Datenschutzerklärung

Das Nextforest Tool ist eine interne Anwendung der Nextforest GbR für die Projekt-, Zeit- und Budgetverwaltung. Es gibt keine öffentliche Registrierung: Zugänge für Mitarbeitende und für Kunden (Kundenportal) werden ausschließlich persönlich eingerichtet. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage.

Verantwortlich für die Datenverarbeitung ist:
Nextforest GbR
Jaspisstraße 23, 72250 Freudenstadt
Telefon: 07441 7089280
E-Mail: info@nextforest.de

Je nach Rolle werden folgende Daten verarbeitet:

Mitarbeitende: Stammdaten (Name, E-Mail-Adresse, Rolle); Personalplanungsdaten (Wochenarbeitszeit je Wochentag, Jahresurlaubsanspruch, Bundesland zur Feiertagsberechnung); Zeiterfassung (Datum, Dauer, Beschreibung, zugeordnetes Projekt bzw. zugeordneter Kunde); Arbeitszeiterfassung (Beginn, Ende und Pausen je Arbeitstag bzw. je Arbeitsabschnitt); Urlaubsanträge (Zeitraum, Status, entscheidende Person); freiwillige Zufriedenheits-Check-ins (Stimmungs- und Belastungsangaben, in Auswertungen standardmäßig zusammengefasst statt personenbezogen dargestellt); Fahrtenbuch-Einträge (Datum, Strecke, Zweck, Kilometer).

Kunden: Kontaktdaten der Ansprechpersonen sowie, soweit ein Kundenportal-Zugang besteht, die eigenen Projekte, Angebote, der Projektfortschritt und darüber ausgetauschte Nachrichten/Feedback. Kunden sehen in keinem Fall Daten anderer Kunden, interne Kalkulationen oder Daten einzelner Mitarbeitender.

Alle Nutzer: technische Protokolldaten zu sicherheitsrelevanten Vorgängen (z. B. Änderungen durch Administratoren) in einem Zugriffsprotokoll, sowie die zur Anmeldung notwendigen Sitzungsdaten.

Die Verarbeitung von Mitarbeiterdaten erfolgt zur Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG), insbesondere für Projekt- und Zeiterfassung sowie Urlaubsverwaltung. Die Aufzeichnung von Arbeitsbeginn, -ende und Pausen erfolgt zur Erfüllung der gesetzlichen Aufzeichnungspflicht aus § 16 ArbZG (Art. 6 Abs. 1 lit. c DSGVO).

Zufriedenheits-Check-ins sind freiwillig; ihre Verarbeitung beruht auf unserem berechtigten Interesse an der Früherkennung von Überlastung sowie, soweit im Einzelfall Angaben nicht standardmäßig zusammengefasst dargestellt werden, auf einer Einwilligung der eingebenden Person (Art. 6 Abs. 1 lit. f bzw. lit. a DSGVO).

Die Verarbeitung von Kundendaten erfolgt zur Durchführung des jeweiligen Auftragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) bzw. zur Wahrung unseres berechtigten Interesses an der Projektkommunikation (Art. 6 Abs. 1 lit. f DSGVO). Das Zugriffsprotokoll dient unserem berechtigten Interesse an der Nachvollziehbarkeit von Datenänderungen und der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Supabase (Authentifizierung, Datenbank, Dateispeicher): Die Daten werden in der Region eu-central-1 (Frankfurt am Main) gespeichert und verarbeitet und verbleiben damit innerhalb der EU. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Vercel (Hosting der Anwendung): Die Serverfunktionen laufen in der Region fra1 (Frankfurt am Main). Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ist jedoch ein US-amerikanisches Unternehmen. Für die damit verbundene Datenübermittlung stützen wir uns auf die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework, soweit Vercel diesem beigetreten ist. Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies, die zur Aufrechterhaltung der Anmeldesitzung (Supabase Auth) erforderlich sind. Es werden keine Marketing- oder Tracking-Cookies gesetzt; eine Einwilligung ist dafür nicht erforderlich, da diese Cookies für den Betrieb der Anwendung zwingend notwendig sind.

Es gibt keine öffentliche Selbstregistrierung; Konten werden ausschließlich durch eine Administratorin oder einen Administrator per Einladung eingerichtet. Administrator-Konten sind durch eine Zwei-Faktor-Authentifizierung (TOTP) zusätzlich geschützt. Der Zugriff auf Daten ist je Rolle über Datenbankrichtlinien (Row Level Security) technisch eingeschränkt, sodass z. B. Mitarbeitende keine Finanzdaten und Kunden ausschließlich die eigenen Projekte sehen können. Die Übertragung erfolgt durchgängig verschlüsselt (TLS).

Arbeitszeit- und Zeiterfassungsdaten werden mindestens für die gesetzliche Aufbewahrungsfrist von zwei Jahren gemäß § 16 ArbZG gespeichert. Lohnrelevante Auswertungen werden entsprechend der mit dem Steuerberater abgestimmten Aufbewahrungsfristen vorgehalten. Account- und Personalplanungsdaten werden für die Dauer des Beschäftigungsverhältnisses und darüber hinaus nur verarbeitet, soweit gesetzliche Aufbewahrungspflichten dies erfordern. Kundendaten werden für die Dauer der Geschäftsbeziehung und anschließend entsprechend handels- und steuerrechtlicher Fristen gespeichert.

Zur Lohnabrechnung werden zusammengefasste Arbeitszeit- und Urlaubsdaten an unseren Steuerberater übermittelt. Eine darüber hinausgehende Weitergabe an Dritte erfolgt nicht, außer wenn wir gesetzlich dazu verpflichtet sind oder Sie zuvor eingewilligt haben.

Diese Anwendung nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt.

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ein Recht auf Berichtigung, Einschränkung oder Löschung dieser Daten sowie auf Datenübertragbarkeit (Art. 15–20 DSGVO). Außerdem steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu (in Baden-Württemberg: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg).

Sofern die Datenverarbeitung auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO erfolgt, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen.

Diese Datenschutzerklärung ist aktuell gültig (Stand: Oktober 2026). Durch die Weiterentwicklung der Anwendung oder aufgrund geänderter gesetzlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern.