Stand: Oktober 2026
Datenschutzerklärung
1. Verantwortlicher
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für diese Website und für den Betrieb der Anwendung OCB SafetyDesk (Web-Anwendung und mobile App) ist:
- Orkun Bayram
- handelnd unter der geschäftlichen Bezeichnung „OCB Consulting“
- Grabenstraße 22
- 45964 Gladbeck
- Deutschland
- E-Mail: kontakt@ocb-consulting.com
- Telefon: +49 (0) 163 1695159
2. Wer wofür verantwortlich ist
OCB SafetyDesk wird von Unternehmen eingesetzt, um ihren betrieblichen Arbeitsschutz zu organisieren. Für die Daten, die ein Unternehmen in der Anwendung über seine Beschäftigten und andere Personen führt, ist dieses Unternehmen Verantwortlicher — in der Regel Ihr Arbeitgeber oder Auftraggeber.
OCB Consulting verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, ausschließlich nach Weisung des Unternehmens. Grundlage ist ein Vertrag zur Auftragsverarbeitung (AVV) mit dem jeweiligen Unternehmen.
Für den Besuch dieser Website, die Registrierung und die Anmeldung sowie für den technischen und sicheren Betrieb der Plattform ist OCB Consulting selbst Verantwortlicher.
Anliegen zu Daten, die Ihr Unternehmen über Sie führt, richten Sie bitte zuerst an Ihr Unternehmen. Wir unterstützen es bei der Erfüllung Ihrer Rechte.
3. Welche Daten verarbeitet werden
- Kontodaten
Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), bevorzugte Sprache, Rolle und Zugehörigkeit zu einem Unternehmen; soweit eingetragen Telefonnummer, Funktion und Personalnummer.
Bei Zwei-Faktor-Anmeldung der hinterlegte Faktor (Authenticator-App). Bei Anmeldung über den Identitätsanbieter Ihres Unternehmens (SSO) Name und E-Mail-Adresse, die dieser übermittelt.
- Arbeitsschutzunterlagen
Gefährdungsbeurteilungen, Begehungen mit Feststellungen und Maßnahmen, Unterweisungen einschließlich Teilnahme und Unterschrift, Prüfnachweise für Arbeitsmittel und Tagesberichte — mit den Namen der handelnden, verantwortlichen und teilnehmenden Personen.
- Unfälle und Beinaheunfälle (Gesundheitsdaten)
Bei der Erfassung eines Unfalls: Art der Verletzung, betroffener Körperteil und Ausfallzeit. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.
- Fotos
Fotos zu Feststellungen und Vorfällen. Sie können Personen zeigen.
- Standort
Nur wenn Ihr Unternehmen die Standorterfassung ausdrücklich aktiviert hat (Voreinstellung: aus): beim Erfassen einer Feststellung auf Knopfdruck einmalig die Koordinate des Mangelortes. Keine laufende Ortung, keine Wegaufzeichnung.
- Änderungsprotokoll
Jede Änderung an Betriebsdaten mit Zeitpunkt, handelnder Person (Kennung, E-Mail-Adresse, Rolle) und geändertem Wert, soweit erfasst mit IP-Adresse und Browserkennung. Die Einträge können nachträglich nicht geändert werden.
- Benachrichtigungen
E-Mail-Zusammenfassungen über offene Fristen an Ihre E-Mail-Adresse; in den Einstellungen abschaltbar.
Wenn Sie in der mobilen App Benachrichtigungen aktivieren, wird die Kennung Ihres Geräts (Push-Token) gespeichert. Die Zustellung über einen Push-Dienst ist derzeit nicht eingerichtet; vor ihrer Aktivierung wird diese Erklärung ergänzt.
- KI-Assistent
Wenn Sie den Assistenten nutzen: Ihre Fragen, zusammen mit Ihrer Nutzerkennung, der Sprache und dem verwendeten Modell (siehe Abschnitt 6).
- Mobile App
Für die Arbeit ohne Netz hält die App eine lokale Kopie der für Sie freigegebenen Daten auf dem Gerät. Auf die Kamera greift sie nur zu, wenn Sie ein Foto aufnehmen.
- Verbindungsdaten
Beim Aufruf verarbeiten unsere Hosting-Dienstleister technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung) in Server-Protokollen.
4. Zwecke und Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO — Vertrag
Bereitstellung der Anwendung und des Benutzerkontos, Anmeldung und Benachrichtigung über Fristen.
- Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung
Dokumentations- und Aufbewahrungspflichten im Arbeitsschutz, insbesondere ArbSchG §§ 5, 6 und 12, BetrSichV § 14, DGUV Vorschrift 1 und SGB VII § 193. Diese Pflichten treffen das Unternehmen als Arbeitgeber.
- Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse
Sicherer und nachvollziehbarer Betrieb: Änderungsprotokoll, Schutz vor Missbrauch (zum Beispiel Begrenzung von Anmeldeversuchen), Server-Protokolle und Fehleranalyse.
- Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG
Gesundheitsdaten in Unfallmeldungen: Erfüllung arbeits- und sozialrechtlicher Pflichten des Arbeitgebers.
Es findet keine Profilbildung, keine Werbung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.
5. Hosting und Empfänger
- Supabase, Inc. (USA) — Datenbank, Anmeldung, Dateiablage
Datenbank, Anmeldedienst und Dateiablage (Fotos, Logos). Speicherort: Frankfurt am Main (AWS eu-central-1).
Dort laufen auch die Server-Funktionen für den Versand von Benachrichtigungen und für den KI-Assistenten. E-Mails zur Kontoverwaltung (zum Beispiel Zurücksetzen des Passworts) versendet der Anmeldedienst.
- Vercel Inc. (USA) — Auslieferung der Web-Anwendung
Die Web-Anwendung wird über das Netz von Vercel ausgeliefert. Die Seiten werden auf Servern von Vercel in Frankfurt am Main erzeugt.
Die Anwendung speichert dort keine Betriebsdaten; Vercel führt Server-Protokolle.
- Eigener Server bei Hostinger (Deutschland) — Synchronisation
Der Synchronisationsdienst PowerSync gleicht die Daten zwischen Datenbank und mobiler App ab. Wir betreiben ihn selbst auf einem gemieteten Server in Deutschland.
- Google Workspace — E-Mail-Versand
Versand der Fristen-Benachrichtigungen: Ihre E-Mail-Adresse und der Inhalt der Nachricht.
- Push-Dienst
Derzeit nicht eingerichtet; es werden keine Daten an einen Push-Dienst übermittelt.
- Ihr Unternehmen
Personen Ihres Unternehmens sehen die Daten entsprechend ihrer Rolle. Die Daten verschiedener Unternehmen sind in der Datenbank voneinander getrennt.
- Identitätsanbieter Ihres Unternehmens
Nur wenn Ihr Unternehmen die Anmeldung über seinen eigenen Identitätsanbieter (SSO) eingerichtet hat.
Supabase, Inc. und Vercel Inc. haben ihren Sitz in den USA. Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben.
6. KI-Assistent
Der Assistent beantwortet Fragen anhand des hinterlegten Regelwerksverzeichnisses. Er ist nur aktiv, wenn Ihr Unternehmen einen eigenen Zugangsschlüssel eines KI-Anbieters hinterlegt hat. Ohne Schlüssel findet keine Übermittlung statt.
Übermittelt werden die von Ihnen eingegebene Frage und die dazu gefundenen Fundstellen aus dem Regelwerk — an den von Ihrem Unternehmen gewählten Anbieter, gegebenenfalls zusätzlich die Frage an einen zweiten Anbieter für die Suche. Daten aus den Unterlagen Ihres Unternehmens werden nicht automatisch mitgesendet. Bitte geben Sie in die Frage keine personenbezogenen Daten ein.
Der KI-Anbieter ist Auftragsverarbeiter Ihres Unternehmens, nicht von OCB Consulting. Ihr Unternehmen wählt den Anbieter und verantwortet eine etwaige Übermittlung in ein Drittland.
8. Speicherdauer
Kontodaten werden gespeichert, bis das Konto gelöscht wird. Für Arbeitsschutzunterlagen führt die Anwendung einen Katalog mit Fristen und Rechtsgrundlage:
- Unfall- und Erste-Hilfe-Dokumentation
5 Jahre (DGUV Vorschrift 1 § 24 Abs. 6); gesetzliche Pflicht.
- Gefährdungsbeurteilung und ihre Maßnahmen
Solange die Tätigkeit ausgeübt wird (ArbSchG § 6); gesetzliche Pflicht.
- Prüfnachweise für Arbeitsmittel
Bis zur nächsten Prüfung, bei bestimmten Arbeitsmitteln über die gesamte Verwendungsdauer (BetrSichV § 14 Abs. 7); gesetzliche Pflicht.
- Unterweisungsnachweise
2 Jahre (DGUV Information 211-005); Empfehlung, keine gesetzliche Frist.
- Begehungsprotokolle
3 Jahre (BGB § 195); Empfehlung, keine gesetzliche Frist.
- Tagesberichte
3 Jahre (BGB § 195); Empfehlung, keine gesetzliche Frist.
- Expositionsverzeichnis (krebserzeugende Stoffe)
40 Jahre (GefStoffV § 14 Abs. 3) — wird in der Anwendung nicht geführt.
Eine gesetzliche Aufbewahrungspflicht steht einer Löschung entgegen (Art. 17 Abs. 3 lit. b DSGVO); eine bloße Empfehlung nicht.
Die Anwendung entfernt Unterlagen nicht von sich aus. Endgültig gelöscht werden in einem nächtlichen Lauf nur Datensätze, die Ihr Unternehmen bereits gelöscht hat und deren Frist abgelaufen ist; der Lauf wird ohne personenbezogene Daten protokolliert. Unterlagen, deren Frist an ein Ereignis gebunden ist, werden nicht automatisch entfernt.
Nach Ende des Vertrags mit Ihrem Unternehmen werden dessen Daten zurückgegeben oder gelöscht. Sicherungskopien werden im regulären Sicherungszyklus überschrieben. Server-Protokolle der Hosting-Dienstleister werden nach deren Vorgaben gelöscht.
9. Löschung eines Benutzerkontos
Ein Konto wird auf Anfrage gelöscht — wenden Sie sich an Ihr Unternehmen oder an uns. Dabei gilt:
- Das Konto, das Profil und alle Verknüpfungen zur Person werden entfernt.
- Unterlagen, die als Nachweis dienen, bleiben bestehen. Der Name der handelnden Person bleibt im Nachweis — zum Beispiel bei einer unterzeichneten Unterweisung, der Freigabe einer Gefährdungsbeurteilung oder einem Prüfnachweis — und wird mit dem Nachweis gelöscht, sobald dessen Aufbewahrungsfrist abgelaufen ist.
- Frei eingegebene Namen (zum Beispiel die verantwortliche Person einer Maßnahme) sind nicht mit dem Konto verknüpft; die Anwendung kann sie keiner Person zuordnen und ändert sie nicht.
- Im Änderungsprotokoll werden E-Mail-Adresse, IP-Adresse, Browserkennung und Name entfernt. Die Einträge selbst bleiben; die Person erscheint dort nur noch als Kennung ohne Namen.
Das ist eine Pseudonymisierung (Art. 4 Nr. 5 DSGVO), keine Anonymisierung: Wer sowohl das Änderungsprotokoll als auch den aufbewahrten Nachweis einsehen darf, kann über die Kennung des Datensatzes weiterhin erkennen, wer ihn angelegt oder freigegeben hat.
Rechtsgrundlage für den Verbleib des Namens: Art. 17 Abs. 3 lit. b DSGVO, soweit eine gesetzliche Aufbewahrungspflicht besteht, im Übrigen Art. 17 Abs. 3 lit. e DSGVO.
10. Anonyme Meldungen
Wird ein Vorfall anonym gemeldet, wird die meldende Person weder im Datensatz noch im Änderungsprotokoll gespeichert, keinem Nutzer angezeigt — auch nicht der Leitung des Unternehmens — und auf kein Endgerät übertragen.
Die Anwendung hält die Zuordnung in einem Bereich, auf den Nutzer keinen Zugriff haben: damit die meldende Person ihre eigene Meldung einsehen und berichtigen kann und damit Auskunft und Löschung möglich bleiben. Mit dem Konto wird die Zuordnung gelöscht. Ob eine Meldung anonym ist, lässt sich nach dem Absenden nicht mehr ändern.
Die Meldung ist damit gegenüber allen Nutzern vertraulich, aber nicht im technischen Sinn anonym. In kleinen Belegschaften kann aus Zeitpunkt und Inhalt auf die meldende Person geschlossen werden.
11. Ihre Rechte
- Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): In der Anwendung unter „Einstellungen → Meine Daten“ können Sie Ihre Daten selbst als maschinenlesbare Datei herunterladen.
- Berichtigung (Art. 16 DSGVO).
- Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Abschnitte 8 und 9).
- Einschränkung der Verarbeitung (Art. 18 DSGVO).
- Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen.
Soweit Ihr Unternehmen Verantwortlicher ist (Abschnitt 2), richten Sie Ihr Anliegen bitte an Ihr Unternehmen. Sie können sich auch an uns wenden; wir leiten es weiter.
12. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
- Kavalleriestraße 2–4, 40213 Düsseldorf
- www.ldi.nrw.de
13. Kontakt und Änderungen
Fragen zum Datenschutz richten Sie bitte an kontakt@ocb-consulting.com.
Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.