1. Verantwortliche Stelle
Mattzen Technologie UG (haftungsbeschränkt) i. G., vertreten durch Jan Hubig, Riemenschneiderstraße 8, 95615 Marktredwitz, Deutschland. Kontakt: hello@mattzen.dev.
Wir sind für die öffentliche Website, die Verwaltung der Nutzerkonten und eigene Kontaktanfragen verantwortlich. Für Beschäftigtendaten und Inhalte eines Unternehmensarbeitsbereichs ist grundsätzlich die jeweilige nutzende Organisation verantwortlich. Wir verarbeiten diese Inhalte im Rahmen der vereinbarten Auftragsverarbeitung nach Art. 28 DSGVO und den dokumentierten Weisungen. Der Konzern- oder Unternehmenskontakt wird in den zugehörigen Benachrichtigungen angezeigt.
2. Besuch der Website
Für die Auslieferung und Absicherung werden IP-Adresse, Zeitpunkt, angefragte Adresse und technische Browserangaben verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein zuverlässiger und sicherer Betrieb. Avenico führt keine eigene dauerhafte Zugriffsprotokollierung der öffentlichen Seiten. Infrastrukturprotokolle der beteiligten Hosting-Dienste unterliegen deren technischen und vertraglichen Vorgaben.
Die öffentliche Website verwendet lokal eingebundene Schriften und keine Analyse- oder Werbetracker. Ihre Sprachauswahl wird dort über die Adresse der Seite übermittelt.
3. Kontaktaufnahme
Bei einer E-Mail an uns verarbeiten wir Ihre Adresse, den Inhalt und freiwillige Angaben zur Bearbeitung. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertrags- oder vorvertraglichen Anliegen und ansonsten Art. 6 Abs. 1 lit. f DSGVO für die Bearbeitung der Anfrage. Die außerhalb Avenicos geführte Korrespondenz wird nach Wegfall des Zwecks gelöscht, soweit keine gesetzlichen Pflichten oder eine erforderliche Rechtsverteidigung entgegenstehen. Handels- und Steuerunterlagen können abhängig von ihrer Einordnung gesetzliche Fristen von sechs, acht oder zehn Jahren haben.
4. Nutzerkonto und Anmeldung
Verarbeitet werden E-Mail-Adresse, Name und freiwillige Profildaten, geschützte Zugangsdaten, Sprache, Rolle und Berechtigungen. Ein erforderliches Sitzungs-Cookie (__Host-ehs-session) hat höchstens acht Stunden Gültigkeit und ist mit HttpOnly, Secure und SameSite=Strict geschützt. Abgelaufene Sitzungen und Anmelde-Challenges werden im nächsten Bereinigungslauf entfernt. Technische Daten der Ratenbegrenzung werden nach einem Tag gelöscht.
Optionale Passkeys speichern öffentliche Anmeldedaten und technische Merkmale. Der private Schlüssel verbleibt auf dem Gerät oder beim gewählten Passkey-Dienst. Browser- und Sitzungsspeicher werden für Sprache, Darstellung, ausgewählten Arbeitsbereich und Arbeitsstände verwendet. Erforderliche Speicherzugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Die personenbezogene Verarbeitung zur Bereitstellung des Kontos beruht auf Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsmaßnahmen auf Art. 6 Abs. 1 lit. f DSGVO.
5. Unternehmensarbeitsbereiche
Je nach Nutzung verarbeitet Avenico Beschäftigtenstammdaten, Tätigkeiten, Gefährdungsbeurteilungen, Maßnahmen, Schulungsanmeldungen und Nachweise, Funktionen, Ausstattung sowie Vorsorgeanlässe und Termine. Die nutzende Organisation legt den jeweiligen Zweck und die Rechtsgrundlage fest; bei Beschäftigtendaten kommen insbesondere § 26 BDSG und arbeitsrechtliche Pflichten in Betracht. Angaben mit Gesundheitsbezug bedürfen zusätzlich einer einschlägigen Grundlage nach Art. 9 DSGVO. Diagnosen, Befunde und ärztliche Behandlungsakten sind nicht Bestandteil der Arbeitgeberkartei.
Schulungsanmeldungen werden innerhalb des zugeordneten Unternehmens mit vorhandenen Beschäftigtendaten abgeglichen. Unklare Treffer werden manuell geprüft. Interne schriftliche Kommunikation ist nur zwischen berechtigten Mitgliedern des Arbeitsbereichs möglich; Datensatzverknüpfungen erweitern keine Zugriffsrechte. Bei persönlichen Vorsorgelinks werden ausschließlich Termin und Selbstauskunft zur Teilnahme erfasst. Eine solche Rückmeldung ersetzt keine ärztliche Bescheinigung.
6. E-Mail-Versand und Dienstleister
Ausgehende Produkt-E-Mails werden über Resend (Plus Five Five, Inc., USA) übermittelt. Dafür werden Empfängeradresse, Nachricht, gegebenenfalls Kalendereinladung und Versandstatus verarbeitet. Benachrichtigungen zu internen Nachrichten enthalten einen Zugangshinweis; sie enthalten nicht den Nachrichtentext. Vorsorge-Mails enthalten keine Diagnosen oder Befunde.
Die Wahl einer europäischen Versandregion bei Resend legt den Versandweg fest. Nach der Anbieterinformation werden Kontodaten, E-Mail-Metadaten, Protokolle und API-Datensätze in den USA gespeichert. Resend nennt für E-Mail-Daten grundsätzlich 30 Tage Aufbewahrung, abweichende Enterprise-Regelungen ausgenommen. Der Anbieter stellt eine Vereinbarung zur Auftragsverarbeitung mit EU-Standardvertragsklauseln bereit und nennt das EU-US Data Privacy Framework als weitere Übermittlungsgrundlage. Die Informationen sind unter Resend: Regionen und Resend: Datenschutz abrufbar.
Hosting, Datenbank und Dateispeicherung erfolgen auf Cloudflare-Infrastruktur. Die vom Betreiber festgelegte Zielregion der Kundeninhalte ist Europa. Cloudflare betreibt ein weltweites Netz; eine europäische Speicherregion allein begrenzt nicht sämtliche Verarbeitungen, Zugriffe und Betriebsdaten auf den Europäischen Wirtschaftsraum. Soweit personenbezogene Daten in Drittländer übermittelt werden, sind die Anforderungen der Art. 44 ff. DSGVO und die jeweils anwendbaren Vertrags- und Übermittlungsgrundlagen maßgeblich. Eine ausschließliche Verarbeitung aller Daten in Europa wird nicht zugesagt.
7. Löschung und Aufbewahrung in Avenico
Die folgenden technischen Fristen sind zentral hinterlegt und werden beim automatischen Bereinigungslauf durchgesetzt. Änderungen sind ausschließlich dem Plattformkonto von Jan Hubig möglich. Die hier angezeigten Werte werden mit den aktuell hinterlegten Regeln abgeglichen.
| Datenart | Frist |
|---|---|
| Mailinhalt und Anhänge | 30 Tage |
| Versandprotokolle | 90 Tage |
| Interne Unterhaltungen seit letzter Nachricht | 365 Tage |
| Technische Änderungsprotokolle | 180 Tage |
| Einladungen nach Ablauf | 7 Tage |
| Unbestätigte Buchungen nach Ablauf | 7 Tage |
| Ersetzte Arbeitsstände | 1 Tage |
Für die deutsche Arbeitgeber-Vorsorgekartei gilt § 3 Abs. 4 ArbMedVV: Aufbewahrung bis zur Beendigung des Beschäftigungsverhältnisses und anschließende Löschung, soweit keine besonderen Rechtsvorschriften oder Regeln entgegenstehen. Avenico verlangt vor dem Löschlauf einen Auszug, dokumentierte Aushändigung und Bestätigung der geprüften Voraussetzungen. Besondere Aufbewahrungsgründe erhalten einen Prüftermin. Ärztliche Unterlagen, Eignungs- und Strahlenschutznachweise folgen eigenen Regeln. Für andere Länder ist eine dokumentierte Prüfung erforderlich.
Beschäftigtenstammdaten, Schulungsnachweise, signierte Belege und die aktuelle Gefährdungsdokumentation bleiben erhalten, solange der jeweilige Zweck oder eine gesetzliche Pflicht besteht. Das Beschäftigungsende löst einen Prüfbedarf aus; eine pauschale automatische Löschung sämtlicher Nachweise findet nicht statt. Downloads, lokale Sicherungen sowie Protokolle und Sicherungen externer Dienstleister unterliegen eigenen Löschabläufen und werden durch die Avenico-Bereinigung nicht unmittelbar gelöscht. Wiederherstellungen bereits in Avenico gelöschter Vorsorgeeinträge werden durch eine minimale Löschmarkierung verhindert.
8. Ihre Rechte
Nach Maßgabe der DSGVO haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Wenden Sie sich an hello@mattzen.dev oder bei Unternehmensdaten an Ihre Organisation. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren.
9. Erforderlichkeit und automatisierte Entscheidungen
Öffentliche Seiten können ohne Formularangaben gelesen werden. Für die Nutzung des geschützten Arbeitsbereichs sind Konto- und Anmeldedaten erforderlich. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung wird für die beschriebenen Abläufe nicht getroffen. Stand: 14. Oktober 2026.
1. Controller
Mattzen Technologie UG (haftungsbeschränkt) i. G., represented by Jan Hubig, Riemenschneiderstraße 8, 95615 Marktredwitz, Germany. Contact: hello@mattzen.dev.
We are responsible for the public website, account administration and direct enquiries. The organisation using a company workspace is generally responsible for its employee records and content. We process that content under the agreed data processing arrangement and documented instructions under Article 28 GDPR. Group or company contact details are displayed in the relevant notifications.
2. Visiting the website
Your IP address, request time, requested address and technical browser details are processed to deliver and protect the service. The basis is Article 6(1)(f) GDPR and our interest in reliable, secure operation. Avenico does not maintain its own permanent access log for public pages. Infrastructure providers apply their own technical and contractual logging rules.
Public pages use locally hosted fonts and no analytics or advertising trackers. The language choice is carried in the page URL.
3. Contacting us
We process your email address, message and voluntary information to respond. Article 6(1)(b) GDPR applies to contractual or pre-contractual matters and Article 6(1)(f) GDPR to other enquiries. Correspondence managed outside Avenico is deleted when no longer needed, subject to legal retention and necessary legal claims. Depending on classification, German commercial and tax records may require six, eight or ten years.
4. Accounts and sign-in
We process email address, name, optional profile details, protected credentials, language, roles and permissions. The necessary session cookie (__Host-ehs-session) lasts no more than eight hours and uses HttpOnly, Secure and SameSite=Strict. Expired session records and sign-in challenges are removed during the next cleanup. Rate-limiting records are deleted after one day.
Optional passkeys store public credentials and technical properties. The private key remains on your device or with your passkey provider. Browser and session storage support language, appearance, selected workspace and work in progress. Necessary storage access is covered by section 25(2)(2) TDDDG. Account provision is based on Article 6(1)(b) GDPR; security measures on Article 6(1)(f).
5. Company workspaces
Depending on use, Avenico processes employee details, activities, risk assessments, measures, training registrations and evidence, functions, equipment, occupational care purposes and appointments. The organisation determines the purposes and legal bases, including employment obligations and section 26 BDSG where applicable. Health-related data additionally require a basis under Article 9 GDPR. Diagnoses, findings and medical treatment records do not belong in the employer’s register.
Training registrations are matched against employee data within the corresponding company; uncertain matches are reviewed manually. Written internal communication is restricted to authorised workspace members. Record links do not expand permissions. Personal occupational care links collect appointment dates and self-reported attendance. Self-reporting does not replace a physician’s certificate.
6. Email and service providers
Product emails are sent through Resend (Plus Five Five, Inc., USA). Processing includes recipient address, message, any calendar invitation and delivery status. Internal-message notifications do not include message content. Occupational care emails do not include diagnoses or medical findings.
A European Resend sending region determines routing, not data residency. Resend states that account data, email metadata, logs and API records are stored in the United States. Email data are generally retained for 30 days, subject to different Enterprise arrangements. Resend provides a data processing addendum incorporating EU Standard Contractual Clauses and identifies the EU-US Data Privacy Framework as an additional transfer mechanism. See Resend regions and Resend privacy.
Hosting, database and file storage use Cloudflare infrastructure. The operator’s designated target region for customer content is Europe. Cloudflare operates a global network; a European storage region does not restrict all processing, access and operational data to the EEA. Any transfers outside the EEA are subject to Articles 44 onwards GDPR and the applicable contractual and transfer safeguards. Exclusive European processing of all data is not promised.
7. Retention and deletion in Avenico
The technical periods below are centrally configured and enforced by automated cleanup. Only Jan Hubig’s platform account can change them. The displayed values are checked against the current settings.
| Data type | Period |
|---|---|
| Email content and attachments | 30 days |
| Delivery logs | 90 days |
| Internal conversations after last message | 365 days |
| Technical change logs | 180 days |
| Invitations after expiry | 7 days |
| Unconfirmed bookings after expiry | 7 days |
| Superseded workspace snapshots | 1 days |
For the German employer’s occupational care register, section 3(4) ArbMedVV requires retention until employment ends and subsequent deletion unless special legislation or rules require otherwise. Avenico requires an extract, documented handover and confirmation of the reviewed conditions before cleanup. Special retention reasons receive a review date. Medical records, fitness and radiation protection evidence follow separate rules; other countries require a documented review.
Employee master data, training evidence, signed records and current risk documentation remain while their purpose or a statutory duty applies. Employment ending creates a review requirement; the entire evidence record is not automatically erased. Downloads, local backups and external providers’ logs and backups have separate deletion processes. Avenico cleanup does not delete those copies directly. A minimal deletion marker prevents erased occupational care records from being restored to Avenico.
8. Your rights
Subject to the GDPR, you have rights to access, rectification, erasure, restriction and portability. You may object to processing based on legitimate interests for reasons relating to your situation and withdraw consent for the future. Contact hello@mattzen.dev, or your organisation for company records. You may complain to a data protection authority.
9. Necessity and automated decisions
Public pages can be read without completing a form. The restricted workspace requires account and sign-in data. No solely automated decision with legal or similarly significant effects is made for the described processes. Updated: 14 October 2026.