Datenschutzerklärung – M-KART App

1. Geltungsbereich

Diese Datenschutzerklärung gilt für die mobile Anwendung M-KART (verfügbar für iOS und Android). Für unsere Website gilt die separate Datenschutzerklärung der Website. Die M-KART App ist eine rein berufliche Anwendung (B2B) für Mitarbeitende von Unternehmen, die M-KART einsetzen; sie richtet sich nicht an Verbraucher oder Kinder.

2. Verantwortliche Stelle

Geschäftsführer: Patrick Schulze, David Schulze, Jörg Schulze Greiving

Beim Betrieb im eigenen Rechenzentrum des Kunden (On-Premise) ist das einsetzende Unternehmen (Ihr Arbeitgeber) für die in M-KART verarbeiteten Geschäfts- und Beschäftigtendaten datenschutzrechtlich verantwortlich; die AUPOS IQ GmbH stellt die App bereit. Für Fragen zu Ihren als Mitarbeitende verarbeiteten Daten wenden Sie sich bitte zunächst an Ihren Arbeitgeber.

3. Welche Daten die App verarbeitet

3.1 Kontodaten

Für die Anmeldung verarbeiten wir Benutzername, Passwort und ein Sitzungs-Token (JWT). Konten werden vom Administrator des einsetzenden Unternehmens angelegt (keine Selbstregistrierung). Mitarbeiter-Stammdaten (Name; E-Mail/Telefon nur, soweit im System hinterlegt) werden vom Server Ihres Unternehmens bezogen. Im eigenständigen Modus ohne Firmenserver (Einzelplatz) kann die Anmeldung über Microsoft Entra erfolgen; dabei verarbeitet Microsoft Ihr Konto und die Anmeldung als eigene verantwortliche Stelle, es gelten dessen Datenschutzhinweise. Mit einem Firmenserver melden Sie sich am M-KART-Server an, ohne Microsoft. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.2 Nutzungsinhalte

Auftrags-, Störungs-, Ticket-, Zeiterfassungs-, Material- und Anlagendaten. Diese werden für die Offline-Nutzung lokal auf dem Gerät zwischengespeichert und mit dem M-KART-Server Ihres Unternehmens synchronisiert.

3.3 Standortdaten

Auf iOS kann die App den Gerätestandort „bei Nutzung“ abfragen, um Anlagen auf der Karte zu verorten – nur bei aktiver Nutzung der Kartenfunktion. Auf Android erhebt die App derzeit keinen Standort.

3.4 Kamera und Fotos

Die Kamera dient dem QR-/Barcode-Scan und der Fotodokumentation (z. B. Schadens- und Belegfotos); aus der Fotomediathek können Bilder ausgewählt und dort gespeichert werden.

3.5 Mikrofon und Audio

Das Mikrofon wird ausschließlich für den optionalen KI-Sprachassistenten genutzt. Audio wird live verarbeitet und von der App nicht gespeichert (siehe Abschnitt 7).

3.6 Absturzberichte und Protokolle

Die App enthält keinen Analyse-, Werbe- oder Absturzdienst eines Drittanbieters. Stürzt die App ab, schreibt sie eine Protokolldatei auf das Gerät. Sie enthält die Fehlermeldung mit Stack, die App-Version mit Build, die Plattform, die Betriebssystemversion und das Gerätemodell. Beim nächsten Start mit Netzverbindung und Anmeldung sendet die App den Bericht ausschließlich an die M-KART-API des Unternehmens, mit dessen Server sie verbunden ist; Absender ist das Gerät, nicht der Benutzer. Auch Fehler im laufenden Betrieb werden dorthin gemeldet; dabei steht anstelle des Anmeldenamens ein interner Benutzerschlüssel, Namen werden bewusst nicht geschrieben. Fehlermeldungen können jedoch Texte enthalten, die vom Server oder aus Daten stammen (z. B. eine abgelehnte Anmeldung oder Dateipfade mit Objekt- oder Ticketbezeichnungen). Personenbezogene Inhalte lassen sich in den Protokollen deshalb nicht ausschließen. Der Server des Unternehmens sieht technisch die IP-Adresse der Verbindung. Die Übermittlung lässt sich in der App nicht abschalten. Ohne Server (Demo-Zugang, Einzelplatz) und offline bleiben die Protokolle auf dem Gerät. Protokolle auf dem Server und die Absturzberichte auf dem Gerät werden nach 30 Tagen gelöscht; eine Weitergabe an den Support erfolgt nur von Hand über das Teilen-Menü. Was Apple oder Google bei Zustimmung im Betriebssystem selbst erfassen (Absturzstatistik), steuert die App nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Sicherheit der Software).

3.7 Abonnement (nur Einzelnutzer-Modus auf Android und iOS)

Im Einzelnutzer-Modus auf Android und iOS kann die App nach einer Probezeit von 30 Tagen als Abonnement (monatlich oder jährlich) genutzt werden. Kauf und Zahlung wickelt ausschließlich der App Store bzw. Google Play ab; die App erhält keine Zahlungsdaten und prüft die Belege nicht auf einem eigenen Server. Auf dem Gerät speichert sie nur den Beginn der Probezeit und das Datum der zuletzt bestätigten Abonnement-Prüfung. Im Betrieb mit einem Firmenserver, unter Windows und im Demo-Zugang gibt es kein Abonnement. Für den Kauf ist Apple bzw. Google eigenständig verantwortlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Authentifizierung, der Zuordnung und Abwicklung von Aufträgen im Feld- und Servicebetrieb sowie der Dokumentation. Rechtsgrundlagen sind:

• Art. 6 Abs. 1 lit. b DSGVO – zur Durchführung des Beschäftigungs- bzw. Nutzungsverhältnisses und der vertraglich vereinbarten Funktionen;
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer funktionsfähigen, sicheren Betriebssoftware.

5. Geräteberechtigungen

5.1 iOS

• Kamera (QR-Scan und Fotodokumentation)
• Fotomediathek (lesen und speichern)
• Standort „bei Nutzung“ (Karte/Anlagen)
• Mikrofon (KI-Sprachassistent)

5.2 Android

• Kamera
• Zugriff auf Medien (Bilder, Audio, Video) und Dateispeicher
• Mikrofon
• Internet- und Netzwerkstatus

Berechtigungen werden nur für die jeweils genannten Funktionen verwendet. Sie können Berechtigungen jederzeit in den Geräteeinstellungen widerrufen; einzelne Funktionen stehen dann ggf. nicht mehr zur Verfügung.

6. Empfänger der Daten und Datenflüsse

Server Ihres Unternehmens (primär): Alle Geschäftsdaten werden an den vom einsetzenden Unternehmen selbst betriebenen M-KART-Server übertragen (On-Premise/Self-Hosting). Die Übertragung erfolgt verschlüsselt über HTTPS/TLS (unternehmenseigene Zertifizierungsstelle); ein unverschlüsselter Fallback ist nur im lokalen Netzwerk möglich. Es gibt keinen gemeinsamen Hersteller-Cloud-Dienst.

Kein Push, kein Tracking, keine Werbung: Die App nutzt keine Push-Dienste (kein FCM/APNs) und verarbeitet keine Daten zu Werbe- oder Tracking-Zwecken.

Kartenkacheln (OpenStreetMap): Ist das Modul Karte eingeschaltet und öffnen Sie die Karte, lädt die App Kartenkacheln von den Servern der OpenStreetMap Foundation (Vereinigtes Königreich; Angemessenheitsbeschluss der EU). Diese sehen dabei Ihre IP-Adresse, den Kartenausschnitt und die App-Kennung, die OpenStreetMap verlangt. Die Namensnennung (© OpenStreetMap-Mitwirkende, ODbL) steht in der Karte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das Teilen-Menü des Betriebssystems wird nur auf Ihren Knopfdruck genutzt (Protokoll, Sicherung); wohin Sie teilen, bestimmen Sie.

Keine Schriften oder Skripte von Drittanbietern: Schriften und der 3D-Lageplan liegen in der App.

7. KI-Funktionen (optional)

Die KI-Funktionen sind optional. Die App hat keinen KI-Anbieter voreingestellt.

Mit M-KART-Server (Connected): Alle KI-Anfragen laufen über die M-KART-API des Unternehmens, entweder zum KI-Server von AUPOS IQ (empfohlene Variante) oder, wenn das Unternehmen es ausdrücklich so wünscht, über die API eines externen Anbieters. Diese Anbindung richtet das Unternehmen auf seinem Server ein; es ist dafür verantwortlich, und es gelten die Bedingungen des gewählten Anbieters. Die App selbst ruft dabei keinen KI-Anbieter direkt auf. Der Sprachmodus nutzt das IQ-Sprachgateway und steht beim Betrieb mit eigenem Kundenserver nicht zur Verfügung. KI-Chats werden auf dem M-KART-Server des Unternehmens abgelegt (abschaltbar, mit einstellbarer Aufbewahrungsfrist).

Einzelplatz (ohne Server): Ohne eigenen Eintrag gibt es keine KI. Tragen Sie als Benutzer selbst einen externen KI-Anbieter mit Ihrem eigenen Zugang ein, gehen die KI-Inhalte (Text und Kontext) direkt von der App an diesen Anbieter, nach dessen Bedingungen und in Ihrer Verantwortung. Im Demo-Zugang ist die KI ausgeschaltet.

Das Mikrofon wird nur für den Sprachmodus genutzt; Audio wird live verarbeitet und von der App nicht gespeichert.

8. Übermittlung in Drittländer

Die App übermittelt von sich aus keine Daten in Drittländer. Kartenkacheln kommen von der OpenStreetMap Foundation (Vereinigtes Königreich, Angemessenheitsbeschluss). Bei der Anmeldung über Microsoft (Einzelplatz) und beim Abonnement (App Store bzw. Google Play) gelten die Bedingungen der jeweiligen Anbieter. Wählt das Unternehmen einen externen KI-Anbieter (Connected) oder tragen Sie im Einzelplatz selbst einen ein (Abschnitt 7), kann je nach Anbieter eine Übermittlung in Drittländer stattfinden; das richtet sich nach dem gewählten Anbieter und liegt in der Verantwortung des Unternehmens bzw. des Benutzers.

9. Datenspeicherung und Sicherheit

Übertragung (in transit): verschlüsselt per TLS (HTTPS, unternehmenseigene Zertifizierungsstelle). Im lokalen Netzwerk ist ein HTTP-Fallback technisch möglich.

Lokale Zwischenspeicherung (at rest): Geschäfts- und ERP-Inhalte werden zur Offline-Nutzung lokal auf dem Gerät in einer SQLite-Datenbank zwischengespeichert. Diese lokale Zwischenspeicherung ist nicht zusätzlich verschlüsselt; der Schutz erfolgt durch die verschlüsselte Übertragung (TLS), die Verschlüsselung auf Geräte-/Betriebssystem-Ebene (iOS Data Protection bei gesetztem Geräte-Code, Android-Dateisystemverschlüsselung, Windows BitLocker – sofern aktiviert), die App-Sandbox sowie Geräte-Sperre/Mobilgeräteverwaltung (MDM) des einsetzenden Unternehmens. Im laufenden Betrieb wird der Cache beim Abmelden geleert.

Sensible Zugangsdaten: Das Anmelde-Token (JWT) wird verschlüsselt im sicheren Gerätespeicher (iOS Keychain / Android Keystore) abgelegt und beim Abmelden gelöscht. Ein im Einzelplatz selbst eingetragener Zugangsschlüssel eines KI-Anbieters wird ebenfalls dort abgelegt und beim Abmelden gelöscht. Das Passwort selbst wird nicht im Klartext gespeichert; für die Offline-Anmeldung wird lediglich ein nicht umkehrbarer, gesalzener Hash (PBKDF2/SHA-256) des Passworts lokal vorgehalten.

Wir empfehlen, das Gerät durch Code-Sperre/Biometrie zu schützen. Lokale Daten lassen sich durch Abmelden und Deinstallation der App entfernen.

10. Speicherdauer

Lokale Daten verbleiben bis zum Abmelden oder zur Deinstallation auf dem Gerät. Serverseitig richtet sich die Speicherdauer nach den Vorgaben des betreibenden Unternehmens und etwaigen gesetzlichen Aufbewahrungspflichten. Lokale Protokolle werden nach 30 Tagen gelöscht.

11. Konten und Löschung

Die App bietet keine direkte Löschfunktion in der App. Konten werden serverseitig durch den Administrator des einsetzenden Unternehmens bzw. durch die AUPOS IQ GmbH verwaltet. Zur Löschung Ihres Kontos und der zugehörigen Daten senden Sie bitte eine E-Mail an datenschutz@aupos-iq.de; Einzelheiten zum Ablauf finden Sie auf der Seite Konto löschen.

12. Ihre Rechte

Sie haben im Rahmen der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Beschwerderecht: Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

13. Altersfreigabe

Die M-KART App ist eine berufliche Anwendung und richtet sich ausschließlich an Mitarbeitende der einsetzenden Unternehmen. Sie ist nicht für Kinder bestimmt, und wir erheben nicht wissentlich Daten von Kindern.

14. Aktualität und Änderung

Stand: November 2026. Wir passen diese Erklärung an, wenn sich Funktionen der App oder die Rechtslage ändern.