Fassung vom 2026-11-11

Entwurf zur juristischen Prüfung, Fassung 2026-11-11, nicht freigegeben

Datenschutzhinweis für opifina

Dieser Hinweis erklärt, welche personenbezogenen Daten wir verarbeiten, wenn Sie sich bei opifina registrieren und opifina nutzen. Er erfüllt unsere Informationspflichten nach Art. 13 der Datenschutz-Grundverordnung (DSGVO). Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

opifina ist eine Software für Handwerksbetriebe. Sie läuft als Web-App und als App auf Smartphone und Tablet. Sie hilft unter anderem beim Erstellen von Angeboten mit Unterstützung durch künstliche Intelligenz (KI).

1. Datenschutz auf einen Blick

Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung bei opifina ist der Anbieter. Die Kontaktdaten finden Sie in Abschnitt 2.

Welche Daten verarbeiten wir?

Wir verarbeiten Daten, die Sie uns selbst mitteilen, zum Beispiel bei der Registrierung oder wenn Sie Angaben zu Ihrem Betrieb machen. Andere Daten entstehen technisch bei der Nutzung, zum Beispiel Sitzungsdaten und Protokolle sicherheitsrelevanter Aktionen.

Wofür nutzen wir Ihre Daten?

Wir nutzen Ihre Daten, um Ihnen ein Konto bereitzustellen, Sie sicher anzumelden, opifina für Ihren Betrieb zu betreiben und Missbrauch zu verhindern.

Was wir nicht tun

Wir setzen keine Tracking- oder Werbe-Cookies ein. Wir binden keine Analyse-Werkzeuge von Drittanbietern und keine Social-Media-Plugins ein. Wir verkaufen Ihre Daten nicht.

Welche Rechte haben Sie?

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung können Sie jederzeit widerrufen. Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren. Einzelheiten stehen in Abschnitt 13.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

[Name des Anbieters] [Rechtsform] [Anschrift] Vertreten durch: [Vertretungsberechtigte Person] Registereintrag: [Registergericht und Registernummer] E-Mail: [Kontakt-E-Mail] Telefon: [Telefonnummer]

Verantwortlich ist die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

3. Datenschutzbeauftragter

[Name und Kontaktdaten des Datenschutzbeauftragten oder Hinweis, dass keiner benannt ist]

4. Zwei Rollen: Ihre Daten und die Daten Ihrer Kunden

Bei opifina gibt es zwei Arten von Daten, für die unterschiedliche Regeln gelten.

Ihre Daten als Nutzer und Ihre Betriebsdaten: Dafür sind wir verantwortlich. Dieser Hinweis beschreibt, wie wir damit umgehen.
Daten Ihrer Kunden (Endkunden): Wenn Sie in opifina Daten Ihrer Kunden erfassen, etwa Name, Kontaktdaten und Anschrift, verarbeiten wir diese nur in Ihrem Auftrag und nach Ihren Weisungen. Verantwortlich ist dann Ihr Betrieb. Grundlage ist die Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO, die Teil der Nutzungsbedingungen ist. Ihre Kunden informieren Sie selbst über diese Verarbeitung.

5. Registrierung und Konto

Welche Daten?

Für die Registrierung erheben wir:

E-Mail-Adresse
Vorname und Nachname

Zur Bestätigung Ihrer E-Mail-Adresse senden wir Ihnen einen sechsstelligen Code per E-Mail. Erst nach Eingabe dieses Codes ist das Konto aktiv.

Adressen von Wegwerf-E-Mail-Diensten nehmen wir nicht an.

Zweck und Rechtsgrundlage

Wir brauchen diese Daten, um Ihr Konto anzulegen, Sie zu erkennen und mit Ihnen über Ihr Konto zu kommunizieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen). Die Sperre von Wegwerf-Adressen dient dem Schutz vor Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

6. Anmeldung und Kontosicherheit

Anmeldeverfahren

Sie melden sich auf eine von zwei Arten an:

mit einem Passkey, der auf Ihrem Gerät gespeichert ist, oder
mit Passwort und zusätzlich einem Code aus einer Authenticator-App.

Beim Passkey speichern wir nur den öffentlichen Teil des Schlüssels. Der geheime Teil verlässt Ihr Gerät nicht. Passwörter speichern wir nicht im Klartext.

Notfallblatt mit Ersatzcodes

Damit Sie auch ohne Ihr Gerät wieder an Ihr Konto kommen, erhalten Sie ein Notfallblatt mit Ersatzcodes. Wir speichern diese Codes nur als Hash. Aus dem Hash lässt sich der Code nicht zurückrechnen.

Prüfung auf bekannte Datenlecks

Wenn Sie ein Passwort festlegen, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu nutzen wir den Dienst „Have I Been Pwned“ mit einem k-Anonymitäts-Verfahren. Übermittelt werden nur die ersten fünf Zeichen des SHA-1-Hashs Ihres Passworts. Ihr Passwort selbst und Ihre E-Mail-Adresse werden nicht übermittelt. Der Dienst kann aus dieser Anfrage weder Ihr Passwort noch Ihre Person erkennen.

Schutz gegen Bots

Formulare wie die Registrierung schützen wir mit ALTCHA. ALTCHA läuft auf unseren eigenen Servern. Es werden keine Daten an Drittanbieter übermittelt und keine Cookies gesetzt. Ihr Browser löst dabei eine kleine Rechenaufgabe, die automatisierte Massenanfragen erschwert.

Zweck und Rechtsgrundlage

Diese Maßnahmen schützen Ihr Konto und die Daten Ihres Betriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die sichere Anmeldung Teil unserer Leistung ist, und im Übrigen unser berechtigtes Interesse an einem sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Zugleich erfüllen wir damit unsere Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.

7. Angaben zu Ihrem Betrieb

Welche Daten?

Für die Nutzung von opifina erfassen Sie Angaben zu Ihrem Betrieb:

Name des Betriebs und Rechtsform
Land und Anschrift
Gewerke
Eintragung in die Handwerksrolle oder Gewerbeanmeldung

Soweit diese Angaben sich auf eine Person beziehen, etwa bei Einzelunternehmen, sind es personenbezogene Daten.

Zweck und Rechtsgrundlage

Wir brauchen diese Angaben, um opifina passend für Ihren Betrieb einzurichten, zum Beispiel für Angebote mit den richtigen Firmendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Nutzung von opifina

Sitzungen

Damit Sie angemeldet bleiben, legen wir eine Sitzung an. Dazu speichern wir Sitzungsdaten auf unserem Server und ein technisch notwendiges Sitzungs-Cookie in Ihrem Browser. [Liste der gespeicherten Sitzungsdaten vor Freigabe mit dem Code abgleichen]

Protokolle sicherheitsrelevanter Aktionen

Wir protokollieren sicherheitsrelevante Aktionen, zum Beispiel Anmeldungen, Änderungen an Anmeldeverfahren und wichtige Änderungen an Daten. So können wir Missbrauch erkennen und nachvollziehen, wer wann was geändert hat. [Liste der protokollierten Aktionen und Datenfelder vor Freigabe mit dem Code abgleichen]

Rechtsgrundlage für Sitzungen ist Art. 6 Abs. 1 lit. b DSGVO. Rechtsgrundlage für die Protokolle ist unser berechtigtes Interesse an der Sicherheit von opifina und am Nachweis von Änderungen nach Art. 6 Abs. 1 lit. f DSGVO.

Server-Protokolle

Beim Aufruf von opifina verarbeitet unser Server technisch bedingt Verbindungsdaten, etwa IP-Adresse, Zeitpunkt der Anfrage und Browsertyp. Wir brauchen diese Daten, um opifina fehlerfrei und sicher bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir führen diese Daten nicht mit anderen Datenquellen zusammen. [Umfang und Speicherdauer der Server-Protokolle prüfen]

KI-Funktionen

opifina bietet Funktionen mit künstlicher Intelligenz, zum Beispiel für das Erstellen von Angeboten. Diese Funktionen laufen über ein eigenes KI-Gateway. Wir verarbeiten dabei nur die Daten, die für die jeweilige Funktion nötig sind. Die Ergebnisse sind Vorschläge. Sie prüfen und entscheiden selbst, was Sie verwenden. [Angaben zu nachgelagerten KI-Diensten, Speicherort und Drittlandbezug ergänzen, sofern Daten den eigenen Server verlassen]

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Daten Ihrer Kunden gilt die Vereinbarung zur Auftragsverarbeitung.

Verbindung mit KI-Clients (MCP)

Sie können opifina mit einem KI-Client verbinden, den Sie selbst nutzen. Diese Verbindung entsteht nur, wenn Sie ihr ausdrücklich zustimmen. Über die Verbindung kann der KI-Client im Rahmen Ihrer Freigabe auf Daten in opifina zugreifen. Für die Verarbeitung im KI-Client selbst gelten die Bedingungen des jeweiligen Anbieters, den Sie gewählt haben. Sie können die Verbindung jederzeit trennen.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Der Widerruf wirkt für die Zukunft.

Testbetrieb

Der Testbetrieb dauert 30 Tage. Dafür erheben wir keine Zahlungsdaten.

9. Cookies

opifina verwendet nur technisch notwendige Cookies. Das ist vor allem das Sitzungs-Cookie, das Sie nach der Anmeldung angemeldet hält. Ohne dieses Cookie funktioniert die Anmeldung nicht.

Für technisch notwendige Cookies brauchen wir keine Einwilligung. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.

Tracking-, Analyse- oder Werbe-Cookies setzen wir nicht ein. Deshalb zeigen wir auch kein Cookie-Banner.

Sie können Cookies in Ihrem Browser löschen oder sperren. Dann können Sie sich bei opifina aber nicht mehr anmelden.

10. Empfänger und Dienstleister

Wir geben personenbezogene Daten nur weiter, wenn dies für den Vertrag nötig ist, wenn wir gesetzlich dazu verpflichtet sind, wenn wir ein berechtigtes Interesse haben oder wenn eine andere Rechtsgrundlage es erlaubt. Dienstleister, die Daten in unserem Auftrag verarbeiten, verpflichten wir mit einem Vertrag zur Auftragsverarbeitung.

Wir setzen folgende Dienstleister ein:

Hosting und Datenbank: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Server und Datenbank stehen in Deutschland.
E-Mail-Versand: Lettermint, für Bestätigungscodes und Nachrichten zu Ihrem Konto. [Sitz und Vertragspartner prüfen]
Sicherungskopie: Google Drive, für Sicherungskopien. [Vertragspartner, Sitz und Verschlüsselung der Sicherungskopien prüfen]
App-Verteilung: Apple und Google, wenn Sie die App über deren App-Stores laden. Dabei gelten zusätzlich die Datenschutzbestimmungen des jeweiligen Stores.
Zahlungen (später): Stripe, sobald kostenpflichtige Tarife angeboten werden. Im Testbetrieb erheben wir keine Zahlungsdaten.

Eine Liste der Unterauftragsverarbeiter steht auch in der Vereinbarung zur Auftragsverarbeitung in den Nutzungsbedingungen.

11. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz außerhalb der EU oder gehören zu Unternehmen mit Sitz außerhalb der EU, etwa in den USA. Eine Übermittlung dorthin erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. [Für jeden Dienstleister die Grundlage prüfen und nennen, zum Beispiel Angemessenheitsbeschluss oder Standardvertragsklauseln]

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck nötig ist. Wenn Sie die Löschung verlangen oder eine Einwilligung widerrufen, löschen wir Ihre Daten, sofern keine gesetzliche Pflicht oder kein anderer zulässiger Grund für die weitere Speicherung besteht, zum Beispiel steuer- oder handelsrechtliche Aufbewahrungsfristen. In diesem Fall löschen wir die Daten, sobald der Grund entfällt.

Im Einzelnen:

Kontodaten: bis zur Löschung des Kontos. [Frist nach Kontolöschung bzw. nach Ende des Testbetriebs ergänzen]
Nicht bestätigte Registrierungen: [Frist ergänzen]
Sitzungen: bis zur Abmeldung oder bis zum Ablauf der Sitzung. [Höchstdauer ergänzen]
Protokolle sicherheitsrelevanter Aktionen: [Frist ergänzen]
Server-Protokolle: [Frist ergänzen]
Sicherungskopien: [Frist ergänzen]

13. Ihre Rechte

Auskunft, Berichtigung und Löschung

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten Daten, deren Herkunft und Empfänger und den Zweck der Verarbeitung (Art. 15 DSGVO). Sie können die Berichtigung falscher Daten (Art. 16 DSGVO) und die Löschung Ihrer Daten verlangen (Art. 17 DSGVO).

Einschränkung der Verarbeitung

Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken (Art. 18 DSGVO). Das gilt insbesondere, wenn:

Sie die Richtigkeit Ihrer Daten bestreiten, für die Dauer unserer Prüfung,
die Verarbeitung unrechtmäßig ist und Sie statt der Löschung eine Einschränkung wünschen,
wir die Daten nicht mehr brauchen, Sie sie aber für Rechtsansprüche benötigen,
Sie Widerspruch eingelegt haben und noch nicht feststeht, wessen Interessen überwiegen.

Eingeschränkte Daten dürfen wir, abgesehen von der Speicherung, nur mit Ihrer Einwilligung, für Rechtsansprüche, zum Schutz der Rechte anderer oder aus wichtigen öffentlichen Interessen verarbeiten.

Datenübertragbarkeit

Sie können verlangen, dass wir Ihnen Daten, die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format aushändigen (Art. 20 DSGVO). Auf Wunsch übertragen wir sie direkt an einen anderen Verantwortlichen, soweit das technisch machbar ist.

Widerruf einer Einwilligung

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Widerspruchsrecht nach Art. 21 DSGVO

Wenn wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit widersprechen. Wir nutzen Ihre Daten dann nicht mehr für diesen Zweck.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Andere Rechtsbehelfe bleiben davon unberührt.

Für uns zuständig ist: [Zuständige Aufsichtsbehörde mit Anschrift]

So erreichen Sie uns

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte schreiben Sie an [Kontakt-E-Mail] oder an die Anschrift in Abschnitt 2.

14. Pflicht zur Bereitstellung

Die Angaben bei der Registrierung und zur Anmeldung sind für den Vertrag erforderlich. Ohne sie können wir Ihnen kein Konto bereitstellen. Die Verbindung mit KI-Clients ist freiwillig.

15. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die KI-Funktionen machen Vorschläge. Die Entscheidung treffen Sie.

16. Verschlüsselte Übertragung

Die Verbindung zu opifina ist mit TLS verschlüsselt. Daten, die Sie an uns übermitteln, können Dritte auf dem Übertragungsweg nicht mitlesen.

17. Änderungen dieses Hinweises

Wir passen diesen Hinweis an, wenn sich opifina oder die Rechtslage ändert. Es gilt die jeweils aktuelle Fassung, die wir in opifina veröffentlichen.

Stand: [Datum der Freigabe]