Datenschutzerklärung

1. Wer wir sind und was diese Erklärung abdeckt

SovranPOS ist ein Produkt der SOVRAN DIGITAL LTD, einer Gesellschaft nach englischem Recht mit der Handelsregisternummer 17051226 (Companies House, England und Wales) und dem Sitz Office 17116, 182–184 High Street North, East Ham, London, E6 2JA, Vereinigtes Königreich.

Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten verarbeiten, wenn Sie pos.sovrandigital.com besuchen, uns wegen einer Demo kontaktieren, ein SovranPOS-Konto eröffnen oder die cloudbasierte Anwendung SovranPOS und die damit verbundenen Leistungen (zusammen der „Dienst“) nutzen. Sie gilt zusammen mit unseren AGB und der Cookie-Richtlinie.

Wir verarbeiten personenbezogene Daten nach der UK General Data Protection Regulation (UK GDPR), dem Data Protection Act 2018 und — soweit betroffene Personen im Europäischen Wirtschaftsraum betroffen sind — nach der EU-Datenschutz-Grundverordnung (EU-DSGVO).

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

Für Daten, die über diese Website, Demo-Anfragen, unsere eigenen Kundenkonten und die Rechnungsstellung erhoben werden, sind wir Verantwortlicher. Wir entscheiden, warum und wie diese Daten verarbeitet werden.

Für die Geschäftsdaten, die ein Betrieb in SovranPOS führt — Produkte, Verkäufe, Lager, Mitarbeiterkonten, Arbeitszeiten, Kunden- oder Loyalitätsdaten und vergleichbare Betriebsdaten — ist der Betrieb der Verantwortliche und wir handeln als sein Auftragsverarbeiter nach Art. 28 UK GDPR und, soweit anwendbar, Art. 28 DSGVO. Der Betrieb entscheidet, welche Daten eingegeben werden und wer sie sehen darf. Wir verarbeiten sie nach seinen dokumentierten Weisungen und nur zur Bereitstellung, Absicherung und Betreuung des Dienstes.

Für jeden Geschäftskunden steht ein Auftragsverarbeitungsvertrag (AVV) bereit. Schreiben Sie an privacy@sovrandigital.co.uk, wir senden ihn vor dem Onboarding zu. Der AVV regelt Gegenstand, Dauer, Zweck, Datenkategorien, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung und Rückgabe der Daten sowie unsere Pflichten als Auftragsverarbeiter.

3. Welche Daten wir verarbeiten

3.1 Besucher der Website

• Technische Daten, die Ihr Browser übermittelt: IP-Adresse, Browsertyp und -version, Betriebssystem, Gerätetyp, aufgerufene Seite, Zeitpunkt des Aufrufs und verweisende Seite.
• Ihre Einstellung für die helle oder dunkle Darstellung, die im lokalen Speicher Ihres Browsers unter dem Schlüssel sovranpos-theme gespeichert wird. Sie wird nicht an uns übermittelt.
• Daten, die beim Laden der Schriftart Inter an Google Fonts übermittelt werden: IP-Adresse, Browserinformationen und die angeforderte Schriftdatei. Siehe Abschnitt 5.

Die öffentliche Website verwendet keine Analyse-, Werbe- oder Session-Recording-Werkzeuge und kein websiteübergreifendes Tracking. Wir erstellen keine Besucherprofile.

3.2 Demo-Anfragen und direkter Kontakt

Unser Kontaktformular öffnet Ihr E-Mail-Programm mit den eingegebenen Angaben. An unseren Server wird nichts übermittelt, bis Sie diese E-Mail absenden. Wenn Sie uns schreiben oder anrufen, verarbeiten wir die von Ihnen mitgeteilten Daten, insbesondere Name, Firmenname, E-Mail-Adresse, Telefonnummer, Ort, Art des Betriebs, Anzahl der Kassen oder Standorte und Ihre Nachricht.

3.3 Konten, Verträge und Abrechnung

• Firmen- und Kontaktdaten: Firmenname, Rechnungsadresse, Ansprechpartner, E-Mail-Adresse und Telefonnummer.
• Konto- und Sicherheitsdaten: Benutzername, Rolle, gehashtes Passwort, optionale Daten zur Zwei-Faktor-Authentifizierung und Wiederherstellungscodes, Anmelde- und Sicherheitsereignisse.
• Vertrags- und Zahlungsdaten: Tarif, Laufzeit, Rechnungen, Zahlungsstatus und Korrespondenz. Kartenzahlungen am Terminal werden vom Zahlungsdienstleister verarbeitet; wir erhalten das Zahlungsergebnis, nicht die Kartennummer.
• Supportdaten: Inhalt von E-Mails und Gesprächen sowie Diagnoseinformationen, die Sie uns senden oder die wir zur Reproduktion einer Störung benötigen.

3.4 Betriebsdaten, die ein Betrieb eingibt

Bei der Nutzung des Dienstes können Betriebe Daten über ihr Geschäft, ihre Mitarbeiter und ihre Kunden eingeben. Dazu gehören insbesondere:

• Verkäufe, Bestellungen, Zahlungsergebnisse, Storni, Rabatte und Schichtberichte;
• Produkte, Preise, Lagerbestände, Lieferanten und Einkäufe;
• Mitarbeiterkonten, Rollen, PINs (als Hash gespeichert), Arbeitszeiten, Dienstpläne, Abwesenheiten und, falls genutzt, lohndatenbezogene Stammdaten;
• Kunden- oder Loyalitätsdaten, Kontaktdaten und Kaufhistorie;
• fiskalische Aufzeichnungen, TSE-Signaturen, Z-Berichte, DSFinV-K-Exporte und Aktivitätsprotokolle mit Benutzer, Zeit, Aktion und IP-Adresse;
• Dateien und Einstellungen, die der Betrieb im Dienst speichert.

Wir fordern Betriebe nicht auf, besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten, religiöse Überzeugungen oder biometrische Daten) einzugeben. Ein Betrieb, der solche Daten verarbeiten möchte, muss dafür eine eigene Rechtsgrundlage haben und uns vor dem Onboarding informieren.

3.5 KI-gestützte Funktionen

Einzelne optionale Funktionen nutzen künstliche Intelligenz, um Vorschläge oder Zusammenfassungen zu erzeugen. Wenn ein Betrieb sie nutzt, werden die für die Anfrage benötigten Daten verarbeitet, um das Ergebnis zu erstellen. Das Ergebnis ist ein Vorschlag, keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Ein Mitarbeiter des Betriebs entscheidet, ob er es verwendet. Wir verwenden Betriebsdaten nicht zum Training eigener KI-Modelle; wird ein KI-Dienst Dritter eingesetzt, beschreibt der AVV dessen Rolle und die anwendbaren Garantien.

4. Zwecke und Rechtsgrundlagen

Soweit wir uns auf berechtigte Interessen stützen, haben wir unser Interesse gegen Ihre Rechte abgewogen. Sie können der Verarbeitung jederzeit über die unten genannten Kontaktdaten widersprechen.

5. Cookies, Schriftarten und ähnliche Technologien

Die öffentliche Website verwendet keine Analyse- oder Werbewerkzeuge. Unsere eigenen Seiten setzen ein funktionales Cookie, sovranpos_lang, um zu merken, ob die Website auf Deutsch oder Englisch angezeigt wird. Es wird beim ersten Besuch aus dem Land des Besuchers gesetzt oder wenn der Wechsler DE/EN benutzt wird, enthält keine Kennung, wird nicht zum Tracking verwendet und läuft nach einem Jahr ab. Die oben beschriebene Darstellungseinstellung bleibt im lokalen Speicher bis zu Ihrer Löschung bestehen. Cloudflare kann ein unbedingt erforderliches Bot-Management-Cookie setzen, wenn eine Anfrage eine Sicherheitsprüfung auslöst; siehe Abschnitt 6.

Nach der Anmeldung verwendet die SovranPOS-Anwendung ein unbedingt erforderliches Sitzungs-Cookie, um die Sitzung zu schützen. Es ist HttpOnly und endet mit der Abmeldung oder dem Ablauf der Sitzung. Einzelheiten stehen in der Cookie-Richtlinie.

Die öffentlichen Seiten laden die Schriftart Inter von Google Fonts, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und der Google LLC, USA. Beim Abruf erhält Google Ihre IP-Adresse, Browserinformationen und die angeforderte Datei. Wir nutzen die Schriftart für eine einheitliche Darstellung. Rechtsgrundlage ist unser berechtigtes Interesse an einer konsistenten, schnellen Darstellung (Art. 6 Abs. 1 lit. f); der Abruf ist zur Auslieferung der Seite in der vorgesehenen Gestaltung erforderlich. Google Fonts setzt für diesen Abruf keine Cookies. Wenn Sie den Abruf blockieren, bleibt die Seite mit Ihrer Systemschrift lesbar.

Unsere öffentliche Website wird über Cloudflare ausgeliefert; dabei werden Verbindungs- und Sicherheitsdaten verarbeitet, wie in Abschnitt 6 beschrieben.

6. Empfänger von Daten

Wir verkaufen, vermieten oder handeln nicht mit personenbezogenen Daten. Wir geben sie nur an Dienstleister weiter, die uns beim Betrieb des Dienstes unterstützen, und nur soweit erforderlich:

Unsere Unterauftragsverarbeiter handeln nach dokumentierten Weisungen. Geschäftskunden finden die aktuelle Liste im AVV und werden über Änderungen nach dessen Bestimmungen informiert.

7. Internationale Übermittlungen

Die Anwendung und ihre Datenbank werden in Deutschland gehostet. Die Sicherungen werden auf einen Speicher außerhalb des Anwendungsservers innerhalb des EWR kopiert. Der größte Teil der Verarbeitung bleibt daher im Vereinigten Königreich und im EWR.

Einzelne Website-Dienste — Cloudflare und Google Fonts — können Verbindungsdaten außerhalb des Vereinigten Königreichs oder des EWR verarbeiten. Ist das der Fall, stützen wir uns auf einen Angemessenheitsbeschluss, das UK International Data Transfer Agreement oder Addendum, die EU-Standardvertragsklauseln oder die UK-Erweiterung des EU–US Data Privacy Framework, je nach Anwendbarkeit auf den Empfänger.

8. Wie lange wir Daten speichern

• Demo- und Kontaktanfragen: 24 Monate ab dem letzten Kontakt, danach Löschung, sofern kein Vertrag folgt.
• Kundenkonten und Verträge: während der Vertragslaufzeit und danach für die gesetzlichen Aufbewahrungsfristen für Steuer-, Buchhaltungs- und fiskalische Unterlagen. Daten, die nicht mehr benötigt werden, löschen oder anonymisieren wir.
• Server-Logs: für einen begrenzten, für Sicherheit und Fehleranalyse erforderlichen Zeitraum, danach Löschung oder Anonymisierung, soweit sie nicht zur Aufklärung eines konkreten Vorfalls benötigt werden.
• Operative Sicherungen: Der nächtliche Datenbank-Dump und die operativen Dateien rotieren nach 14 Tagen. Das Fiskalarchiv wird getrennt für die gesetzliche Dauer aufbewahrt und von dieser Rotation nicht erfasst.
• Lokaler Speicher: Die Darstellungseinstellung bleibt bis zur Löschung der Browser-Daten erhalten.
• Betriebsdaten: Verarbeitung, solange das Konto des Betriebs aktiv ist, danach nach AVV und Weisung des Betriebs, vorbehaltlich gesetzlicher Aufbewahrungspflichten für fiskalische und Geschäftsunterlagen.

9. Wie wir Daten schützen

Wir verwenden TLS für Website und Anwendung, bcrypt-Hashes für Passwörter und Mitarbeiter-PINs, optionale Zwei-Faktor-Authentifizierung, rollenbasierte Berechtigungen, mandantengebundene Datensätze und ein Aktivitätsprotokoll. Der Zugriff auf Produktivsysteme ist beschränkt. Die Datenbank wird nächtlich gesichert und die Sicherung außerhalb des Anwendungsservers kopiert.

Kartenzahlungen werden am Zahlungsterminal abgeschlossen. Die Kasse speichert das Zahlungsergebnis, nicht die Kartennummer. Kein System ist vollständig sicher. Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, schreiben Sie bitte an info@sovrandigital.co.uk, bevor Sie sie öffentlich machen.

10. Ihre Rechte

Nach der UK GDPR und, soweit anwendbar, der EU-DSGVO haben Sie das Recht:

• informiert zu werden und eine Kopie Ihrer Daten zu erhalten (Auskunft);
• unrichtige oder unvollständige Daten berichtigen zu lassen;
• Daten löschen zu lassen, soweit das Gesetz es vorsieht;
• die Verarbeitung einschränken zu lassen oder ihr zu widersprechen, auch bei Direktwerbung;
• von Ihnen bereitgestellte Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten (Datenübertragbarkeit);
• eine Einwilligung jederzeit zu widerrufen, ohne dass die Verarbeitung vor dem Widerruf unwirksam wird;
• nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche oder ähnlich erhebliche Wirkung hat — wir treffen solche Entscheidungen über Besucher und Kunden nicht;
• sich bei einer Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte schreiben Sie an privacy@sovrandigital.co.uk. Wir können Informationen zur Identitätsbestätigung anfordern und antworten innerhalb eines Monats; bei komplexen Anfragen teilen wir Ihnen die Gründe mit und verlängern die Frist nach Maßgabe des Gesetzes. Anfragen sind kostenlos, sofern sie nicht offensichtlich unbegründet oder exzessiv sind.

Wenn Ihre Daten von einem Betrieb in SovranPOS eingegeben wurden, ist der Betrieb der Verantwortliche. Bitte wenden Sie sich zuerst an den Betrieb; wir unterstützen ihn bei der Beantwortung Ihrer Anfrage.

11. Hinweise für Betriebe, Mitarbeiter und Gäste

Betriebe sind für die Rechtmäßigkeit der eingegebenen Daten, die Information ihrer Mitarbeiter und Kunden und ihre eigenen Aufbewahrungspflichten verantwortlich. Wir stellen AVV, Rollenberechtigungen, Exportfunktionen und Löschwerkzeuge bereit, die sie dafür benötigen.

Mitarbeiter sollten sich bei Fragen zu Arbeitszeit, Dienstplänen, Lohndaten und Aktivitätsprotokollen an ihren Arbeitgeber wenden. Wir verarbeiten diese Daten nach Weisung des Arbeitgebers.

Gäste und Kunden eines Betriebs sollten sich bei Fragen zu Kassenbons, Loyalitätskonten oder Kundendaten an den Betrieb wenden. Der Betrieb entscheidet, was aufgezeichnet und wie lange es aufbewahrt wird; wir stellen die technische Leistung bereit.

12. Kinder

Der Dienst ist ein Geschäftswerkzeug und richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie glauben, dass ein Kind Daten an uns übermittelt hat, kontaktieren Sie uns; wir löschen sie.

13. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, wenn sich der Dienst, unsere Dienstleister oder die Rechtslage ändern. Das Datum oben auf der Seite zeigt die aktuelle Fassung. Über wesentliche Änderungen informieren wir Geschäftskunden vorher per E-Mail oder in der Anwendung, soweit das Gesetz es verlangt.

14. Kontakt und Beschwerden

Bei Datenschutzfragen, Anfragen oder für einen AVV:

Sie können sich beim UK Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, ico.org.uk, Telefon 0303 123 1113, beschweren. Unsere ICO-Registrierungsnummer ist ZC142403. Wenn Sie im EWR leben, können Sie sich auch bei der Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes beschweren.

Wir würden ein Problem lieber zuerst selbst lösen. Schreiben Sie uns, wir antworten.