# Datenschutzhinweise für MDashboard
Stand: 06.11.2026
## Anbieter und Kontakt
David Jagubjan, Am Lindenbaum 14, 63150 Heusenstamm, Deutschland. Kontakt: info@mdashboard.de.
## Firmenkonten und Beschäftigtendaten
Für Firmenregistrierung, Betriebssicherheit und Kommunikation verarbeitet der Anbieter Kontoname, E-Mail-Adresse, Firmenname, Geschäftsanschrift, vertretungsberechtigte Person, Vertragsbestätigungen, technische Verbindungsdaten und Supportanfragen. Grundlage sind die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse am sicheren Betrieb und der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).
Für die Verarbeitung von Mitarbeiterdaten im Auftrag einer Firma ist grundsätzlich die jeweilige Firma verantwortlich. Der Anbieter verarbeitet diese Daten nach deren Weisung. Rechtsgrundlagen für Beschäftigtendaten und gegebenenfalls besondere Datenkategorien legt der Arbeitgeber fest. Eine Vereinbarung zur Auftragsverarbeitung ist vor dem Echtbetrieb erforderlich.
## Verarbeitete Daten
Verarbeitet werden Mitarbeiter-Stammdaten und Zugangsdaten, Arbeitszeitmodelle, Dienstpläne, Arbeitsbeginn, Arbeitsende, Pausen, Zeitkorrekturen und deren Verlauf, Zeit- und Urlaubskonten, Aufgaben und Problemmeldungen sowie Abwesenheitsanträge. Krankmeldungen können Gesundheitsdaten sein; Diagnosen oder medizinische Einzelheiten sollen nicht eingegeben werden. Passwörter werden als Hash gespeichert.
Bei freigeschalteter Buchhaltung werden außerdem die von der Firma eingegebenen Kunden- und Kontaktdaten, Artikel und Leistungsbeschreibungen, Angebote, Rechnungen, Beträge, Steuerangaben und Zahlungsinformationen verarbeitet. Erfasste Zahlungen können Datum, Betrag, Zahlungsart und Notizen enthalten. Zu den Firmeneinstellungen können Bankname, IBAN und BIC gehören. Zugriff auf diese Buchhaltungsdaten haben die Firmenleitung und die von ihr ausdrücklich für die Buchhaltung freigeschalteten Mitarbeiter innerhalb der eigenen Firma.
Beim Dokument-Upload werden hochgeladene PDF-, JPEG- und PNG-Dateien einschließlich ihres Inhalts, Titel, Dateiname, Dateityp, Größe, Versionen und Zuordnung zur Firma oder zu einem Mitarbeiter gespeichert. Hinzu kommen Upload- und Öffnungszeitpunkte sowie gegebenenfalls Empfangsbestätigungen. Die Firmenleitung sieht die Dokumente ihrer Firma; Mitarbeiter sehen die für die gesamte eigene Firma oder für sie persönlich bestimmten, nicht archivierten Dokumente. Von Mitarbeitern hochgeladene Dokumente werden ihrem eigenen Mitarbeiterkonto zugeordnet.
Bei Firmenfahrzeugen werden die eingegebene Fahrzeugbezeichnung, Kilometerstände und Erfassungszeitpunkte sowie gegebenenfalls Fahrtendatum, Start- und Endkilometerstand, Fahrtzweck, Projekt- und Mitarbeiterzuordnung verarbeitet. Die Firmenleitung kann diese Angaben für ihre Firma einsehen; Mitarbeiter haben Zugriff auf ihre eigenen Einträge.
## Firmenabo und Zahlungsabwicklung
Für das Firmenabo verarbeitet MDashboard den Tarif, Anbieter, Test- und Zahlungszeitraum, Verlängerungsstatus sowie technische Kauf- und Zuordnungskennungen. Kaufnachweise werden verschlüsselt gespeichert und serverseitig beim Kaufanbieter geprüft. Die zufällige Firmenkennung ordnet einen Kauf genau einer Firma zu; Beschäftigtendaten werden dafür nicht übermittelt. Grundlage ist die Durchführung des Firmenabovertrags (Art. 6 Abs. 1 lit. b DSGVO). Vollständige Kartennummern, Bankkontodaten zur Abbuchung des MDashboard-Firmenabos und Store-Passwörter werden nicht bei MDashboard gespeichert. Davon zu unterscheiden sind die von einer Firma selbst in der freigeschalteten Buchhaltung erfassten Bankverbindungen.
Apple und Google bearbeiten Käufe, Zahlungen und Store-Kündigungen über das vom Nutzer gewählte Storekonto. Für einen Web-Kauf wird Stripe verwendet; Zahlungs- und Rechnungsdaten werden im Stripe-Kaufdialog eingegeben. Dabei erhält Stripe eine technische Firmenkennung. Die jeweiligen Anbieter informieren über ihre eigene Datenverarbeitung: https://www.apple.com/legal/privacy/de-ww/, https://policies.google.com/privacy?hl=de und https://stripe.com/de/privacy. Apple Inc., Google LLC und Stripe, Inc. können Daten auch in den USA verarbeiten. Übermittlungen stützen sich auf deren Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und ergänzend auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für den Betrieb gespeicherte Abodaten sind im Firmenexport enthalten; geheime Kaufnachweise werden nicht als frei verwendbare Zugangsdaten exportiert. Die operativen Abodaten werden zusammen mit dem Firmenkonto im vorgesehenen Löschlauf entfernt. Beim Kaufanbieter gespeicherte Rechnungs- und Zahlungsdaten werden dadurch nicht gelöscht; die dort geltenden Aufbewahrungsregeln bleiben bestehen.
## Freiwillige Standortangaben
Stempeln ist ohne Standort möglich. Der Standortschalter ist zunächst ausgeschaltet und jederzeit abschaltbar. Bei aktivierter Freigabe werden Ort, Messgenauigkeit und Zeitpunkt ausschließlich anlässlich einer Stempelaktion erfasst und dem Arbeitgeber angezeigt. Es findet keine laufende Hintergrundortung statt. Bei fehlender Berechtigung oder Ortungsfehler wird ohne Standort gestempelt. Eine Ablehnung soll keine Nachteile verursachen. Der Arbeitgeber muss eine tragfähige Rechtsgrundlage, insbesondere die tatsächliche Freiwilligkeit einer Beschäftigteneinwilligung, prüfen und dokumentieren. Bereits erfasste Daten können bis zur Löschung vorhanden bleiben. Unter Konto & Datenschutz → Datenschutzanfragen können Beschäftigte eigene gespeicherte Standorte nach Passwortbestätigung aus der aktiven Datenbank entfernen. Neue freiwillige Standortstempel enthalten die Version des zuvor angezeigten Hinweises. Standorte werden nach 30 Tagen durch den täglichen automatischen Löschlauf entfernt.
## Karten
Gespeicherte Standorte können mit OpenStreetMap-Karten dargestellt werden. Karten werden erst nach Betätigung von „OpenStreetMap laden“ abgerufen. Beim Abruf von Kartenkacheln wird eine Verbindung zum Kartenanbieter hergestellt; dabei können insbesondere IP-Adresse und angefragter Kartenausschnitt übertragen werden. Nutzungs- und Datenschutzhinweise: https://osmfoundation.org/wiki/Privacy_Policy. Der Kartenausschnitt kann Rückschlüsse auf den dargestellten Ort ermöglichen. Rechtsgrundlage ist deine Einwilligung durch den Klick auf „OpenStreetMap laden“ (Art. 6 Abs. 1 lit. a DSGVO); ohne Klick werden keine Karten geladen.
## Hosting, Versand und Empfänger
Backend und das Postfach info@mdashboard.de werden auf dem vom Anbieter verwalteten Hetzner-Server betrieben. Hostingvertragspartner: Hetzner Online GmbH. Ein Vertrag zur Auftragsverarbeitung mit Hetzner wurde am 22.09.2026 abgeschlossen. Bestätigter Datenstandort: Helsinki, Finnland (Server); Deutschland (lokale Sicherung beim Betreiber). Der Mailversand verwendet mail.mdashboard.de mit TLS-Verschlüsselung. Eingehende Mails an info@mdashboard.de werden automatisch auf Spam und Schadsoftware geprüft; der Mailserver protokolliert Zustellvorgänge (Absender, Empfänger, Zeitpunkt, IP-Adressen der beteiligten Server) und löscht diese Protokolle spätestens nach 90 Tagen. Für die externe Verfügbarkeitsüberwachung wird UptimeRobot eingesetzt; dabei werden der öffentliche Gesundheitsendpunkt und die Alarmadresse info@mdashboard.de verwendet. Anbieter dieses Dienstes ist UptimeRobot s. r. o., Obchodná 507/2, 811 06 Bratislava, Slowakei. Der veröffentlichte Auftragsverarbeitungsvertrag (https://uptimerobot.com/dpa/, Version 2.2 vom 28.08.2026) nennt Verarbeitung in der EU und den USA sowie weitere Unterauftragnehmer. Nach Abschnitt 18 der Nutzungsbedingungen von UptimeRobot und Abschnitt 2.2 ihres DPA ist der DPA Bestandteil des Vertrags mit UptimeRobot; eine gesonderte Unterschrift ist grundsätzlich nicht erforderlich. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss sieht der DPA Standardvertragsklauseln vor. Beschäftigtenkonten, Arbeitszeiten, Krankmeldungen und Standorte werden nicht als Monitoring-Inhalte eingerichtet. Rechtsgrundlage für Spam- und Schadsoftwareprüfung, Mailprotokolle und Verfügbarkeitsüberwachung ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und verfügbarer Betrieb). Mit erforderlichen Auftragsverarbeitern werden entsprechende Verträge abgeschlossen. Firmenadministratoren sehen Daten ihrer Mitarbeiter; andere Firmen haben keinen vorgesehenen Zugriff. Bei selbst ausgelösten Exporten oder Weitergaben bestimmt der Nutzer den Empfänger und muss die Datei geschützt behandeln.
## Kontakt per E-Mail
Wenn du an info@mdashboard.de schreibst, verarbeiten wir deine Adresse und den Inhalt, um zu antworten: bei Fragen zum Vertrag oder zur Registrierung nach Art. 6 Abs. 1 lit. b DSGVO, sonst aufgrund unseres berechtigten Interesses an der Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Die Nachricht wird gelöscht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.
## Rechtsgrundlagen der Zusatzfunktionen
Die weiter unten beschriebenen Push-Mitteilungen nutzt du nur, wenn du sie aktivierst; Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für die Gerätekennung zusätzlich § 25 Abs. 1 TDDDG), die du jederzeit in den Benachrichtigungs- oder Geräteeinstellungen widerrufen kannst. Google LLC (Firebase Cloud Messaging) und Apple Inc. (Apple Push Notification Service) können Zustelldaten in den USA verarbeiten; Übermittlungen stützen sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rückmeldungen über „Problem melden“ sendest du freiwillig (Art. 6 Abs. 1 lit. a DSGVO); technische Fehlerberichte ohne Inhalte verarbeiten wir aufgrund unseres berechtigten Interesses an einer fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO).
## Speicherung und Löschung
Firmen- und Beschäftigtendaten werden für die Vertragsdurchführung bzw. nach dokumentierter Weisung des Arbeitgebers gespeichert. Die vorgesehene Aufbewahrung für Arbeitszeiten und zugehörige Nachweise beträgt zehn Jahre ab Ende des jeweiligen Nachweisjahres; Nachweise aus 2026 werden bis einschließlich 31.12.2036 aufbewahrt. Erledigte Aufgabenpakete werden 60 Tage nach der letzten Bearbeitung gelöscht, sofern alle Punkte erledigt und keine Problemmeldungen mehr offen sind. Abgeschlossene oder abgelehnte Datenschutzanfragen einschließlich Antwort werden 60 Tage nach dem Abschluss entfernt. Offene Anfragen werden davon nicht erfasst. Firmenlöschung kann in der App beantragt werden: Nutzungssperre sofort, Widerruf innerhalb von 30 Tagen, anschließende Löschung der Zugänge und operativen Daten durch den täglichen Serverlauf. Arbeitszeitnachweise und zugehörige Nachweise werden vorher in ein verschlüsseltes, gesperrtes Jahresarchiv übernommen und bleiben bis zum Ablauf der genannten Zehnjahresfrist erhalten. GPS-Daten und Aufgaben werden nicht in dieses Archiv übernommen. Archivzugriff erfolgt ausschließlich durch befugte Personen zur Nachweisbereitstellung nach Berechtigungsprüfung. Der Unternehmer muss erforderliche Unterlagen zusätzlich vorher selbst exportieren und sichern. Das Archiv ersetzt nicht die eigene Aufbewahrungspflicht des Unternehmens. Verschlüsselte Sicherungen werden auf dem Server mit einer Aufbewahrungsfrist von 14 Tagen geführt. Zusätzlich wird regelmäßig eine ebenfalls verschlüsselte Kopie auf einen Rechner des Betreibers in Deutschland übertragen. Dort werden die letzten 30 Kopien aufbewahrt; da jede Kopie den Sicherungsverlauf der letzten 14 Tage enthält, können Daten dort bis zu etwa 44 Tage nach ihrer Löschung vorhanden sein, länger nur, wenn der Rechner zwischendurch ausgeschaltet war. Das Postfach info@mdashboard.de ist in diesen Sicherungen enthalten und wird zusätzlich gesondert gesichert; diese gesonderten Sicherungen bleiben auf dem Server etwa zwei Monate (14 tägliche und 8 wöchentliche Stände). Bei Wiederherstellung müssen zwischenzeitliche Löschungen anhand des getrennten Löschjournals erneut berücksichtigt werden. Fehlt ein ausreichend aktuelles Journal, wird die Wiederfreigabe bis zur Klärung des Löschstands ausgesetzt. Passwort- und Bestätigungslinks sind 60 Minuten gültig; verbrauchte Links werden entfernt.
## Sicherheit und lokale Speicherung
Der öffentliche Betrieb verwendet HTTPS. Für Anmeldung, Sitzungen und den Schutz von Formularen werden technisch notwendige Cookies verwendet: „__Host-mdashboard-session“ (Sitzung) und „XSRF-TOKEN“ (Schutz vor gefälschten Anfragen), jeweils mit einer Laufzeit von zwei Stunden. Sie werden auch auf den öffentlichen Seiten gesetzt, damit Formulare wie die Firmenregistrierung sicher funktionieren, und sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Die App speichert darüber hinaus nur flüchtige Sitzungsdaten. Die App speichert keine Passwörter für spätere Anmeldungen. Vom Nutzer angeforderte Exportdateien können auf dem Gerät und in dessen temporärem Speicher liegen. Es sind keine Werbe- oder Analyse-SDKs vorgesehen. Anwendungsprotokolle werden je Tag in eine eigene Datei geschrieben; aufbewahrt werden höchstens 14 Tagesdateien (an Tagen ohne Einträge entsteht keine Datei, ältere Dateien bleiben dann entsprechend länger). Wird eine Grenze für Anmeldeversuche erreicht, speichert das Anwendungsprotokoll die IP-Adresse mit Zeitpunkt und Art der Grenze; ein Schutzprogramm sperrt diese Adresse daraufhin vorübergehend. Einträge in der Sperrdatenbank werden nach acht Tagen, das Sperrprotokoll nach etwa fünf Wochen gelöscht. Fehlerprotokolle des Webservers werden täglich rotiert; aufbewahrt werden höchstens 14 Archivdateien. Zugriffsprotokolle des Webservers sind für MDashboard abgeschaltet. Keine Passwörter oder vollständigen Anfrageinhalte sollen protokolliert werden.
## Rechte
Je nach Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie der Widerruf einer Einwilligung mit Wirkung für die Zukunft. Anfragen zu Auskunft, Berichtigung, Löschung und Einschränkung können in der App unter Konto & Datenschutz → Datenschutzanfragen an das eigene Unternehmen gerichtet werden. Für Beschäftigtendaten ist zunächst der Arbeitgeber Ansprechpartner; Anfragen zum Anbieter können an info@mdashboard.de gerichtet werden. Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. In Hessen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, https://datenschutz.hessen.de/.
## Widerspruchsrecht (Art. 21 DSGVO)
**Soweit Daten auf Grundlage berechtigter Interessen verarbeitet werden (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.** Die Daten werden dann nicht mehr verarbeitet, es sei denn, es bestehen nachweisbar zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine Nachricht an info@mdashboard.de genügt; für Beschäftigtendaten ist zunächst der Arbeitgeber Ansprechpartner.
Rückmeldungen und technische Fehlerberichte
Über Problem melden kannst du freiwillig Fehler und Ideen an den MDashboard-Support senden. Dabei speichern wir deine Nutzerkennung, den Text, die betroffene Seite, Plattform und App-Version sowie optional ein zuvor angezeigtes Bildschirmfoto. Vor dem Versand werden Texte, Eingaben, Bilder und Karten automatisch verdeckt. Du siehst eine Vorschau und kannst das Foto weglassen. Auf nicht ausdrücklich freigegebenen Seiten wird kein Foto aufgenommen. Bitte übermittle keine Passwörter, Gesundheitsdaten oder Angaben über andere Personen. Zugriff haben ausschließlich der berechtigte Support und ausdrücklich freigeschaltete Auswerter. Die Speicherung erfolgt auf unserer eigenen Serverinfrastruktur.
Technische Fehlerberichte enthalten ausschließlich die Fehlerklasse und bereinigte Programmstellen, keine Eingabe- oder Fehlermeldungstexte. Sie werden nach 30 Tagen gelöscht.
Offene Rückmeldungen werden spätestens nach 365 Tagen und erledigte Rückmeldungen 90 Tage nach Abschluss einschließlich der Bilder gelöscht. Zweck ist die Fehlerbehebung und Verbesserung der App. Eigene Rückmeldungen kannst du exportieren; bei der endgültigen Kontolöschung werden sie mitgelöscht. Für Auskunft oder Löschung kontaktiere info@mdashboard.de.
Optionale Push-Mitteilungen
Du kannst Push-Mitteilungen für deine angemeldeten Geräte aktivieren und nach Aufgaben, Anträgen und Dienstplan filtern. Die Zustellung erfolgt über Google Firebase Cloud Messaging und bei Apple-Geräten zusätzlich über den Apple Push Notification Service. Dafür werden technische Installations- und Gerätekennungen verarbeitet. Übermittelt werden nur ein allgemeiner Hinweis und eine zufällige Meldungskennung; Aufgabeninhalte, Namen, Gesundheitsdaten, Standorte und Bildschirmfotos werden nicht in Push-Nachrichten aufgenommen. Details sind erst nach Anmeldung in MDashboard zugänglich.
Unsere Meldungsübersicht wird nach 30 Tagen bereinigt. Gerätezuordnungen werden nach 30 Tagen ohne erneute Anmeldung oder Aktualisierung entfernt; beim Abmelden wird der Versand für diese Anmeldung deaktiviert. Push kannst du in den Benachrichtigungseinstellungen für dein Konto sowie in den Geräteeinstellungen ausschalten. Google verarbeitet Zustelldaten auf globaler Infrastruktur, gegebenenfalls auch außerhalb der EU. Informationen zur Verarbeitung und Aufbewahrung durch Firebase: https://firebase.google.com/support/privacy. Für Apple gelten zusätzlich die Datenschutzhinweise unter https://www.apple.com/legal/privacy/.
Projektzuordnung und Firmenfahrzeuge
Dein Unternehmen legt Projekte und Baustellen an. Arbeitsbeginn und Projektwechsel werden einem Projekt zugeordnet; Pausen werden getrennt erfasst. Die Firmenleitung sieht die Arbeitsstunden je Projekt und Mitarbeiter. Mitarbeiter sehen ihre eigenen Arbeitszeiten. Wenn dein Unternehmen dir die Nutzung eines Firmenfahrzeugs zuordnet, wird beim Feierabend der tatsächliche Kilometerstand erfasst, gegebenenfalls zusammen mit einer Fahrzeugbezeichnung oder einem Kennzeichen. Die Firmenleitung sieht diese Einträge, Mitarbeiter ihre eigenen. Die Angaben dienen der betrieblichen Zuordnung der Arbeitszeit und dem Nachweis der Fahrzeugnutzung; daraus wird keine laufende Ortung erstellt. Projektzuordnungen und Kilometerstände sind Bestandteil der Arbeitsnachweise und ihrer bestehenden Aufbewahrungs- und Exportregeln.