Datenschutzhinweise Kundenportal

Stand: 17. Oktober 2026

Diese Hinweise gelten für unser Kundenportal unter app.fesity.de. Für unsere Website fesity.de gilt deren eigene Datenschutzerklärung.

1. Verantwortlicher

SFX E-Commerce, Inhaber Simon Festl
Junkersstr. 20
93055 Regensburg
Deutschland

E-Mail für Datenschutzanfragen: datenschutz@fesity.de
Telefon: +49 171 2123136

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Das Wichtigste in Kürze

• Nur notwendige Cookies, kein Tracking: Das Portal setzt nur Cookies, die für die Anmeldung und die gewählte Sprache nötig sind. Analyse-, Werbe- oder Tracking-Werkzeuge verwenden wir nicht.
• Server in der EU: Portal, Datenbank und Dateien betreiben wir bei Google Cloud in der Region europe-west1 in Belgien.
• KI nur in der EU: Für einzelne Funktionen, z. B. Support und die Auswertung Ihrer Ablaufbeschreibungen, nutzen wir KI-Modelle bei Google Vertex AI (Belgien) und TensorX (Irland, Finnland), ohne Training mit Ihren Daten und ohne Speicherung der Eingaben beim Anbieter (Abschnitt 11).
• Ein Mensch entscheidet: Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; jederzeit mit Wirkung für die Zukunft widerruflich, Art. 7 Abs. 3 DSGVO),
• Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen auf Ihre Anfrage, insbesondere die Nutzung des Portals),
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflicht, z. B. handels- und steuerrechtliche Aufbewahrung),
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. sicherer Betrieb, Schutz vor Missbrauch, Nachweis von Freigaben).

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 TDDDG (Abschnitt 6).

4. Hosting und Server-Protokolle

Wir betreiben das Portal bei Google Cloud (Dienste Cloud Run, Cloud SQL, Cloud Storage, Secret Manager und Cloud Logging) in der Region europe-west1 in Belgien (EU). Vertragspartner ist Google Cloud EMEA Limited, Dublin, Irland. Google verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf überträgt Ihr Browser technisch notwendige Daten an den Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Browser-Kennung (User-Agent) und die zuvor besuchte Seite (Referrer). Wir verwenden diese Daten nur, um das Portal auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Google Cloud Logging speichert die Protokolle in unserem Auftrag 30 Tage und löscht sie danach automatisch. Benötigen wir einzelne Einträge zur Aufklärung eines konkreten Sicherheitsvorfalls, bewahren wir diese bis zum Abschluss der Aufklärung auf.

5. Konto und Anmeldung

Konto: Ein Konto entsteht, wenn Sie über „Jetzt kostenlos loslegen“ ein Konto für Ihre Firma anlegen oder wenn Sie jemand aus Ihrer Firma oder von uns einlädt. Wir speichern Ihren Namen, Ihre E-Mail-Adresse, Ihre Firma, Ihre Rolle im Firmenbereich (z. B. Inhaber oder Mitglied) und die Sprache, in der wir Ihnen schreiben.

Konto anlegen: Beim Anlegen verarbeiten wir zusätzlich Vorname, Nachname, Firma, optional Website und Branche, die Seite, über die Sie gekommen sind, sowie Zeitpunkt und Fassung Ihrer Bestätigung im Formular. Zweck ist, Ihr Konto und den Firmenbereich anzulegen und ein Erstgespräch vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung ohne Passwort: Sie melden sich mit einem sechsstelligen Code an, den wir Ihnen per E-Mail senden. Der Code ist 15 Minuten gültig, erlaubt höchstens fünf Versuche und wird bei uns nur als Prüfwert (Hash) gespeichert. Links zur Bestätigung Ihrer E-Mail-Adresse sind 24 Stunden gültig. Abgelaufene Codes und Links löschen wir nach einem Tag.

Einladungen: Wer einlädt, gibt E-Mail-Adresse und Rolle der eingeladenen Person an. Die Einladung ist 48 Stunden gültig. Wer einlädt, sorgt dafür, dass die eingeladene Person damit rechnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Sitzungen: Zu jeder Anmeldung speichern wir IP-Adresse, Browser-Kennung und Ablaufzeitpunkt, um Missbrauch zu erkennen (Art. 6 Abs. 1 lit. b und f DSGVO). Abgelaufene Sitzungen löschen wir 30 Tage nach ihrem Ablauf.

6. Cookies und Speicherung im Browser

Das Portal setzt nur technisch notwendige Cookies und speichert nur, was für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO):

Die Einträge enthalten außer der Sitzungskennung keine Kennung. Weil diese Cookies für die von Ihnen gewünschte Anmeldung bzw. Sprachwahl unbedingt erforderlich sind, fragen wir dafür nicht gesondert nach einer Einwilligung und zeigen kein Cookie-Banner. Sie können Cookies in Ihrem Browser jederzeit löschen; danach müssen Sie sich neu anmelden.

Wir setzen keine Analyse- oder Marketing-Cookies ein. Das Portal lädt keine Schriften, Skripte oder Videos von Servern anderer Anbieter.

7. Einstieg: Angaben zu Ihrem Betrieb und Rückrufwunsch

Nach dem Anlegen des Kontos können Sie Angaben zu Ihrem Betrieb machen: Branche, Stand der Digitalisierung, eingesetzte Programme und eine Beschreibung eines Ablaufs in eigenen Worten. Wir verwenden sie, um das Erstgespräch vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO). Bitte tragen Sie in Freitexte keine Daten Ihrer Kunden oder Mitarbeiter ein.

Rückruf: Wenn Sie einen Rückruf wünschen, speichern wir Ihre Telefonnummer sowie Zeitpunkt und Fassung Ihrer Einwilligung. Wir rufen Sie nur mit dieser ausdrücklichen Einwilligung an (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, z. B. per E-Mail an datenschutz@fesity.de oder indem Sie den Rückrufwunsch im Portal entfernen.

Speicherdauer bei Interessenten: Wird aus Ihrer Anfrage keine Zusammenarbeit, löschen oder anonymisieren wir die Kontaktangaben Ihrer Anfrage (Name, E-Mail, Telefon, Website, Ablaufbeschreibung, Einwilligungen) zwölf Monate nach der Anfrage bzw. nach Ihrer letzten Änderung am Firmenprofil.

8. Zusammenarbeit im Portal

Im Portal arbeiten wir mit Ihnen zusammen. Dafür verarbeiten wir die Inhalte, die Sie oder wir dort anlegen (Art. 6 Abs. 1 lit. b DSGVO):

• Projekte, Abläufe und Berichte: Beschreibungen Ihrer Abläufe, Projektstände und Berichte.
• Dokumente: Dateien, die Sie oder wir hochladen. Wir speichern sie in Google Cloud Storage in Belgien; heruntergeladen werden sie nur über zeitlich begrenzte, signierte Links.
• Nachrichten: Ihre Nachrichten an uns und unsere Antworten mit Absender und Zeitpunkt.
• Termine: Wenn Sie ein Gespräch buchen, speichern wir E-Mail-Adresse, Zeitpunkt, Art des Termins und Ihre Notiz und senden Ihnen eine Bestätigung mit Kalendereintrag. Videogespräche führen wir über Google Meet (Teil von Google Workspace, Abschnitt 15).
• Freigaben und Rückmeldungen: Wenn Sie ein Angebot, eine Lieferung oder ein Ergebnis freigeben, Änderungen wünschen oder kommentieren, speichern wir Ihren Text, Ihren Namen, die Fassung und den Zeitpunkt. Das dient auch dem Nachweis der Freigabe (Art. 6 Abs. 1 lit. f DSGVO).
• Team: Mitglieder Ihres Firmenbereichs und ihre Rollen.

Auf die Daten Ihres Firmenbereichs haben nur Mitglieder Ihrer Firma und die für Sie zuständigen Personen bei uns Zugriff.

Speicherdauer: für die Dauer der Zusammenarbeit. Nach dem Ende der Zusammenarbeit geben wir Ihnen Ihre Daten auf Wunsch heraus und löschen sie spätestens drei Monate danach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Termine von Interessenten ohne Zusammenarbeit löschen wir 180 Tage nach dem Termin.

9. Sprachnotizen, Bilder und Texte zu Ihren Abläufen

Sie können Abläufe auch per Sprachaufnahme, Foto oder Text beschreiben. Das ist freiwillig und erfolgt nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir mit Zeitpunkt und Fassung speichern. Wir verwenden Ihre Stimme nicht, um Sie zu identifizieren. Bitte nehmen Sie keine Gespräche mit anderen Personen auf und zeigen Sie keine Daten Ihrer Kunden.

Speicherdauer: Aufnahmen, Bilder, Texte sowie Abschriften und Auswertungen, die wir dazu erstellen, löschen wir 180 Tage nach dem Hochladen, früher, wenn Sie sie selbst löschen oder die Einwilligung widerrufen. Wir behalten nur die Angabe, dass und wann eine Eingabe mit Einwilligung erfolgt ist (Nachweis, Art. 7 Abs. 1 DSGVO).

10. Änderungsprotokoll

Fachliche Änderungen im Portal (z. B. Freigaben, Einladungen, geänderte Einträge) protokollieren wir mit Person, Zeitpunkt und Art der Änderung. Das dient der Nachvollziehbarkeit und dem Nachweis gegenüber Ihnen und uns (Art. 6 Abs. 1 lit. f DSGVO). Nach zwölf Monaten ersetzen wir den Bezug zur handelnden Person durch einen Prüfwert (Pseudonym).

11. Automatisierung, KI und interne Agenten

Für interne Aufgaben setzen wir Programme (Agenten) ein. Sie greifen nur über unsere eigene Schnittstelle auf Daten zu, jeweils mit eigener Kennung (Google-Dienstkonto) und eigenen, eng begrenzten Rechten; Änderungen durch Agenten protokollieren wir wie in Abschnitt 10. Agenten ohne ausdrückliche Freigabe für Personendaten erhalten Daten nur gefiltert, also ohne Namen, E-Mail-Adressen, Telefonnummern und Freitexte. Ergebnisse von Agenten (z. B. Notizen zur Vorbereitung eines Gesprächs) löschen wir nach 180 Tagen. Entscheidungen trifft immer ein Mensch.

KI-Modelle: Für einzelne Funktionen setzen wir KI-Modelle ein, z. B. um Ihre Ablaufbeschreibungen zusammenzufassen, Abschriften von Sprachnotizen zu erstellen (Abschnitt 9), eingesetzte Programme zu erkennen oder Ihre Anfragen im Support zu bearbeiten und zu beantworten. Dafür nutzen wir ausschließlich KI-Modelle, die in der EU betrieben werden: Google Vertex AI in der Region europe-west1 (Belgien) im Rahmen unseres Vertrags mit Google Cloud und TensorX (TensorX Ltd, Dublin, Irland) mit eigenen Servern in Dublin und Helsinki (Abschnitt 15). Beide Anbieter verwenden die Eingaben nicht zum Training von Modellen; TensorX speichert Eingaben und Ergebnisse nicht, sondern verarbeitet sie nur im Arbeitsspeicher. Bei TensorX laufen offene Modelle verschiedener Hersteller auf den Servern von TensorX; die Hersteller der Modelle erhalten keine Daten. Wo die Aufgabe es zulässt, ersetzen wir Namen, E-Mail-Adressen, Telefonnummern und ähnliche Angaben vorher durch Platzhalter (Pseudonymisierung). Braucht die Aufgabe den vollständigen Inhalt, z. B. um im Support Ihre Nachricht zu beantworten, verarbeitet das Modell auch Namen und Inhalte im Klartext, ebenfalls nur bei den genannten Anbietern in der EU. Sprachnotizen gehen nur mit Ihrer ausdrücklichen Einwilligung als Aufnahme an das Modell, damit es die Abschrift erstellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vereinbarten Leistung), bei Sprachnotizen Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Antworten der KI kennzeichnen wir als solche; Sie können jederzeit verlangen, dass ein Mensch Ihr Anliegen bearbeitet. Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung trifft ein Mensch (Art. 22 DSGVO).

KI-Dienste weiterer Anbieter nutzen wir nur für Inhalte ohne Personenbezug, z. B. für allgemeine Recherchen, Texte unserer Website oder den Katalog von Programmen. Daten aus Ihrem Firmenbereich geben wir dorthin nicht weiter.

12. E-Mails aus dem Portal

Anmeldecodes, Einladungen, Terminbestätigungen und Hinweise zu Ihren Vorgängen versenden wir über Google Workspace (SMTP-Relay, Absender portal@fesity.de). Antworten auf diese E-Mails landen in unserem Postfach bei Google Workspace.

13. Schutz vor Spam und Missbrauch

Damit Formulare (z. B. „Konto anlegen“) nicht automatisiert missbraucht werden, nutzen wir das Open-Source-Verfahren ALTCHA: Ihr Browser löst beim Absenden eine kleine Rechenaufgabe, die er von unserem Server erhält. Es werden dabei keine Cookies gesetzt und keine Daten an Dritte übertragen. Zusätzlich enthalten die Formulare ein für Menschen unsichtbares Feld.

Um zu viele Anfragen von einem Anschluss zu begrenzen, zählen wir Anfragen je IP-Adresse. Dafür speichern wir nicht die IP-Adresse, sondern einen daraus mit einem geheimen Schlüssel berechneten Prüfwert (Hash) mit Zähler und Zeitpunkt, bei Formularen ebenso wie bei der Anmeldung. Die Zähler gelten Sekunden bis Minuten; wir löschen sie nach etwa einem Tag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

14. Wenn wir Daten in Ihrem Auftrag verarbeiten

Verarbeiten wir im Rahmen eines Auftrags personenbezogene Daten, für die Sie verantwortlich sind (z. B. Daten Ihrer Kunden oder Mitarbeiter), handeln wir als Ihr Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Verantwortlich ist dann Ihr Unternehmen; diese Hinweise gelten dafür nicht.

15. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, soweit es für die genannten Zwecke nötig ist. Dienstleister arbeiten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO:

Für Google Workspace haben wir die Datenregion Europa eingestellt: Gespeicherte E-Mails und Dateien liegen in Rechenzentren in der EU. Die Übertragung und einzelne Verarbeitungsschritte (z. B. für Zustellung oder Support) können auch außerhalb der EU stattfinden. Google gehört zum US-Konzern Alphabet. Auch bei Google Cloud können wir nicht ausschließen, dass Google Daten im Einzelfall in die USA überträgt oder von dort aus darauf zugreift, z. B. für Wartung und Support. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; für die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Zusätzlich hat Google Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

16. Speicherdauer im Überblick

Die Datenbank sichern wir täglich; automatische Sicherungen werden nach 14 Tagen überschrieben. Vor jeder Aktualisierung legen wir zusätzlich eine Sicherung an; sie wird bei einer späteren Aktualisierung gelöscht, sobald sie älter als 30 Tage ist. Gelöschte Dateien halten wir noch sieben Tage zur Wiederherstellung vor. Bis dahin können gelöschte Daten noch in einer Sicherung enthalten sein.

17. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie dazu an datenschutz@fesity.de.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe für die Verarbeitung nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden.

18. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Für ein Konto und die Anmeldung benötigen wir die als Pflichtfeld markierten Angaben; ohne sie ist die Nutzung des Portals nicht möglich. Alle weiteren Angaben sind freiwillig.

Wir treffen keine ausschließlich automatisierten Entscheidungen einschließlich Profiling im Sinne von Art. 22 DSGVO.

19. Sicherheit

Das Portal ist nur verschlüsselt (HTTPS) erreichbar. Die Anmeldung erfolgt ohne Passwort über Einmal-Codes. Firmenbereiche sind voneinander getrennt; Rechte vergeben wir nach dem Prinzip der geringsten Berechtigung. Schlüssel und Zugangsdaten liegen in einer gesonderten Schlüsselverwaltung (Art. 32 DSGVO).

20. Änderungen

Wir passen diese Hinweise an, wenn sich das Portal oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 17. Oktober 2026

Datenschutzerklärung der Website →