Datenschutz­erklärung

A.1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

grovez GmbH
Weißer Weg 7b
32657 Lemgo
Deutschland
E-Mail: info@grovez.io

Vertreten durch die Geschäftsführer Manuel Behlen, Steffen Kraetzig und Nils Pletzinger. Eingetragen im Handelsregister des Amtsgerichts Lemgo unter HRB 12006.

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Für alle Anliegen zum Datenschutz erreichen Sie uns unter info@grovez.io.

A.2 Geltungsbereich dieser Erklärung

Diese Datenschutzerklärung gilt für

• unsere Website grovez.io einschließlich aller Unterseiten (Teil B),
• unsere Cloud-Plattform app.grovez.io, unseren LoRaWAN Network Server lpwan.grovez.io und unser Dokumentationsportal docs.grovez.io (Teil C),
• unsere mobile Anwendung für iOS und Android (Teil D).

Unser Angebot richtet sich ausschließlich an Unternehmen, Stadtwerke, Kommunen und sonstige Organisationen (B2B/B2G). Es richtet sich nicht an Verbraucherinnen und Verbraucher und nicht an Kinder oder Jugendliche.

A.3 Unsere zwei Rollen

Für einen Teil der Daten entscheiden wir selbst über Zwecke und Mittel der Verarbeitung; dort sind wir Verantwortlicher. Für einen anderen Teil verarbeiten wir Daten ausschließlich nach Weisung unserer Kunden; dort sind wir Auftragsverarbeiter nach Art. 28 DSGVO.

Verantwortlicher für die Inhalte eines Mandanten ist stets die Organisation, die den Vertrag mit uns geschlossen hat. Für Fragen zu diesen Daten wenden Sie sich bitte an diese Organisation; wir leiten entsprechende Anfragen unverzüglich weiter (siehe G.3).

A.4 Inhalt

• A · Übersicht
• B · Website grovez.io
• C · Plattform app.grovez.io
• D · Mobile App
• E · Empfänger und Drittländer
• F · Speicherdauer
• G · Ihre Rechte
• H · Sicherheit
• I · Ergänzungen für die Schweiz

B.1 Allgemeines zur Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist, wir gesetzlich dazu berechtigt oder verpflichtet sind oder Sie eingewilligt haben. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse).

B.2 Hosting und Auslieferung

Diese Website wird bei Amazon Web Services (AWS) gehostet. Anbieter ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Die Speicherung erfolgt in der AWS-Region Europa (Frankfurt, eu-central-1), also auf Servern innerhalb der Europäischen Union. Mit AWS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Auslieferung erfolgt über das Content Delivery Network Amazon CloudFront. Dabei kann Ihre Anfrage aus technischen Gründen über einen wohnortnahen Auslieferungsstandort verarbeitet werden; solche Standorte bestehen weltweit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren, schnellen und störungsfreien Bereitstellung der Website. Soweit es dabei zu einer Übermittlung in ein Drittland kommt, erfolgt diese auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln im Rahmen des AWS-Auftragsverarbeitungsvertrags); AWS ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

B.3 Server-Logfiles

Bei jedem Aufruf der Website werden automatisch Informationen erfasst, die Ihr Browser übermittelt und die technisch erforderlich sind, um Ihnen die Website anzuzeigen sowie ihre Stabilität und Sicherheit zu gewährleisten. Hierzu gehören in der Regel: IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Datei, übertragene Datenmenge, Referrer-URL sowie Browsertyp und Betriebssystem.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website sowie in der Abwehr und Aufklärung von Angriffen. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nicht zur Erstellung von Nutzungsprofilen verwendet. Zur Speicherdauer siehe Teil F.

B.4 Cookies und lokale Speicherung

Auf dieser Website setzen wir keine Cookies und keine Analyse-, Tracking- oder Marketingtechnologien ein. Wir binden keine Inhalte Dritter ein: Schriftarten, Bilder und Skripte werden ausschließlich von unseren eigenen Servern geladen. Es findet keine Reichweitenmessung statt, es werden keine Nutzungsprofile erstellt, und es wird kein Einwilligungsbanner benötigt.

Lediglich Ihre Sprachauswahl (DE/EN) speichern wir im lokalen Speicher Ihres Browsers (localStorage) unter dem Schlüssel grovez-lang. Diese Information verbleibt auf Ihrem Endgerät und wird nicht an uns übertragen. Die Speicherung ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, vormals TTDSG); eine Einwilligung ist hierfür nicht erforderlich. Sie können den lokalen Speicher jederzeit über die Einstellungen Ihres Browsers löschen.

B.5 Kontaktaufnahme und Whitepaper-Anforderung

Die Formulare auf dieser Website – das Kontaktformular ebenso wie das Formular zur Anforderung unseres Whitepapers – übertragen Ihre Eingaben nicht an unsere Server. Sie öffnen stattdessen Ihr lokales E-Mail-Programm mit einer vorbereiteten Nachricht. Eine Übertragung findet erst statt, wenn Sie diese E-Mail selbst versenden.

Erreicht uns Ihre Nachricht, verarbeiten wir die darin enthaltenen Angaben zur Bearbeitung Ihres Anliegens. Beim Whitepaper sind dies typischerweise Vorname, Nachname, E-Mail-Adresse, Organisation und Art der Organisation; bei sonstigen Anfragen die von Ihnen übermittelten Angaben einschließlich des Nachrichteninhalts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung von Anfragen.

B.6 Meldeformular nach dem Digital Services Act

Auf der Seite Digital Services Act stellen wir ein Meldeformular bereit. Anders als die übrigen Formulare dieser Website übermittelt es Ihre Eingaben unmittelbar aus Ihrem Browser an einen Workflow-Dienst der Microsoft Corporation (Microsoft Power Automate), der die Meldung an unser internes Team weiterleitet.

Übermittelt werden: die von Ihnen angegebene URL bzw. der beanstandete Inhalt, Ihre Nachricht bzw. Begründung, sowie – soweit von Ihnen angegeben – Name der juristischen Person, Vorname, Nachname und E-Mail-Adresse, ferner Ihre Bestätigung der Richtigkeit, Sprache und Zeitpunkt der Absendung. Da die Übermittlung direkt aus Ihrem Browser erfolgt, wird dabei technisch bedingt auch Ihre IP-Adresse an Microsoft übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unseren Pflichten aus der Verordnung (EU) 2022/2065 (Digital Services Act), im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Entgegennahme und Bearbeitung von Meldungen. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; eine Verarbeitung in Drittländern ist nicht ausgeschlossen und durch EU-Standardvertragsklauseln sowie die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert.

Die Angabe personenbezogener Daten in diesem Formular ist freiwillig, soweit gesetzlich nicht anders vorgesehen. Wenn Sie diese Übermittlung vermeiden möchten, können Sie uns Ihre Meldung stattdessen formlos per E-Mail an info@grovez.io senden.

B.7 Kunden- und Interessentenverwaltung (CRM)

Zur Anbahnung, Durchführung und Verwaltung von Geschäftsbeziehungen nutzen wir das Customer-Relationship-Management-System Attio. Anbieter ist die Attio, Inc., 1111B South Governors Avenue, Dover, DE 19904, USA.

Verarbeitet werden insbesondere: Name, geschäftliche Kontaktdaten (E-Mail-Adresse, Telefonnummer), Unternehmenszugehörigkeit und Position, Kommunikationsinhalte und -historie im Rahmen der geschäftlichen Interaktion sowie weitere im Rahmen der Geschäftsbeziehung übermittelte Informationen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung von Verträgen sowie Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an einer effizienten und nachvollziehbaren Kunden- und Interessentenverwaltung.

Mit Attio besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Da der Anbieter seinen Sitz in den USA hat, findet eine Übermittlung in ein Drittland statt. Diese ist durch die von der Europäischen Kommission erlassenen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert; ergänzend haben wir die Risiken der Übermittlung bewertet und geeignete zusätzliche Maßnahmen berücksichtigt.

B.8 Unsere Präsenz auf LinkedIn

Wir unterhalten eine Unternehmensseite auf LinkedIn. Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland.

Wenn Sie unsere Seite besuchen oder mit ihr interagieren, verarbeitet LinkedIn Daten in eigener Verantwortung nach den dortigen Bestimmungen. Hinsichtlich der uns bereitgestellten Statistiken über die Seitennutzung („Seiten-Insights") sind wir mit LinkedIn gemeinsam Verantwortliche nach Art. 26 DSGVO. Wir erhalten dabei ausschließlich zusammengefasste, nicht auf einzelne Personen bezogene Auswertungen; eine Zuordnung zu einzelnen Profilen ist uns nicht möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an einer wirksamen Außendarstellung und der Ansprache von Fach- und Führungskräften. Betroffenenrechte können Sie sowohl uns gegenüber als auch gegenüber LinkedIn geltend machen; für die Verarbeitung durch LinkedIn ist eine Geltendmachung dort am wirksamsten. Weitere Informationen: linkedin.com/legal/privacy-policy.

Wir setzen auf dieser Website derzeit weder Webanalyse noch Werbe- oder Retargeting-Technologien ein und versenden keinen Newsletter. Sollte sich dies ändern, aktualisieren wir diese Erklärung und holen – soweit erforderlich – vorab Ihre Einwilligung ein.

C.1 Gegenstand der Plattform

Über unsere Cloud-Plattform verwalten Kommunen, Stadtwerke und Unternehmen ihre Leuchten und Schaltschränke, sehen Betriebs- und Energiedaten ein, steuern Dimmprofile und erhalten Störmeldungen. Die Plattform wird ausschließlich als Software-as-a-Service in der AWS-Region Europa (Frankfurt, eu-central-1) betrieben. Eine Installation beim Kunden findet nicht statt.

Ergänzend stellen wir Kunden, die keinen eigenen LoRaWAN Network Server betreiben, einen solchen unter lpwan.grovez.io mit eigener Oberfläche bereit (siehe C.12).

Wie in A.3 beschrieben, verarbeiten wir dabei Daten teils in eigener Verantwortung (C.2 bis C.8), teils im Auftrag unserer Kunden (C.9).

In eigener Verantwortung

C.2 Registrierung und Benutzerkonto

Sie können sich selbst für ein Benutzerkonto registrieren. Dabei verarbeiten wir Vorname, Nachname, E-Mail-Adresse und Ihr Passwort. Passwörter speichern wir ausschließlich als kryptografischen Hashwert, nicht im Klartext.

Die Verwaltung der Benutzerkonten erfolgt über die von uns selbst betriebene Identitätsverwaltung Keycloak in unserer AWS-Umgebung; eine Weitergabe an Dritte findet hierbei nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angabe der genannten Daten ist zur Einrichtung des Kontos erforderlich; ohne sie kann eine Registrierung nicht erfolgen.

Innerhalb der Plattform bestehen abgestufte Rollen (Systemadministration, Organisationsadministration, Serviceadministration, Nutzer, Prozessverantwortliche, Betrachter). Die Rollenzuweisung innerhalb einer Organisation nimmt der Kunde selbst vor.

C.3 Anmeldung und Zwei-Faktor-Authentifizierung

Die Anmeldung erfolgt mit E-Mail-Adresse und Passwort. Die Nutzung eines zweiten Faktors mittels zeitbasierter Einmalkennwörter (TOTP-App) ist für alle Konten verpflichtend. Hierzu speichern wir das zugehörige Geheimnis; eine Telefonnummer wird nicht benötigt und nicht erhoben.

Bei der Anmeldung verarbeiten wir zudem Zeitpunkt, Ergebnis und IP-Adresse des Anmeldeversuchs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Zugangs sowie Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Erkennung und Abwehr unberechtigter Zugriffe.

C.4 Vertrag, Angebote und Rechnungen

Für Angebote und Rechnungen verarbeiten wir zusätzlich: Organisation, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Straße, Postleitzahl, Stadt und Land. Wir stellen Rechnungen zur Überweisung; Zahlungsdaten wie Kreditkarten- oder Kontodaten erheben wir nicht, und es ist kein Zahlungsdienstleister eingebunden.

Für die Abwicklung nutzen wir die von uns selbst in unserer AWS-Umgebung betriebene Software Medusa. Die Buchhaltung erfolgt mit Lexware; die Übermittlung von Buchungsbelegen an unseren Steuerberater erfolgt im Rahmen der gesetzlichen Pflichten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB).

C.5 Versand von System-E-Mails

Für Nachrichten wie Registrierungsbestätigung, Zurücksetzen des Passworts, Störmeldungen und Rechnungsversand nutzen wir Amazon Simple Email Service (SES) in der Region eu-central-1 sowie Microsoft 365. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

C.6 Support

Support leisten wir ausschließlich per E-Mail. Ein Ticketsystem, ein Chat, Bildschirmaufzeichnungen oder Fernwartungszugriffe auf Ihre Endgeräte kommen nicht zum Einsatz. Wir verarbeiten die von Ihnen übermittelten Angaben zur Bearbeitung Ihres Anliegens; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

C.7 Protokolldaten der Plattform

Wir führen Protokolle, um den Betrieb sicherzustellen, Störungen zu analysieren und unberechtigte Zugriffe zu erkennen:

• Server- und Zugriffsprotokolle: IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browsertyp, Antwortstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anmeldeprotokolle: erfolgreiche und fehlgeschlagene Anmeldungen, Ereignisse der Zwei-Faktor-Authentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Fachliches Änderungsprotokoll: welcher Nutzer wann welche Änderung vorgenommen hat, etwa das Anlegen eines Geräts oder die Änderung eines Dimmprofils. Dieses Protokoll führen wir im Auftrag unserer Kunden zu deren Nachweiszwecken (siehe C.9).

Die technische Überwachung erfolgt über Amazon CloudWatch innerhalb unserer AWS-Umgebung. Eine Auswertung des Nutzungsverhaltens zu Analyse- oder Marketingzwecken findet nicht statt; wir setzen in der Plattform keine Produktanalyse-, Tracking- oder Fehlerberichtsdienste Dritter ein.

C.8 Cookies und lokale Speicherung in der Plattform

Die Plattform verwendet ausschließlich technisch notwendige Cookies und lokale Speichereinträge. Eine Einwilligung ist hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich; ein Einwilligungsbanner wird nicht eingesetzt.

Die Oberfläche des LoRaWAN Network Servers unter lpwan.grovez.io setzt keine eigenen Cookies; sie nutzt ausschließlich die beiden vorgenannten Einträge im lokalen Speicher. Bei der Anmeldung kommen die oben aufgeführten Cookies unserer Identitätsverwaltung zum Tragen.

Eine dauerhafte Anmeldung („Angemeldet bleiben") wird nicht angeboten. Sie können Cookies und lokale Speichereinträge jederzeit über die Einstellungen Ihres Browsers löschen; die Plattform ist danach gegebenenfalls nur eingeschränkt nutzbar.

Im Auftrag unserer Kunden

C.9 Verarbeitung von Anlagen-, Betriebs- und Sensordaten

Innerhalb eines Mandanten verwalten unsere Kunden ihre Anlagen. Wir verarbeiten diese Daten ausschließlich nach deren Weisung als Auftragsverarbeiter nach Art. 28 DSGVO. Verarbeitet werden insbesondere:

• Gerätestammdaten: Bezeichnung, Device EUI, Schlüsselmaterial für die Funkanbindung, Geokoordinaten, Firmwarestand, Gerätetyp, Hersteller und die genutzte Netzanbindung;
• Betriebs- und Telemetriedaten: Energieverbrauch, Dimmwert, Ein-/Ausschaltzustand, Verbindungsqualität (SNR, RSSI), Akkustand;
• Sensordaten: je nach eingesetztem Sensor unter anderem Helligkeit, Temperatur, Luftfeuchtigkeit und weitere Umweltwerte sowie Bewegungsereignisse;
• Freitextangaben: Bezeichnungen, Notizen und Störungsbeschreibungen, die Kunden selbst erfassen.

Die Sensordaten erreichen uns über LoRaWAN. Setzt ein Kunde einen eigenen oder einen von ihm beauftragten Netzbetreiber ein (etwa Swisscom), besteht dessen Vertragsverhältnis unmittelbar mit dem Kunden; wir übernehmen die Daten von dort. Verfügt ein Kunde über keinen eigenen Netzserver, betreiben wir einen solchen in unserer AWS-Umgebung.

Auf Weisung des Kunden stellen wir Daten über Schnittstellen (API, Webhook) an dessen eigene Systeme bereit. Für die weitere Verarbeitung in diesen Systemen ist der Kunde verantwortlich.

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling nach Art. 22 DSGVO finden nicht statt. Die automatische Steuerung wirkt ausschließlich auf die Beleuchtung und entfaltet keine rechtliche Wirkung gegenüber Personen.

C.10 Zugriff durch unsere Administratoren

Zur Wartung, Fehleranalyse und Unterstützung können Administratorinnen und Administratoren von grovez auf Mandanten zugreifen. Ein solcher Zugriff erfolgt ausschließlich zu diesen Zwecken und im Rahmen der vertraglichen Weisungen des Kunden. Änderungen werden dabei protokolliert und sind dem handelnden Konto zugeordnet. Den Kreis der berechtigten Personen halten wir so klein wie möglich; derzeit verfügen zwei Personen über produktive Administrationsrechte. Wir arbeiten daran, den administrativen Zugriff künftig zusätzlich von einer ausdrücklichen Freigabe durch den Kunden abhängig zu machen.

C.11 Dokumentationsportal

Unser Dokumentationsportal docs.grovez.io stellt technische Dokumentation bereit. Es wird in unserer AWS-Umgebung betrieben; es werden keine Analyse- oder Trackingdienste und keine Inhalte Dritter eingebunden. Es gelten die Angaben unter B.2 bis B.4 entsprechend.

C.12 LoRaWAN Network Server (lpwan.grovez.io)

Verfügt ein Kunde über keinen eigenen LoRaWAN Network Server, stellen wir ihm einen solchen unter lpwan.grovez.io bereit. Dieser dient der Anbindung der Sensoren an die Plattform und verfügt über eine eigene Oberfläche, in der Kunden ihre Gateways und Geräte verwalten können.

Eingesetzt wird die quelloffene Software ChirpStack, die wir selbst in unserer AWS-Umgebung in der Region Europa (Frankfurt, eu-central-1) betreiben. Ein Dienstleister ist hierfür nicht eingebunden; über die in Teil E genannten Empfänger hinaus werden keine Daten weitergegeben.

Die Anmeldung erfolgt über dieselbe Identitätsverwaltung wie in der Plattform (siehe C.2 und C.3). Es bestehen keine gesonderten, lokal im Netzserver geführten Benutzerkonten; die verpflichtende Zwei-Faktor-Authentifizierung gilt daher auch hier uneingeschränkt. Für Konto- und Anmeldedaten sind wir Verantwortlicher, für die Inhalte des jeweiligen Mandanten Auftragsverarbeiter (siehe A.3).

Im Netzserver werden verarbeitet:

• Gateway-Daten: Bezeichnung, Gateway-Kennung (EUI) und Standort der vom Kunden betriebenen Gateways sowie deren Verbindungsstatus;
• Gerätedaten: Gerätekennung (DevEUI), Schlüsselmaterial für die Funkanbindung und Zuordnung zum jeweiligen Mandanten;
• Frame- und Ereignisprotokolle: technische Aufzeichnungen der Funkkommunikation mit Gerätekennung, Zeitstempel, Verbindungsqualität und Gateway-Bezug. Sie dienen der Fehlersuche bei der Anbindung von Sensoren und werden technisch bedingt nur kurzfristig vorgehalten;
• Server- und Zugriffsprotokolle entsprechend C.7.

Die Gateways werden vom jeweiligen Kunden betrieben. Standortangaben beziehen sich auf technische Anlagen, nicht auf Personen. Analyse-, Tracking- oder Werbetechnologien setzen wir auch in dieser Oberfläche nicht ein.

D.1 Zweck und Anmeldung

Unsere mobile Anwendung unterstützt die Inbetriebnahme von Sensoren vor Ort: Geräte werden verortet, geprüft und der Anlage zugeordnet. Die Anmeldung erfolgt über dieselbe Identitätsverwaltung wie in der Plattform (siehe C.2 und C.3).

D.2 Zugriff auf den Standort

Beim Anlegen eines Sensors greift die App auf den Standort Ihres Endgeräts zu, um die Position des Geräts zu bestimmen. Der Standort wird ausschließlich in Bezug auf das jeweilige Gerät an uns übermittelt und dort als dessen Position gespeichert. Eine fortlaufende Standortermittlung, eine Aufzeichnung von Bewegungsprofilen oder eine Standortübermittlung im Hintergrund finden nicht statt.

Der Zugriff auf Ihr Endgerät setzt Ihre Einwilligung voraus (§ 25 Abs. 1 TDDDG), die Sie über die Berechtigungsabfrage Ihres Betriebssystems erteilen. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft in den Systemeinstellungen Ihres Geräts widerrufen; die Verortung muss dann manuell erfolgen. Die anschließende Speicherung der Gerätposition erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO im Auftrag des jeweiligen Kunden.

D.3 Weitere Verarbeitungen in der App

Die App setzt keine Analyse-, Tracking- oder Werbedienste, keine Absturzberichterstattung an Dritte und keine Push-Benachrichtigungen ein. Anmeldeinformationen werden im gesicherten Speicher des Betriebssystems (iOS Keychain, Android Keystore) abgelegt.

Die Bereitstellung erfolgt über den Apple App Store und Google Play. Beim Herunterladen und Aktualisieren verarbeiten Apple bzw. Google Daten in eigener Verantwortung; hierauf haben wir keinen Einfluss. Es gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

E.1 Empfänger personenbezogener Daten

Innerhalb unseres Unternehmens erhalten nur die Personen Zugang zu Ihren Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen. Darüber hinaus geben wir Daten an folgende Empfänger weiter:

Eine Übermittlung an Behörden erfolgt nur, soweit wir hierzu gesetzlich verpflichtet sind. Wir prüfen jedes Ersuchen auf seine Rechtsgrundlage. Betrifft ein Ersuchen Daten im Mandanten eines Kunden, verweisen wir die anfragende Stelle an diesen Kunden und informieren ihn, soweit uns dies rechtlich gestattet ist.

Im Fall einer Umstrukturierung, eines Unternehmenskaufs oder der Aufnahme von Investoren können personenbezogene Daten im erforderlichen Umfang an Erwerber oder deren Berater übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der wirtschaftlichen Fortentwicklung des Unternehmens.

Ein Verkauf von Daten findet nicht statt. Bonitätsprüfungen führen wir nicht durch.

E.2 Übermittlungen in Drittländer

Die Speicherung und Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union, insbesondere in der AWS-Region Frankfurt. Dies gilt auch für Daten von Kunden aus der Schweiz, Österreich und Italien.

Eine Übermittlung in Drittländer kann in folgenden Fällen stattfinden:

• Attio (USA): abgesichert durch EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO auf Grundlage des bestehenden Auftragsverarbeitungsvertrags, ergänzt um eine Bewertung der Übermittlungsrisiken.
• Amazon CloudFront: Auslieferung über weltweit verteilte Standorte; abgesichert durch die EU-Standardvertragsklauseln des AWS-Auftragsverarbeitungsvertrags. AWS ist nach dem EU-US Data Privacy Framework zertifiziert.
• Microsoft: Restverarbeitungen im Rahmen von Support und Betrieb; abgesichert durch EU-Standardvertragsklauseln. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert.
• Apple und Google: im Rahmen der App-Bereitstellung in eigener Verantwortung der Anbieter.

Eine Kopie der Standardvertragsklauseln können Sie bei uns anfordern.

F.1 Grundsatz

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Danach werden die Daten gelöscht oder anonymisiert.

F.2 Protokolldaten

Server-, Zugriffs- und Anmeldeprotokolle werden derzeit bis auf Weiteres aufbewahrt und ausschließlich zu den in B.3 und C.7 genannten Zwecken verwendet. Wir befinden uns in der Umsetzung eines Löschkonzepts, das für diese Protokolle feste und deutlich kürzere Fristen vorsieht. Diese Erklärung wird aktualisiert, sobald die Fristen wirksam sind.

F.3 Sicherungskopien

Wir erstellen täglich Sicherungskopien, die verschlüsselt gespeichert werden. Sie werden fünf Tage im unmittelbaren Zugriff und darüber hinaus 30 Tage in einem kostengünstigeren Archivspeicher vorgehalten. Wird ein Datensatz gelöscht, erfolgt die Löschung unmittelbar im Produktivsystem; in Sicherungskopien entfällt er mit deren regulärem Ablauf. Eine Wiederherstellung gelöschter Daten aus Sicherungskopien nehmen wir nicht vor.

F.4 Löschung eines Benutzerkontos

Auf Anforderung löschen wir Ihr Benutzerkonto einschließlich Ihrer Konto- und Profildaten. Einträge im fachlichen Änderungsprotokoll bleiben davon unberührt und werden weiterhin aufbewahrt, damit die Nachvollziehbarkeit von Änderungen an den Anlagen unserer Kunden erhalten bleibt. Rechtsgrundlage hierfür ist Art. 17 Abs. 3 lit. e DSGVO sowie die Weisung des jeweiligen Kunden.

G.1 Ihre Rechte im Überblick

• Auskunft (Art. 15 DSGVO): ob und welche Daten wir zu Ihnen verarbeiten.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger und Vervollständigung unvollständiger Daten.
• Löschung (Art. 17 DSGVO): soweit keine Aufbewahrungspflichten oder sonstigen Gründe entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen Format.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): jederzeit mit Wirkung für die Zukunft, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung genügt eine Nachricht an info@grovez.io. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist um bis zu zwei Monate verlängern, worüber wir Sie informieren. Zum Schutz Ihrer Daten können wir vor einer Auskunft zusätzliche Angaben zur Bestätigung Ihrer Identität verlangen.

G.3 Anfragen zu Daten in der Plattform

Betrifft Ihre Anfrage Daten, die ein Kunde in seinem Mandanten verwaltet, ist dieser Kunde der Verantwortliche. Wir dürfen über solche Daten weder eigenständig Auskunft erteilen noch sie löschen. Richten Sie Ihre Anfrage in diesem Fall bitte unmittelbar an die betreffende Organisation. Erreicht uns eine solche Anfrage dennoch, leiten wir sie unverzüglich an den Kunden weiter und unterstützen ihn bei der Beantwortung.

G.4 Beschwerderecht

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Deutschland

H.1 Technische und organisatorische Maßnahmen

Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Dazu gehören insbesondere:

• Verschlüsselte Übertragung sämtlicher Verbindungen über TLS sowie Verschlüsselung gespeicherter Daten und Sicherungskopien;
• verpflichtende Zwei-Faktor-Authentifizierung für alle Benutzerkonten der Plattform sowie für den administrativen Zugang zu unserer Infrastruktur;
• rollenbasierte Rechtevergabe nach dem Grundsatz der geringstmöglichen Berechtigung; produktive Administrationsrechte sind auf die Personen beschränkt, die sie benötigen;
• logische Trennung der Mandanten, sodass Kunden ausschließlich Daten der eigenen Organisation einsehen können;
• Betrieb der Datenbanken in nicht öffentlich erreichbaren Netzsegmenten;
• Protokollierung administrativer und fachlicher Änderungen;
• tägliche verschlüsselte Sicherungen mit jährlich geübter Wiederherstellung; angestrebte Wiederherstellungszeit und maximaler Datenverlust jeweils 24 Stunden;
• fortlaufende Aktualisierung eingesetzter Komponenten und Abhängigkeiten;
• Ende-zu-Ende-Verschlüsselung der Funkübertragung nach dem LoRaWAN-Standard;
• Verpflichtung der Mitarbeitenden auf Vertraulichkeit.

Eine ausführliche Darstellung stellen wir Kunden und Interessenten auf Anfrage zur Verfügung.

H.2 Meldung von Verletzungen des Schutzes personenbezogener Daten

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, melden wir dies der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO und benachrichtigen betroffene Personen nach Art. 34 DSGVO, soweit die gesetzlichen Voraussetzungen vorliegen. Betrifft der Vorfall Daten, die wir im Auftrag verarbeiten, informieren wir den betroffenen Kunden unverzüglich nach Art. 33 Abs. 2 DSGVO.

I.1 Ergänzende Hinweise für die Schweiz

Soweit sich unser Angebot an Personen in der Schweiz richtet, gilt ergänzend das schweizerische Bundesgesetz über den Datenschutz (revDSG). Die Begriffe dieser Erklärung sind sinngemäß zu verstehen: „personenbezogene Daten" entspricht „Personendaten", „Verarbeitung" entspricht „Bearbeitung", „Verantwortlicher" entspricht „Verantwortlicher" und „Auftragsverarbeiter" entspricht „Auftragsbearbeiter".

Die Bearbeitung von Personendaten stützt sich nach schweizerischem Recht auf die Rechtfertigungsgründe nach Art. 31 revDSG, insbesondere auf die Vertragserfüllung, ein überwiegendes privates Interesse oder Ihre Einwilligung.

I.2 Bekanntgabe ins Ausland

Personendaten aus der Schweiz werden in der Europäischen Union bearbeitet, insbesondere in Deutschland und der AWS-Region Frankfurt. Der Bundesrat hat für die Staaten des Europäischen Wirtschaftsraums einen angemessenen Datenschutz anerkannt; die Bekanntgabe ist daher nach Art. 16 Abs. 1 revDSG zulässig. Für Bekanntgaben in weitere Staaten gelten die unter E.2 genannten Garantien entsprechend (Art. 16 Abs. 2 revDSG).

I.3 Zuständige Behörden

Für Beschwerden ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, zuständig.

Für schweizerische Gemeinden, Städte und andere öffentliche Organe gilt anstelle des revDSG das Datenschutzrecht des jeweiligen Kantons. Zuständig ist in diesen Fällen die kantonale Datenschutzaufsichtsbehörde. Verarbeiten wir Daten im Auftrag eines solchen öffentlichen Organs, richten sich unsere Pflichten nach dem jeweils anwendbaren kantonalen Recht.

I.4 Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die rechtlichen Rahmenbedingungen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Stand: August 2026 · grovez GmbH