Datenschutz­erklärung

Datenschutzerklärung - Stand: 22. Oktober 2026

1. Verantwortlicher

Sebastian Bulak

LUTSIO

Velberter Straße 74

45239 Essen, Deutschland

E-Mail: info@lutsio.com

Telefon: +49 (0) 201 64932841

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch der LUTSIO-Website, bei der Registrierung, während einer Testphase, beim Erwerb einer Softwarelizenz und bei der Nutzung der angebotenen Dienste.

2. Verantwortlichkeiten bei der Softwareverwendung

LUTSIO verarbeitet einerseits personenbezogene Daten zur eigenen Vertragsabwicklung, Benutzerverwaltung, Zahlungszuordnung, Sicherheit und Bereitstellung der Software.

Andererseits können Unternehmenskunden innerhalb der Warenwirtschaft personenbezogene Daten ihrer eigenen Kunden, Lieferanten, Ansprechpartner und Beschäftigten verarbeiten.

Soweit LUTSIO diese Geschäftsdaten ausschließlich im Auftrag eines Unternehmenskunden verarbeitet, ist grundsätzlich der jeweilige Unternehmenskunde datenschutzrechtlich Verantwortlicher und LUTSIO Auftragsverarbeiter nach Art. 28 DSGVO. Die Einzelheiten regelt die Auftragsverarbeitungsvereinbarung (AVV).

3. Websiteaufruf und technische Protokolle

Beim Aufruf der Website werden technisch erforderliche Informationen verarbeitet. Hierzu können insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource, Browserinformationen, technische Statusmeldungen und sicherheitsrelevante Ereignisse gehören.

Die Verarbeitung dient der sicheren Bereitstellung, Fehlererkennung, technischen Administration und Abwehr missbräuchlicher Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit nicht eine andere Rechtsgrundlage einschlägig ist.

Technische Protokolle werden nach der festgelegten Betriebsregelung maximal 30 Tage gespeichert, soweit keine gesetzliche Verpflichtung oder ausnahmsweise erforderliche Sicherung konkreter Vorfälle eine weitere Verarbeitung rechtfertigt.

4. Registrierung und Benutzerkonten

Bei der Registrierung und Nutzung von LUTSIO werden die zur Einrichtung und Verwaltung des Unternehmenskontos erforderlichen Daten verarbeitet.

Dazu können gehören:

Name und geschäftliche Kontaktdaten

Unternehmensname und Geschäftsanschrift

E-Mail-Adresse

Zugangsdaten und technische Authentifizierungsinformationen

Gebuchtes Softwarepaket

Lizenz- und Vertragsinformationen

Bei Jahrespaketen insbesondere Beginn und Ende des bestätigten zwölfmonatigen Nutzungszeitraums sowie Nachweise zu erneuten, ausdrücklich veranlassten Buchungen

Registrierungs-, Aktivierungs- und Bestellnachweise

Passwörter werden nach der dokumentierten technischen Architektur nicht im Klartext gespeichert, sondern durch geeignete Passwort-Hashverfahren geschützt.

Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung gesetzlicher Verpflichtungen gemäß Art. 6 Abs. 1 lit. c DSGVO.

5. Siebentägige Testphase

LUTSIO ermöglicht eine siebentägige Testphase.

Die für den Testaccount erforderlichen Daten werden zur Bereitstellung der Testfunktionen verarbeitet.

Wird die Testphase nicht in ein reguläres Nutzungsverhältnis überführt, werden der Testaccount und seine aktiven Daten nach Ablauf der Testphase entsprechend dem vorgesehenen Löschprozess entfernt. Gesetzliche Aufbewahrungspflichten und technisch noch vorhandene, zeitlich begrenzte Sicherungen bleiben unberührt.

6. Geschäftsdaten innerhalb der Warenwirtschaft

Je nach Softwarepaket können Unternehmenskunden insbesondere folgende Daten verarbeiten:

Kunden- und Lieferantenstammdaten

Ansprechpartner und Kontaktdaten

Artikel- und Leistungsdaten

Lagerbestände und Warenbewegungen

Angebote, Aufträge, Rechnungen und Lieferscheine

Versand- und Zahlungsinformationen

Mitarbeiterkennungen und Benutzerrollen

Aufgaben, Einsatzplanungen und Schichten

Arbeitszeit- und betriebliche Organisationsdaten

Gastronomie-, Service- und Operationsdaten im Rahmen der verfügbaren Paketfunktionen

Die konkrete Auswahl der Daten und die datenschutzrechtliche Zulässigkeit ihrer Eingabe liegen grundsätzlich beim jeweiligen verantwortlichen Unternehmenskunden.

Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist kein ausdrücklich vorgesehener Standardzweck der Software.

7. SQLite-Datenhaltung und Mandantentrennung

LUTSIO verwendet nach seiner dokumentierten technischen Architektur eine mandantenbezogene Datenhaltung auf Grundlage von SQLite.

Die Geschäftsdaten verschiedener Unternehmenskunden werden in getrennten Mandantendatenbanken verarbeitet. Die Zuordnung erfolgt über das jeweilige authentifizierte Benutzerkonto.

Serverseitige Berechtigungsprüfungen dienen dazu, den Zugriff auf die dem jeweiligen Mandanten zugeordneten Daten zu beschränken.

Die Datenhaltung wird durch zusätzliche technische Schutzmaßnahmen einschließlich Verschlüsselung, Zugriffskontrollen und Sicherungsverfahren ergänzt.

Die Mandantentrennung verhindert nicht grundsätzlich den technisch erforderlichen Zugriff durch hierzu berechtigte Personen mit Server- und Schlüsselkontrolle.

8. Verschlüsselung und Sicherheit

LUTSIO verwendet nach der dokumentierten technischen Architektur technische Maßnahmen zum Schutz gespeicherter Daten und ihrer Übertragung.

Hierzu zählen insbesondere:

HTTPS-/TLS-gesicherte Übertragung

Geschützte Benutzeranmeldung

Passwort-Hashverfahren

Serverseitige Rollen- und Berechtigungsprüfungen

Mandantenbezogene SQLite-Datenhaltung

Verschlüsselte Datenbanksnapshots mittels AES-256-GCM

Geschützte Schlüsselverwaltung

Schutz privater Dateien und Sicherungen

Maßnahmen gegen unberechtigte Eingaben und Zugriffe

Eine absolute Sicherheit kann technisch nicht garantiert werden.

Weitere Einzelheiten enthält die Anlage „Technische und organisatorische Maßnahmen (TOM)“.

9. Hosting und E-Mail-Versand

Die LUTSIO-Anwendung wird nach Betreiberangabe bei IONOS Webhosting Plus auf Servern in Deutschland betrieben.

Mit IONOS besteht nach Betreiberangabe ein Auftragsverarbeitungsvertrag.

IONOS verarbeitet die für den technischen Betrieb erforderlichen Hostingdaten und übernimmt den vorgesehenen technischen Versand von Registrierungs-, Aktivierungs- und Bestellnachrichten.

Weitere von IONOS eingesetzte Unterauftragnehmer richten sich nach den geltenden vertraglichen Vereinbarungen und Informationen des Hostinganbieters.

10. Zahlungsabwicklung

Für den Erwerb kostenpflichtiger LUTSIO-Pakete wird PayPal eingesetzt.

Bei der Nutzung von PayPal werden die für die Zahlung erforderlichen Informationen nach den jeweils geltenden Datenschutzbestimmungen des Zahlungsdienstes verarbeitet.

LUTSIO verarbeitet die für die Zuordnung und Dokumentation der Zahlung erforderlichen Vertrags-, Zahlungsstatus- und Transaktionsinformationen.

Jedes Jahrespaket und jede Folgebuchung wird gesondert bezahlt. LUTSIO veranlasst hierfür keine wiederkehrenden PayPal-Abbuchungen. Die dokumentierten Zahlungs- und Vertragsdaten dienen der Freischaltung und Befristung der jeweiligen zwölfmonatigen Berechtigung.

PayPal verarbeitet bestimmte Daten in eigener datenschutzrechtlicher Verantwortung. Die Datenschutzinformationen von PayPal sind ergänzend zu beachten.

11. Cookies und lokale Speicherung

LUTSIO verwendet technisch erforderliche Sitzungsmechanismen sowie Speichertechnologien zur Dokumentation der Cookie-Auswahl.

Nach der dokumentierten Anwendungskonfiguration gehören hierzu insbesondere:

Sitzungscookie lutsio_wws_session

Lokale Speicherung lutsio_cookie_choice_v1

Gleichnamiges Fallback-Cookie für die Cookie-Auswahl

Weitere Informationen enthält die Cookie-Richtlinie.

Soweit eine Einwilligung für bestimmte Speicher- oder Zugriffsvorgänge gesetzlich erforderlich ist, wird diese nach den geltenden Anforderungen eingeholt.

12. Rechnungen und Steuernummern

Die Steuernummer eines Unternehmenskunden kann als Bestandteil seiner Unternehmensstammdaten gespeichert werden.

LUTSIO bietet keine eigenständige Steueraktenverwaltung und keine Steuerberatung.

Innerhalb der Software erstellte Rechnungen und andere Geschäftsbelege können steuerlich relevante Unterlagen darstellen.

Für deren rechtmäßige Erstellung, Prüfung, Aufbewahrung und Verwendung ist der jeweilige Unternehmenskunde im Rahmen seiner gesetzlichen Pflichten verantwortlich.

13. Aufbewahrung und Löschung

Personenbezogene Daten werden grundsätzlich nur so lange verarbeitet, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Für den Betrieb gelten nach Betreiberangabe folgende Regelungen:

Technische Protokolle: maximal 30 Tage

Serverseitige Backups: wöchentlich

Backup-Aufbewahrung: 28 Tage

Datenexport nach dokumentiertem Vertragsende: 30 Tage

Bei einer rechtzeitig ausdrücklich veranlassten und bezahlten Folgebuchung werden das vorhandene Benutzerkonto und noch rechtmäßig gespeicherte Geschäftsdaten für die neue Vertragsperiode weiterverwendet. Bereits gelöschte Daten werden durch eine erneute Buchung nicht wiederhergestellt. Gesetzliche Aufbewahrungspflichten für Vertrags- und Abrechnungsnachweise bleiben unberührt.

Mit Vertragsende: Sperrung des regulären Anwendungszugangs; nach 30 Tagen: Sperrung des Exportzugangs und kontrollierter Löschprozess

Die Löschung aktiver Daten und der zeitlich begrenzte Ablauf vorhandener Backups sind voneinander zu unterscheiden.

Daten, die LUTSIO aufgrund eigener gesetzlicher Verpflichtungen aufbewahren muss, können gesondert gespeichert bleiben.

14. Betroffenenrechte

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere Rechte auf:

Auskunft nach Art. 15 DSGVO

Berichtigung nach Art. 16 DSGVO

Löschung nach Art. 17 DSGVO

Einschränkung der Verarbeitung nach Art. 18 DSGVO

Datenübertragbarkeit nach Art. 20 DSGVO

Widerspruch nach Art. 21 DSGVO

Soweit eine Verarbeitung auf Einwilligung beruht, kann diese mit Wirkung für die Zukunft widerrufen werden.

Bei Daten, die ein Unternehmenskunde als Verantwortlicher innerhalb von LUTSIO verarbeitet, sind entsprechende Anfragen grundsätzlich an diesen Unternehmenskunden zu richten. LUTSIO unterstützt ihn im Rahmen der gesetzlichen und vertraglichen Pflichten.

15. Beschwerderecht

Betroffene Personen können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.

16. Änderungen

Diese Datenschutzerklärung kann angepasst werden, wenn sich gesetzliche Anforderungen oder tatsächliche Datenverarbeitungen ändern.

Maßgeblich ist die jeweils veröffentlichte Fassung. Gesetzliche Informationspflichten bei wesentlichen Änderungen bleiben unberührt.