Datenschutzerklärung

Stand: 15.11.2026

Diese Datenschutzerklärung gilt für die SaaS-Anwendung SB Portal, betrieben von SB Code Solutions. Sie gilt nicht für die Marketing-Website (sb-code-solutions.de), die eine separate Datenschutzerklärung hat.

1. Verantwortlicher

2. Verarbeitete Daten und Zwecke

2.1 Registrierung und Kontozugang

Bei der Registrierung eines Testzugangs erheben wir folgende Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Unternehmensname
• Gewähltes Passwort (gespeichert als bcrypt-Hash, nicht im Klartext)
• IP-Adresse (zum Zeitpunkt der Registrierung, für Missbrauchsprävention)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung).

2.2 Nutzung des Portals

Während der Nutzung von SB Portal können Sie Daten zu Ihren Kunden, Mitarbeitern, Aufträgen, Angeboten, Rechnungen und weiteren Geschäftsvorfällen eingeben und verwalten. Diese Daten werden auf unserem Server gespeichert.

Wichtiger Hinweis zum Datenschutzrecht: Für die personenbezogenen Daten, die Sie über Ihre eigenen Kunden und Mitarbeiter im Portal eingeben, sind Sie der datenschutzrechtlich Verantwortliche (Art. 4 Nr. 7 DSGVO). SB Code Solutions verarbeitet diese Daten ausschließlich in Ihrem Auftrag als Auftragsverarbeiter gemäß Art. 28 DSGVO. Den Auftragsverarbeitungsvertrag (AVV) können Sie hier direkt als Textdatei herunterladen — er wird automatisch auf Ihren Tenant zugeschnitten. Für eine gegenzeichnungsfertige Variante mit Firmenstempel wenden Sie sich an info@sb-code-solutions.de.

Rechtsgrundlage für die Verarbeitung Ihrer Kontodaten und Nutzungsdaten: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.3 Zahlungsabwicklung (Stripe)

Für die Abrechnung kostenpflichtiger Abonnements setzen wir Stripe ein:

Bei der Zahlung werden Sie auf die gehostete Checkout-Seite von Stripe weitergeleitet. Stripe verarbeitet dort Ihre Zahlungsdaten (Kreditkarte oder SEPA-Lastschrift) als eigenständiger Verantwortlicher. Wir übermitteln an Stripe lediglich Ihre E-Mail-Adresse, den Firmennamen, eine interne Betriebsnummer und den gewählten Tarif. Zahlungsmethode und Rechnungsadresse verwalten Sie im Kundenportal von Stripe. Bei uns gespeichert werden nur die Kennungen von Kunde, Abonnement und Rechnungen sowie deren Status. Kartennummern oder Kontodaten werden auf unseren Servern zu keiner Zeit verarbeitet.

Hinweis: Wir sind Kleinunternehmer gemäß § 19 UStG und erheben keine Umsatzsteuer. Stripe ist entsprechend konfiguriert, keine automatische Steuerberechnung vorzunehmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Stripe besteht ein Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO.

2.4 E-Mail-Benachrichtigungen

Für den Versand von System-E-Mails (Willkommens-E-Mail, Erinnerungen zum Testablauf, Zahlungsbelege) nutzen wir den SMTP-Dienst von IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Ihre E-Mail-Adresse wird dabei zur Zustellung der Nachricht übermittelt. Mit IONOS besteht ein AVV gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.5 Hosting und Server

SB Portal wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg (Deutschland) betrieben. Die Datenbank (PostgreSQL) und alle hochgeladenen Dateien werden ausschließlich auf diesem Server gespeichert. Mit Hetzner besteht ein AVV gemäß Art. 28 DSGVO.

Server-Log-Dateien (IP-Adresse, Zeitstempel, aufgerufene URL) werden für maximal 30 Tage gespeichert und danach automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).

Datensicherungen werden täglich verschlüsselt erstellt und nach 7 Tagen gelöscht.

2.6 Weitere Empfänger

Neben Stripe (2.3), IONOS (2.4) und Hetzner (2.5) werden Daten in folgenden Fällen an externe Dienste übermittelt:

• OpenStreetMap-Kartenkacheln (OpenStreetMap Foundation, Vereinigtes Königreich): Beim Anzeigen der Tourenkarte lädt Ihr Browser die Kartenkacheln direkt von OpenStreetMap. Dabei werden Ihre IP-Adresse, Browserdaten und der angezeigte Kartenausschnitt übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
• Nominatim (Geocoding, OpenStreetMap Foundation, Vereinigtes Königreich): Unser Server übermittelt Anschriften von Objekten bzw. Kunden und die Firmenanschrift, um daraus Koordinaten zu ermitteln.
• OSRM (Routenberechnung, öffentlicher Server des OSRM-Projekts): Unser Server übermittelt die Koordinaten der Einsatzorte einer Tour, um die Reihenfolge zu berechnen.
• Bright Sky (Wetterdaten auf Basis von Daten des Deutschen Wetterdienstes): Unser Server übermittelt gerundete Koordinaten von Objekten, um Wetterdaten abzurufen (z. B. für den Winterdienst-Nachweis).
• Web-Push-Dienste der Browserhersteller (Google, Apple, Mozilla, Microsoft): Wenn Sie Benachrichtigungen aktivieren, werden diese über den Push-Dienst Ihres Browsers zugestellt. Die Inhalte sind Ende-zu-Ende verschlüsselt; der Dienst erhält nur die Adresse des Abos, den Zeitpunkt und die Größe der Nachricht. Diese Dienste können ihren Sitz in den USA haben. Beim Abmelden wird das Push-Abo beendet.
• hCaptcha (Intuition Machines Inc., USA): nur bei der Registrierung eines neuen Betriebs zum Schutz vor automatisierten Anmeldungen. Dabei werden ein Prüf-Token und Ihre IP-Adresse an hCaptcha übermittelt. Grundlage für die Übermittlung in die USA sind Standardvertragsklauseln (Art. 46 DSGVO).

Die Schriftarten der Anwendung werden von unserem eigenen Server ausgeliefert; es werden dafür keine Daten an Dritte übermittelt. Analyse- oder Tracking-Dienste setzen wir nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vertraglich vereinbarten Funktionen) bzw. Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch bei der Registrierung).

2.7 Standort beim Einstempeln

Wenn ein Betrieb die Zeiterfassung nutzt, kann beim Ein- und Ausstempeln der Standort des Geräts erfasst werden. Das geschieht nur, wenn die Standortfreigabe im Browser erteilt wird; ohne Freigabe wird ohne Standort gestempelt. Gespeichert werden die Koordinaten (gerundet) und die Genauigkeit. Zweck ist der Nachweis, dass die Arbeit am Einsatzort begonnen bzw. beendet wurde. Die Standortdaten sehen nur Büro und Administratoren des jeweiligen Betriebs; sie werden nach 90 Tagen gelöscht. Verantwortlich für diese Verarbeitung ist der jeweilige Betrieb (siehe 2.2).

2.8 SB AI (KI-Funktionen im Tarif Pro)

Hat ein Betrieb im Tarif Pro SB AI eingeschaltet, nutzen wir für zwei Funktionen ein Sprachmodell im AI Model Hub der IONOS Cloud GmbH, Elgendorfer Straße 57, 56410 Montabaur. Ohne Einschalten findet keine Übermittlung statt.

• Fragen an den Betrieb: Das Modell erhält nur die gestellte Frage und die Liste der möglichen Fragetypen. Vorher werden Namen, E-Mail-Adressen, Telefonnummern und Anschriften durch Platzhalter ersetzt. Das Modell ordnet die Frage einem Fragetyp und einem Zeitraum zu. Die Antwort mit Zahlen erzeugt SB Portal selbst aus den Daten des Betriebs; diese Daten gehen nicht an das Modell. Erkennen feste Regeln die Frage sicher, wird das Modell gar nicht aufgerufen.
• KI-Auftragsentwurf: Das Modell erhält den eingefügten Text einer Kundennachricht, ebenfalls nach dem Ersetzen von Namen, E-Mail-Adressen, Telefonnummern und Anschriften, sowie die Auftragsarten des Betriebs. Es liefert einen Entwurf. Gespeichert wird erst, wenn ein Mensch den Entwurf geprüft und selbst gespeichert hat.

Die Hinweise unter „Heute wichtig“ entstehen ohne Sprachmodell.

Je Anfrage an das Modell protokollieren wir Zeitpunkt, Benutzer, Funktion, Modell, Anzahl der Token, Kosten, eine Prüfsumme (SHA-256) der Eingabe und die Anzahl der ersetzten Angaben, nicht den Text selbst. Das Protokoll dient der Kostenkontrolle (monatliches Kontingent je Betrieb) und dem Erkennen von Missbrauch. Es wird zusammen mit den übrigen Daten des Betriebs gelöscht (Abschnitt 3).

Für die Inhalte, die ein Betrieb an SB AI übergibt, ist der Betrieb Verantwortlicher, SB Code Solutions Auftragsverarbeiter und IONOS Unterauftragsverarbeiter (siehe AVV, § 6). Mit IONOS besteht ein AVV gemäß Art. 28 DSGVO; die Verarbeitung erfolgt in Rechenzentren in Deutschland. IONOS setzt für Betrieb und Support eigene Konzerngesellschaften ein (IONOS SE, Deutschland; IONOS Cloud Romania S.R.L., Rumänien; IONOS Cloud Solutions Spain S.L.U., Spanien), die im Einzelfall Zugriff auf die Systeme haben können. Alle Standorte liegen in der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Betrieb gewählte Vertragsfunktion) bzw. Art. 28 DSGVO für die Daten der Kunden des Betriebs.

3. Speicherdauer und Datenlöschung

3.1 Testzugang (Trial)

Der kostenlose Testzugang läuft nach 30 Tagen ab. Danach ist der Zugang eingeschränkt: Daten können weiter angesehen und exportiert, aber nicht mehr bearbeitet werden. Die Daten bleiben 60 Tage nach dem Ende des Zugangs gespeichert; 14 Tage vor der Löschung erinnern wir per E-Mail. Wird bis dahin kein Abonnement abgeschlossen, wird der Betrieb abgebaut und alle zugehörigen Daten (Datenbank, Konfiguration, hochgeladene Dateien) werden spätestens 90 Tage nach dem Ende des Zugangs unwiderruflich gelöscht. In den täglichen Datensicherungen sind sie danach noch höchstens 7 Tage enthalten (Abschnitt 2.5).

3.2 Bezahltes Abonnement

Nach Kündigung eines bezahlten Abonnements bleiben Ihre Daten bis zum Ende des bezahlten Zeitraums uneingeschränkt nutzbar. Danach gilt Abschnitt 3.1 entsprechend: 60 Tage lesen und exportieren, Erinnerung 14 Tage vor der Löschung, Löschung spätestens 90 Tage nach dem Ende des Zugangs. Das Gleiche gilt, wenn eine Zahlung nach Ablauf der Schonfrist von 7 Tagen offen bleibt.

Gesetzliche Aufbewahrungspflichten (insbesondere nach HGB und AO: 6 bzw. 10 Jahre für buchhalterisch relevante Unterlagen) gehen der Löschung vor, soweit wir selbst zur Aufbewahrung verpflichtet sind.

3.3 Löschung auf Anfrage

Sie können die Löschung Ihrer Kontodaten jederzeit per E-Mail an info@sb-code-solutions.de beantragen. Wir werden der Löschung innerhalb von 30 Tagen nachkommen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Cookies und lokale Speicherung

SB Portal setzt technisch notwendige Cookies ein:

• portal_token: HttpOnly-Session-Cookie für den Login im Portal (Gültigkeit: 8 Stunden, wird bei Aktivität verlängert). Erforderlich für den Betrieb der Anwendung.
• customer_portal_token: HttpOnly-Session-Cookie für den Kundenportal-Login (Gültigkeit: 8 Stunden; sofern diese Funktion aktiviert ist).

Tracking- oder Marketing-Cookies werden nicht eingesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig).

Damit das Portal auch bei schlechter Verbindung nutzbar bleibt, legt der Browser einen Offline-Zwischenspeicher an (IndexedDB und Cache-Speicher des Service Workers). Darin liegen zuletzt abgerufene Geschäftsdaten (z. B. Aufträge, Kunden, Zeiteinträge) sowie offline erfasste Eingaben und Fotos, bis sie an den Server übertragen sind. Zwischengespeicherte Antworten werden nach spätestens 24 Stunden verworfen. Der Zwischenspeicher wird beim Abmelden vollständig gelöscht und ebenso, wenn sich auf dem Gerät ein anderer Nutzer anmeldet. Hochgeladene Dateien werden nicht im Cache-Speicher abgelegt.

Im localStorage des Browsers werden nur Einstellungen gespeichert (z. B. Ansichtseinstellungen, Textvorlagen, Signatur, eine laufende Stoppuhr). Zugangsdaten werden dort nicht abgelegt. Diese Daten verlassen Ihren Browser nicht.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die vom Nutzer gewünschte Funktion unbedingt erforderlich).

5. Ihre Rechte

Als betroffene Person haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO):
  Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

Anfragen zur Ausübung Ihrer Rechte richten Sie bitte an: info@sb-code-solutions.de

6. Aktualität

Diese Datenschutzerklärung hat den Stand 15.11.2026 und kann bei Bedarf aktualisiert werden. Die jeweils gültige Version ist unter /legal/datenschutz abrufbar.