Datenschutzerklärung – BRUNIQO Business
Diese Erklärung informiert gemäß Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten bei Nutzung der iOS-App BRUNIQO Business, der zugehörigen API und der rechtlichen Webseiten.
1. Verantwortlicher
BRUNIQO, Inhaber Alessandro Brüning
Katharina-Bräckeler-Straße 4a
41462 Neuss, Deutschland
E-Mail: info@bruniqo.de
Telefon: 0173 5278784
Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen für eine Benennung derzeit nicht vorliegen. Datenschutzanfragen können direkt an die genannte E-Mail-Adresse gerichtet werden.
2. Rollenverteilung bei Geschäftsdaten
Für Konto-, Anmelde-, Vertrags- und Sicherheitsdaten ist BRUNIQO grundsätzlich datenschutzrechtlich Verantwortlicher. Soweit ein Geschäftskunde in der App personenbezogene Daten seiner Kunden, Ansprechpartner, Beschäftigten oder Lieferanten verarbeitet, handelt der Geschäftskunde als Verantwortlicher und BRUNIQO als Auftragsverarbeiter. Dafür gilt der Auftragsverarbeitungsvertrag (AVV).
3. Daten, Zwecke, Rechtsgrundlagen und Speicherdauer
| Daten | Zweck und Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Firmenname, Name/Anzeigename, E-Mail-Adresse, Konto- und Tarifstatus, Vertragsannahme | Registrierung, Anmeldung, Vertragsdurchführung und Nachweis der angenommenen Rechtsbedingungen; Art. 6 Abs. 1 lit. b und lit. f DSGVO. | Für die Dauer des Kontos; Nachweisdaten darüber hinaus nur, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder aufgrund gesetzlicher Pflichten erforderlich ist. |
| Anmeldedaten aus „Mit Apple anmelden“: pseudonyme Apple-Nutzerkennung (Apple-User-ID) sowie die von Apple übermittelte E-Mail-Adresse, gegebenenfalls als Weiterleitungsadresse (@privaterelay.appleid.com) | Authentifizierung und dauerhafte Zuordnung der Apple-Anmeldung zum vorhandenen Konto; Art. 6 Abs. 1 lit. b DSGVO. Einzelheiten in Abschnitt 7. Für Nutzerkonten wird kein Passwort vergeben, verlangt oder gespeichert. | Für die Dauer des Kontos; die Apple-Nutzerkennung wird mit dem Konto gelöscht. |
| Firmendaten, Kundendaten, Ansprechpartner, Rechnungen, Positionen, Ausgaben und freiwillige Freitexte | Bereitstellung der vom Geschäftskunden beauftragten Verwaltungs- und PDF-Funktionen; Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kontoinhaber bzw. Verarbeitung im Auftrag nach Art. 28 DSGVO bei Daten Dritter. | Bis zur Löschung durch den Nutzer, Kontolöschung oder Vertragsende, vorbehaltlich zwingender gesetzlicher Aufbewahrungspflichten. Der Geschäftskunde ist für die eigene gesetzeskonforme Aufbewahrung seiner Belege verantwortlich. |
| Bei freiwilligem Bankabgleich: Bankinstitut, Kontoname, Kontokennung/IBAN, Kontowährung, Verbindungs- und Zustimmungsstatus sowie gebuchte Umsätze mit Datum, Betrag, Währung, Verwendungszweck und Gegenpartei | Abruf und Abgleich von Zahlungseingängen mit Rechnungen sowie Vermeidung doppelter Zuordnungen; Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kontoinhaber bzw. Verarbeitung im Auftrag nach Art. 28 DSGVO bei Daten Dritter. | Der Bankzugriff endet bei Trennung der Verbindung oder Ablauf/Widerruf der Zustimmung. Bereits abgerufene Umsatz- und Zuordnungsdaten werden bis zur Kontolöschung oder zum Vertragsende gespeichert, soweit sie nicht vorher berichtigt oder gelöscht werden und keine gesetzlichen Pflichten entgegenstehen. |
| IP-Adresse, Zeitpunkt, angeforderte Ressource, technische Fehler- und Sicherheitsinformationen | Sicherer und stabiler Betrieb, Missbrauchs- und Angriffserkennung; Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Integrität und Verfügbarkeit des Dienstes. | Nur so lange, wie dies zur Betriebs- und Sicherheitsanalyse erforderlich ist; bei einem konkreten Sicherheitsvorfall bis zu dessen Klärung und gegebenenfalls zur Rechtsverfolgung. |
| App-Store-Kaufstatus und pseudonyme App-Account-Zuordnung | Freischaltung und Prüfung des Pro-Abonnements; Art. 6 Abs. 1 lit. b DSGVO. | Für die Laufzeit des Kontos beziehungsweise so lange, wie dies zur Prüfung des Anspruchs auf Pro-Funktionen und zur Vertragsabrechnung erforderlich ist. |
| Nur im kostenlosen Tarif, durch das Werbe-SDK von Unity auf dem Gerät erhoben: Geräte- und App-Informationen, IP-Adresse, daraus abgeleiteter ungefährer Standort, Informationen zu angezeigten und angeklickten Anzeigen; die Werbe-ID (IDFA) nur mit Ihrer Erlaubnis | Auslieferung, Begrenzung und Abrechnung von Werbeanzeigen sowie Betrugsverhinderung; bei personalisierter Werbung Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, im Übrigen berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Einzelheiten in Abschnitt 5. | BRUNIQO speichert diese Daten nicht. Unity speichert sie nach seinen eigenen Datenschutzbestimmungen. |
4. Pflicht zur Bereitstellung
Firmenname, eine Anmeldung mit Apple einschließlich der dabei übermittelten Nutzerkennung und E-Mail-Adresse, Unternehmerbestätigung und Annahme der Vertragsbedingungen sind für einen Vertragsschluss erforderlich. Ohne diese Angaben kann kein Konto erstellt werden. Weitere Geschäfts- und Kundendaten sind freiwillig; einzelne App-Funktionen können ohne die dafür benötigten Inhalte nicht genutzt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung findet nicht statt.
5. Hosting, Auftragsverarbeiter, Werbung und Tracking
Die Kernanwendung und ihre Geschäftsdaten werden auf Servern der Hetzner Online GmbH in Deutschland betrieben. Hetzner wird als Auftragsverarbeiter eingesetzt. Geschäftsdaten werden von BRUNIQO nicht für Werbung verwendet und nicht an Werbenetzwerke übermittelt.
Werbung und Tracking
Im kostenlosen Tarif zeigt die App Werbung in Form von Bannern; das Werbe-SDK kann außerdem Vollbildanzeigen (Interstitials) laden und ausspielen. Bei aktivem Pro-Abonnement zeigt die App keine Werbung. Eingesetzt wird Unity LevelPlay (ironSource Mobile Ltd., ein Unternehmen der Unity Technologies) mit dem Werbenetzwerk Unity Ads. Analyse- oder Tracking-Bibliotheken für eigene Zwecke bindet BRUNIQO nicht ein.
Einwilligung vor dem Start: Bevor das Werbe-SDK gestartet wird, erläutert die App auf einem Hinweisbildschirm, wofür Werbung eingesetzt wird. Anschließend zeigt iOS den Systemdialog der App-Tracking-Transparenz (ATT). Nur wenn Sie dort das Tracking erlauben, kann die Werbung personalisiert werden; dann darf das Werbenetzwerk die Werbe-ID Ihres Geräts (IDFA) verwenden. Wählen Sie „App bitten, kein Tracking durchzuführen“, fordert die App ausschließlich nicht personalisierte (kontextbezogene) Anzeigen an, und die Werbe-ID wird nicht verwendet. Ihre Entscheidung können Sie jederzeit in iOS unter Einstellungen → Datenschutz & Sicherheit → Tracking ändern.
Verarbeitete Daten: Um Anzeigen auszuliefern, zu begrenzen und abzurechnen und um Betrug zu verhindern, verarbeitet das Unity-SDK Geräte- und App-Informationen (etwa Gerätemodell, Betriebssystemversion, Spracheinstellung, App-Version und eine anbieterbezogene Geräte- bzw. Installationskennung), die IP-Adresse, einen daraus abgeleiteten ungefähren Standort sowie Informationen zu angezeigten und angeklickten Anzeigen. Die Werbe-ID (IDFA) wird nur mit Ihrer Erlaubnis verwendet. Kunden-, Rechnungs-, Beleg-, Bank- und sonstige Geschäftsdaten werden nie an das Werbenetzwerk übermittelt. BRUNIQO verkauft keine Daten.
Rechtsgrundlagen: Personalisierte Werbung einschließlich des Zugriffs auf die Werbe-ID erfolgt nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über die genannte iOS-Einstellung widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Für die Auslieferung nicht personalisierter Anzeigen stützt sich Unity nach eigenen Angaben auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).
Empfänger und Drittland: Empfänger ist Unity (Unity Technologies einschließlich ironSource Mobile Ltd.). Unity verarbeitet diese Daten als eigener Verantwortlicher nach seinen Bedingungen und kann sie auch in den USA verarbeiten. Nach eigenen Angaben stützt Unity solche Übermittlungen auf das EU-US Data Privacy Framework beziehungsweise auf EU-Standardvertragsklauseln. Einzelheiten enthält die Datenschutzerklärung von Unity für Spieler und App-Nutzer.
6. Optionaler Bankabgleich über Open Banking
Der Bankabgleich ist freiwillig. Für den Kontoinformationsdienst wird GoCardless Bank Account Data eingesetzt. Für Nutzer im EWR wird dieser Dienst nach Angaben des Anbieters durch GoCardless SAS, 7 rue de Madrid, 75008 Paris, Frankreich, als zugelassener Kontoinformationsdienst erbracht. Auswahl des Instituts, Authentifizierung und Zustimmung erfolgen auf Seiten von GoCardless und der jeweiligen Bank. BRUNIQO erhält nach erfolgreicher Freigabe die oben genannten Konto- und Umsatzdaten; Zahlungsaufträge oder Überweisungen kann BRUNIQO nicht auslösen.
Mit der von BRUNIQO verwendeten Standardfreigabe können beim erstmaligen Abruf je nach Bank Umsatzdaten für bis zu 90 Tage bereitgestellt werden. Auch der fortlaufende Zugriff ist auf höchstens 90 Tage begrenzt. Die Verbindung kann jederzeit in der App getrennt werden; anschließend werden keine neuen Bankdaten abgerufen. Bereits importierte Daten bleiben wie in Abschnitt 3 beschrieben gespeichert, damit bestätigte Zahlungen nachvollziehbar bleiben und Umsätze nicht erneut vorgeschlagen werden.
GoCardless verarbeitet Daten im Rahmen des regulierten Kontoinformationsdienstes auch in eigener datenschutzrechtlicher Verantwortung. Einzelheiten, Empfänger und Betroffenenrechte beschreibt die Datenschutzerklärung für Kontoinhaber von GoCardless.
7. Anmeldung mit Apple
Die Anmeldung erfolgt ausschließlich über „Mit Apple anmelden“ (Sign in with Apple). Die Anmeldung selbst führt Apple durch; BRUNIQO erhält weder Apple-ID-Zugangsdaten noch weitere Inhalte des Apple-Kontos. Anbieter ist für Nutzer im EWR Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.
Nach erfolgreicher Anmeldung übermittelt Apple an BRUNIQO ein signiertes Anmeldetoken. Es enthält eine pseudonyme, für diese App vergebene Nutzerkennung (Apple-User-ID) und eine E-Mail-Adresse. Die Apple-User-ID wird am Nutzerdatensatz gespeichert, damit spätere Anmeldungen demselben Konto zugeordnet werden können; ohne sie wäre ein wiederkehrender Zugang nicht möglich. Aus der Kennung lassen sich keine weiteren Daten des Apple-Kontos ableiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und Vertragsdurchführung).
Apple bietet bei der Anmeldung die Option „E-Mail-Adresse verbergen“ an. Wird sie gewählt, erhält BRUNIQO statt der privaten Adresse eine von Apple erzeugte Weiterleitungsadresse (@privaterelay.appleid.com) und stellt Nachrichten an das Konto an diese Adresse zu. Die Weiterleitung an die private Adresse verantwortet Apple; wird sie in den Apple-Einstellungen beendet, ist das Konto für BRUNIQO über diese Adresse nicht mehr erreichbar.
Apple verarbeitet die Anmeldung darüber hinaus in eigener datenschutzrechtlicher Verantwortung. Einzelheiten dazu enthalten die Datenschutzinformationen von Apple.
8. Abonnements über Apple
Käufe und Abonnements werden durch Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, abgewickelt. BRUNIQO erhält keine vollständigen Zahlungsdaten, sondern nur die für Freischaltung und Prüfung erforderlichen Transaktions-/Berechtigungsinformationen. Apple verarbeitet Zahlungs- und Store-Daten in eigener Verantwortlichkeit. Es gelten ergänzend die Datenschutzinformationen von Apple.
9. Empfänger und Drittlandübermittlungen
Empfänger sind nur die in dieser Erklärung genannten Dienstleister sowie Behörden oder sonstige Stellen, wenn wir gesetzlich hierzu verpflichtet sind. Das sind im Einzelnen: Hetzner Online GmbH (Hosting, Auftragsverarbeiter), Apple (Anmeldedienst nach Abschnitt 7 sowie Abrechnung der Abonnements nach Abschnitt 8) und – nur bei aktiviertem Bankabgleich – GoCardless und das von Ihnen gewählte Bankinstitut sowie – nur im kostenlosen Tarif – Unity als Werbenetzwerk nach Abschnitt 5, das keine Geschäftsdaten erhält. Die Kern-Geschäftsdaten werden in Deutschland gehostet. Bei Apple, bei Unity und innerhalb der GoCardless-Unternehmensgruppe oder bei deren Dienstleistern kann eine Verarbeitung außerhalb der EU/des EWR nicht vollständig ausgeschlossen werden. Solche Übermittlungen erfolgen durch den jeweiligen Anbieter nach Maßgabe der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln. Weitere Einzelheiten stellen die jeweiligen Anbieter in ihren Datenschutzinformationen bereit.
10. Kontolöschung und gesetzliche Aufbewahrung
Das Konto kann in der App unter Mehr → Konto löschen gelöscht werden. Dabei werden das Konto und die aktiven Geschäftsdaten aus dem Produktivsystem entfernt. Daten dürfen ausnahmsweise gesperrt aufbewahrt werden, soweit gesetzliche Aufbewahrungspflichten oder die Verteidigung gegen Ansprüche dies erfordern. Der Nutzer muss steuer- und handelsrechtlich aufzubewahrende Rechnungen und Belege vor der Kontolöschung selbst exportieren und ordnungsgemäß archivieren.
11. Rechte betroffener Personen
Betroffene Personen haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung genügt eine E-Mail an info@bruniqo.de.
Wenn BRUNIQO Geschäftsdaten ausschließlich im Auftrag eines Geschäftskunden verarbeitet, sollte sich die betroffene Person zunächst an diesen Geschäftskunden wenden; BRUNIQO unterstützt ihn bei der Bearbeitung.
12. Beschwerderecht
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für BRUNIQO ist regelmäßig die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, zuständig: www.ldi.nrw.de.
13. Sicherheit und Änderungen
BRUNIQO setzt dem Risiko angemessene technische und organisatorische Maßnahmen ein. Dazu gehören verschlüsselte Übertragung (TLS), die Anmeldung ohne eigene Nutzerpasswörter über signierte und serverseitig geprüfte Apple-Anmeldetoken, geschützte Sitzungstoken, logische Mandantentrennung, Zugriffsbeschränkungen und Maßnahmen gegen automatisierte Anmeldeangriffe. Diese Erklärung wird angepasst, wenn sich Verarbeitungsvorgänge oder Rechtsanforderungen ändern. Die aktuelle Fassung ist jederzeit in der App und unter dieser URL abrufbar.