Datenschutzerklärung

Stand: Oktober 2026

Das Wichtigste vorab

Ihre Beschäftigtendaten verlassen nie Ihren Browser. Die CSV-Datei, die Sie in den Rechner laden, wird ausschließlich lokal auf Ihrem Gerät (in Ihrem Browser) gelesen und berechnet. Sie wird weder an uns noch an Dritte übertragen, nicht gespeichert und nicht protokolliert. Auch die Ergebnisse, Ihr Firmenname im Bericht und die erzeugten Vorlagen entstehen nur in Ihrem Browser. Wir setzen keine Cookies zu Analyse- oder Werbezwecken und keine Inhalte von Drittanbietern (Schriften, Skripte, CDNs) ein. Für eine cookielose Reichweitenmessung zählen wir mit einem selbst betriebenen Plausible Analytics Seitenaufrufe und einige Bedienschritte – nie Beschäftigtendaten oder Ergebnisse (siehe 5., dort auch zum Abschalten). Nur nach einer erfolgreichen Lizenzprüfung setzen wir ein technisch notwendiges, kurzlebiges Freischalt-Cookie (siehe 4.).

1. Verantwortlicher

Timo Mitsch – Mitsch Labs
Oderstraße 17, 10247 Berlin
E-Mail: support@gapsense.eu

2. Bereitstellung der Website (Hosting und Server-Logfiles)

Die Website www.gapsense.eu wird auf einem gemieteten Server (VPS) bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Der Server steht in einem Rechenzentrum in Nürnberg (Deutschland). Der Hoster verarbeitet die Daten in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht.

Beim Aufruf der Website verarbeitet der Server Ihre IP-Adresse und die Anfrage technisch, um die Seiten auszuliefern. Zugriffsprotokolle (Access-Logs) mit IP-Adresse, aufgerufener Datei oder User-Agent schreiben wir nicht. Unsere Anwendung protokolliert nur je Freischalt- bzw. Abrufversuch eine Zeile mit Zeitpunkt, gekürztem Lizenzschlüssel bzw. gekürzter Checkout-ID (z. B. „GAPS…ABCD“) und dem Ergebnis, ohne IP-Adresse, sowie Start- und Fehlermeldungen. Diese Protokolle werden nach 14 Tagen automatisch gelöscht. Zweck ist der sichere und stabile Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Daten findet nicht statt.

3. Lokale Speicherung im Browser

Wir speichern im lokalen Speicher Ihres Browsers (localStorage) nur: Ihre Farbschema-Einstellung (hell/dunkel), nach einem Kauf einen Hinweis, dass in diesem Browser eine Lizenz hinterlegt ist (gekürzter Schlüssel wie „GAPS…ABCD“ und Ablaufdatum – nicht der Schlüssel selbst), sowie – nur wenn Sie die Reichweitenmessung abschalten – den Vermerk „plausible_ignore“ (siehe 5.). Diese Daten verlassen Ihr Gerät nicht.

Damit Sie den Lizenzschlüssel nicht bei jedem Besuch erneut eingeben müssen, setzt unser Server nach einer erfolgreichen Freischaltung das Cookie „gs_license“. Es enthält Ihren Lizenzschlüssel, die Aktivierungskennung und das Ablaufdatum, verschlüsselt (AES-256-GCM), und ist für Skripte auf der Seite nicht lesbar (HttpOnly). Ihr Browser sendet es nur an unsere Schnittstellen unter /api (nicht an andere Seiten, nicht an Dritte). Es gilt bis zum Ablauf der Lizenz, höchstens 12 Monate. Beim Seitenaufruf prüft unser Server damit die Lizenz erneut bei Polar (siehe 4.).

Sie können diese Daten jederzeit über „Lizenz in diesem Browser entfernen“ (löscht auch das Cookie) oder über die Browser-Einstellungen löschen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich, um die von Ihnen gekaufte Lizenz in diesem Browser aktiv zu halten bzw. für den von Ihnen gewünschten Dienst).

4. Kauf und Lizenzprüfung

Den Vollbericht verkaufen wir über Polar Software Inc. (Polar), die als Wiederverkäufer (Merchant of Record) den Kaufvertrag, die Zahlungsabwicklung, die Rechnungsstellung und die Umsatzsteuer übernimmt. Wenn Sie auf „Vollbericht kaufen“ klicken, werden Sie zum Checkout von Polar weitergeleitet; dort gelten die Datenschutzhinweise von Polar (polar.sh/legal/privacy-policy). Wir erhalten von Polar die zur Abwicklung erforderlichen Bestelldaten (z. B. Name, E-Mail-Adresse, Bestellung) und die Lizenzdaten (Schlüssel, Aktivierungen, Ablaufdatum). Diese Bestell- und Lizenzdaten speichern wir für die Laufzeit der Lizenz und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen (in der Regel bis zu zehn Jahre, § 147 AO, § 257 HGB); danach werden sie gelöscht.

Polar Software, Inc. hat ihren Sitz in den USA (3500 South DuPont Highway, Dover, DE 19901). Für die Daten im Checkout ist Polar selbst verantwortlich und setzt Stripe als Zahlungsdienstleister ein. Übermittlungen in die USA erfolgen nach Angaben von Polar auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Beim Freischalten sendet Ihr Browser den eingegebenen Lizenzschlüssel und – falls vorhanden – die Aktivierungskennung an unseren Server. Unser Server prüft den Schlüssel bei Polar (api.polar.sh) und übermittelt dazu nur den Schlüssel, die Aktivierungskennung und unsere Organisationskennung. Bei Erfolg setzt er ein technisch notwendiges Cookie („gs_unlock“, gültig 10 Minuten), das ausschließlich das Laden des freigeschalteten Programmteils erlaubt und keine personenbezogenen Daten enthält, sowie das verschlüsselte Lizenz-Cookie „gs_license“ (siehe 3.). Den Lizenzschlüssel speichern wir auf dem Server nicht; in den Server-Protokollen erscheint er nur gekürzt (z. B. „GAPS…ABCD“). Zum Schutz vor Missbrauch wird die Zahl der Prüfversuche je IP-Adresse kurzzeitig im Arbeitsspeicher gezählt (höchstens 10 Minuten, keine Speicherung auf Datenträgern). Nach dem Kauf leitet Polar Sie mit einer Kennung des Bezahlvorgangs (Checkout-ID) in der Adresse zu uns zurück. Ihr Browser entfernt diese Kennung sofort aus der Adresszeile und sendet sie an unseren Server; der Server ruft damit bei Polar den zu diesem Kauf ausgegebenen Lizenzschlüssel ab, damit Sie ihn sofort erhalten. Die Kennung wird nicht gespeichert und in den Server-Protokollen nur gekürzt vermerkt; ein Abruf ist nur innerhalb von 24 Stunden nach dem Kauf möglich. Beschäftigtendaten werden weder an unseren Server noch an Polar übertragen. Rechtsgrundlage für die Übermittlung von Lizenzschlüssel, Aktivierungskennung und Checkout-ID an Polar ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: Prüfung und Auslieferung der gekauften Lizenz); die Übermittlung in die USA erfolgt wie oben beschrieben auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für das Zählen der Prüfversuche gilt Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz), für das Cookie § 25 Abs. 2 Nr. 2 TDDDG.

5. Reichweitenmessung (Plausible Analytics, selbst gehostet)

Um zu verstehen, wie die Website genutzt wird, zählen wir Seitenaufrufe und einige Bedienschritte mit der Open-Source-Software Plausible Analytics. Wir betreiben sie selbst auf einem eigenen Server bei der Hetzner Online GmbH in Deutschland (Nürnberg), mit der ein Vertrag zur Auftragsverarbeitung besteht. Daten gehen weder an den Hersteller von Plausible noch an andere Dritte.

Ihr Browser sendet die Ereignisse an unseren eigenen Server, der sie an die Plausible-Instanz weiterleitet. Es wird kein Skript eines Drittanbieters geladen. Übermittelt werden nur: die Seitenadresse ohne Parameter (nichts nach „?“), bei einem Seitenaufruf die Domain der Seite, von der Sie kommen, sowie der Name eines dieser Ereignisse: CSV geladen (mit grober Zeilenzahl wie „50–249“ und ob es die Beispieldatei war), Berechnet, Kauf gestartet, Kauf abgeschlossen, Freigeschaltet, Bericht gedruckt, Vorlage geladen (Art und Format der Vorlage), Beispielbericht geöffnet und Fehler (nur ein technischer Fehlercode). Nicht übermittelt werden Beschäftigtendaten, Ergebnisse der Berechnung, Dateinamen, Firmennamen oder Lizenzschlüssel.

Ihre IP-Adresse und die Browserkennung (User-Agent) werden nur verwendet, um eine täglich wechselnde Kennung (Hash) zu bilden, mit der Besuche desselben Tages gezählt werden, und um Land und Gerätetyp grob abzuleiten. Sie werden nicht gespeichert; die Kennung lässt keinen Rückschluss auf Sie zu und wird nach einem Tag wertlos. Wir sehen nur zusammengefasste Statistiken, keine Profile einzelner Personen. Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert – außer dem Abschalt-Vermerk, wenn Sie ihn unten setzen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung und Fehlerbehebung des Angebots). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, weil wir für die Messung keine Informationen auf Ihrem Gerät speichern oder auslesen; den Abschalt-Vermerk speichern wir nur auf Ihren Wunsch (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren (support@gapsense.eu), verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Kauf, eine Lizenz oder die Durchführung des Vertrags betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Angaben, sobald sie nicht mehr erforderlich sind, spätestens sechs Monate nach Abschluss der Anfrage, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Für unser E-Mail-Postfach nutzen wir Apple iCloud Mail (iCloud+ mit eigener E-Mail-Domain). Anbieter ist für Nutzer in der EU die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Republik Irland. E-Mails werden auf Servern von Apple gespeichert. Dabei kann eine Übermittlung an die Apple Inc. in den USA stattfinden; Apple stützt solche Übermittlungen nach eigenen Angaben auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Näheres in der Datenschutzrichtlinie von Apple (apple.com/de/legal/privacy). Bitte senden Sie uns per E-Mail keine Beschäftigtendaten.

7. Kontaktformular (Zoho Forms)

Für Anfragen bieten wir zusätzlich ein Kontaktformular an. Anbieter des Formulardienstes ist die Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande; die Formulardaten werden in einem Rechenzentrum von Zoho in der EU verarbeitet. Das Formular ist auf unserer Website nur verlinkt und öffnet sich auf einer Seite von Zoho in einem neuen Tab; auf unserer Website werden keine Inhalte oder Skripte von Zoho geladen.

Verarbeitet werden die Angaben, die Sie in das Formular eintragen (E-Mail-Adresse, Thema, Nachricht sowie freiwillig Name und Unternehmen), und die technischen Daten, die Zoho für die Bereitstellung des Formulars und den Schutz vor Missbrauch benötigt (z. B. IP-Adresse, Zeitpunkt, Browserangaben). Zweck ist die Beantwortung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten).

Wir löschen die Angaben, sobald sie nicht mehr erforderlich sind, spätestens sechs Monate nach Abschluss der Anfrage, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Für die Seite des Formulars selbst – etwa für dort eingesetzte Cookies und das Captcha – gelten ergänzend die Datenschutzhinweise von Zoho. Bitte senden Sie uns über das Formular keine Beschäftigtendaten.

8. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin. Anfragen zu Ihren Rechten richten Sie bitte an support@gapsense.eu.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ein formloser Widerspruch an support@gapsense.eu genügt. Der Reichweitenmessung können Sie zusätzlich direkt über die Schaltfläche in Abschnitt 5 widersprechen.

9. Hinweis für Arbeitgeber

Da die Beschäftigtendaten Ihr Gerät nicht verlassen, verarbeiten wir sie nicht und sind insoweit weder Verantwortlicher noch Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag ist dafür nicht erforderlich. Für die Verarbeitung der Daten in Ihrem Unternehmen (z. B. Export aus der Lohnabrechnung) bleiben Sie verantwortlich.