Datenschutz

ITC Institut Time Consultants Graf GmbH

In den Tieräckern 13 - 15, 89520 Heidenheim

E-Mail: info@itc-graf.de

Preventra verarbeitet Daten des Arbeitsschutzes im Auftrag der betreuten Betriebe — Gefährdungsbeurteilungen, Unterweisungen, Begehungen, Unfallmeldungen und Prüfungen elektrischer Betriebsmittel.

Verantwortlich im Sinne der DSGVO ist dabei der jeweilige Betrieb; Preventra und der betreuende Dienst handeln als Auftragsverarbeiter. Der zugehörige Vertrag regelt Zwecke, Weisungen, Löschfristen und die eingesetzten Unterauftragnehmer.

Betrieb und Datenhaltung erfolgen ausschließlich in Deutschland. Es werden keine Inhalte von Dritten geladen — keine Schriftarten, keine Analysedienste, keine Inhaltsnetze.

Ein Betrieb kann sich bei Preventra selbst einen Betriebsraum anlegen oder ihn von der Plattformverwaltung oder seinem Arbeitsschutz-Dienst anlegen lassen — einen eigenen Datenraum mit Betriebskennung, in dem er Standorte, Ansprechpersonen, Unterlagen, Termine und Aufgaben führt und den er seinem Arbeitsschutz-Dienst öffnet.

„Neu seit Ihrem letzten Besuch“: Damit die Startseite des Raums Neues kennzeichnen kann, merkt sich Preventra je Person und Raum zwei Zeitpunkte — den letzten Aufruf der Startseite und das Ende des vorigen Besuchs. Sie werden bei jedem Besuch überschrieben, nicht fortgeschrieben, sind nur für Sie selbst lesbar und werden mit Ihrer Mitgliedschaft im Raum gelöscht.

Für diesen Raum ist der Betrieb selbst Verantwortlicher im Sinne der DSGVO; Preventra handelt als sein Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage sind die Nutzungsbedingungen und der Vertrag zur Auftragsverarbeitung, denen die Leitung des Betriebs bei der Registrierung oder bei der Übernahme eines für den Betrieb angelegten Betriebsraums zustimmt (siehe Einladung als Leitung); Fassung und Zeitpunkt der Zustimmung werden am Betriebsraum festgehalten.

Von einem Arbeitsschutz-Dienst angelegt: Legt ein Dienst den Betriebsraum für einen Betrieb an, betreut er ihn treuhänderisch, bis die Leitung des Betriebs ihn übernimmt. Bis dahin pflegt der Dienst die Angaben des Betriebs und verarbeitet Preventra im Auftrag dieses Dienstes; es werden in dieser Zeit keine Gesundheitsdaten (Verbandbuch) erhoben. Mit der Übernahme bestätigt die Leitung die Betreuung, und der Betrieb wird Verantwortlicher. Was der Dienst intern über seinen Kunden führt — Kundennummer, Vertrag, Bemessung der Betreuung, interne Notizen —, steht auf seiner Kundenkarte bei ihm und nie im Betriebsraum.

Aktuelle Fassung: avv-2026-10.

Für die Registrierung selbst ist Preventra Verantwortlicher im Sinne der DSGVO — die oben genannte Stelle. Bis der Betriebsraum angelegt ist, gibt es noch keinen Betrieb, in dessen Auftrag wir handeln könnten.

Welche Angaben

• Name des Betriebs und seine Anschrift (Straße, Postleitzahl und Ort freiwillig, das Land als Pflichtangabe)
• E-Mail-Adresse der Leitung des Betriebs
• die IP-Adresse Ihres Geräts — ausschließlich für die Begrenzung der Anfragen

Wozu und auf welcher Grundlage

Name, Anschrift und E-Mail-Adresse brauchen wir, um Ihnen den Link zum Anlegen des Betriebsraums zu schicken und die Nutzungsbedingungen und den Vertrag zur Auftragsverarbeitung mit Ihrem Betrieb zu schließen (Art. 6 Abs. 1 lit. b DSGVO, Vertragsanbahnung). Die IP-Adresse und die Sperre gegen wiederholte Nachrichten an dieselbe Adresse schützen vor Missbrauch — davor, dass jemand das Formular automatisiert benutzt oder fremde Postfächer mit Nachrichten füllt (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse).

Wie lange

• Name und Anschrift stehen bis zum Öffnen des Links nur verschlüsselt im Link — lesbar abgelegt werden sie erst, wenn der Betriebsraum entsteht. Der Link gilt 24 Stunden.
• Ihre E-Mail-Adresse und die Nachricht mit dem Link — oder, wenn zu der Adresse schon ein Zugang besteht, der Hinweis ohne Link — liegen ab der Anforderung im Postausgang unserer Datenbank. Sie werden 7 Tage nach der Anforderung gelöscht, sobald die Nachricht versandt ist oder endgültig nicht zugestellt werden konnte. Neben der Nachricht halten wir einen Prüfwert von Betriebsname, Anschrift und Vertragsfassung fest. Er enthält die Angaben nicht im Klartext, wird aber ohne Geheimschlüssel gebildet, und Betriebsname und Anschrift sind oft öffentlich bekannt: Wer Zugriff auf unsere Datenbank hat und die Angaben schon vermutet, kann die Vermutung damit bestätigen. Der Prüfwert liegt so lange wie die Nachricht im Postausgang und wird mit ihr gelöscht. Daran erkennen wir eine wiederholte gleiche Anforderung: Innerhalb von 1 Stunde geht eine gleiche Anforderung nur einmal an dieselbe Adresse, und insgesamt gehen an eine Adresse höchstens 3 solche Nachrichten in dieser Zeit.
• Ihre IP-Adresse zählt die Anwendung im Arbeitsspeicher als Zähler der Anfragen, der sich nach 1 Stunde wieder auffüllt. Festgehalten wird sie von der Anwendung nur gekürzt, sodass sie nicht mehr auf einen einzelnen Anschluss zeigt: im Protokoll des Betriebsraums, wenn er angelegt wird. Unabhängig davon vermerkt der Router der Hosting-Plattform jede Anfrage in seinem Zugriffsprotokoll — mit IP-Adresse, aufgerufener Adresse und Browserkennung.
• Beim Öffnen des Links entsteht eine Einmalmarke ohne Personenbezug, damit derselbe Link nicht zweimal einen Betriebsraum anlegt. Sie wird 7 Tage nach dem Einlösen gelöscht.
• Mit dem Anlegen gehen Name und Anschrift in den Betriebsraum über; von da an ist der Betrieb Verantwortlicher (siehe „Betriebsraum“). Die E-Mail-Adresse wird der Zugang der ersten Leitung. Fassung und Zeitpunkt der Zustimmung stehen am Betriebsraum und in seinem Protokoll als Nachweis des Vertragsschlusses.

Einen Betriebsraum kann außer dem Betrieb selbst auch die Plattformverwaltung von Preventra oder ein Arbeitsschutz-Dienst aus seiner Betriebsakte anlegen. Übernommen wird ein solcher Raum ausschließlich von der Person, die als erste Leitung eingeladen ist — über den Link in der Einladung an ihre E-Mail-Adresse. Die Betriebskennung genügt dafür nicht.

Welche Angaben

• die E-Mail-Adresse der eingeladenen Person
• wann die Einladung ausgesprochen, ersetzt oder eingelöst wurde, und das Konto, mit dem sie eingelöst wurde
• bei einer Einladung der Plattformverwaltung: wann die betreuenden Arbeitsschutz-Dienste darüber unterrichtet wurden und wie viele es waren — nicht, welche

Wozu und auf welcher Grundlage

Die Adresse brauchen wir, um den Betriebsraum an die benannte Leitung zu übergeben und später nachweisen zu können, wer ihn übernommen hat. Grundlage ist das berechtigte Interesse des Betriebs und dessen, der den Raum angelegt hat, an dieser Übergabe (Art. 6 Abs. 1 lit. f DSGVO). Die Einladung spricht aus, wer den Raum angelegt hat; die Seite zum Link nennt ihn.

Lädt die Plattformverwaltung ein, unterrichten wir zusätzlich die Leitungen der Arbeitsschutz-Dienste, die diesen Betrieb betreuen: Wer den Link einlöst, führt danach den Betriebsraum und entscheidet über seine Betreuungen — das soll niemandem verborgen bleiben. Diese Nachricht nennt die Betriebskennung, aber nicht Ihre E-Mail-Adresse und nicht den Namen des Betriebs. An der Einladung wird vermerkt, dass und wann unterrichtet wurde und wie viele Dienste erreicht wurden; wer sie sind, steht dort nicht. Grundlage ist das berechtigte Interesse dieser Dienste und des Betriebs daran, dass eine von uns eingesetzte Leitung nicht unbemerkt bleibt (Art. 6 Abs. 1 lit. f DSGVO).

Wie lange

• Der Link gilt 7 Tage. Eine neue Einladung in denselben Betriebsraum ersetzt die offene.
• Die Nachricht mit dem Link liegt im Postausgang des Betriebsraums und wird 7 Tage nach dem Versand gelöscht, oder nachdem sie endgültig nicht zugestellt werden konnte.
• Die Einladung mit Ihrer Adresse wird 90 Tage nach Ablauf, Ersetzung oder Einlösung gelöscht — und mit ihr der Vermerk über die Unterrichtung.
• Die Unterrichtung der betreuenden Dienste liegt in deren Postausgang und wird 7 Tage nach dem Versand gelöscht.
• Beim Öffnen des Links gilt für Ihre IP-Adresse dasselbe wie bei der Registrierung.
• Mit dem Einlösen werden Sie Leitung des Betriebsraums; haben Sie noch keinen Zugang, entsteht er dabei. Fassung und Zeitpunkt Ihrer Zustimmung zu AV-Vertrag und Nutzungsbedingungen stehen am Betriebsraum. Von da an ist der Betrieb Verantwortlicher (siehe „Betriebsraum“).

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15 bis 21 DSGVO. Wenden Sie sich dafür an den Betrieb, der Ihre Daten verarbeitet — er ist der Verantwortliche. Daneben steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu.