← Zurück zu DepoFact

Verarbeitung personenbezogener Daten

Letzte Aktualisierung: Mai 2026  ·  Gilt für depofact.be, my.depofact.be und die DepoFact-App

1. Verantwortlicher

Una Group BV, handelnd unter der Marke DepoFact, ist der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679).

2. Welche Daten erheben wir?

Kategorie	Konkrete Daten	Quelle
Kontodaten	E-Mail-Adresse, Anzeigename, Firebase Authentication UID, Anmeldezeitstempel, Spracheinstellung	Direkt über das Anmeldeformular
Unternehmens- und Transaktionsdaten	Firmennamen, Kontaktdaten, Rechnungen, Bestellungen, Zahlungen, Lagerbewegungen, Angebote	Vom Nutzer eingegeben oder über Billit API importiert
Push-Benachrichtigungs-Token	Firebase Cloud Messaging (FCM) Geräte-Token, Plattform (Android/iOS), Spracheinstellung, Registrierungszeitstempel	Automatisch bei App-Installation
Analysedaten	Sitzungs-ID, Seitenaufrufe, Klick-Events, Spracheinstellung, Gerätetyp, anonymisierte IP-Adresse (letztes Oktett entfernt)	Google Analytics 4 (GA4), Mess-ID G-5M5S0MHMET
Protokolldaten	E-Mail-Versandzeitstempel, Zustellstatus (Öffnen/Klicken via SES-Events), Cloud Functions-Fehlerprotokolle	AWS Simple Email Service (SES) + Firebase Cloud Functions
Geräte- und Sitzungsdaten	User-Agent, Browser-/OS-Version, Bildschirmbreite (nur zur Fehlerdiagnose in Cloud Functions-Logs)	Automatisch

3. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage (DSGVO Art. 6)
Erbringung des SaaS-Dienstes (Rechnungsstellung, Lagerverwaltung, Reporting)	Vertragserfüllung (Art. 6.1.b)
Authentifizierung und Zugangskontrolle	Vertragserfüllung (Art. 6.1.b)
Versand transaktionaler E-Mails (Rechnungsbenachrichtigungen, Zahlungsbestätigungen)	Vertragserfüllung (Art. 6.1.b)
Push-Benachrichtigungen über neue Rechnungen und Zahlungen	Berechtigtes Interesse (Art. 6.1.f) – rechtzeitige Benachrichtigung autorisierter Mitarbeiter
Plattformanalyse und UX-Verbesserung	Berechtigtes Interesse (Art. 6.1.f) – anonyme aggregierte Statistiken
Sicherheit, Betrugsprävention und Fehlererkennung	Berechtigtes Interesse (Art. 6.1.f)

4. Technische Infrastruktur und Speicherort

Alle personenbezogenen Daten werden auf belgischen Servern über folgende Dienstleister gespeichert und verarbeitet:

• Google Firebase (GCP) – Speicherung, Authentifizierung, Push-Benachrichtigungen und serverlose Verarbeitung. Server in Belgien (EU). Datenverarbeitung gemäß Google Cloud DPA und Standard Contractual Clauses (SCCs).
• Amazon SES – ausschließlich für den Versand transaktionaler E-Mails. Server in der EU (Irland).
• Google Analytics – anonymisierte Website-Statistiken (IP-Adresse wird nicht vollständig gespeichert).
• Billit NV – Synchronisation von Buchhaltungsdaten, nur auf ausdrückliche Anforderung des Mandanten-Administrators.

5. Speicherfristen

Datenkategorie	Speicherfrist
Konto- und Transaktionsdaten	Für die Dauer des Mandantenvertrags + 7 Jahre (gesetzliche Buchführungspflicht)
FCM Push-Tokens	Automatisch gelöscht beim Abmelden; ungültige Tokens nach fehlgeschlagener Zustellung
E-Mail-Protokolle (SES-Events)	90 Tage
Cloud Functions-Protokolle (Google Cloud Logging)	30 Tage (Standard-GCP-Aufbewahrung)
GA4-Analysedaten	14 Monate (in GA4-Property-Einstellungen konfiguriert)

6. Cookies und lokaler Speicher

• IndexedDB – Firestore-Offline-Cache: lokale Kopie der Geschäftsdaten für die Offline-Nutzung.
• localStorage – Spracheinstellung, aktive Mandanten-ID, FCM-Geräte-Token, Sitzungsmarkierungen.
• Service Worker Cache (Cache Storage API) – statische PWA-Assets für Offline-Verfügbarkeit.
• Google Analytics Cookies – _ga, _ga_*: anonymes Sitzungs-Tracking (2 Jahre Gültigkeit).

7. Weitergabe an Dritte

DepoFact gibt personenbezogene Daten ausschließlich an folgende Parteien weiter, und nur soweit für die Leistungserbringung unbedingt erforderlich:

• Google LLC – Cloud-Infrastruktur und Analytics (Auftragsverarbeitungsvertrag vorhanden).
• Amazon Web Services EMEA SARL – E-Mail-Zustellung über Amazon SES (Auftragsverarbeitungsvertrag vorhanden).
• Billit NV – Buchhaltungssynchronisation nur bei ausdrücklicher Aktivierung durch den Mandanten-Administrator.

Daten werden niemals verkauft, vermietet oder an Marketingpartner weitergegeben.

8. Sicherheit

• Gesamte Kommunikation verschlüsselt über TLS 1.2+.
• Firestore-Zugriff gesichert durch Firebase Security Rules auf Dokumentebene (Multi-Tenancy-Isolierung per tenantId).
• Cloud Functions gesichert durch Firebase App Check und Google reCAPTCHA Enterprise.
• E-Mail-Zustellung via SES mit DKIM- und SPF-Authentifizierung auf notify.depofact.be.
• FCM Push-Tokens werden beim Abmelden sofort aus Firestore entfernt.

9. Ihre Rechte als betroffene Person

• Auskunftsrecht (Art. 15)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17)
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Widerspruchsrecht (Art. 21)

Anfragen an: privacy@depofact.be. Antwort innerhalb von 30 Tagen.

Sie haben auch das Recht, eine Beschwerde bei der Datenschutzbehörde (GBA) einzureichen:
Drukpersstraat 35, 1000 Brüssel – gegevensbeschermingsautoriteit.be

10. Kontakt