besetzo
Kostenlos starten

Datenschutzerklärung

Stand: 3. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf dieser Website und im Dienst ist:
Martin Watzlaw, NEXUS Communication (Geschäftsbezeichnung), Gutenbergstr. 24, 61191 Rosbach vor der Höhe.
E-Mail: (wird per JavaScript eingeblendet). Umsatzsteuer-Identifikationsnummer: DE204671098. Weitere Angaben im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt; als Einzelunternehmen werden die gesetzlichen Schwellenwerte (Art. 37 DSGVO, § 38 BDSG) nicht erreicht. Bei Fragen zum Datenschutz wende Dich bitte direkt an die oben genannte Adresse.

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

besetzo ist eine B2B-Software zur Personal- und Einsatzplanung. Bei der Verarbeitung personenbezogener Daten sind zwei Rollen zu unterscheiden:

Für die Daten der von einem Kunden eingeplanten Beschäftigten und Disponenten (z. B. Namen, Verfügbarkeiten, Einsatz- und Planungsdaten) ist der Kunde (der Arbeitgeber) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Anbieter ist insoweit Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Für diese Verarbeitung schließen die Parteien einen Auftragsverarbeitungsvertrag (AVV); maßgeblich für die Information der eingeplanten Beschäftigten ist die Datenschutzerklärung des jeweiligen Kunden.

Diese Datenschutzerklärung gilt nur für die Daten, für die der Anbieter selbst Verantwortlicher ist - also für die Daten der Konto-Inhaber bzw. Vertragspartner, der Website-Besucher und für etwaige Newsletter-Empfänger.

3. Hosting und technische Infrastruktur

Die Anwendung wird über Vercel (Vercel Inc., USA) bereitgestellt; die serverseitige Auslieferung erfolgt überwiegend in der Region Frankfurt (fra1). Datenbank, Authentifizierung und Speicherung erfolgen über Supabase mit Serverstandort Frankfurt am Main (Region eu-central-1, Europäische Union). Der transaktionale E-Mail-Versand (z. B. Registrierungs- und Passwort-Reset-Mails) läuft über Scaleway TEM (Scaleway S.A.S., Frankreich/EU). Diese Dienstleister sind als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden; es bestehen jeweils Auftragsverarbeitungsverträge.

Hinweis zum Drittlandbezug: Supabase wird zwar in der EU-Region Frankfurt betrieben, Vertragspartner ist jedoch die Supabase Pte. Ltd. mit Sitz in Singapur - einem Drittland ohne Angemessenheitsbeschluss der EU-Kommission. Support- und Betriebsleistungen erbringt dabei auch die Konzerngesellschaft Supabase, Inc. (USA). Trotz EU-Serverstandort kann dadurch ein Drittlandbezug bestehen; dieser ist über EU-Standardvertragsklauseln abgesichert (siehe Ziffer 9).

4. Welche Daten wir verarbeiten

Bei der Registrierung und Anmeldung verarbeiten wir Konto- und Anmeldedaten (insbesondere E-Mail-Adresse und Name). Im laufenden Betrieb verarbeiten wir die von Dir eingegebenen Planungsdaten (z. B. Projekte, Bereiche, Positionen, Personen). Beim Aufruf der Seiten fallen technisch bedingt Server-Protokolldaten an (insbesondere IP-Adresse, Zeitpunkt, abgerufene Ressource, übermittelter Browsertyp/Referrer). Diese Webserver-Zugriffsprotokolle entstehen beim Hosting-Anbieter (Vercel) und unterliegen dessen Aufbewahrung; sie dienen der technischen Bereitstellung, der Stabilität und der IT-Sicherheit (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO). Darüber hinaus protokollieren wir zur Abwehr von Brute-Force- und Missbrauchsversuchen sicherheitsrelevante Anmeldevorgänge (erfolgreiche und fehlgeschlagene Anmeldungen, Passwort-Reset-Anforderungen) mit E-Mail-Adresse, IP-Adresse und Browser-Kennung in einem eigenen Sicherheits-Protokoll; diese Einträge löschen wir automatisch nach spätestens 30 Tagen. Pflichtfelder bei der Registrierung (insbesondere Firmenname, Nachname, E-Mail-Adresse und Passwort) sind für den Vertragsschluss und die Bereitstellung des Kontos erforderlich; ohne diese Angaben können wir das Nutzerkonto nicht einrichten (Art. 13 Abs. 2 lit. e DSGVO).

Wenn Du uns über unser Support-/Kontaktformular kontaktierst (eingeloggt unter „Support", öffentlich unter „Kontakt"), verarbeiten wir die von Dir angegebenen Daten (Name, E-Mail-Adresse, Betreff, Kategorie und Nachricht; bei eingeloggten Anliegen zusätzlich der Konto- und Personenbezug) zur Bearbeitung Deines Anliegens und vergeben eine Ticketnummer. Die Anfrage wird uns per E-Mail (über Scaleway TEM, siehe Ziffer 8) zugestellt; Du erhältst eine Bestätigung mit der Ticketnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anliegen mit Vertragsbezug) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung allgemeiner Anfragen).

5. Cookies und lokale Speicherung

Für die Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie („besetzo-auth"), das Deine angemeldete Sitzung hält; es ist für den Betrieb erforderlich und wird ohne gesonderte Einwilligung gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Deine Cookie-/Analyse-Entscheidung speichern wir lokal in Deinem Browser (localStorage-Einträge „besetzo_consent_v1" und „besetzo_cookie_hinweis_v2"), damit der Cookie-Hinweis nicht bei jedem Besuch erneut erscheint - auch dies ist technisch erforderlich und einwilligungsfrei.

Für die eigene Besuchsstatistik speichern wir eine pseudonyme Besucher-ID in Deinem Browser („besetzo_visit_id_v1") sowie Tagesmarker für den Seitenaufruf („besetzo_landing_view_visit_id_v1") und den Videostart („besetzo_video_start_visit_id_v1"). Sie werden unabhängig von einer Einwilligung gesetzt; Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung des eigenen Angebots (Art. 6 Abs. 1 lit. f DSGVO). Google-Analytics-Cookies (z. B. „_ga" und „_ga_<ID>") werden nur gesetzt, wenn Google Analytics aktiviert ist und Du zugestimmt hast. Sobald Google Analytics aktiv ist, kannst Du eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

6. Besuchsstatistik und Webanalyse

Auf unserer Startseite erfassen wir zwei Vorgänge: den Aufruf der Seite und den Start des Erklärvideos. Dabei speichern wir die IP-Adresse, Land, Region, Stadt und Postleitzahl aus der Zuordnung unseres Hosters, Betriebssystem, Browser und Geräteart sowie die Herkunft des Aufrufs (verweisende Seite). Andere Seiten, einzelne Klicks, Scrollbewegungen und Verweildauern erfassen wir nicht. Angemeldete Nutzer erfassen wir nicht. Formularinhalte, Eingaben und Session-Recording erfassen wir nicht. Die Daten werden nach sechs Monaten gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung des eigenen Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Sofern aktiviert, kann zusätzlich Google Analytics 4 (Anbieter: Google Ireland Limited bzw. Google LLC) zur Reichweitenmessung eingesetzt werden; Google Analytics wird ausschließlich nach Deiner ausdrücklichen Einwilligung geladen (Google Consent Mode V2, Standard „denied"). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

7. Newsletter und Werbe-E-Mails

Derzeit versenden wir keinen Newsletter und keine Werbe-E-Mails. System- und Transaktions-E-Mails (z. B. zur Bestätigung der Registrierung, zum Zurücksetzen des Passworts oder zu Rechnungen) sind zur Vertragserfüllung erforderlich und werden ohne gesonderte Einwilligung versendet (Art. 6 Abs. 1 lit. b DSGVO). Sollten wir künftig einen Newsletter anbieten, erfolgt der Versand ausschließlich auf Grundlage Deiner ausdrücklichen, gesondert erteilten Einwilligung im Double-Opt-in-Verfahren (Art. 6 Abs. 1 lit. a DSGVO); diese Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail.

8. Empfänger und Kategorien von Empfängern

Personenbezogene Daten geben wir nur weiter, soweit dies zur Vertragserfüllung erforderlich ist oder eine andere Rechtsgrundlage besteht. Eingebundene Dienstleister sind insbesondere:

  • Vercel Inc. (USA) - Hosting/Auslieferung der Anwendung (Region Frankfurt, fra1);
  • Supabase Pte. Ltd. (Singapur, Serverstandort Frankfurt/EU) - Datenbank, Authentifizierung, Speicherung;
  • Scaleway S.A.S. (Frankreich/EU) - transaktionaler E-Mail-Versand;
  • Stripe Payments Europe, Limited (Irland) bzw. Stripe, LLC (USA) - Zahlungsabwicklung der kostenpflichtigen Tarife. Stripe ist hinsichtlich Betrugsprävention/Geldwäscheprävention eigenständig Verantwortlicher.

Mit den Auftragsverarbeitern bestehen jeweils Verträge nach Art. 28 DSGVO. Eine stets aktuelle Liste der eingesetzten Unterauftragsverarbeiter sowie den Auftragsverarbeitungsvertrag (AVV) und die technisch-organisatorischen Maßnahmen (TOM) stellen wir Geschäftskunden vor Vertragsschluss auf Anfrage bereit (Kontakt siehe Ziffer 1).

9. Datenverarbeitung in Drittländern

Die für den Betrieb maßgebliche Speicherung erfolgt auf Servern innerhalb der Europäischen Union (Supabase Frankfurt am Main, Scaleway Frankreich). Soweit Dienste mit Bezug zu Drittländern (insbesondere USA und Singapur) zum Einsatz kommen, erfolgt eine Übermittlung nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO:

  • Google LLC: EU-US Data Privacy Framework (zertifiziert), ergänzend EU-Standardvertragsklauseln (2021/914);
  • Vercel Inc.: EU-US Data Privacy Framework (zertifiziert), ergänzend Standardvertragsklauseln;
  • Stripe, LLC: vorrangig EU-Standardvertragsklauseln (2021/914) für die konzerninterne Übermittlung aus der EU, ergänzend EU-US Data Privacy Framework (Stripe, LLC ist zertifiziert);
  • Supabase Pte. Ltd. (Singapur): EU-Standardvertragsklauseln (2021/914) aus der Supabase-DPA - für Singapur besteht kein Angemessenheitsbeschluss, und Supabase ist nicht unter dem Data Privacy Framework zertifiziert; trotz EU-Serverstandort wird der Drittlandbezug hierüber abgesichert.

Hinweis: Die Angemessenheit des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) ist Gegenstand laufender gerichtlicher Überprüfung. Sollte der Beschluss wegfallen, stützen wir die betroffenen Übermittlungen weiterhin auf die ergänzend vereinbarten Standardvertragsklauseln.

10. Rechtsgrundlagen

Die Verarbeitung zur Bereitstellung des Nutzerkontos und der Anwendung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Technisch notwendige Verarbeitung, Betriebssicherheit und die Auswertung von Server-Logfiles zu Sicherheitszwecken stützen wir auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die eigene Besuchsstatistik stützen wir auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); Google Analytics setzen wir nur auf Grundlage Deiner Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO).

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen. Das Sicherheits-Protokoll der Anmeldevorgänge wird nach spätestens 30 Tagen gelöscht, technische Fehlerprotokolle nach spätestens 90 Tagen. Support- und Kontaktanfragen werden für die Dauer der Bearbeitung und etwaiger Anschlussfragen aufbewahrt und anschließend gelöscht. Konto- und Planungsdaten werden nach Beendigung der Nutzung bzw. auf Deine Anforderung gelöscht. Daten mit gesetzlicher Aufbewahrungspflicht (z. B. Rechnungen, §§ 257 HGB, 147 AO) werden bis zum Ablauf der jeweiligen Frist aufbewahrt und anschließend gelöscht.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Eine erteilte Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Soweit wir eine Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen, hast Du das Recht, dieser aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit zu widersprechen.

13. Keine automatisierte Entscheidungsfindung; besondere Datenkategorien

Im Rahmen der eigenen Verarbeitung durch den Anbieter findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Plant ein Kunde mit der Software Einsätze und verarbeitet dabei besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheits-/Verfügbarkeitsdaten), liegt die datenschutzrechtliche Verantwortung hierfür beim Kunden als Verantwortlichem; der Anbieter verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter.

14. Einsatz künstlicher Intelligenz im Support

In die Software besetzo ist kein Dienst für künstliche Intelligenz eingebunden. Die Anwendung übermittelt von sich aus keine Daten an Anbieter künstlicher Intelligenz, und Deine Konto-, Planungs- oder Ticketdaten werden nicht automatisiert an solche Dienste weitergegeben oder von ihnen ausgewertet.

Bei der Bearbeitung von Support-Anfragen setzt der Anbieter KI-gestützte Werkzeuge zur Unterstützung bei der Formulierung einer Antwort ein. Dabei gibt er keine personenbezogenen Daten in diese Werkzeuge ein: Eine Anfrage wird vor der Nutzung eines solchen Werkzeugs auf ihren sachlichen Kern reduziert - ohne Namen, ohne Kontaktdaten, ohne Personal- oder Kontokennungen und ohne Einzelfalldaten von Beschäftigten des Kunden. Die inhaltliche Verantwortung für jede versendete Antwort bleibt beim Anbieter.

Weil auf diesem Weg keine personenbezogenen Daten in KI-gestützte Werkzeuge gelangen, findet insoweit keine Auftragsverarbeitung durch Anbieter künstlicher Intelligenz statt. Solche Anbieter sind deshalb in den Ziffern 8 und 9 nicht als Auftragsverarbeiter benannt.

Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO ist damit nicht verbunden; es handelt sich um Unterstützung bei der Formulierung, nicht um eine Entscheidung über Deine Anliegen. Rechtsgrundlage ist unser berechtigtes Interesse an einer zügigen und verständlichen Bearbeitung von Supportanfragen (Art. 6 Abs. 1 lit. f DSGVO) sowie die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

In jeder Support-E-Mail weisen wir zusätzlich darauf hin. Möchtest Du, dass Dein Anliegen ohne diese Unterstützung bearbeitet wird, teile uns das im Ticket mit.

15. Beschwerderecht

Dir steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Deines Aufenthaltsorts, Deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Anbieter zuständig ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 31 63, 65021 Wiesbaden (Hausanschrift: Wilhelmstraße 7, 65185 Wiesbaden), Telefon 0611 1408-0, poststelle@datenschutz.hessen.de.

16. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst Du am „https://" in der Adresszeile Deines Browsers.

← Zurück zu besetzo