Datenschutzerklärung – RealDodos WaWi
Was mit deinen Daten in WaWi passiert – kurz, ehrlich und vollständig. Stand: 25.10.2026.
1. Verantwortlicher
Real Dodos, Inhaber Jannick Feustel, Johann-Marx-Straße 6, 61479 Glashütten, Deutschland. Kontakt: support@realdodos.de. Siehe auch Impressum. Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben; alle Datenschutzanfragen gehen direkt an die genannte Adresse.
2. Was WaWi ist
WaWi ist ein Warenwirtschafts- und ERP-Dienst, den Firmen („Kunden“) selbst registrieren und für ihre eigene Geschäftstätigkeit nutzen: Artikel, Lager, Kunden, Lieferanten, Angebote, Rechnungen, Versand, Personal, Zeiterfassung, Buchhaltung, Fuhrpark, Verträge und ein optionales Kundenportal. Jede Firma sieht und verwaltet ausschließlich ihre eigenen Daten (strikte Mandantentrennung).
3. Rollenverteilung
Für Daten, die eine Firma über ihre Mitarbeiter, Kunden oder Lieferanten in WaWi einträgt, handelt Real Dodos als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlich für die Rechtmäßigkeit dieser Daten bleibt die jeweilige Firma. Wer als Kunde, Mitarbeiter oder Lieferant einer Firma Fragen zu seinen Daten hat, wendet sich deshalb zuerst an diese Firma – wir unterstützen sie dabei.
Verantwortlicher ist Real Dodos selbst für: die Konto- und Registrierungsdaten, das Sicherheits-Protokoll, die Besucherstatistik, Support-Tickets, das Fehlerprotokoll und die Sperrliste.
4. Welche Daten verarbeitet werden – und auf welcher Rechtsgrundlage
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Konto Benutzername, E-Mail, Passwort (nur als Argon2-Hash), Rolle, Sprache, Design-Einstellung, 2FA-Status | Bereitstellung von WaWi, Anmeldung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Firmendaten Firmenname, Anschrift, ggf. USt-IdNr., Plan, Logo, Akzentfarbe, eigene Domain | Vertrag, Rechnungsstellung, Darstellung auf Belegen | Art. 6 Abs. 1 lit. b und c DSGVO |
| Geschäfts- und Personaldaten der Firma Artikel, Lager, Kunden, Lieferanten, Belege, Mitarbeiter, Gehälter, Zeiterfassung, Fahrzeuge | Im Auftrag der Firma | Art. 28 DSGVO – Rechtsgrundlage legt die Firma fest |
| Sicherheits-Protokoll Logins, Fehlversuche, Rechteänderungen, Support-Zugriffe, Sperren – mit Zeitpunkt und IP-Adresse | Schutz vor Missbrauch und unbefugtem Zugriff, Nachvollziehbarkeit | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit), Art. 32 DSGVO |
| Besucherstatistik aufgerufene Seite und ein täglich wechselnder Hash – die IP-Adresse selbst wird nie gespeichert | Reichweite der öffentlichen Seiten verstehen | Art. 6 Abs. 1 lit. f DSGVO |
| Support-Tickets Titel, Beschreibung, Antworten | Bearbeitung deiner Anfrage | Art. 6 Abs. 1 lit. b DSGVO |
| Fehlerprotokoll Referenz-Code, Fehlertyp, Meldung, betroffene Funktion, technischer Stacktrace | Fehler finden und beheben | Art. 6 Abs. 1 lit. f DSGVO |
| Sperrliste siehe Punkt 11 | Missbrauch, Betrug und AGB-Verstöße verhindern | Art. 6 Abs. 1 lit. f DSGVO |
Ihr selbst seht bei Fehlern nur Datum und Referenz-Code. Den vollständigen technischen Inhalt sieht nur der RealDodos-Support. Support-Tickets sieht der Support unabhängig von der Mandantentrennung, weil ihr sie bewusst an ihn richtet.
5. Empfänger und Drittdienste
Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Daten verlassen WaWi nur in diesen Fällen:
- EU-Prüfstelle VIES (Europäische Kommission): Gibt eine Firma eine USt-IdNr. an, werden Länderkennung und Nummer dort auf Gültigkeit geprüft.
- DHL (Deutsche Post DHL Group): Nur wenn eine Firma eigene DHL-Zugangsdaten hinterlegt und ein Versandlabel erstellt – dann gehen Empfängeradresse, Gewicht und Absender an DHL.
- E-Mail-Versand: Systemmails (Bestätigung, Passwort-Reset, Datenauskunft) verschicken wir über unseren eigenen Mailserver mail.realdodos.de. Hinterlegt eine Firma eigene SMTP-Zugangsdaten, laufen ihre Rechnungs- und Angebotsmails über ihren Mailanbieter; das Passwort wird verschlüsselt gespeichert.
- Zeiterfassungs-Webhook und REST-API: Nur wenn eine Firma das selbst einrichtet, gehen Daten an die von ihr angegebene Adresse bzw. an Systeme mit ihrem API-Schlüssel.
- realdodos.online (nur Firma „RealDodos“ selbst): optionale Kontoverknüpfung zum Login und Übernahme von Shop-Bestellungen – siehe Datenschutzerklärung von realdodos.online.
- Behörden: nur wenn wir gesetzlich dazu verpflichtet sind.
Eine Übermittlung in Länder außerhalb der EU findet durch uns nicht statt. Wir setzen keine externen Schriftarten-, Karten-, Analyse- oder Werbedienste ein – alle Schriften und Skripte liefern wir selbst aus.
6. Cookies und lokale Speicherung
WaWi nutzt ausschließlich technisch notwendige Cookies (§ 25 Abs. 2 TDDDG) – deshalb gibt es kein Cookie-Banner:
- session – hält dich angemeldet und schützt Formulare vor Fälschung (CSRF). Nur über HTTPS, für Skripte nicht lesbar.
- theme – merkt sich Hell/Dunkel, wenn du nicht angemeldet bist (bis zu 2 Jahre).
Die installierbare Web-App legt außerdem eine Kopie der Programmdateien (Design, Skripte, Logo) im Browser-Speicher ab, damit sie schneller startet. Darin stehen keine Geschäftsdaten.
7. Apps (Windows, macOS, Linux, Android, iPhone)
Die WaWi-Apps sind ein Fenster auf wawi.realdodos.online und verarbeiten dieselben Daten wie die Website – nicht mehr. Die Desktop-Apps fragen beim Start bei unserem Server nach Updates; dabei wird nur die installierte Versionsnummer übertragen. Die Apps enthalten keine Tracking- oder Werbe-Bibliotheken.
8. Speicherort und Sicherheit
Die Daten liegen auf einem von Real Dodos betriebenen Server, werden TLS-verschlüsselt übertragen und täglich gesichert. Sensible Felder (Bankdaten, Steuer-ID, SV-Nummer, SMTP-, DHL- und Webhook-Zugangsdaten, 2FA-Schlüssel, Support-PIN) werden verschlüsselt abgelegt. Schutz bieten außerdem: Login mit Rollen und Rechten, optionale Zwei-Faktor-Anmeldung mit Backup-Codes, eine Sperre nach mehreren Fehlanmeldungen, eine strenge Content-Security-Policy und die Sperrliste.
9. Speicherdauer und automatische Löschung
| Daten | Wie lange |
|---|---|
| Konto-, Firmen- und Geschäftsdaten | solange das Konto bzw. die Firma besteht; danach Löschung auf Anfrage, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (z. B. Rechnungen: 8 bzw. 10 Jahre nach HGB/AO) |
| IP-Adressen im Sicherheits-Protokoll | 90 Tage – danach wird die IP automatisch entfernt, der Eintrag bleibt ohne IP erhalten |
| Besucherstatistik (Hash, keine IP) | 90 Tage, dann automatisch gelöscht |
| IP-Sperren auf der Sperrliste | höchstens 90 Tage |
| Abgelaufene oder aufgehobene Sperren | 30 Tage nach Ende, dann automatisch gelöscht |
| Passwort-Reset- und Bestätigungslinks | Passwort-Reset 1 Stunde, E-Mail-Bestätigung 48 Stunden, E-Mail-Änderung 24 Stunden gültig – nur als Hash gespeichert |
| Datensicherungen | 30 Tage, dann automatisch gelöscht |
10. Support-Zugriff (nur mit eurer ausdrücklichen, befristeten Freigabe)
Standardmäßig hat niemand bei RealDodos Zugriff auf die Geschäftsdaten eurer Firma. Nur wenn ihr unter Einstellungen → Sicherheit einen „Support-Zugriff“ freigebt (standardmäßig 48 Stunden, jederzeit sofort widerrufbar), kann der Support in diesem Zeitraum in eure Ansicht wechseln. Jede Freigabe, jeder Widerruf und jeder Zugriff wird im Sicherheits-Protokoll festgehalten. Nach Ablauf erlischt der Zugriff automatisch, auch mitten in einer laufenden Sitzung.
11. Sperrliste und Ausschluss von WaWi
Um WaWi und seine Nutzer vor Betrug, Spam, Missbrauch und schweren AGB-Verstößen zu schützen, führen wir eine Sperrliste. Damit können einzelne Konten, ganze Firmen, E-Mail-Adressen, E-Mail-Domains (z. B. Wegwerf-Adressen) oder IP-Adressen von der Nutzung ausgeschlossen werden.
- Gespeichert wird: die gesperrte Angabe (Konto, Firma, E-Mail, Domain oder IP), ein sachlicher Grund, ein optionaler Hinweis an dich, Beginn und Ende der Sperre, wer sie eingetragen hat sowie Anzahl und Zeitpunkt blockierter Zugriffe.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse und das unserer Kunden an einem sicheren, missbrauchsfreien Dienst.
- Keine automatische Entscheidung: Jede Sperre wird von einem Menschen nach Prüfung eingetragen. Eine automatisierte Entscheidung nach Art. 22 DSGVO findet nicht statt.
- Wirkung: Eine Sperre verhindert Anmeldung, Registrierung, Passwort-Reset, Kundenportal und API-Zugriff. Bestehende Sitzungen werden sofort beendet. Daten der Firma werden durch eine Sperre nicht gelöscht – gesetzliche Aufbewahrungspflichten bleiben unberührt.
- Dauer: befristet oder bis auf Weiteres; IP-Sperren höchstens 90 Tage. Abgelaufene und aufgehobene Einträge werden nach 30 Tagen automatisch gelöscht.
- Zugriff: nur die Plattform-Verwaltung von RealDodos. Die Sperrliste wird nicht an andere Firmen oder Dritte weitergegeben.
- Deine Möglichkeiten: Wer gesperrt ist, sieht eine Hinweisseite mit Vorgangsnummer. Mit dieser Nummer kannst du per E-Mail Auskunft verlangen, der Sperre widersprechen oder eine Überprüfung beantragen – wir prüfen jeden Fall persönlich und antworten innerhalb eines Monats.
12. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Datenauskunft kannst du direkt in WaWi über „Meine Daten anfordern“ (Einstellungen → Sicherheit) an deine registrierte Adresse schicken lassen, alternativ per E-Mail an support@realdodos.de.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, datenschutz.hessen.de.
13. Auftragsverarbeitungsvereinbarung (AVV)
Für die von eurer Firma eingetragenen Geschäfts- und Personaldaten sind wir Auftragsverarbeiter (siehe Punkt 3). Einen schriftlichen AVV – oft vom Steuerberater oder Datenschutzbeauftragten verlangt – könnt ihr unter Einstellungen → Sicherheit mit „AVV anfordern“ bekommen. Wir schicken euch dann einen unterschriftsfertigen Entwurf.
14. Weitere Hinweise
Die Buchhaltungs- und Personalfunktionen dienen der Vorbereitung für den Steuerberater. Sie sind nicht GoBD-zertifiziert, und Lohnsteuer bzw. Sozialabgaben werden nicht rechtsverbindlich berechnet. Ändern sich die Funktionen von WaWi, passen wir diese Erklärung an; das Datum oben zeigt den aktuellen Stand.
