Datenschutz­erklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Vertreten durch den Geschäftsführer Marco Rademacher. Als Datenschutzbeauftragten haben wir Herrn Sven Schmidt bestellt. Sie erreichen ihn unter sven.schmidt@applikar.com.

2. Grundlegendes

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst und behandeln sie vertraulich sowie entsprechend der gesetzlichen Datenschutzvorschriften (DSGVO, BDSG) und dieser Datenschutzerklärung. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Diese Website verarbeitet nur die Daten, die technisch notwendig sind oder die Sie uns aktiv mitteilen. Diese Erklärung betrifft die Website; für die Datenverarbeitung innerhalb der Castar-App informiert die App gesondert.

3. Hosting

Diese Website wird bei einem externen Dienstleister gehostet (STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin). Die personenbezogenen Daten, die auf dieser Website erfasst werden, werden auf den Servern des Hosters gespeichert. Der Einsatz des Hosters erfolgt im Interesse einer sicheren, schnellen und zuverlässigen Bereitstellung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Anbieter besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO).

4. Server-Logfiles

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Logfiles, die Ihr Browser automatisch übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer-URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Sicherheit seiner Website.

5. Web-Schriftarten (lokal gehostet)

Diese Seite nutzt zur einheitlichen Darstellung von Schriftarten sogenannte Web Fonts. Die Schriftdateien sind lokal auf unserem Server gespeichert und werden von dort ausgeliefert. Beim Aufruf der Seite wird dafür keine Verbindung zu Servern Dritter (z. B. Google) aufgebaut; es werden keine personenbezogenen Daten an Dritte übertragen.

6. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren (z. B. für die Teilnahme an der Castar-Beta), werden Ihre Angaben zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen/Vertrag) bzw. lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Die Daten werden gelöscht, sobald sie für die Erreichung des Zwecks nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. TestFlight (Beta-Programm)

Die Castar-Beta wird über Apples Dienst TestFlight verteilt. Wenn Sie an der Beta teilnehmen, verarbeitet Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) dabei Daten nach eigenen Datenschutzbestimmungen. Näheres unter apple.com/legal/privacy.

8. Die App Castar

Dieser Abschnitt betrifft nicht die Website, sondern die iPad-App. Er beschreibt, welche Daten das Gerät verlassen; die Angaben sind am Quellcode geprüft, zuletzt am 09.10.2026.

Kassendaten und Belege bleiben in Ihrem Zugriffsbereich. Sie liegen auf dem iPad und, wenn Sie den Sync einschalten, zusätzlich in der privaten iCloud-Datenbank Ihres eigenen Apple-Kontos. Applikar hat darauf keinen Zugriff — nicht nur vertraglich, sondern technisch: Diese Daten werden an keine Stelle übertragen, an der wir sie lesen könnten. Öffentliche oder geteilte iCloud-Bereiche nutzt die App nicht.

An unser Backend (Serverstandort Deutschland) gehen ausschließlich Einrichtungsdaten: E-Mail-Adresse des Betriebs, Firmenname, technische Kennungen für Gerät und Sicherheitseinrichtung, Bestätigungscodes für die Geräteanmeldung und für eine vergessene Admin-PIN (als Hash, nicht im Klartext) sowie IP-Adresse und Zeitstempel in den Protokolltabellen. Keine Umsätze, keine Belege, keine Kunden- oder Patientendaten.

Weitere Gegenstellen sind fiskaly (technische Sicherheitseinrichtung nach KassenSichV) und SumUp (Kartenzahlung — an das SumUp-SDK gehen Betrag, Währung und eine zufällige Vorgangsnummer; Karten- und Karteninhaberdaten verarbeitet Castar zu keinem Zeitpunkt). Alle Verbindungen laufen über HTTPS.

An fiskaly gehen Belegdaten, sobald Ihre Kasse dort eingerichtet ist. Das Kassengesetz verlangt für elektronische Kassen eine technische Sicherheitseinrichtung, die jeden Vorgang signiert, und einen Datenexport für die Kassennachschau (§ 146a, § 146b AO). Beides erledigt Castar über fiskaly, auf zwei Wegen. Applikar sieht diese Daten nicht; sie gehen vom iPad unmittelbar an fiskaly, das insoweit in Ihrem Auftrag verarbeitet.

Zur Einrichtung der Sicherheitseinrichtung legt das Applikar-Backend Ihren Betrieb bei fiskaly als Organisation an. Dafür übermittelt es den Namen, die Anschrift und, soweit hinterlegt, die Steuernummer Ihres Betriebs aus dem Geschäftsprofil der App; ändern Sie diese Angaben später, führt die App sie nach. fiskaly übernimmt sie in den Datenexport für die Kassennachschau, der die Betriebsdaten zwingend enthält. Weitere Angaben, insbesondere Umsätze oder Kundendaten, gehören nicht dazu.

Mehrere iPads eines Betriebs sind bei fiskaly je eine eigene Kasse unter derselben Sicherheitseinrichtung. Das Applikar-Backend hält dafür je angemeldetem iPad die Kennung seiner Kasse und den Bezug auf seinen Zugangsschlüssel beim TSE-Dienst, außerdem die Admin-PIN der Sicherheitseinrichtung in verschlüsselter Form, damit ein weiteres oder ein Ersatz-iPad seine Kasse registrieren kann. Die PIN wird nur an Geräte herausgegeben, die sich per Bestätigungscode an die E-Mail-Adresse Ihres Betriebs angemeldet haben.

Zur Signatur geht jeder Beleg im Moment des Kassierens an fiskaly: eine von der App erzeugte Vorgangskennung, die Kennungen von Sicherheitseinrichtung und Kasse, die Bruttobeträge je Steuersatz und der Betrag je Zahlart (bar oder unbar). Positionen, Bezeichnungen, Belegnummer sowie Kunden- oder Patientendaten sind darin nicht enthalten. Zurück kommen Transaktionsnummer, Signaturzähler, Prüfwert und Zeitpunkte; sie werden am Beleg gespeichert und stehen auf dem Bon. Ist fiskaly gerade nicht erreichbar, entsteht der Beleg trotzdem, und die Signatur wird nachgeholt.

Für die Kassennachschau übermittelt Castar mit jedem Tagesabschluss die Vorgänge des Tages: Positionen, Beträge, Steuersätze, Zahlarten und den rechnerischen Kassenbestand. Kunden- oder Patientendaten sind nicht darunter, denn die Kasse erfasst keine. Richten Sie keine Sicherheitseinrichtung ein, verlässt keiner dieser Datensätze das Gerät.

Ordner für den Tagesbericht. Wählen Sie in den Einstellungen einen Ordner, legt Castar den Tagesbericht nach jedem Tagesabschluss dort als PDF ab. Der Bericht enthält die Belege und Umsätze des Tages. Liegt der Ordner in iCloud Drive oder bei einem anderen Speicheranbieter, gelangt die Datei zu diesem Anbieter. Ohne gewählten Ordner legt die App nichts ab.

Drei Einträge liegen unabhängig vom Sync in Ihrer iCloud. Damit der kostenlose Zeitraum nicht durch eine Neuinstallation von vorn beginnt, hinterlegt die App dessen Beginn zusätzlich im iCloud-Schlüssel-Wert-Speicher Ihres Apple-Kontos und im Schlüsselbund des Geräts. Außerdem steht dort die Kennung des iPads, das gerade Ihre Kasse ist, denn mit einer Apple-ID kassiert jeweils nur ein iPad, und dazu, ob dieser Betrieb eine Sicherheitseinrichtung (TSE) nutzt, damit ein iPad, das die Kasse übernimmt, zuerst die Sicherheitseinrichtung übernimmt. Diese Kennung ist eine Zufallszahl, die die App selbst erzeugt; sie liegt zusätzlich im Schlüsselbund dieses iPads und geht mit keinem Backup auf ein anderes Gerät über. All das geschieht auch dann, wenn Sie bei der Einrichtung „nur dieses iPad“ gewählt haben, und die Einträge im Schlüsselbund überdauern das Löschen der App. Ein Bezug zu Ihren Geschäftsdaten besteht nicht.

Keine Analyse, kein Tracking. Die App bindet kein Analyse-Werkzeug, kein Crash-Reporting und keine Nutzungsstatistik ein, verwendet keine Werbekennung und bildet keine Profile. Protokollausgaben der App bleiben auf dem Gerät.

9. Cookies & Analyse

Diese Website setzt keine Tracking- oder Analyse-Cookies ein und bindet keine Webanalyse-Dienste (z. B. Google Analytics) ein.

10. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

11. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt.

12. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen.