Datenschutzhinweise Lager
Stand: November 2026
Kurz gesagt: Das Lager ist eine Web-Anwendung von neufeld.digital für das Materiallager von Handwerksbetrieben. Artikel tragen einen QR-Code, Mitarbeiter buchen Entnahmen mit der Handykamera, und bei Erreichen des Mindestbestands bekommt der Chef eine Nachbestell-Mail. Verantwortlich für die Daten ist der Betrieb; wir betreiben das Lager in seinem Auftrag auf Servern in Deutschland, ohne Werbung und ohne Tracking. Alle Verbindungen laufen über Cloudflare; für Bestelltexte nutzen wir OpenAI, übertragen werden dabei nur Lieferant und Positionen (Abschnitt 5).
1. Wer verantwortlich ist
Der Betrieb. Verantwortlicher im Sinne der DSGVO ist der Betrieb, der das Lager gebucht hat, für Mitarbeiter also der Arbeitgeber. Mit Fragen zu Ihren Daten wenden Sie sich am besten zuerst an ihn.
Wir als Auftragsverarbeiter. Olga Neufeld, neufeld.digital, Heinrich-Heine-Straße 10, 46282 Dorsten, kontakt@neufeld.digital, betreibt das Lager für den Betrieb. Wir verarbeiten die Daten nur nach seinen Weisungen und auf Grundlage des Vertrags zur Auftragsverarbeitung, den der Betrieb mit uns schließt (Art. 28 DSGVO): neufeld.digital/avv.
Wo wir selbst verantwortlich sind. Für den Vertrag mit dem Betrieb, also Vertrags-, Abrechnungs- und Supportdaten. Dafür gilt ergänzend unsere Datenschutzerklärung unter neufeld.digital/datenschutz.
2. Welche Daten das Lager verarbeitet
Zugänge. Ist das Lager mit dem Arbeitsbericht des Betriebs verbunden, gelten dieselben Zugänge: Name, E-Mail-Adresse, Rolle, Status und Passwort-Fingerabdruck übernimmt das Lager regelmäßig aus dem Arbeitsbericht. Sonst hat das Lager eigene Zugänge mit denselben Angaben. Werden beide getrennt, behält das Lager die aktiven Zugänge als eigene. In beiden Fällen speichert es zu jeder Person die letzte Anmeldung und zu jeder Anmeldung eine Gerätebezeichnung wie „iPhone · Safari“ mit Beginn, letzter Nutzung und Ablaufdatum. Passwörter liegen nur als nicht umkehrbarer Fingerabdruck vor.
Buchungen. Jede Entnahme und jedes Einräumen mit Zeitpunkt, Artikel, Menge und Einheit, der buchenden Person, Baustelle oder Projekt, der Art der Buchung sowie Einkaufs- und Verkaufspreis zu diesem Zeitpunkt. Buchungen über den vorhandenen Bestand hinaus werden zur Prüfung markiert.
Artikel. Name, Kategorie, Einheit, Bestand, Mindest- und Bestellmenge, Lieferant mit E-Mail-Adresse und Bestell-Link, Einkaufs- und Verkaufspreis, Bild.
Baustellen und Projekte. Name und Status.
Bestellungen. Positionen, Lieferant, Status und Bestelltext.
Einstellungen. Firmenname, E-Mail-Adresse für Bestellhinweise, Bestellweg.
Technische Daten. Bei jeder Anfrage verarbeiten Cloudflare und unser Server Ihre IP-Adresse und Verbindungsdaten. Der Server protokolliert Anmelde-Ereignisse mit E-Mail-Adresse, etwa Anmeldungen, Fehlversuche und Einladungen.
3. Wer was sieht
- Mitarbeiter scannen den QR-Code eines Artikels und buchen auf dessen Seite Entnahmen oder Rückgaben. Eine Buchung lässt sich 10 Minuten lang rückgängig machen, solange sie noch nicht in einem Arbeitsbericht steht. Listen, Bestände und den Verlauf sehen Mitarbeiter nicht.
- Der Chef sieht alles: Artikel, Bestände, Bestellungen und den Verlauf, also wer wann was entnommen hat. Er verwaltet Zugänge und Einstellungen.
- Ist das Lager mit dem Arbeitsbericht verbunden, erscheinen die Entnahmen einer Person in ihrem nächsten Arbeitsbericht. Sobald der Bericht fertig ist, gelten sie als übernommen.
- Wir als Betreiber greifen nur auf Daten zu, wenn es für Betrieb, Wartung und Fehlerbehebung nötig ist oder der Betrieb uns darum bittet.
4. Zwecke und Rechtsgrundlagen
Der Betrieb nutzt das Lager, um Material zu verwalten, den Verbrauch Baustellen zuzuordnen, rechtzeitig nachzubestellen und Material in Arbeitsberichten abzurechnen. Die Rechtsgrundlage legt der Betrieb als Verantwortlicher fest. Für Mitarbeiterdaten ist das in der Regel Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses), für Daten von Lieferanten Art. 6 Abs. 1 lit. b oder f DSGVO. Server-Protokolle und Anmeldebremse schützen die Anwendung vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Der Verlauf zeigt, wer wann welches Material entnommen hat. Er dient der Materialwirtschaft und der Abrechnung. Ob der Betrieb ihn darüber hinaus auswertet, entscheidet er in eigener Verantwortung, gegebenenfalls zusammen mit dem Betriebsrat.
5. Bestellungen und E-Mails
- Erreicht ein Artikel den Mindestbestand, bekommt der Chef eine E-Mail mit den Positionen, dem Lieferanten und einem fertigen Bestelltext.
- Ist als Bestellweg „direkt an den Lieferanten“ eingestellt, geht die Bestellung zusätzlich an die beim Artikel hinterlegte E-Mail-Adresse des Lieferanten. Diese E-Mail enthält nur den Bestelltext.
- Einladungen und Passwort-Links kommen ebenfalls per E-Mail.
Alle E-Mails verschickt Resend (Abschnitt 6).
Bestelltext mit KI. Den Text einer Nachbestellung formuliert ein KI-Modell von OpenAI (gpt-4o-mini). Übertragen werden nur der Name des Lieferanten und die Positionen mit Artikel, Menge und Einheit, keine Daten über Mitarbeiter oder Kunden. Anbieter ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. OpenAI verarbeitet auch in den USA, abgesichert durch EU-Standardvertragsklauseln, nutzt die Daten nicht zum Training und speichert sie höchstens 30 Tage.
Preissuche. Der Link zur Preissuche öffnet in Ihrem Browser eine Suche bei Google Shopping mit dem Artikelnamen. Damit verlassen Sie das Lager; für die Suche ist Google selbst verantwortlich.
6. Empfänger
| Empfänger | Wofür | Ort und Absicherung |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server im Rechenzentrum Nürnberg, verschlüsselte Sicherungen in Falkenstein | Deutschland |
| Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA | Weiterleitung aller Verbindungen, Schutz vor Angriffen, DNS | USA: DPF, Standardvertragsklauseln |
| Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA | E-Mails: Bestellhinweise, Bestellungen, Einladungen, Passwort-Links | USA: DPF, Standardvertragsklauseln |
| OpenAI Ireland Ltd., Dublin, Irland | Bestelltexte (Abschnitt 5) | Irland und USA: Standardvertragsklauseln |
| Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland | unser Postfach für Support und Betriebshinweise (Google Workspace) | Irland, USA möglich: DPF, Standardvertragsklauseln |
| Lieferanten des Betriebs | die Bestellung, wenn „direkt an den Lieferanten“ eingestellt ist | je nach Lieferant |
| Arbeitsbericht des Betriebs | Entnahmen für die Berichte, wenn beide verbunden sind | derselbe Server |
Die Dienstleister sind Unterauftragsverarbeiter mit Vertrag nach Art. 28 DSGVO. Cloudflare entschlüsselt die Verbindung kurz, um sie auf Angriffe zu prüfen, und leitet sie verschlüsselt an unseren Server weiter. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.
7. Cookies und Speicher im Browser
| Name | Zweck | Dauer |
|---|---|---|
| lager_sitzung (Cookie) | hält Sie angemeldet | 90 Tage, verlängert sich bei Nutzung |
| __cf_bm, cf_clearance (Cookies von Cloudflare) | Abwehr von Bots und Angriffen | 30 Minuten; cf_clearance nach einer Sicherheitsprüfung, standardmäßig 30 Minuten |
| theme (lokaler Speicher) | helle oder dunkle Darstellung | bis Sie ihn löschen |
| Baustelle und Projekt (lokaler Speicher) | damit Sie sie nicht bei jeder Buchung neu wählen müssen | bis Sie sie ändern |
| Korb (lokaler Speicher) | noch nicht gebuchte Positionen | höchstens 12 Stunden |
Alle Einträge sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking-, Analyse- oder Werbe-Cookies gibt es nicht.
8. Wie lange Daten gespeichert werden
| Daten | Speicherdauer |
|---|---|
| Buchungen | bis zur Löschung nach Vertragsende; das Lager behält höchstens die letzten 20.000 Buchungen, ältere entfallen automatisch |
| Artikel, Baustellen, Bestellungen, Einstellungen | bis der Betrieb sie löscht, spätestens bis zur Löschung nach Vertragsende |
| Zugänge | bis der Chef sie löscht; Namen bleiben in bestehenden Buchungen stehen |
| Anmeldungen (Sitzungen) | 90 Tage nach der letzten Nutzung |
| Bestelltexte bei OpenAI | höchstens 30 Tage |
| Server-Protokolle | 7 Tage |
| Sicherungen | 30 Tage, verschlüsselt |
| Sicherheitsprotokoll (gelöschte Zugänge) | 12 Monate, spätestens bis zur Löschung nach Vertragsende |
Auf Wunsch des Betriebs löschen wir einzelne Buchungen oder entfernen die Namen ausgeschiedener Mitarbeiter aus dem Verlauf.
9. Ende des Vertrags
Bis zum Ende des Vertrags kann der Betrieb die Materialübersichten je Baustelle jederzeit drucken oder als PDF sichern. Wir erinnern jeden Chef per E-Mail daran, sobald das Vertragsende feststeht, und noch einmal sieben Tage vorher.
Endet der Vertrag, sperren wir den Zugang des Betriebs und löschen alle Daten des Betriebs automatisch. Eine Herausgabe der Daten nach Vertragsende gibt es nicht. In den verschlüsselten Sicherungen sind die Daten danach noch bis zu 30 Tage enthalten.
10. Sicherheit
- Server in Rechenzentren der Hetzner Online GmbH in Deutschland: Nürnberg, Sicherungen in Falkenstein.
- Jeder Betrieb hat eine eigene, abgeschottete Instanz mit eigenem Datenordner.
- Verbindungen nur verschlüsselt und nur über Cloudflare; direkte Zugriffe auf die Anwendungen sind gesperrt.
- Passwörter und Anmeldungen speichern wir nur als Fingerabdruck.
- Nach 5 falschen Passwörtern ist ein Zugang 15 Minuten gesperrt; viele Fehlversuche von einer Adresse werden gebremst.
- Höchstens 2 Geräte je Zugang; beim dritten wird das älteste abgemeldet.
- Tägliche Sicherung, verschlüsselt mit RSA-4096 und AES-256-GCM; der Schlüssel zum Öffnen liegt nicht auf dem Server. Eine weitere verschlüsselte Kopie lagert wöchentlich auf einem Rechner von neufeld.digital, nicht in einer Cloud.
- Automatische Sicherheitsupdates; der Betreiber-Bereich ist zusätzlich durch Cloudflare Access geschützt.
11. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 18, 20 und 21 DSGVO). Weil der Betrieb verantwortlich ist, wenden Sie sich damit am besten an ihn. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich an den Betrieb weiter und helfen ihm bei der Antwort.
Widerspruch: Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO).
12. Beschwerde
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der für Ihren Betrieb zuständigen. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de.
13. Änderungen
Wir passen diese Hinweise an, wenn sich das Lager oder unsere Dienstleister ändern. Es gilt die hier veröffentlichte Fassung.