Permitmaster

Datenschutz

Stand: 19. September 2026

Diese Hinweise erklären, welche personenbezogenen Daten Permitmaster verarbeitet, wozu das geschieht und welche Rechte Sie haben. Die Sprache bleibt bewusst schlicht, wie es Art. 12 DSGVO verlangt.

Wer verantwortlich ist

Verantwortlich für die Verarbeitung auf dieser Website und für Konten, Abrechnung und Support ist:

Fischer IT
Inhaber Björn Georg Fischer
Hofstraße 26a
26844 Jemgum
E-Mail: support@permitmaster.app

Ein betrieblicher Datenschutzbeauftragter ist nicht bestellt.

Zwei Rollen: wir und Ihre Firma

Es gibt zwei Fälle:

  1. Wir als Verantwortliche. Das gilt für Ihr Benutzerkonto, Anmeldung, Sprache, Support, die öffentliche Website und die Abrechnung über Stripe.
  2. Wir als Auftragsverarbeiter nach Art. 28 DSGVO. Das gilt für alles, was Ihre Firma in Permitmaster speichert: Firmendaten, Standorte, Formulare, Scheine, Freigaben, Kontrollen, Bilder, Personalnummern und Angaben zu Beschäftigten oder Fremdfirmen. Verantwortliche Stelle dafür ist Ihre Firma. Einen Auftragsverarbeitungsvertrag schließen wir auf Anfrage.

Welche Daten wir verarbeiten

Konto und Anmeldung

Name, E-Mail, Passwort (nur als Hash), gewählte Sprache, Zugehörigkeit zu einer Firma, Rolle. Bei der Sitzung können IP-Adresse und Browserkennung gespeichert werden.

Firma und Team

Firmenname, Art der Firma (Mandant oder Dienstleister), Einladungen (E-Mail, Rolle, optional Personalnummer), Standortrechte. Optional SMTP der Firma (Host, Benutzer, verschlüsseltes Passwort, Absender, Signatur), damit Hinweise an Beschäftigte im Namen der Firma rausgehen.

Scheine und Nachweise

Formulare und Antworten, Abläufe, Status, Risiko, Freigaben, Kommentare, Kontrollberichte, hochgeladene Bilder von Standorten und Kontrollen. Diese Inhalte legt Ihre Firma fest.

Kiosk

Zugang per Standort-PIN (nur Hash), Personalnummer und Nachname oder per E-Mail und Passwort. Dafür setzen wir ein technisch nötiges Cookie nur unter /kiosk.

Support

Nachricht, aufgerufene Seite, Sprache, optional Seitenausschnitt und bis zu zwei Bilder. Wenn Sie angemeldet sind, hängen Konto-E-Mail und Name an.

Abrechnung und Stripe

Sobald die Firma Zahlung hinterlegt, läuft die Abrechnung über Stripe. Wir übermitteln an Stripe insbesondere:

  • Firmenname und E-Mail der Inhaberin oder des Inhabers
  • Stripe-Kunden- und Abo-Kennungen
  • Rechnungsadresse und, falls angegeben, USt-IdNr.
  • Verbrauch: jede erfolgreiche Genehmigung als Zählereignis (mit Schein-ID als eindeutiger Schlüssel)

Kartendaten, Lastschriftmandate und ähnliche Zahlungsdaten geben Sie direkt bei Stripe ein. Sie liegen nicht auf unseren Servern.

Stripe setzt auf den Checkout-Seiten eigene Cookies und kann IP-Adressen zur Betrugsabwehr nutzen. Es gelten die Datenschutzhinweise von Stripe und die Cookie-Richtlinie von Stripe.

Karten

Die Standortkarte lädt Kacheln von OpenStreetMap. Dabei wird Ihre IP-Adresse an die Tile-Server der OpenStreetMap Foundation übermittelt. Hinweise: OSM-Datenschutz.

Übersetzung von Formularen (DeepL)

Wenn ein DeepL-Schlüssel gesetzt ist, können wir beim Speichern eines Formulars Texte des Formulars an DeepL senden: Name, Feldbeschriftungen, Auswahloptionen und Prüfpunkte. So werden fehlende Sprachen ergänzt. Antworten in Scheinen, Namen von Beschäftigten und andere Inhalte Ihrer Firma gehen nicht an DeepL.

DeepL SE hat Sitz in Köln, Deutschland. Es gelten die Datenschutzhinweise von DeepL.

Ihre Firma kann alle Sprachen selbst eintragen und DeepL dabei weglassen. Ohne Schlüssel nutzen wir DeepL nicht. Fehlende Sprachen zeigen dann die Fallback-Sprache (in der Regel Deutsch oder Englisch).

Website und Formularschutz

Die öffentliche Website und Formulare (Registrierung, Anmeldung, Passwort, Support) nutzen eine eigene Sicherheitsprüfung (Altcha) auf unseren Servern. Es gibt kein Tracking zu Werbezwecken und keine Analyse-Cookies Dritter.

Wozu und auf welcher Grundlage

Zweck Grundlage
Konto, Dienst, Einladungen, Mails zum Ablauf Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
Abrechnung, Rechnungen, Steuer Art. 6 Abs. 1 lit. b und lit. c DSGVO
Sitzung, Missbrauchsschutz, Altcha Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 TDDDG (technisch nötig)
Spracheinstellung Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 TDDDG
Support Art. 6 Abs. 1 lit. b oder lit. f DSGVO
Nachweis zu Scheinen (10 Jahre) Art. 6 Abs. 1 lit. b DSGVO und Weisung Ihrer Firma; steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO
Karte (OpenStreetMap) Art. 6 Abs. 1 lit. f DSGVO (Anzeige des Standorts)
Formularübersetzung (DeepL) Art. 6 Abs. 1 lit. b DSGVO und Weisung Ihrer Firma

Berechtigtes Interesse bei Sitzung und Schutz: den Dienst sicher betreiben. Sie können widersprechen, soweit keine zwingenden Gründe entgegenstehen.

Besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsangaben in einem Formular) speichern wir nur, wenn Ihre Firma sie einträgt. Rechtsgrundlage dafür muss Ihre Firma haben.

Empfänger

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting und Datenbank in Deutschland, Datenschutz Hetzner
  • Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin, D02 H210, Irland, und verbundene Unternehmen, insbesondere Stripe, Inc., USA — Zahlungen, Steuerberechnung, Verbrauchszählung. Stripe handelt bei der Zahlungsabwicklung als Auftragsverarbeiter und für eigene Pflichten (Betrug, Geldwäsche, Recht) teilweise als eigene Verantwortliche. Details: Stripe-Datenschutz
  • E-Mail-Versand über den SMTP der Plattform (Kontobestätigung, Passwort, Support). Hinweise zu Scheinen und Einladungen ebenfalls darüber, sofern Ihre Firma keinen eigenen SMTP hinterlegt hat.
  • SMTP Ihrer Firma (optional, vom Inhaber eingerichtet) — dann gehen Info-Mails über Ihren Mailserver. Empfängeradresse und Inhalt der Mail werden an Ihren Anbieter übermittelt; der Empfänger sieht Ihre Absenderadresse.
  • OpenStreetMap Foundation — Kartenkacheln
  • DeepL SE, Maarweg 165, 50825 Köln — Übersetzung von Formulartexten, nur wenn ein Schlüssel gesetzt ist und Ihre Firma nicht ohne DeepL speichert
  • Ihre Firma sieht die Daten, die zum jeweiligen Standort und zur Rolle gehören

Eine gesetzlich vorgeschriebene Offenlegung (etwa an Behörden) bleibt vorbehalten.

Auftragsverarbeitung beim Hosting (Hetzner)

Für Hosting, Datenbank und Betrieb von Permitmaster setzen wir Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, ein. Hetzner verarbeitet personenbezogene Daten in unserem Auftrag nach Art. 28 DSGVO – ausschließlich nach unseren Weisungen und nur zum Betrieb des Dienstes. Die Verarbeitung erfolgt in Rechenzentren in Deutschland.

Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Hetzner setzt technische und organisatorische Maßnahmen (TOMs) um, um die Daten zu schützen. Weitere Informationen:

Drittland

Stripe kann Daten in die USA und andere Staaten übermitteln. Grundlage sind der EU-US Data Privacy Framework (soweit zertifiziert) und/oder Standardvertragsklauseln der EU-Kommission. Siehe Stripe Privacy Center.

OpenStreetMap-Server können außerhalb der EU liegen.

DeepL verarbeitet die übersandten Formulartexte in der EU.

Cookies

Technisch nötige Cookies, kein Werbe-Tracking:

  • Sitzung (httpOnly) — Anmeldung, Better Auth
  • Sprache — Deutsch, Englisch, Rumänisch, Polnisch oder Kroatisch
  • Kiosk (pm_kiosk, httpOnly, Pfad /kiosk) — Zugang am Terminal
  • Liveansicht (pm_live, httpOnly, Pfad /live) — optionale PIN am Fernseher

Zusätzlich kann Stripe auf checkout.stripe.com eigene Cookies setzen, sobald Sie Zahlung hinterlegen.

Speicherung

  • Scheine, Freigaben, Kontrollen, zugehörige Dateien: 10 Jahre, auch nach Löschen der Firma (dann nicht mehr in der App sichtbar). Danach löschen oder anonymisieren wir.
  • Abrechnung und Rechnungsdaten: 10 Jahre (HGB, AO).
  • Konto: solange das Konto besteht; danach soweit Aufbewahrung oder Abwehr von Ansprüchen es verlangt.
  • Einladungen: bis Annahme, Ablauf oder Widerruf.
  • Sitzungen: bis Abmeldung oder Ablauf.
  • Support: in der Regel bis zu 2 Jahre.
  • Stripe: nach den Fristen von Stripe.

Sicherheit

Zugang nur mit Konto. Passwörter speichern wir gehasht. Die Verbindung läuft über HTTPS. Daten liegen bei Hetzner in Deutschland. PIN am Kiosk nur als Hash. Das SMTP-Passwort der Firma speichern wir verschlüsselt.

Ihre Rechte

Sie können verlangen:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16)
  • Löschung (Art. 17), soweit keine Aufbewahrungspflicht entgegensteht
  • Einschränkung (Art. 18)
  • Datenübertragbarkeit (Art. 20)
  • Widerspruch gegen Verarbeitung auf berechtigtem Interesse (Art. 21)

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf ändert nichts an der Rechtmäßigkeit bis dahin.

Schreiben Sie an support@permitmaster.app. Geht es um Daten Ihrer Firma in Scheinen oder Formularen, wenden Sie sich zuerst an Ihre Firma; wir helfen im Rahmen des Auftrags.

Beschwerde

Sie können sich bei einer Datenschutzaufsicht beschweren, besonders am Wohnsitz oder am Sitz des Verantwortlichen:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
https://www.lfd.niedersachsen.de

Pflicht zur Angabe

Ohne Name, E-Mail und Passwort entsteht kein Konto. Ohne Firmendaten kein Mandant. Ohne die für Stripe nötigen Rechnungsdaten keine echte Abbuchung; der Testmonat bleibt nutzbar. Pflichtfelder in Formularen legt Ihre Firma fest.

Keine automatisierten Entscheidungen

Es gibt keine automatisierte Entscheidung mit Rechtswirkung im Sinne von Art. 22 DSGVO. Risiko und Ablauf steuert Ihre Firma; eine automatische Freigabe nach Ihren Regeln ist keine Profilbildung zu Werbezwecken.

Änderungen

Wir passen diese Hinweise an, wenn sich Dienst oder Recht ändern. Die aktuelle Fassung steht auf dieser Seite.

deenroplhr