Datenschutzerklärung

Entwurf, Stand 14.10.2026. Vorläufiger Text, keine Rechtsberatung. Wird vor dem Go-live geprüft. Angaben in [eckigen Klammern] fehlen noch.

Diese Erklärung gilt für unsere Website und für unsere Web-App, in der Sie Anfragen stellen, Angebote erhalten und Projekte abwickeln. Kurz gesagt: Die Website setzt keine Cookies und kein Tracking ein. In der App verarbeiten wir nur, was wir für Anfrage, Angebot und Projekt brauchen.

1. Verantwortlicher

Rock IT GmbH
Wissingshof 6, 48712 Gescher
Vertreten durch den Geschäftsführer Edgar Dyck
E-Mail: dyck@rockit.gmbh
Telefon: [Telefonnummer]

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. [bitte bestätigen]

2. Website

Server-Logfiles

Beim Aufruf der Website verarbeitet unser Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem (User-Agent), HTTP-Status und übertragene Datenmenge.

• Zweck: Auslieferung der Seiten, Sicherheit und Fehlersuche.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionierender Betrieb.
• Speicherdauer: [7] Tage. Danach werden die Logfiles gelöscht, außer ein Sicherheitsvorfall muss aufgeklärt werden.

Keine Cookies, kein Tracking

Die Website setzt keine Cookies, speichert nichts in Ihrem Browser und nutzt keine Analyse- oder Marketing-Dienste. Sie bindet keine Inhalte Dritter ein (keine Karten, Videos, Social-Media-Plugins).

Schriftarten

Alle Schriftarten liegen auf unserem eigenen Server. Beim Seitenaufruf wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut.

Kontakt per E-Mail

Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Unsere E-Mails laufen über [E-Mail-Dienstleister].

Terminbuchung über Cal.com

Für Termine verlinken wir auf unsere Buchungsseite bei Cal.com. Unsere Website lädt dafür nichts von Cal.com; erst wenn Sie auf „Termin buchen“ klicken, öffnet sich die Seite von Cal.com in einem neuen Tab. Dort geben Sie Name, E-Mail-Adresse, Wunschtermin und optional eine Nachricht an. Wir nutzen diese Angaben, um den Termin durchzuführen und Ihre Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen).

Anbieter ist Cal.com, Inc., [Anschrift ergänzen], USA. Cal.com verarbeitet die Daten in unserem Auftrag; ein Auftragsverarbeitungsvertrag ist [abzuschließen/abgeschlossen]. Cal.com, Inc. ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert [Eintrag auf dataprivacyframework.gov prüfen]. Für die Seite von Cal.com gilt zusätzlich deren Datenschutzerklärung: cal.com/privacy.

3. Web-App

Anmeldung mit E-Mail und Einmalcode

Sie melden sich mit Ihrer E-Mail-Adresse an. Wir schicken Ihnen einen sechsstelligen Code, der [10] Minuten gilt. Den Code speichern wir nur als Hashwert. Ein Passwort gibt es nicht.

• Daten: E-Mail-Adresse, gegebenenfalls Name, Zeitpunkt der Anmeldung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzung der App, Anbahnung und Durchführung des Vertrags).

Sitzungscookie und Spracheinstellung

Nach der Anmeldung setzt die App ein Sitzungscookie (better-auth.session_token). Es hält Sie angemeldet und gilt 7 Tage; bei Nutzung wird es verlängert. Zur Sitzung speichern wir IP-Adresse und User-Agent, um Missbrauch zu erkennen. Ihre gewählte Sprache speichert die App im Speicher Ihres Browsers (Local Storage, Eintrag „rockit.lang“).

Beides ist für die von Ihnen gewünschte Nutzung der App unbedingt erforderlich und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die weitere Verarbeitung ist Art. 6 Abs. 1 lit. b und f DSGVO.

Schutz vor Missbrauch

Wir begrenzen, wie oft eine IP-Adresse Anmeldecodes anfordern kann, und wie oft die KI pro Person und Anfrage arbeiten darf. Dafür verarbeiten wir IP-Adresse, Nutzerkennung und Verbrauchswerte (Anzahl der KI-Läufe, Token, Kosten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz der App und die Kontrolle der Kosten.

Anfrage-, Angebots- und Projektdaten

Wir verarbeiten, was Sie in der App angeben oder hochladen, zum Beispiel:

• Firma, Ansprechpartner, Titel und Beschreibung der Anfrage, User Stories, Antworten auf Rückfragen
• Business-Central-Version, SaaS oder OnPrem, app.json, Abhängigkeiten
• Angebotsversionen, Gegenvorschläge, Annahme mit Zeitpunkt und Person
• Zugangswege: Repository-Adresse, Zugangstoken (verschlüsselt gespeichert), Adresse der BC-Umgebung, Benutzername
• Lieferstatus, Übergabe, Rechnungsnummer

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Handeln Sie für ein Unternehmen, verarbeiten wir Ihre Daten als Ansprechpartner auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Abwicklung des Vertrags mit Ihrem Unternehmen.

Bitte geben Sie in Stories und Dateien nur personenbezogene Daten an, die für die Anfrage nötig sind. Testdaten sollten möglichst anonymisiert sein.

Hochgeladene Dateien

Vor dem ersten vertraulichen Upload bestätigen Sie eine Vertraulichkeitsvereinbarung. Wir speichern Version, Zeitpunkt und Person dieser Bestätigung.

• Dateien werden verschlüsselt gespeichert (AES-256).
• Jeder Zugriff wird mit Person, IP-Adresse und Zeitpunkt protokolliert.
• Aus Story-Dokumenten (zum Beispiel .docx) lesen wir den Text aus, damit die KI ihn auswerten kann (siehe unten).
• Dateien werden [90] Tage nach der Übergabe automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Zugriffsprotokoll Art. 6 Abs. 1 lit. f DSGVO (Nachweis vertraulicher Behandlung).

KI-gestützte Verarbeitung

Die App nutzt ein Sprachmodell. Es prüft Ihre Stories, stellt Rückfragen, ordnet die Anfrage einer Preisstufe zu und bereitet den Angebotsentwurf vor. Sie schreiben also teilweise mit einer KI.

• An den KI-Anbieter gehen: Titel, Firmenname, BC-Version, Bereitstellungsart, Beschreibung, Stories mit Rückfragen und Antworten, Namen von Drittanbieter-Abhängigkeiten, Kenndaten Ihrer Ziel-App (Name, Präfix, ID-Bereiche) und der Text hochgeladener Story-Dokumente.
• Nicht an den KI-Anbieter gehen: Ihre E-Mail-Adresse und der Name des Ansprechpartners, soweit Sie diese nicht selbst in Stories oder Dokumente schreiben.
• Anbieter: [KI-Anbieter, siehe Abschnitt 5]. Der Anbieter verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO) und nutzt sie nicht zum Training seiner Modelle.
• Keine automatisierte Entscheidung: Die KI macht Vorschläge. Die Preisstufe ergibt sich aus festen Regeln, das verbindliche Angebot gibt ein Mensch frei. Eine Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (effiziente Angebotserstellung).

E-Mails aus der App

Die App schickt Anmeldecodes und Hinweise zu Ihrer Anfrage (Rückfragen, neues Angebot). Der Versand läuft über [E-Mail-Dienstleister]. In unseren Protokollen speichern wir dazu nur Betreff und Domain der Empfängeradresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Server-Protokolle der App

Der App-Server protokolliert Anfragen mit IP-Adresse, Zeitpunkt, Adresse und Status, um Fehler zu finden und Angriffe abzuwehren. Speicherdauer: [7] Tage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

4. Zugang zu Ihren Systemen

Wenn Sie uns Zugang zu Ihrem Repository (Azure DevOps, GitHub, GitLab) oder zu Ihrer Business-Central-Umgebung geben, können wir dort personenbezogene Daten sehen, für die Sie verantwortlich sind. Dann arbeiten wir als Auftragsverarbeiter nach Ihrer Weisung. Dafür schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

5. Empfänger

Wir geben Daten nur weiter, wenn es für die genannten Zwecke nötig ist. Unsere Dienstleister arbeiten auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO):

• Hosting von Website und App: [Hoster: Name, Anschrift, Serverstandort]
• E-Mail: [E-Mail-Dienstleister: Name, Anschrift]
• KI-Verarbeitung: einer der folgenden Anbieter, je nach Konfiguration [nicht genutzten streichen]:
  • OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Für EU-Kunden ist OpenAI Ireland Vertragspartner. Daten können an OpenAI OpCo, LLC in den USA übermittelt werden. OpenAI speichert Eingaben und Ausgaben zur Missbrauchserkennung bis zu 30 Tage.
  • Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Azure OpenAI). Verarbeitung in der von uns gewählten Region [Region, z. B. Data Zone EU].
• Buchhaltung: [Steuerberater] für Rechnungen und Buchhaltung, Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.

6. Übermittlung in Drittländer

Einige Dienstleister gehören zu Konzernen mit Sitz in den USA. Wo Daten in die USA gelangen können, ist die Übermittlung abgesichert:

• OpenAI: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder ein Angemessenheitsbeschluss (Art. 45 DSGVO).
• Microsoft: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Microsoft ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795).

Eine Kopie der Garantien erhalten Sie auf Anfrage.

7. Speicherdauer

Wir löschen Daten, sobald sie für den Zweck nicht mehr nötig sind und keine Aufbewahrungspflicht besteht:

• Anmeldecode: 10 Minuten
• Sitzung: 7 Tage nach der letzten Verlängerung
• Server-Logfiles von Website und App: [7] Tage
• Hochgeladene Dateien: [90] Tage nach der Übergabe
• Anfragen ohne Auftrag: [12 Monate] nach der letzten Aktivität
• Benutzerkonto: bis Sie die Löschung verlangen; inaktive Konten nach [24 Monaten]
• Angebote, Verträge und geschäftliche Korrespondenz: 6 Jahre (§ 257 HGB, § 147 AO)
• Rechnungen und Buchungsbelege: 8 Jahre (§ 257 HGB, § 147 AO)

Die gesetzlichen Fristen beginnen mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist.

8. Pflicht zur Bereitstellung

Für die Nutzung der App brauchen wir Ihre E-Mail-Adresse. Für ein Angebot brauchen wir die Angaben zur Anfrage. Ohne diese Daten können wir die App nicht bereitstellen und kein Angebot erstellen.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Schreiben Sie dazu an dyck@rockit.gmbh.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

• Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, poststelle@ldi.nrw.de, ldi.nrw.de

10. Sicherheit

Website und App laufen ausschließlich über verschlüsselte Verbindungen (HTTPS). Hochgeladene Dateien und Zugangstoken speichern wir verschlüsselt. Zugriffe auf Dateien werden protokolliert.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Zur Startseite