Datenschutzerklärung

FieldPilot ist ein unentgeltliches, nicht-gewerbliches Beta- und Testangebot. Neue Konten entstehen nur über eine administrative Einladung mit an die E-Mail-Adresse gebundenem Einladungscode; nach Registrierung und E-Mail-Verifikation können Benutzer eigene Projekt-, Arbeitszeit-, Reise-, Spesen-, Abwesenheits-, Beleg- und Importdaten in einem persönlichen Arbeitsraum verwalten. Die Anwendung ist kein System des Arbeitgebers und wird nicht für Lohnabrechnung, Mitarbeiterüberwachung, Team-Rankings oder verbindliche steuerliche und rechtliche Nachweise bereitgestellt.

Personenbezogene Daten werden verarbeitet, um Einladungen und Benutzerkonten sowie persönliche Arbeitsräume bereitzustellen, Eingaben zu speichern, persönliche Übersichten und Exporte zu berechnen, Importe und optionale Integrationen auszuführen, Einstellungen zu speichern sowie Sicherheit, Wiederherstellbarkeit und Fehleranalyse zu gewährleisten. Statistiken und Analysen beziehen sich ausschließlich auf die eigenen Daten des angemeldeten Benutzers.

Dazu gehören insbesondere Einladungsdaten, Konto- und Profildaten, Rollen, persönliche Mandantenmitgliedschaften, Sicherheits- und Verifikationstoken, Einwilligungsnachweise, Systemnachrichten, Fachdaten, Importdaten, Audit-Nachweise und minimierte technische Protokolle. Automatische Hinweise zu Erfassungslücken oder Projektfortschritt haben keine rechtliche Wirkung und führen nicht zu automatisierten Entscheidungen über Personen.

Optionale Funktionen können externe oder getrennt betriebene Dienste einbinden, insbesondere Mapbox für Karten, Routen und Ortssuche, die selbst gehostete Umami-Instanz unter analytics.fieldpilot.eu für technische Reichweitenmessung oder eine vom Benutzer aktivierte Paperless-ngx-Instanz für Dokumente. Mailgun wird für den Versand transaktionaler Konto-E-Mails (einschließlich optionaler Sitzungszusammenfassungen nach Abmeldung) sowie für eingehende Import-E-Mails mit PDF-Anhängen genutzt. Die Systemüberwachung fragt öffentliche npm- und PyPI-Register nur anhand fest hinterlegter Paketnamen ab. Eine optionale Telegram-Alarmierung übermittelt ausschließlich bereinigte technische Zustände und Zeitpunkte, niemals Benutzer-, Projekt-, Dokument- oder Geschäftsdaten.

Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. b DSGVO für Registrierung und Bereitstellung angeforderter Funktionen, Art. 6 Abs. 1 lit. f DSGVO für sicheren und zuverlässigen Betrieb, Missbrauchsschutz, Fehleranalyse und Nachweisführung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten sowie Art. 6 Abs. 1 lit. a DSGVO für optionale Einwilligungen. Für optionale Speicherung oder Zugriffe im Browser gilt ergänzend § 25 TDDDG.

Jedes Benutzerkonto arbeitet derzeit in einem eigenen persönlichen Mandanten. Projekte, Kunden und zugehörige Arbeitszeit-, Reise-, Spesen- und Belegdaten werden diesem Arbeitsraum und dem jeweiligen Benutzer zugeordnet. Eine Mitgliedschaft in einem künftig möglichen Organisationsmandanten gewährt derzeit keinen Zugriff auf Daten anderer Benutzer.

Projekt- und Kundenreferenzen in Browser-URLs und öffentlichen Schnittstellen verwenden zufällige UUIDs statt fortlaufender Datenbanknummern. Dies reduziert unbeabsichtigte Offenlegung, ersetzt aber nicht die serverseitige Berechtigungsprüfung.

Die Anmeldung verwendet HttpOnly-Cookies, CSRF-Schutz, Argon2id-Passwort-Hashing über pwdlib, rollenbasierte Berechtigungen, einladungsgebundene Registrierung, E-Mail-Verifikation, optionale Zwei-Faktor-Authentifizierung und serverseitige Session-Revocation. Passwort-Reset erfolgt über zeitlich begrenzte Sicherheitscodes statt dauerhaft gültiger Links.

Einladungscodes, Sicherheits- und Wiederherstellungstoken werden gehasht oder verschlüsselt gespeichert, Paperless-API-Tokens werden verschlüsselt abgelegt und nur für die jeweilige Integration verwendet.

Änderungen an Test- und Kontodaten können in Audit-Logs protokolliert werden, damit technische Fehler, unbefugte Zugriffe und missbräuchliche Nutzung nachvollziehbar bleiben.

Audit-Nachweise enthalten Akteur, betroffenen Benutzer, persönlichen Mandanten, Request-ID, Aktion und soweit vorhanden eine öffentliche Objektreferenz. Freitextnotizen, Dateinamen und Dokumentinhalte werden nicht in Audit-Snapshots oder allgemeinen Anwendungslogs übernommen. Authentifizierte Antworten sind als privat und nicht cachebar gekennzeichnet.

Betroffene Personen haben im gesetzlichen Rahmen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Widerruf erteilter Einwilligungen.

Angemeldete Benutzer können in den Einstellungen einen maschinenlesbaren Datenexport herunterladen, den Einwilligungsverlauf einsehen und eine Lösch- oder Anonymisierungsanfrage an die Administration übergeben. Die Kontolöschung anonymisiert personenbezogene Angaben zunächst; eine vollständige Entfernung kann als administrativer Hard-Purge erfolgen, soweit Aufbewahrungs- und Backupfristen dem nicht entgegenstehen.

Anfragen können per E-Mail an fieldpilot@plitzner.info gerichtet werden.

Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für nicht-öffentliche Stellen in Bayern ist regelmäßig das Bayerische Landesamt für Datenschutzaufsicht zuständig.