The Rescue Key The Rescue Key

Datenschutzerklärung

Informationen über die Verarbeitung Ihrer personenbezogenen Daten

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder unsere App nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Best IT-Solutions GmbH
Otto-Hahn-Straße 25
61381 Friedrichsdorf
Deutschland
E-Mail: mail@bestitgmbh.de

3. Datenerfassung auf dieser Website & SaaS-Plattform

a) Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Gewährleistung der Stabilität, Sicherheit und Systemfunktionalität unserer Plattform.

b) Registrierung und Account-Daten

Zur Nutzung unseres Portals und unserer Smart Lock Steuerungen ist eine Registrierung erforderlich. Die hierbei erhobenen Daten (Name, E-Mail-Adresse, Passwort, Rolle) werden zur Bereitstellung der SaaS-Funktionalität verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

c) Nutzungsdaten der Smartlock-Steuerung

Zur Verwaltung der Notfall-Türöffnungen und Zutrittscodes verarbeiten wir:

Diese Daten werden in einer physisch isolierten, lokalen Datenbank pro Organisation/Mandant auf unserem eigenen Server gespeichert. Rechtsgrundlage ist die Erfüllung unseres Vertrages zur Portal-Bereitstellung (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigte Sicherheitsinteressen zur Rückverfolgbarkeit von Türöffnungen (Art. 6 Abs. 1 lit. f DSGVO).

d) Native Apps „The Rescue Key“ und „The Care Key“

Unsere nativen Apps für iOS und Android greifen ausschließlich verschlüsselt über die hierfür vorgesehenen Schnittstellen auf die SaaS-Plattform zu. Dabei werden die zur Anmeldung und Nutzung erforderlichen Angaben (insbesondere Organisationskennung, Konto-E-Mail, Rollen- und Berechtigungsdaten) sowie die jeweils aufgerufenen Einsatz-, Teilnehmer- und Schlossdaten verarbeitet. Zugangscodes werden nur nach einer erneuten Zwei-Faktor-Bestätigung und nur für den berechtigten Einsatzzweck vom Server abgerufen.

Auf dem Endgerät speichert die App ein zufällig erzeugtes, zeitlich begrenztes Sitzungstoken zusammen mit der Organisationskennung, der Konto-E-Mail-Adresse sowie Erstellungs- und Ablaufzeitpunkt der Sitzung im geschützten Schlüsselspeicher des Betriebssystems (iOS Keychain bzw. Android Keystore). Passwörter, TOTP-Geheimnisse und abgerufene Zugangscodes werden von der App nicht dauerhaft gespeichert. Beim Wechsel in den Hintergrund wird die Sitzung in der App gesperrt; Bildschirmaufnahmen und die Vorschau im App-Umschalter werden, soweit das Betriebssystem dies unterstützt, technisch unterbunden.

Zum Entsperren einer auf dem Gerät fortgeführten Sitzung verlangt die App eine Gerätebestätigung. Diese erfolgt ausschließlich durch das Betriebssystem per Gerätecode oder – sofern eingerichtet – optional per Fingerabdruck oder Gesichtserkennung. Die App erhält nur das Ergebnis der Bestätigung und hat weder Zugriff auf biometrische Merkmale noch übermittelt sie solche Merkmale an uns. Die Apps enthalten in der veröffentlichten Version keine Werbung, kein Nutzungs-Tracking, keine Standortabfrage, keinen Kontakt- oder Fotozugriff und keine Push-Benachrichtigungen.

Beim Herunterladen der App verarbeitet der jeweils gewählte Store-Anbieter (Apple App Store bzw. Google Play) Daten in eigener Verantwortung nach seinen Datenschutzbestimmungen. Expo Application Services wird ausschließlich zur technischen Erstellung und Signierung der Installationspakete eingesetzt; betriebliche Einsatz-, Teilnehmer-, Schloss- oder Kontodaten werden hierüber nicht verarbeitet.

e) Cookies & Einwilligung

Unsere Website nutzt Cookies. Wir verwenden ausschliesslich technisch notwendige Sitzungs-Cookies zur Authentifizierung und Systemsicherheit. Es werden standardmaessig keine optionalen Tracking- oder Marketing-Cookies geladen.

Sie koennen Ihre Cookie-Einstellungen und Einwilligungen jederzeit einsehen, anpassen oder widerrufen. Klicken Sie dazu auf den folgenden Link:

Cookie-Einstellungen anpassen

f) Zahlungs- und Rechnungsdaten

Für die Abrechnung der Softwarelizenzen und für Hardwarebestellungen verarbeiten wir die Rechnungs- und Zahlungsdaten der jeweiligen Organisation, insbesondere Firmierung und Rechnungsanschrift, Ansprechpartner, Rechnungsnummer, Rechnungspositionen, Beträge und Zahlungsstatus. Standardzahlungsart ist die Zahlung auf Rechnung; zusätzlich können die SEPA-Basislastschrift und PayPal gewählt werden.

SEPA-Basislastschrift: Erteilt eine Organisation über das Portal ein SEPA-Basislastschriftmandat, verarbeiten wir hierfür den Namen des Kontoinhabers, die IBAN, gegebenenfalls die BIC, die von uns vergebene Mandatsreferenz, das Mandatsdatum sowie den Sequenztyp und den Status des Mandats. Diese Daten werden ausschließlich zur Erzeugung der Lastschrifteinreichung (Format pain.008) und zur Zuordnung von Zahlungseingängen und Rücklastschriften verwendet. Rechtsgrundlage ist die Erfüllung des Vertrages bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO); für die Verhinderung von Doppelbelastungen und für die Missbrauchsabwehr besteht daneben ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Die IBAN wird ausschließlich verschlüsselt gespeichert (AES-256-GCM mit einem eigenen, von den übrigen Schlüsseln getrennt verwalteten Schlüssel). Im Portal, in den Antworten der Programmierschnittstellen, in Protokollen und in Auditdaten werden nur die letzten vier Stellen der IBAN angezeigt; die vollständige Kontonummer wird ausschließlich im Moment der Erzeugung einer Lastschrifteinreichung entschlüsselt. Das Mandat kann jederzeit im Portal widerrufen werden; die Mandatsdaten werden anschließend nur noch zu Nachweiszwecken im Rahmen der unten genannten Fristen vorgehalten.

Speicherdauer: Zahlungs-, Mandats- und Rechnungsdaten sind Bestandteil der Buchführung. Sie werden für die Dauer der Geschäftsbeziehung und darüber hinaus entsprechend den handels- und steuerrechtlichen Aufbewahrungspflichten aufbewahrt – in der Regel zehn Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 1 und Abs. 3 AO, § 257 Abs. 1 und Abs. 4 HGB), gerechnet ab dem Schluss des Kalenderjahres, in dem der jeweilige Beleg entstanden ist; für empfangene und abgesandte Handelsbriefe gilt die gesetzliche Frist von sechs Jahren. Nach Ablauf der maßgeblichen Frist werden die Daten gelöscht. Während der Aufbewahrung werden die Daten für andere Zwecke gesperrt (Art. 17 Abs. 3 lit. b DSGVO).

4. Einbindung von Drittanbietern & Hosting

a) Lokales Server-Hosting (Hetzner)

Alle Anwendungsdaten, Benutzerdaten, Notfall-Türprotokolle und Datenbanken werden vollständig lokal auf unserem eigenen, dedizierten Webserver bei der Hetzner Online GmbH (Deutschland) gehostet. Die zentralen Anwendungsdatenbanken werden nicht bei weiteren Cloud-Datenbankdiensten (wie z. B. Google Firebase) gespeichert. Die nachfolgend beschriebenen, zweckgebundenen Übermittlungen an Nuki, Igloohome, Vonage, Mailjet, sevDesk und – bei entsprechender Zahlungsart – PayPal bleiben hiervon unberührt. Das Hosting erfolgt in Deutschland.

b) Nuki Cloud API & Igloohome API

Zur Ausführung von Sperrbefehlen und dem Generieren von PIN-Codes stellt unsere Anwendung gesicherte API-Verbindungen zu den Cloud-Infrastrukturen der Hersteller her:

Hierbei werden ausschließlich die für den Befehl (z. B. PIN-Generierung) zwingend notwendigen temporären IDs und Zugriffswerte übermittelt (Art. 6 Abs. 1 lit. b DSGVO).

c) Vonage API (SMS-Benachrichtigungsdienst)

Sofern für einen Teilnehmer der SMS-Versand aktiviert ist, nutzen wir die REST-Schnittstelle der Vonage Holdings Corp. (New Jersey, USA), um SMS-Benachrichtigungen über Batteriestände und neu eingerichtete Zugangscodes zu versenden. Hierbei werden die Mobilfunknummer sowie der Textinhalt der Nachricht übertragen (Art. 6 Abs. 1 lit. b DSGVO).

d) Mailjet (E-Mail-Versanddienst)

Für den Versand transaktionaler E-Mails, insbesondere Einrichtungs- und Passwort-Zurücksetzlinks, Zugangscodes sowie Sicherheits- und Systembenachrichtigungen, nutzen wir Mailjet SAS (Sinch-Gruppe), 4 Rue Jules Lefebvre, 75009 Paris, Frankreich, als Auftragsverarbeiter. Dabei werden die Empfänger-E-Mail-Adresse, Absenderangaben, Betreff und Inhalt der jeweiligen Nachricht sowie die für Versand und Zustellung erforderlichen technischen Daten an Mailjet übermittelt und innerhalb der EU verarbeitet. Die Übermittlung ist auf die für die jeweilige Nachricht erforderlichen Angaben beschränkt.

Die Verarbeitung erfolgt je nach Nachricht zur Vertragsdurchführung und Bereitstellung der angeforderten Funktionen (Art. 6 Abs. 1 lit. b DSGVO) oder auf Grundlage unseres berechtigten Interesses an Systemsicherheit, Betriebsüberwachung und zuverlässiger Nachrichtenzustellung (Art. 6 Abs. 1 lit. f DSGVO). Soweit wir Daten im Auftrag eines Kunden verarbeiten, erfolgt die Einbindung von Mailjet als Unterauftragsverarbeiter nach Art. 28 DSGVO und auf Weisung des Kunden.

e) sevDesk (Buchhaltung und Rechnungsstellung)

Für die Rechnungsstellung, die Buchhaltung und die Erfüllung unserer handels- und steuerrechtlichen Pflichten setzen wir die Buchhaltungssoftware der SEVDESK GmbH, Hauptstraße 115, 77652 Offenburg, Deutschland, als Auftragsverarbeiter ein. Dabei werden aus dem Portal die für die Rechnungslegung erforderlichen Angaben an sevDesk übermittelt: der Name der Kundenorganisation als Kontakt sowie die Rechnungsdaten (Rechnungspositionen mit Bezeichnung, Menge und Preis, Gesamtbetrag, Währung, Leistungszeitraum bzw. Bestellnummer). Ergänzende Kontaktangaben wie Rechnungsanschrift, Ansprechpartner oder Umsatzsteuer-Identifikationsnummer werden dort im Rahmen der Buchhaltung verarbeitet, soweit sie für die Rechnungslegung erforderlich sind. Die Verarbeitung findet auf Servern in Deutschland statt.

Rechtsgrundlage ist die Erfüllung des Vertrages (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung unserer rechtlichen Verpflichtungen aus dem Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB). Zugangscodes, Einsatz- und Schließprotokolle, Teilnehmerdaten sowie Bankverbindungen von Lastschriftmandaten werden nicht an sevDesk übermittelt. Mit sevDesk besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

f) PayPal (Zahlungsabwicklung)

Wählt eine Organisation PayPal als Zahlungsart, wird der Zahlungsvorgang über die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, abgewickelt. Wir übermitteln hierfür ausschließlich die für die Zahlung erforderlichen Angaben, insbesondere den Zahlungsbetrag, die Währung, eine Zahlungs- bzw. Bestellreferenz und die E-Mail-Adresse des zahlenden Kontos. Für wiederkehrende Lizenzabbuchungen wird zusätzlich eine bei PayPal hinterlegte Einzugsvereinbarung samt der zugehörigen Referenz verarbeitet.

Die eigentlichen Zahlungsdaten – insbesondere PayPal-Zugangsdaten, hinterlegte Bankverbindungen und Kartendaten – werden ausschließlich bei PayPal und nicht bei uns erhoben und gespeichert. Wir erhalten von PayPal lediglich Statusmeldungen zum Zahlungsvorgang (etwa Zahlungseingang, Fehlschlag, Rückerstattung oder Rückbelastung). PayPal ist für die Verarbeitung im Rahmen des Zahlungsvorgangs eigenständig Verantwortlicher; es gelten insoweit die Datenschutzhinweise von PayPal. Rechtsgrundlage der Übermittlung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Kartenzahlung: Eine Anbindung für Kartenzahlungen über einen weiteren Zahlungsdienstleister ist in der Anwendung technisch vorbereitet, derzeit jedoch nicht aktiviert. Solange sie nicht aktiviert ist, werden dorthin keine Daten übermittelt. Vor einer Aktivierung wird diese Datenschutzerklärung um den konkreten Dienstleister und die dabei übermittelten Daten ergänzt.

5. Speicherdauer, Löschung & Archivierung

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist bzw. wie es gesetzliche Aufbewahrungspflichten vorschreiben (Art. 5 Abs. 1 lit. e DSGVO).

So beantragen Sie die Löschung Ihrer App-Daten

  1. Senden Sie Ihren Löschantrag an mail@bestitgmbh.de und nennen Sie „The Rescue Key“, die E-Mail-Adresse des betroffenen Kontos sowie – soweit bekannt – die Organisationskennung. Senden Sie keine Passwörter oder Zugangscodes.
  2. Wir prüfen Ihre Identität und Berechtigung mit angemessenen, auf den Einzelfall beschränkten Angaben. Bei einem Organisationskonto kann hierzu auch eine Bestätigung durch die zuständige Organisation erforderlich sein.
  3. Nach erfolgreicher Prüfung löschen oder anonymisieren wir die dem Konto zugeordneten personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden rechtlichen Gründe entgegenstehen. Soweit Daten noch aufbewahrt werden müssen, werden sie für andere Zwecke gesperrt und nach Ablauf der maßgeblichen Frist gelöscht oder anonymisiert. Über die Bearbeitung und etwaige Ausnahmen informieren wir Sie.

Archivierung bei Löschung: Wird ein Teilnehmer gelöscht oder ein Schloss aus dem System entfernt, werden die zugehörigen Daten nicht sofort unwiderruflich gelöscht, sondern in ein separates, zugriffsbeschränktes Archiv innerhalb derselben mandantengetrennten Datenbank verschoben. Das Archiv umfasst die Stammdaten des Teilnehmers bzw. Schlosses sowie die dazugehörigen Vorgangs- und Schließprotokolle zum Zeitpunkt der Löschung. Zweck ist die Nachvollziehbarkeit und Beweissicherung von Notfall-Türöffnungen und Zutrittsvorgängen (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Dokumentation und Rechtsverteidigung).

Aufbewahrungsfrist: Archivierte Daten werden für einen Zeitraum von standardmäßig 5 Jahren ab der Löschung vorgehalten und anschließend automatisiert und endgültig gelöscht. Diese Frist orientiert sich an der regelmäßigen zivilrechtlichen Verjährungsfrist (§ 195 BGB) zzgl. eines Sicherheitspuffers; sie kann vertraglich an speziellere gesetzliche Fristen (z. B. aus dem Sozial-, Handels- oder Steuerrecht) angepasst werden. Sofern für den konkreten Einsatzzweck strengere oder längere gesetzliche Vorgaben gelten, sind diese maßgeblich.

Recht auf Löschung: Ihr Recht auf Löschung (Art. 17 DSGVO) bleibt unberührt. Auf Verlangen werden personenbezogene Daten – auch aus dem Archiv – gelöscht bzw. anonymisiert, soweit dem keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zur Wahrung der Manipulationssicherheit des kryptografisch gesicherten Zugriffsprotokolls erfolgt die Umsetzung eines Löschverlangens technisch durch Anonymisierung der personenbezogenen Felder unter Beibehaltung der pseudonymen Protokollkette.

6. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Bestimmungen der DSGVO jederzeit das Recht auf:

Wenden Sie sich hierzu gerne an die oben genannte E-Mail-Adresse. Zudem steht Ihnen ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde zu.

© 2026 Best IT-Solutions GmbH. Alle Rechte vorbehalten.