Datenschutzerklärung

Stand: 16. Oktober 2026 · gilt für die Webanwendung asset.bechtle-rheinland.com sowie die zugehörige iOS-App IIMT – Internes IT Management Tool

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

2. Datenschutzbeauftragter

Den Datenschutzbeauftragten der Bechtle GmbH erreichen Sie über die zentralen Datenschutz-Kontaktwege der Bechtle-Gruppe. Anfragen zur konkreten Datenverarbeitung in dieser Anwendung können auch direkt an den Anwendungs-Ansprechpartner (siehe oben) gerichtet werden.

3. Zweck der Anwendung

Der IIMT – Internes IT Management Tool dient ausschließlich der internen IT-Asset-Verwaltung — also der Verwaltung von Hardware (Notebooks, Smartphones, Tür-Token), Software-Lizenzen sowie Mitarbeiter-Zuordnungen im Rahmen von On- und Offboarding-Prozessen. Eine Verarbeitung zu anderen Zwecken oder eine Nutzung durch Privatpersonen außerhalb der Bechtle GmbH findet nicht statt.

4. Welche Daten werden verarbeitet?

Im Rahmen der Anwendung werden folgende Datenkategorien verarbeitet:

4.1 Anmeldedaten

• E-Mail-Adresse (Bechtle-Geschäftskonto, dient als Anmeldename)
• Passwort (gespeichert ausschließlich als bcrypt-Hash)
• Zwei-Faktor-Authentifizierung (TOTP-Schlüssel, gespeichert verschlüsselt)
• Anmelde-Zeitpunkt und IP-Adresse (technisch zur Sitzungsverwaltung)

4.2 Mitarbeiter- und Asset-Daten

• Name, Abteilung, Standort, Geschäfts-E-Mail, Geschäftshandynummer
• Eintritts- und Austrittsdaten
• Zugewiesene Hardware (Gerätetyp, Hersteller, Modell, Seriennummer)
• Zugewiesene Software-Lizenzen
• Zugewiesene Tür-Token mit Berechtigungsschemata

4.3 Übergabe-Protokolle

• Datum, ausgegebene/zurückgenommene Geräte
• Digitale Unterschrift (SVG, ggf. via Documenso-Remote-Signatur) — auch für Tür-Token, die der Empfang per Mail meldet: Das Protokoll geht dann zur Unterschrift an die dienstliche Adresse der Person
• Erzeugte PDF-Übergabe-/Rückgabeprotokolle

4.4 Audit-Log

• Benutzeraktionen mit Zeitstempel und auslösendem Konto (z. B. Asset-Status-Änderung, Mitarbeiter-Anlage, Lizenz-Zuweisung)
• Audit-Log-Einträge sind aus Nachvollziehbarkeitsgründen nicht löschbar.

4.5 Historische Übergabe-Belege (einmaliger Bestands-Import)

Aus den papier- bzw. PDF-basierten Übergabe-Prozessen der Jahre 2022 bis 2025 wurden ca. 700 historische Übergabe- und Rückgabebelege als gescannte PDFs in die Anwendung übernommen, um eine lückenlose Bestands- und Buchhaltungs-Historie sicherzustellen. Diese Belege werden:

• im internen Belege-Verzeichnis uploads/belege/ (Server-side, nicht öffentlich erreichbar) abgelegt
• per OCR (Tesseract, ausschließlich lokal im Anwendungs-Container) ausgelesen — Asset-Seriennummern, IMEI, Inventarnummern und Mitarbeiter-Namen werden automatisch gegen den vorhandenen Datenbestand abgeglichen
• mit SHA-256-Hash auf Duplikate geprüft, um eine Mehrfach-Archivierung zu vermeiden
• im Rahmen der handels- und steuerrechtlichen Aufbewahrungspflichten (HGB §257 bis zu 6 Jahre, AO §147 bis zu 10 Jahre) unverändert archiviert

Inhalte der Belege: Mitarbeiter-Name, Eintritts-/Austrittsdaten, Geräte-Inventar (Seriennummer, IMEI, Modell), ggf. handschriftliche Unterschrift. Externe Dienstleister (z. B. Reinigungsfirmen, Schulungsteilnehmer) sind als virtuelle Mitarbeiter angelegt. Die Original-Papier-Belege verbleiben zusätzlich im Bechtle-Archiv.

4.6 Push-Benachrichtigungs-Daten (iOS-App)

Seit App-Version Build 33 (Mai 2026) unterstützt die iOS-App optional Push-Benachrichtigungen über den Apple Push Notification Service (APNS). Verarbeitet wird:

• ein anonymer APNS-Geräte-Token (Device-ID), den Apple iOS lokal auf dem Gerät erzeugt und der vom Anwendungs-Backend dem angemeldeten Bechtle-Konto zugeordnet wird
• der Auslöser-Kontext der Benachrichtigung (z. B. „Anstehendes Offboarding", „Tür-Token-Übergabe", „Wiedervorlage-Erinnerung")

Der Zugriff erfordert die ausdrückliche Zustimmung der Nutzerin/des Nutzers über den iOS-System-Dialog (NSUserNotificationsUsageDescription). Die Funktion lässt sich jederzeit über iOS-Einstellungen → Mitteilungen → Bechtle Rheinland IIMT deaktivieren. Zur Übermittlung des Tokens an Apple siehe Abschnitt 6.2 (Drittland-Transfer).

4.7 Gerätekatalog

Im Gerätekatalog (asset.bechtle-rheinland.com/ausstattung) wählen Vorgesetzte die Erstausstattung eines Neuzugangs laut Gerätestrategie und beantragen sie über BeGa. Zweck der Verarbeitung ist die Bestellung dieser Erstausstattung. Verarbeitet werden:

• Name und Firmenadresse (Bechtle oder ITZ-DS) des eingeladenen Vorgesetzten bzw. der eingeladenen Adresse (z. B. einer Vertretung) sowie die Zeitpunkte von Versand und Anmeldung
• der Einmalcode zur Anmeldung — gespeichert nur als Hash, 15 Minuten gültig — mit der Zahl der Fehlversuche, einer etwaigen Sperre und der Zahl der Codes des Tages (höchstens 10 je Adresse)
• die gewählte Geräteklasse und Ausstattung sowie die zurückgemeldete BEGA-Nummer
• vom Neuzugang Name, Eintrittsdatum, Abteilung, Standort und Mitarbeitertyp — im Katalog nur für die eingeladene Adresse sichtbar
• im Audit-Log Versand, Auswahl und Rückmeldung mit der Adresse, Anmeldungen, das erreichte Tageslimit und Sperren zusätzlich mit IP-Adresse (siehe 4.4)

Eigenbedarf: Alle Mitarbeitenden können sich ebenso mit Firmenadresse (Bechtle oder ITZ-DS) und Code anmelden und Ersatz für veraltete Hardware über BeGa beantragen. Zweck ist diese Bestellung. Für die Prüfung des Zugangs liest der Katalog aus dem eigenen Mitarbeiter-Datensatz, ob die Person aktiv ist, und ihren Mitarbeitertyp; erst nach der Anmeldung zusätzlich Eintritts-, Austritts- und Freistellungsdatum, um zu prüfen, ob eine Bestellung möglich ist. Angezeigt und in die Vorlagen übernommen werden Name, Abteilung und Standort. Die Auswahl liegt nur im Sitzungscookie und wird im IIMT nicht gespeichert. Für Anmeldecode und Audit-Log gilt das oben Gesagte.

Automatisch ausfüllen: Nutzt der Vorgesetzte „Automatisch ausfüllen“, enthält der Link zum BeGa-Antrag (beat.bechtle.de) Kurzbeschreibung und Beschreibung/Projekt nach den Vorlagen des Katalogs (in der Regel Name, Eintrittsdatum, Abteilung und Standort des Neuzugangs, beim Eigenbedarf Name, Abteilung und Standort der bestellenden Person) sowie die gewählten Positionen. Das sind dieselben Angaben, die sonst per Kopieren in den Antrag übertragen werden. Weil sie im Link selbst stehen, gehen sie schon beim Öffnen an BeGa, auch wenn der Antrag nicht abgeschickt wird, und können dort in Protokollen sowie im Browserverlauf erscheinen. Das Lesezeichen „BeGa ausfüllen“ trägt sie im Browser in das Antragsformular ein und schickt nichts ab; das IIMT speichert dabei nichts zusätzlich.

Speicherdauer: Die Einladung ist bis 30 Tage nach dem Eintritt nutzbar. Einladung, Auswahl und BEGA-Nummer bleiben beim Mitarbeiter-Datensatz und werden mit ihm gelöscht bzw. anonymisiert (siehe Punkt 9). Wird der Datensatz einer Person anonymisiert, werden auch die Anmeldecodes ihrer Adressen gelöscht. Für das Audit-Log gilt Abschnitt 8.

4.8 Versand-Logbuch

Schickt die Interne IT Mitarbeitenden Zubehör nach Hause (z. B. Adapter oder Kabel), hält sie das im Versand-Logbuch fest. Zweck ist die Nachvollziehbarkeit der ausgegebenen Arbeitsmittel und die Information der Empfänger. Verarbeitet werden der Empfänger (Verweis auf den Mitarbeiter-Datensatz), Inhalt, Paketdienst, Sendungsnummer, eine interne Notiz, Zeitpunkt und erfassende Person sowie, ob eine Info-Mail an die dienstliche Adresse ging, bei einem Fehlschlag mit dem Fehlertext des Mailservers. Adressen speichert das IIMT dabei nicht. Die Einträge bleiben beim Mitarbeiter-Datensatz und sind Teil der Auskunft (siehe Punkt 9); das Audit-Log (siehe 4.4) vermerkt jede Erfassung.

Sendungsstatus: Für DHL-, GLS- und UPS-Sendungen im Versand-Logbuch und bei Remote-Übergaben sowie für das Welcome-Paket an neue Mitarbeitende (DHL, Sendungsnummer in der HR-Checkliste) fragt das IIMT den Status beim jeweiligen Paketdienst ab. Übermittelt wird dabei nur die Sendungsnummer, die der Paketdienst aus dem Versand ohnehin kennt; gespeichert werden nur der grobe Status (z. B. „zugestellt“) und sein Zeitpunkt, keine Orte oder Angaben zur Zustellung.

4.9 Verlängerungs-Abfrage für Externe

Endet der Einsatz einer externen Person (IX-Personalnummer) laut Mitarbeiter-Datensatz in den nächsten sieben Wochen, fragt das IIMT, sofern HR die Funktion eingeschaltet hat, die zuständige Führungskraft per Mail, ob er verlängert wird. Zweck ist die rechtzeitige Verlängerung oder Beendigung der Zugänge. Die Führungskraft antwortet über einen persönlichen Link; Personendaten zeigt die Seite erst nach Eingabe eines Bestätigungscodes, der an ihre dienstliche Adresse geht (gespeichert nur als Hash, 15 Minuten gültig). Verarbeitet werden der Verweis auf die externe Person und die Führungskraft, deren dienstliche Adresse, Austrittsdatum, Zeitpunkte von Abfrage, Erinnerung und Antwort, die Antwort (Verlängerung mit Datum oder Ende) und eine freiwillige Bemerkung. HR erhält die Antwort per Mail und übernimmt sie in den Mitarbeiter-Datensatz. Die Einträge sind Teil der Auskunft (siehe Punkt 9); bei einer Anonymisierung wird die Bemerkung gelöscht und die Adresse der Führungskraft ersetzt.

4.10 HR-Reports und Exporte

HR und Superadmins können im HR-Cockpit Auswertungen zu Bestand, Ein- und Austritten, Abteilungswechseln und Fluktuation abrufen und als Datei (Excel, CSV, PDF) herunterladen, ebenso die Mitarbeiterliste. Zweck ist die Personalplanung und das Berichtswesen an Geschäftsführung und Abteilungsleitungen. Verwendet werden Angaben aus dem Mitarbeiter-Datensatz (Name, Personalnummer, dienstliche Adresse, Position, Abteilung, Standort, Mitarbeitertyp, Manager, Ein- und Austrittsdatum) und die erfassten Abteilungswechsel; Auswertungen lassen sich auch ohne Namen exportieren. Jeder Export wird mit Art, Filtern und Zeilenzahl, aber ohne Namen protokolliert. Heruntergeladene Dateien liegen außerhalb des IIMT in der Verantwortung der exportierenden Person und sind nach den internen Vorgaben abzulegen und zu löschen.

4.11 Wechsel zur Bechtle AG

Wechseln Beschäftigte zur Bechtle AG, vermerkt HR im IIMT, ob Hardware und Mobilfunknummer mitgehen. Für die Übertragung der Nummer füllt das IIMT das Telekom-Formular zur Vertragsübernahme mit Name und Rufnummer der Person sowie den Firmendaten aus und sendet es an ihre dienstliche E-Mail-Adresse oder stellt es der Internen IT zum Download bereit. Eine Kopie des Formulars speichert das IIMT nicht; es verlässt das IIMT nur auf diesen Wegen.

5. Rechtsgrundlage der Verarbeitung

Die Verarbeitung personenbezogener Daten in dieser Anwendung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Arbeitsvertrags (Bereitstellung von Arbeitsmitteln und IT-Zugangsverwaltung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen der Bechtle GmbH an einer ordnungsgemäßen, revisionssicheren IT-Asset-Verwaltung sowie an der Absicherung des Anwendungszugangs (MFA, Audit-Log, Failed-Login-Alerts)
• Art. 6 Abs. 1 lit. c DSGVO i. V. m. handels- und steuerrechtlichen Aufbewahrungspflichten (für PDF-Protokolle, historische Belege und Audit-Log)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung im Sonderfall der iOS-Push-Benachrichtigungen (Opt-In über iOS-System-Dialog)

6. Empfänger, Weitergabe und Drittland-Transfer

Die in dieser Anwendung verarbeiteten Daten verbleiben grundsätzlich im Konzern-internen Verbund der Bechtle GmbH innerhalb der EU. Eine Verarbeitung erfolgt durch folgende Empfänger:

6.1 Empfänger innerhalb der EU

• Bechtle-Cloud-Infrastruktur (Hostname besg-c1-asset.bechtle.cloud) — Hosting der Webanwendung sowie der selbst-gehosteten Documenso-Instanz für die Remote-Signatur-Workflows. Standort: Deutschland / EU.
• Microsoft Azure Communication Services (ACS) als Bechtle-zentral beauftragter SMTP-Mail-Dienst für Passwort-Reset, 2FA-Reset-Token, Failed-Login-Alerts und Benachrichtigungs-Mails. Datenresidenz: EU.
• DHL Group (Deutsche Post AG, Bonn) — Abfrage des Sendungsstatus über die Schnittstelle „Shipment Tracking“ (Rechenzentrum EU); übermittelt wird nur die Sendungsnummer (siehe 4.8).
• GLS Group (General Logistics Systems, Neuenstein) — Abfrage des Sendungsstatus über die Schnittstelle „Track & Trace“ aus dem GLS Developer Portal; übermittelt wird nur die Sendungsnummer (siehe 4.8).
• United Parcel Service (UPS Deutschland, Neuss; Schnittstelle der UPS-Gruppe, die Verarbeitung kann auch außerhalb der EU erfolgen) — Abfrage des Sendungsstatus über die „Tracking“-Schnittstelle von developer.ups.com; übermittelt wird nur die Sendungsnummer (siehe 4.8).
• Befugte interne IT-Mitarbeitende der Bechtle GmbH mit den Rollen admin, it, lager oder audit.

6.2 Drittland-Transfer (USA)

Für die iOS-Begleit-App findet folgende Übermittlung in ein Drittland statt:

• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA — Bereitstellung von TestFlight (Beta-Verteilung an autorisierte Bechtle-Mitarbeitende) sowie des Apple Push Notification Service (APNS).
  Übermittelt werden: Apple-ID des Testers (TestFlight), Geräteinformationen, Build-Installationsstatus, optionales Feedback, Crash-Logs sowie der APNS-Geräte-Token (siehe 4.6).
  Rechtsgrundlage des Transfers: Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (Art. 45 DSGVO) — Apple Inc. ist im DPF zertifiziert. Ergänzend gelten EU-Standardvertragsklauseln aus dem Apple Developer Program License Agreement.

Eine Weitergabe an weitere externe Dritte (z. B. Analytics-, Werbe- oder Tracking-Anbieter) findet nicht statt. Die Bechtle GmbH erhält von Apple ausschließlich aggregierte Tester-Statistiken und ggf. explizit eingereichtes Feedback. Ein Profiling der Nutzerin/des Nutzers durch Apple zu Werbe- oder Analyse-Zwecken erfolgt nach Apple-Angaben nicht.

7. Auftragsverarbeitung (Art. 28 DSGVO)

Die folgenden Auftragsverarbeitungs-Verhältnisse bestehen aktuell. Die jeweiligen AVV-Verträge können beim Anwendungs-Ansprechpartner eingesehen werden:

Auftragsverarbeiter	Verarbeitungszweck	Sitz	AVV-Grundlage
Bechtle GmbH — Konzern-IT / Cloud-Hosting	Bereitstellung der Host-Infrastruktur besg-c1-asset.bechtle.cloud, Container-Plattform, Backup-Speicher	Deutschland / EU	Konzern-interne AVV nach Art. 28 DSGVO
Microsoft Deutschland GmbH (Azure Communication Services)	SMTP-Mailversand für Reset-Token, Failed-Login-Alerts, Benachrichtigungen	Datenresidenz EU (Datacenter Deutschland / Westeuropa)	Microsoft-DPA (Online Services Data Protection Addendum)
Apple Inc.	TestFlight-Verteilung der Beta-App, APNS-Push-Service	USA (DPF-zertifiziert)	Apple Developer Program License Agreement inkl. DPA + DPF (Art. 45 DSGVO)

Documenso wird als selbst-gehostete Instanz innerhalb der Bechtle-Cloud-Infrastruktur betrieben — es liegt insoweit keine externe Auftragsverarbeitung gegenüber der Documenso, Inc. (USA) vor; die Software wird ausschließlich als Open-Source-Komponente eingesetzt.

8. Speicherdauer

• Aktive Mitarbeiterdaten bleiben gespeichert, solange das Beschäftigungsverhältnis besteht und Geräte zugeordnet sind.
• Übergabe-, Rückgabe- und historische Übergabe-Belege werden im Rahmen der gesetzlichen Aufbewahrungsfristen (HGB §257 bis 6 Jahre, AO §147 bis 10 Jahre) archiviert.
• Audit-Logs werden für die Dauer der Aufbewahrungspflicht unverändert vorgehalten und sind nicht löschbar.
• Inaktive Konten können auf Anfrage über die Benutzerverwaltung deaktiviert oder DSGVO-konform anonymisiert werden (siehe Punkt 9).
• APNS-Geräte-Token wird beim Logout, App-Deinstallation oder manueller Push-Deaktivierung serverseitig entfernt.
• Gerätekatalog (Einladung, Auswahl, BEGA-Nummer, Anmeldecodes): siehe 4.7.
• Verlängerungs-Abfrage für Externe (Antwort, Zeitpunkte, Bemerkung): solange der Mitarbeiter-Datensatz besteht, siehe 4.9; der Bestätigungscode verfällt nach 15 Minuten bzw. mit der Anmeldung.
• Versand-Logbuch: Die Einträge bleiben als Nachweis der ausgegebenen Arbeitsmittel beim Mitarbeiter-Datensatz; bei einer Anonymisierung wird die Adresse in einem gespeicherten Mail-Fehlertext ersetzt (siehe 4.8).

9. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO) — über die zu Ihrer Person gespeicherten Daten; die Anwendung stellt hierfür einen automatisierten JSON-Export bereit
• Berichtigung (Art. 16 DSGVO) — unrichtige Daten korrigieren lassen
• Löschung (Art. 17 DSGVO) — wird in der Anwendung als Anonymisierung der personenbezogenen Felder ausgeführt, da die Übergabe-Belege gem. HGB/AO buchhalterisch aufzubewahren sind
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage berechtigten Interesses
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — z. B. der Push-Benachrichtigungen, jederzeit möglich über die iOS-Mitteilungs-Einstellungen ohne Rückwirkung auf die Rechtmäßigkeit der bisherigen Verarbeitung

Anfragen richten Sie bitte an sebastian.harbecke@bechtle.com oder den Datenschutzbeauftragten der Bechtle GmbH. Eine Antwort erfolgt innerhalb der gesetzlichen Frist von einem Monat. Jede DSGVO-Anfrage wird zusätzlich im Audit-Log der Anwendung dokumentiert.

10. Besonderheiten der iOS-App

Die iOS-Begleit-App IIMT – Internes IT Management Tool wird über Apples TestFlight ausschließlich an autorisierte Bechtle-Mitarbeitende verteilt. Sie kommuniziert direkt mit der Webanwendung unter asset.bechtle-rheinland.com; es gibt keine zusätzlichen Backend-Dienste.

10.1 Lokale Speicherung auf dem Gerät (iOS-Keychain)

Die App nutzt den hardwaregeschützten iOS Keychain (Secure Enclave) ausschließlich für folgende technisch notwendige Daten:

• Sitzungs-Cookie zur Aufrechterhaltung der Anmeldung — gerätegebunden, nicht aus iCloud-Backup wiederherstellbar
• Profilanzeige-Daten (Name, E-Mail, Rolle) — damit das UI auch ohne Netzverbindung den eingeloggten User korrekt darstellt
• Anwendungs-spezifischer Cache (Asset-/Mitarbeiter-Listen) — flüchtig, beim App-Beenden oder Logout entfernt
• Keine dauerhafte Speicherung von Passwörtern, MFA-Codes, Tür-Token-PINs oder Geräte-Listen mit personenbezogenen Daten

Bei Logout oder serverseitiger Sitzungsbeendigung werden alle iOS-Keychain-Einträge der App gelöscht. Bei einer Deinstallation der App werden alle App-Daten durch iOS automatisch vollständig entfernt.

10.2 Kamera-Zugriff (QR- und Barcode-Scanner)

Die App nutzt die Kamera ausschließlich zum Scannen von QR-Codes, Barcodes und Inventar- etiketten beim Anlegen oder Inventarisieren von Geräten. Vor dem ersten Zugriff fragt iOS um Erlaubnis (NSCameraUsageDescription); ohne ausdrückliche Zustimmung ist der Scanner deaktiviert. Es werden keine Bilder, Videos oder Audio-Aufzeichnungen erstellt oder gespeichert — die Kamera-Daten bleiben ausschließlich im flüchtigen Arbeitsspeicher zur reinen Code-Erkennung über Apples VisionKit-Framework. Erkannt wird nur die Code-Zeichenkette, die direkt an den Asset-Server zur Suche gesendet wird.

10.3 Apple TestFlight

Bei der Verteilung über TestFlight verarbeitet Apple Inc. (One Apple Park Way, Cupertino, CA, USA) Tester-Daten (Apple-ID, Geräteinformationen, Build-Installationsstatus, optionales Feedback und Crash-Logs). Diese Verarbeitung erfolgt nach Apples eigenen Datenschutzbestimmungen (apple.com/legal/privacy). Die Bechtle GmbH erhält von Apple nur aggregierte Tester-Statistiken und ggf. von Testern explizit eingereichtes Feedback. Zur Rechtsgrundlage des Drittland-Transfers siehe Abschnitt 6.2.

10.4 Biometrische App-Sperre (Face ID / Touch ID)

Die App bietet eine optionale, lokal aktivierbare Re-Authentifizierung über Face ID, Touch ID oder Optic ID (je nach Gerät). Sie ersetzt nicht die Anmeldung am Server — sie schützt eine bereits hergestellte Sitzung lokal auf dem Gerät, indem die App nach Inaktivität (Standard: 60 Sekunden im Hintergrund) bei der Rückkehr in den Vordergrund einen biometrischen Entsperr-Vorgang verlangt.

• Datenfluss: Die Prüfung erfolgt vollständig durch das iOS-System über das LocalAuthentication-Framework. Die App erhält ausschließlich ein binäres Ergebnis (Erfolg oder Fehlschlag).
• Speicherung biometrischer Daten: findet ausschließlich in der hardwaregeschützten Secure Enclave des iPhones / iPads / Vision Pro statt. Die Daten verlassen das Gerät zu keinem Zeitpunkt und sind weder für die App noch für den Server zugreifbar.
• Berechtigung: Vor dem ersten Aufruf fragt iOS um Erlaubnis (NSFaceIDUsageDescription); ohne Zustimmung steht die Funktion nicht zur Verfügung.
• Fallback: Schlägt die biometrische Prüfung wiederholt fehl, kann alternativ der iOS-Geräte-Code verwendet werden (Apple-Standard-Verhalten).
• Deaktivierung: Die Funktion lässt sich jederzeit unter Mehr → Sicherheit → App-Sperre abschalten. Bei Logout wird der Lock ohnehin aufgehoben.

Es werden keine Gesichts-, Fingerabdruck- oder Iris-Daten durch die Anwendung verarbeitet, gespeichert oder übertragen.

10.5 Push-Benachrichtigungen (APNS)

Seit Build 33 (Mai 2026) sind Push-Benachrichtigungen aktiv verfügbar (Opt-In). Datenverarbeitung und Drittland-Transfer siehe Abschnitt 4.6 bzw. 6.2.

10.6 Bluetooth-Zugriff (Brother-Etikettendrucker)

Für den optionalen Druck von Inventar-Etiketten direkt aus der App wird CoreBluetooth über das Brother-Print-SDK genutzt. Vor dem ersten Zugriff fragt iOS um Erlaubnis (NSBluetoothAlwaysUsageDescription). Es wird ausschließlich der zugelassene MFi-Drucker (z. B. Brother PT-P710BT) angesprochen; keine Erfassung umliegender Bluetooth-Geräte, Beacons oder Standortdaten.

10.7 Geplante Funktionen (zukünftige App-Versionen)

Folgende Funktionen sind für nachfolgende App-Versionen vorbereitet — der Datenschutzhinweis wird mit Aktivierung jeweils ergänzt:

• Apple Passwords / iCloud-Schlüsselbund-AutoFill für die Anmelde-Felder via Associated Domains

11. Cookies, Sitzungen und Tracking

Die Webanwendung setzt ausschließlich technisch notwendige Cookies nach §25 Abs. 2 Nr. 2 TTDSG, die für den Betrieb der Anmeldung und der Sitzungsverwaltung zwingend erforderlich sind. Eine Einwilligung ist hierfür nicht erforderlich:

Cookie	Zweck	Lebensdauer	Typ
session	Authentifizierte Anmeldungssitzung (HMAC-SHA256-signiert via itsdangerous)	45 Min Inaktivität, max. 24 h	HttpOnly, Secure, SameSite=Lax
csrf_token	Cross-Site-Request-Forgery-Schutz für Formular-Posts	Sitzungs-Dauer	HttpOnly, Secure, SameSite=Lax

Es findet kein Tracking, keine Analyse-Cookies, keine Werbe-Pixel, keine externen Web-Fonts und kein Profiling statt. Es werden keine Daten an Drittanbieter wie Google, Facebook, LinkedIn o. Ä. übermittelt. Die Anwendung nutzt ausschließlich Bechtle-eigene oder selbst-gehostete Komponenten.

Die iOS-App speichert kein Werbe-Identifier (IDFA) und greift nicht auf den App-Tracking-Transparency-Dialog von iOS zu — das App-Privacy-Manifest (PrivacyInfo.xcprivacy) gibt NSPrivacyTracking = false aus.

12. Datensicherheit

• Verschlüsselte Übertragung (TLS 1.2+ via Let's Encrypt, automatische Erneuerung)
• Passwort-Hashing mit bcrypt
• Tür-Token-PINs symmetrisch verschlüsselt (Fernet / AES)
• Pflichtmäßige Zwei-Faktor-Authentifizierung (TOTP)
• HTTP-Security-Header (CSP, HSTS, X-Frame-Options) via Talisman
• Rate-Limiting für sicherheitskritische Endpunkte (10 Anmeldeversuche / Min)
• Account-Lockout nach 5 Fehlversuchen, Mail-Alert an IT-Security
• Tägliche Datensicherung mit automatischer Rotation
• Zugriff über das interne Bechtle-Netz mit FortiGate-Web-Filtering

13. Meldung von Datenschutzverletzungen (Art. 33 / 34 DSGVO)

Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen (z. B. unberechtigter Zugriff, ungewollte Offenlegung, Datenverlust), gilt folgender Ablauf:

• Interne Meldung: unverzüglich (Ziel: innerhalb 24 h nach Kenntnis) an den Anwendungs-Ansprechpartner und an die/den Datenschutzbeauftragten der Bechtle GmbH.
• Meldung an die Aufsichtsbehörde (LDI NRW): gemäß Art. 33 DSGVO binnen 72 Stunden, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht.
• Benachrichtigung der Betroffenen: gemäß Art. 34 DSGVO unverzüglich, wenn ein hohes Risiko besteht (z. B. Offenlegung von Mitarbeiter-Stammdaten nach außerhalb der Bechtle GmbH).
• Jeder Datenpannen-Vorgang wird im Audit-Log dokumentiert und ist über den Audit-Log-Export für eine spätere Aufsichtsprüfung verfügbar.

Der operative Workflow (Eskalation, Forensik, Wiederherstellung) ist im internen Betriebshandbuch OPERATIONS.md, Playbook E dokumentiert.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für die Bechtle GmbH ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, ldi.nrw.de.

15. Änderungsvorbehalt

Diese Datenschutzerklärung wird bei wesentlichen Änderungen der Anwendung oder der rechtlichen Rahmenbedingungen angepasst. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar. Stand der vorliegenden Fassung: 16. Oktober 2026.