Datenschutzerklärung

1 · Wer verantwortlich ist

MW-SYSTEMS, Inhaber Marc Westermann, Moorstr. 69, 29664 Walsrode
Telefon +49 5161 60 29 12 · info@mw-systems.net · USt-IdNr. DE 227 589 493

Ein Datenschutzbeauftragter ist nicht bestellt; nach unserer Einschätzung besteht dazu keine Pflicht (§ 38 BDSG). Zuständige Aufsichtsbehörde ist Der Landesbeauftragte für den Datenschutz Niedersachsen, Postfach 221, 30002 Hannover.

Diese Erklärung gilt für unsere Website mw-systems.net, für die MW-SYSTEMS App (Android und iOS) und für die dahinterstehenden Dienste unter api.mw-systems.net. Wo sich Website und App unterscheiden, steht es dabei.

2 · Was wir nicht tun

Das steht am Anfang, weil es die häufigsten Fragen beantwortet. In der App gibt es keine Analyse- oder Statistikdienste, keine Absturzberichte an Dritte und keine Werbe-Kennungen — weder die Android-Werbe-ID noch die iOS-Kennung IDFA. Ein Tracking über Anbieter hinweg findet nicht statt.

Die App fragt Ihren Standort nicht ab (unter Android ist als einzige Berechtigung INTERNET angemeldet) und greift nicht auf Adressbuch, Kalender oder Telefonliste zu. Sie setzt keine Cookies — sie ist kein Browser. Die Schriften sind mitgeliefert und werden nicht von fremden Servern geladen.

Wir geben keine Daten zu Werbezwecken weiter und verkaufen keine. Tippen Sie in der App auf einen Verweis nach außen, etwa zum Routenplaner, gilt ab dort die Erklärung des jeweiligen Anbieters.

3 · Wenn Sie unsere Website besuchen

Aufruf der Seiten. Unser Server protokolliert IP-Adresse, Zeitpunkt, aufgerufene Seite, Statuscode und Browserkennung. Das fällt technisch an und dient dem Betrieb, der Fehlersuche und der Abwehr von Missbrauch. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

Cookies. Wir unterscheiden notwendige Cookies, Statistik und Inhalte Dritter. Ihre Auswahl treffen Sie beim ersten Besuch und können sie über „Cookie-Einstellungen" jederzeit ändern. Notwendige Cookies halten die Seite funktionsfähig und Ihre Auswahl fest (§ 25 Abs. 2 Nr. 2 TDDG, Art. 6 Abs. 1 lit. f). Alles Übrige wird erst nach Ihrer Einwilligung geladen und ist jederzeit widerrufbar (§ 25 Abs. 1 TDDG, Art. 6 Abs. 1 lit. a).

Inhalte Dritter — etwa eine Karte oder ein Video — übermitteln beim Laden Ihre IP-Adresse an den jeweiligen Anbieter. Auch sie werden erst nach Ihrer Einwilligung geladen.

Kontaktaufnahme. Schreiben Sie uns über das Formular oder per E-Mail, verarbeiten wir Ihre Angaben, Ihre Adresse und den Zeitpunkt, um die Anfrage zu beantworten. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei einer Anfrage zu einem Vertrag, sonst lit. f.

4 · Wenn Sie die App benutzen

Ohne Konto können Sie Öffnungszeiten, Leistungen, Aktuelles und den Warenbestand ansehen. Für Kundenkarte, Termine, Reservierungen, Reparaturaufträge und Chat brauchen Sie ein Konto. Soweit unten nichts anderes steht, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO — die Erfüllung des Nutzungsverhältnisses.

Konto und Anmeldung
Wir speichern Ihre E-Mail-Adresse, Ihr Passwort ausschließlich als Prüfwert (Argon2id — das Passwort selbst kennen wir nicht), die Zeitpunkte von Bestätigung und letzter Anmeldung sowie auf Wunsch ein Geheimnis für die Zwei-Faktor-Anmeldung. Auch Zugangs- und Erneuerungstoken liegen nur als Prüfwert vor.

Anmeldung mit Google oder Apple ist freiwillig und gleichwertig zur Anmeldung mit E-Mail und Passwort. Wir erhalten dann eine Kennung Ihres dortigen Kontos und Ihre E-Mail-Adresse und speichern die Kennung, um Sie wiederzuerkennen; Ihr Passwort dort erfahren wir nicht. Bei Apple können Sie Ihre Adresse verbergen — wir bekommen dann eine Weiterleitungsadresse. Dabei werden Daten an Google beziehungsweise Apple übermittelt, auch außerhalb der EU (Abschnitt 5).

Ihre Kundendaten

Vor- und Nachname, auf Wunsch Firma, Telefonnummer, Anschrift und Geburtsdatum, dazu interne Notizen unseres Personals zu Ihren Vorgängen und Schlagworte zur Zuordnung. Das Geburtsdatum ist freiwillig — wir nutzen es für eine Aktion zum Geburtstag; ohne Angabe entstehen Ihnen keine Nachteile. Für interne Notizen und Schlagworte ist die Grundlage Art. 6 Abs. 1 lit. f (ordnungsgemäße Bearbeitung); auch sie unterliegen Ihrem Auskunftsrecht.

Termine

Wir verarbeiten die gewünschte Leistung, Beginn und Ende, Ihr Anliegen als Freitext, Ihre Telefonnummer, bei einem Einsatz vor Ort die Anschrift, und wer zuständig ist.

Vereinbarte Termine übertragen wir in unseren betrieblichen Google-Kalender, damit sie auf allen Geräten der Werkstatt stehen. Damit gelangen Ihr Name, die Leistung, der Zeitpunkt und Ihr Anliegen zu Google, auch außerhalb der EU; ein Vertrag zur Auftragsverarbeitung besteht. Bitte schreiben Sie in das Feld „Anliegen" nur, was für den Auftrag nötig ist — insbesondere keine Gesundheitsangaben.

Reservierungen, Reparaturen und Aufträge vor Ort

Reservierungen: welche Artikel Sie in welcher Menge zurücklegen lassen, bis wann, der Stand und eine etwaige Verlängerung. In der App wird nichts gekauft und nichts bezahlt; der Kauf kommt erst im Ladengeschäft zustande.

Reparaturaufträge: Gerät und Fehlerbeschreibung, der Stand und der Nachrichtenverlauf. Für die Freigabe eines Kostenvoranschlags versenden wir einen Verweis mit einem Schlüssel per E-Mail. Der Schlüssel läuft ab und wird nach Ihrer Entscheidung entfernt — wer den Verweis hat, kann die Freigabe erteilen, bitte geben Sie ihn nicht weiter. Geben Sie einen Kostenvoranschlag aus der Ferne frei, speichern wir Zeitpunkt, Weg und Wortlaut Ihrer Zustimmung zum Beginn vor Ablauf der Widerrufsfrist und wann wir Ihnen die Widerrufsbelehrung geschickt haben (zusätzlich Art. 6 Abs. 1 lit. c DSGVO, § 312f BGB).
Widerruf: Erklären Sie einen Widerruf in der App oder über unser Widerrufsformular, speichern wir Ihren Namen, die Auftragsnummer, Ihre E-Mail-Adresse und den Zeitpunkt des Eingangs und bestätigen Ihnen den Eingang per E-Mail (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB). Weicht die angegebene Adresse von der zum Auftrag hinterlegten ab, benachrichtigen wir zusätzlich die hinterlegte — damit niemand einen fremden Auftrag unbemerkt widerruft (Art. 6 Abs. 1 lit. f DSGVO).
Aufträge vor Ort: Ort und Zeiten, Anfahrt, ausgeführte Arbeiten und Material, Fotos vom Einsatz sowie Ihre Unterschrift als Bild mit Namen und Zeitpunkt. Die Unterschrift belegt, dass die Leistung erbracht wurde (zusätzlich Art. 6 Abs. 1 lit. f). Gespeichert wird ein Bild des Schriftzugs — kein Bewegungsablauf, kein Druck, keine Geschwindigkeit. Gehört zu Ihnen ein unterschriebener Auftrag, ist die Löschung eingeschränkt (Abschnitt 8).

Chat, Kamera und Fotos

Wir verarbeiten Ihre Nachrichten, Bilder, Zeitpunkte und Lesevermerke. Die Nachrichten liegen bei uns verschlüsselt (AES-256-GCM), die Bilder unverschlüsselt und nur mit gültiger Anmeldung abrufbar. Der Chat ist nicht Ende-zu-Ende-verschlüsselt — unser Personal muss mitlesen können, um zu antworten.

Den Zugriff auf Kamera und Fotos fragt die App erst, wenn Sie ein Bild aufnehmen oder auswählen wollen. Übertragen wird ausschließlich das Bild, das Sie selbst auslösen; unter Android gibt der Systemdialog nur das frei, was Sie antippen.
Kundenkarte und Benachrichtigungen

Kundenkarte: Ihre Kartennummer (sie steckt im QR-Code), der Stempelstand, die einzelnen Vorgänge mit Zeitpunkt und eingelöste Gutscheine.

Benachrichtigungen zu Ihren Vorgängen: ein Gerätetoken, die Plattform, die gewählten Kategorien und Vermerke über Versand und Antippen — damit wir Sie über den Stand einer Reparatur, einen Termin oder eine ablaufende Reservierung erreichen. Der Versand läuft technisch notwendig über Firebase Cloud Messaging (Google); übermittelt werden das pseudonyme Token und der Anlass, nichts darüber hinaus. Sie können Benachrichtigungen jederzeit in der App je Kategorie oder in den Geräteeinstellungen ganz abschalten.

Werbliche Nachrichten nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG). Wir speichern dafür zusätzlich Ihre Zuordnung zu einer Kundengruppe sowie Zeitpunkt und Fassung des Einwilligungstextes. Ohne gespeicherte Einwilligung geht keine Werbung hinaus — das ist im System durchgesetzt. Kundengruppen bilden wir etwa nach Geburtsmonat oder in Anspruch genommenen Leistungen; das wirkt sich ausschließlich darauf aus, ob Sie eine werbliche Nachricht erhalten. Widerruf jederzeit und ohne Gründe, in der App oder formlos an info@mw-systems.net, mit Wirkung für die Zukunft.

E-Mails und was auf Ihrem Gerät liegt

Wir senden Ihnen Adressbestätigung, Passwort-Zurücksetzung, Termin- und Reservierungsbestätigungen, Erinnerungen und den Freigabe-Verweis. Der Versand läuft über Microsoft 365 / Exchange Online; eine Verarbeitung außerhalb der EU ist dabei nicht ausgeschlossen, Grundlage sind die Standardvertragsklauseln.

Auf Ihrem Gerät speichert die App die Zugangstoken (bis zur Abmeldung), einen Zwischenspeicher zuletzt abgerufener Inhalte für den Betrieb ohne Netz (höchstens 7 Tage, beim Abmelden geleert) und Ihre Anzeigeeinstellungen. Die Gerätesicherung ist für diese Daten abgeschaltet — sie wandern nicht in eine Cloud-Sicherung von Google oder Apple. Auf Geräten unseres Personals liegen zusätzlich Vor-Ort-Aufträge, bis sie übertragen sind. Sie löschen alles Lokale, indem Sie sich abmelden oder die App entfernen; auf dem Server gespeicherte Daten bleiben davon unberührt (Abschnitt 8).

5 · Empfänger und Drittländer

Alle Empfänger verarbeiten in unserem Auftrag und nicht zu eigenen Zwecken:

• Hetzner Online SE — Server, Datenbank, Dateien und Sicherung, in Nürnberg (Deutschland).
• Strato AG — Domain, in Deutschland.
• Google Ireland / Google LLC — Benachrichtigungen (Firebase), Terminabgleich (Kalender) und auf Wunsch die Anmeldung. Drittland.
• Microsoft Ireland / Microsoft Corp. — E-Mail-Versand.
• Apple Distribution International — nur bei Anmeldung mit Apple. Drittland.

Mit Hetzner und Google bestehen Verträge zur Auftragsverarbeitung, für Microsoft gilt das Data Protection Addendum. Grundlage der Drittlandübermittlung sind die Standardvertragsklauseln der EU-Kommission und, soweit einschlägig, der EU-US Data Privacy Framework. An Behörden geben wir Daten nur weiter, soweit wir gesetzlich dazu verpflichtet sind.

6 · Wie lange wir speichern

• Konto, Kundendaten, Termine, Chatverlauf, Kundenkarte und Geräte-Zuordnung: solange Ihr Konto besteht. Löschen Sie es, geschieht das, was in Abschnitt 8 steht.

• Reparaturaufträge und Reservierungen: 10 Jahre nach Abschluss — sie belegen, was vereinbart und geleistet wurde. Ein täglicher Lauf löscht abgeschlossene Vorgänge automatisch; offene bleiben unangetastet.

• Aufträge vor Ort mit Unterschrift: solange sie als Nachweis benötigt werden, längstens 10 Jahre; die Fotos werden mitgelöscht.
• Widerrufserklärungen: so lange wie der zugehörige Reparaturauftrag. Lässt sich eine Erklärung keinem Auftrag zuordnen, 3 Jahre — die regelmäßige Verjährungsfrist; auch diese löscht der tägliche Lauf.

• Ihre Einwilligung in werbliche Nachrichten: bis zum Widerruf und danach so lange, wie wir den Nachweis führen müssen.
• Anfragen per Formular oder E-Mail: bis Ihr Anliegen abschließend bearbeitet ist, danach nur bei gesetzlicher Aufbewahrungspflicht.
• Serverprotokolle: sie werden fortlaufend überschrieben — wir halten höchstens zehn Dateien zu je 10 MB vor, je nach Zugriffsaufkommen in der Regel wenige Wochen.

• Datensicherungen: 14 Tage. Löschen wir Daten auf Ihren Wunsch, verschwinden sie aus den Sicherungen deshalb erst nach spätestens 14 Tagen. Handels- und steuerrechtliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB) gehen einer Löschung vor. Solange sie laufen, schränken wir die Verarbeitung ein, statt zu löschen.

7 · Ist die Angabe Ihrer Daten Pflicht?

Nein — es besteht keine gesetzliche oder vertragliche Pflicht. Ohne die jeweils erforderlichen Angaben können wir die Leistung allerdings nicht erbringen: ohne E-Mail-Adresse kein Konto, ohne Name und Telefonnummer keinen Termin, ohne Anschrift keinen Einsatz vor Ort. Freiwillig sind insbesondere Geburtsdatum, Firma und die Einwilligung in werbliche Nachrichten.

8 · Ihr Konto löschen

Sie können Ihr Konto selbst in der App löschen, unter *Profil → Konto löschen*; ohne die App unter mw-systems.net/App-Konto-loeschen/. Zur Bestätigung fragen wir nach Ihrem Passwort — oder nach einer erneuten Anmeldung bei Google beziehungsweise Apple, falls Sie Ihr Konto darüber angelegt haben.

Dabei werden E-Mail-Adresse, Passwort-Prüfwert und ein etwaiges Zwei-Faktor-Geheimnis entfernt und alle Sitzungen widerrufen. Termine, Chatverläufe, Kundenkarte, Stempel und die Zuordnung Ihrer Geräte werden gelöscht. Ihr Kundendatensatz wird anonymisiert: Der Name wird ersetzt, Firma, Telefonnummer, Geburtsdatum, Notizen und Schlagworte werden entfernt, Anschriften vollständig gelöscht. Die anonymisierte Zeile bleibt als Anker für Vorgänge bestehen, die wir aufbewahren müssen.

Nicht gelöscht werden Reservierungen und Reparaturaufträge samt Inhalt; sie sind danach keiner Person mehr zugeordnet. Zwei Einschränkungen benennen wir offen: Gehört zu Ihnen ein unterschriebener Vor-Ort-Auftrag, ist die Löschung aus Nachweisgründen gesperrt — bitte wenden Sie sich an info@mw-systems.net. Und wurden Sie im Ladengeschäft ohne App-Konto angelegt, gibt es keinen Selbstbedienungsweg; eine formlose Nachricht genügt.

9 · Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Sie können Widerspruch gegen Verarbeitungen einlegen, die auf einem berechtigten Interesse beruhen (Art. 21) — das betrifft vor allem interne Notizen und Serverprotokolle — und eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Wenden Sie sich formlos an info@mw-systems.net oder an die Anschrift in Abschnitt 1. In der App finden Sie unter *Profil → Meine Daten herunterladen* zusätzlich einen Selbstbedienungsweg für die Auskunft. Wir antworten ohne unnötige Verzögerung, spätestens innerhalb eines Monats (Art. 12 Abs. 3).

Beschwerderecht: Sie können sich bei einer Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen (Abschnitt 1) oder bei der Behörde Ihres gewöhnlichen Aufenthaltsorts (Art. 77 DSGVO).

10 · Sicherheit, Kinder, Änderungen

Sicherheit. Die Verbindung ist durchgehend verschlüsselt (TLS, HSTS). Passwörter werden mit Argon2id als Prüfwert gespeichert, nicht im Klartext; Chatnachrichten sind zusätzlich in der Datenbank verschlüsselt. Personal, das auf Kundendaten zugreift, muss sich mit einem zweiten Faktor anmelden; Änderungen werden protokolliert.

Automatisierte Entscheidungen im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO) finden nicht statt. Die Kundengruppen aus Abschnitt 4 wirken sich ausschließlich darauf aus, ob Sie eine werbliche Nachricht erhalten, und setzen ohnehin Ihre Einwilligung voraus.

Kinder und Jugendliche. Ein Kundenkonto sollten Personen unter 16 Jahren nur mit Zustimmung der Sorgeberechtigten anlegen. Für die Einwilligung in werbliche Nachrichten gilt das ausdrücklich: Sie ist nach Art. 8 DSGVO erst ab 16 Jahren wirksam. Wir prüfen das Alter technisch nicht; erfahren wir, dass ein Konto ohne die erforderliche Zustimmung angelegt wurde, löschen wir es.
Änderungen. Wir passen diese Erklärung an, wenn sich Website, App oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte 
Fassung.

Fassung 1.1, Stand 13. September 2026.