MAVANU · DATENSCHUTZ

Datenschutzinformationen

Stand: 20. Oktober 2026 · Version 2026-10-20.2. Diese Informationen beschreiben die derzeit betriebene Website, Browseranwendung, Demo und die vorhandene native Schnittstelle. Sie gelten auch für den bisherigen Zugang über sigatech.de/mavanu.

1. Verantwortlicher und Abgrenzung der Rollen

Für Website, Kontoverwaltung, Vertragskontakt und Sicherheit des Dienstes verantwortlich: Siegfried Gaier, SIGAtech Softwareentwicklung (Einzelunternehmen), Mathildenstr. 11, 44793 Bochum, Deutschland. Kontakt für Datenschutz und Betroffenenrechte: hallo@sigatech.de.

Für die in Mavanu verwalteten Kunden-, Objekt-, Mitarbeiter-, Auftrags- und Abrechnungsdaten entscheidet grundsätzlich der jeweilige Betrieb über Zwecke und Rechtsgrundlagen und ist Verantwortlicher. SIGAtech verarbeitet diese Daten als Auftragsverarbeiter nach den dokumentierten Weisungen des Betriebs. Hierfür gilt die gesonderte Vereinbarung zur Auftragsverarbeitung (AVV), die bei neuen Betriebsregistrierungen elektronisch abgeschlossen wird. Die Veröffentlichung dieser Texte dokumentiert keine Zustimmung bestehender Betriebe. Bestehende Betriebe können die AVV über den Kontakt vereinbaren.

Wenn du Kunde oder Mitarbeiter eines nutzenden Betriebs bist, wende dich für dessen Verarbeitung zunächst an diesen Betrieb. Wir unterstützen ihn bei Anfragen und leiten uns betreffende Auftragsdatenanfragen an ihn weiter. Für unsere eigene Kontoverarbeitung kannst du dich direkt an uns wenden.

2. Website, Hosting und Empfänger

Die Anwendung läuft auf dem eigenen administrierten MyPacing-Server bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der konkret verwendete Cloud-Server steht in Nürnberg, Deutschland (Serverzone nbg1-dc3). Reguläre Betriebsdaten, Uploads und die eingerichteten lokalen Mavanu-Sicherungen liegen auf diesem Server. Mit Hetzner besteht nach Bestätigung des Betreibers eine Vereinbarung zur Auftragsverarbeitung. Der Hostinganbieter stellt die Infrastruktur bereit und kann im erforderlichen Rahmen technischer Leistungen Zugriff erhalten; berechtigte Administration erfolgt durch den Anbieter. Eine Weitergabe zu Werbezwecken findet nicht statt. Weitere Empfänger kommen nur bei einer gesetzlichen Verpflichtung oder erforderlichen Rechtsdurchsetzung in Betracht.

Mavanu bindet derzeit keine externen Analyse-, Werbe-, Newsletter-, Karten-, KI-, Zahlungs- oder automatischen E-Mail-Versanddienste ein. Schriftarten, Skripte und Bilder werden lokal ausgeliefert. Es werden durch die Anwendung keine Apple-, Google- oder Leaflet-Kartendienste aufgerufen. Für die beschriebene Verarbeitung ist keine Übermittlung in Drittländer eingerichtet. Öffnest du einen externen Link oder schreibst eine E-Mail, erfolgt die Kommunikation über die von dir und dem jeweiligen Empfänger eingesetzten Dienste.

3. Aufrufe, Protokolle und Missbrauchsschutz

Beim Aufruf übermittelt dein Browser insbesondere IP-Adresse, Zeitpunkt, angefragten Pfad einschließlich etwaiger URL-Abfrage, HTTP-Methode, Status und technische Browserkennung; das Zugriffsprotokoll kann auch die verweisende Seite enthalten. Der vorgeschaltete Apache-Webserver führt Zugriffs- und Fehlerprotokolle, auch für Demoaufrufe und die bisherige Adresse. Bitte keine vertraulichen Inhalte oder Zugangstokens in URLs eintragen. Zweck sind Auslieferung, Fehleranalyse und Schutz vor Angriffen; Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Die Proxyprotokolle werden täglich mit 13 rotierten Ständen zusätzlich zur laufenden Datei rotiert; bei 25 MB ist zusätzliche Rotation möglich. Leere Dateien werden nicht rotiert. Deshalb sind 14 Dateien keine garantierte Löschfrist von 14 Kalendertagen bei geringer Nutzung. Anwendungsfehler und Start-/Betriebsmeldungen gelangen in Dockerprotokolle mit maximal drei Dateien zu je 5 MB pro Mavanu-Container; diese Rotation ist größenabhängig, ohne feste zeitliche Löschfrist. Ein Gunicorn-Zugriffslog ist nicht aktiviert. Protokolle können bei konkreten Sicherheitsvorfällen gesondert bis zur Klärung erforderlich sein. Aufbewahrung über die Rotation hinaus ist kein Teil der Demo-Zweistundenfrist.

Zusätzlich speichert die Anwendung Rate-Limit-Zähler: Registrierung und Login verwenden IP-bezogene Schlüssel (hier die IP selbst), Login außerdem einen SHA-256-Hash der E-Mail-Adresse. Die Gültigkeitsfenster betragen eine Stunde für Registrierung und 15 Minuten für Login. Weitere native Sicherheitszähler beziehen sich auf Benutzer oder globale Grenzen. Abgelaufene Web-Sicherheitszähler und Sitzungen werden durch die tägliche Wartung entfernt, geplant ab 04:35 Uhr mit bis zu 15 Minuten Verzögerung. Ein Hash ist nicht gleichbedeutend mit Anonymisierung.

Die Demo speichert einen SHA-256-Hash der IP für die Neuanlagebegrenzung (zehn Minuten), globale Neuanlagezähler (eine Minute), Besucherkennungen mit Ablauf sowie Schreibzähler (eine Minute). Abgelaufene Einträge werden beim Zugriff und durch den Fünf-Minuten-Bereinigungsdienst entfernt. Die native Kopplung verwendet ebenfalls IP-SHA-256-bezogene Begrenzungen (fünf Versuche pro Minute); beim nächsten Kopplungsversuch werden Einträge mit einem Fensterbeginn vor mehr als zehn Minuten entfernt. Ohne weiteren Kopplungsversuch besteht hierfür kein eigener Löschdienst. Diese Angaben unterscheiden Sicherheitsdaten ausdrücklich von Betriebsinhalten.

4. Notwendige Cookies und anonyme Sitzungen

Bereits öffentliche HTML-Seiten können eine anonyme Sitzung anlegen. Diese enthält noch kein Benutzerkonto; sie stellt insbesondere den Schutz der Registrierungs- und Anmeldeformulare gegen fremde Formularaufrufe (CSRF) bereit. Nach Anmeldung wird eine neue Sitzung angelegt. Die Cookies sind Host-only (keine automatische Übertragung zwischen mavanu.de und sigatech.de), bei HTTPS Secure, HttpOnly und SameSite=Lax. Es gibt keine Tracking-Cookies und keine eingesetzte Einwilligungsplattform.

Diese Speicherung dient den technisch erforderlichen Sitzungs- und Sicherheitsfunktionen des angeforderten Dienstes (§ 25 Abs. 2 Nr. 2 TDDDG). Die weitere Verarbeitung erfolgt für Vertragsdurchführung bzw. vorvertragliche Schritte nach Art. 6 Abs. 1 lit. b DSGVO und für Formularschutz/Sicherheit nach lit. f. Für betriebliche Mitarbeiterzugänge erfolgt die Zuordnung im Auftrag des Betriebs. Eine pauschale Datenschutz-Einwilligung wird nicht verlangt. Du kannst Cookies im Browser löschen oder sperren; Anmeldung, Formularschutz und die interaktive Demo funktionieren dann gegebenenfalls nicht.

5. Registrierung, Konto und Kontakt

Bei einer Betriebsregistrierung werden dein Name, Betriebsname, E-Mail-Adresse und ein gesalzener Passwort-Hash gespeichert (Werkzeug/scrypt; kein Klartextpasswort). Hinzu kommen die Unternehmer- und Vertretungsbestätigung sowie AGB-/AVV-Version und Zustimmungszeitpunkt. Sie dienen Kontobereitstellung, Vertragsnachweis und Sicherheit. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und für den Nachweis unser berechtigtes Interesse nach lit. f; soweit konkrete gesetzliche Pflichten bestehen lit. c. Wer einen Betrieb vertritt oder als Mitarbeiter nutzt, wird im Rahmen der betrieblichen Berechtigung verarbeitet. Nicht bereitgestellte Pflichtangaben verhindern die Kontoanlage.

Kontaktanfragen werden mit den übermittelten Kontakt- und Inhaltsdaten zur Bearbeitung verarbeitet, nach Art. 6 Abs. 1 lit. b bei Vertragsfragen, sonst lit. f für die Beantwortung. Automatischer E-Mail-Versand, Newsletter und automatischer E-Mail-Passwortreset sind nicht eingerichtet. Wir speichern keine Zahlungsdaten für ein Mavanu-Abonnement; die Nutzung ist derzeit kostenlos.

6. Inhalte des Betriebs und Exporte

Je nach Nutzung werden Kunden- und Ansprechpartnerdaten (Name, Adresse, E-Mail, Telefon), Objektdaten und Zugangshinweise, Schlüsselbezeichnungen und -inhaber, Aufträge, Angebote und Checklisten, Mitarbeiterdaten und Rollen, Arbeitszeiten und Timer, Material, Kosten, Fahrten, Fahrzeuge und Zuordnungen, Rechnungs- und Zahlungseinträge sowie Termine gespeichert. Rechtsgrundlagen für diese Inhalte bestimmt der verantwortliche Betrieb, beispielsweise Vertragserfüllung, arbeitsrechtliche Erforderlichkeit oder gesetzliche Pflichten. Wir verarbeiten sie im Rahmen der AVV, nicht aufgrund einer pauschalen Einwilligung aller Nutzer.

Hochgeladene JPEG-, PNG- und WebP-Bilder werden auf höchstens 2.400 Pixel Kantenmaß verkleinert und als JPEG neu gespeichert; EXIF-Metadaten werden dabei nicht übernommen. Der ursprüngliche Dateiname wird zusätzlich gespeichert und kann selbst personenbezogene Angaben enthalten. Bilder sind nur mit entsprechender Betriebs- und Auftragsberechtigung erreichbar; Belegbilder sind dem Inhaber vorbehalten. Der Bildinhalt wird dadurch nicht anonymisiert. Bitte nur erforderliche Bilder und keine unnötigen besonderen Kategorien personenbezogener Daten hochladen.

PDFs, CSV-, Kalender- und ZIP-Exporte werden für berechtigte Nutzer erzeugt. Ein ZIP enthält Betriebsdaten und Bilder, keine Passwort-Hashes oder Sitzungen. Exportdateien verlassen beim Download den Server und müssen durch den Betrieb geschützt aufbewahrt, weitergegeben und gelöscht werden. Lokale Drucker, Downloads und vom Betrieb weitergegebene Dokumente liegen in dessen Verantwortung.

7. Fahrten und vorbereitete native Schnittstelle

Die Website fragt keinen Browserstandort ab; manuelle Fahrten enthalten die eingegebenen Angaben. Native Apps sind noch nicht veröffentlicht und noch nicht für echte Geräte freigegeben. Die vorhandene API nimmt ausschließlich bestätigte abgeschlossene Fahrtenzusammenfassungen entgegen: Start-/Zielbezeichnung, Zeitraum, Fahrzeug-/Auftrags-ID, Distanzschätzung, letzter Genauigkeitsradius und Unterbrechungsangabe sowie technische Herkunft und Zusammenfassungskennung. Roh-GPS-Punkte und Routen verbleiben nach dem vorbereiteten nativen Konzept lokal; die Server-API nimmt keine Rohroute an. Es gibt keine Liveüberwachung oder eingebundene Kartenübermittlung.

Eine Kopplung ist an Benutzer, Betrieb und eine persistente Serverinstanzkennung gebunden. Einmalcodes gelten fünf Minuten; gespeichert werden Code-Hashes. Gerätetokens sind widerrufbar und gelten 90 Tage; gespeichert werden Hash, Gerätekennung/-name und Zuordnung. Inhaber können Betriebsgeräte widerrufen, Nutzer ihre eigenen. Bestätigte Zusammenfassungen werden vom Inhaber geprüft und übernommen oder verworfen. Erst Übernahme erzeugt eine betriebliche Fahrt mit Prüfer, Zeitpunkt und Herkunft; sie ist standardmäßig nicht abrechenbar. Widerruf am Server löscht keine lokalen Gerätedaten. Die nativen Gerätedatensätze, Zusammenfassungen und Prüfentscheidungen werden derzeit nicht automatisch nach Tokenablauf gelöscht, sondern über den betrieblichen Löschprozess behandelt.

8. Demo und ihre Löschgrenze

Jeder Demo-Besucher erhält einen eigenen getrennten Bereich mit Beispieldaten. Bitte keine echten personenbezogenen Daten eingeben. Dennoch gelten auch dort Hosting, Protokollierung und Missbrauchsschutz wie oben beschrieben. Ein Bereich läuft zwei Stunden nach Anlage ab; Eingaben verlängern die Frist nicht. Abgelaufene Bereiche werden beim nächsten Zugriff sowie unabhängig davon durch einen alle fünf Minuten laufenden Dienst entfernt. Laufende gesperrte Vorgänge werden zuerst beendet; es wird keine sekundengenaue Löschung zugesagt. Zurücksetzen ersetzt Bereichsinhalte durch Beispieldaten; Verlassen löscht die Democookies, der serverseitige Bereich bleibt bis zur Bereinigung bestehen.

Der tägliche Mavanu-Backupplan sichert ausschließlich den regulären Datenbereich, nicht die Demo-Besucherbereiche. Die Zweistundenfrist gilt nicht für Proxy-/Dockerlogs, Sicherheitsdaten außerhalb des Besucherbereichs oder eventuell vorhandene geschützte administrative Sicherungen und Prüfarchive. Sie ist keine allgemeine Löschzusage für alle beim Demoaufruf entstehenden Daten.

9. Aufbewahrung, Backups und Kontolöschung

Reguläre Betriebsdaten bleiben während der Nutzung gespeichert, soweit der Betrieb keine Löschung veranlasst. Eine pauschale gesetzliche Aufbewahrung aller Kundendaten besteht für den Anbieter nicht. Der Betrieb bestimmt notwendige Fristen für seine Inhalte und gesetzlich aufzubewahrende Belege. Mavanu bietet keine revisionssichere Langzeitarchivierung und keine automatische Beleglöschung. Eigene Konto-/Vertragsnachweise und Kontaktvorgänge werden nur so lange benötigt, wie die Vertragsabwicklung, konkrete gesetzliche Aufbewahrung oder Rechtsverteidigung dies erfordert; nach Ende prüfen wir bei der Löschbearbeitung die noch erforderlichen Kategorien und teilen Einschränkungen mit.

Die tägliche lokale Sicherung ist ab 04:35 Uhr mit bis zu 15 Minuten Verzögerung eingerichtet und enthält Datenbanken einschließlich nativer Daten, Bilder, Sitzungsschlüssel und Serverinstanzkennung. Wiederherstellungsprüfungen sind eingerichtet. Die Sicherungen liegen geschützt auf demselben Server und stellen keinen Schutz gegen dessen vollständigen Verlust dar. Reguläre Sicherungen werden für 14 × 24 Stunden ab ihrem belegten Sicherungszeitpunkt aufbewahrt. Die automatische Rotation prüft stündlich und entfernt abgelaufene abgeschlossene Generationen beim nächsten Prüflauf (im störungsfreien Betrieb bis zu eine zusätzliche Stunde zuzüglich Laufzeit). Sie löscht keine aktiven oder unvollständigen Backups. Vor einer Löschung wird eine frische, erfolgreich integritäts- und wiederherstellungsgeprüfte Generation verlangt. Bei Backupausfall bleibt die letzte gute Kopie geschützt; die Fristüberschreitung wird als Ausnahme gemeldet und gezielt bearbeitet. Administrative Datenkopien und Wiederherstellungsreste werden in die gezielte Löschbearbeitung einbezogen, soweit ihre Zuordnung nicht bereits eine automatische Rotation ermöglicht. Die 14-Tage-Regel gilt für Sicherungsgenerationen, nicht pauschal für Betriebsdaten, Protokolle oder gesetzlich aufzubewahrende Originalbelege. Das ist von der täglichen Bereinigung abgelaufener Sitzungen und Sicherheitszähler zu unterscheiden.

Kündigung, Kontolöschung, gezielte Löschung und Auskunft können unter hallo@sigatech.de beantragt werden. Bitte Betrieb und registrierte Kontaktadresse nennen, kein Passwort senden. Wir prüfen die Berechtigung, stimmen erforderliche Rückgabe/Exporte und gesetzliche Ausnahmen ab und bearbeiten betroffene Sicherungen gesondert. Bis zur gezielten Bereinigung enthaltene Restdaten dürfen nicht im normalen Betrieb genutzt werden; bei Wiederherstellung werden Löschungen erneut berücksichtigt. Es gibt keine automatische Selbstbedienungs-Kontolöschung. Die AVV regelt die Löschung der Auftragsdaten bei Vertragsende.

10. Rechte und Beschwerde

Du hast nach den jeweiligen gesetzlichen Voraussetzungen Rechte auf Auskunft und Kopie (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Mitteilung an Empfänger (Art. 19) und Datenübertragbarkeit (Art. 20 DSGVO). Bei Verarbeitung nach Art. 6 Abs. 1 lit. f kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21). Falls in einem Einzelfall eine Einwilligung Grundlage ist, kannst du sie für die Zukunft widerrufen; die bisherige Verarbeitung bleibt davon unberührt. Die hier beschriebene Vertragsverarbeitung verlangt keine solche Einwilligung. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung oder entsprechendes Profiling nach Art. 22 findet nicht statt.

Anfragen beantworten wir grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung und deren Gründe teilen wir innerhalb dieser Frist mit (Art. 12 DSGVO). Du kannst dich unbeschadet anderer Rechtsbehelfe bei einer Aufsichtsbehörde beschweren (Art. 77), insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes. Für den Anbieter zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, poststelle@ldi.nrw.de, Kontakt und Beschwerdeinformationen der LDI NRW.

Diese Informationen werden bei Änderungen der tatsächlichen Verarbeitung angepasst. Kontakt: hallo@sigatech.de.