Datenschutzerklärung von Mivare Space. Ihre Daten, unsere Pflichten.

1. Verantwortlicher

Verantwortlicher für die in dieser Erklärung beschriebenen personenbezogenen Daten ist MIVARE GROUP PROSTA SPÓŁKA AKCYJNA mit Sitz in Krasnobród (22-440 Krasnobród; die vollständige Anschrift des Sitzes ist im polnischen Landesgerichtsregister (KRS) offengelegt), eingetragen im Unternehmerregister, das vom Sąd Rejonowy Lublin-Wschód w Lublinie z siedzibą w Świdniku, VI Wydział Gospodarczy KRS geführt wird, unter der Nummer KRS 0001268091, NIP 9223092251, REGON 545767254, handelnd unter der Marke Mivare Space, nachfolgend „Mivare“.

Kontakt in Angelegenheiten personenbezogener Daten: hello@mivaregroup.com oder schriftlich an die im polnischen Landesgerichtsregister (KRS) offengelegte Anschrift des Sitzes. Ein Datenschutzbeauftragter wurde nicht benannt.

2. Geltungsbereich der Erklärung

Die Erklärung betrifft Daten, über deren Zwecke und Mittel der Verarbeitung Mivare im Zusammenhang mit dem Dienst Mivare Space entscheidet: Daten von Personen, die ein Unternehmenskonto einrichten und die Anwendung nutzen (Nutzer), von für die Abrechnung benannten Personen, von Personen, die sich an den Kundendienst wenden, sowie technische Daten im Zusammenhang mit der Nutzung der Anwendung.

Die Erklärung betrifft nicht die Daten, die das Unternehmen (Kunde) über seine Kunden, deren Wohnungen und Häuser, Mitarbeiter, Subunternehmer, Architekten, Partner und andere Personen in die Anwendung eingibt (einschließlich Innenraumfotos, Grundrissen und der Anwesenheitserfassung mit der Geräteposition bei Arbeitsbeginn und Arbeitsende), und auch nicht die Daten, die Kunden des Unternehmens, Architekten und Partner in den öffentlichen Funktionen der Anwendung übermitteln (Kundenportal, Architektenportal, Partnerportal, Ausführungsstatus, Annahmen). Verantwortlicher für diese Daten ist das Unternehmen, und Mivare verarbeitet sie ausschließlich in dessen Auftrag auf Grundlage des Vertrags über die Auftragsverarbeitung personenbezogener Daten Mivare Space (MSP-LEG-003). Personen, die diese Daten betreffen, sollten ihre Anliegen an das Unternehmen richten; geht ein Anliegen bei Mivare ein, leitet Mivare es an das Unternehmen weiter.

Großgeschriebene Begriffe haben die ihnen in den Nutzungsbedingungen des Dienstes Mivare Space (MSP-LEG-001) zugewiesene Bedeutung.

3. Zwecke, Rechtsgrundlagen und Speicherfristen

• Registrierung, Führung des Unternehmenskontos und Erbringung des Dienstes (Vor- und Nachname, E-Mail-Adresse, Telefonnummer, sofern angegeben, Position, Sprache, Kontoeinstellungen): Art. 6 Abs. 1 lit. b DSGVO gegenüber der Person, die den Vertrag schließt, und gegenüber den übrigen Nutzern Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erbringung des Dienstes für den Kunden). Wir speichern die Daten für die Dauer des Vertrags und bis zur Löschung des Unternehmenskontos nach Maßgabe der Nutzungsbedingungen.
• Authentifizierung und Sicherheit (Passwort in Form eines Hashwerts, Daten der Zwei-Faktor-Authentifizierung, vertrauenswürdige Geräte, Verlauf der Anmeldungen und fehlgeschlagenen Anmeldeversuche, IP-Adresse, Ereignisprotokoll der Anwendung): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Anwendung und der Daten). Das Ereignisprotokoll wird für den vom Kunden eingestellten Zeitraum von 30 bis 180 Tagen (standardmäßig 90 Tage) gespeichert; die übrigen Daten speichern wir bis zur Löschung des Nutzerkontos.
• Liste „Zuletzt geöffnet“ (Art und Kennung der vom Nutzer zuletzt geöffneten Datensätze sowie Zeitpunkt des Öffnens, ohne Inhalt der Datensätze): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die Rückkehr zur laufenden Arbeit zu erleichtern). Die Liste ist nur für diesen Nutzer sichtbar; jeder Eintrag wird 90 Tage nach dem letzten Öffnen des Datensatzes gelöscht, die gesamte Liste sofort zusammen mit dem Unternehmenskonto.
• Aufzeichnung der Annahme von Dokumenten (Person, Unternehmen, Dokument und seine Version, Datum, IP-Adresse): Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis des Vertragsschlusses). Wir speichern sie für die Dauer des Vertrags und nach Löschung des Unternehmenskontos im Archiv für 5 Jahre.
• Abrechnung, Zahlungen und Rechnungen (Daten des Unternehmens, USt-IdNr. und das Ergebnis ihrer Prüfung im VIES-System, E-Mail-Adresse für die Abrechnung, Zahlungsverlauf): Art. 6 Abs. 1 lit. b und c DSGVO. Abrechnungsunterlagen bewahren wir für die nach den steuer- und rechnungslegungsrechtlichen Vorschriften vorgeschriebene Dauer auf, grundsätzlich 5 Jahre ab dem Ende des Kalenderjahres, in dem die Frist für die Zahlung der Steuer abgelaufen ist.
• Bearbeitung von Meldungen, Beschwerden und Korrespondenz: Art. 6 Abs. 1 lit. b und f DSGVO. Wir speichern die Daten bis zum Abschluss der Angelegenheit und anschließend bis zum Ablauf der Verjährungsfrist für Ansprüche, höchstens 3 Jahre ab dem letzten Kontakt.
• Servicenachrichten zum Dienst (Sicherheit, Änderungen von Dokumenten, Zahlungen, technische Unterbrechungen): Art. 6 Abs. 1 lit. b und f DSGVO. Werbeinformationen senden wir den Nutzern nicht ohne gesonderte Einwilligung.
• Feststellung, Geltendmachung oder Abwehr von Ansprüchen: Art. 6 Abs. 1 lit. f DSGVO, bis zum Ablauf der Verjährungsfrist.

Die Angabe der Daten ist freiwillig, jedoch für die Einrichtung des Kontos und die Nutzung des Dienstes erforderlich. Die Daten von Nutzern, die nicht die kontoeinrichtende Person sind, übermittelt der Kontoadministrator.

4. Empfänger der Daten

• Contabo GmbH (Deutschland): Server der Anwendung, Datenbank, Dateispeicher und Datensicherungen (Object Storage), Rechenzentren in der Europäischen Union; Dateien und Datensicherungen verschlüsseln wir vor dem Speichern; tätig als Auftragsverarbeiter.
• OVH Sp. z o.o. (Gruppe OVHcloud): E-Mail, Domains und Webseiten von Mivare, Rechenzentren in der Europäischen Union; tätig als Auftragsverarbeiter.
• Mistral AI SAS (Frankreich, Paris): Erstellung der Zusammenfassungen, Antworten und Dokumententwürfe der Assistentin Mivi, ausschließlich in Unternehmenskonten, in denen der Kontoadministrator sie aktiviert hat, und ausschließlich für Nutzer, die sie für ihr eigenes Konto aktiviert haben; tätig als Auftragsverarbeiter; die Anfragen werden in der Europäischen Union verarbeitet und gespeichert und nicht zum Training von Modellen verwendet; Mistral AI speichert sie höchstens 30 Tage ausschließlich zur Missbrauchserkennung und löscht sie anschließend.
• Stripe Payments Europe, Limited (Irland): Abwicklung der Zahlungen für das Abonnement. Stripe erhält den Namen des Unternehmens, die E-Mail-Adresse für die Abrechnung, das Land, die Sprache und eine technische Kontokennung; die Kartendaten gibt der Kontoadministrator direkt auf der Seite von Stripe ein, Mivare erhält und speichert sie nicht. Hinsichtlich der Zahlungsdaten, der Betrugsprävention und eigener gesetzlicher Pflichten handelt Stripe als eigenständiger Verantwortlicher auf Grundlage einer eigenen Datenschutzerklärung, im Übrigen als Auftragsverarbeiter. Stripe erhält keine Kundendaten.
• Europäische Kommission (VIES-System): Prüfung der USt-IdNr. eines Kunden aus einem anderen Mitgliedstaat der Europäischen Union zur Bestimmung der steuerlichen Behandlung.
• Minister der Finanzen der Republik Polen (Nationales System für elektronische Rechnungen, KSeF): von Mivare für den Dienst ausgestellte Rechnungen, in dem nach den Umsatzsteuervorschriften erforderlichen Umfang; tätig als eigenständiger Verantwortlicher.
• Professionelle Berater (Rechts-, Steuer- und Buchhaltungsberater), die zur Vertraulichkeit verpflichtet sind: in dem für die Abwicklung der Abrechnung und rechtlicher Angelegenheiten erforderlichen Umfang.
• Öffentliche Stellen: ausschließlich, wenn die Pflicht zur Übermittlung der Daten sich aus Rechtsvorschriften ergibt.

Mivare verkauft keine personenbezogenen Daten und gibt sie nicht zu Marketingzwecken weiter.

5. Externe Dienste

Die Anwendung lädt im Browser des Nutzers keine Ressourcen von anderen Servern als denen von Mivare, mit Ausnahme der Zahlungsseite von Stripe, die der Kontoadministrator bei der Zahlung öffnet. Karten der Projekte werden aus Daten gezeichnet, die auf dem Server von Mivare gespeichert sind, ohne externe Kartendienste. Schriftarten, Symbole und Bibliotheken der Anwendung werden vom Server von Mivare geladen.

In der Mitarbeiter-App öffnet die Schaltfläche „Navigieren“ erst nach einem Klick des Nutzers den Dienst Google Maps mit der Adresse oder der Position des Projekts als Routenziel. Ab diesem Zeitpunkt erfolgt die Nutzung von Google Maps zu den Bedingungen von Google; die Anwendung übermittelt Google keine weiteren Daten.

Wechselkurse ruft die Anwendung serverseitig aus den öffentlichen Tabellen der Polnischen Nationalbank (Narodowy Bank Polski) und unmittelbar von der Europäischen Zentralbank (Referenzkurse) ab; die Anfragen enthalten weder personenbezogene Daten noch Daten des Unternehmens.

Die Anwendung verwendet keine Analyse-, Werbe- oder Tracking-Werkzeuge. An den Dienst der künstlichen Intelligenz (Mistral AI) gelangen Daten ausschließlich dann, wenn der Kontoadministrator die Assistentin Mivi für das Unternehmen und der Nutzer sie für sein eigenes Konto aktiviert hat, und ausschließlich Daten, auf die dieser Nutzer Zugriff hat. Jeder Nutzer entscheidet selbst, ob er die Assistentin nutzt, und kann sie jederzeit in den Einstellungen seines Kontos deaktivieren; den Umfang der übermittelten Daten beschreibt der Auftragsverarbeitungsvertrag. Im Modul Mivi+ wird der Verlauf der Unterhaltungen des Nutzers mit der Assistentin 90 Tage lang in der Anwendung gespeichert, und der Nutzer kann ihn jederzeit löschen.

6. Cookies und Browserspeicher

Die Anwendung verwendet ausschließlich Cookies, die für ihren Betrieb erforderlich sind und keiner Einwilligung bedürfen:

• Sitzungscookie der Anwendung (Name beginnend mit „MIVARE“): Aufrechterhaltung der angemeldeten Sitzung; wird nach dem Schließen des Browsers oder der Abmeldung gelöscht; für Skripte nicht zugänglich, ausschließlich über eine verschlüsselte Verbindung übertragen;
• Sitzungscookie der öffentlichen Seiten (Name beginnend mit „MIVARE“ und endend mit „PUBSESSID“): Aufrechterhaltung des Zugangs zum Kunden-, Architekten- oder Partnerportal, zum Ausführungsstatus oder zu Annahmen nach der Verifizierung, für 30 Minuten; wird nach dem Schließen des Browsers gelöscht;
• mw_td: Speicherung eines vertrauenswürdigen Geräts nach der Zwei-Faktor-Authentifizierung, auf Wunsch des Nutzers; gültig 30 Tage;
• mw_viewport: Bildschirmbreite, die die Anpassung des Layouts der Anwendung an das Gerät ermöglicht; gültig 12 Monate; enthält keine identifizierenden Daten.

Im Browserspeicher (localStorage) speichert die Anwendung ausschließlich den Aufklappzustand des Seitenmenüs; er wird nicht an den Server übertragen.

Cookies können in den Browsereinstellungen gelöscht werden; ihre Blockierung verhindert die Anmeldung in der Anwendung und die Nutzung der öffentlichen Funktionen.

7. Geräteposition und Fotos

Die Anwendung verwendet die Geräteposition ausschließlich auf dem Bildschirm der Anwesenheitserfassung in der Mitarbeiter-App, nachdem der Nutzer dies im Browser erlaubt hat, um zu prüfen, ob er sich am Ort der Arbeiten befindet. Gespeichert werden eine Position bei Arbeitsbeginn und eine bei Arbeitsende; nach dem Schließen dieses Bildschirms verwendet die Anwendung die Position nicht, und zwischen diesen Vorgängen speichert sie sie nicht. Diese Daten sind Kundendaten und fallen in den Geltungsbereich des Auftragsverarbeitungsvertrags.

Aus hochgeladenen Fotos entfernt die Anwendung die Metadaten, einschließlich der darin gespeicherten Position, des Datums und der Gerätedaten.

8. Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums

Mivare verarbeitet die in der Erklärung beschriebenen Daten auf Servern in der Europäischen Union. Stripe kann als Zahlungsbetreiber Abrechnungsdaten an Unternehmen seiner Gruppe übermitteln, darunter Stripe, Inc. in den Vereinigten Staaten, auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (EU-U.S. Data Privacy Framework) und von Standardvertragsklauseln. Jede andere Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums erfolgt ausschließlich unter Anwendung eines mit Kapitel V DSGVO vereinbaren Mechanismus und nach vorheriger Aktualisierung der Erklärung.

9. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft über die Daten, auf ihre Berichtigung, Löschung, Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie das Recht auf Widerspruch gegen eine auf ein berechtigtes Interesse gestützte Verarbeitung. Erfolgt die Verarbeitung auf Grundlage einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Bitte richten Sie Ihre Anliegen an hello@mivaregroup.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang des Anliegens; in begründeten Fällen kann die Frist gemäß der DSGVO verlängert werden, worüber wir Sie informieren.

Sie haben das Recht auf Beschwerde beim Präsidenten der polnischen Datenschutzbehörde (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Warszawa, oder bei der Aufsichtsbehörde in dem Mitgliedstaat der Europäischen Union Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des Verstoßes.

10. Automatisierte Entscheidungen

Mivare trifft gegenüber Nutzern keine ausschließlich auf einer automatisierten Verarbeitung (einschließlich Profiling) beruhenden Entscheidungen, die ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Die automatische Sperrung des Zugangs nach erfolglosen Zahlungsversuchen ergibt sich aus den Zahlungsbedingungen und betrifft den Kunden als Unternehmer; die Entscheidung kann jederzeit mit dem Kundendienst geklärt werden.

11. Sicherheit

Mivare setzt dem Risiko angemessene technische und organisatorische Maßnahmen ein, insbesondere Verschlüsselung der Verbindungen, Speicherung von Passwörtern ausschließlich in Form eines kryptografischen Hashwerts, Zwei-Faktor-Authentifizierung, logische Trennung der Daten jedes Unternehmens, Ereignisprotokollierung, Verschlüsselung von Dateien vor dem Speichern im Dateispeicher sowie verschlüsselte Datensicherungen, die in der Europäischen Union getrennt vom Server der Anwendung aufbewahrt werden. Aus der Anwendung gelöschte Daten verbleiben höchstens 30 Tage in den Datensicherungen und werden anschließend mit der Rotation der Datensicherungen gelöscht. Eine ausführliche Beschreibung enthält der Auftragsverarbeitungsvertrag (MSP-LEG-003).

12. Änderungen der Erklärung

Die Erklärung wird bei Änderungen der Art der Datenverarbeitung, der Empfänger oder der Rechtsvorschriften aktualisiert. Über wesentliche Änderungen informieren wir die Kontoadministratoren per E-Mail und in der Anwendung. Die aktuelle Fassung ist unter folgender Adresse verfügbar: https://mivaregroup.com/de/legal/space/privacy/

Die Erklärung wird in sieben Sprachfassungen bereitgestellt; bei Abweichungen ist die polnische Fassung maßgeblich. Die Erklärung gilt ab dem 30. Oktober 2026.