Datenschutzhinweise

Stand: 26. Oktober 2026. Diese Hinweise betreffen VeltoCare Flex, die Bestellung über die Bestellseite und die Betreuung der angeschlossenen Einrichtungen.

Verantwortlicher und Kontakt

Consoper UG (haftungsbeschränkt), Am Markt 1, 28195 Bremen, vertreten durch Fabian Albrecht, ist für dieses Angebot, eigene Vertragskontakte, Abrechnung und die Sicherheit des Dienstes verantwortlich. Datenschutzanfragen richtest du an support@veltocare.de oder unsere Postanschrift.

Für eingegebene Beschäftigten-, Vergütungs-, Buchungs- und Belegdaten ist die jeweilige Einrichtung verantwortlich. Consoper verarbeitet diese Daten im Rahmen der Auftragsverarbeitung nach deren Weisung und der vereinbarten AVV. Die Einrichtung informiert betroffene Personen über ihre Zwecke, Rechtsgrundlagen und Fristen. Anfragen zu diesen Daten kannst du an deine Einrichtung richten; Consoper unterstützt sie bei der Bearbeitung.

Zwecke, Daten und Rechtsgrundlagen

• Bereitstellung und Sicherheit: IP-Adresse, Zeitpunkt, aufgerufene Funktion, technische Browser- und Verbindungsdaten sowie notwendige Sitzungsdaten werden für Auslieferung, Anmeldung, Zugriffsbeschränkung und Fehlerbehebung verarbeitet. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, funktionsfähige Betrieb und die Abwehr von Missbrauch.
• Benutzerkonten: E-Mail-Adresse, optionaler Anzeigename, Mandant, Rechte, Passwort-Hash und Sicherheitsnachweise ermöglichen die persönliche Nutzung. Die Einrichtung legt Konten und Rechte fest. Eine angeforderte E-Mail-Bestätigung weist den Postfachzugriff nach.
• Vertrag und Support: Name, geschäftliche Kontaktdaten, Einrichtung, Vertrags- und Zahlungsinformationen sowie Anfragen werden zur Anbahnung, Durchführung und Betreuung des Vertrags verarbeitet. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei eigenen Vertragspartnern und Art. 6 Abs. 1 lit. f DSGVO bei deren Ansprechpartnern.
• Abrechnung: Erforderliche Rechnungs-, Buchführungs- und Geschäftsunterlagen verarbeiten wir zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO, insbesondere der einschlägigen handels- und steuerrechtlichen Vorschriften.

Die für Anmeldung und Vertragsdurchführung erforderlichen Angaben werden benötigt, um Zugang und Leistung bereitzustellen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung einschließlich Profiling findet dabei nicht statt.

Bestellung, Rechnung und Lastschrift

Bei einer Bestellung über die Bestellseite verarbeiten wir die Angaben zur Organisation (Name, Anschrift, Umsatzsteuer-Identifikationsnummer, bei öffentlichen Auftraggebern Leitweg-ID und Lieferantennummer), die Kontakt- und Rechnungs-E-Mail-Adresse, Name und E-Mail-Adresse der bestellenden Person sowie Edition, Abomodell und Zahlweg. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Ansprechpartner der Organisation Art. 6 Abs. 1 lit. f DSGVO.

• Bestätigung der E-Mail-Adresse: Für den Bestellvorgang speichern wir die Adresse und den zugesandten Code, den Code nur als Hashwert. Der Bestellvorgang wird nach 24 Stunden gelöscht; die Angaben einer abgeschlossenen Bestellung stehen im Vertrag.
• Rechnungen: Wir erstellen Rechnungen mit Lexware Office der Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg. Lexware erhält dafür Name, Anschrift, Umsatzsteuer-Identifikationsnummer, Ansprechpartner und Rechnungs-E-Mail-Adresse der Organisation sowie die Rechnungsdaten. Personal-, Buchungs- und Belegdaten deines Mandanten werden nicht übermittelt. Die Rechnung senden wir per E-Mail an die Rechnungsadresse und legen sie in VeltoCare Flex unter „Meine Rechnungen“ ab.
• Lastschrift: Bei Zahlung per SEPA-Lastschrift holt der Dienst SepaHeld der d-automation GmbH, Am Erlenbuck 17, 79379 Müllheim, in unserem Auftrag das Lastschriftmandat ein und übergibt die Rechnungen zum Einzug an GoCardless SAS, 7 rue de Madrid, 75008 Paris, Frankreich, ein von der französischen Finanzaufsicht zugelassenes Zahlungsinstitut. SepaHeld erhält dafür die Kontakt- und Rechnungsdaten aus Lexware Office. Deine Kontoverbindung gibst du ausschließlich im Mandatsformular von GoCardless ein; VeltoCare Flex speichert sie nicht. GoCardless verarbeitet Zahlungs- und Kontodaten als Zahlungsinstitut auch in eigener Verantwortung; dafür gelten die Datenschutzhinweise von GoCardless.
• Aufbewahrung: Rechnungen und Buchungsbelege bewahren wir nach den handels- und steuerrechtlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO); siehe „Speicherdauer und Löschung“.

Empfänger und Dienstleister

Zugriff erhalten befugte Personen entsprechend ihrer Aufgabe. Für Hosting und Sicherungen verwenden wir Hetzner, für den eingerichteten technischen E-Mail-Versand Brevo sowie unseren Postfachanbieter. Die Dienstleister erhalten die für ihre Leistung erforderlichen Daten. Vertrags- und Abrechnungsdaten können außerdem an beauftragte Steuerberatung und gesetzlich berechtigte Stellen übermittelt werden.

Die externe Verfügbarkeitsprüfung durch UptimeRobot ruft den öffentlichen Bereitschaftsendpunkt ab und verwendet Betreiberkontakte für Alarme. Dabei werden keine Inhalte deines Mandanten an diesen Monitor übergeben. In den App-Seiten ist kein UptimeRobot-Tracking eingebunden.

Weitere Auftragsverarbeiter und vereinbarte Verarbeitungsorte für Mandantendaten nennt Anlage B der Vertragsunterlagen (Vereinbarung zur Auftragsverarbeitung), abrufbar unter AGB und Vertragsunterlagen. Übermittlungen außerhalb des Europäischen Wirtschaftsraums setzen die Voraussetzungen der Art. 44 ff. DSGVO voraus, etwa einen anwendbaren Angemessenheitsbeschluss oder geeignete Garantien. Informationen zu den geltenden Garantien erhältst du über unseren Datenschutzkontakt.

Speicherdauer und Löschung

Die Aufbewahrung richtet sich nach Zweck, Datenart, gesetzlichen Pflichten und bei Mandantendaten nach dokumentierten Weisungen der Einrichtung. Für eigene handelsrechtliche Unterlagen gelten grundsätzlich zehn Jahre für Bücher und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für Handelsbriefe, mit dem gesetzlichen Fristbeginn und etwaigen Sonderregelungen. Personenbezogene Kalkulationsdaten benötigen eine eigene zweckbezogene Frist.

• Technische Betriebsprotokolle werden rollierend bereinigt, mit einer Zielhaltung von 13 Tagen und einer Obergrenze von 14 Tagen. Speichergrenzen können die verfügbare Historie verkürzen.
• Fachliche Auditnachweise haben derzeit eine technische Prüffrist von drei Jahren, deaktivierte Benutzerkonten von sechs Monaten. Diese Fristen ersetzen nicht die Prüfung der Erforderlichkeit und die Löschentscheidung der verantwortlichen Einrichtung.
• Rohinhalte abgewiesener Importzeilen sind nach 90 Tagen zur Bereinigung vorgesehen. Technische Fehlerarten und Zähler können ohne die Rohinhalte erhalten bleiben.
• Ein E-Mail-Bestätigungscode gilt 30 Minuten. Nach erfolgreicher Bestätigung wird sein Hash entfernt; der Bestätigungszeitpunkt bleibt dem Konto zugeordnet. Ungenutzte Nachweise werden beim erneuten Versand ersetzt und mit dem Konto entfernt.
• Vertrags- und Supportinformationen werden nach Erledigung gelöscht, soweit sie nicht noch für gesetzliche Pflichten oder konkret erforderliche Rechtsnachweise benötigt werden.

Nach Vertragsende wird der Mandantenzugang gesperrt. Export und Löschung erfolgen nach dem vereinbarten Rückgabe- und Löschverfahren. Die technische Mandantenlöschung ist derzeit ein kontrollierter Betreiberprozess nach der vorgesehenen 30-tägigen Rückgabefrist.

Sicherungen dienen ausschließlich der Wiederherstellung und unterliegen einem getrennten, überwachten Ablauf. Der Regelbetrieb ist darauf ausgelegt, gelöschte Daten innerhalb von 60 Tagen auch aus Sicherungen auslaufen zu lassen. Bei Sicherungs- oder Bereinigungsausfällen wird eine Fristüberschreitung alarmiert und muss bearbeitet werden. Nach einer Wiederherstellung müssen zwischenzeitliche Löschungen erneut angewandt werden.

Technisch notwendige Speicherung im Browser

Flex verwendet notwendige Sicherheitscookies für Anmeldung und Schutz vor gefälschten Anfragen. Ein für JavaScript nicht lesbares Sitzungscookie verbindet den Browser mit einer serverseitig verwalteten Anmeldung. Zugangstoken werden serverseitig gehalten. Die Sitzung endet nach 20 Minuten ohne Aktivität und spätestens zwölf Stunden nach der Anmeldung. Beim Abmelden werden die Anmeldesitzungen des Kontos widerrufen und das Sitzungscookie dieses Browsers entfernt. Diese Funktionen dienen der ausdrücklich angeforderten Nutzung. Die App verwendet keine eingebetteten Werbetracker und lädt ihre Schriftarten lokal.

Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen Verarbeitungen aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem gewöhnlichen Aufenthaltsort, deinem Arbeitsplatz oder am Ort des vermuteten Verstoßes. Die Aufsicht am Sitz von Consoper erreichst du über den Landesbeauftragten für Datenschutz und Informationsfreiheit Bremen.

Impressum · Zurück zum Login