Datenschutzerklärung.

Verantwortlicher

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung von hejdesk. (nachfolgend „die Anwendung"). hejdesk. ist ein Produkt von DRICH.CONSULTING.

Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO):

Geltungsbereich

hejdesk. ist eine Web-Anwendung für Büroarbeit und Kundenbeziehungen. Je nachdem, wie Sie mit hejdesk. zu tun haben, gilt ein anderer Abschnitt:

• Der Abschnitt „Besuch unserer Website“ gilt, wenn Sie unsere Website besuchen oder ein Nutzerkonto bei hejdesk. haben. Hier sind wir verantwortlich.
• Der Abschnitt „Nutzung von hejdesk. als registrierter Kunde“ gilt für die Daten, die unsere Kunden in hejdesk. über ihre eigenen Kontakte verarbeiten. Hier ist der Kunde verantwortlich, wir arbeiten in seinem Auftrag.
• Der Abschnitt „Seiten und Mails, die Ihre Kunden sehen“ gilt, wenn Sie bei einem unserer Kunden einen Termin buchen, ein Formular ausfüllen, ein Dokument ansehen oder an einer Umfrage teilnehmen.

Besuch unserer Website

Hosting

hejdesk. läuft auf Servern von ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Dort liegen die Anwendung, die Datenbank, die Dateien, die tägliche Sicherung und das Postfach, über das hejdesk. System-Mails verschickt. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage der Standardvertragsklauseln der EU-Kommission.

Server-Protokolle

Bei jedem Zugriff auf die Anwendung werden folgende Daten automatisch in Server-Logfiles gespeichert:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Methode
• HTTP-Statuscode
• Übertragene Datenmenge
• Browser und Betriebssystem (User-Agent)

Der Hosting-Anbieter löscht diese Protokolle nach 90 Tagen.

Zusätzlich in der Anwendung: Protokolle der Hintergrund-Aufgaben 90 Tage, des Mail-Versands (nur Metadaten) 180 Tage, Fehlerprotokoll 14 Tage.

Zweck: Sicherstellung des Betriebs, Fehlerbehebung, Erkennung und Abwehr von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an einem sicheren und stabilen Betrieb der Anwendung)

Website und Vormerkung

Beim Besuch der Website verarbeiten wir die Daten aus „Server-Protokolle“. Wenn Sie sich für die Beta vormerken, speichern wir die Angaben, die Sie in das Formular eintragen, um Sie zum Start zu benachrichtigen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Nutzerkonto und Anmeldung

Für Ihr Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hash), Rolle im Team, Einstellungen sowie Zeitpunkte von Registrierung und Anmeldung.

• Zweiter Faktor und Passkeys: Richten Sie einen zweiten Faktor oder einen Passkey ein, speichern wir die dafür nötigen Schlüssel und Wiederherstellungscodes. Ihr Team-Administrator kann den zweiten Faktor vorschreiben.
• Sitzungen: Wir führen eine Liste Ihrer angemeldeten Geräte, damit Sie einzelne Sitzungen beenden können.
• API- und MCP-Schlüssel: Erzeugen Sie einen Schlüssel für eine Anbindung, speichern wir ihn nur als Hash, dazu eine Bezeichnung, den Anfang des Schlüssels zur Wiedererkennung und ein Ablaufdatum.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Benachrichtigungen

• E-Mails vom System (zum Beispiel Bestätigungscodes, Passwort zurücksetzen, Hinweise an Administratoren) gehen von noreply@hejdesk.com aus.
• Push-Benachrichtigungen erhalten Sie nur, wenn Sie sie im Browser erlauben. Zugestellt werden sie über den Dienst des Browser-Herstellers (zum Beispiel Apple, Google oder Mozilla). Der Inhalt ist auf dem Weg verschlüsselt.

Support

Schreiben Sie uns über die Hilfe in der App oder per E-Mail, verarbeiten wir Ihre Nachricht, Ihre weiteren Antworten und angehängte Dateien, um zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Analyse der Website

Auf unserer Website (Startseite und Seiten unter /site) setzen wir Google Analytics 4 ein, wenn Sie im Cookie-Hinweis zustimmen. Auf den Seiten unserer Kunden (Buchung, Formulare, Dokumente, Umfragen) und in der App findet keine Analyse statt.

Anbieter (Auftragsverarbeiter):

Eine Übermittlung der Daten an die Google LLC (USA) ist möglich. Diese erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF) bzw. der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Zweck: Reichweitenmessung, also wie oft welche Seiten aufgerufen werden, um unser Angebot zu verbessern. Google-Signale und Werbefunktionen sind abgeschaltet, die Daten nutzen wir nicht für Werbung.

Verarbeitete Daten: eine zufällige Kennung Ihres Browsers aus dem Cookie, aufgerufene Seite, Zeitpunkt, ungefährer Standort, Geräte- und Browserinformationen. Google erhält dabei Ihre IP-Adresse, Google Analytics 4 speichert sie nach eigener Angabe nicht. Die Daten sind pseudonym, nicht anonym.

Cookies: _ga und ein zweites Cookie, dessen Name mit _ga_ beginnt. Sie werden nur nach Ihrer Einwilligung gesetzt, laufen nach höchstens zwei Jahren ab und werden bei Widerruf gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (Einwilligung über den Cookie-Consent-Banner).

Einwilligung und Widerruf: Google Analytics wird nur geladen, wenn Sie im Cookie-Consent-Banner der Kategorie „Statistik" aktiv zugestimmt haben. Ihre Einwilligung ist 6 Monate gültig und kann jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen werden.

Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

Cookies

hejdesk. setzt technisch notwendige Cookies und browser-seitige Speicher:

• Refresh-Token-Cookie: HttpOnly, Secure, SameSite=Strict – enthält das verschlüsselte Sitzungstoken. Kein Zugriff durch JavaScript möglich.
• localStorage: Anwendungseinstellungen und UI-Präferenzen (keine personenbezogenen Daten Dritter) sowie – auf unserer Website – Ihre Cookie-Consent-Entscheidung (6 Monate gültig).

Werbe- oder Tracking-Cookies zu Marketingzwecken werden von hejdesk. nicht eingesetzt. Auf unserer Website wird ausschließlich nach Ihrer aktiven Einwilligung über den Cookie-Consent-Banner der Statistik-Dienst Google Analytics 4 eingesetzt (Cookies _ga und _ga_…, Details siehe Abschnitt „Analyse der Website“). Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (technisch notwendig für die Vertragserfüllung / Sitzungsverwaltung)

Nutzung von hejdesk. als registrierter Kunde

Grundsatz

Alles, was Sie in hejdesk. über Ihre Kunden, Interessenten, Lieferanten und Mitarbeitenden eintragen, verarbeiten wir in Ihrem Auftrag und nach Ihren Weisungen (Art. 28 DSGVO). Verantwortlich für diese Daten sind Sie. Sie brauchen dafür eine eigene Rechtsgrundlage und informieren die betroffenen Personen selbst.

Den Vertrag zur Auftragsverarbeitung erzeugen Sie in hejdesk. unter Einstellungen, Datenschutz. Unsere technischen und organisatorischen Maßnahmen und die Liste unserer Unterauftragsverarbeiter finden Sie dort und unter /site/massnahmen und /site/unterauftragsverarbeiter.

Was in der Anwendung verarbeitet wird

Kontakte, Firmen, Verkaufschancen

Im Rahmen der CRM-Nutzung erfassen und verarbeiten Sie selbst personenbezogene Daten Ihrer Kontakte, Geschäftspartner und potenziellen Kunden (z. B. Namen, E-Mail-Adressen, Telefonnummern, Notizen, Aktivitäten). DRICH.CONSULTING verarbeitet diese Daten ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO und handelt dabei auf Ihre Weisung. Verantwortlicher für diese Verarbeitungen sind Sie als Nutzer der Anwendung.

Kalender, Terminbuchung, Terminanfragen, Terminumfragen

Die Kalender-Funktion verarbeitet Termindaten (Titel, Beschreibung, Ort, Datum, Uhrzeit, Teilnehmer). Bei optionaler Verbindung mit externen Kalender-Diensten (Google Calendar, Microsoft Outlook) werden zusätzlich Synchronisierungsdaten verarbeitet – Details dazu in den Abschnitten „Google Kalender“ und „Microsoft Kalender und Postfach“.

Wenn Sie das integrierte Buchungssystem nutzen, werden über öffentlich zugängliche Buchungsseiten folgende Daten von Ihren Kunden erhoben und an hejdesk. übertragen:

• Name der buchenden Person
• E-Mail-Adresse (für Buchungsbestätigung und Terminerinnerung)
• Telefonnummer (sofern im Formular abgefragt)
• Frei formulierte Nachricht (sofern vorhanden)
• Gewählter Termin (Datum, Uhrzeit, Buchungstyp)
• Technische Tracking-Metadaten (Referrer-URL, soweit erhoben)

Als Betreiber eines Buchungs-Widgets sind Sie für die Verarbeitung dieser Kundendaten selbst verantwortlich. DRICH.CONSULTING verarbeitet diese Daten als Auftragsverarbeiter.

E-Mail

Wenn Sie ein E-Mail-Konto verbinden, werden folgende Daten verarbeitet:

• IMAP/SMTP-Zugangsdaten (Benutzername, Passwort – verschlüsselt gespeichert)
• E-Mail-Metadaten (Absender, Empfänger, Betreff, Datum)
• E-Mail-Inhalte (werden lokal in hejdesk. gecacht)

Zweck: Bereitstellung des integrierten E-Mail-Clients innerhalb der Anwendung.

hejdesk. hält nur eine Kopie Ihrer E-Mails vor, die Originale bleiben bei Ihrem E-Mail-Anbieter. Trennen Sie das Postfach, wird die Kopie gelöscht.

Formulare

Das Formular-Modul ermöglicht die Erstellung öffentlicher Web-Formulare. Die von den Ausfüllenden übermittelten Daten (abhängig von den von Ihnen konfigurierten Feldern) werden in hejdesk. gespeichert. Sie sind als Formular-Betreiber eigenverantwortlicher Verantwortlicher für diese Verarbeitungen; DRICH.CONSULTING handelt als Auftragsverarbeiter.

Angebote, Rechnungen, Auftragsbestätigungen

Im Rahmen des Rechnungsmoduls verarbeitet hejdesk. Daten, die zur Rechnungsstellung erforderlich sind:

• Name und Anschrift des Rechnungsempfängers
• Steuer- und Umsatzsteuer-Identifikationsnummern (sofern eingetragen)
• Leistungsbeschreibungen, Beträge, Steuersätze
• Zahlungsinformationen (IBAN/BIC sofern angegeben)

Zweck: Erstellung und Verwaltung von Geschäftsdokumenten gemäß gesetzlicher Anforderungen (HGB, UStG).

Öffnet ein Empfänger den Link zu einem Dokument, speichern wir den Zeitpunkt, die Browserkennung und einen nicht umkehrbaren Kurzwert der IP-Adresse (nicht die Adresse selbst), damit Sie sehen, ob das Dokument angesehen wurde. Nimmt er ein Angebot an, speichern wir Name, Erklärung, Zeitpunkt und IP-Adresse als Nachweis.

Belege, Bank-Umsätze, Buchhaltung: hejdesk. speichert die Belege, die Sie hochladen, die Kontoumsätze, die Sie importieren, und deren Zuordnung zueinander. Geben Sie Unterlagen über einen Link für Ihre Steuerberatung frei, kann sie diese über den Link abrufen.

Aufgaben, Notizen, Kommentare: hejdesk. speichert die Inhalte Ihrer Aufgaben, Notizen und Kommentare, wem sie zugewiesen sind und ihren Verlauf.

Mediathek: hejdesk. speichert die Dateien und Bilder, die Sie hochladen.

Dokumente per Link teilen: Teilen Sie eine Datei, einen Ordner oder eine Auswahl über einen Link, speichert hejdesk. den Link nur als nicht umkehrbare Prüfsumme, das Ablaufdatum, Ihre Einstellungen (Passwort, Einmal-Link, Benachrichtigung) und ein Abrufprotokoll: Zeitpunkt, abgerufene Datei, Art des Abrufs, eine grobe Geräteangabe (Browser und Betriebssystem, zum Beispiel „Safari auf iPhone“) und einen nicht umkehrbaren Kurzwert der IP-Adresse (nicht die Adresse selbst). Damit sehen Sie, ob und wann Ihre Datei abgerufen wurde. Wir löschen das Protokoll 90 Tage, nachdem der Link abgelaufen ist oder Sie ihn widerrufen haben. Dafür kommt kein weiterer Dienstleister zum Einsatz.

Zeiterfassung

Das Zeiterfassungsmodul verarbeitet Zeiteinträge (Start, Ende, Dauer, Beschreibung, Projekt- und Kontaktzuordnung). Zeiteinträge sehen Sie selbst und die Administratoren Ihres Teams.

Fahrtenbuch

Die Fahrtenbuch-Funktion verarbeitet folgende Daten:

• Fahrtdaten (Datum, Start- und Zieladresse, Kilometer, Zweck)
• Fahrzeugdaten (Kennzeichen, Typ)
• GPS-Koordinaten (soweit über die automatische Adresserkennung erfasst)

Zweck: Führung des Fahrtenbuchs, gegebenenfalls für die steuerliche Geltendmachung.

Partner-Selbstauskunft: Senden Sie einem Geschäftspartner einen Link zur Selbstauskunft, speichert hejdesk. die Angaben, die er dort einträgt, bei der zugehörigen Firma.

KI-gestützte Funktionen

hejdesk. bietet optional KI-gestützte Funktionen. Sie werden auf Ihre aktive Anfrage hin ausgelöst. Eine Ausnahme ist die automatische Einordnung neuer Dokumente: Sie läuft nur, wenn ein Administrator Ihres Kontos sie einschaltet. Ist sie ausgeschaltet, findet dafür keine Verarbeitung statt. Belege sind davon ausgenommen.

Anwendungsfälle:

• Anreicherung von Kontakt- und Firmendaten
• Auslesen von Kontaktdaten aus Texten
• Auslesen von Visitenkarten
• Auslesen von Belegen
• KI-Assistent: Bearbeitung Ihrer Anfragen und der dafür gelesenen Daten
• KI-Assistent: Einordnung Ihrer Anfrage
• Dokumente automatisch einordnen

Für diese Funktionen setzen wir die folgenden Dienstleister als Auftragsverarbeiter ein. Welcher Dienstleister welchen Anwendungsfall bedient, legen wir fest und können es innerhalb dieser Liste ändern.

Weitere Informationen finden Sie in der Datenschutzerklärung von IONOS.

Wenn Sie eine KI-Funktion auslösen, werden die für die jeweilige Anfrage nötigen Daten an einen dieser Dienstleister übertragen. Er verarbeitet sie ausschließlich zur Beantwortung der Anfrage, speichert sie nicht und nutzt sie nicht zum Training von Modellen. Mit jedem Dienstleister besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Die Verarbeitung findet in Rechenzentren in Deutschland statt. Eine Übermittlung in ein Drittland findet nicht statt.

Rechtsgrundlage: Für Ihre eigenen Angaben Art. 6 Abs. 1 lit. b DSGVO. Für Daten Ihrer Kontakte, die Sie an eine KI-Funktion geben, sind Sie verantwortlich, wir verarbeiten sie in Ihrem Auftrag (Abschnitt „Grundsatz“).

Dienste, die Sie selbst verbinden

Verbinden Sie hejdesk. mit einem eigenen Konto bei einem anderen Anbieter, tauscht hejdesk. Daten mit diesem Konto aus. Dieser Anbieter ist nicht unser Auftragsverarbeiter, die Verbindung liegt in Ihrer Hand und lässt sich jederzeit trennen.

Eigenes Postfach (IMAP und SMTP), iCloud-Kontakte, CalDAV-Kalender: Verbinden Sie ein Postfach, einen Kalender oder ein Adressbuch über Zugangsdaten, speichert hejdesk. diese verschlüsselt und tauscht Daten nur mit dem von Ihnen genannten Server aus.

Videokonferenz (Zoom, Microsoft Teams, Nextcloud Talk): Verbinden Sie einen Videodienst, legt hejdesk. in Ihrem Konto dort Besprechungen an und übermittelt dafür Titel, Zeit und Teilnehmer des Termins.

Telegram: Hinterlegen Sie einen eigenen Telegram-Bot, sendet und empfängt hejdesk. Nachrichten über diesen Bot.

Nextcloud (Dokumente): Verbinden Sie Ihre eigene Nextcloud, speichert hejdesk. die Adresse, Ihren Benutzernamen und das App-Passwort verschlüsselt und tauscht Daten nur mit dieser Nextcloud aus. Die Verbindung gehört Ihnen persönlich, andere Mitglieder Ihres Teams sehen sie nicht. Das App-Passwort können Sie in Ihrer Nextcloud jederzeit widerrufen. Trennen Sie die Verbindung oder scheiden Sie aus dem Team aus, löschen wir die Zugangsdaten.

Cloudflare Turnstile für Formulare: Bauen Sie den Spam-Schutz in ein Formular ein, lädt Ihr Formular den Dienst Cloudflare Turnstile mit Ihrem eigenen Schlüssel. Nennen Sie den Dienst in Ihrer eigenen Datenschutzerklärung.

Google Kalender

Wenn Sie Ihren Google Calendar mit hejdesk. verbinden, erteilen Sie der Anwendung über das OAuth-2.0-Verfahren Zugriff auf Ihre Kalenderdaten. hejdesk. fordert dabei ausschließlich die folgenden, für den Kalender-Funktionsumfang notwendigen Google-Berechtigungen (OAuth-Scopes) an:

• https://www.googleapis.com/auth/calendar.events – Lesen, Erstellen, Bearbeiten und Löschen von Terminen
• https://www.googleapis.com/auth/calendar.calendarlist.readonly – Lesen der Liste Ihrer Kalender (zur Auswahl, welche synchronisiert werden)
• email – Ihre Google-Konto-E-Mail-Adresse zur Zuordnung der Verbindung

Diese beiden Kalender-Berechtigungen sind bewusst eng gefasst: hejdesk. erhält ausschließlich Zugriff auf Termine und die Kalenderliste, nicht auf weitergehende Verwaltungsfunktionen Ihres Google-Kontos (z. B. keine Kalender-Freigaben/-Berechtigungen, kein Anlegen oder Löschen ganzer Kalender).

Konkrete Datenzugriffe und ihr Zweck:

• Kalenderliste (lesend): hejdesk. ruft die Liste Ihrer Google-Kalender ab, damit Sie in den Einstellungen auswählen können, welche Kalender synchronisiert werden sollen.
• Termine (lesend/schreibend): Termine der von Ihnen ausgewählten Kalender werden gelesen sowie in Ihrem Namen erstellt, bearbeitet und gelöscht – einschließlich Serientermine, Teilnehmerlisten, Zeiten, Orte und Video-Konferenz-Links –, damit Termine zwischen hejdesk. und Ihrem Google-Kalender konsistent bleiben.
• Änderungsbenachrichtigungen (Push): hejdesk. richtet einen Google-Benachrichtigungskanal ein, damit Änderungen an Ihrem Google-Kalender zeitnah übernommen werden, ohne dass fortlaufend aktiv nachgefragt werden muss.
• Einladungs-Übernahme: Wenn Sie eine per E-Mail eingehende Kalendereinladung über hejdesk. annehmen und Ihr Google-Kalender als Ziel ausgewählt ist, wird der Termin unter Beibehaltung von Organisator und Teilnehmerliste in Ihren Google-Kalender übernommen.

Getrennt von diesem für Sie als Nutzer sichtbaren OAuth-Verfahren bietet hejdesk. optional eine technische Anbindung per Google-Dienstkonto (Service Account) für Nutzer mit eigener Google-Workspace-Infrastruktur. Diese wird ausschließlich von Ihnen selbst mit einem von Ihnen bereitgestellten Dienstkonto-Schlüssel eingerichtet und ist von der vorstehend beschriebenen OAuth-Verbindung unabhängig.

Datenspeicherung: Der OAuth-2.0-Access-Token und Refresh-Token werden verschlüsselt in der Datenbank gespeichert. Kalenderinhalte werden zur Performance-Verbesserung lokal gecacht; dieser Cache wird bei Verbindungstrennung gelöscht.

Weitergabe an Dritte: Ihre Kalenderdaten werden ausschließlich zwischen hejdesk. und Ihrem eigenen Google-Konto ausgetauscht – dieser direkte Datenaustausch mit Google als technischem Gegenpart Ihrer Kalender-Synchronisation ist notwendiger Bestandteil der von Ihnen gewählten Verbindung. Eine Weitergabe an andere, hejdesk.-fremde Dritte findet nicht statt.

Widerruf: Sie können die Google-Calendar-Verbindung jederzeit unter Einstellungen → Kalender trennen. Dadurch werden alle gespeicherten Tokens und gecachten Kalenderdaten gelöscht. Die Berechtigungen können zusätzlich direkt in Ihrem Google-Konto unter myaccount.google.com/permissions widerrufen werden.

Rechtsgrundlage: Die Verbindung richten Sie selbst ein, sie gehört zu den vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten Ihrer Kontakte, die dabei übertragen werden, sind Sie verantwortlich (Abschnitt „Grundsatz“).

Hinweis zur Google API Services User Data Policy: Die Nutzung von Google API-Daten in hejdesk. erfolgt in Übereinstimmung mit der Google API Services User Data Policy, einschließlich der Limited Use Requirements. hejdesk. verwendet Google Calendar-Daten ausschließlich für die oben genannten, nutzerseitig sichtbaren Kalender-Funktionen. Die Daten werden nicht für Werbezwecke, nicht zum Training von KI-/ML-Modellen, nicht zur Weitergabe an Dritte und nicht für andere als die beschriebenen Funktionen genutzt.

Google Kontakte

Wenn Sie Ihre Google-Kontakte mit hejdesk. verbinden, erteilen Sie der Anwendung über das OAuth-2.0-Verfahren Zugriff auf Ihr Google-Adressbuch. Die Zustimmung erfolgt in einem Durchgang: hejdesk. fordert Lese- und Schreibzugriff gemeinsam an. Ob tatsächlich in Ihr Google-Adressbuch geschrieben wird, entscheidet die Richtung der Verbindung, die Sie selbst in den Einstellungen festlegen und jederzeit ändern können. Der erteilte Zugriff ist die Erlaubnis, nicht der Auftrag: Solange Sie keine Kontakte für die Übertragung markieren, wird nichts geschrieben.

• https://www.googleapis.com/auth/contacts – Lesen Ihrer Google-Kontakte sowie Anlegen und Aktualisieren von Kontakten, die Sie ausdrücklich dafür markiert haben
• openid, email – Feststellen, mit welchem Google-Konto die Verbindung besteht; verhindert, dass eine bestehende Verbindung versehentlich einem anderen Google-Konto zugeordnet wird

Konkrete Datenzugriffe und ihr Zweck:

• Kontakte lesen: Abgerufen werden Namen und Spitznamen, E-Mail-Adressen, Telefonnummern, Firmen- und Positionsangaben, Postanschriften, Web-Adressen, Notizen, Geburtstage, die Geschlechtsangabe sowie Kontaktfotos. Diese Felder werden den entsprechenden Kontaktfeldern in hejdesk. zugeordnet, damit Ihre Kontakte in beiden Systemen denselben Stand haben.
• Kontakte schreiben (nur für von Ihnen markierte Kontakte): Übertragen werden ausschließlich Vorname, Nachname, Namenszusatz, Spitzname, E-Mail-Adresse, Telefon- und Mobilnummer, Position sowie der Name der zugeordneten Firma. Weitere Felder verlassen hejdesk. nicht.
• Änderungserkennung: Gespeichert werden die von Google vergebene Kontakt-Kennung und eine Änderungsmarke je Kontakt, damit bei jedem Abgleich nur tatsächlich Geändertes übertragen wird.

Was hejdesk. ausdrücklich nicht tut: In Ihrem Google-Adressbuch werden keine Kontakte gelöscht – ein Löschvorgang ist im Schreibweg technisch nicht vorgesehen. Verschwindet ein Kontakt auf der Google-Seite, wird er in hejdesk. lediglich als dort nicht mehr vorhanden markiert und nicht automatisch entfernt.

Datenspeicherung: Der OAuth-2.0-Access-Token und der Refresh-Token werden verschlüsselt in der Datenbank gespeichert. Über die Synchronisation angelegte Kontakte sind ausschließlich für Sie sichtbar und nicht für andere Mitglieder Ihres Arbeitsbereichs.

Weitergabe an Dritte: Ihre Kontaktdaten werden zwischen hejdesk. und Ihrem eigenen Google-Konto ausgetauscht – dieser direkte Datenaustausch mit Google als technischem Gegenpart Ihrer Kontakt-Synchronisation ist notwendiger Bestandteil der von Ihnen gewählten Verbindung (siehe auch Abschnitt „Dienstleister“). Lösen Sie für einen synchronisierten Kontakt ausdrücklich die KI-Anreicherung (Abschnitt „KI-gestützte Funktionen“) oder die Geokodierung seiner Adresse aus, werden die dafür nötigen Felder übermittelt, an einen der in Abschnitt „KI-gestützte Funktionen“ genannten Dienstleister (unsere Auftragsverarbeiter) beziehungsweise an Google Maps (Abschnitt „Google Maps“). Beides geschieht ausschließlich auf Ihre Aktion hin, nie automatisch und nie im Hintergrund; die Anwendung weist vor dem Absenden darauf hin. Eine darüber hinausgehende Weitergabe an hejdesk.-fremde Dritte findet nicht statt.

Widerruf: Sie können die Verbindung jederzeit unter Einstellungen → Kontakt-Sync trennen. Die gespeicherten Zugangsmarken werden dabei gelöscht. Sie entscheiden, ob die übernommenen Kontakte in hejdesk. erhalten bleiben oder in den Papierkorb wandern: Behalten Sie die Kontakte, bleibt die Zuordnung zwischen beiden Systemen erhalten, damit ein erneutes Verbinden desselben Google-Kontos keine Duplikate erzeugt; lassen Sie die Kontakte entfernen, wird auch die Zuordnung gelöscht. Die Berechtigungen können zusätzlich direkt in Ihrem Google-Konto unter myaccount.google.com/permissions widerrufen werden.

Rechtsgrundlage: Die Verbindung richten Sie selbst ein, sie gehört zu den vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten Ihrer Kontakte, die dabei übertragen werden, sind Sie verantwortlich (Abschnitt „Grundsatz“).

Hinweis zur Google API Services User Data Policy: Die Nutzung von Google API-Daten in hejdesk. erfolgt in Übereinstimmung mit der Google API Services User Data Policy, einschließlich der Limited Use Requirements. hejdesk. verwendet Google-Kontaktdaten ausschließlich für die oben genannten, nutzerseitig sichtbaren Funktionen. Die Daten werden nicht für Werbezwecke, nicht zum Training von KI-/ML-Modellen, nicht zur Weitergabe an andere als die oben genannten Empfänger und nicht für andere als die beschriebenen Funktionen genutzt.

Microsoft Kalender und Postfach

Wenn Sie Ihren Microsoft-Kalender (Outlook / Microsoft 365) mit hejdesk. verbinden, erteilen Sie der Anwendung über das OAuth-2.0-Verfahren (Microsoft Identity Platform) Zugriff auf Ihre Kalender- und Verfügbarkeitsdaten.

Umfang des Zugriffs:

• Lesen und Schreiben von Kalendereinträgen
• Erstellen, Bearbeiten und Löschen von Terminen in Ihrem Namen
• Berechtigungen für den Kalender: Calendars.ReadWrite, offline_access und User.Read (Konto zuordnen)

Verbinden Sie ein Postfach von Microsoft 365, nutzt hejdesk. die Berechtigungen IMAP.AccessAsUser.All (Mails abrufen), SMTP.Send (Mails senden) und offline_access. Für die zwischengespeicherten Mails gilt der Abschnitt „E-Mail“.

Datenspeicherung: OAuth-Tokens werden verschlüsselt gespeichert. Kalenderdaten werden lokal gecacht; der Cache wird bei Verbindungstrennung gelöscht.

Widerruf: Verbindung unter Einstellungen → Kalender trennen sowie über myaccount.microsoft.com/permissions.

Rechtsgrundlage: Die Verbindung richten Sie selbst ein, sie gehört zu den vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten Ihrer Kontakte, die dabei übertragen werden, sind Sie verantwortlich (Abschnitt „Grundsatz“).

Google Maps

Für Adressvorschläge in der App, für die Ermittlung von Koordinaten zu einer Adresse und für Entfernungen im Fahrtenbuch senden wir die jeweilige Adresse an Google Maps. Auf öffentlichen Seiten Ihrer Kunden wird Google Maps nicht geladen. Die Adressvorschläge können Sie in den Einstellungen abschalten.

Für die Adressvorschläge lädt Ihr Browser den Dienst direkt von Google, Google erhält dabei Ihre IP-Adresse. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als eigener Verantwortlicher. Eine Übermittlung an die Google LLC (USA) ist möglich, sie erfolgt auf Grundlage des EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an korrekten Adressen und Entfernungen).

Dienstleister

Von uns beauftragt (Unterauftragsverarbeiter):

Dienstleister	Sitz	Zweck	Ort
ALL-INKL.COM - Neue Medien Münnich, Inhaber René Münnich	Hauptstraße 68, 02742 Friedersdorf, Deutschland	Betrieb der Server für Anwendung, Datenbank und Dateien. Speicher für das verschlüsselte Sicherungs-Archiv (30 Tage). Postfach für System-Mails und für Mails an Kunden des Verantwortlichen, wenn dieser kein eigenes Postfach hinterlegt hat.	Deutschland
IONOS CLOUD GmbH	Revaler Straße 30, 10245 Berlin, Deutschland	Auswertung einzelner Inhalte durch ein Sprachmodell auf Anforderung eines Nutzers	Deutschland

Von Ihnen selbst verbunden: die Dienste aus „Dienste, die Sie selbst verbinden“.

Eigene Verantwortliche: Google Maps („Google Maps“), Push-Dienste der Browser-Hersteller („Benachrichtigungen“).

Für unsere Website: Google Analytics als unser Auftragsverarbeiter („Analyse der Website“).

Seiten und Mails, die Ihre Kunden sehen

Sie haben bei einem Unternehmen einen Termin gebucht, ein Formular ausgefüllt, ein Angebot oder eine Rechnung über einen Link geöffnet oder an einer Terminumfrage teilgenommen, und die Seite lief über hejdesk.?

• Verantwortlich für Ihre Daten ist dieses Unternehmen, nicht hejdesk. Seinen Namen, seine Datenschutzerklärung und sein Impressum finden Sie im Fuß der Seite und in den E-Mails, die Sie von ihm erhalten.
• hejdesk. ist der technische Dienstleister dieses Unternehmens und verarbeitet Ihre Angaben nur in dessen Auftrag.
• Auf diesen Seiten findet keine Analyse durch uns statt, und es werden keine Werbe-Cookies gesetzt.
• Ihre Rechte (Auskunft, Berichtigung, Löschung) machen Sie bei dem Unternehmen geltend. Erreicht uns Ihre Anfrage, leiten wir sie an das Unternehmen weiter.

Weitergabe personenbezogener Daten

Personenbezogene Daten werden nicht an Dritte verkauft und nicht zu Werbezwecken weitergegeben. Eine Übermittlung an Dritte erfolgt ausschließlich:

• an Auftragsverarbeiter im Rahmen der in Abschnitt „Dienstleister“ beschriebenen Verarbeitungen,
• wenn Sie selbst einen Dienst verbinden (Abschnitt „Dienste, die Sie selbst verbinden“, Google, Microsoft) oder ausdrücklich eingewilligt haben (Analyse der Website),
• wenn eine gesetzliche Verpflichtung zur Weitergabe besteht (z. B. Behördenanfragen),
• wenn die Weitergabe zur Vertragserfüllung erforderlich ist.

Speicherdauer und Löschung

• Daten in Ihrem Konto: solange der Vertrag läuft. Nach Vertragsende löschen wir sie innerhalb von 90 Tagen, Kopien in Sicherungen laufen bis 30 Tage danach aus.
• Konto löschen: Sie löschen Ihr Konto selbst im Profil unter „Konto löschen“. Besitzen Sie noch Daten Ihres Teams oder aufbewahrungspflichtige Finanzdaten, oder sind Sie der letzte Admin eines Teams, nennt hejdesk. den Grund, Ihr Admin hilft dann weiter. Sie können uns auch an datenschutz@hejdesk.com schreiben.
• Rechnungen und Buchführung: Die gesetzliche Aufbewahrung ist Ihre Pflicht als Unternehmer. Exportieren Sie diese Daten vor dem Vertragsende.
• Zwischengespeicherte E-Mails: höchstens 18 Monate, und bis Sie das Postfach trennen.
• Zwischengespeicherte Kalenderdaten: bis Sie die Verbindung trennen.
• Verlauf von Aufgaben, gelesene Benachrichtigungen, Protokoll der KI-Nutzung: werden nach 365 Tagen in ein Archiv verschoben und mit den übrigen Daten Ihres Kontos gelöscht (siehe „Daten in Ihrem Konto“).
• Abgelaufene Anmelde-Token: 30 Tage.
• Protokolle: siehe „Server-Protokolle“.

Datensicherheit

Alle Daten werden verschlüsselt übertragen (HTTPS/TLS). Die folgenden Sicherheitsmaßnahmen sind implementiert:

• Passwörter: nur als Hash gespeichert, kein Klartext, keine Wiederherstellung.
• Zugangsdaten verbundener Dienste: verschlüsselt in der Datenbank.
• Anmeldung: kurzlebige Sitzungen, auf Wunsch mit zweitem Faktor oder Passkey.
• Zugriff auf Produktionsdaten: nur der Betreiber. Für den Support kann er ein Team höchstens 30 Minuten lang nur lesend einsehen, jeder Zugriff wird protokolliert.
• Schutz vor Brute-Force-Angriffen durch automatische Zugriffsbeschränkung.

Ihre Rechte

Als betroffene Person haben Sie gegenüber dem Verantwortlichen folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft darüber verlangen, welche personenbezogenen Daten wir über Sie verarbeiten.
• Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) beruht.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z. B. für die Analyse unserer Website) können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@hejdesk.com

Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Für DRICH.CONSULTING (Sitz in Nordrhein-Westfalen) ist dies:

Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei wesentlichen Änderungen der Anwendung oder der Rechtslage anzupassen. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert. Die jeweils aktuelle Version ist stets unter hejdesk.com/site/datenschutz abrufbar. Das Datum der letzten Aktualisierung ist oben angegeben.