QuickQuoteFür Büro & Baustelle

Datenschutz­erklärung

für die Software QuickQuote · Stand: 20. September 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen der Nutzung der Software QuickQuote ist:

Lukas Keßler / QuickQuote
Bürgermeister-Fuchs-Straße 70
68169 Mannheim
E-Mail: privacy@quickquote.tech

Hinweis: Sobald eine Gesellschaft (z. B. UG oder GmbH) gegründet wird, tritt diese als Verantwortliche an die Stelle der oben genannten natürlichen Person.

2. Allgemeine Informationen

Diese Datenschutzerklärung informiert über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten bei der Nutzung der Software QuickQuote, der Webanwendung unter app.quickquote.tech, der Website quickquote.tech sowie der mobilen Apps für iOS und Android.

Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

3. Erhobene Daten

Bei der Nutzung von QuickQuote können folgende Daten verarbeitet werden:

Auftrags- und Besichtigungsdaten, die der Betrieb zu seinen Kunden erfasst, verarbeitet der Anbieter als Auftragsverarbeiter des Betriebs gemäß Art. 28 DSGVO. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV). Der Auftragsverarbeitungsvertrag wird mit der Registrierung geschlossen und gilt auch für den kostenlosen Einsatzplanungs-Zugang.

Annahme-Link und Wandanzeige (QuickQuote Pro): Eine Angebots-E-Mail des Betriebs kann einen signierten Annahme-Link enthalten, der 60 Tage gültig ist. Das Öffnen des Links ändert nichts. Erst wenn der Kunde des Betriebs die Annahme auf der Bestätigungsseite ausdrücklich absendet, speichern wir die Zusage mit Zeitpunkt und Empfängeradresse am Vorgang und benachrichtigen den Betrieb in der App. Inhaber, Chef und Büro können Anzeige-Links für einen Bildschirm im Betrieb erzeugen. Diese sind standardmäßig 180 Tage gültig und können jederzeit widerrufen werden. Wer einen solchen Link aufruft, sieht ohne Anmeldung den Wochenplan mit den Namen aktiver Monteure und Techniker und weiterer eingeplanter Personen, Kundennamen und Projektbezeichnungen der Einsätze, Titeln von Planer-Terminen, Einsatzzeiträumen sowie genehmigten oder gemeldeten Abwesenheiten mit ihrer Art, außerdem Firmenname und Logo, ohne Notizen, Adressen oder Preise. Der Betrieb entscheidet, wo der Link geöffnet wird. Beides verarbeitet der Anbieter als Auftragsverarbeiter des Betriebs.

Kalender-Abo (Gratis-Planer und Pro)

Jedes Mitglied kann unter Konto einen persönlichen Abo-Link erzeugen und in einen externen Kalender, etwa Google Kalender, Outlook oder Apple Kalender, eintragen. Der Kalenderdienst ruft die darüber bereitgestellten Einsätze und Abwesenheiten lesend ab; QuickQuote bleibt die Quelle. Der Feed enthält auch Anliegen und Planer-Notizen im eingegebenen Wortlaut sowie die Art einer Abwesenheit, etwa „Krank“. Der Link wirkt wie ein Passwort: Wer ihn besitzt, kann die darüber bereitgestellten Daten ohne Anmeldung bei QuickQuote abrufen. Er kann neu erzeugt oder widerrufen werden. Ein Widerruf beendet künftige Abrufe über diesen Link; bereits in einen externen Kalender übernommene Daten werden dadurch nicht gelöscht. Der Betrieb bestimmt im Rahmen seiner Weisungen die Verwendung des Links und ist für die Rechtmäßigkeit der Weitergabe an den gewählten Kalenderdienst verantwortlich. Das Erzeugen oder Eintragen des Links ersetzt weder eine erforderliche Rechtsgrundlage noch eine erforderliche Information der betroffenen Personen. Insbesondere bleibt der nachfolgende Hinweis zu Gesundheitsdaten anwendbar.

Zähler und Statusmeldungen: Zähler für KI-Aufrufe, Token und Aufrufe je Konto dienen der Begrenzung von Kosten und Missbrauch. Konnten Stundenbuchungen auf einem Gerät nicht an den Server übertragen werden, meldet die App das an den Server: bei jeder Änderung der Anzahl, bei unverändertem Stand etwa einmal am Tag und einmal, sobald die Störung behoben ist. So können wir solche Störungen erkennen und beheben. Diese Meldung enthält keine Inhalte der Buchungen. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, kostenbegrenzten und störungsfreien Betrieb).

Bereits die Angabe einer Erkrankung kann ein Gesundheitsdatum im Sinne von Art. 9 DSGVO sein. Für eine zulässige Rechtsgrundlage, die erforderliche Information der Beschäftigten und angemessene Aufbewahrungsfristen ist der jeweilige Betrieb verantwortlich; insbesondere sind Art. 9 DSGVO und, soweit anwendbar, § 26 BDSG zu beachten. Diagnosen und nicht erforderliche Gesundheitsangaben sollen nicht eingetragen werden. QuickQuote verarbeitet betriebliche Abwesenheitsdaten als Auftragsverarbeiter nach Weisung des Betriebs. Der AVV ersetzt keine Rechtsgrundlage für deren Erhebung.

Die Daten werden für die nachfolgend beschriebenen Funktionen, die Vertragsabwicklung, den sicheren Betrieb und die Erfüllung gesetzlicher Pflichten verarbeitet.

4. Zweck und Rechtsgrundlagen der Datenverarbeitung

Die Verarbeitung der Daten erfolgt zu folgenden Zwecken:

Rechtsgrundlagen:

5. Hosting und Infrastruktur (Google Firebase, Netlify)

Die Bereitstellung der Software QuickQuote (Webanwendung unter app.quickquote.tech) erfolgt über Google Firebase (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Firebase wird für folgende Dienste eingesetzt:

Die serverseitigen Cloud Functions sind in der Region europe-west1 konfiguriert; Cloud Firestore wird in der europäischen Multi-Region eur3 betrieben. Einzelne global bereitgestellte Firebase-Dienste, insbesondere Authentication, Cloud Messaging, Analytics und Crashlytics, können Daten auch außerhalb dieser Regionen verarbeiten.

Dabei können personenbezogene Daten (z. B. E-Mail-Adresse, Name, Projektdaten, technische Nutzungsdaten) auf Servern von Google verarbeitet werden. Mit Google wurde ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Optionale Telemetrie: Nutzungsanalysen und Fehlerdiagnosen sind standardmäßig deaktiviert. Erst nach einer ausdrücklichen, gerätebezogenen Einwilligung werden insbesondere Bildschirmaufrufe, ausgewählte Nutzungsereignisse, App- und Geräteversionen sowie technische Absturz- und Fehlerdaten an Firebase Analytics bzw. Crashlytics übermittelt. In der Webanwendung können nach Einwilligung minimierte Fehlerdatensätze mit Zeitpunkt, Fehlertyp, Route, Build, Plattform und Nutzer-ID in Cloud Firestore gespeichert werden. Die Einwilligung kann jederzeit in den Profileinstellungen mit Wirkung für die Zukunft widerrufen werden; danach wird die Erfassung auf dem jeweiligen Gerät beendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

Kontoverwaltungsseite: Firebase Authentication und Firebase Cloud Functions werden außerdem auf der Kontoverwaltungsseite unter quickquote.tech/account eingesetzt. Beim Aufruf dieser Seite werden die erforderlichen Firebase-JavaScriptdateien von www.gstatic.com geladen. Dabei kann Google technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt sowie Browser- und Geräteinformationen, verarbeiten. Bei der Anmeldung werden E-Mail-Adresse und Passwort zur Prüfung an Firebase Authentication übermittelt. Das eingegebene Passwort wird von der Kontoseite nicht im Browserspeicher abgelegt. Nach erfolgreicher Anmeldung werden die für die Authentifizierung erforderlichen Sitzungsdaten an eine Cloud Function in europe-west1 übermittelt, um eine Stripe-Kundenportal-Sitzung zu erstellen; anschließend wird der Browser zu Stripe weitergeleitet. Diese Vorgänge werden nicht für Werbung oder Reichweitenmessung genutzt.

Die Marketing-Website quickquote.tech (nicht die Webanwendung) wird über Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA gehostet. Davon unberührt bleibt der zuvor beschriebene Einsatz von Firebase auf der Kontoverwaltungsseite. Beim Aufruf der Website verarbeitet Netlify technisch notwendige Server-Logdaten (insbesondere die IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Seite, User-Agent), um die Website auszuliefern und ihre Sicherheit zu gewährleisten. Mit Netlify wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen; die Datenübermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO.

Beim Start eines kostenpflichtigen Abonnements über das Checkout-Formular auf der Preisseite geben Interessenten die Inhaber-E-Mail-Adresse und den Firmennamen als Pflichtangaben an. Außerdem werden die Bestätigung der Unternehmereigenschaft, die Annahme von AGB und AVV, die Kenntnisnahme der Datenschutzerklärung, die jeweiligen Dokumentversionen, die Sprache und die gewählte Anzahl zusätzlicher Lizenzen verarbeitet. Diese Angaben werden verwendet, um die Bestellung vorzubereiten, eine sichere Checkout-Sitzung bei Stripe zu erstellen und die rechtlichen Bestätigungen nachweisbar zu dokumentieren (siehe Abschnitt 7 „Zahlungsabwicklung (Stripe)“). Wird die Preisseite mit einem Herkunftsparameter ref aufgerufen, wird dieser Wert zusammen mit den Checkout-Angaben an den Server übermittelt, in den Stripe-Metadaten der Checkout-Sitzung dokumentiert und für einen tagesbezogenen Herkunftszähler verwendet. Damit messen wir ausschließlich, über welchen eigenen Verweis ein Checkout gestartet wurde; wir setzen dafür keine Cookies oder browserübergreifenden Kennungen ein und erstellen kein seitenübergreifendes Nutzungsprofil. Eine Nutzung dieser Angaben zu Werbezwecken oder eine Weitergabe an Dritte zu Werbezwecken erfolgt nicht.

Rechtsgrundlage für das Website-Hosting: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionsfähigen Website). Rechtsgrundlage für das Checkout-Formular: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen). Die Herkunftsauswertung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Wirksamkeit eigener Verweise).

Firebase App Check: Wir nutzen reCAPTCHA Enterprise in der Webanwendung, Play Integrity auf Android und App Attest oder DeviceCheck auf iOS, um die Echtheit von Anfragen zu prüfen und die Infrastruktur zu schützen. Google kann dafür IP-Adressen, Geräte- und Browserinformationen sowie technische Prüfsignale verarbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse am Schutz der Anwendung vor Missbrauch.

5a. Kostenlose Einsatzplanung

Registrierung und Nachweise: Bei der Registrierung in der Webanwendung verarbeiten wir die bestätigte E-Mail-Adresse, den Namen des Inhabers, den Firmennamen, die gewählte Sprache und das Unternehmensprofil. Wir speichern den kostenlosen Plan, die Inhaber-Mitgliedschaft sowie Zeitpunkt und Dokumentversionen der AGB- und AVV-Annahme und die Bestätigung der Unternehmereigenschaft. Dies dient der Bereitstellung und dem Nachweis des unentgeltlichen Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Der AVV regelt die Verarbeitung von Mitarbeiter- und Kundendaten im Auftrag des Betriebs.

Herkunft: Am Workspace wird gespeichert, ob die Anmeldung über die Webanwendung oder die eigene Planer-Seite gestartet wurde (signupSource). Damit messen wir eigene Verweise ohne Cookies, geräteübergreifende Kennungen oder ein seitenübergreifendes Profil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an der Auswertung eigener Verweise. Ein Upgrade-Link enthält die vorgeschlagene Anzahl von Teamplätzen und eine kurzlebige Berechtigung des verifizierten Inhabers. Diese ist an Inhaber, Workspace, E-Mail-Adresse und ausgewählte Plätze gebunden und zehn Minuten gültig. Sie wird im URL-Fragment übergeben, beim Lesen aus der Adresse entfernt, nur im Arbeitsspeicher der Seite gehalten und mit der Kaufanfrage an den Checkout-Server gesendet. Sie wird nicht im Browserspeicher oder in Protokollen abgelegt. Namen und E-Mail-Adressen werden nicht im Link übertragen.

Sichere Kaufberechtigung: Der Server speichert in einem gesonderten, für App-Nutzer nicht zugänglichen Bereich nur den Hash der kurzlebigen Berechtigung, nicht den Token im Klartext. Hinzu kommen die zugehörige Konto-ID, der Betrieb, die Inhaber-E-Mail-Adresse, die ausgewählten Teamplätze, ein Prüfwert der Kaufangaben und gegebenenfalls Kennung und URL der Stripe-Checkout-Sitzung. Diese Daten verhindern unbefugte Käufe und ermöglichen die sichere Wiederholung derselben Kaufanfrage. Unbenutzte Berechtigungen laufen nach zehn Minuten ab. Daten einer begonnenen Checkout-Sitzung werden bis zum Ablauf der offenen Stripe-Sitzung aufbewahrt, normalerweise 24 Stunden. Ein alle sechs Stunden laufender Bereinigungsjob entfernt abgelaufene Einträge in begrenzten Verarbeitungsläufen; ein Rückstau kann die tatsächliche Löschung verzögern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vorbereitung des gewünschten Kaufs und Art. 6 Abs. 1 lit. f DSGVO für den Schutz vor Missbrauch und Doppelbestellungen.

Einladungen: Der Inhaber kann Namen, E-Mail-Adresse, optional Telefonnummer und Rolle einzuladender Personen eingeben. Die Einladung enthält Firmenname, Namen des Einladenden und die Kontaktadresse des Betriebs. Sie wird über Resend versandt. Bei der Annahme werden Mitgliedschaft, Rolle, Einladungsbezug und Annahmezeitpunkt gespeichert. Der Betrieb ist für die rechtmäßige Eingabe dieser Daten verantwortlich. Eingeladene Beschäftigte schließen keinen eigenen AVV für den Betrieb.

Verarbeitungsumfang: Der kostenlose Plan verarbeitet Baustellen-Stammdaten einschließlich Kundenname, Adresse, Kontaktangaben und Beschreibung, Planer-Termine, Teamzuordnungen, Abwesenheiten, Arbeitszeiten, Freigaben und Korrekturen. Hinzu kommen Arbeitszeitmodelle mit Bezeichnung, Sollzeiten je Wochentag und Gültigkeitsbeginn, ihre Zuordnung und Änderungshistorie sowie individuelle Angaben zu Jahresurlaub, Urlaubsübertrag und Bezugsjahr, Eintrittsdatum und Arbeitstagen pro Woche. Einladungen können diese Beschäftigungsangaben bereits vor der Annahme als vorgesehene Zuordnung enthalten. Kundenunterschriften werden in das Stundenzettel-PDF gezeichnet. Push-Mitteilungen können über geplante Einsätze informieren. Ohne gebuchtes Speicherpaket sind Foto- und Beleg-Uploads nicht Teil des kostenlosen Kerns. Mit dem separat bestellten kostenpflichtigen Speicherpaket können Fotos, Lieferscheine und PDFs für den Betrieb hochgeladen und bereitgestellt werden. AU-Dateianhänge bleiben QuickQuote Pro vorbehalten und sind auch mit Speicherpaket nicht im Gratis-Planer enthalten. Das Speicherpaket schaltet keine KI-Funktionen frei. Die integrierte Einrichtungsfigur zeigt feste Erklärtexte an und ist kein KI-Assistent. Im kostenlosen Plan werden keine Inhalte zur KI-Verarbeitung an OpenAI übermittelt. Selbst eingegebene Texte werden nicht automatisch übersetzt.

Speicherpaket: Nur der Inhaber schaltet das Zusatzpaket im Browser oder auf Android frei. Die kostenfreie Kernnutzung bleibt von dieser gesonderten Bestellung getrennt. Bei der Nutzung werden die hochgeladenen Fotos, Lieferscheine und PDFs als betriebliche Dateien verarbeitet; die bestehenden Rollenrechte gelten weiter. Nach Kündigung des Speicherpakets bleiben vorhandene Dateien lesbar. Die Kündigung des Pakets allein beendet nicht den kostenlosen Nutzungsvertrag und ist keine Weisung zur Löschung der Dateien. Für deren Rückgabe oder Löschung gelten die nachfolgenden Regelungen und der AVV weiter.

Missbrauchsschutz: Registrierungsversuche werden zeitlich nach Konto, Netzsignal und insgesamt begrenzt. Für die individuellen Zähler werden Konto- und Netzsignale mit einem täglich zufällig erzeugten geheimen Schlüssel in HMAC-Prüfwerte umgewandelt. IPv6-Adressen werden zuvor auf ein /64-Netz verkürzt. In diesen Zählern speichern wir keine IP-Adresse, E-Mail-Adresse oder Konto-ID im Klartext. Die Prüfwerte sind pseudonymisiert, nicht anonym: Solange der Tages-Schlüssel gespeichert ist, kann der Anbieter für eine bekannte Konto-ID oder IP-Adresse technisch nachrechnen, ob ein Zähler dazu gehört. Die Zähler werden ausschließlich zur Mengenbegrenzung verwendet und nicht zu anderen Zwecken ausgewertet. Die Einträge laufen 48 Stunden nach dem jeweiligen Zeitfenster aus; ein alle sechs Stunden laufender Bereinigungsjob entfernt abgelaufene Einträge in begrenzten Verarbeitungsläufen. Bei einem Rückstau, etwa durch verteilte Massenanmeldungen, kann sich die tatsächliche Löschung verzögern. Tages-Schlüssel laufen nach 48 Stunden ab und werden ebenfalls bereinigt. Daneben bestehen globale Tages-Summenzähler für erfolgreiche Anmeldungen sowie betriebsbezogene Einladungs- und Checkout-Zähler. Diese Betriebs- und Summenzähler sowie verbleibende Bestellnachweise unterliegen nicht der beschriebenen Bereinigung kurzlebiger Registrierungs-Prüfwerte; für sie gelten die zweckbezogenen Aufbewahrungsregeln in Abschnitt 12. Diese Mengenbegrenzung dient dem Schutz vor Spam, automatisierten Massenanmeldungen und unnötiger Infrastrukturbelastung (Art. 6 Abs. 1 lit. f DSGVO).

Teamgrenzen: Der Server prüft Rollen und die zulässige Anzahl von Mitgliedschaften. Nicht zugeordnete oder überzählige Zugänge können automatisch deaktiviert werden. Der Inhaber kann eine Prüfung durch den Support veranlassen.

Zahlung und Aufbewahrung: Für die kostenlose Registrierung werden keine Zahlungsdaten erhoben und keine Stripe-Checkout-Sitzung erstellt. Abschnitt 7 gilt erst bei einer gesonderten kostenpflichtigen Bestellung, etwa von QuickQuote Pro oder dem Speicherpaket. Für kostenlose Workspaces gibt es keine automatische Löschung allein wegen Inaktivität. Die Beendigung der Nutzung und die Rückgabe oder Löschung betrieblicher Daten werden mit dem Inhaber nach Abschnitt 12 und dem AVV abgewickelt oder erfolgen durch die Selbstlöschung nach Abschnitt 14. Betriebs- und Kontodaten sind von den kurzlebigen Missbrauchszählern zu unterscheiden.

5b. Öffentliche Anfrage-Formulare

Öffentliche Anfrage-Formulare und der frühere kostenlose Anfrage-Zugang sind derzeit nicht verfügbar. Die kostenlose Einsatzplanung aktiviert diese Funktionen nicht.

6. Einsatz von KI-Diensten (OpenAI)

Zur Unterstützung einzelner Funktionen wird die API von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland eingesetzt. Vor dem Einsatz eines anderen KI-Dienstleisters wird diese Datenschutzerklärung entsprechend aktualisiert und der Wechsel im Rahmen der Regelungen zu Unterauftragsverarbeitern mitgeteilt.

Dabei werden je nach Funktion folgende Daten an den KI-Dienst übermittelt:

Automatische Übersetzung bei der Übergabe: Wird ein Projekt in QuickQuote Pro an das Büro übergeben, nach der Besichtigung oder nach Abschluss der Durchführung, prüft der Server von Hand erfasste Material-, Maß- und Notizeinträge ohne gesonderte Auslösung. Dazu werden Bezeichnung, Details, Kategorie, Einheit, Titel und Notiztext dieser Einträge an OpenAI übermittelt. Fremdsprachige Einträge werden in die Firmensprache übersetzt, der Originaltext bleibt im Eintrag erhalten. Bereits übersetzte und KI-erfasste Einträge werden nicht erneut übermittelt. Im kostenlosen Plan findet diese Übersetzung nicht statt.

KI- und Sprachassistent Quey

Quey ist derzeit nicht freigeschaltet. Die Angaben in den folgenden vier Absätzen zu Quey gelten erst, sobald Quey freigeschaltet wird.

Quey ist ein KI-gestützter Text- und Sprachassistent in QuickQuote Pro. QuickQuote bildet serverseitig einen begrenzten Kontext aus den Daten, die der anfragende Nutzer entsprechend seiner Rolle lesen darf. Dazu können Projekt- und Kundennamen, Baustellenadressen, Termine, Teamzuordnungen, Status- und Prüfinformationen sowie bei berechtigten Verwaltungsrollen Beträge und Zahlungsstatus gehören. Der Kontext, die Nutzerfrage und ein begrenzter Verlauf der aktuellen Unterhaltung können an OpenAI übermittelt werden. Fotos und vollständige Dateien gehören nicht zum automatisch gebildeten Quey-Kontext. Angaben, die Nutzer selbst in die Unterhaltung eingeben, können ebenfalls verarbeitet werden.

Bei ausdrücklich gestarteter Quey-Spracheingabe hängt die Verarbeitung vom verwendeten Modus ab. Im Cloud-Modus wird die Audioaufnahme vorübergehend in Firebase Storage gespeichert und zur Transkription an OpenAI übertragen. Nach Abschluss oder Fehlschlagen der Verarbeitung wird die Löschung der temporären Aufnahme angestoßen; technische Fehler können die Bereinigung verzögern. Alternativ kann die Spracherkennung des Betriebssystems oder Browsers genutzt werden. Dabei kann der jeweilige Anbieter Audio auf eigenen Servern verarbeiten. Für die Sprachausgabe kann die ausgewählte Systemstimme den Antworttext an einen netzwerkbasierten Sprachsynthesedienst übertragen. Für Queys Cloud-Sprachausgabe wird der vorzulesende Antworttext an OpenAI zur Erzeugung einer Audiodatei übermittelt. Der erkannte Text wird wie eine Texteingabe verarbeitet.

Für Quey werden Zugriffs- und Änderungsnachweise mit Nutzerbezug, Rolle und Zeitpunkt verarbeitet. Das reguläre Abfrageprotokoll enthält keinen Fragetext. Bei aktivierten Beta-Signalen kann eine gekürzte Nutzerfrage mit höchstens 400 Zeichen verarbeitet werden. Diese Beta-Signale sind nach 30 Tagen zur Löschung vorgesehen; die tägliche Bereinigung kann sich bei Fehlern oder Rückstau verzögern. Minimierte Nachweise bestätigter Änderungen sind davon getrennt und können mit den betrieblichen Vorgängen länger erhalten bleiben. Antworten, vollständiger Systemprompt und vollständiger Workspace-Kontext werden nicht als reguläres Abfrageprotokoll gespeichert. Für Berechtigungen und Aufbewahrung gelten die Rollenregeln und Abschnitt 12.

Quey gibt unverbindliche Arbeitshinweise. Unterstützte interne Änderungen können nach einer sichtbaren Vorschau und ausdrücklichen Bestätigung durch den berechtigten Nutzer ausgeführt werden. Quey versendet keine externen Nachrichten und trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung. Eine Bewertung oder Überwachung der Leistung oder des Verhaltens von Mitarbeitenden ist nicht Zweck der Funktion.

Gemeinsame Angaben zu allen KI-Funktionen

Die Übermittlung an OpenAI erfolgt nur bei aktiver Nutzung der jeweiligen KI-Funktion oder bei der oben beschriebenen automatischen Übersetzung bei der Übergabe und wird auf die dafür erforderlichen Daten beschränkt. Temporäre Audiodateien werden nach der Verarbeitung zur Löschung vorgesehen; das Transkript kann im zugehörigen Vorgang erhalten bleiben. OpenAI verwendet API-Inhalte standardmäßig nicht zum Modelltraining; QuickQuote hat die freiwillige Datenfreigabe hierfür nicht aktiviert. Quey verwendet die Responses API mit store: false, sodass keine Speicherung des Antwortzustands für einen späteren API-Abruf angefordert wird. Bei anderen Aufrufen ohne diese Einstellung kann OpenAI den Anwendungszustand standardmäßig mindestens 30 Tage speichern. Davon getrennte Missbrauchskontrollprotokolle können Inhalte regelmäßig bis zu 30 Tage enthalten; gesetzlich erforderliche Ausnahmen bleiben möglich. Eine vollständige Nullspeicherung bei OpenAI wird nicht zugesagt.

Die Verarbeitung erfolgt automatisiert. Eine inhaltliche Richtigkeit oder Vollständigkeit der generierten Ergebnisse kann nicht garantiert werden. Nutzer sind verpflichtet, KI-generierte Ergebnisse eigenverantwortlich zu prüfen.

Für Kunden mit Sitz im EWR gilt das Data Processing Addendum mit OpenAI Ireland Ltd. Soweit OpenAI Daten an verbundene Unternehmen oder Unterauftragsverarbeiter außerhalb des EWR übermittelt, erfolgt dies nach dem Data Processing Addendum auf Grundlage von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

Soweit QuickQuote Workspace-Inhalte des Kunden verarbeitet, erfolgt die Verarbeitung als Auftragsverarbeiter auf dokumentierte Weisung des Kunden gemäß Art. 28 DSGVO. Die Festlegung der Rechtsgrundlage, insbesondere für Kunden- und Beschäftigtendaten, obliegt dem Kunden als Verantwortlichem. Soweit QuickQuote eigene Konto-, Sicherheits- oder Nachweisdaten als Verantwortlicher verarbeitet, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

7. Zahlungsabwicklung (Stripe)

Zur Abwicklung von Zahlungen wird Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA eingesetzt. Beim Kauf eines Pro-Abonnements oder eines separat bestellten Speicherpakets werden die zur Zahlungsabwicklung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Rechnungsadresse) an Stripe übermittelt.

Vollständige Zahlungsdaten (z. B. Kartennummern) werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert. Stripe ist PCI-DSS-zertifiziert. Die Abo-Verwaltung erfolgt über das Kundenportal unter quickquote.tech/account.

Stripe, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Mit Stripe wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mail-Versand (Resend)

Für den Versand transaktionaler E-Mails (z. B. Einladungen, Willkommens-E-Mails, Benachrichtigungen) wird der Dienst Resend, Inc., 2261 Market Street #4059, San Francisco, CA 94114, USA eingesetzt.

Dabei werden die E-Mail-Adresse des Empfängers, der jeweilige E-Mail-Inhalt und bei Dokumentversand auch der von Ihnen ausgewählte PDF-Anhang an Resend übermittelt. Zur Zustell- und Supportdokumentation speichert QuickQuote insbesondere Empfängeradresse, Versandzeitpunkt, Resend-Nachrichten-ID sowie Name und Größe eines versendeten Anhangs im zugehörigen Geschäftsvorgang.

Die Datenübermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Schriftarten (Webfonts)

Zur einheitlichen Darstellung nutzt diese Website die Schriftarten „Inter“, „Instrument Serif“ und „Barlow“. Die Schriftdateien werden vom selben Server wie die Website ausgeliefert (First-Party-Hosting), nicht über externe Google-Server. Es erfolgt keine Verbindung zu Google und keine Übermittlung Ihrer IP-Adresse an Google oder andere Dritte allein zum Laden von Schriftarten.

10. Cookies und lokale Speicherung

Lokaler Stundenentwurf: Noch nicht abgeschlossene Stundeneingaben können auf demselben Gerät für einen Tag als Entwurf wieder aufgenommen werden. Der lokal gespeicherte Entwurf ist dem Nutzer, dem Betrieb und dem jeweiligen Eintrag zugeordnet. Die Zwischenspeicherung dient dazu, eine unterbrochene Eingabe fortzusetzen.

Auf den öffentlich zugänglichen Inhaltsseiten von quickquote.tech setzen wir keine Cookies oder sonstigen Browserkennungen zu Werbe-, Tracking- oder Analysezwecken ein.

Auf der Kontoverwaltungsseite unter quickquote.tech/account speichert Firebase Authentication den Anmeldestatus und die für die Authentifizierung erforderlichen Sitzungsdaten im Sitzungsspeicher des Browsers. Die Anmeldung wird als sitzungsbezogene und nicht als dauerhafte lokale Anmeldung gespeichert. Nach den Vorgaben des Firebase SDK endet sie beim Schließen des Tabs oder Fensters; bei einer Abmeldung wird der Anmeldestatus ebenfalls entfernt. Das eingegebene Passwort wird von der Kontoseite nicht im Sitzungsspeicher abgelegt. Die Speicherung dient ausschließlich der Anmeldung und dem Aufruf des Stripe-Kundenportals.

Die Webanwendung unter app.quickquote.tech kann Browserspeicher für technisch notwendige Authentifizierungssitzungen, App-Einstellungen und vorübergehende Zustände verwenden. Eine dauerhafte Offline-Speicherung von Firestore-Anwendungsdaten im Browser ist derzeit nicht aktiviert. Es werden keine Daten zu Tracking- oder Werbezwecken gespeichert.

Die Entscheidung über die optionale Nutzungs- und Fehlerdiagnose wird lokal auf dem jeweiligen Gerät gespeichert. Ohne ausdrückliche Einwilligung bleiben Firebase Analytics, Crashlytics und die Web-Fehlerdiagnose deaktiviert.

Für die Funktionszählung der öffentlichen Demo speichern wir ausschließlich Ereignissummen pro Kalendertag. Für diesen Zähler setzen wir keine Cookies, Nutzerkennungen oder Roh-IP-Adressen ein und bilden keine Nutzerprofile. Unabhängig davon können beim technischen Aufruf Verbindungsdaten durch die in Abschnitt 5 genannten Infrastruktur-Anbieter verarbeitet werden.

Die Startseite enthält einen als extern gekennzeichneten Link, über den Nutzer QuickQuote bei Google als bevorzugte Quelle auswählen können. Wir binden hierfür kein Google-Skript und keine Inhalte von Google ein. Eine Verbindung zu Google wird erst hergestellt, wenn der Link bewusst angeklickt wird. Für die anschließende Verarbeitung ist Google nach seinen eigenen Datenschutzbestimmungen verantwortlich.

Die technisch erforderliche Speicherung und der Zugriff auf Informationen im Endgerät erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG, soweit sie erforderlich sind, um den ausdrücklich gewünschten Login, die Kontoverwaltung oder die App-Funktion bereitzustellen. Rechtsgrundlage für die damit verbundene Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. b DSGVO; für Sicherheits- und Funktionszähler gilt Art. 6 Abs. 1 lit. f DSGVO. Optionale Nutzungs- und Fehlerdiagnosen erfolgen nur nach Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

10a. Social-Media-Auftritte

QuickQuote unterhält öffentliche Profile bei folgenden sozialen Netzwerken:

Wenn Sie eines dieser Profile aufrufen, verarbeitet der jeweilige Plattformbetreiber personenbezogene Daten in eigener Verantwortung. Dazu können insbesondere IP-Adresse, Geräte- und Browserdaten sowie das Nutzungsverhalten gehören. Wenn Sie eingeloggt sind, kann außerdem eine Verknüpfung mit Ihrem Plattformkonto entstehen. Die Betreiber können diese Daten auch zur Profilbildung und für personalisierte Werbung verwenden.

Wir nutzen unsere Profile, um QuickQuote darzustellen sowie Nachrichten, Kommentare und Anfragen zu beantworten. Die dabei von uns verarbeiteten Daten werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet (berechtigtes Interesse an Öffentlichkeitsarbeit und Kommunikation). Soweit eine Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Nachrichten und Kommentare löschen wir, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Plattformbetreiber sind X Corp. beziehungsweise Twitter International Unlimited Company (X), Meta Platforms Ireland Limited (Instagram) und LinkedIn Ireland Unlimited Company (LinkedIn). Informationen zu deren Verarbeitung, internationalen Datentransfers und Ihren Rechten finden Sie in den jeweiligen Datenschutzhinweisen: X, Instagram und LinkedIn. Rechte hinsichtlich der allein vom Plattformbetreiber verantworteten Verarbeitung machen Sie am wirksamsten direkt dort geltend. Für Verarbeitungen durch QuickQuote erreichen Sie uns unter privacy@quickquote.tech.

Kein Social-Media-Tracking auf quickquote.tech: Auf dieser Website sind keine Pixel, Tracking-Skripte oder eingebetteten Inhalte von X, Instagram/Meta oder LinkedIn eingebunden. Eine Verbindung zu diesen Plattformen entsteht erst, wenn Sie einen externen Profil-Link anklicken.

11. Auftragsverarbeitung

Mit den als Auftragsverarbeiter eingesetzten Dienstleistern (insbesondere Google, Netlify, OpenAI Ireland Ltd. und Resend) gelten Datenverarbeitungsvereinbarungen gemäß Art. 28 DSGVO. Soweit ein Dienstleister für einzelne Verarbeitungsschritte in eigener Verantwortlichkeit tätig wird, richtet sich die Verarbeitung ergänzend nach dessen gesetzlichen Pflichten und Datenschutzhinweisen.

12. Speicherung und Löschung von Daten

Die Daten werden nur so lange gespeichert, wie dies zur Bereitstellung der Software erforderlich ist. Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. steuerrechtliche Aufbewahrungsfristen gemäß § 147 AO).

Löschung eines einzelnen Nutzerkontos (z. B. beim Ausscheiden eines Mitarbeiters):

Bei der Kontolöschung werden die Anmeldedaten gelöscht und die Kontaktangaben im Mitgliedschaftsprofil entfernt; dort wird der Name durch „Ehemaliger Nutzer“ ersetzt. Betriebliche Unterlagen und ihre Änderungshistorien können weiterhin personenbezogene Angaben enthalten, etwa Namen, frühere Zuordnungen oder Nutzerkennungen. Über deren weitere Aufbewahrung und Löschung entscheidet der Betrieb als Verantwortlicher nach den geltenden gesetzlichen Anforderungen. Die Kontolöschung anonymisiert nicht sämtliche betrieblichen Daten.

Kündigung des Workspace-Abonnements:

Die Kündigung eines kostenpflichtigen Abonnements allein löst keine automatische vollständige Datenlöschung aus. Bei Beendigung der Auftragsverarbeitung gibt QuickQuote die betrieblichen personenbezogenen Daten nach Wahl des Betriebs zurück oder löscht sie und vorhandene Kopien, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Abwicklung erfolgt über privacy@quickquote.tech nach Prüfung der Berechtigung. Unter den Voraussetzungen in Abschnitt 14 kann der Inhaber den Workspace auch in der App selbst löschen. Der Inhaber sollte eine gewünschte Rückgabe vor der Löschung mitteilen; der App-Export enthält nicht alle Datenarten. Gesetzlich aufzubewahrende Daten werden auf den erforderlichen Zweck beschränkt. Eigene Vertrags-, Abrechnungs- und Sicherheitsnachweise werden nur so lange gespeichert, wie ihr jeweiliger Zweck oder gesetzliche Pflichten dies erfordern.

13. Datenexport und Datenübertragbarkeit (Art. 20 DSGVO)

Persönlicher Profilexport: Alle Nutzer können über die Profilansicht ihre Profildaten im JSON-Format exportieren, darunter Name, E-Mail-Adresse, Telefonnummer, Rolle, Mitgliedschaftsstatus und Beitrittszeitpunkt.

Workspace-Export: Der Inhaber kann über die Profilansicht einen JSON-Export mit persönlichen Profildaten, Betriebsprofil, Teamdaten und Projekten einschließlich der erfassten Projektstunden sowie vorhandener Besichtigungsdaten, Material- und Notizeinträge und Angebotsentwürfe erstellen. Der jeweilige Inhalt hängt von den genutzten Funktionen ab. Der Export bildet nicht sämtliche Workspace-Daten ab: insbesondere separate Planer-Termine, Abwesenheiten, Arbeitszeitmodelle und individuelle Urlaubsangaben, interne Stunden und zusätzliche Projektunterlagen sind darin nicht enthalten. Medien und PDF-Dateien werden nicht eingebettet; enthaltene Dateiverweise müssen gesondert abgerufen werden. Stundenzettel-PDFs können über die Stundenzettel-Funktion heruntergeladen werden. Die App lässt den Export auf demselben Gerät und für dasselbe Konto nach 30 Tagen erneut zu. Gesetzliche Auskunfts- und Herausgabeansprüche bleiben davon unberührt; weitergehende Anfragen können an privacy@quickquote.tech gerichtet werden.

Für personenbezogene Daten in Workspace-Inhalten ist der Kunde der Verantwortliche. Diese Rollenverteilung und der technische Exportumfang beschränken keine gesetzlichen Betroffenenrechte gegenüber dem jeweils Verantwortlichen.

14. Kontolöschung (Art. 17 DSGVO)

Teammitglieder ohne Inhaberrolle (Chef, Büro, Techniker, Monteur) können ihr Konto über die Profileinstellungen selbst löschen. Die Folgen für Profildaten, betriebliche Unterlagen und Änderungshistorien beschreibt Abschnitt 12.

Löschung durch den Inhaber: Ist der Inhaber die einzige aktive Person im Workspace, kann er in den Profileinstellungen sein Konto zusammen mit dem gesamten Betrieb löschen. Dafür ist eine kurz zuvor erfolgte Anmeldung und eine ausdrückliche Bestätigung nötig. Anfragen zur Beendigung kostenpflichtiger Abonnements können mit dem Löschauftrag an den Anbieter gerichtet werden (§ 7 der AGB). Gelöscht werden die Daten des Workspaces wie Projekte, Termine, Stunden und Abwesenheiten, die gespeicherten Dateien und Fotos, offene Einladungen, die Mitgliedschaften und das Login. Die Löschung ist endgültig und kann nicht rückgängig gemacht werden. Benötigte Daten sollten vorher über den Workspace-Export nach Abschnitt 13 gesichert werden; der Export enthält nicht alle Datenarten. Erhalten bleiben ein technischer Löschnachweis mit Konto-, Workspace- und Abrechnungskennungen ohne Namen, die bei Stripe geführten Zahlungs- und Rechnungsdaten sowie eigene Nachweise nach Abschnitt 12. Außerhalb des Workspaces gespeicherte Zähler und Anzeige-Links der Wandanzeige werden in diesem Schritt nicht gelöscht; Anzeige-Links zeigen danach keine Daten mehr an.

Die Selbstlöschung ist gesperrt, solange weitere aktive Teammitglieder im Workspace sind oder der Workspace Geschäftsunterlagen enthält, etwa versendete oder angenommene Angebote, Rechnungen oder Eingangsrechnungen, oder sehr umfangreich ist. Mit Team kann der Inhaber die Inhaberrolle zuerst an eine andere Person übergeben und sein Konto danach wie ein Teammitglied löschen. In den übrigen Fällen wendet sich der Inhaber an privacy@quickquote.tech. Dabei wird geklärt, ob der Betrieb weitergeführt oder der Workspace beendet werden soll. Gesetzliche Betroffenenrechte bleiben unberührt.

15. Rechte der betroffenen Personen

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Widerspruchsrecht nach Art. 21 DSGVO: Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (insbesondere Server-Logdaten und technische Nutzungsdaten), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen. Richten Sie Ihren Widerspruch formlos an privacy@quickquote.tech.

Zur Ausübung Ihrer Rechte sowie für Auskunftsersuchen gemäß Art. 15 DSGVO wenden Sie sich an: privacy@quickquote.tech

Betroffenenanfragen werden unverzüglich, grundsätzlich spätestens innerhalb eines Monats beantwortet. Eine gesetzlich zulässige Verlängerung wird innerhalb dieses Monats mit Begründung mitgeteilt.

16. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

17. Transaktionale E-Mails

Auch für die kostenlose Einsatzplanung versenden wir E-Mail-Verifizierungen und Team-Einladungen über Resend. Eine gesonderte Planer-Willkommensmail wird nicht versandt. Einladungen werden vom Betrieb ausgelöst.

Im Rahmen der Nutzung von QuickQuote versendet der Anbieter folgende transaktionale E-Mails:

Diese E-Mails sind für den Betrieb der Software erforderlich. Bestätigungs-, Konto- und Abrechnungs-E-Mails gehen an die im Konto oder bei der Bestellung angegebene E-Mail-Adresse, Einladungen an die vom Betrieb eingegebene Adresse der eingeladenen Person, Angebots- und Rechnungs-E-Mails an die vom Nutzer gewählte Empfängeradresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Beim Versand an Kunden des Betriebs handelt der Anbieter als Auftragsverarbeiter des Betriebs.

Interne Betriebsmeldungen: Zusätzlich versendet das System über Resend automatische Meldungen an eine eigene Adresse des Anbieters unter quickquote.tech: eine tägliche Meldung, wenn Stundenbuchungen nicht an den Server übertragen werden konnten (Firmenname und -kennung, Name und gekürzte Nutzerkennung der betroffenen Person, Anzahl der Buchungen, Fehlercode, App-Version und Plattform), eine Frühwarnung bei hohem KI-Verbrauch (Betriebskennung, Anzahl der KI-Aufrufe und Token) sowie Meldungen zu kritischen technischen Fehlern, die technische Kennungen und im Einzelfall eine E-Mail-Adresse enthalten können. Zweck ist, Störungen schnell zu erkennen und zu beheben und Kosten zu begrenzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

18. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich an:
E-Mail: privacy@quickquote.tech

Lukas Keßler · Bürgermeister-Fuchs-Str. 70 · 68169 Mannheim · quickquote.tech

Kontaktaufnahme per E-Mail: Wenn Sie uns per E-Mail kontaktieren (z. B. an support@quickquote.tech oder privacy@quickquote.tech), verarbeiten wir Ihre E-Mail-Adresse, die von Ihnen mitgeteilten Inhalte und den Zeitpunkt der Nachricht zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag oder dessen Anbahnung zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Korrespondenz löschen wir, sobald sie für die Bearbeitung nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten (z. B. bei geschäftlicher Korrespondenz nach HGB und AO) entgegenstehen.