QuickReports-Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Diese Erklärung gilt für die QuickReports-Apps, den QuickReports-Webzugang sowie die zugehörigen Konto-, Abrechnungs-, Synchronisations-, KI- und Exportfunktionen. Für die öffentliche JUSA-Website gilt die allgemeine Datenschutzerklärung.

2. Rollen bei Privatpersonen und Organisationen

QuickReports kann von Privatpersonen und Organisationen erworben und genutzt werden. Für Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Nutzungsdaten sind wir grundsätzlich Verantwortlicher. Nutzt ein Kunde QuickReports in einem beruflichen oder organisatorischen Zusammenhang und enthalten Berichte, Fotos, Dateien, Sprachaufnahmen oder andere bereitgestellte Inhalte personenbezogene Daten, bestimmt der Kunde regelmäßig die Zwecke dieser Verarbeitung und wir verarbeiten die Inhalte nach seinen dokumentierten Weisungen. Kunden und Nutzer bleiben für erforderliche Rechte und Berechtigungen an den bereitgestellten Inhalten verantwortlich.

3. Verarbeitete Daten

• Konto und Organisation: E-Mail-Adresse, interne Konto- und Nutzerkennungen, Authentifizierungsstatus, Organisationen, Arbeitsbereiche, Rollen, Einladungen und Berechtigungen.
• Berichts- und Projektdaten: Berichte, Formulare und Vorlagen, Notizen, Fotos, PDFs und andere Dateien, Sprachaufnahmen und Transkripte, Markierungen, Pins, Beschriftungen und Exporteinstellungen.
• Synchronisations- und Betriebsdaten: Gerätekennungen, Änderungen, Synchronisations- und Löschstatus, Zeitpunkte, technische Fehler- und Sicherheitsdaten sowie IP-Adresse beim Serverzugriff.
• Vertrags- und Abrechnungsdaten: Tarif, Berechtigungen, Speicher- und KI-Nutzung, Transaktionen, Rechnungs- und Abonnementstatus sowie von Stripe bereitgestellte Zahlungsreferenzen. Vollständige Kartendaten erhalten wir nicht.
• Supportdaten: Inhalte deiner Anfrage und nur soweit für die Bearbeitung erforderlich und freigegeben technische Informationen oder betroffene Produktdaten.

4. Local-Only-Modus und Geräteberechtigungen

Im Local-Only-Modus bleiben Berichte und zugehörige Dateien grundsätzlich auf dem verwendeten Gerät. Für diesen Arbeitsbereich werden weder PowerSync noch eine dauerhafte Speicherung von Berichts- und Dateidaten bei Supabase verwendet. Lokale Daten können jedoch in Geräte- oder Betriebssystem-Backups enthalten sein, wenn du solche Backups aktiviert hast.

Kamera, Foto- oder Dateizugriff und Mikrofon werden nur für eine von dir gestartete Aufnahme, Auswahl oder Bearbeitung verwendet und unterliegen den Berechtigungen des Betriebssystems. Auch aus dem Local-Only-Modus werden die erforderlichen Daten online verarbeitet, wenn du eine KI-, Transkriptions- oder Exportfunktion startest. Vor einer Migration in einen synchronisierten Arbeitsbereich wird eine ausdrückliche Produktfreigabe verlangt.

5. Synchronisierter Modus

Im synchronisierten Modus werden Konto-, Arbeitsbereichs-, Berechtigungs-, Berichts- und Dateidaten innerhalb der Europäischen Union gespeichert. PowerSync synchronisiert die für den jeweiligen Nutzer freigegebenen Daten zwischen Cloud und Geräten.

6. Online-KI, Transkription und Exporte

Textverbesserung, Titelgenerierung, Transkription und Transkriptverbesserung werden nur auf deine Anforderung ausgeführt. Dabei wird der erforderliche Text, das Audio oder Transkript an Microsoft Azure OpenAI Service übermittelt und innerhalb der Europäischen Union verarbeitet.

Microsoft prüft Inhalte automatisiert auf möglichen Missbrauch. Markierte Inhalte können innerhalb der Europäischen Union vorübergehend für eine menschliche Prüfung gespeichert werden.

Für die Erstellung von DOCX- oder PDF-Dateien werden die ausgewählten Berichtsinhalte und Layouteinstellungen online verarbeitet. Temporäre Exportdateien werden nur für die Bereitstellung des Downloads gespeichert.

7. Abrechnung über Stripe

Wenn du ein Abonnement, zusätzlichen Speicher oder KI-Guthaben buchst oder das Abrechnungsportal öffnest, übermitteln wir erforderliche Konto-, Tarif- und Transaktionsdaten an Stripe Payments Europe, Limited, Irland. Stripe verarbeitet insbesondere Kontakt- und Rechnungsdaten, Zahlungsinstrumentdaten, IP-Adresse, Geräte- und Betrugspräventionsdaten. Stripe kann Daten für bestimmte gesetzliche, regulatorische und sicherheitsbezogene Zwecke auch in eigener Verantwortlichkeit verarbeiten. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

8. Rechtsgrundlagen und Zwecke

• Bereitstellung von Konto, Synchronisation, Speicherung, Zusammenarbeit, Export, KI-Funktionen und Abrechnung: Art. 6 Abs. 1 lit. b DSGVO, soweit du selbst Vertragspartei bist, andernfalls Art. 6 Abs. 1 lit. f DSGVO zur Durchführung unseres Vertrags mit deinem Unternehmen.
• Authentifizierung, Missbrauchsabwehr, Fehleranalyse, Dienstsicherheit sowie Durchsetzung von Rollen, Kontingenten und Löschstatus: Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse liegt im sicheren und zuverlässigen Betrieb des Produkts.
• Rechnungslegung, Steuer- und handelsrechtliche Nachweise: Art. 6 Abs. 1 lit. c DSGVO.
• Soweit wir Kundeninhalte als Auftragsverarbeiter verarbeiten, richten sich Zwecke und Rechtsgrundlagen nach den dokumentierten Weisungen und der Verantwortung des jeweiligen Kunden.

9. Empfänger und Infrastruktur

• Supabase: Authentifizierung sowie Speicherung von Konto-, Berichts- und Dateidaten.
• PowerSync / Journey Mobile, Inc. DBA PowerSync: Synchronisation freigegebener Daten zwischen Cloud und Geräten.
• Fly.io: Betrieb der QuickReports-Onlinedienste.
• Microsoft Azure: Verarbeitung bewusst gestarteter KI- und Transkriptionsanfragen.
• Stripe Payments Europe, Limited, Irland: Checkout, Abonnements, Rechnungen, Zahlungsportal sowie Zahlungs- und Betrugsprävention.

Die genannten Dienste verarbeiten die zentralen QuickReports-Daten innerhalb der Europäischen Union. Mit Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO.

Soweit verbundene Unternehmen oder Unterauftragsverarbeiter Daten in Drittländern verarbeiten, gelten die Anforderungen der Art. 44 ff. DSGVO. Als Grundlage dienen insbesondere Angemessenheitsbeschlüsse einschließlich des EU-US Data Privacy Framework oder EU-Standardvertragsklauseln mit zusätzlichen Schutzmaßnahmen. Weitere Informationen bieten Supabase, PowerSync, Fly.io, Microsoft und Stripe.

10. Speicherdauer und Löschung

• Local-Only-Daten bleiben auf deinem Gerät, bis du sie in der App, über das Betriebssystem oder durch Deinstallation und Löschung der App-Daten entfernst.
• Die Kündigung eines Abonnements löscht das Konto nicht sofort. Der bezahlte Zugang beziehungsweise die Testphase läuft bis zum maßgeblichen Periodenende bei Stripe weiter. Danach bewahren wir synchronisierte Produktdaten 30 Tage zur Wiederherstellung auf. In dieser Zeit kannst du den Zugang durch ein neues Abo wiederherstellen oder deine Daten auf der Kontoseite herunterladen. Anschließend beginnt die automatisierte Löschung von Produktdaten, Cloud-Dateien und Anmeldeidentität.
• Ein ausdrücklicher Antrag auf Kontolöschung sperrt den Zugang sofort und kann sieben Tage lang widerrufen werden, bevor die dauerhafte Löschung beginnt. Abokündigung und Kontolöschung sind getrennte Vorgänge.
• Minimale Löschmarkierungen, die eine Wiederherstellung gelöschter Datensätze durch alte oder zeitweise offline verwendete Geräte verhindern, bleiben mindestens 90 Tage bestehen. Sie enthalten keine Berichtsinhalte.
• Ersetzte oder gelöschte Quelldateien werden nach Wegfall aktiver Referenzen nach 30 Tagen gelöscht. Temporäre Exportdownloads laufen nach 24 Stunden ab.
• Vertrags-, Rechnungs-, Sicherheits-, Einwilligungs- und Missbrauchsnachweise speichern wir, solange sie für gesetzliche Pflichten, die Vertragsdurchführung oder die Geltendmachung und Abwehr von Ansprüchen erforderlich sind. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Löschungen können in verschlüsselten Sicherungskopien und bei eingebundenen Auftragsverarbeitern bis zum Ablauf ihrer jeweiligen Sicherungs- und Löschzyklen fortbestehen. Bei einem Löschantrag prüfen wir zudem, ob Rechte Dritter oder gesetzliche Aufbewahrungspflichten entgegenstehen.

11. Deine Rechte

Nach Maßgabe der DSGVO hast du insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.

Betrifft deine Anfrage Inhalte, die dein Arbeitgeber oder ein anderer QuickReports-Kunde in eigener Verantwortung verarbeitet, wende dich bitte zunächst an diesen Kunden. Wir unterstützen ihn bei der Bearbeitung. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

12. Datenschutzanfragen und Änderungen

Angemeldete Nutzer können eine kontobezogene Auskunfts- und Datenübertragbarkeitskopie herunterladen oder die Kontolöschung direkt auf der Kontoseite anfordern. Der Download enthält Authentifizierungs-, Einstellungs-, Mitgliedschafts- und Datenschutzverlaufsdaten. Local-Only-Daten sind nicht enthalten, weil JUSA sie nicht speichert. Inhalte und Abrechnung eines Organisations-Arbeitsbereichs werden über die für diese Verarbeitung verantwortliche Organisation bereitgestellt.

Für Berichtigung, Einschränkung, Widerspruch, organisationsbezogene, durch Bevollmächtigte gestellte oder sonstige besondere Anfragen kontaktiere kontakt@jusa.io. Zur Vermeidung unbefugter Auskünfte können wir einen geeigneten Nachweis deiner Identität verlangen.

Wir aktualisieren diese Erklärung, wenn sich QuickReports, eingesetzte Anbieter oder rechtliche Anforderungen wesentlich ändern. Die jeweils aktuelle Fassung ist auf dieser Seite verfügbar.