwortung. Im Übrigen geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

19. Übermittlung in Drittländer

Cloudflare und Resend haben ihren Sitz in den USA; der Anbieter Supabase hat seinen Sitz in Singapur, während unser Supabase-Auth-Produktivprojekt in London (Region eu-west-2, Vereinigtes Königreich) betrieben wird. Für das Vereinigte Königreich besteht ein erneuerter Angemessenheitsbeschluss der Europäischen Kommission. Unser Vertragspartner bei OpenAI ist OpenAI Ireland Ltd.; OpenAI verarbeitet Daten auch durch verbundene Unternehmen in den USA. Auch wenn Daten in der EU gespeichert werden, kann ein Zugriff aus Drittländern daher nicht ausgeschlossen werden. Übermittlungen stützen sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Empfänger danach zertifiziert ist, und im Übrigen auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nach den Vereinbarungen der Anbieter. Die Grundlage je Anbieter finden Sie auf der Seite Unterauftragsverarbeiter.

20. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen gilt:

Die tägliche Bereinigung wird durch Anmeldevorgänge in BMA Log und BMA Log Go angestoßen und läuft höchstens einmal pro Kalendertag. Die Datenbankinfrastruktur (Cloudflare D1) hält Wiederherstellungsstände für einen begrenzten Zeitraum vor. Gelöschte Daten können darin bis zum Ablauf dieses Zeitraums technisch noch enthalten sein; sie werden nur genutzt, um nach einer Störung einen früheren Stand wiederherzustellen.

21. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Betrifft Ihr Anliegen Daten, die wir im Auftrag einer Firma verarbeiten (Abschnitte 10, 11 und 16), wenden Sie sich bitte an diese Firma. Geht ein solches Anliegen bei uns ein, leiten wir es an die Firma weiter bzw. unterstützen sie bei der Beantwortung.

22. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem wir unseren Sitz haben.

23. Pflicht zur Bereitstellung

Für die Nutzung von BMA Log, BMA Office und BMA Log Go sind E-Mail-Adresse, Name und Passwort erforderlich; ohne diese Angaben kann kein Zugang eingerichtet werden. Für eine Demoanfrage benötigen wir Name, Firma und E-Mail-Adresse, für eine Anfrage zu BMA Office Name und E-Mail-Adresse. Alle weiteren Angaben sind freiwillig bzw. werden von der jeweiligen Firma festgelegt.

24. Keine automatisierte Entscheidungsfindung

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile. Die KI-Funktionen liefern nur Entwürfe und Hilfestellungen; Bewertungen und Entscheidungen treffen die Benutzer.

25. Datensicherheit

Wir schützen Daten durch technische und organisatorische Maßnahmen, unter anderem verschlüsselte Übertragung per HTTPS, Rollen- und Anlagenrechte, Mandantentrennung, optionale Zwei-Faktor-Anmeldung, verschlüsselte Speicherung von Zugangsschlüsseln und Begrenzung von Anmeldeversuchen. Die Maßnahmen sind unter Technische und organisatorische Maßnahmen beschrieben.

26. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.