Datenschutzerklärung

1. Verantwortlicher

Dispovera ist ein Produkt von PsGreen.

Derzeit ist kein Datenschutzbeauftragter bestellt.

2. Geltungsbereich

Diese Datenschutzerklärung gilt insbesondere für die öffentliche Dispovera-Website, Testanfragen, Anmeldung und Nutzung des Dispovera-Kundenbereichs, E-Mail-Kommunikation, Vertragsanbahnung, Bestellung von Dispovera-Modulen sowie den technischen Betrieb und die Sicherheit der Plattform.

Verarbeiten Geschäftskunden personenbezogene Daten ihrer Mitarbeiter, Kunden, Ansprechpartner oder sonstiger Personen in Dispovera, ist grundsätzlich der jeweilige Geschäftskunde Verantwortlicher. PsGreen verarbeitet diese Daten als Auftragsverarbeiter nach Maßgabe eines AVV gemäß Art. 28 DSGVO.

3. Website und Serverprotokolle

Beim Zugriff können technisch notwendige Verbindungsdaten verarbeitet werden, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Referrer, Browser- und Betriebssysteminformationen sowie technische Status- und Fehlerdaten. Dies dient Auslieferung, Stabilität, Fehleranalyse, Sicherheit und Angriffserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Speicherung erfolgt nur so lange, wie sie für Betrieb, Fehleranalyse und Sicherheit erforderlich ist; eine längere Speicherung erfolgt nur bei konkreten Sicherheitsvorfällen oder gesetzlichen Pflichten.

4. Hosting

Die für Dispovera eingesetzte Serverinfrastruktur befindet sich nach der gewählten Produktivkonfiguration in einem Rechenzentrum in Deutschland. IONOS verarbeitet insbesondere Hosting-, Datenbank-, Datei-, Verbindungs- und Serverdaten im Rahmen des technischen Betriebs. Rechtsgrundlagen sind abhängig vom Zusammenhang Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5. Technisch notwendige Cookies und Sessions

Dispovera verwendet derzeit nur technisch notwendige Cookies beziehungsweise Sitzungsinformationen für Sessionverwaltung, Login, Formular- und CSRF-Schutz, Fehler- und Erfolgsmeldungen sowie Sicherheitsfunktionen. Sie dienen nicht Werbung, Profilbildung oder Marketinganalyse.

Das Speichern oder Auslesen auf Endgeräten ist gemäß § 25 Abs. 2 TDDDG technisch erforderlich. Die anschließende personenbezogene Verarbeitung beruht je nach Kontext auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Für die derzeit eingesetzten technisch notwendigen Cookies ist keine Einwilligung erforderlich.

6. Testanfragen

Bei einer Testanfrage verarbeiten wir insbesondere Unternehmen, Vorname, Nachname, E-Mail-Adresse, Zeitpunkt der Anfrage und die Bestätigung der Kenntnisnahme der Datenschutzhinweise. Zweck ist die Bearbeitung der Testanfrage und Vorbereitung einer möglichen Testphase. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Eine Testanfrage erstellt nicht automatisch ein Benutzerkonto, eine Company, eine kostenpflichtige Bestellung oder eine Zahlung. Führt sie zu keiner Test- oder Vertragsbeziehung, werden die Daten grundsätzlich 6 Monate nach Abschluss der Kommunikation gelöscht, soweit keine gesetzlichen Pflichten oder sonstigen zulässigen Gründe entgegenstehen.

Schutz durch Cloudflare Turnstile

Ausschließlich zum Schutz des öffentlichen Testanfrageformulars vor automatisierten Zugriffen, Bots und Missbrauch setzen wir Cloudflare Turnstile des Anbieters Cloudflare, Inc. ein. Im Rahmen der Sicherheitsprüfung können insbesondere die IP-Adresse, TLS- und Verbindungsmerkmale beziehungsweise ein TLS-Fingerprint, der User-Agent und weitere Browserinformationen, der Turnstile-Sitekey, der zugehörige Ursprung beziehungsweise Hostname sowie weitere für die Bot-Erkennung technisch erforderliche Browser- und Verbindungsmerkmale verarbeitet werden.

Zweck dieser Verarbeitung ist der Sicherheits- und Missbrauchsschutz, nicht Werbung, Marketing oder die Erstellung von Werbeprofilen. Rechtsgrundlage auf Seiten von PsGreen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit des öffentlichen Formulars sowie im Schutz vor automatisiertem Missbrauch und missbräuchlichen Anfragen.

Soweit Cloudflare diese Signale zur Bereitstellung des Turnstile-Dienstes und zum Schutz unserer Website verarbeitet, beschreibt Cloudflare sich als Auftragsverarbeiter des Websitebetreibers. Cloudflare gibt an, bestimmte Signale zusätzlich in eigener Verantwortlichkeit zur Verbesserung der eigenen Bot-Erkennungsfunktionen zu verarbeiten. Weitere Informationen enthält das Turnstile Privacy Addendum von Cloudflare.

7. Benutzerkonten, Einladungen und Anmeldung

Eine freie öffentliche Selbstregistrierung besteht nicht. Benutzerkonten entstehen im Rahmen einer eingerichteten Kunden- oder Testorganisation beziehungsweise einer Einladung.

Verarbeitet werden können Name, E-Mail, Benutzerstatus, Company-Zugehörigkeit, Rollen, Berechtigungen, Login- und Sicherheitsdaten sowie technische Sitzungsdaten. Dies dient Zugang, Authentifizierung, Berechtigungssteuerung, Sicherheit und Nachvollziehbarkeit. Rechtsgrundlagen sind je nach Verhältnis Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

8. Testphase

Für eingerichtete Testunternehmen kann eine zeitlich begrenzte Testphase bestehen. Dabei werden insbesondere Beginn, Ende, Company-Zuordnung und technischer Zugriffsstatus verarbeitet, um die Testphase bereitzustellen und technisch zu steuern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Bestellung und Vertragsanbahnung

Bestellungen von Dispovera-Modulen erfolgen im authentifizierten Kundenbereich. Verarbeitet werden können Unternehmens-, Rechnungs- und Adressdaten, Kontaktinformationen, gegebenenfalls die USt-IdNr., Mitarbeitergrößenklasse, ausgewählte Module, Tarif- und Preisinformationen, Bestellzeitpunkt und Bearbeitungsstatus.

Die Bestellung führt derzeit nicht automatisch zu einer Zahlungsabwicklung. Weitere Bearbeitung, Rechnung und Freischaltung erfolgen über den vorgesehenen Geschäftsprozess. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für gesetzliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

10. E-Mail-Versand über Brevo

Der tatsächliche Mailversand erfolgt technisch derzeit über die SMTP-Infrastruktur von Brevo. Dabei können Empfängeradresse, Name, Absender, Betreff, Nachrichteninhalt, Versandzeit sowie Versand- und Zustellinformationen verarbeitet werden. Rechtsgrundlagen sind je nach Anlass Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Brevo gibt an, die Hosting-Server seiner Datenbanken innerhalb der Europäischen Union zu betreiben.

11. Eigene serverseitige Reichweitenstatistik

Für die öffentliche Website erfasst Dispovera rein serverseitig erfolgreiche Aufrufe ausgewählter öffentlicher HTML-Seiten und ausgewählte Klickereignisse wie „Testen“ oder „Login“. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Es gibt keinen externen Analyticsanbieter, keine Analytics-Cookies, keine Marketing-Cookies, keine dauerhafte Browserkennung und keinen LocalStorage-Identifier. Rohe IP-Adresse und roher User-Agent werden nicht in den Analyticsdaten gespeichert. Aus der technisch anfallenden IP-Adresse wird serverseitig ein HMAC-basierter pseudonymer Besucherwert erzeugt. Der Schlüssel wechselt täglich, sodass keine dauerhafte Wiedererkennung über mehrere Tage vorgesehen ist.

Die Daten werden nicht mit Benutzerkonten, Companies, Testanfragen oder Bestellungen verknüpft und nicht für Werbung oder Marketingprofile genutzt. Detaillierte Analytics-Ereignisse werden 40 Tage aufbewahrt. Die dargestellte Zahl unterschiedlicher Besucher ist nur eine Schätzung.

12. Schriftarten und externe Website-Inhalte

Die verwendeten Schriftarten werden lokal mit den Anwendungsdateien ausgeliefert. Beim normalen Seitenaufruf wird daher keine Browserverbindung zu einem externen Fontanbieter aufgebaut. Derzeit werden keine externen Marketing- oder Analyticsdienste eingesetzt.

13. Geoapify

Dispovera verfügt über Geokodierungs- und Routingfunktionen des externen Dienstes Geoapify. Dabei können postalische Anschriften, Straße, Hausnummer, PLZ, Ort, Land, geografische Koordinaten und technisch erforderliche Verbindungsinformationen verarbeitet werden.

Der EU-fokussierte Endpoint https://api-eu.geoapify.com ist für Dispovera fest vorgesehen und auf Staging technisch erfolgreich getestet. Geoapify wird nur verwendet, soweit Geokodierungs- oder Routingfunktionen tatsächlich ausgeführt werden. Geschieht dies für Kundendaten, wird Geoapify als Unterauftragsverarbeiter im Rahmen des AVV eingesetzt.

14. Backups

Produktiv werden täglich die MySQL-Datenbank dispovera und storage/app gesichert. Integritätsprüfungen umfassen gzip-Prüfung, tar-Prüfung und SHA-256-Prüfsummen.

Produktivserver

Die lokale Sicherung liegt unter restriktiven Zugriffsrechten. Dateien, die älter als 7 Tage sind, werden durch die bestehende Rotation entfernt.

Getrennte Staging-Sicherung

Eine zusätzliche Übertragung erfolgt über SSH/SCP an eine getrennte Staging-Infrastruktur mit dediziertem Backup-Benutzer. Dateien, die älter als 30 Tage sind, werden entfernt.

Cloudflare R2

Zusätzlich besteht ein durch Restic verschlüsselt gespeichertes Offsite-Backup in Cloudflare R2. Für den verwendeten Speicher ist eine EU-Jurisdiction eingerichtet. Die Retention umfasst 30 tägliche, 12 wöchentliche und 12 monatliche Wiederherstellungspunkte.

Backups dienen nur Datensicherung, Wiederherstellung und Notfallvorsorge und sind kein reguläres Archiv für gelöschte Kundendaten. Bei einer Wiederherstellung müssen bereits erfolgte Löschungen soweit erforderlich erneut nachvollzogen werden.

15. Cloudflare R2

Cloudflare R2 wird ausschließlich für Restic-verschlüsselte externe Backups mit EU-Jurisdiction zur Datensicherung, Wiederherstellung und Notfallvorsorge genutzt. Der Dienst ist kein regulärer Produktivspeicher für operative Kundenzugriffe.

16. Auftragsverarbeitung für Geschäftskunden

Dispovera ist eine mandantenfähige SaaS-Plattform. Je nach Modulen können Kunden Mitarbeiterdaten, Benutzer- und Berechtigungsdaten, Kontaktdaten, Kundendaten, Ansprechpartner, Liefer- und Einsatzadressen, Auftragsdaten, Termin- und Dispositionsdaten, Teamzuordnungen, Notizen und weitere betriebliche Daten verarbeiten.

Für Zweck und Rechtsgrundlage ist grundsätzlich der jeweilige Geschäftskunde verantwortlich. PsGreen verarbeitet diese Daten bei der Bereitstellung von Dispovera als Auftragsverarbeiter. Die Einzelheiten werden in einem AVV gemäß Art. 28 DSGVO geregelt.

17. Zugriffsschutz

Zum Zugriffsschutz dienen Mandantentrennung, Benutzerkonten, Rollen, Berechtigungen, Produktmodule, Company- und standortbezogene Beschränkungen, serverseitige Autorisierung und administrative Zugriffsbeschränkungen. Der aktuelle Server-Administrationszugriff ist auf den Betreiber beschränkt.

Administrativer Zugriff auf Kundendaten erfolgt nur, soweit dies für Betrieb, Fehleranalyse, Sicherheit oder Support tatsächlich erforderlich ist.

18. Vertragsende und Löschung

Nach Vertragsende wird die Organisation deaktiviert beziehungsweise der operative Zugang beendet. Operative Kundendaten verbleiben grundsätzlich noch 90 Tage nach Vertragsende im Produktivsystem, um kurzfristige Reaktivierung, einen notwendigen Export und die Absicherung gegen eine versehentliche Vertragsbeendigung zu ermöglichen.

Danach werden operative personenbezogene Daten aus dem Produktivsystem gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder anderen gesetzlichen Gründe entgegenstehen. Gesetzlich aufzubewahrende Geschäfts-, Vertrags- und Abrechnungsdaten bleiben unberührt. Backup-Daten laufen anschließend über die reguläre Rotation aus und dürfen nicht als regulärer Zugriff auf gekündigte Kundendaten verwendet werden.

19. Empfänger und technische Dienstleister

• IONOS SE – Hosting und Serverinfrastruktur
• Brevo – E-Mail-Versand
• Cloudflare R2 – verschlüsseltes externes Backup mit EU-Jurisdiction
• Geoapify – Geokodierung und Routing, soweit eingesetzt

Soweit diese Anbieter personenbezogene Daten im Auftrag verarbeiten, erfolgt ihr Einsatz auf Grundlage der datenschutzrechtlich erforderlichen Vereinbarungen.

20. Drittlandübermittlungen

Dispovera bevorzugt die Verarbeitung in Deutschland beziehungsweise der EU. Aktuell befinden sich die IONOS-Server in Deutschland, Geoapify ist über den EU-fokussierten Endpoint vorgesehen, Brevo hostet seine Datenbanken laut Anbieter innerhalb der EU und Cloudflare R2 ist mit EU-Jurisdiction eingerichtet.

Soweit bei Dienstleistern oder deren Unterauftragnehmern dennoch Drittlandübermittlungen erforderlich sind, erfolgen sie nur unter den Voraussetzungen der Art. 44 ff. DSGVO, etwa aufgrund eines Angemessenheitsbeschlusses, von Standardvertragsklauseln oder anderen zulässigen Garantien.

21. Speicherdauer

• Detaillierte Analytics-Ereignisse: 40 Tage
• Erfolglose Testanfragen: grundsätzlich 6 Monate nach Abschluss der Kommunikation
• Operative Daten gekündigter Companies: grundsätzlich 90 Tage im Produktivsystem
• Backups: entsprechend der beschriebenen Rotation
• Geschäfts- und Rechnungsunterlagen: entsprechend den gesetzlichen Pflichten

22. Betroffenenrechte

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Anfragen richten Sie an welcome@dispovera.de.

Verarbeitet PsGreen Daten ausschließlich als Auftragsverarbeiter, kann die Anfrage an den jeweiligen Geschäftskunden als Verantwortlichen weitergeleitet werden.

23. Widerspruch

Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit einer Verarbeitung widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Es gelten die Voraussetzungen des Art. 21 DSGVO.

24. Aufsichtsbehörde

Das Recht zur Beschwerde bei einer anderen zuständigen Aufsichtsbehörde bleibt unberührt.

25. Automatisierte Entscheidungen

Es findet derzeit keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO statt.

26. Sicherheit

Die technischen und organisatorischen Maßnahmen umfassen insbesondere Zugriffskontrolle, Mandantentrennung, Authentifizierung, Berechtigungssteuerung, verschlüsselte Übertragung, Backup und Wiederherstellung, Integritätsprüfungen, Protokollierung sicherheitsrelevanter Vorgänge sowie die Beschränkung administrativer Zugriffe.

27. Änderungen und Stand

Stand: September 2026

Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungen, Dienstleister, Technik oder rechtliche Anforderungen ändern.