Datenschutzerklärung

1. Verantwortlicher und Rollenverteilung

idoneo GmbH
Am Wüstenknapp 19
44534 Lünen
Telefon: 0173 9270740
E-Mail: info@idoneo.de

CleanTicket ist eine Software, mit der Reinigungsunternehmen Meldungen zu ihren Reinigungsleistungen erfassen und bearbeiten. Dabei sind zwei Rollen zu unterscheiden:

• Das Reinigungsunternehmen, das CleanTicket einsetzt, ist Verantwortlicher für alle Inhalte seines Mandanten: Tickets, Kommentare, Fotos und Dokumente, Angaben von Meldern, Kunden- und Objektstammdaten sowie die Nutzerkonten seiner Mitarbeiter. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage der Vereinbarung zur Auftragsverarbeitung. Fragen zu diesen Daten richten Sie an das Reinigungsunternehmen; wir leiten Anfragen, die uns erreichen, dorthin weiter.
• Wir sind selbst Verantwortlicher für den Besuch dieser Website, für die Vertrags-, Ansprechpartner- und Rechnungsdaten unserer Kunden, für Support-Korrespondenz sowie für Sicherheits- und Betriebsprotokolle.

2. Rechtsgrundlagen

• Art. 28 DSGVO — Auftragsverarbeitung: alle Mandanteninhalte im Auftrag des Reinigungsunternehmens
• Art. 6 Abs. 1 lit. b DSGVO — Vertrag: Kunden- und Rechnungsdaten, Support-Korrespondenz
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflicht: Aufbewahrung von Rechnungen und Geschäftsbriefen
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse: Systemsicherheit, Fehleranalyse, Missbrauchsschutz, Änderungsprotokoll
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Browser-Benachrichtigungen (jederzeit widerruflich)

3. Welche Daten wir verarbeiten

3.1 Besuch dieser Website

Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung). Sie stehen in den Betriebsprotokollen unserer Infrastruktur und werden nach 30 Tagen automatisch gelöscht. Wir setzen keine Analyse- oder Werbedienste ein.

3.2 Nutzerkonten (im Auftrag)

• E-Mail-Adresse, Name, Rolle, Gruppenzugehörigkeit, Zeitpunkte der Anmeldung
• Passwort — nur als Hash beim Identitätsdienst Amazon Cognito, für uns nicht einsehbar
• Einstellungen des Nutzers, z. B. aktivierte Benachrichtigungen und MCP-Freischaltung

Konten legt der Administrator des Reinigungsunternehmens an und löscht sie. Eine Selbstregistrierung gibt es nicht.

3.3 Mandanteninhalte (im Auftrag)

• Tickets: Titel, Beschreibung, Typ, Status, Zeitstempel, Zuweisungen, Bewertungen, Maßnahmen
• Kommentare und Anhänge (Fotos, PDF-Dokumente) samt Dateiname
• Angaben von Meldern: Name, Telefon, E-Mail — jeweils soweit angegeben
• Kunden und Objekte des Reinigungsunternehmens: Firmenname, Kontakt-E-Mail, Objektname, Adresse, Kostenstelle
• Vom Administrator hochgeladene Bestandsdaten beim Import (siehe 3.7)

3.4 Meldung per QR-Code (ohne Anmeldung)

Über einen QR-Code am Objekt können Sie eine Meldung abgeben, ohne sich anzumelden. Dabei verarbeiten wir die von Ihnen eingegebene Meldung (Art, Themenbereich, Titel, Beschreibung) und, nur wenn Sie sie angeben, Ihre E-Mail-Adresse, damit das Reinigungsunternehmen Sie zu Ihrer Meldung kontaktieren kann. Verantwortlicher für Ihre Meldung ist das Reinigungsunternehmen, dessen QR-Code Sie gescannt haben — sein Name steht oben auf der Meldeseite. Wir verarbeiten Ihre Meldung in dessen Auftrag. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Meldungen je Verbindung; die dafür genutzte IP-Adresse steht in unseren Betriebsprotokollen (30 Tage, Art. 6 Abs. 1 lit. f DSGVO).

3.5 E-Mail-Benachrichtigungen

CleanTicket versendet Benachrichtigungen über Amazon SES (Region Frankfurt) mit Absender unter idoneo.de an die zuständigen Nutzer bei neuen Tickets, Zuweisungen, Kommentaren und Statuswechseln. Der Ticket-Titel steht im Betreff.

3.6 Browser-Benachrichtigungen (Web Push)

Nutzer können Benachrichtigungen im Browser aktivieren. Dazu speichern wir die vom Browser erzeugte Zustelladresse und die zugehörigen Schlüssel. Die Zustellung erfolgt über den Push-Dienst des jeweiligen Browserherstellers (Google, Apple, Mozilla — teilweise mit Sitz in den USA). Der Inhalt der Nachricht (Ticketnummer und Titel) ist für den Push-Dienst verschlüsselt (RFC 8291); der Dienst sieht Zustelladresse und Metadaten. Die Aktivierung ist freiwillig und in den Einstellungen jederzeit widerrufbar; die gespeicherte Zustelladresse wird dann gelöscht.

3.7 KI-gestützte Anonymisierung beim Import

Beim Import von Bestandsdaten kann der Administrator des Reinigungsunternehmens Freitexte durch ein KI-Sprachmodell (Amazon Bedrock, Anthropic Claude) anonymisieren lassen. Dabei werden ausschließlich die zu importierenden Freitexte an das Modell übermittelt, nur auf Anforderung für den jeweiligen Import. Die Verarbeitung erfolgt in EU-Regionen von AWS; ein Training mit diesen Daten findet nicht statt, der Modellhersteller erhält keinen Zugriff. Das Ergebnis ist ein Vorschlag, den der Administrator vor der Übernahme prüft.

3.8 Schnittstelle für KI-Assistenten (MCP)

Nutzer, die der Administrator des Reinigungsunternehmens freigeschaltet hat, können CleanTicket mit einem KI-Assistenten ihrer Wahl (z. B. claude.ai) verbinden. Über diese Verbindung übermittelt der Nutzer Ticketdaten an den gewählten Anbieter. Das geschieht auf Veranlassung und in Verantwortung des Reinigungsunternehmens; wir stellen nur die Schnittstelle und die Freischaltung durch den Administrator bereit.

3.9 Support und Support-Zugriff

Support-Anfragen erreichen uns per E-Mail an support-cleanticket@idoneo.de oder über das Support-Modul der Anwendung; über neue Anfragen werden wir per E-Mail informiert. Wir verarbeiten Absender, Anliegen und Verlauf zur Bearbeitung (Art. 6 Abs. 1 lit. b DSGVO). Auf die Inhalte eines Mandanten können unsere Mitarbeiter nur zugreifen, wenn ein Administrator des Reinigungsunternehmens dafür in der Anwendung eine befristete Freigabe erteilt hat; jeder Zugriff wird protokolliert, Freigaben und ihr Verlauf sind für das Unternehmen in der Anwendung einsehbar.

3.10 Vertrags- und Rechnungsdaten

Von unseren Kunden verarbeiten wir Firma, Anschrift, Ansprechpartner mit Kontaktdaten, Rechnungsdaten und Korrespondenz zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b) und zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (lit. c).

3.11 Protokolle

• Änderungsprotokoll je Mandant: wer hat wann welche Aktion ausgeführt (Aktionstyp, Zeitstempel, betroffener Datensatz). Es dient dem Reinigungsunternehmen zur Nachvollziehbarkeit und wird mit dem Mandanten gelöscht.
• Betriebsprotokolle: Fehlermeldungen, Laufzeiten, Anfrage-Metadaten einschließlich IP-Adresse zur Fehleranalyse und Sicherheit (Art. 6 Abs. 1 lit. f), 30 Tage.

4. Empfänger und Auftragsverarbeiter

Mit AWS besteht das AWS GDPR Data Processing Addendum (Art. 28 DSGVO). Zahlungsdienstleister setzen wir nicht ein; die Abrechnung erfolgt per Rechnung.

5. Verarbeitung außerhalb der EU

Speicherung und Verarbeitung erfolgen in Rechenzentren von AWS in der EU. Eine Übermittlung in Drittländer findet nur in zwei Fällen statt, die jeweils der Nutzer auslöst: bei Browser-Benachrichtigungen über den Push-Dienst des Browserherstellers (3.6, Inhalt verschlüsselt) und bei der Verbindung mit einem KI-Assistenten über die MCP-Schnittstelle (3.8, in Verantwortung des Reinigungsunternehmens). Für Anbieter mit Sitz in den USA gilt, soweit zertifiziert, das EU-US Data Privacy Framework.

6. Speicherdauer

Die Löschung eines Mandanten erfolgt durch Vernichtung seines Verschlüsselungsschlüssels nach einer Rücknahmefrist von 30 Tagen. Danach sind alle Inhalte einschließlich der Sicherungskopien unlesbar.

7. Cookies und lokale Speicherung

CleanTicket verwendet ausschließlich technisch notwendige Cookies und Browserspeicher. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies.

8. Datensicherheit

• Verschlüsselte Übertragung (TLS, HSTS mit zwei Jahren Gültigkeit)
• Ein eigener Verschlüsselungsschlüssel je Mandant (AWS KMS); personenbezogene und inhaltliche Felder werden zusätzlich feldweise verschlüsselt (AES-256-GCM), Anhänge mit demselben Mandantenschlüssel
• Serviceseitige Verschlüsselung: Die Anwendung entschlüsselt zur Anzeige und Suche. Eine Ende-zu-Ende-Verschlüsselung besteht nicht.
• Kein stehender Zugriff unserer Mitarbeiter auf Mandanteninhalte; Support-Zugriff nur nach befristeter Freigabe durch den Administrator des Reinigungsunternehmens, protokolliert, Widerruf binnen weniger Minuten wirksam
• Rollenbasierte Zugriffskontrolle mit serverseitiger Prüfung an jeder Schnittstelle; Mandantentrennung auf Daten- und Schlüsselebene
• Änderungsprotokoll je Mandant; Wiederherstellung auf den Zeitpunkt (35 Tage) und nächtliche Sicherungen (35 Tage)
• Ratenbegrenzung auf öffentlichen Schnittstellen und auf API-Ebene gegen Missbrauch

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

• Zu Ticketinhalten, Meldungen und Nutzerkonten wenden Sie sich an das Reinigungsunternehmen, das CleanTicket einsetzt — es ist dafür Verantwortlicher und kann Auskunft, Berichtigung und Löschung in der Anwendung selbst vornehmen. Anfragen, die uns erreichen, leiten wir unverzüglich dorthin weiter.
• Zu allem, wofür wir selbst Verantwortlicher sind (Abschnitte 3.1, 3.9, 3.10, 3.11), schreiben Sie an info@idoneo.de. Wir antworten innerhalb eines Monats.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Die aktuelle Fassung ist stets unter dieser Adresse abrufbar; über wesentliche Änderungen informieren wir unsere Kunden in Textform.

Stand: 2. September 2026