Datenschutz für App und Webanwendung

Diese Erklärung gilt für die PixKey-App (iPhone, iPad, Android) und die Webanwendung unter app.pixkey.de. Für die Website pixkey.de gilt die Datenschutzerklärung der Website. Hier steht, welche Daten die Anwendung verarbeitet, wer dafür verantwortlich ist, wohin die Daten gehen und wie Sie sie löschen.

1. Wer verantwortlich ist

Zwei Rollen, je nach Daten.

Ihre Firma ist Verantwortliche für die Mitarbeiterdaten. Sie trägt ein, wer welchen Schlüssel bekommt, und entscheidet über Zweck, Rechtsgrundlage und Aufbewahrung. Wir, die PixAgentur, verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, auf Weisung der Firma und auf Grundlage eines Auftragsverarbeitungsvertrags (AVV). Sind Sie als Mitarbeiter in einer Firma erfasst, wenden Sie sich für Auskunft und Löschung zuerst an diese Firma.
Wir sind Verantwortlicher für die Daten Ihres Benutzerkontos, also für Registrierung, Anmeldung und die Sicherheit des Dienstes: Sven Gauditz, PixAgentur, Ringstraße 3, 24321 Behrensdorf, E-Mail info@pixagentur.com, Telefon +49 1556 2920184.

2. Welche Daten wir verarbeiten

Mitarbeiter, die Schlüssel erhalten

Name, Personalnummer, Abteilung, die Zuordnung zu Schlüsseln und Vorgängen mit Zeitpunkten, Status und Bemerkung sowie das Unterschriftsbild bei Ausgabe und Rückgabe. Gespeichert wird nur das Bild der Unterschrift, nicht der Schreibverlauf. Zweck: der Nachweis, wer wann welchen Schlüssel erhalten und zurückgegeben hat.

Benutzerkonten

Name, E-Mail-Adresse, Rolle, das Passwort als Hash (nicht im Klartext), der Zeitpunkt der letzten Anmeldung und die Anmeldetokens. Schalten Sie die Zwei-Faktor-Anmeldung ein, kommen das Geheimnis Ihrer Authenticator-App (verschlüsselt gespeichert) und Prüfwerte Ihrer Wiederherstellungscodes dazu. Zweck: Registrierung, Anmeldung, Einladung weiterer Benutzer, Hinweise zum Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Nutzungsvertrags.

Geräte

Für ein gekoppeltes Tablet speichern wir den Gerätenamen, den der Verwalter vergibt, und die Zeitpunkte von Kopplung, letzter Aktivität und einer Sperrung. Ein gekoppeltes Gerät hat kein Benutzerkonto.

Technische Daten

Push-Token: eine Kennung Ihres Telefons, damit Hinweise ankommen. Die App meldet sie nur für Verwalter-Konten auf echten Geräten und nur, wenn Sie Mitteilungen erlauben.
Protokoll sicherheitsrelevanter Aktionen (Anmeldung, Ausgabe, Rückgabe, Änderungen an Stammdaten) mit Benutzer, Zeitpunkt und IP-Adresse.
Fehlerprotokoll des Servers mit Zeitpunkt, Meldung, IP-Adresse sowie Firmen- und Benutzer-ID, dazu das Zugriffsprotokoll des Webservers.
Absturz- und Fehlerberichte der App ohne Namen und ohne IP-Adresse, siehe Abschnitt 10.

Die Protokolle brauchen wir, um Fehler zu finden, Missbrauch zu erkennen und Vorgänge nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb. Absturzberichte der App beschreibt Abschnitt 10.

3. Wo die Daten liegen

Datenbank, Unterschriftsdateien und Sicherungen liegen auf einem Server der IONOS SE in Deutschland. IONOS arbeitet in unserem Auftrag. Die Unterschriften liegen als Dateien außerhalb des öffentlich erreichbaren Bereichs, jeder Abruf läuft über die Anmeldung und bleibt auf die eigene Firma begrenzt. Die Daten jeder Firma sind von denen anderer Firmen getrennt.

4. Was die App auf dem Gerät speichert

Die App arbeitet auch ohne Netz. Dafür hält sie die Stammdaten und Vorgänge Ihrer Firma in einer lokalen Datenbank (SQLite) auf dem Gerät. Eine Unterschrift, die Sie ohne Netz erfassen, liegt als Bilddatei im Speicher der App, bis sie der Server hat. Danach entfernt die App die Datei. Zugangsdaten legt die App im geschützten Speicher des Betriebssystems ab. Beim Abmelden und bei der Kontolöschung leert die App die lokale Kopie.

5. Kamera

Die Kamera liest die Nummer vom Schlüsselanhänger. Die Erkennung läuft auf dem Gerät, mit Apple Vision auf iOS und Google ML Kit auf Android. Das Foto verlässt das Gerät nicht, und die App speichert es nicht. Die Kamera fragt das Betriebssystem erst, wenn Sie die Funktion nutzen. Mikrofon, Standort und Kontakte verwendet die App nicht.

Eine KI-Erkennung über einen externen Dienst gibt es nur in der Webanwendung, nur im Tarif Plus und nur, wenn Sie sie auslösen. Dann geht das Foto an Anthropic. PixKey speichert es nicht und verwirft es nach der Erkennung. In der App und in den Tarifen Free und Basis geschieht das nicht.

6. Push-Hinweise

Verwalter können Hinweise wie „3 Schlüssel überfällig“ bekommen. Die Texte enthalten nur Zähler, nie Namen oder Schlüsselnummern. Wir stellen sie über den Dienst Expo zu, einen Anbieter in den USA, und Expo leitet sie an Apple (iOS) oder Google Firebase Cloud Messaging (Android) weiter. Dort liegen der Push-Token und der Hinweistext. Lehnen Sie Mitteilungen im Betriebssystem ab, läuft die App ohne Hinweise weiter. Wir löschen den Token, wenn Sie sich abmelden, Ihr Konto löschen oder das Gerät 90 Tage nichts mehr gemeldet hat.

7. Zahlung

Die App enthält keine Zahlung und keine Käufe. Kostenpflichtige Tarife schließen Sie im Web ab. Die Zahlung wickelt Stripe ab. Stripe erhält die Vertrags- und Zahlungsdaten der Firma, nicht die Daten ihrer Mitarbeiter.

Zur Prüfung der USt-IdNr. übermitteln wir Land und USt-IdNr. an das MwSt-Informationsaustauschsystem (VIES) der Europäischen Kommission. Wir tun das nur, wenn Sie bei den Rechnungsdaten eine USt-IdNr. aus einem anderen EU-Land angeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 18e UStG, ergänzend lit. f DSGVO (Nachweis der Steuerbefreiung). Wir speichern das Ergebnis und die Abfragenummer als Nachweis für die steuerfreie Rechnung.

8. Weitere Empfänger

Neben IONOS, Anthropic, Expo, Google (Android-Push und, im Free-Tarif nach der Testphase, Werbung über AdMob, siehe Abschnitt 9), Sentry (Absturzberichte der App, siehe Abschnitt 10), Stripe und Cloudflare (Bot-Schutz bei der Anmeldung der Webanwendung, siehe unten) gibt es keine. Mitarbeiter-, Schlüssel- und Vorgangsdaten geben wir nicht an Werbepartner oder Datenhändler weiter. Die App-Stores von Apple und Google verarbeiten Daten beim Herunterladen der App nach ihren eigenen Bedingungen. Sitz, Verarbeitungsort und Garantien für Übermittlungen in Drittländer sowie die Einzelheiten der Dienste regelt der Auftragsverarbeitungsvertrag.

Auf den Formularseiten der Webanwendung (Anmeldung, Registrierung, Einladung, Cockpit-Anmeldung) prüft der Dienst Cloudflare Turnstile von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ob ein Mensch das Formular ausfüllt. Cloudflare verarbeitet dabei Ihre IP-Adresse und technische Merkmale Ihres Browsers. Cookies zu Werbezwecken entstehen dabei nicht. Zweck ist der Schutz vor automatisierten Zugriffen, etwa dem massenhaften Ausprobieren von Passwörtern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb. Die Übermittlung in die USA stützt sich laut Anbieter auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Die App selbst nutzt Turnstile nicht.

9. Werbung im kostenlosen Tarif

Wann Werbung erscheint

Die App zeigt Werbung nur, wenn die Firma den Tarif Free ohne Abo nutzt und die 14 Tage Testphase vorbei sind, und nur auf unserem Server app.pixkey.de. In der Testphase, in den Tarifen Basis und Plus und bei einem eigenen Server der Kaufversion gibt es keine Werbung. Dann lädt die App das Google-Programmpaket (SDK) gar nicht und schickt nichts an Google. Die Webanwendung im Browser zeigt nie Werbung.

Zwei Formen gibt es: einen Banner in der Größe 300 × 250, der mit „Anzeige“ beschriftet ist, und eine Vollbildanzeige nach einer abgeschlossenen Ausgabe oder Rücknahme. Die Vollbildanzeige erscheint höchstens alle 10 Minuten, nie beim Start der App und nie auf gekoppelten Empfangs-Tablets. Dort läuft nur der Banner.

Anbieter und Daten

Die Werbung liefert Google AdMob aus, ein Dienst der Google Ireland Limited, Irland. Wir zeigen nur nicht personalisierte Anzeigen. Sie richten sich laut Google nach dem Zusammenhang, in dem sie erscheinen, etwa dem Inhalt der App und dem groben Standort, nicht nach Interessen aus Ihrem Nutzungsverhalten.

Das Google-SDK verarbeitet dennoch Daten. Laut Google sind das zum Beispiel die IP-Adresse, Geräteinformationen, ein ungefährer Standort, der sich aus der IP-Adresse ergibt, und Angaben dazu, wie Sie mit einer Anzeige umgehen. Auch bei nicht personalisierten Anzeigen nutzt Google laut eigener Auskunft solche Daten, um die Häufigkeit zu begrenzen, die Auslieferung auszuwerten und Missbrauch zu erkennen. Die Werbe-ID Ihres Geräts verwendet Google nur, wenn Sie einwilligen. Welche Daten Google genau erhebt und wie lange es sie speichert, steht in Googles Datenschutzerklärung. Google kann Daten auch in Ländern außerhalb der EU verarbeiten, insbesondere in den USA. Schlüsselnummern, Namen von Mitarbeitern, Vorgänge und Unterschriften gehen nicht an Google, die App übergibt sie dem SDK nicht.

Die App speichert auf dem Gerät Ihre Einwilligungsentscheidung und den Zeitpunkt der letzten Vollbildanzeige. Die App fragt nicht nach Apples Tracking-Erlaubnis (ATT), weil sie nur nicht personalisierte Anzeigen anfordert.

Einwilligung und Widerruf

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, weil das SDK auf Informationen auf Ihrem Gerät zugreift. Sie erteilen sie im Einwilligungsfenster von Google (Google UMP). Es erscheint, kurz nachdem die App den ersten Bildschirm gezeigt hat, und nennt die Werbepartner, an die Google Daten weitergeben kann. Lehnen Sie ab, zeigt die App keine Werbung, und Sie können die App ohne Einschränkung weiter nutzen.

Widerrufen oder ändern können Sie die Einwilligung jederzeit in der App unter Mehr → Datenschutz-Einstellungen für Werbung. Der Widerruf gilt ab dann, bereits erfolgte Verarbeitung bleibt rechtmäßig. Der Eintrag erscheint dort, wo Google ihn verlangt, vor allem im Europäischen Wirtschaftsraum. Ihre Rechte nach Abschnitt 13 gelten auch hier. Gegenüber Google, soweit es für die Werbung selbst verantwortlich ist, gilt Googles eigene Datenschutzerklärung.

Mehr bei Google

10. Fehler- und Absturzberichte (Sentry)

Stürzt die App ab oder tritt ein Fehler auf, den wir sonst nicht bemerken, schickt sie einen Bericht an Sentry. Anbieter ist die Functional Software, Inc. (Sentry), San Francisco, USA. Wir nutzen die EU-Region, die Daten werden in Frankfurt am Main verarbeitet.

Der Bericht enthält die Fehlermeldung, den Stacktrace (die Stelle im Programm, an der der Fehler auftrat), das Gerätemodell, die Betriebssystem- und App-Version und den Zeitpunkt. Dazu kommt eine anonyme Sitzungszahl: ob ein App-Start ohne Absturz endete. Namen, E-Mail-Adressen, Mitarbeiter-, Schlüssel- und Unterschriftsdaten sowie Bildschirmaufnahmen sendet die App nicht. Die App entfernt vor dem Senden Parameter aus Adressen, Zugangsdaten und E-Mail-Adressen aus den Meldungen; die Adresse eines eigenen Servers geht nicht mit. Sentry speichert keine IP-Adressen.

Zweck ist, Abstürze zu finden und zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer App, die fehlerfrei läuft. Sentry bewahrt die Berichte bis zu 90 Tage auf. Ihr Widerspruchsrecht steht in Abschnitt 13.

11. Kein Tracking, keine Analyse

Abgesehen von der Werbung in Abschnitt 9 und den Absturzberichten in Abschnitt 10 enthalten App und Webanwendung keine Analyse- oder Tracking-Dienste. Die Absturzberichte messen kein Verhalten. In der Testphase und in den bezahlten Tarifen gibt es weder Werbung noch eine Werbekennung. Die Webanwendung setzt ein Sitzungs-Cookie für die Anmeldung, technisch erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG.

12. Aufbewahrung und Löschung

Mitarbeiterdaten und Vorgänge bleiben, solange die Firma sie führt. Die Firma kann eine Frist einstellen (mindestens 365 Tage), nach der die Anwendung Personen automatisch anonymisiert, und jede Person auch einzeln anonymisieren. Dabei werden die Unterschriftsbilder endgültig gelöscht, der Name wird zu „Gelöscht“, und die Vorgänge bleiben ohne Personenbezug als Betriebsnachweis stehen.
Ein Benutzerkonto löschen Sie selbst, sofort. Name und E-Mail-Adresse verschwinden, alle Anmeldungen enden. Alte Vorgänge zeigen danach „Gelöschter Benutzer“, weil der Nachweis der Firma sonst lückenhaft wird.
Eine ganze Firma löscht der Inhaber. Die Firma ist sofort gesperrt, und nach 30 Tagen sind alle ihre Daten gelöscht, auch die Unterschriftsdateien. Bis dahin lässt sich die Löschung zurücknehmen.
Protokolle halten wir nur so lange vor, wie Fehlersuche und Sicherheit es verlangen.
Sicherungskopien verschwinden, wenn die Sicherung nach ihrer Aufbewahrungsdauer überschrieben wird.

Den Weg zur Löschung beschreibt die Seite Konto löschen.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine Einwilligung für Werbung (Abschnitt 9) widerrufen Sie jederzeit in der App. Für Ihr Benutzerkonto schreiben Sie an info@pixagentur.com. Für Mitarbeiterdaten ist Ihre Firma die Anlaufstelle; sie kann die Auskunft in der Anwendung mit einem Klick als Datei exportieren.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns ist das die Landesbeauftragte für Datenschutz Schleswig-Holstein (Unabhängiges Landeszentrum für Datenschutz, Kiel).

14. Änderungen

Ändert sich die App oder die Rechtslage, passen wir diese Erklärung an. Es gilt die jeweils veröffentlichte Fassung.

Stand: Oktober 2026