Datenschutzhinweise für WebRevive ERP

WebRevive UG (haftungsbeschränkt), Bgm.-Sommer-Straße 19, 82216 Maisach, Deutschland, E-Mail business@web-revive.de, betreibt „WebRevive ERP“ (so auch der Name der zugehörigen Microsoft- und Google-App) als Hosting-Dienstleister für Unternehmen, die es für ihre Geschäftsprozesse einsetzen (nachfolgend „das Unternehmen“). Jedes Unternehmen erhält eine eigene, getrennte Instanz mit eigener Datenbank.

Für die Verarbeitung der betrieblichen Daten im ERP, insbesondere Kunden-, Lieferanten-, Beschäftigten- und Belegdaten, ist das jeweilige Unternehmen Verantwortlicher im Sinne der DSGVO. WebRevive verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags und ausschließlich nach Weisung des Unternehmens. Welches Unternehmen für Ihre Daten verantwortlich ist, welche Rechtsgrundlagen gelten und wie lange Belege aufbewahrt werden, ergibt sich aus den Datenschutzhinweisen dieses Unternehmens.

Für die eigene Kontakt- und Vertragskommunikation von WebRevive gelten die Hinweise unter https://web-revive.de/datenschutz/.

Im Auftrag des Unternehmens werden verarbeitet:

• Nutzer- und Zugangsdaten der Beschäftigten: E-Mail-Adresse, Name, Rolle, Passwort in gehashter Form, Anmeldezeitpunkte. Die Anmeldung erfolgt über den Authentifizierungsdienst von Supabase (siehe Abschnitt 6). Anmelde-, Einladungs- und Passwort-Zurücksetzen-E-Mails werden über diesen Dienst versendet.
• Stamm- und Belegdaten: Kunden, Lieferanten, Ansprechpartner, Artikel, Angebote, Aufträge, Lieferscheine, Rechnungen, Gutschriften, Zahlungserinnerungen, Wareneingänge, Eingangsrechnungen, Inventuren sowie zugehörige Dateien (PDF, Bilder, Tabellen).
• Dokumente für den Import (Abschnitt 5): Preislisten, Lieferscheine und Eingangsrechnungen, die das Unternehmen hochlädt, einschließlich der darin enthaltenen Namen und Kontaktdaten.
• Versandnachweise zu per E-Mail verschickten Belegen: Empfänger, Zeitpunkt, Status, Nachrichten-ID.
• Verbundene E-Mail-Konten (Abschnitt 4).
• Technische Protokolle: Zeitstempel, aufgerufene Funktion, Antwortstatus, Dauer, Nutzer- und Mandanten-Kennung, Fehlermeldungen sowie auf dem Server die IP-Adresse der Anfrage. Sie dienen dem sicheren Betrieb, der Fehlersuche und der Abwehr von Angriffen (Ratenbegrenzung, Sperre nach wiederholten Fehlanmeldungen).
• Audit-Protokoll: Änderungen an Belegen und Einstellungen werden mit Nutzer und Zeitpunkt festgehalten, um die gesetzlich geforderte Nachvollziehbarkeit (GoBD) zu gewährleisten.

Welche betrieblichen Inhalte erfasst werden, bestimmt das Unternehmen.

Das ERP setzt keine Tracking-Cookies und kein Web-Analyse-Werkzeug ein. Im lokalen Speicher Ihres Browsers werden ausschließlich funktionsnotwendige Daten abgelegt: die Anmeldesitzung, gespeicherte Listenansichten und Filter sowie eine Offline-Warteschlange für Scanner-Eingaben im Lager, die bei Funklöchern zwischenspeichert und nach Wiederverbindung an den Server übertragen wird. Diese Daten verlassen Ihr Gerät nur in Richtung der ERP-Server des Unternehmens.

Rechnungen, Gutschriften und Zahlungserinnerungen versendet das ERP über ein E-Mail-Konto, das ein berechtigter Nutzer des Unternehmens in den Einstellungen verbindet. Drei Wege stehen zur Wahl:

Das ERP liest keine E-Mails, Kontakte oder Postfachinhalte. Bei Microsoft und Google melden Sie sich direkt beim Anbieter an; das ERP erhält Ihr Passwort nicht, sondern nur die oben genannten Token.

Ablauf: Beim Verbinden leitet das ERP Sie zum Anbieter weiter. Nach Ihrer Zustimmung erhält der ERP-Server ein Refresh-Token und die Kontoadresse. Beim Versand erzeugt der Server damit ein kurzlebiges Zugriffstoken, das nur im Arbeitsspeicher gehalten wird, und übermittelt Absender, Empfänger (einschließlich CC und BCC), Betreff, Nachrichtentext und die ausgewählten Beleganhänge an den Anbieter, der die Zustellung übernimmt.

Schutz: Refresh-Token und SMTP-Passwörter werden mit AES-256-GCM verschlüsselt gespeichert und in der Oberfläche nie angezeigt. Berechtigte Nutzer des Unternehmens sehen Adresse und Status; WebRevive-Administratoren können im Rahmen des Betriebs dieselben Metadaten einsehen. Für den Versand muss der Server die Token entschlüsseln können; die Verschlüsselung schützt vor Einsicht in den Datenbestand, nicht vor einem umfassend privilegierten Systemadministrator.

Trennen: Beim Trennen des Kontos im ERP werden Adresse, Status und Token sofort aus dem aktiven Datenbestand gelöscht. Zusätzlich können Sie die Berechtigung in Ihrem Microsoft- oder Google-Konto unter den verbundenen Apps widerrufen; beide Schritte sind unabhängig voneinander. Bereits zugestellte E-Mails und die Versandnachweise bleiben davon unberührt.

Google API Services User Data Policy: Die Nutzung und Weitergabe von über Google-APIs erhaltenen Informationen erfolgt gemäß der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Google-Daten werden nicht für Werbung verwendet, nicht verkauft, nicht an Dritte weitergegeben und nicht zum Training von KI-Modellen genutzt.

Zur Erfassung von Preislisten, Lieferscheinen und Eingangsrechnungen kann das Unternehmen eine KI-Unterstützung nutzen. Dabei werden Inhalte der hochgeladenen Dokumente, etwa Tabellenauszüge, Textbausteine oder Seitenbilder, an die API von OpenAI übermittelt, um Spalten zuzuordnen, Positionen zu erkennen und Plausibilitäten zu prüfen. Vertragspartner für Kunden im EWR ist OpenAI Ireland Ltd., Dublin; die Verarbeitung erfolgt derzeit auf Servern von OpenAI in den USA. Die Anfragen werden mit der Einstellung übermittelt, dass OpenAI sie nicht speichert; nach den API-Bedingungen von OpenAI werden übermittelte Daten nicht zum Training von Modellen verwendet. Die Übermittlung in die USA stützt sich auf den Auftragsverarbeitungsvertrag mit OpenAI, die EU-Standardvertragsklauseln und die aktive Zertifizierung von OpenAI unter dem EU-US Data Privacy Framework. Das Unternehmen entscheidet, ob und für welche Dokumente die Funktion genutzt wird; ohne sie arbeitet der Import regelbasiert. Daten aus verbundenen E-Mail-Konten werden nicht an OpenAI übermittelt.

Mit den Dienstleistern, die personenbezogene Daten verarbeiten, bestehen Auftragsverarbeitungsverträge. Eine Nutzung der Daten für eigene Zwecke von WebRevive, für Werbung oder ein Verkauf findet nicht statt.

Gelöschte Daten können bis zum Ablauf dieser Sicherungszyklen in Sicherungskopien enthalten sein.

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, einer auf berechtigten Interessen beruhenden Verarbeitung zu widersprechen und erteilte Einwilligungen mit Wirkung für die Zukunft zu widerrufen. Wenden Sie sich für betriebliche Daten an das verantwortliche Unternehmen; WebRevive unterstützt es bei der Bearbeitung und ist unter business@web-revive.de erreichbar. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für WebRevive zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, https://www.lda.bayern.de/.

Wir schützen die im Rahmen der Gmail-/Google-Workspace-Anbindung verarbeiteten Google-Nutzerdaten durch technische und organisatorische Maßnahmen vor unbefugtem Zugriff, Offenlegung und Veränderung. Dazu gehören die Kontoadresse, der Verbindungsstatus, OAuth-Token sowie die für den Versand übermittelten Nachrichten und Beleganhänge.

Verschlüsselte Übertragung: Die Verbindung zwischen Ihrem Browser und dem öffentlich erreichbaren ERP erfolgt über HTTPS/TLS. Auch die Anmeldung bei Google und die Übermittlung von OAuth-Token, Kontodaten, Nachrichten und Anhängen zwischen dem ERP-Server und den Google-APIs erfolgen über HTTPS/TLS. Dies beschreibt den Transport zum Anbieter; eine Ende-zu-Ende-Verschlüsselung der zugestellten E-Mail wird damit nicht zugesagt.

Geschützte Token-Speicherung: Google-Refresh-Token werden serverseitig mit AES-256-GCM verschlüsselt gespeichert. Der Verschlüsselungsschlüssel wird dem Server über seine Betriebskonfiguration bereitgestellt und nicht zusammen mit dem verschlüsselten Token im Mailkontodatensatz gespeichert. Kurzlebige Zugriffstoken werden nur im Arbeitsspeicher für die Kommunikation mit Google gehalten. OAuth-Token werden in der ERP-Oberfläche nicht angezeigt. Für den Versand muss der Server die gespeicherten Refresh-Token entschlüsseln können.

Zugriffsbeschränkung: Die Verwaltung verbundener Postfächer erfordert eine authentifizierte ERP-Sitzung und unterliegt serverseitigen Rollen- und Berechtigungsprüfungen. Ein Firmenpostfach können nur Inhaber oder Administratoren des Unternehmens verbinden. Berechtigte Nutzer sehen die Kontoadresse und den Verbindungsstatus, nicht die gespeicherten Token. WebRevive-Administratoren können diese Metadaten im Rahmen des Betriebs einsehen; die Token-Verschlüsselung schließt den Zugriff eines umfassend privilegierten Systemadministrators nicht aus.

Begrenzung und Löschung: Die Google-Anbindung fordert ausschließlich die Berechtigungen zum Senden von E-Mails und zum Identifizieren der verbundenen Kontoadresse an. Sie liest keine bestehenden E-Mails, Kontakte oder Postfachinhalte. Beim Trennen des Kontos werden Adresse, Status und gespeicherte Token aus dem aktiven Datenbestand gelöscht. Für Sicherungskopien und bereits entstandene Versandnachweise gelten die Angaben im Abschnitt „Speicherdauer“. Den Zugriff können Sie zusätzlich in Ihrem Google-Konto widerrufen.

English summary — Protection of Google user data: WebRevive ERP protects Google account information, OAuth tokens and outgoing messages with access controls and encryption. Browser connections to the public ERP and server communication with Google APIs use HTTPS/TLS. Google refresh tokens are encrypted at rest using AES-256-GCM; the encryption key is provided through server configuration and is not stored alongside the encrypted token in the mailbox record. Short-lived access tokens are held only in server memory. Mailbox management requires an authenticated ERP session and server-side role and permission checks. Tokens are not displayed in the ERP interface. The server must be able to decrypt refresh tokens to send email; this does not prevent access by a fully privileged system administrator. Disconnecting a mailbox deletes its account information and tokens from the active database, subject to the backup and retention periods described above. Transport encryption does not imply end-to-end encryption of delivered email.

Diese Hinweise werden angepasst, wenn sich Funktionen oder Verarbeitungen ändern. Maßgeblich ist die oben genannte Fassung.