Datenschutz

1. Verantwortlicher

Neverhappened Productions GmbH, Naumburger Straße 38a, 04229 Leipzig
Geschäftsführer: Niklas Junger
E-Mail: niklas@neverhappened.productions
Telefon: +49 151 611 714 96

2. Hosting und technische Dienstleister

Wir setzen folgende Auftragsverarbeiter ein, mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting der Anwendung. Die Serverfunktionen laufen in der Region Frankfurt. Soweit Daten in die USA übermittelt werden, geschieht dies auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln. Vercel verarbeitet technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) in Server-Protokollen, die nach kurzer Zeit gelöscht werden.
• Supabase Inc., 970 Toa Payoh North, Singapur: Datenbank, Anmeldung (Authentifizierung) und Dateispeicher. Die Daten liegen in einem Rechenzentrum in der Europäischen Union. Alle Speicherbereiche sind nicht öffentlich und nur nach Anmeldung und Berechtigung zugänglich.
• Anthropic PBC, San Francisco, USA: automatisches Auslesen von hochgeladenen Reisedokumenten und Rechnungen (siehe Abschnitt 7). Übermittlung auf Grundlage der EU-Standardvertragsklauseln; die Daten werden nicht zum Training von KI-Modellen genutzt.
• Apple Inc. und Google LLC: Zustellung von Push-Benachrichtigungen, falls du sie aktivierst (siehe Abschnitt 8).

3. Registrierung und Konto

Bei der Registrierung erheben wir Name, Firma, E-Mail-Adresse und ein Passwort, das nur verschlüsselt (gehasht) gespeichert wird. Zusätzlich speichern wir deine Rolle im Portal (Team, Freelancer, Kunde) und ob dein Konto freigegeben wurde. Zweck ist der Zugang zum Portal und die Zuordnung zu Projekten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen) sowie bei Mitarbeitenden § 26 BDSG.

4. Stammdaten und Reisedokumente (Team und Freelancer)

Team und Freelancer können in ihrer Personalakte Personalien (Name, Geburtsdatum, Anschrift, Telefon), ein Foto sowie Reisedokumente wie Reisepass oder Personalausweis hinterlegen. Diese Daten nutzen wir ausschließlich für die Planung und Buchung von Produktionsreisen sowie für Akkreditierungen bei Veranstaltern und Drehorten. Die Angabe ist freiwillig; ohne sie können wir Reisen und Akkreditierungen jedoch nicht organisieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Mitarbeitende § 26 BDSG. Reisedokumente und Fotos liegen in einem nicht öffentlichen Speicher und sind nur für die betroffene Person und die Produktionsleitung sichtbar.

5. Projekte, Termine, Dokumente und Rechnungen

Im Portal verwalten wir Projekte, Termine, Zuordnungen von Personen zu Projekten, Briefings, Hotel- und Reiseunterlagen, Kommentare, Änderungsanfragen und Rechnungen von Freelancern. Kunden sehen nur die Projekte und Termine, die ihnen zugeordnet sind, nicht die Personaldaten der Crew. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Zeiterfassung (Mitarbeitende)

Für Mitarbeitende erfasst das Portal Arbeitszeiten: Beginn, Ende, Pausen, optional ein Projekt und eine Notiz sowie die Quelle des Eintrags (Web, NFC-Stempelpunkt, Automation). Das Portal ermittelt und speichert keinen Standort. Wer die optionale Büro-Automation auf dem eigenen Handy einrichtet, entscheidet selbst darüber; die Standortauswertung findet dann ausschließlich auf dem eigenen Gerät statt, das Portal erhält nur das Signal „Ankunft“ oder „Abfahrt“. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der gesetzlichen Pflicht zur Arbeitszeiterfassung und § 26 BDSG. Admins können die Zeiten aller Mitarbeitenden einsehen und exportieren.

7. Automatisches Auslesen von Dokumenten (KI)

Beim Hochladen von Reisedokumenten, Hotelbestätigungen und Rechnungen kann das Portal die wichtigsten Angaben automatisch auslesen (zum Beispiel Name, Dokumentnummer, Ablaufdatum, Rechnungsbetrag), damit du sie nicht abtippen musst. Dafür wird das jeweilige Dokument an die Schnittstelle von Anthropic PBC übermittelt und dort nur für diese Auswertung verarbeitet, nicht dauerhaft gespeichert und nicht zum Training genutzt. Das Ergebnis wird bei dir im Portal gespeichert und kann von dir korrigiert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Push-Benachrichtigungen

Wenn du Benachrichtigungen aktivierst, speichern wir eine Geräte-Adresse (Push-Endpunkt und Schlüssel) deines Browsers oder deiner installierten App. Die Nachrichten werden über die Push-Dienste von Apple bzw. Google zugestellt; die Inhalte sind kurz (zum Beispiel „Einstempeln?“ oder „Neues Dokument im Projekt“). Die Aktivierung ist freiwillig und lässt sich jederzeit unter „Zeiten → Benachrichtigungen“ oder in den Geräteeinstellungen abschalten; dann löschen wir die Geräte-Adresse. Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

9. Cookies und lokale Speicherung

Das Portal verwendet ausschließlich technisch notwendige Cookies: das Anmelde-Cookie von Supabase und ein Cookie für die gewählte Sprache. Es gibt keine Tracking-, Analyse- oder Werbe-Cookies und keine Einbindung von Drittinhalten wie Schriften oder Videos von fremden Servern. Deshalb ist kein Cookie-Banner erforderlich. Im lokalen Speicher des Browsers merken wir uns lediglich Anzeigeeinstellungen (zum Beispiel, ob die Zeiterfassung minimiert ist).

10. Weitergabe an Dritte

Über die genannten Auftragsverarbeiter hinaus geben wir Daten nur weiter, soweit es für die Produktion erforderlich ist: Namen, Kontaktdaten und, wo verlangt, Ausweisdaten an Veranstalter, Drehorte, Fluggesellschaften, Hotels oder Sicherheitsdienste zur Akkreditierung und Buchung. Eine Weitergabe zu Werbezwecken findet nicht statt.

11. Speicherdauer

Kontodaten speichern wir, solange das Konto besteht. Projektdaten, Rechnungen und Zeiterfassungen bewahren wir für die Dauer der gesetzlichen Aufbewahrungsfristen auf (in der Regel 6 bzw. 10 Jahre nach HGB und AO). Reisedokumente und Fotos löschen wir auf Wunsch jederzeit, spätestens jedoch nach Ende der Zusammenarbeit. Push-Geräteadressen werden beim Abschalten der Benachrichtigungen gelöscht.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dafür an die oben genannte E-Mail-Adresse. Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Dresden.

13. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Der Zugriff auf Daten ist über Berechtigungsregeln auf Datenbankebene auf die jeweils berechtigten Personen beschränkt. Dateien liegen in nicht öffentlichen Speicherbereichen und werden nur über kurzlebige, signierte Links ausgeliefert.