Zur Anmeldung

Datenschutzerklärung — Werksbüro

Für Nutzerinnen und Nutzer der App · Stand 19.10.2026

1. Verantwortlich

OsAI — KI-Beratung & Entwicklung, Osman Öztopcu (Einzelunternehmen), Karolingerstraße 55, 70736 Fellbach · kontakt@werksbuero.de

2. Zwei Rollen

  • OsAI ist verantwortlich für dein Nutzerkonto, Anmelde- und Sicherheitsprotokolle, Funktions-Cookies sowie Vertrags- und Abrechnungsdaten deines Betriebs.
  • Dein Betrieb ist verantwortlich für alles, was ihr über eure Kundinnen und Kunden speichert (Kunden, Angebote, Rechnungen, Fotos, Annahmen). OsAI verarbeitet diese Daten nur im Auftrag deines Betriebs (Art. 28 DSGVO).

3. Aufruf der App

IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Gerätekennung, Fehlermeldungen — um die App auszuliefern, Fehler zu finden und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden automatisch gelöscht.

4. Nutzerkonto und Anmeldung

E-Mail-Adresse, Passwort (nur als Hash), Rolle, Zuordnung zum Betrieb und Anmeldezeitpunkte — um dich anzumelden und Berechtigungen zu prüfen (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Einladung ins Team: Der Inhaber trägt Name, E-Mail-Adresse und Rolle einer Mitarbeiterin oder eines Mitarbeiters ein. Wir legen das Konto an und erzeugen einen Einmal-Link (3 Tage, einmal nutzbar), mit dem die Person ihr Passwort selbst setzt — per Mail oder vom Inhaber weitergegeben. Beim ersten Anmelden bestätigen Mitarbeitende die vier Sätze zur KI (Art. 4 KI-Verordnung); wir speichern nur den Zeitpunkt. „Zugang entfernen“ löscht das Konto (Art. 6 Abs. 1 lit. b und f DSGVO).

Anmeldung eines Betriebs: Betriebe melden sich selbst an (mit Einladungslink oder, solange die Anmeldung offen ist, direkt auf werksbuero.de/registrieren). Dabei speichern wir Firmenname, Name, E-Mail-Adresse, Gewerk, Anschrift und deine vier Bestätigungen (Unternehmer, Vertretung, Nutzungsbedingungen, Auftragsverarbeitung) mit Fassung und Zeitpunkt — als Nachweis des Vertragsschlusses, ohne IP-Adresse. Zur Prüfung der E-Mail-Adresse schicken wir einen 6-stelligen Code (15 Minuten gültig). Nicht abgeschlossene Anmeldungen löschen wir nach 7 Tagen.

Schutz vor automatisierten Anmeldungen: Beim Absenden löst dein Browser eine kleine Rechenaufgabe — ohne Cookies, ohne fremden Dienst, ohne Bezug zu deiner Person. Außerdem prüfen wir im DNS, ob die Domain deiner E-Mail-Adresse Mails annimmt, und lehnen bekannte Wegwerf-Adressen ab (Art. 6 Abs. 1 lit. f DSGVO).

Tipps per Mail in der Testphase: Wer sich selbst anmeldet, bekommt in den 30 Testtagen höchstens vier kurze Mails an die Adresse des Inhabers — Einstieg, Hilfe (nur ohne ersten Beleg), eine Rückfrage und eine Erinnerung mit den Abo-Preisen fünf Tage vor dem Testende. Dafür nutzen wir Name, E-Mail-Adresse, Betrieb, das Testende, die Anzahl der Belege (keine Inhalte) und was in der Einrichtung noch fehlt (etwa Logo oder eigene Preise); Grundlage ist Art. 6 Abs. 1 lit. f DSGVO und für die Erinnerung zusätzlich § 7 Abs. 3 UWG. Widerspruch jederzeit per Link in jeder Mail, mit dem Schalter „Tipps per Mail“ oder formlos an kontakt@werksbuero.de — dafür entstehen nur die üblichen Übermittlungskosten.

5. KI-Entwurf aus Sprachnotiz oder Text

  • Aus deiner Arbeitsbeschreibung erstellt eine KI von Google (Gemini 3.5 Flash) einen Angebotsentwurf. Für echte Betriebe läuft sie nur in der EU (Vertex AI, Rechenzentrum Frankfurt); Google nutzt die Eingaben nicht zum Training, und auch wir trainieren mit deinen Daten keine KI. Vorführbetriebe mit Beispieldaten nutzen Google AI Studio — dort bitte keine echten Daten eingeben.
  • Schutzfilter: Vor dem Aufruf ersetzt ein fester Regelfilter Namen, Anschriften, Telefonnummern, E-Mail-Adressen und IBANs in getipptem Text durch Platzhalter; auch die Antwort wird gefiltert. Eine Sprachaufnahme lässt sich vorher nicht filtern — sie geht so an die KI, wie du sie sprichst; gefiltert wird danach das Transkript.
  • Sprachaufnahme: Das Mikrofon ist nur während der Aufnahme aktiv. Auf unseren Servern wird die Aufnahme nicht gespeichert, nur das bereinigte Transkript. Sprich nur die Arbeit ein, keine Namen oder Adressen.
  • Nichts geht verloren: Bis ein angefangener Entwurf bei uns angekommen ist, liegen Text, Aufnahme, gewählter Kunde und Fotos im Speicher deines Browsers. Danach löscht die App die Aufnahme dort; beim Abmelden alles.
  • Weitere KI-Funktionen: Nachbessern und KI-Assistent (deine Nachricht, die Positionen, die berechneten Summen und die letzten Nachrichten des Gesprächs — alles gefiltert; das Gespräch wird nicht gespeichert, Änderungen sind nur Vorschläge) und Nachricht umformulieren (Namen, Beträge und Nummern ersetzt die App vorher durch Platzhalter; findet der Filter trotzdem persönliche Angaben, geht der Text nicht an die KI).
  • Deine KI: Unter „Mein Betrieb → Deine KI“ kannst du der KI Regeln geben und Erfahrungswerte merken lassen (z. B. Minuten je m²). Dazu nimmt die KI bis zu zwei ähnliche frühere Angebote eures Betriebs als Vorbild — nur Positionen und Preise, ohne Kunde, Anschrift und Datum. Gelernt wird nur, wenn ihr es bestätigt; alles ist dort einsehbar und löschbar. Namen, Anschriften und Kontaktdaten filtert die App heraus. Liest du ein altes Angebot ein (PDF oder Foto), geht die Datei einmalig an die EU-KI, die nur die Positionen ausliest; die Datei wird nicht gespeichert. Es ist kein Training einer KI und bleibt immer in eurem Betrieb.
  • Einkaufspreise vom Großhändler: Aus E-Rechnungen deines Großhändlers im Eingang, aus deiner Einkaufsliste (Excel/CSV) oder aus seiner Preisliste im DATANORM-Format speichern wir je Artikel Lieferant, Artikelnummer, Bezeichnung, Einheit, Einkaufspreis und Datum, höchstens 1 Million je Betrieb. DATANORM-Dateien liest dein Browser selbst; die Dateien speichern wir nicht. Für einen Entwurf bekommt die KI eine Auswahl passender Einkaufspreise ohne Kundendaten; den Verkaufspreis rechnet die App (Einkauf plus dein Aufschlag). Deine Einkaufspreise sieht kein anderer Betrieb, und sie fließen nicht in Marktpreise ein. Abschalten: Mein Betrieb → Funktionen.
  • Anfragen per Mail: Mails an die Empfangsadresse deines Betriebs nimmt Resend (EU) entgegen und hält sie 30 Tage; wir legen daraus eine Anfrage an (Absender, Betreff, Text, Telefonnummer aus der Mail, Fotos ohne Standortdaten in der Kundenmappe). Die Mail selbst speichern wir nicht, andere Anhänge nennen wir nur. An die KI geht erst etwas, wenn du einen Entwurf startest.
  • „Wir bauen dir eine Website“: Fragst du in der Einrichtung eine Website bei OsAI an, speichern wir die Anfrage (Notiz, Rückrufnummer) und schicken uns eine Mail mit den Angaben deines Betriebs für den Rückruf; per Telegram nur Anlass und Gewerk, ohne Namen (Art. 6 Abs. 1 lit. b DSGVO).
  • Einrichtung — „Wirf rein“ und Texte: Wirfst du eine alte Rechnung, ein Angebot (PDF oder Foto) oder eine kurze Erzählung (Sprache oder Text) ein, geht sie einmalig an die EU-KI, die nur die Angaben eures Betriebs liest (Briefkopf, Steuer, Bank, Preise, Stundensätze, Regeln); Kundendaten liest sie nicht, Zeilen mit Kundenbezug fallen weg. Datei und Aufnahme werden nicht gespeichert, nur das Gelesene — bis du die Unterlage entfernst. Deine Website liest Werksbüro ohne KI (Startseite und Impressum). Für Texte im Ton deines Betriebs gehen nur Ton, Gruß, Name und deine Beschreibung an die KI. Bereitet OsAI deine Einrichtung auf deinen Wunsch vor, werfen wir deine Unterlagen auf demselben Weg ein und löschen die zugeschickten Dateien danach. Übernommen wird nur, was du antippst.
  • Keine automatisierte Entscheidung: Die KI macht Vorschläge; du prüfst und gibst jedes Angebot selbst frei. Angebote lassen sich auch ganz ohne KI anlegen.
  • Je KI-Aufruf wird ohne Inhalte protokolliert, welches Modell lief, wie viele Angaben der Filter entfernt hat und wie viele Tokens verbraucht wurden.

6. Fotos

Fotos werden im Browser verkleinert, Standort- und Gerätedaten werden entfernt. Sie liegen privat in Frankfurt und sind nur für deinen Betrieb sichtbar.

  • Aufnahmedatum: Vor dem Entfernen liest die App aus dem Foto nur das Aufnahmedatum und speichert es zum Foto — zum Ordnen nach Datum und für die Fotodokumentation. Den Standort (GPS) speichern wir nie.
  • Intern oder für den Kunden: Neue Fotos sind intern. Nur Fotos, die du auf „Kunde sieht es“ stellst, erscheinen im PDF und am Annahme-Link; auf einer Rechnung nur die angehakten.
  • Baustellenfotos ohne Beleg (Kamera-Knopf, „Später zuordnen“) löscht die App nach 30 Tagen, wenn du sie keinem Beleg zuordnest. Hast du sie einem Kunden zugeordnet, nach 90 Tagen; stellt dein Betrieb unter Mein Betrieb → Funktionen „Fotos beim Kunden behalten“ ein, bleiben sie, bis du den Kunden löschst. Löschst du einen Kunden, löscht die App seine Fotos ohne Beleg sofort mit.
  • Papierkorb: Einen gelöschten Entwurf legt die App 30 Tage in den Papierkorb (Belege → Filter → Papierkorb), damit ein Versehen rückgängig gemacht werden kann. Danach — oder sofort mit „Endgültig löschen“ — ist er samt seinen Fotos weg. Löschst du einen Kunden, verschwinden auch seine Entwürfe im Papierkorb sofort.
  • Ohne Netz warten Fotos verkleinert im Speicher deines Browsers, bis sie hochgeladen sind; beim Abmelden werden sie dort gelöscht.
  • KI: Ein Foto geht nur an die KI, wenn du beim Erstellen „Fotos der KI zeigen“ einschaltest — höchstens vier, verkleinert, nur über die EU-KI (Vertex AI, Frankfurt). Im Vorführmodus gehen nur feste Beispielfotos an die KI, nie deine eigenen. Was die KI aus einem Foto vorschlägt, ist als Schätzung markiert; du prüfst es vor der Freigabe.

7. Kalender und Zeiterfassung

Für Termine, Abwesenheiten und Arbeitszeiten ist dein Betrieb verantwortlich; wir verarbeiten sie in seinem Auftrag. Kalender und Zeiterfassung nutzen keine KI.

  • Kalender: Termine eurer Aufträge und Einträge ohne Kunde (Urlaub, Berufsschule, abwesend), jeweils mit den eingeteilten Personen. Ist beim Kunden eine E-Mail-Adresse hinterlegt, erinnert die App ihn am Vortag gegen 17 Uhr an den Termin — außer ihr schaltet das für den Termin aus.
  • Kalender-Abo: Auf Wunsch bekommst du einen persönlichen Link für dein Kalenderprogramm (mit Kunde, Ort und Notiz). Trägst du ihn bei Google, Apple oder Microsoft ein, holt dieser Dienst die Termine selbst ab, nach seinen eigenen Bedingungen. Wir speichern den Link nur als Prüfsumme; du kannst ihn jederzeit ersetzen oder beenden, und er gilt nicht mehr, sobald dein Zugang entfernt wird.
  • Zeiterfassung: Beginn, Ende, Pause und optional der Auftrag — von Hand, als Satz oder mit Start/Stopp. Mitarbeitende sehen nur ihre eigenen Zeiten, der Inhaber die des ganzen Teams. Kein Standort, keine automatische Erfassung; die Hinweise zu Pausen und Höchstarbeitszeit zeigt die App nur an. Zeiten bleiben, bis dein Betrieb sie löscht (er muss sie oft mindestens 2 Jahre aufbewahren).

8. Cookies und Browser-Speicher

Keine Analyse-, Tracking- oder Werbe-Cookies. Nur was für die Funktion nötig ist, die Arbeit ohne Netz absichert oder deine Einstellung speichert:

  • Cookies: sb-…-auth-token — hält dich angemeldet (30 Tage nach der letzten Nutzung, nur für den Server lesbar) · wb-design, wb-hell, wb-leiste, wb-bewegung — Look, Hell/Dunkel, Seitenleiste, Bewegung (je 1 Jahr) · wb-tour, wb-tour-spaeter — Einführungs-Touren (1 Jahr / bis Browser-Ende)
  • Lokaler Speicher auf deinem Gerät: deine Einstellungen (wb-vibration, wb-wischen, wb-diktat-sprache), „Weiter, wo du warst“ (wb-zuletzt: Kennung und Titel des letzten Entwurfs), zuletzt gezeigte Zusage (wb-annahme-gesehen), ungespeicherte Foto-Markierungen (wb-markierung:…), Live-PDF-Ansicht (wb-livepdf…), Hinweise schon gesehen (wb-wisch-gelernt, wb-show-runs), Karten gleich zeigen (wb-karte, nach dem ersten Tipp auf „Karte anzeigen“; × an der Karte löscht es); nur für die Dauer der Sitzung: wb-tour-laufend, wb-weiter-weg, wb-einstellungen-abgleich, wb-neu-gewaermt
  • Ohne Netz: wb-entwuerfe und wb-fotos (IndexedDB) — angefangene Entwürfe und wartende Fotos; die Seite „Neues Angebot“ samt Kundenliste im Speicher des Browsers (Service Worker), damit sie im Funkloch aufgeht. Alles davon löscht die App beim Abmelden — auf geteilten Geräten bitte abmelden.

9. Feedback an OsAI

Über „Feedback geben" kannst du uns Fehler, Wünsche oder Lob schicken. Gespeichert werden dein Text, die Art (z. B. Fehler), die Seite, auf der du warst (nur der Pfad, ohne Suchbegriffe), eine grobe Gerätebeschreibung (z. B. „iPhone · Safari · 390 px"), der gewählte Look, dein Betrieb, deine Rolle und der Zeitpunkt — damit wir das Problem nachstellen und die App verbessern können (Art. 6 Abs. 1 lit. f DSGVO).

  • Der Text geht per E-Mail an kontakt@werksbuero.de (Versand über Resend, EU).
  • Zusätzlich bekommt OsAI einen kurzen Hinweis über Telegram — ohne deinen Text und ohne Angaben zu dir oder deinem Betrieb, nur die Art und die Seite.
  • Wir löschen Feedback, sobald es erledigt ist, spätestens nach 12 Monaten — in einem Löschlauf, der derzeit einmal im Monat läuft.

10. Preiswissen

  • Eigene Preise (immer): Für Positionen aus den Branchenkatalogen schlägt die App den Preis vor, den dein Betrieb zuletzt selbst genommen hat — nur aus euren eigenen Belegen.
  • Teilen nur mit Schalter (Mein Betrieb → Funktionen, ab Werk aus): Dann fließen Einzelpreise aus verschickten Belegen anonym in Marktpreise ein. Verwendet werden nur Katalog-Position, Einzelpreis netto, Einheit, die ersten zwei Ziffern eurer Postleitzahl und der Zeitraum — nie Kundendaten, Texte, Mengen, Summen oder euer Name.
  • Anonym: Jede Nacht neu gerechnet; jeder Betrieb zählt einmal, ein Marktpreis entsteht erst ab fünf Betrieben und nur als Spanne. Sehen dürfen ihn Betriebe, die selbst teilen und Werksbüro Plus gebucht haben (nicht in der Testphase).
  • Grundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — jederzeit per Schalter oder E-Mail widerrufbar; ab dem nächsten nächtlichen Lauf seid ihr nicht mehr enthalten.

11. Nutzungsstatistik je Betrieb

Wir zählen je Betrieb und Tag, welche Funktionen wie oft genutzt werden, wie viele KI-Vorschläge vor der Freigabe geändert werden, wie lange es bis zum Versand dauert und wie weit ein neuer Betrieb beim Einstieg ist (etwa wie lange es bis zum ersten Angebot dauert und welche Einrichtungs-Schritte erledigt sind) — nie, wer im Team etwas tut, und nie Inhalte oder Kundendaten. So sehen wir, was wir verbessern müssen, und können helfen, wenn jemand hängen bleibt (Art. 6 Abs. 1 lit. f DSGVO). Zähler je Betrieb löschen wir nach 90 Tagen; danach bleiben nur Summen ohne Bezug zu einem Betrieb (höchstens 24 Monate). Widerspruch jederzeit mit dem Schalter „Nutzungsstatistik“ oder per E-Mail — dann löschen wir eure Zähler spätestens am folgenden Tag.

12. Nennung als Referenz

Nur wenn der Inhaber den Schalter „Als Referenz nennen“ einschaltet (ab Werk aus), zeigen wir Name und Logo des Betriebs als Kunden von Werksbüro (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Widerruf jederzeit — wir nehmen die Nennung dann innerhalb von 7 Tagen aus unseren Medien heraus.

Interne Hinweise: Fristen, Referenz-Änderungen und Feedback melden wir uns per E-Mail (Resend, EU). Ein zusätzlicher Hinweis per Telegram (Server außerhalb der EU) enthält nur den Anlass, Zahlen und manchmal die Adresse (Kennung) deines Betriebs — keine Personennamen und keine Kundendaten.

13. Speicherorte und Dienstleister

  • Supabase — Datenbank, Anmeldung, Dateien — Frankfurt am Main
  • Vercel — Hosting, Server-Region Frankfurt
  • Google Cloud — KI (siehe Abschnitt 5) und, sobald eingerichtet, die nächtliche Sicherungskopie der Dateien (Fotos, Beleg-PDFs, Logos) — Frankfurt am Main
  • Stripe — Zahlung des Abos und Rechnungen an deinen Betrieb (Stripe Payments Europe, Irland). Deine Zahlungsdaten gibst du direkt bei Stripe ein; wir sehen sie nicht. Für die Zahlungsdaten ist Stripe selbst verantwortlich.
  • Resend — Versand der E-Mails aus der App (Belege an deine Kunden, Anmelde-Mails, Nachricht bei Annahme eines Angebots, Feedback), Versand-Region EU (Irland); Antworten gehen an die Adresse deines Betriebs. Wir messen nicht, ob Empfänger eine Mail öffnen oder Links anklicken.
  • OpenStreetMap — Karte am Beleg, nur wenn du „Karte anzeigen“ tippst: Unser Server sucht die Adresse der Baustelle (ohne Namen) über den Dienst Nominatim und holt die Kartenbilder; beides betreibt die OpenStreetMap Foundation (Vereinigtes Königreich, Angemessenheitsbeschluss der EU). Dein Browser spricht dabei nur mit Werksbüro — deine IP-Adresse geht nicht an OpenStreetMap. Gefundene Orte halten wir bis zu 30 Tage, Kartenbilder bis zu 7 Tage im Zwischenspeicher (Art. 6 Abs. 1 lit. f DSGVO). „Route“ öffnet die Karten-App deines Geräts (Apple Karten oder Google Maps) mit der Adresse; ab dort gelten deren Bedingungen.

Soweit Daten in die USA gelangen können, ist dies durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.

14. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreib an kontakt@werksbuero.de. Betrifft deine Anfrage Kundendaten deines Betriebs, leiten wir sie an deinen Betrieb weiter. Beschwerde: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg.