Datenschutzerklärung für my.irs.systems

1. Verantwortlicher

IRS Systementwicklung GmbH
Pfaffenthanner Weg 5, 93179 Brennberg
Telefon +49 (0) 9484 9500-0 · info@irs.systems

Fragen zum Datenschutz richten Sie an datenschutz@irs.systems. Unseren Datenschutzbeauftragten erreichen Sie unter: Daniel Steffen, NOVINET GmbH & Co. KG, datenschutzbeauftragter@novidata.de.

2. Hosting und Infrastruktur

Das Portal wird bei Vercel Inc. (USA) betrieben; die Anwendungsfunktionen laufen im Rechenzentrum Frankfurt am Main. Datenbank, Dateispeicher und Anmeldung stellt Supabase Inc. bereit, gehostet bei Amazon Web Services in Frankfurt. E-Mails versenden wir über Amazon Simple Email Service, öffentliche Downloads liefern wir über Amazon CloudFront unter file.irs.systems aus (Amazon Web Services EMEA SARL, Region Frankfurt).

Bei jedem Aufruf verarbeitet Vercel die technisch notwendigen Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer sowie Browser und Betriebssystem. Unsere Anwendung selbst speichert keine IP-Adressen. Anwendungsprotokolle (Fehler und, in den internen Anwendungen, Zugriffe mit Benutzerkennung) bewahren wir 30 Tage auf.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO); soweit Sie das Portal im Rahmen einer Geschäftsbeziehung nutzen, Art. 6 Abs. 1 lit. b DSGVO. Mit den Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

3. Cookies und Speicher im Browser

Wir setzen nur Cookies und Speichereinträge ein, die für die Funktionen des Portals unbedingt erforderlich sind – keine Werbe- oder Tracking-Cookies und keine Cookies von Drittanbietern. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. f DSGVO.

4. Statistik (nur mit Einwilligung)

Wenn Sie im Cookie-Hinweis „Accept“ wählen, nutzen wir Vercel Web Analytics und Vercel Speed Insights (Vercel Inc., USA), um zu sehen, welche Seiten genutzt werden und wie schnell sie laden. Beide Dienste setzen keine Cookies. Je Seitenaufruf werden erfasst: Zeitpunkt, aufgerufene Adresse, Referrer, ungefährer Standort (aus der IP-Adresse abgeleitet), Betriebssystem, Browser und Gerätetyp; Speed Insights zusätzlich Ladezeit-Messwerte und den Verbindungstyp. Besucher werden nur über einen Hash aus der Anfrage unterschieden, der nach 24 Stunden verworfen wird – eine Wiedererkennung über diesen Zeitraum oder über andere Websites hinweg findet nicht statt. Wir sehen nur zusammengefasste Auswertungen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung werden die Skripte nicht geladen. Sie können die Einwilligung jederzeit über „Cookie settings“ im Seitenfuß widerrufen.

5. Benutzerkonto und Anmeldung

Für die meisten Anwendungen benötigen Sie ein Konto. Wir verarbeiten dafür Ihre E-Mail-Adresse, Ihr Passwort (nur als Hash gespeichert), optional Ihren Namen sowie die Zeitpunkte von Registrierung und Anmeldung. Zur Registrierung und zum Zurücksetzen des Passworts senden wir Ihnen einen Bestätigungscode per E-Mail. Unser Anmeldedienst Supabase protokolliert Anmeldevorgänge einschließlich IP-Adresse, um Missbrauch zu erkennen.

Alternativ können Sie sich mit Ihrem Microsoft-Konto anmelden. Dabei werden Sie zu Microsoft (Microsoft Ireland Operations Limited) weitergeleitet; wir erhalten von dort Ihre E-Mail-Adresse und die von Microsoft übermittelten Basisangaben wie Ihren Namen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ihr Konto bleibt bestehen, bis Sie seine Löschung verlangen – formlos an datenschutz@irs.systems.

6. Anwendungen im Portal

Je nach genutzter Anwendung verarbeiten wir insbesondere:

• Inhalte, die Sie eingeben oder hochladen – etwa Anfragen, Kommentare und Dateien –, mit Ihrer Benutzerkennung
• Daten zu Ihren Aufträgen, Produkten, Lizenzen und Zertifikaten
• Geräte- und Messdaten, etwa bei der Lizenzaktivierung oder von IoT-Geräten
• Nutzungsdaten wie Downloads, Buchungen und Bezahlvorgänge
• Ihre E-Mail-Adresse, um Sie über Vorgänge zu benachrichtigen

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Geschäftsbeziehung), ergänzend Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Missbrauchsschutz). Wir löschen die Daten, sobald sie für ihren Zweck nicht mehr erforderlich sind; wo feste Fristen gelten, etwa für geteilte Dateien, nennt die Anwendung sie. Daten zu Geschäftsvorgängen bewahren wir so lange auf, wie handels- und steuerrechtliche Fristen es verlangen (bis zu zehn Jahre).

7. Öffentliche Formulare

Diese Formulare sind ohne Anmeldung erreichbar.

Besucherregistrierung

Am Empfang erfassen wir Vor- und Nachname, Firma, optional Ihre Ansprechperson, Ihre Unterschrift und Ihre Bestätigung der Besucherrichtlinie. Ihre Ansprechperson erhält eine E-Mail mit Name, Firma und Ankunftszeit. Zweck sind die Sicherheit auf unserem Firmengelände und der Nachweis der Sicherheitsunterweisung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nach 30 Tagen gelöscht.

Endverbleibserklärung (End User Statement)

Bestellnummer, Firma und Anschrift von Kunde und Endverwender, Teilenummern, Verwendungszweck und Einsatzbereich, Vor- und Nachname der unterzeichnenden Person, Ihre Ansprechperson bei IRS sowie die Unterschrift. Die Angaben gehen per E-Mail an unsere Verwaltung. Zweck ist die Einhaltung exportkontrollrechtlicher Pflichten, unter anderem nach Art. 12g der Verordnung (EU) Nr. 833/2014; Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und lit. b DSGVO. Wir bewahren die Erklärung für die Dauer der gesetzlichen Aufbewahrungs- und Nachweispflichten auf.

Unfallmeldung und Erste-Hilfe-Dokumentation

Name der verletzten oder erkrankten Person, Zeitpunkt, Ort und Hergang, Zeugen, Erste-Hilfe-Maßnahmen und Ersthelfer. Das sind Gesundheitsdaten. Die Meldung geht per E-Mail an die für Arbeitssicherheit zuständigen Personen in unserem Unternehmen. Zweck ist die vorgeschriebene Dokumentation von Erste-Hilfe-Leistungen (§ 24 Abs. 6 DGUV Vorschrift 1) und die Prüfung einer Meldepflicht gegenüber der Berufsgenossenschaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, für die Gesundheitsdaten Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. a BDSG. Die Dokumentation wird fünf Jahre aufbewahrt.

8. E-Mail-Versand

Benachrichtigungen aus den Anwendungen und Formularen – etwa Download-Links oder Statusmeldungen – versenden wir über Amazon Simple Email Service (Frankfurt), Bestätigungscodes für Konto und Passwort über unseren Anmeldedienst Supabase. Die Empfängeradressen erscheinen dabei in unseren Anwendungsprotokollen (30 Tage).

9. KI-Funktionen

Einige Funktionen nutzen Sprachmodelle von Anthropic, OpenAI oder Google, die wir über das Vercel AI Gateway (Vercel Inc., USA) ansprechen. Dabei gehen Ihre Eingaben, die für die Antwort nötigen Daten aus der jeweiligen Anwendung und eine pseudonyme Benutzerkennung an den Anbieter; Daten können in die USA übermittelt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

10. Interne Anwendungen für Beschäftigte

Die Anwendungen unter /internal stehen nur Beschäftigten der IRS Systementwicklung GmbH offen. Sie verarbeiten Beschäftigten-, Kunden-, Lieferanten- und Projektdaten zur Durchführung des Beschäftigungsverhältnisses und unserer Geschäftsprozesse (Art. 6 Abs. 1 lit. b, c und f DSGVO, § 26 BDSG). Ergänzend gilt:

• Änderungen an Daten werden mit Benutzer, Zeitpunkt sowie altem und neuem Wert in einem Änderungsprotokoll festgehalten und mehrjährig aufbewahrt, damit Geschäftsvorgänge nachvollziehbar bleiben.
• Eingaben in den KI-Agenten, seine Antworten und die genutzten Werkzeuge werden personenbezogen protokolliert; berechtigte Personen können diese Protokolle zur Auditierung und Verbesserung des Systems einsehen. Darauf weist die Anwendung hin.
• Für einzelne Aufgaben sind weitere Dienste angebunden, etwa für Personalverwaltung, Gerätesicherheit, Übersetzungen und KI-Funktionen.
• Beim Anzeigen von PDF-Dateien lädt Ihr Browser eine Programmbibliothek von unpkg.com; dabei wird Ihre IP-Adresse an diesen Dienst übermittelt.

Weitere Informationen zur Verarbeitung von Beschäftigtendaten erhalten Sie von der Personalabteilung und unter datenschutz@irs.systems.

11. Empfänger und Drittlandübermittlung

Personenbezogene Daten geben wir an Dienstleister weiter, die sie in unserem Auftrag verarbeiten – vor allem die folgenden –, sowie an Behörden, soweit wir gesetzlich dazu verpflichtet sind.

Auch wenn Daten in Frankfurt verarbeitet werden, ist bei Unternehmen mit Sitz in den USA ein Zugriff von dort nicht auszuschließen. Übermittlungen in die USA stützen wir auf das EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen – für die Statistik über „Cookie settings“ im Seitenfuß. Wenden Sie sich dazu an datenschutz@irs.systems.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Wir passen diese Datenschutzerklärung an, wenn sich das Portal ändert. Es gilt die jeweils hier veröffentlichte Fassung.