Datenschutzerklärung

Für die Plattform „SAYKI Gebäudereinigung"

Diese Erklärung betrifft die Plattform selbst: Registrierung, Anmeldung und Vertragsabwicklung mit den Betrieben. Die Daten, die ein Betrieb in der Software über seine eigenen Kunden und Beschäftigten erfasst, verarbeiten wir in dessen Auftrag; verantwortlich ist dafür der jeweilige Betrieb (siehe Vertrag zur Auftragsverarbeitung).

1. Verantwortlicher

Mustafa Say
SAYKI Solutions
Karl-Mathy-Str. 8, 68167 Mannheim
E-Mail: info@saykisolutions.de

2. Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir Firmenname, Rechtsform, Ihren Namen, E-Mail-Adresse, ein von Ihnen gewähltes Passwort (nur als Salted-Hash gespeichert, nie im Klartext) sowie die Zeitpunkte, zu denen Sie bestätigt haben, als Unternehmer zu handeln, und den Auftragsverarbeitungsvertrag abgeschlossen haben (mit dessen Fassung). Für Konten mit Zwei-Faktor-Anmeldung wird zusätzlich das dafür nötige Geheimnis gespeichert. Ohne diese Angaben lässt sich kein Konto anlegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten eines Betriebs werden 90 Tage nach Ende der Testphase oder des Vertrags gelöscht; wir kündigen das vorher per E-Mail an. Eine vorzeitige Löschung können Sie per E-Mail an info@saykisolutions.de verlangen. Über jede neue Registrierung erhalten wir eine interne E-Mail.

USt-IdNr. (freiwillig): Geben Sie eine Umsatzsteuer-Identifikationsnummer an, prüfen wir sie beim Bestätigungsdienst VIES der Europäischen Kommission und speichern das Ergebnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, dass nur Unternehmen die Software nutzen.

3. Anmeldung, Sitzungen und Schutz vor Missbrauch

Beim Anmelden setzen wir einen technisch notwendigen Sitzungscookie (sitzung), der 14 Tage ab letzter Nutzung gültig bleibt und danach abläuft; Zugänge für Inhaber und Büro werden nach 60 Minuten ohne Aktivität abgemeldet. Zur Sitzung speichern wir den Zeitpunkt und die Browserkennung (User-Agent). Weitere Cookies, Analyse- oder Tracking-Werkzeuge setzen wir nicht ein; Schriften und Skripte werden nicht von fremden Servern geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG.

Im Speicher Ihres Browsers (localStorage) legt die Software außerdem ab: den Zeitpunkt der letzten Aktivität (für die automatische Abmeldung), die gewählte Sprache der Check-in-App, die zuletzt gesehene Version (für den Hinweis auf Neuerungen) und in der Check-in-App die Zuordnung zur eigenen Person. Damit die Software auch bei schlechtem Empfang startet, speichert sie ihre eigenen Programmdateien im Browser (Service Worker). Diese Angaben verlassen Ihr Gerät nicht und lassen sich über die Browsereinstellungen löschen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.

Zum Schutz vor dem Durchprobieren von Passwörtern zählen wir fehlgeschlagene Anmeldeversuche je IP-Adresse und Konto für bis zu 15 Minuten im Arbeitsspeicher; diese Angaben werden nicht dauerhaft gespeichert. Häufen sich Fehlversuche bei einem Konto, bekommt der Kontoinhaber eine Warnung per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform).

4. E-Mail-Versand

Über den in Ziffer 10 genannten Versanddienst verschicken wir diese Nachrichten, die für Ihr Konto nötig sind: Bestätigung der E-Mail-Adresse, Willkommensmail, Einladungen ins Team, „Passwort vergessen", Warnung bei gehäuften Fehlversuchen und die Benachrichtigung über einen Notfall-Zugriff des Supports. Verarbeitet werden Empfängeradresse und Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei den Warnungen lit. f (Sicherheit Ihres Kontos).

Tipps und Erinnerungen: In der Testphase schicken wir dem Inhaber höchstens zwei Hinweise: eine kurze Anleitung zum Einstieg und eine Erinnerung vor dem Ende der Testphase. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und § 7 Abs. 3 UWG; unser Interesse ist, dass Sie die Software gut nutzen können. Sie können dem jederzeit widersprechen, ohne dass Kosten entstehen: über den Link „abbestellen" in jeder dieser Mails, über den Knopf „Abbestellen" Ihres Postfachs oder unter „Mein Konto". Nachrichten, die für Ihr Konto nötig sind (Bestätigung, Passwort, Sicherheit, Einladungen, Vertrag), bekommen Sie weiterhin.

Änderungen am Einsatzplan: Ändert ein Betrieb den Einsatzplan einer Reinigungskraft für die nächsten 14 Tage, zeigt die Check-in-App ihr, was dazukommt und was entfällt (Datum, Objekt, Leistung). Hat die Person einen eigenen Zugang mit E-Mail-Adresse, bekommt sie dieselbe Übersicht zusätzlich per E-Mail, sofern der Betrieb das nicht abgeschaltet hat. Diese Mail lässt sich jederzeit über den Link darin, den Knopf „Abbestellen" des Postfachs oder unter „Mein Konto" abbestellen. Verantwortlich ist der jeweilige Betrieb (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG — Organisation des Arbeitsverhältnisses).

Push-Nachrichten: Bietet der Betrieb es an und schaltet eine Person es in der Check-in-App selbst ein, bekommt ihr Handy bei einer Planänderung zusätzlich eine kurze Nachricht. Technisch läuft sie über den Push-Dienst des Herstellers von Handy bzw. Browser (Google, Apple, Mozilla oder Microsoft), der dafür eine Geräteadresse vergibt. Wir speichern diese Adresse samt der gewählten Sprache, bis die Person Push wieder ausschaltet oder das Gerät nicht mehr erreichbar ist. Die Nachricht ist Ende-zu-Ende-verschlüsselt (RFC 8291) und nennt weder Namen noch Objekte oder Zeiten — nur, dass sich der Plan geändert hat. Ob der Push-Dienst außerhalb der EU sitzt, hängt vom Hersteller des Geräts ab; die Grundlage nennt die Liste in Ziffer 10. Rechtsgrundlage ist die Einwilligung der Person am Gerät (Art. 6 Abs. 1 lit. a DSGVO), die sich dort jederzeit widerrufen lässt.

Anfragen per E-Mail: Schreiben Sie uns, etwa zu Enterprise, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) bzw. lit. f. Wir löschen die Nachrichten, wenn sie erledigt sind und keine Aufbewahrungspflicht besteht.

5. Zahlungsabwicklung

Bei Wahl eines kostenpflichtigen Tarifs übermitteln wir die dafür nötigen Daten (u. a. E-Mail-Adresse, Firmenname, gewählter Tarif) an Stripe Payments Europe, Ltd., Dublin, Irland. Zahlungs- und Rechnungsangaben (z. B. Kartendaten, Anschrift, USt-IdNr.) geben Sie direkt bei Stripe ein; Zahlungsdaten erreichen unsere Server nicht. Es gilt ergänzend die Datenschutzerklärung von Stripe: stripe.com/de/privacy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuerliche Pflichten).

6. KI-Assistent

Der KI-Assistent ist ausgeschaltet, bis ein Betrieb ihn in seinen Einstellungen selbst einschaltet. Er formuliert auf Anforderung Textvorschläge (Anschreiben zu Angeboten und Rechnungen, Zahlungserinnerungen, Leistungsverzeichnisse aus Freitext). Jeder Vorschlag erscheint zunächst im Formular und wird von einer Person geprüft, bevor er gespeichert wird; die Software trifft keine automatisierten Entscheidungen (Art. 22 DSGVO).

Übermittelte Daten: Nur die für den jeweiligen Vorschlag nötigen Angaben, und diese pseudonymisiert (Art. 4 Nr. 5, Art. 25 DSGVO): Namen von Kunden, Objekten und Personen, Adressen, E-Mail-Adressen, Telefonnummern, Bankverbindungen, Rechnungsnummern, Rechnungsdaten und Beträge ersetzt die Software vor dem Versand durch Platzhalter (z. B. „KUNDE_1“) und setzt die echten Angaben erst in der Antwort wieder ein. Die Zuordnung verlässt unseren Server nicht. An den Anbieter gehen damit nur Leistungsbeschreibungen, Mengen, Flächen und der vom Betrieb eingegebene Text, in dem erkennbare Namen und Kontaktdaten ebenfalls ersetzt sind. Löhne, Zugangshinweise und interne Notizen werden nicht übermittelt. Daten von Beschäftigten werden dem KI-Anbieter in keinem Fall übermittelt; Vertretungsvorschläge bei Ausfällen berechnet die Software vollständig selbst.

Anbieter und Drittland: Den KI-Anbieter wählt der Betrieb selbst — OpenAI (ChatGPT), Anthropic (Claude) oder Mistral AI — und nutzt dafür seinen eigenen Zugang mit eigenem Vertrag. Wir übermitteln die Anfrage auf Weisung des Betriebs an diesen Anbieter; der Anbieter verarbeitet sie als Auftragsverarbeiter des Betriebs nach dem Vertrag, den der Betrieb mit ihm geschlossen hat. OpenAI und Anthropic verarbeiten in den USA; Grundlage der Übermittlung sind je nach Vertrag des Betriebs der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mistral AI verarbeitet in der EU. Ob der Anbieter die Daten zum Training seiner Modelle nutzen darf, richtet sich nach dem Vertrag des Betriebs mit dem Anbieter; wir empfehlen den Betrieben einen geschäftlichen Zugang (API- bzw. Business-Tarif), bei dem das ausgeschlossen ist. Den API-Schlüssel des Betriebs speichern wir verschlüsselt und verwenden ihn nur für Anfragen, die der Betrieb in der Software auslöst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb; für Daten seiner Kunden ist der Betrieb Verantwortlicher (Teil B).

6a. Anbindung an Lexware Office

Ein Betrieb kann seine Software mit seinem eigenen Konto bei Lexware Office (Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg) verbinden. Die Anbindung ist aus, bis der Inhaber des Betriebs seinen eigenen API-Schlüssel hinterlegt. Danach übermitteln wir auf Weisung des Betriebs jede festgeschriebene Rechnung als Buchungsbeleg an sein Lexware-Konto und lesen von dort den Zahlstatus seiner Rechnungen zurück.

Übermittelte Daten: zum Kunden des Betriebs Name bzw. Firma, Anschrift, E-Mail-Adresse, Telefonnummer, USt-IdNr. und Ansprechpartner; zur Rechnung Nummer, Datum, Leistungsdatum, Fälligkeit, Betreff, Beträge und Steuer. Daten von Beschäftigten, Zeiten, Löhne und Objektdaten werden nicht übermittelt. Zurückgelesen werden nur Zahlstatus, Zahldatum und offener Betrag.

Rollen: Lexware verarbeitet diese Daten als Auftragsverarbeiter des Betriebs nach dem Vertrag zur Auftragsverarbeitung, den der Betrieb selbst mit Lexware geschlossen hat. Lexware ist kein Unterauftragsverarbeiter von uns. Laut Lexware werden die Kernfunktionen von Lexware Office in Deutschland gehostet. Den API-Schlüssel des Betriebs speichern wir verschlüsselt und verwenden ihn nur für diese Übertragungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb; für die Daten seiner Kunden ist der Betrieb Verantwortlicher (Teil B). Trennt der Betrieb die Verbindung, löschen wir den Schlüssel; was schon in Lexware steht, bleibt dort und richtet sich nach dem Vertrag des Betriebs mit Lexware.

7. Standort beim Einchecken

Hat ein Betrieb die Standortprüfung eingeschaltet, fragt die Check-in-Seite beim Tippen auf „Einchecken" einmal nach dem Standort des Geräts. Er wird mit dem hinterlegten Standort des Objekts verglichen; gespeichert wird nur das Ergebnis, nicht die Position. Die Freigabe lässt sich im Browser verweigern — eingecheckt wird dann trotzdem, vermerkt als „ohne Standort". Es gibt keine Ortung im Hintergrund oder während der Arbeit, keine Bewegungsprofile und keine Weitergabe der Position an Kartendienste. Hat das Gerät beim Ein- oder Auschecken kein Netz, hält die Check-in-Seite die Buchung auf dem Gerät fest — samt dem einmal ermittelten Standort, falls die Standortprüfung eingeschaltet ist — und überträgt sie, sobald wieder Netz besteht; danach wird sie auf dem Gerät gelöscht. Damit das ohne Netz geht, merkt sich das Gerät außerdem die Namen der Objekte und Beschäftigten, die es zuletzt angezeigt hat. Für den hinterlegten Standort eines Objekts kann der Betrieb die Koordinaten aus der Objektadresse ermitteln lassen; übermittelt wird dafür nur die Adresse (Straße, PLZ, Ort) an den Kartendienst, der unter „Empfänger und Auftragsverarbeiter" genannt ist. Verantwortlich ist der jeweilige Betrieb. QR-Aufkleber an Objekten enthalten nur einen Link auf den Check-in, keine personenbezogenen Daten.

7a. Reklamationen und Übersicht für Auftraggeber

Ein Reinigungsbetrieb kann für seine Objekte einen QR-Code aushängen und seinen Auftraggebern einen Link geben. Darüber lässt sich ohne Anmeldung melden, was nicht in Ordnung ist; der Auftraggeber sieht außerdem, was in seinen Objekten erledigt wurde, die Noten der Qualitätskontrollen und den Stand seiner Meldungen. Namen von Beschäftigten, Zeiten und Preise sind dort nie zu sehen.

Verarbeitete Daten: die Beschreibung, der Ort im Objekt und bis zu drei Fotos; freiwillig Name und E-Mail-Adresse. Mit der E-Mail-Adresse bekommt die meldende Person eine Bestätigung mit einem Link zum Stand und eine Nachricht, sobald die Meldung erledigt ist. Zum Schutz vor Missbrauch wird die IP-Adresse bis zu einer Stunde im Arbeitsspeicher gezählt (höchstens zehn Meldungen je Stunde) und nicht gespeichert.

Verantwortlich ist der jeweilige Reinigungsbetrieb; wir verarbeiten die Meldung in seinem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Reinigungsvertrags) bzw. lit. f (Bearbeitung der Reklamation). Die Meldung bleibt beim Betrieb wie seine übrigen Qualitätsunterlagen; Name und E-Mail-Adresse kann er jederzeit löschen.

8. Server-Protokolle und Sicherungen

Beim Aufruf der Plattform verarbeitet der Webserver technische Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite), um den Betrieb sicherzustellen und Störungen zu erkennen. Speicherdauer: 14 Tage. Die Daten der Plattform werden täglich gesichert; Sicherungen werden nach 30 Tagen überschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Vieles davon erledigen Sie direkt in der Software:

• Auskunft und Übertragbarkeit: Datenexport unter „Tarif"
• Berichtigung: unter „Mein Konto"
• Löschung: automatisch 90 Tage nach Vertragsende, vorher auf Anfrage per E-Mail

Für alles Weitere: info@saykisolutions.de. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren.

10. Empfänger und Auftragsverarbeiter

Mit den Auftragsverarbeitern unter ihnen bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher. Anbieter, die ein Betrieb mit seinem eigenen Zugang anbindet (KI-Anbieter, Lexware Office), stehen nicht in dieser Liste: Sie sind Auftragsverarbeiter des Betriebs (Ziffern 6 und 6a). Wo Daten in ein Land außerhalb der EU gelangen können, nennt die letzte Spalte die Grundlage (Art. 44 ff. DSGVO).

Stand: 10.11.2026 · Impressum · AGB · Preise und Leistungen · AVV · TOM