Datenschutzerklärung

1Verantwortlicher und Kontakt

Diese Erklärung beschreibt, wie wir (der Anbieter) personenbezogene Daten als Verantwortlicher verarbeiten. Verantwortlicher ist:

Tom GewieseObernaglbach 294259 Kirchberg im WaldDeutschland

E-Mail: info@zentrana.de · Telefon: +49 160 92595136

Fragen zum Datenschutz und Anträge zu Ihren Rechten richten Sie bitte an info@zentrana.de.

2Geltungsbereich und Rollen

Wir betreiben die Plattform Zentrana und die Website, über die wir sie anbieten. Die Begriffe Anbieter, Kunde, Nutzer, Plattform und Kundendaten verwenden wir wie in § 1 der Allgemeinen Geschäftsbedingungen (AGB).

Kundendaten verarbeiten wir dagegen im Auftrag des Kunden nach dem Vertrag zur Auftragsverarbeitung (AVV). Die personenbezogenen Daten darunter heißen dort Auftragsdaten (§ 1 AVV). Für sie ist der Kunde verantwortlich, und es gelten seine Datenschutzhinweise. Einzelheiten stehen im Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

Einige Daten aus der Plattform verarbeiten wir selbst als Verantwortlicher: Zugangs-, Anmelde- und Sitzungsdaten für Sicherheit, Missbrauchsabwehr und Abrechnung, die Zählung der Personen für die Abrechnung, Kennzahlen zur Nutzung und die Sperrliste für den Versand von E-Mails (§ 3 AVV). Diese Verarbeitungen beschreiben die Abschnitte „Registrierung und Nutzerkonto“, „Geschäftliche Leistungen“ und „Support und E-Mail“.

3Übersicht der Verarbeitungen

Die folgende Übersicht fasst zusammen, welche Arten von Daten wir als Verantwortlicher verarbeiten, zu welchen Zwecken und von welchen Personen. Sie umfasst auch die Daten aus der Plattform, die wir selbst als Verantwortlicher verarbeiten (Abschnitt „Geltungsbereich und Rollen“). Auftragsdaten, also die personenbezogenen Kundendaten, die wir im Auftrag unserer Kunden verarbeiten (§ 1 AVV), enthält sie nicht; für sie gilt der Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

Arten der verarbeiteten Daten

Als Verantwortlicher verarbeiten wir diese Arten von Daten. Welche Angaben genau, wozu, auf welcher Rechtsgrundlage und wie lange, steht bei der jeweiligen Verarbeitung.

• Bestandsdaten: Firma, Rechtsform, Anschrift, Kundennummer und Logo, Vor- und Nachname und Funktion von Ansprechpartnern sowie Steuernummer und Umsatzsteuer-Identifikationsnummer.
• Zahlungsdaten: Kontoinhaber, IBAN, BIC und Lastschriftmandat, Zahlungseingänge zu unseren Rechnungen und die Bankverbindung von Partnern für die Auszahlung ihrer Vergütung.
• Kontaktdaten: E-Mail Adresse und Telefonnummer, bei Ansprechpartnern auch Mobilnummer und Hinweise zur Erreichbarkeit.
• Inhaltsdaten: Nachrichten aus Formularen, E-Mails und Supportanfragen mit Anhängen sowie Notizen zu unserem Kontakt.
• Vertragsdaten: Bestellung, gebuchte Module, Laufzeit und Preise, Rechnungen, der Zählstand der abgerechneten Personen mit der Angabe, welche Personen wir gezählt haben, Partnervereinbarungen, Empfehlungen und Vergütungen.
• Zugangs-, Anmelde- und Sitzungsdaten: E-Mail Adresse, Kennwort als Hashwert, gegebenenfalls ein zweiter Faktor, vertrauenswürdige Geräte, die Sprache des Kontos und Angaben zu jeder Sitzung.
• Nutzungsdaten: Aufrufe der Seiten unserer Website, der Name der Website, von der Sie kamen, und der Gerätetyp, die wir nur als Tagessummen speichern, Adressen nicht gefundener Seiten ohne Suchanfrage, der Zeitpunkt der letzten Anmeldung bei den Zugängen des Kundenkontos sowie Anmeldungen, Sitzungen und Vorgänge, die wir bei Kunden ab fünf Personen mit Zugang zu Kennzahlen je Kunde zusammenfassen.
• Meta-, Kommunikations- und Verfahrensdaten: IP-Adresse oder ein Prüfwert davon, Browserkennung, Zeitpunkte, Herkunftsangaben aus Formularen, Einträge im Fehlerprotokoll, Meldungen über die Zustellung von E-Mails und Nachweise über Bestätigungen und Erklärungen, etwa zur Annahme von AGB und AVV.
• Recherchedaten: Fundstelle von Angaben zu Ansprechpartnern, Beschreibung des Unternehmens und die übrigen Ergebnisse einer Recherche über Interessenten.
• Bewerberdaten: Ihre Angaben und Unterlagen, wenn Sie sich auf eine Stellenanzeige von uns bewerben.

Kategorien betroffener Personen

Als Verantwortlicher verarbeiten wir Daten dieser Personen:

• Besucher der Website (Abschnitte „Aufruf der Website“, „Cookies und Speicher im Browser“, „Zählung der Seitenaufrufe“ und „Eingebettete Videos und weitere Inhalte“)
• Personen, die uns über ein Formular der Website eine Anfrage senden oder eine Vorlage anfordern (Abschnitt „Kontakt und Formulare“)
• Ansprechpartner von Unternehmen und öffentlichen Stellen, deren dienstliche Angaben wir nicht von ihnen selbst erhalten (Abschnitt „Ansprechpartner von Interessenten“)
• Personen, die ein Unternehmen auf der Website registrieren (Abschnitt „Registrierung und Nutzerkonto“)
• Personen, unter deren E-Mail Adresse eine Anmeldung oder Registrierung versucht wird, auch ohne eigenen Zugang (Abschnitt „Registrierung und Nutzerkonto“)
• Nutzer der Plattform, soweit wir ihre Zugangs-, Anmelde- und Sitzungsdaten selbst verarbeiten, sie für die Abrechnung zählen oder ihre Nutzung in Kennzahlen zusammenfassen (Abschnitte „Aufruf der Website“, „Cookies und Speicher im Browser“, „Registrierung und Nutzerkonto“ und „Geschäftliche Leistungen“)
• Kunden und ihre Ansprechpartner, darunter Vertragsverwalter und Nutzer, die für den Kunden Zugänge und Rechte verwalten dürfen (Abschnitte „Registrierung und Nutzerkonto“, „Geschäftliche Leistungen“ und „Zahlungsverfahren“)
• Personen ohne Zugang, die wir für die Abrechnung zählen, weil der Kunde ihnen Schlüssel ausgegeben oder für sie das Stempeln eingeschaltet hat (Abschnitt „Geschäftliche Leistungen“)
• Personen, die uns eine E-Mail oder eine Supportanfrage schreiben oder denen wir eine E-Mail senden, sowie Empfänger von E-Mails, die die Plattform im Auftrag eines Kunden versendet, soweit wir Meldungen über die Zustellung speichern oder ihre Adresse in die Sperrliste für den Versand aufnehmen (Abschnitt „Support und E-Mail“)
• Partner, Bewerber um eine Partnerschaft und ihre Ansprechpersonen (Abschnitt „Partnerprogramm“)
• Bewerber, wenn wir eine Stellenanzeige veröffentlichen (Abschnitt „Bewerbungen“)

Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten zu diesen Zwecken. Einzelheiten stehen bei der jeweiligen Verarbeitung in den folgenden Abschnitten.

• Website und Plattform bereitstellen und in Ihrer Sprache anzeigen (Abschnitte „Aufruf der Website“ und „Cookies und Speicher im Browser“).
• Website, Plattform und Zugänge sichern, Fehler finden und Missbrauch abwehren.
• Mit einer eigenen Zählung erkennen, welche Inhalte der Website gelesen werden und wie Besucher zu uns finden, und sehen, welche Seiten und Kampagnen zu Anfragen führen.
• Nicht gefundene Seiten zählen und daraus Weiterleitungen vorschlagen.
• Videos von YouTube abspielen, die Sie mit einem Klick laden.
• Anfragen über Formulare, per E-Mail und im Support beantworten, angeforderte Vorlagen zusenden und Termine vereinbaren.
• Zugänge einrichten und das Kundenkonto verwalten.
• Verträge anbahnen, schließen und durchführen, Leistungen abrechnen, Zahlungen abwickeln und mahnen, einschließlich der Zählung der Personen für die Abrechnung.
• Über eine Sperre der Zugänge entscheiden und sie aufheben (Abschnitt „Zahlungsfähigkeit und Sperre wegen Zahlungsverzugs“).
• Kunden betreuen.
• Kunden weitere Module anbieten und Unternehmen und öffentliche Stellen ansprechen, für die Zentrana passen kann (Direktwerbung).
• Mit Kunden als Referenz werben, wenn wir ihr Unternehmen als Kunden nennen.
• Bewerbungen als Partner prüfen, Partnervereinbarungen schließen und durchführen, Empfehlungen zuordnen, Partner per Gutschrift vergüten und Missbrauch im Partnerprogramm verhindern.
• Bewerbungen bearbeiten, wenn wir eine Stelle ausschreiben.
• E-Mails zuverlässig zustellen und Widersprüche gegen unsere Ansprache dauerhaft beachten.
• Nachweise führen, etwa über die Registrierung, die Annahme von AGB und AVV, Bestätigungen in Formularen und Supportzugriffe.
• Gesetzliche Pflichten erfüllen, insbesondere Rechnungen und Belege aufbewahren, und Rechtsansprüche geltend machen, ausüben oder verteidigen.

4Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur auf einer Rechtsgrundlage der Datenschutz-Grundverordnung (DSGVO). Die folgende Übersicht zeigt die Grundlagen, auf die wir uns stützen; bei jeder Verarbeitung nennen wir die jeweilige Grundlage. Gilt im Einzelfall ein spezielleres Gesetz, nennen wir es dort ebenfalls, etwa § 25 TDDDG für Angaben, die auf Ihrem Gerät gespeichert oder dort gelesen werden.

• Einwilligung: Sie haben in die Verarbeitung für einen bestimmten Zweck eingewilligt (Art. 6 Abs. 1 Buchst. a DSGVO). Sie können die Einwilligung jederzeit für die Zukunft widerrufen; was bis dahin geschah, bleibt rechtmäßig.
• Vertrag: Die Verarbeitung ist nötig, um einen Vertrag mit Ihnen zu erfüllen oder auf Ihre Anfrage hin vorzubereiten (Art. 6 Abs. 1 Buchst. b DSGVO).
• Rechtliche Pflicht: Ein Gesetz verpflichtet uns zur Verarbeitung, etwa zur Aufbewahrung von Rechnungen (Art. 6 Abs. 1 Buchst. c DSGVO).
• Berechtigtes Interesse: Die Verarbeitung ist nötig, um unsere Interessen oder die eines Dritten zu wahren, und Ihre Interessen überwiegen nicht (Art. 6 Abs. 1 Buchst. f DSGVO). Welches Interesse wir verfolgen, nennen wir jeweils.

Neben der DSGVO gilt für uns als Unternehmen mit Sitz in Deutschland das Bundesdatenschutzgesetz (BDSG). Es enthält unter anderem besondere Regeln zum Recht auf Auskunft und zum Recht auf Löschung (§§ 34 und 35 BDSG).

5Sicherheit der Verarbeitung

Zum Schutz der personenbezogenen Daten, die wir verarbeiten, treffen wir technische und organisatorische Maßnahmen (Art. 32 DSGVO). Anfragen aus Formularen, Registrierungen, die Vertriebsakte, Lastschriftmandate und Angaben aus dem Partnerprogramm, die wir als Verantwortlicher verarbeiten, speichern wir in derselben Anwendung und derselben Datenbank wie die Kundendaten.

Kennwörter für die Anmeldung speichern wir nur als Hashwert, neue mit dem Verfahren Argon2id. Das Geheimnis für den zweiten Anmeldefaktor per App und die Kontonummern aus Lastschriftmandaten speichern wir verschlüsselt (AES-256-GCM); der Hauptschlüssel dafür liegt außerhalb der Datenbank.

In der Anwendung sehen unsere Mitarbeitenden Daten nur nach ihrer Anmeldung und mit dem Recht für die jeweilige Funktion. Diese Rechte vergeben wir über Rollen und einzelne Rechte; jede Vergabe und jeden Entzug protokollieren wir.

Den physischen Schutz des Rechenzentrums, die Stromversorgung und die Netzanbindung stellt unser Hoster.

Verletzungen des Schutzes personenbezogener Daten erfassen wir in einem Register mit der Frist für die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO).

Schon bei der Gestaltung achten wir darauf, wenig Daten zu erheben (Art. 25 DSGVO); Beispiele stehen in den Abschnitten „Zählung der Seitenaufrufe“ und „Eingebettete Videos und weitere Inhalte“.

Website und Plattform stellen wir über verschlüsselte Verbindungen bereit (HTTPS, gesichert mit TLS, Transport Layer Security, dem Nachfolger von SSL). Eine verschlüsselte Verbindung erkennen Sie an „https://“ am Anfang der Adresse.

Aufrufe über http leiten wir auf https um. Mit HSTS (HTTP Strict Transport Security) weisen wir Ihren Browser an, unsere Seiten 1 Jahr lang nur über https aufzurufen. Die Seiten unserer Website senden außerdem die Sicherheitsangaben X-Content-Type-Options, Referrer-Policy und Permissions-Policy.

6Empfänger

Dienstleister erhalten Daten, soweit sie für uns arbeiten. Arbeiten sie in unserem Auftrag, binden wir sie als Auftragsverarbeiter nach Art. 28 DSGVO.

An Behörden, Gerichte und zur Verschwiegenheit verpflichtete Berater, etwa Steuerberater oder Rechtsanwälte, geben wir Daten, soweit ein Gesetz uns dazu verpflichtet (Art. 6 Abs. 1 Buchst. c DSGVO) oder es nötig ist, Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen (Art. 6 Abs. 1 Buchst. f DSGVO).

Soweit nötig, geben wir Daten auch an Versicherer, an Berater und Kapitalgeber, an Unternehmen, die erwägen, unser Geschäft zu erwerben, und an ein Unternehmen, das Verträge von uns übernehmen soll (§ 11 und § 14 AGB). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, uns gegen Risiken abzusichern, uns beraten zu lassen und zu finanzieren und unser Geschäft übertragen zu können.

Je nach Leistung setzen wir diese Dienstleister ein. Wofür sie Daten erhalten, steht in der folgenden Übersicht und in den Abschnitten, die sie nennen.

Hosting und Rechenzentrum

OVH GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln

Versand und Empfang von E-Mails

Dienstleister für den E-Mail Versand

Zahlungsabwicklung beim Kauf und bei Lastschrift

Mollie B.V., Niederlande

Recherche über Interessenten

Anthropic PBC, USA

Daten erhalten auch Anbieter, deren Inhalte unsere Seiten einbinden, sobald Ihr Browser diese Inhalte von deren Servern lädt. So erhält Google Daten, wenn Sie ein Video laden (Abschnitt „Eingebettete Videos und weitere Inhalte“). Welche Daten Google erhält, wofür und auf welcher Rechtsgrundlage, steht dort.

7Übermittlung in Drittländer

Ein Drittland ist ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Wo wir in dieser Erklärung angeben, dass Daten in ein Drittland gelangen, nennen wir in diesem Abschnitt oder beim jeweiligen Dienst auch die Grundlage der Übermittlung: einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder Standarddatenschutzklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO).

Informationen zu Übermittlungen in Drittländer und zu den Angemessenheitsbeschlüssen bietet die Europäische Kommission unter commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection_de.

Für Unternehmen in den USA, die nach dem Datenschutzrahmen EU-USA (EU-US Data Privacy Framework) zertifiziert sind, hat die Europäische Kommission mit Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Die Liste der zertifizierten Unternehmen führt das Handelsministerium der USA unter www.dataprivacyframework.gov (in Englisch). Beruht eine Übermittlung auf diesem Beschluss, steht das beim jeweiligen Empfänger.

Wo unser Hoster die Daten verarbeitet und welche Fernzugriffe aus Drittländern möglich sind, steht im Abschnitt „Aufruf der Website“.

Anthropic hat seinen Sitz in den USA, also außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Für die Übermittlung dorthin gelten Standarddatenschutzklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO). Sie sind Bestandteil der Vertragsbedingungen von Anthropic für die Nutzung seiner Schnittstelle. Eine Kopie der Klauseln erhalten Sie auf Anfrage.

Was Mollie zur Verarbeitung außerhalb des Europäischen Wirtschaftsraums angibt, steht im Abschnitt „Zahlungsverfahren“.

Zu eingebetteten Videos steht das Drittland im Abschnitt „Eingebettete Videos und weitere Inhalte“.

8Löschung und Speicherdauer

Wir speichern Daten, solange der Zweck es verlangt. Die Frist oder die Kriterien dafür nennen wir bei jeder Verarbeitung.

Widerrufen Sie eine Einwilligung, verarbeiten wir Ihre Daten für diesen Zweck nicht mehr. Widerrufen Sie Ihre Einwilligung in Werbung per E-Mail, nehmen wir Ihre E-Mail Adresse in die Sperrliste für den Versand auf (Abschnitt „Support und E-Mail“), sofern sie dort nicht schon steht. Solange sie dort steht, senden wir an diese Adresse keine Werbung und auch andere E-Mails nicht, die wir nicht eigens davon ausnehmen, etwa Bestellbestätigungen und Angebote. Weiter erhalten Sie die E-Mails, die wir davon ausnehmen, etwa E-Mails zur Anmeldung und zur Abrechnung, Links, die Sie selbst anfordern, Antworten auf Ihre Supportanfragen sowie Benachrichtigungen und Quittungen, die die Plattform im Auftrag eines Kunden versendet.

Den Eintrag führen wir, solange Ihr Widerruf gilt. Heben wir ihn auf, etwa weil Sie wieder eingewilligt haben, löschen wir ihn 3 Jahre nach dem Ende des Kalenderjahres, in dem wir ihn aufheben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Ihren Widerruf dauerhaft zu beachten.

Verpflichtet uns ein Gesetz zur Aufbewahrung, etwa § 147 AO, § 14b UStG oder, soweit anwendbar, § 257 HGB, löschen wir die Daten erst nach Ablauf dieser Frist. Ist der Zweck entfallen, müssen wir Daten aber noch aufbewahren, nutzen wir sie nur noch für diese Pflicht und um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen.

Brauchen wir Daten, um Ansprüche geltend zu machen oder abzuwehren, bewahren wir sie bis zum Ende der Verjährung auf (§§ 195 und 199 BGB).

Die Fristen in den einzelnen Abschnitten gelten, soweit nicht eine solche Aufbewahrungspflicht oder ein Rechtsanspruch eine längere Speicherung verlangt.

Was wir nach Ablauf einer Frist automatisch löschen, löschen wir in regelmäßigen Läufen. Zwischen dem Ende einer Frist und der Löschung liegen dabei in der Regel bis zu 16 Tage, höchstens 62 Tage.

Datensicherungen werden nach spätestens 30 Tagen überschrieben. Bis dahin können sie Daten enthalten, die wir bereits gelöscht haben.

Die folgende Übersicht nennt die Fristen für Sitzungen und Protokolle. Die Fristen der übrigen Daten, für die wir selbst verantwortlich sind, stehen mit ihren Ausnahmen bei der jeweiligen Verarbeitung. Für Kundendaten in der Plattform gilt der Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

Angemeldete Sitzungen

Melden Sie sich ab oder melden Sie ein Gerät unter „Angemeldete Geräte“ ab, löschen wir diese Sitzung sofort. Ändern Sie Ihr Kennwort nach der Anmeldung, löschen wir Ihre übrigen Sitzungen; setzen Sie es über einen Link aus einer E-Mail, löschen wir alle Ihre Sitzungen. Sonst gilt Ihre Anmeldung bis zum Schließen des Browsers, höchstens 12 Stunden nach Ihrem letzten Aufruf; mit „Angemeldet bleiben“ 30 Tage nach Ihrem letzten Aufruf. Die Sitzungsdaten löschen wir 30 Tage nach Ablauf der Sitzung.

Protokolle

Protokolle des Webservers bewahrt unser Hoster höchstens 35 Tage auf. Einträge im Fehlerprotokoll löschen wir nach 30 Tagen, spätestens nach 32 Tagen, Zähler nicht gefundener Seiten nach 90 Tagen, Zählerstände gegen Missbrauch laufend, sobald sie älter als eine Stunde sind, und die Zählung fehlgeschlagener Anmeldungen einen Tag nach dem letzten Fehlversuch.

Änderungsprotokoll ohne Kundenkonto

Einträge in unserem Änderungsprotokoll, die zu keinem Kundenkonto gehören, etwa zur Sperrliste für den Versand, zu Änderungen an Zugangsdaten über einen Link oder zu abgebrochenen Supportzugriffen, löschen wir derzeit nicht. Eine Frist für ihre Löschung haben wir bisher nicht festgelegt.

9Erforderlichkeit Ihrer Angaben

Einen Teil der Angaben brauchen wir, um eine Anfrage zu bearbeiten, einen Zugang einzurichten oder einen Vertrag zu schließen und durchzuführen. Ohne diese Angaben ist das nicht möglich. Freiwillige Angaben kennzeichnen wir im Formular als optional. Eine gesetzliche Pflicht, uns Daten bereitzustellen, besteht in der Regel nicht.

• Registrierung: Firma, Vor- und Nachname, geschäftliche E-Mail Adresse und ein Kennwort sowie Ihre Bestätigung der AGB und der Kenntnisnahme dieser Erklärung. Ohne diese Angaben können wir keinen Zugang einrichten. Gewählte Module, eine Laufzeit, einen Gutschein- oder Empfehlungscode und ob Sie als Kunde oder als Partner starten möchten, übernehmen wir nur, wenn der Link zur Registrierung sie enthält; diese Angaben sind freiwillig.
• Bestellung: Firma, Rechtsform und Anschrift Ihres Unternehmens in Deutschland mit Straße und Hausnummer, Postleitzahl und Ort, Ihr Vor- und Nachname aus Ihrem Zugang, die gewählten Module, die Zahl der Personen, Laufzeit, Abrechnungsweise und Zahlart. Dazu kommen Ihre Bestätigung, dass Sie als Unternehmen bestellen, und Ihre Bestätigung der AGB, des AVV und der Laufzeit. Diese Angaben brauchen wir für Vertrag und Rechnung; ohne sie können wir die Bestellung nicht annehmen. Freiwillig sind die Umsatzsteuer-Identifikationsnummer und ein Gutschein- oder Empfehlungscode. Rechnungen senden wir an die E-Mail Adresse Ihres Zugangs, wenn Sie im Formular keine andere Adresse dafür angeben.
• Lastschrift: Erteilen Sie ein Lastschriftmandat, brauchen wir Kontoinhaber, IBAN und Ihre Zustimmung zum Mandat. Ohne diese Angaben ist kein Einzug per Lastschrift möglich.
• Partnerprogramm: Bewerben Sie sich als Partner, brauchen wir für die Freischaltung und für Gutschriften Ihren rechtlichen Namen, Ihre Anschrift, Ihren Steuerstatus, je nach Steuerstatus Ihre Steuernummer oder Umsatzsteuer-Identifikationsnummer und Ihre Bankverbindung. Bei der Bewerbung fragen wir davon nur Ihre Firma ab und übernehmen sie als rechtlichen Namen; die übrigen Angaben tragen Sie in Ihrem Partnerkonto ein. Solange eine davon fehlt, schalten wir die Partnerschaft nicht frei, Ihr Empfehlungscode gilt noch nicht, und wir erstellen keine Gutschrift und zahlen keine Vergütung aus. Bei Steuerkanzleien hängt die Freischaltung nicht von diesen Angaben ab, und Gutschriften erstellen wir ihnen nicht. Für Gutschriften an regelbesteuerte Partner schreibt das Umsatzsteuergesetz die Steuernummer oder Umsatzsteuer-Identifikationsnummer vor (§ 14 Abs. 4 Satz 1 Nr. 2 UStG).

Alle übrigen Angaben sind freiwillig. Lassen Sie eine davon weg, hat das für Sie keine weiteren Nachteile: Es entfällt nur, wofür die Angabe gedacht ist, etwa der Vorteil aus einem Gutschein- oder Empfehlungscode.

Fehlt eine Pflichtangabe, nehmen wir das Formular nicht an. Im Kontaktformular, in den übrigen Formularen auf unserer Website, in der Partnerbewerbung und im Partnerkonto zeigt das Formular dann direkt beim betreffenden Feld, was fehlt, in der Bestellung bei den Angaben zu Umfang, Zahlung und Rechnungsanschrift. Die Bestellung lässt sich erst abschicken, wenn alle Bestätigungen angehakt sind, die Registrierung erst, wenn alle Pflichtangaben gemacht sind.

10Herkunft der Daten

Nicht alle Daten, die wir als Verantwortlicher verarbeiten, erhalten wir von Ihnen selbst. In den folgenden Fällen stammen sie von anderer Seite.

• Angaben, die Kunden eintragen: Name und E-Mail Adresse der Personen, für die ein Kunde einen Zugang anlegt, erhalten wir vom Kunden. Ebenso erhalten wir die Rechnungs-E-Mail, die er bei der Bestellung angibt, sowie die Rechnungs-E-Mail und den Ansprechpartner für Rechnungen, die er im Kundenkonto einträgt. Für die Abrechnung nach Personen nutzen wir außerdem Angaben, die der Kunde zu Personen in der Plattform führt, etwa Stand, Eintritt und Austritt und, je nach Modul, ob er ihnen Schlüssel ausgegeben oder das Stempeln eingeschaltet hat (Abschnitt „Geschäftliche Leistungen“). Die übrigen Kundendaten, etwa Angaben zu seinen Beschäftigten, verarbeiten wir in seinem Auftrag (Abschnitt „Verarbeitung im Auftrag unserer Kunden“).
• Öffentlich zugängliche Quellen: Angaben, die ein Unternehmen selbst öffentlich gemacht hat, etwa auf seiner Website, nutzen wir, um geeignete Unternehmen und ihre Ansprechpartner anzusprechen. Sofern wir eine Recherche durchführen, rufen wir dafür öffentliche Seiten seiner Website ab. Bei früher angelegten Kontakten stammen Angaben zum Teil aus einem Impressum; diese Kontakte nutzen wir nicht für Werbung. Einzelheiten, auch zu Listen von Unternehmen, die wir als Datei einlesen, stehen im Abschnitt „Ansprechpartner von Interessenten“.

Erhalten wir personenbezogene Daten nicht von Ihnen selbst, stehen die Angaben dazu in dieser Erklärung. Ansprechpartner von Interessenten, deren Angaben aus einer Recherche, einem Impressum oder einer eingelesenen Liste stammen, informieren wir außerdem selbst innerhalb eines Monats per Brief oder im Gespräch. Erhält eine Person einen Zugang, steht in den E-Mails der Plattform an sie, auch in der Einladung, ein Link auf diese Erklärung. Informiert ein Kunde die Personen, deren Angaben er eingetragen hat, auch über unsere eigene Verarbeitung, dient diese Erklärung dafür als weitergehende Information; für Kundendaten, die wir in seinem Auftrag verarbeiten, gelten seine Datenschutzhinweise.

11Ihre Rechte

Sie haben uns gegenüber diese Rechte, soweit die gesetzlichen Voraussetzungen vorliegen:

• Auskunft (Art. 15 DSGVO): Sie können erfahren, ob wir Daten über Sie verarbeiten, und wenn ja, welche, zu welchem Zweck, an welche Empfänger wir sie geben, wie lange wir sie speichern und, wenn wir sie nicht bei Ihnen erhoben haben, woher sie stammen. Auf Wunsch erhalten Sie eine Kopie.
• Berichtigung (Art. 16 DSGVO): Sie können unrichtige Daten berichtigen und unvollständige ergänzen lassen. Gehört Ihr Zugang zu einem Kundenkonto, können Sie dort Ihren Vor- und Nachnamen und die E-Mail Adresse Ihres Zugangs auch selbst ändern, die E-Mail Adresse mit Ihrem Kennwort und einem Link an die neue Adresse. Als Partner ändern Sie im Partnerbereich selbst Ihren rechtlichen Namen und Ihre Anschrift und bis zur ersten Gutschrift auch Ihre Steuerangaben; danach ändert sie unser Support auf Ihre Nachricht.
• Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, etwa wenn wir die Daten nicht mehr brauchen, Sie eine Einwilligung widerrufen haben oder wir sie unrechtmäßig verarbeitet haben. Das gilt nicht, solange wir sie aufbewahren müssen oder für Rechtsansprüche brauchen. Haben Sie unserer Ansprache widersprochen oder sich von unserer Werbung per E-Mail abgemeldet, behalten wir Ihre E-Mail Adresse auch nach einer Löschung in der Sperrliste, damit wir Sie nicht erneut ansprechen; mehr dazu im Abschnitt „Support und E-Mail“.
• Einschränkung (Art. 18 DSGVO): Sie können verlangen, dass wir Daten nur noch speichern: solange wir prüfen, ob von Ihnen bestrittene Daten richtig sind oder Ihr Widerspruch durchgreift; wenn Sie statt der Löschung unrechtmäßig verarbeiteter Daten die Einschränkung wünschen; oder wenn wir die Daten nicht mehr brauchen, Sie sie aber für Rechtsansprüche benötigen.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags gegeben haben, erhalten Sie in einem gängigen, maschinenlesbaren Format; soweit es technisch machbar ist, übermitteln wir sie auf Ihren Wunsch direkt an einen anderen Verantwortlichen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen, genauso einfach, wie Sie sie erteilt haben.
• Widerspruch (Art. 21 DSGVO): Dazu steht alles im Abschnitt „Widerspruchsrecht“.

Die Ausübung dieser Rechte ist für Sie unentgeltlich. Gesetzliche Aufbewahrungspflichten oder die Rechte anderer Personen können einem Recht im Einzelfall entgegenstehen.

Für die Ausübung genügt eine formlose Nachricht an info@zentrana.de. Haben wir begründete Zweifel an Ihrer Identität, können wir weitere Angaben verlangen. Für Kundendaten ist der Kunde zuständig, mehr dazu im Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

12Widerspruchsrecht

Widerspruch gegen Verarbeitungen aus berechtigtem Interesse: Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, können Sie jederzeit einer Verarbeitung widersprechen, die wir auf Art. 6 Abs. 1 Buchst. f DSGVO stützen. Dann verarbeiten wir die Daten dafür nicht mehr. Das gilt nicht, wenn wir zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Ihr Widerspruchsrecht umfasst auch ein Profiling, soweit wir es auf Art. 6 Abs. 1 Buchst. f DSGVO stützen.

Widerspruch gegen Direktwerbung: Verarbeiten wir Ihre Daten für Direktwerbung, etwa um Sie auf Zentrana oder auf weitere Module anzusprechen, können Sie dem jederzeit ohne Begründung widersprechen. Dann verarbeiten wir sie nicht mehr für diesen Zweck. Ihr Widerspruch erfasst auch ein Profiling, soweit es mit dieser Direktwerbung zusammenhängt.

Eine formlose Nachricht an info@zentrana.de genügt.

13Beschwerde bei der Aufsichtsbehörde

Meinen Sie, dass eine Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Das gilt insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. An welche Behörde Sie sich wenden, entscheiden Sie.

Wegen unseres Sitzes in 94259 Kirchberg im Wald ist für uns zuständig: Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach

Sie können sich mit Ihrem Anliegen auch zuerst an uns wenden. Ihr Recht auf Beschwerde bei einer Aufsichtsbehörde bleibt davon unberührt.

14Cookies und Speicher im Browser

Manche Funktionen speichern Angaben auf Ihrem Gerät oder lesen sie dort. Ohne Ihre Einwilligung tun wir das nur, soweit es unbedingt erforderlich ist, damit wir Ihnen einen von Ihnen ausdrücklich gewünschten Dienst bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG). Wo wir Ihre Einwilligung einholen (§ 25 Abs. 1 TDDDG), sagen wir das bei der Funktion.

Cookies sind kleine Textdateien, die Ihr Browser auf Ihrem Gerät speichert und bei späteren Aufrufen an die Website zurücksendet, die sie gesetzt hat. Wir selbst setzen nur diese Cookies:

• Sitzungscookie (Anmeldung): Hält Ihre Anmeldung, nachdem Sie sich angemeldet oder Ihre Registrierung bestätigt haben. Es enthält einen zufälligen Sitzungsschlüssel, über den wir die Anmeldung Ihrem Zugang zuordnen, und gegebenenfalls das Kürzel Ihrer Anzeigesprache; auf unserem Server speichern wir vom Schlüssel nur eine Prüfsumme. Skripte im Browser können es nicht lesen. Bei Anfragen, die von fremden Seiten ausgehen, sendet Ihr Browser es nur mit, wenn Sie von dort eine unserer Seiten öffnen, etwa über einen Link. Wenn Sie sich abmelden, beenden wir die Sitzung auf unserem Server und löschen das Cookie.
• Gerätecookie: Damit wir den Code per E-Mail nur auf neuen Geräten verlangen, erkennt es Ihr Gerät wieder, nachdem Sie sich mit diesem Code angemeldet oder ihn eingerichtet haben.
• Registrierungscookie: Verbindet eine laufende Registrierung mit Ihrem Gerät.
• Sprachcookie: Merkt sich die Sprache, die Sie über den Sprachlink wählen oder bei der Anmeldung aus Ihrem Konto übernehmen (zentrana_lang). Es enthält nur das Kürzel de oder en.
• Filtercookies: Merken sich in der Plattform den Filter einer Liste (zentrana_filter_). Jedes Filtercookie enthält eine interne Kennung Ihrer Person oder Ihres Zugangs und die gewählten Filterwerte, soweit sie in das Cookie passen; den gemerkten Filter setzen wir nur ein, wenn die Kennung zu Ihrem Aufruf passt. Passt sie nicht, etwa nach dem Abmelden, nach einem Wechsel des Kontos oder auf einer Seite unserer Website, löscht ein Skript der Seite das Cookie beim Laden.

Cookies oder andere Einträge auf Ihrem Gerät für Analyse, Reichweitenmessung, Profilbildung oder Werbung setzen wir selbst nicht ein. Einen Einwilligungsbanner haben wir nicht eingerichtet, und Einwilligungen in Cookies speichern wir nicht. Laden Sie ein Video, kann Google eigene Cookies oder andere Einträge auf Ihrem Gerät speichern oder lesen (Abschnitt „Eingebettete Videos und weitere Inhalte“).

Temporäre Cookies haben kein Ablaufdatum; Ihr Browser löscht sie in der Regel, wenn Sie ihn schließen. Das sind das Sitzungscookie ohne „Angemeldet bleiben“ und die Filtercookies. Dauerhafte Cookies bleiben auch nach dem Schließen des Browsers gespeichert, bis ihre Laufzeit endet, Sie sie in Ihrem Browser löschen oder wir sie vorher löschen, etwa das Sitzungscookie beim Abmelden. Das sind das Sitzungscookie mit „Angemeldet bleiben“, das Gerätecookie, das Registrierungscookie und das Sprachcookie. Wie lange jedes Cookie gilt, steht in der folgenden Übersicht.

Sitzungscookie (Anmeldung)

Bis zum Schließen des Browsers, höchstens 12 Stunden nach Ihrem letzten Aufruf; mit „Angemeldet bleiben“ 30 Tage nach Ihrem letzten Aufruf.

Gerätecookie

90 Tage.

Registrierungscookie

Bis 7 Tage nach Ablauf des Bestätigungslinks.

Sprachcookie

10 Tage.

Filtercookies

Bis zum Abmelden oder Schließen des Browsers.

Für das Sitzungscookie und das Gerätecookie gilt die Rechtsgrundlage für Anmeldung und Sicherheit im Abschnitt „Registrierung und Nutzerkonto“, für das Registrierungscookie die Rechtsgrundlage der Registrierung im selben Abschnitt. Rechtsgrundlage für das Sprachcookie ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Website und Plattform in Ihrer Sprache anzuzeigen. Die Sprache Ihres Kontos speichern wir beim Zugang und löschen sie mit dem Zugang. Den Inhalt der Filtercookies verarbeiten wir im Auftrag des Kunden, zu dessen Konto die Liste gehört; es gilt der Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

Cookies können Sie in den Einstellungen Ihres Browsers sperren oder löschen. Ohne das Sitzungscookie können Sie sich nicht anmelden. Fehlt das Gerätecookie und haben Sie die Anmeldung mit Code per E-Mail eingerichtet, aber keine Authenticator App, verlangen wir den Code bei der nächsten Anmeldung wieder. Ohne das Registrierungscookie werden Sie auf dem Gerät, auf dem Sie die Registrierung abgeschickt haben, nach der Bestätigung nicht von selbst angemeldet. Ohne das Sprachcookie richtet sich die Sprache nach der aufgerufenen Adresse, nach Ihrer Anmeldung oder nach der bevorzugten Sprache Ihres Browsers. Ohne Filtercookies setzt die Plattform bei Listen, deren Filter sie in einem Cookie merkt, den zuletzt gewählten Filter nicht wieder ein.

Außerdem legt Ihr Browser Einträge im lokalen Speicher und im Sitzungsspeicher an:

• Auf der Website: das gewählte Farbschema sowie Fahrten und Eingaben im Fahrtkostenrechner.
• In der Plattform: gewählte Ansichten und Filter, eingeklappte Bereiche, die zuletzt gewählten Ziele der Befehlssuche, die sie Ihnen dort wieder anbietet, gesicherte Formulareingaben beim Ablauf der Sitzung, die Auswahl in der Bestellung, Hinweise, die nur einmal erscheinen, und Signale an andere geöffnete Tabs beim Abmelden oder beim Wechsel des Kontos.

Einträge im Sitzungsspeicher löscht Ihr Browser, wenn Sie den Tab schließen. Einträge im lokalen Speicher bleiben, bis Sie sie in Ihrem Browser löschen oder die Funktion sie entfernt. Beide sendet Ihr Browser nicht von selbst an uns. Gemerkte Filter setzt die Plattform beim nächsten Aufruf der Liste wieder ein; die Abfrage der Liste verarbeiten wir dann wie Ihre übrigen Eingaben im Auftrag des Kunden.

Kamera: Zum Lesen von QR-Codes nutzt die Plattform die Kamera Ihres Geräts, wenn Sie das Lesen starten. Die Bilder werden auf Ihrem Gerät ausgewertet. Grundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Aus dem Kamerabild sendet die Plattform nur den gelesenen Code an uns; ihn verarbeiten wir wie eine Eingabe im Auftrag des Kunden.

Standort: Hat der Kunde die Standortprüfung beim Stempeln eingerichtet, zeigt Ihnen die Plattform vorher einen Hinweis des Kunden. Danach fragt Ihr Browser um Erlaubnis. Damit erlauben Sie den Zugriff auf den Standort (§ 25 Abs. 1 TDDDG).

Lehnen Sie ab, stempeln Sie ohne Standort. Die Erlaubnis können Sie in Ihrem Browser widerrufen. Das Ergebnis verarbeiten wir im Auftrag des Kunden; auf welcher Grundlage der Kunde es verarbeitet, steht in seinem Hinweis.

15Geschäftliche Leistungen

Wir verarbeiten Daten unserer Kunden und ihrer Ansprechpartner, um Angebote zu erstellen, Verträge zu schließen und durchzuführen, unsere Leistungen abzurechnen und Kunden zu betreuen. Datenschutz und Auftragsverarbeitung im Vertrag regelt § 11 AGB.

• Verarbeitete Daten: Angaben zum Unternehmen, Name, Funktion und dienstliche Kontaktdaten der Ansprechpartner, Bestellung, gebuchte Module, Zusatzleistungen aus unseren Angeboten, etwa eine Einrichtung, Laufzeit und Preise, Rechnungs- und Zahlungsdaten, Nachweise zur Annahme von AGB und AVV sowie unsere Korrespondenz.
• Betroffene Personen: Kunden, Unternehmen, denen wir ein Angebot machen, und ihre Ansprechpartner, Personen, die wir für die Abrechnung zählen, auch ohne Zugang, und Nutzer, deren Anmeldungen und Vorgänge in die Kennzahlen zur Nutzung eingehen.
• Herkunft: von Ihnen selbst oder von dem Unternehmen, für das Sie handeln.
• Zweck: Anbahnung, Abschluss und Durchführung des Vertrags, Abrechnung, Mahnung, Betreuung, die Führung unserer Vertriebsakte mit Aktivitäten und Terminen, der Schutz vor Missbrauch und die Erfüllung gesetzlicher Pflichten.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist dann, den Vertrag mit Ihrem Unternehmen anzubahnen, durchzuführen und abzurechnen. Für die Vertriebsakte und den Schutz vor Missbrauch gilt Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, unsere Kundenbeziehungen nachvollziehbar zu führen und Missbrauch abzuwehren. Für Aufbewahrungspflichten gilt Art. 6 Abs. 1 Buchst. c DSGVO.

Speicherdauer:

Rechnungen, Belege, Zählstände der Abrechnung

8 Jahre ab dem Ende des Kalenderjahres, in dem sie entstanden sind, frühestens aber nach dem Ende des Vertrags.

Zahlungen und Bestellungen

8 Jahre ab dem Ende des Kalenderjahres, in dem sie entstanden sind, frühestens aber nach dem Ende des Vertrags.

Vertrag, Module, Preise und Lastschriftmandat

6 Jahre ab dem Ende des Kalenderjahres, in dem der Vertrag endet.

Vertriebsakte

6 Jahre ab dem Ende des Kalenderjahres, in dem der Vertrag endet.

Nachweise der Annahme von AGB und AVV

6 Jahre ab dem Ende des Kalenderjahres, in dem der Vertrag endet.

Mahnungen und E-Mails zur Abrechnung

6 Jahre ab dem Ende des Kalenderjahres, in dem sie entstanden sind, bei Kunden frühestens aber nach dem Ende des Vertrags.

Löschnachweise und dokumentierte Weisungen

6 Jahre ab dem Ende des Kalenderjahres, in dem sie entstanden sind, frühestens aber nach dem Ende des Vertrags.

Angebote, aus denen kein Vertrag wird

Mit der Vertriebsakte.

Bestellungen, die nicht abgeschlossen werden

30 Tage nach ihrem Ablauf.

Ist eine steuerliche Festsetzungsfrist noch offen oder läuft eine Prüfung oder ein Rechtsstreit, bewahren wir die betroffenen Unterlagen bis zu deren Ende auf (§ 147 Abs. 3 Satz 5 AO).

Löschnachweise und dokumentierte Weisungen dienen dem Nachweis, dass wir den AVV eingehalten haben (Art. 28 Abs. 3 Buchst. h DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO, soweit es Handelsbriefe sind (§ 257 Abs. 1 Nr. 2 und 3 HGB, § 147 Abs. 1 Nr. 2 und 3 AO), sonst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist dieser Nachweis.

Nach der Löschung Ihres Kundenkontos entfernen wir daraus Ansprechpartner, Rechnungs-E-Mail, Telefonnummer und Logo Ihres Unternehmens. Name, Anschrift, Steuernummer, USt-IdNr. und Kundennummer bewahren wir im Kundenkonto auf, solange wir Rechnungen und Belege dazu aufbewahren müssen (§ 147 Abs. 3 AO, § 14b UStG), und anonymisieren sie danach.

Ist Ihr Unternehmen zugleich unser Partner, anonymisieren wir diese Angaben erst mit dem Partnerkonto; ist das Partnerkonto gesperrt, bleiben sie, bis wir die Prüfung des Partnerkontos abgeschlossen haben. Sind noch Rechnungen offen, löschen wir das Kundenkonto erst, wenn sie beglichen oder storniert sind, und mahnen bis dahin weiter (Art. 17 Abs. 3 Buchst. e DSGVO). Was in unserer Vertriebsakte steht, löschen wir nach der dort genannten Frist.

Weitere Hinweise zu Verfahren und Diensten:

Rechtstexte: Nehmen Sie AGB und AVV an oder widersprechen Sie einer neuen Fassung, speichern wir Ihren Namen und Ihre E-Mail Adresse, Firma und Kundennummer, Ihre Erklärung, Zeitpunkt und Fassung und einen Prüfwert des Dokuments, bei einer Erklärung in der Plattform außerdem einen Prüfwert Ihrer IP-Adresse. Den Prüfwert der IP-Adresse bilden wir mit einem geheimen Schlüssel. Ohne diesen Schlüssel lässt sich die Adresse daraus nicht ermitteln. Schicken Sie uns den AVV auf Papier oder als Scan, bewahren wir das Dokument mit Namen und Unterschriften als Nachweis auf.

Abrechnung nach Personen: Am Monatsersten zählen wir je Kunde die Personen mit Zugang und, je nach Modul, die Personen, denen der Kunde Schlüssel ausgegeben oder für die er das Stempeln eingeschaltet hat, auch wenn sie keinen Zugang haben. Dafür nutzen wir Angaben aus dem Kundenkonto, etwa Stand, Eintritt und Austritt der Person, und halten mit dem Zählstand fest, welche Personen wir gezählt haben.

Dafür sind wir selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist eine richtige und nachprüfbare Abrechnung. Den Zählstand bewahren wir als Beleg der Abrechnung auf (Art. 6 Abs. 1 Buchst. c DSGVO).

Nutzung der Plattform: Wir bilden Kennzahlen über Umfang und Art der Nutzung (§ 8 AGB, § 3 AVV). Dafür zählen wir je Kunde und Leistung Personen mit Zugang, Anmeldungen, Vorgänge und Zeitpunkte der Nutzung und fassen sie zusammen. Inhalte werten wir dafür nicht aus, insbesondere nicht die Art einer Abwesenheit oder andere Daten besonderer Kategorien (Art. 9 DSGVO).

Kennzahlen bilden wir nur für Kunden mit mindestens fünf Personen mit Zugang, gezählt als Bestand nach denselben Regeln wie für die Abrechnung und nicht nach der Nutzung, und nur so, dass sie weder einen Nutzer noch eine andere betroffene Person erkennen lassen. Wir zählen dafür Zugänge, Anmeldungen und Vorgänge und speichern nur die Ergebnisse je Kunde; einzelne Personen bewerten wir dafür nicht. Was wir daraus ableiten, etwa dass ein Kunde die Plattform lange nicht genutzt hat, beziehen wir nur auf den Kunden.

Für Kunden unter dieser Schwelle bilden wir keine Kennzahlen je Kunde und leiten aus Anmelde- und Nutzungsdaten nichts ab; sie gelten bei uns als nicht bewertet. In Summen über alle Kunden gehen von ihnen nur die Zahl der Personen mit Zugang und Angaben zum Vertrag ein. Gespeichert werden nur Zahlen je Kunde und Tag oder Monat; Zeitpunkte der Anmeldung einzelner Personen speichern wir für diese Kennzahlen nicht.

Auch während eines Testzugangs (in der Plattform „Testphase“) verarbeiten wir die Daten dieses Abschnitts, soweit sie anfallen, insbesondere Vertrag und gebuchte Module sowie die Kennzahlen zur Nutzung; es gelten dieselben Rechtsgrundlagen. Kennzahlen und Angaben zum Vertrag fassen wir außerdem in Summen über alle Kunden zusammen, etwa zur Zahl der Personen mit Zugang und der Kunden je Modul, zur Zahl der in den letzten 7 und 30 Tagen aktiven Nutzer nur aus Kunden mit mindestens fünf Personen mit Zugang, und werten diese Summen in unserer Statistik aus. Für diese Summen ist Rechtsgrundlage Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, die Nutzung unseres Angebots im Ganzen zu überblicken.

Mit den Kennzahlen betreuen wir den Kunden und bieten ihm passende weitere Module an. Dafür sind wir selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, unsere Kunden zu betreuen und ihnen eigene Leistungen anzubieten. Dem können Sie jederzeit widersprechen, mehr dazu im Abschnitt „Widerspruchsrecht“. Tagesstände und die Zahl der Anmeldungen je Tag löschen wir nach 400 Tagen, Monatsstände mit den Daten des Kunden.

Referenz: Nennen wir Ihr Unternehmen als Kunden (§ 11 AGB), verwenden wir seinen Namen, sein Logo und einen Link auf seine Website. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, mit unseren Kunden zu werben. Der Nennung können Sie jederzeit widersprechen. Endet der Vertrag oder widersprechen Sie, entfernen wir die Nennung in angemessener Frist; bereits verteilte Unterlagen rufen wir nicht zurück.

Sperre: Wir verarbeiten diese Daten auch, um unsere Rechte aus dem Vertrag zu wahren. Wann wir Zugänge sperren, was wir dazu festhalten, auf welcher Rechtsgrundlage und wie lange, steht im Abschnitt „Zahlungsfähigkeit und Sperre wegen Zahlungsverzugs“.

16Zahlungsverfahren

Wenn Sie eine Bestellung oder eine Rechnung von uns bezahlen, verarbeiten wir Daten zu Ihrer Zahlung.

• Verarbeitete Daten: Firma und E-Mail Adresse, die gewählte Zahlart, Betrag und Nummer der Bestellung, bei Lastschrift das Mandat mit Kontoinhaber, IBAN, BIC, Mandatsreferenz, Ort und Datum der Unterschrift, einem Prüfwert Ihrer IP-Adresse und Ihrer Browserkennung sowie Zahlungseingänge und Rücklastschriften zu unseren Rechnungen mit Betrag und Datum, bei Rücklastschriften auch mit dem Grund.
• Betroffene Personen: Kunden und die Personen, die für sie bestellen und bezahlen, auch wenn eine Bestellung nicht abgeschlossen wird.
• Zweck: Die Vergütung für unsere Leistungen erhalten und jede Zahlung der Bestellung oder Rechnung zuordnen, zu der sie gehört.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist dann, den Vertrag mit Ihrem Unternehmen anzubahnen, durchzuführen und abzurechnen. Für Aufbewahrungspflichten gilt Art. 6 Abs. 1 Buchst. c DSGVO.
• Empfänger: unser Hoster, für Rechnungen und Mahnungen per E-Mail unser Dienstleister für den E-Mail Versand und, wenn Sie per Lastschrift oder sonst über Mollie bezahlen, Mollie B.V.
• Speicherdauer: Es gelten die Fristen im Abschnitt „Geschäftliche Leistungen“.

Weitere Hinweise zu Verfahren und Diensten:

Zahlung: Zahlen Sie in der Bestellung auf Rechnung, was nur mit jährlicher Abrechnung geht, überweisen Sie den Betrag selbst an uns. Rechnungen erstellen wir selbst und senden sie per E-Mail.

Lastschrift: Für die Lastschrift speichern wir das Mandat mit Kontoinhaber, IBAN, Mandatsreferenz und Datum der Unterschrift. Bei einem Mandat auf Papier kommen BIC und Ort der Unterschrift hinzu, wenn sie darauf stehen, bei einem online erteilten Mandat ein Prüfwert Ihrer IP-Adresse und Ihre Browserkennung. Die Lastschrift zieht Mollie B.V. ein; Ihr Mandat nennt Mollie B.V. als Zahlungsempfänger. Dafür erhält Mollie B.V. von uns Kontoinhaber, IBAN, Mandatsreferenz und das Datum der Unterschrift, zu jedem Einzug außerdem Betrag, Nummer und interne Kennung der Rechnung. Von Mollie B.V. erhalten wir Kennung und Stand des Mandats und jedes Einzugs. Geht eine Lastschrift zurück, stellen wir die Zahlweise Ihres Vertrags auf Überweisung um (§ 7 Abs. 5 AGB).

Zahlungsabwicklung beim Kauf: Bezahlen Sie eine Bestellung über Mollie, wickelt Mollie B.V., Niederlande (Mollie), die Zahlung ab. Dafür übermitteln wir Mollie Ihre Firma, die E-Mail Adresse für Rechnungen oder die Ihres Zugangs, Betrag und Währung sowie Nummer und interne Kennung der Bestellung. Von Mollie erhalten wir eine Kennung des Kunden, eine Kennung der Zahlung und ihren Stand. Was Sie dabei direkt bei Mollie eingeben, geht von Ihrem Browser an Mollie, nicht an uns. Mollie verarbeitet die Daten zum Kauf und zur Lastschrift nach eigener Angabe als eigener Verantwortlicher. Welche Daten Mollie selbst erhebt, wofür und wie lange Mollie sie speichert, steht in der Datenschutzerklärung von Mollie unter www.mollie.com/legal/privacy.

Drittland: Nach der Datenschutzerklärung von Mollie in der Fassung vom 02.11.2026 können Dritte, die Mollie einsetzt, Daten in manchen Fällen auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Geschieht das in einem Land ohne Angemessenheitsbeschluss der Europäischen Kommission, setzt Mollie nach eigener Angabe einen geeigneten Mechanismus für die Übermittlung ein, etwa Standarddatenschutzklauseln der Europäischen Kommission.

17Zahlungsfähigkeit und Sperre wegen Zahlungsverzugs

Bestellen Sie über unsere Website auf Rechnung, was nur mit jährlicher Abrechnung möglich ist, schalten wir die gebuchten Module mit der Bestellung frei, bevor Sie bezahlt haben, außer wir machen die Freischaltung nach § 4 Abs. 3 AGB von der ersten Zahlung oder einer Ermächtigung zum Einzug abhängig. Ihre Zahlungsfähigkeit prüfen wir dafür nicht, und Auskunfteien fragen wir nicht an. Das Zahlungsziel ist für alle Kunden gleich (§ 7 Abs. 2 AGB), bei Lastschrift gilt der angekündigte Tag des Einzugs.

Ob wir die Zugänge Ihres Unternehmens wegen Zahlungsverzugs sperren, entscheidet ein Mitarbeiter im Einzelfall. Er stützt sich dabei auf unsere eigenen Unterlagen aus der Geschäftsbeziehung, etwa Rechnungen, bezahlte und offene Beträge und Mahnungen.

Bleibt eine Rechnung offen, kündigen wir die Sperre vorher in Textform an: Mit der letzten Mahnung nennen wir Ihnen den offenen Betrag und weisen darauf hin, dass wir die Zugänge Ihres Unternehmens sperren können. Wegen Zahlungsverzugs sperrt ein Mitarbeiter sie erst, wenn diese Mahnung versandt ist, Ihr Unternehmen mit einem nicht geringfügigen Betrag in Verzug ist und eine Nachfrist von mindestens 14 Kalendertagen nach dem Versand der Mahnung abgelaufen ist (§ 7 Abs. 3 AGB). Die Kundendaten bleiben erhalten, Export und Vertragseinsicht bleiben möglich. Den Grund für die Sperre hält der Mitarbeiter fest. Wer die Sperre aufhebt, halten wir ebenfalls fest. Über die Sperre benachrichtigen wir in der Plattform die Personen Ihres Unternehmens, die den Vertrag verwalten.

Wird die erste Zahlung nicht eingelöst oder zurückgebucht, können wir die Zugänge nach § 4 Abs. 3 AGB auch ohne Verzug, Ankündigung und Nachfrist sperren. Sperren wir Zugänge wegen rechtswidriger Inhalte oder aus wichtigem Grund (§ 9 AGB), nennen wir dem Kunden den Grund spätestens mit Beginn der Sperre in Textform (Art. 17 der Verordnung (EU) 2022/2065) und halten ihn mit der Sperre fest.

• Verarbeitete Daten: Kundennummer, Nummer, Betrag, bezahlter und offener Betrag und Fälligkeit der Rechnung, der Versand der Rechnung und ihrer Mahnungen und daraus der Beginn des Verzugs, die letzte Mahnung mit Datum des Versands und Ende der Nachfrist, der Stand des Kundenkontos, die Personen Ihres Unternehmens, die den Vertrag verwalten und die wir benachrichtigen, sowie der festgehaltene Grund und der Mitarbeiter, der gesperrt oder die Sperre aufgehoben hat.
• Betroffene Personen: Kunden, soweit sie selbst Vertragspartei sind, die Ansprechpartner unserer Kunden, an die Rechnungen und Mahnungen gehen, die Personen beim Kunden, die den Vertrag verwalten und über die Sperre benachrichtigt werden, und unsere Mitarbeiter, die eine Sperre setzen oder aufheben. Interessenten sind nicht betroffen, denn wegen Zahlungsverzugs sperren wir nur ein aktives Kundenkonto, und Ihre Zahlungsfähigkeit prüfen wir vor einer Bestellung nicht.
• Zweck: entscheiden, ob wir die Zugänge Ihres Unternehmens sperren, und die Sperre wieder aufheben.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist dann, die vereinbarte Vergütung zu erhalten, unsere Leistungen nicht ohne Bezahlung weiter zu erbringen, bei einer Sperre wegen rechtswidriger Inhalte oder aus wichtigem Grund die Plattform und Dritte zu schützen und Ihr Unternehmen über die Sperre zu informieren. Welcher Mitarbeiter gesperrt oder die Sperre aufgehoben hat und welchen Grund er festgehalten hat, speichern wir nach Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, Sperre und Aufhebung nachweisen zu können.
• Speicherdauer: Für Rechnungen und Mahnungen gelten die Fristen im Abschnitt „Geschäftliche Leistungen“. Den Vermerk, welcher Mitarbeiter gesperrt oder die Sperre aufgehoben hat und welchen Grund er festgehalten hat, löschen wir bisher nicht; eine Frist dafür haben wir nicht festgelegt.

18Automatisierte Entscheidungen und KI

Außer in dem Fall, den der letzte Absatz dieses Abschnitts beschreibt, treffen wir Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen, nicht ausschließlich automatisiert (Art. 22 DSGVO).

Ein Sprachmodell setzen wir für eigene Zwecke nur in der Recherche über Interessenten ein, sofern wir sie durchführen. Es wertet öffentliche Angaben aus, über eine Ansprache entscheidet ein Mitarbeiter. Prüfhinweise im Partnerprogramm halten eine Vergütung nur vorläufig zurück, ob sie entfällt, entscheidet ein Mitarbeiter.

Die automatische Prüfung von Empfehlungen im Partnerprogramm ist ein Profiling (Art. 4 Nr. 4 DSGVO), denn sie bewertet, ob eine Empfehlung missbräuchlich sein könnte. Ein Prüfhinweis entsteht nach festen Regeln: wenn IBAN, USt-IdNr., Anschrift oder Domain des Partners mit Angaben des geworbenen Unternehmens übereinstimmen, wenn das geworbene Kundenkonto das eigene Kundenkonto des Partners ist oder wenn das geworbene Unternehmen zur Zeit der Empfehlung als früherer Kunde bei uns geführt wird oder in den 12 Monaten davor Kunde war.

Gilt schon das vorläufige Zurückhalten einer Vergütung als automatisierte Entscheidung, ist es für die Partnervereinbarung erforderlich (Art. 22 Abs. 2 Buchst. a DSGVO). Sie können dann verlangen, dass ein Mitarbeiter den Hinweis prüft, Ihren Standpunkt darlegen und die Entscheidung anfechten.

Gehört ein Partnerkonto zu einem Kundenkonto und wird dieses gelöscht, endet eine laufende Partnerschaft automatisch, und eine offene Bewerbung wird automatisch abgelehnt. Anlass ist allein die Löschung des Kundenkontos, eine Person bewerten wir dabei nicht. Ein gesperrtes Partnerkonto bleibt davon unberührt, bis wir die Prüfung abgeschlossen haben. Beides ist für die Partnervereinbarung erforderlich (Art. 22 Abs. 2 Buchst. a DSGVO). Sie können verlangen, dass ein Mitarbeiter die Entscheidung prüft, Ihren Standpunkt darlegen und die Entscheidung anfechten.

19Aufruf der Website

Rufen Sie eine Seite der Website oder der Plattform auf, verarbeitet unser Webserver technische Verbindungsdaten, insbesondere Ihre IP-Adresse, den Zeitpunkt und die aufgerufene Adresse.

• Verarbeitete Daten: Verbindungsdaten, also Ihre IP-Adresse, der Zeitpunkt und die aufgerufene Adresse, dazu Angaben, die Ihr Browser mit dem Aufruf sendet, etwa die Browserkennung, die bevorzugte Sprache und, sofern Ihr Browser sie mitsendet, die Seite, von der Sie kamen. Was Sie in Formulare eingeben, beschreiben wir bei der jeweiligen Verarbeitung; was Sie in der Plattform für einen Kunden eingeben, verarbeiten wir in dessen Auftrag (Abschnitt „Verarbeitung im Auftrag unserer Kunden“).
• Betroffene Personen: alle, die Seiten der Website oder der Plattform aufrufen, etwa Besucher der Website, Interessenten in der Bestellung, Nutzer der Plattform wie Mitarbeiter unserer Kunden, Partner, Personen, die einen Link aus einer E-Mail öffnen, zum Beispiel zu einem Angebot eines Kunden, und Personen, die den QR-Code auf dem Anhänger eines gefundenen Schlüssels aufrufen.
• Zweck: Website und Plattform ausliefern, den Betrieb stabil halten, Fehler finden und Angriffe abwehren.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und störungsfreier Betrieb.
• Empfänger: unser Hoster.

Weitere Hinweise zu Verfahren und Diensten:

Bereitstellung auf den Servern unseres Hosters: Website und Plattform laufen auf Servern unseres Hosters, der dafür Server, Speicher und Netzanbindung bereitstellt; Angaben zum Hoster stehen am Ende dieses Abschnitts. Daten, für die wir verantwortlich sind, verarbeitet er in unserem Auftrag (Art. 28 DSGVO). Es gilt die Rechtsgrundlage der jeweiligen Verarbeitung, für den Betrieb selbst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist ein sicherer und störungsfreier Betrieb. Für Auftragsdaten gilt der Abschnitt „Verarbeitung im Auftrag unserer Kunden“.

Protokolle des Webservers: Der Webserver protokolliert Aufrufe mit Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt und aufgerufener Adresse. Wir nutzen diese Protokolle nur, um Fehler zu finden und Angriffe abzuwehren, nicht für Werbung und nicht, um Nutzerprofile zu bilden. Diese Protokolle bewahren wir nur so lange auf, wie Fehlersuche und Abwehr von Angriffen es verlangen. Unser Hoster bewahrt sie höchstens 35 Tage auf.

Fehlerprotokoll: Tritt auf der Website oder in der Plattform ein Fehler auf, schreiben wir eine Fehlermeldung in ein eigenes Fehlerprotokoll auf unserem Server. Ein Eintrag enthält den Zeitpunkt, die Meldung und die Stelle im Programm; die Meldung kann Angaben aus dem Vorgang enthalten, bei dem der Fehler auftrat, etwa eine E-Mail-Adresse, einen eingegebenen Wert oder die Kennung eines Kunden. Die Einträge löschen wir nach 30 Tagen, spätestens nach 32 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist ein sicherer und fehlerfreier Betrieb.

Schutz vor Missbrauch und Überlastung: Um Missbrauch und Überlastung abzuwehren, zählen wir, wie oft bestimmte Funktionen aufgerufen werden, etwa Formulare, die Registrierung oder das Zurücksetzen des Kennworts, und wie oft Adressen aufgerufen werden, die es bei uns nicht gibt. Dafür speichern wir nicht Ihre IP-Adresse, sondern nur einen Prüfwert der Adresse; bei IPv6 bilden wir ihn aus den ersten 64 Bit und nur dort zusätzlich einen zweiten Prüfwert für alle Adressen mit denselben ersten 48 Bit, jeweils zusammen mit dem Zählerstand für eine Stunde. Zählerstände, die älter als eine Stunde sind, löschen wir laufend. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist die Abwehr von Missbrauch und Überlastung.

Nicht gefundene Seiten: Rufen Sie eine Adresse auf, die es bei uns nicht gibt, zählen wir diesen Aufruf. Wir speichern dafür nur die aufgerufene Adresse ohne Suchanfrage, den Tag und die Zahl der Aufrufe, nicht Ihre IP-Adresse. Adressen, die persönliche Angaben enthalten könnten, zählen wir nicht: Adressen aus mehr als fünf durch Schrägstriche getrennten Teilen, mit einem Teil über 80 Zeichen, mit sieben oder mehr Ziffern in Folge oder mit anderen Zeichen als den Buchstaben a bis z, Ziffern, Punkt, Bindestrich und Unterstrich, etwa dem @ einer E-Mail Adresse. So führen wir eine Statistik über nicht gefundene Seiten und erhalten Vorschläge für Weiterleitungen. Diese Zähler löschen wir nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, nicht gefundene Seiten zu erkennen und Weiterleitungen einzurichten.

Versand von E-Mails: E-Mails versenden wir über einen Mailserver (SMTP); die Verbindung zu diesem Mailserver ist stets verschlüsselt (TLS). Dabei verarbeiten wir Absender- und Empfängeradressen, Betreff, Inhalt und Anhänge. E-Mails verschlüsseln wir nicht so, dass nur Absender und Empfänger sie lesen können; die Mailserver, über die eine E-Mail läuft, können ihren Inhalt deshalb lesen. Ob eine E-Mail auf dem weiteren Weg verschlüsselt übertragen wird, hängt von den beteiligten Mailservern ab. Rechtsgrundlage, Empfänger und Fristen stehen im Abschnitt „Support und E-Mail“.

Hoster

OVH GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln

Leistung

Hosting: Server, Speicher und Netzanbindung von Website und Plattform

Ort der Verarbeitung

Rechenzentrum in Deutschland

Weitere Auftragsverarbeiter des Hosters

https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf

Nach der Liste der weiteren Auftragsverarbeiter des Hosters sind Fernzugriffe von Gesellschaften seiner Unternehmensgruppe aus Kanada und dem Vereinigten Königreich möglich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission, für Kanada einer für Empfänger, die dem kanadischen Bundesgesetz über den Datenschutz in der Privatwirtschaft (PIPEDA) unterliegen (Art. 45 DSGVO).

20Zählung der Seitenaufrufe

Wir zählen auf unserem eigenen Server, wie oft die Seiten unserer Website aufgerufen werden, ohne Software und ohne Skripte von Dritten. Dafür werten wir die aufgerufene Adresse, die Seite, von der Sie kamen, und die Browserkennung aus, die Ihr Browser ohnehin sendet. Analyse- oder Statistikdienste von Dritten setzen wir nicht ein. Wir zählen nur Aufrufe der öffentlichen Seiten unserer Website und keine Aufrufe von Suchmaschinen und anderen Robotern, die wir an ihrer Browserkennung erkennen.

Gespeichert werden nur Tagessummen: je Seite, je Website, von der Besucher kamen, nur mit ihrem Namen, und je Gerätetyp. IP-Adresse, Browserkennung und Uhrzeit speichern wir dafür nicht. Auf Ihrem Gerät speichern oder lesen wir für die Zählung nichts.

• Zweck: erkennen, welche Inhalte gelesen werden und wie Besucher zu uns finden.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, die Website am Bedarf auszurichten.
• Speicherdauer: Die Tagessummen löschen wir 400 Tage nach dem gezählten Tag.

Sendet Ihr Browser das Signal „Global Privacy Control“ oder „Do Not Track“, zählen wir den Aufruf nicht. Das ist der einfachste Weg, der Zählung zu widersprechen. Weil die Summen keinen Bezug zu Ihnen haben, können wir einen einzelnen Aufruf nicht nachträglich herausrechnen.

21Verarbeitung im Auftrag unserer Kunden

Kunden verarbeiten in der Plattform Daten ihrer Beschäftigten, Fahrer, Fahrzeuge, Kunden und weiterer Personen. Für diese Kundendaten (§ 1 AGB) ist der Kunde der Verantwortliche. Die personenbezogenen Daten darunter (Auftragsdaten, § 1 AVV) verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO, nur auf seine Weisung, soweit uns nicht ein Gesetz zu einer Verarbeitung verpflichtet, und nach dem Vertrag zur Auftragsverarbeitung (§ 11 AGB).

• Verarbeitete Daten: je nach gebuchten Modulen und Einstellungen die Daten, die der Kunde und seine Nutzer in die Plattform eingeben, über Importe einspielen oder bei der Nutzung erzeugen, etwa Stammdaten der Beschäftigten, Rollen und Rechte der Nutzer außer den Zugängen des Kundenkontos, das Änderungsprotokoll, Arbeitszeit- und Abwesenheitsdaten mit Angaben zur Vorbereitung der Lohnabrechnung, Ergebnisse der Standortprüfung in der Zeiterfassung, sofern der Kunde sie einschaltet, Fahrzeug-, Fahrt- und Fahrerdaten, Schlüsseldaten wie Ausgaben, Rückgaben, Quittungen, Schließberechtigungen, Verluste und Inventuren, Unterschriften, Inhalte der Boards, der Projekte und des Kalenders, Finanz- und Kostendaten sowie Freitexte und Dateien. Darunter können Gesundheitsdaten sein, etwa Abwesenheiten der Kategorie „Krank“ mit dem Stand ihres Nachweises, Einträge der Lohnart Krankheit und Abwesenheitsarten, die der Kunde selbst anlegt, etwa für die Erkrankung eines Kindes, in Freitexten und Dateien auch andere Daten besonderer Kategorien (Art. 9 Abs. 1 DSGVO). Die Arten im Einzelnen nennt § 4 AVV.

Welche Kundendaten verarbeitet werden, wozu, auf welcher Rechtsgrundlage und wie lange, entscheidet der Kunde. Möchten Sie Ihre Rechte zu diesen Daten ausüben, wenden Sie sich bitte an den Kunden. Erreicht Ihre Anfrage uns, leiten wir sie an ihn weiter, soweit wir ihn erkennen können.

Auf Auftragsdaten greifen wir nur zu, soweit es für den Betrieb oder einen Auftrag des Kunden nötig ist, etwa für Support, die Behebung einer Störung oder die Einrichtung. Für eigene Zwecke nutzen wir aus der Plattform nur, was die Abschnitte „Registrierung und Nutzerkonto“, „Geschäftliche Leistungen“ und „Support und E-Mail“ beschreiben: Zugangs-, Anmelde- und Sitzungsdaten, die Zählung der Personen für die Abrechnung, die Kennzahlen zur Nutzung und die Sperrliste für den Versand (§ 3 AVV).

Jeden Supportzugriff über die Plattform halten wir fest und bewahren den Nachweis 3 Jahre nach dem Ende des Kalenderjahres auf, in dem der Zugriff endete. Benachrichtigungen über Datenpannen bewahren wir 3 Jahre nach dem Ende des Kalenderjahres auf, in dem der Vorfall abgeschlossen wurde. Rechtsgrundlage für diese Nachweise ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist der Nachweis, dass wir unsere Pflichten aus dem Vertrag zur Auftragsverarbeitung erfüllt haben.

Nach dem Vertragsende stellen wir die Kundendaten 30 Kalendertage zum Abruf bereit und löschen sie danach, Einzelheiten regelt § 6 AGB. Die Unterauftragsverarbeiter für Auftragsdaten nennt der Vertrag zur Auftragsverarbeitung. Die technischen und organisatorischen Maßnahmen zum Schutz der Auftragsdaten beschreibt seine Anlage 1.

22Registrierung und Nutzerkonto

• Verarbeitete Daten: Bestandsdaten (Firma, Vor- und Nachname, gewählte Module und Laufzeit, Gutschein- oder Empfehlungscode, Sprache, bei Vertragsverwaltern und Nutzern, die für den Kunden Zugänge und Rechte verwalten, auch Rollen und Status ihrer Zugänge); Kontaktdaten (E-Mail Adresse); Zugangsdaten (Kennwort als Hashwert, zweiter Faktor, vertrauenswürdige Geräte); Inhaltsdaten (Eingaben im Registrierungsformular, Wortlaut und Fassung Ihrer Bestätigung); Meta-, Kommunikations- und Verfahrensdaten (IP-Adresse, Browserkennung, Prüfwert des Registrierungscookies, Zeitpunkte von Bestätigung, Anmeldung und Sitzung, Zahl fehlgeschlagener Anmeldungen).
• Betroffene Personen: Personen, die sich für ein Unternehmen registrieren; Vertragsverwalter und weitere Nutzer mit Zugang zur Plattform, auch Ansprechpersonen von Partnern; Personen, unter deren E-Mail Adresse eine Anmeldung oder Registrierung versucht wird.

Registrierung: Ein Kunde registriert sich auf der Website. Dabei verarbeiten wir Firma, Vor- und Nachname, geschäftliche E-Mail Adresse, das Kennwort als Hashwert, gewählte Module und Laufzeit, einen Gutschein- oder Empfehlungscode sowie Wortlaut, Fassung und Zeitpunkt Ihrer Bestätigung der AGB und der Kenntnisnahme dieser Erklärung. Zur Bestätigung senden wir einen Link per E-Mail, der 48 Stunden gilt. Beim Bestätigen speichern wir Zeitpunkt, IP-Adresse und Browserkennung als Nachweis und legen danach Ihren Zugang an.

• Zweck: Zugang einrichten, die Registrierung nachweisen und Missbrauch verhindern.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei werden, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, den Vertrag mit Ihrem Unternehmen vorzubereiten und die Registrierung nachweisen zu können.
• Speicherdauer: Ihre Angaben aus dem Registrierungsformular speichern wir mit dem Bestätigungslink, beim Bestätigen dort auch Zeitpunkt, IP-Adresse und Browserkennung. Eine Frist für ihre Löschung haben wir nicht festgelegt. Sie bleiben gespeichert, auch wenn Sie die Registrierung nicht bestätigen, wenn wir die Kundendaten nach § 6 AGB löschen oder wenn Ihr Zugang unkenntlich gemacht wird. Name, Firma und Ihre Bestätigung übernehmen wir beim Bestätigen in Ihren Zugang; er bleibt bestehen, wenn wir die Kundendaten löschen (unten unter „Löschung nach Vertragsende“). Wortlaut, Fassung und Zeitpunkt Ihrer Bestätigung bleiben als Nachweis bei Ihrem Zugang; eine Frist für ihre Löschung haben wir nicht festgelegt. Wird die Person, zu der Ihr Zugang in einem Kundenkonto gehört, nach der Frist unkenntlich gemacht, die der Kunde dafür festlegt, und gehört der Zugang zu keinem weiteren Kundenkonto und keinem Partnerkonto, bleibt der Nachweis ohne Namen, Firma und E-Mail Adresse beim Zugang.

Das Kundenkonto ist nicht öffentlich. Seine Seiten zeigt die Plattform nur nach einer Anmeldung und kennzeichnet sie für Suchmaschinen als nicht aufzunehmen.

Zugänge des Kundenkontos: Die Zugänge der Vertragsverwalter und der Nutzer, die für den Kunden Zugänge und Rechte verwalten dürfen, gehören mit Name, E-Mail Adresse, Rollen, Status und dem Zeitpunkt der letzten Anmeldung zu den Daten des Kundenkontos und seiner Ansprechpartner (§ 1 AVV). Dafür sind wir selbst verantwortlich. Was diese Nutzer in der Plattform verarbeiten, bleibt Auftragsdaten. Zu jedem dieser Zugänge sehen wir, ob die Einladung angenommen ist. Den Zeitpunkt der letzten Anmeldung zeigt uns die Plattform nur für diese Zugänge.

• Zweck: Konto und Zugänge des Kunden verwalten, die Zugänge schützen, bei Problemen mit der Anmeldung helfen, Zugänge erkennen, die niemand mehr nutzt, und den Zugang für die Supportansicht wählen. Darüber hinaus geht der Zeitpunkt nur wie die Anmeldungen aller Nutzer in die Kennzahlen zur Nutzung ein (Abschnitt „Geschäftliche Leistungen“), in keine andere Bewertung des Kunden.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist dann, das Kundenkonto sicher zu führen und den Kunden bei Fragen zu seinen Zugängen zu unterstützen.
• Speicherdauer: Den Zeitpunkt der letzten Anmeldung speichern wir beim Zugang und löschen ihn mit dem Zugang, spätestens mit den Kundendaten nach § 6 AGB. Bleibt der Zugang danach bestehen (unten unter „Löschung nach Vertragsende“), bleibt auch dieser Zeitpunkt beim Zugang.

Anmeldung und Sicherheit: Zugänge für Nutzer legt der Kunde an oder auf seine Veranlassung wir. Für Anmeldung und Sicherheit verarbeiten wir zu jedem Zugang die E-Mail Adresse, das Kennwort als Hashwert, gegebenenfalls einen zweiten Faktor, vertrauenswürdige Geräte und zu jeder Sitzung IP-Adresse, Browserkennung und Ablaufzeitpunkt.

• Zweck: die Plattform und die Zugänge sichern, Missbrauch abwehren und die Zahl der Personen mit Zugang für die Abrechnung feststellen. Für weitere eigene Zwecke nutzen wir diese Daten nicht (§ 3 AVV); zusammengefasst je Kunde gehen Anmeldungen und Sitzungen nur in die Kennzahlen zur Nutzung ein (Abschnitt „Geschäftliche Leistungen“). Im Support verarbeiten wir sie im Auftrag des Kunden.
• Rechtsgrundlage: Für diese Daten sind wir bei allen Zugängen selbst verantwortlich, auch bei Zugängen im Kundenkonto. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, die Plattform sicher zu betreiben und richtig abzurechnen. Sind Sie selbst unsere Vertragspartei, stützen wir uns zusätzlich auf Art. 6 Abs. 1 Buchst. b DSGVO.
• Speicherdauer: Sitzungsdaten löschen wir 30 Tage nach Ablauf der Sitzung. Ein vertrauenswürdiges Gerät gilt 90 Tage. Den Eintrag zum Gerät und den Zugang selbst löschen wir nicht nach einer festen Frist, sondern insbesondere nach Vertragsende, wie unten unter „Löschung nach Vertragsende“ beschrieben.

Die Angaben zu den übrigen Zugängen im Kundenkonto, etwa Rollen und Rechte, und das Änderungsprotokoll verarbeiten wir im Auftrag des Kunden, zu dem das Konto gehört.

Fehlgeschlagene Anmeldungen zählen wir unter einer Prüfsumme aus E-Mail Adresse und IP-Adresse, auch wenn es zu der Adresse keinen Zugang gibt. Auch dafür sind wir selbst verantwortlich, Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist die Abwehr von Angriffen. Die Zählung löschen wir einen Tag nach dem letzten Fehlversuch. Bremsen wir danach die Anmeldung zu einem Zugang im Kundenkonto, vermerken wir das mit IP-Adresse und Browserkennung im Änderungsprotokoll dieses Kundenkontos, das wir im Auftrag des Kunden führen.

Über Vorgänge, die Ihren Zugang betreffen, informieren wir Sie per E-Mail. Wenn Sie eine neue E-Mail Adresse beantragen und wenn Sie sie bestätigen, erhält die bisherige Adresse jeweils einen Hinweis mit einem Link, der 24 Stunden gilt und mit dem Sie die Änderung abbrechen oder rückgängig machen können. Registriert sich jemand mit einer Adresse, zu der es schon einen Zugang gibt, erhält diese Adresse einen Hinweis mit einem Link zur Anmeldung und zum Zurücksetzen des Kennworts, aber keinen neuen Zugang. Diese Hinweise versenden wir als Verantwortlicher; es gilt die Rechtsgrundlage für Anmeldung und Sicherheit. Ändert der Kunde Ihre Rolle, deaktiviert er Ihren Zugang oder setzt er Ihren zweiten Faktor zurück, benachrichtigt Sie die Plattform in seinem Auftrag. Wie lange wir diese E-Mails aufbewahren, steht im Abschnitt „Support und E-Mail“.

Weitere Hinweise zu Verfahren und Diensten:

Namen: Bei der Registrierung sind Vor- und Nachname Pflicht, weil Sie für Ihr Unternehmen einen Vertrag vorbereiten und wir Ihre Bestätigung der AGB einer Person zuordnen. Es gilt die Rechtsgrundlage der Registrierung. Den Namen aus der Registrierung können Sie bei der Bestellung ändern. Unter welchem Namen eine Person im Kundenkonto geführt wird, legt der Kunde fest; Sie selbst können ihn in Ihrem Profil ändern.

Zweiter Faktor: Zusätzlich zum Kennwort können Sie in Ihrem Konto einen zweiten Faktor einrichten, damit sich niemand nur mit Ihrem Kennwort anmelden kann. Zur Wahl stehen eine Authenticator App, die alle 30 Sekunden einen neuen Code erzeugt, oder ein Code per E-Mail, den wir nur auf Geräten verlangen, die wir noch nicht als vertrauenswürdig kennen. Das Geheimnis der App speichern wir verschlüsselt, die 8 Wiederherstellungscodes und den Code per E-Mail nur als Hashwert, zu jeder Prüfung die IP-Adresse und zu jedem vertrauenswürdigen Gerät IP-Adresse und Browserkennung bei der Einrichtung sowie den Zeitpunkt der letzten Nutzung; eine Prüfung gilt 10 Minuten. Bei Zugängen, die der Kunde oder auf seine Veranlassung wir angelegt haben und die zu keinem weiteren Kundenkonto und keinem Partnerkonto gehören, kann der Kunde den zweiten Faktor zurücksetzen; dabei enden die Sitzungen des Zugangs und seine vertrauenswürdigen Geräte verlieren ihre Gültigkeit. Es gilt die Rechtsgrundlage für Anmeldung und Sicherheit.

Löschung nach Vertragsende: Löschen wir die Kundendaten nach § 6 AGB, löschen wir auch die Zugänge, die der Kunde oder auf seine Veranlassung wir angelegt haben und die zu keinem weiteren Kundenkonto und keinem Partnerkonto gehören, mit E-Mail Adresse, Kennwort als Hashwert, zweitem Faktor, vertrauenswürdigen Geräten, laufenden Anmeldeprüfungen, Sitzungen und Links. Haben Sie Ihren Zugang selbst registriert oder gehört er noch zu einem anderen Kundenkonto oder einem Partnerkonto, bleibt er mit seinen Angaben bestehen; wir lösen ihn nur von dem gelöschten Kundenkonto. Unterlagen, die wir aufbewahren müssen, löschen wir nach den Fristen im Abschnitt „Geschäftliche Leistungen“. Es gelten die Rechtsgrundlagen für Registrierung sowie Anmeldung und Sicherheit, für Aufbewahrungspflichten Art. 6 Abs. 1 Buchst. c DSGVO.

23Kontakt und Formulare

Über das Formular unter „Kontakt“ und über Formulare auf weiteren Seiten der Website können Sie uns eine Anfrage senden.

• Verarbeitete Daten: Pflicht sind Name, E-Mail Adresse und Nachricht. Freiwillig sind Betrieb, Telefonnummer, Mitarbeiterzahl, Module und ein Empfehlungscode. Dazu speichern wir Wortlaut und Zeitpunkt Ihrer Bestätigung im Formular, die Browserkennung und einen Prüfwert Ihrer IP-Adresse.
• Betroffene Personen: Personen, die uns schreiben, anrufen oder ein Formular absenden, etwa Ansprechpartner von Interessenten, Kunden und Partnern, Nutzer der Plattform und Medienvertreter.
• Zweck: Ihre Anfrage bearbeiten, einen Vertrag vorbereiten und automatisierte Massenzusendungen erkennen.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, wenn Sie selbst Vertragspartei werden möchten, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, Anfragen zu beantworten, Verträge mit Unternehmen vorzubereiten und Missbrauch abzuwehren. Wortlaut und Zeitpunkt Ihrer Bestätigung speichern wir, um nachweisen zu können, dass Sie diese Hinweise erhalten haben (Art. 6 Abs. 1 Buchst. f DSGVO).
• Speicherdauer: Browserkennung und Prüfwert entfernen wir 30 Tage nach dem Eingang. Ordnen wir die Anfrage keinem Unternehmen zu, löschen wir sie 6 Monate nach ihrer letzten Bearbeitung. Sonst löschen wir sie mit der Vertriebsakte, wenn es über die von uns eingestellte Frist weder Kontakt noch einen neuen Vorgang wie eine Notiz oder ein Angebot gab. Diese Frist kann zwischen 1 und 60 Monaten liegen, voreingestellt sind 6 Monate. Wird das Unternehmen Kunde, gelten die Fristen im Abschnitt „Geschäftliche Leistungen“.

Weitere Formulare

Auf einzelnen Seiten binden wir weitere Formulare ein, etwa für eine Demo oder eine Presseanfrage. Welche Angaben Pflicht sind, zeigt das Formular. Dazu speichern wir Herkunftsangaben: die Seite des Formulars, den Namen der Website, von der Sie kamen, und Kampagnenangaben aus dem Link. Mit dem Eingang speichern wir weder Ihre IP-Adresse noch Ihre Browserkennung. Zur Abwehr von Missbrauch gilt die kurze Zählung aus dem Abschnitt „Aufruf der Website“.

Für den Ablauf vergeben wir je Vorgang eine zufällige Kennung ohne Angaben über Sie. Damit zählen wir je Formular und Tag, wie oft es begonnen, abgebrochen und abgeschickt wurde. Sieht das Formular es vor, senden wir Ihnen eine Eingangsbestätigung per E-Mail.

Es gelten die Rechtsgrundlagen des Kontaktformulars. Für eine Presseanfrage ist es Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Anfragen von Medien zu beantworten. Die Herkunftsangaben nutzen wir nach Art. 6 Abs. 1 Buchst. f DSGVO, um zu sehen, welche Seiten und Kampagnen zu Anfragen führen.

Eingänge löschen wir 6 Monate nach dem Absenden. Anfragen übernehmen wir vorher in unseren Vertrieb, dort gelten die Fristen des Kontaktformulars. Von einer Presseanfrage behalten wir nur eine interne Aufgabe mit der Nummer des Eingangs.

Unter Hilfeartikeln auf unserer Website können Sie angeben, ob der Artikel hilfreich war. Wir zählen je Artikel nur, wie oft „Ja“ und wie oft „Nein“ gewählt wurde, und speichern den Zeitpunkt der letzten Rückmeldung, ohne Angaben über Sie. Zur Abwehr von Missbrauch gilt die kurze Zählung aus dem Abschnitt „Aufruf der Website“. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, unsere Hilfeartikel zu verbessern.

Vorlagen per E-Mail

Fordern Sie eine Vorlage an, senden wir Ihnen per E-Mail einen Link, der 24 Stunden gilt und dreimal abgerufen werden kann. Ihre Anfrage übernehmen wir in unseren Vertrieb wie eine Anfrage über das Kontaktformular. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für den Versand und Art. 6 Abs. 1 Buchst. f DSGVO für die Übernahme in den Vertrieb. Unser berechtigtes Interesse ist, Ihre Anfrage in unserem Vertrieb nachzuhalten und Ihnen Zentrana vorzustellen.

Werbung per E-Mail senden wir Ihnen nur mit Ihrer Einwilligung. Der Übernahme in den Vertrieb können Sie jederzeit widersprechen. Empfänger ist unser Dienstleister für den E-Mail Versand. Für die Speicherdauer gelten die Fristen des Kontaktformulars, für die E-Mail mit dem Link die Fristen im Abschnitt „Support und E-Mail“.

24Support und E-Mail

Schreiben Sie uns eine E-Mail oder eine Supportanfrage in der Plattform, verarbeiten wir Ihre Angaben, den Inhalt und Anhänge, um Ihr Anliegen zu bearbeiten.

Für jede Anfrage in der Plattform legen wir eine Supportanfrage mit einer Nummer der Form ZA-… an, die wir in unseren Antworten im Betreff nennen. Eine Supportanfrage in der Plattform ordnen wir Ihrer Person im Kundenkonto zu und speichern dazu Ihren Namen, die E-Mail Adresse Ihres Zugangs, Betreff, Nachricht und Zeitpunkt. Die Anfrage und unsere Antworten darauf vermerken wir mit ihrem Betreff auch in der Vertriebsakte Ihres Unternehmens. Nutzer im Kundenkonto, denen der Kunde das Recht dazu gibt, sehen die Supportanfragen Ihres Unternehmens in der Plattform, außer solchen, die wir als Spam geschlossen haben, und können darauf antworten.

Rufen Sie uns an oder schreiben Sie uns einen Brief, verarbeiten wir Ihren Namen, Ihre Kontaktdaten und Ihr Anliegen, um es zu bearbeiten. Halten wir das Telefonat, ein Gespräch oder den Brief fest, dann als Eintrag in der Vertriebsakte Ihres Unternehmens oder als Supportanfrage. Ein Eintrag in der Vertriebsakte zählt als Kontakt; die Fristen der Vertriebsakte beginnen damit neu. Einen solchen Eintrag löschen wir mit der Vertriebsakte nach den Fristen der Abschnitte „Kontakt und Formulare“, „Ansprechpartner von Interessenten“ und „Geschäftliche Leistungen“, eine Supportanfrage nach den Fristen in diesem Abschnitt.

• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, wenn es um einen Vertrag mit Ihnen geht, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, Anfragen zu beantworten und Kunden zu betreuen.
• Empfänger: unser Dienstleister für den E-Mail Versand.
• Speicherdauer: Anfragen von Kunden löschen wir 6 Jahre nach dem Ende des Kalenderjahres, in dem sie entstanden sind, frühestens aber nach dem Ende des Vertrags. Anfragen von Interessenten löschen wir mit ihrer Vertriebsakte. Abgeschlossene Supportanfragen, die wir keinem Unternehmen zuordnen, löschen wir 6 Monate nach ihrer letzten Bearbeitung. Automatische Antworten und offensichtlichen Spam löschen wir nach 30 Tagen.

E-Mails ohne Zuordnung: Eingehende E-Mails, die weder einer Supportanfrage noch einem Unternehmen oder Kundenkonto zugeordnet sind, löschen wir 6 Jahre nach dem Ende des Kalenderjahres, in dem sie eingegangen sind. Ohne Zuordnung können wir nicht ausschließen, dass es empfangene Handelsbriefe sind (§ 257 Abs. 1 Nr. 2 HGB, § 147 Abs. 1 Nr. 2 AO).

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO, soweit es Handelsbriefe sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, keine aufbewahrungspflichtige E-Mail zu früh zu löschen. Von uns versendete E-Mails ohne Zuordnung, die keine Geschäftsbriefe sind, löschen wir 3 Jahre nach dem Ende des Kalenderjahres, in dem sie entstanden sind.

Erhalten wir eine Meldung über die Zustellung einer E-Mail, etwa dass sie abgewiesen oder als Spam gemeldet wurde, speichern wir diese Meldung 12 Monate. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist ein zuverlässiger Versand.

Sperrliste für den Versand: Wird eine Adresse dauerhaft abgewiesen oder als Spam gemeldet, nehmen wir sie in eine Sperrliste auf. Mit ihr gleichen wir alle E-Mails ab, die über die Plattform versendet werden, auch E-Mails im Auftrag unserer Kunden; dafür sind wir selbst verantwortlich. Ebenso nehmen wir eine Adresse auf, wenn Sie Ihre Einwilligung in Werbung per E-Mail widerrufen, sich von unserer Werbung abmelden oder unserer Ansprache widersprechen.

Den Eintrag führen wir, bis die Adresse wieder zustellbar ist oder Sie wieder E-Mails erhalten möchten, und löschen ihn 3 Jahre nach dem Ende des Kalenderjahres, in dem wir ihn aufheben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, die Zustellbarkeit unserer E-Mails zu schützen und Beschwerden zu beachten.

E-Mails, die wir versenden: Von den E-Mails, die wir und die Plattform versenden, bewahren wir eine Kopie auf, je nach Art unterschiedlich lange. Codes und Links zur Anmeldung speichern wir dabei nicht.

• E-Mails zu einem Kundenkonto: Benachrichtigungen, Quittungen zu Schlüsseln, Belege, die Kunden über die Plattform per E-Mail versenden, und Hinweise auf einen Supportzugriff löschen wir mit dem Kunden, also zusammen mit seinen übrigen Daten nach § 6 AGB. Diese E-Mails versendet die Plattform im Auftrag des Kunden (§ 3 Abs. 1 AVV).
• E-Mails zur Anmeldung: Einladungen, Links zur Bestätigung oder Änderung einer E-Mail Adresse, Codes für den zweiten Faktor und Links zum Zurücksetzen des Kennworts versenden wir als Verantwortlicher, nicht im Auftrag des Kunden. Es gilt die Rechtsgrundlage für Anmeldung und Sicherheit im Abschnitt „Registrierung und Nutzerkonto“. Versenden wir sie zu einem Zugang im Kundenkonto, etwa eine Einladung, einen Link zum Festlegen des Kennworts, den wir dem Administrator des Kunden senden, oder einen Code für den zweiten Faktor, löschen wir sie mit dem Kunden. Die übrigen, etwa Links, die Sie selbst auf der Anmeldeseite oder in Ihrem Konto anfordern, und Codes zu einem Zugang ohne Kundenkonto, löschen wir 3 Jahre nach dem Ende des Kalenderjahres, in dem wir sie versendet haben.
• Geschäftsbriefe: E-Mails zu Bestellung und Vertrag sowie zur Abrechnung bewahren wir als Handelsbriefe auf, so lange wie Mahnungen und E-Mails zur Abrechnung in der Übersicht im Abschnitt „Geschäftliche Leistungen“.
• E-Mails an Partner: Die Fristen für unsere E-Mails an Partner und ihre Anhänge beginnen mit dem Ende des Kalenderjahres, in dem wir sie versendet oder, scheitert der Versand, erstellt haben. E-Mails mit einer Gutschrift, einem Korrekturbeleg oder einer Rückforderung löschen wir mit dem Beleg selbst, frühestens nach 8 Jahren. E-Mails mit einem Link zur Anmeldung löschen wir nach 3 Jahren. Für E-Mails zu einer Bewerbung und für eine längere Aufbewahrung gilt der Abschnitt „Partnerprogramm“. Die übrigen, etwa den Monatsstand, bewahren wir als Handelsbriefe 6 Jahre auf.
• E-Mails auf Formulare: Die Bitte, eine Einwilligung zu bestätigen, Eingangsbestätigungen und Links zu Vorlagen bewahren wir auf, um nachweisen zu können, dass Sie sie angefordert und gegebenenfalls eine Einwilligung bestätigt haben (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist dieser Nachweis. Sind sie einem Unternehmen in unserem Vertrieb zugeordnet, löschen wir sie mit dessen Vertriebsakte oder, wird es Kunde, mit dem Kunden. Die übrigen löschen wir 3 Jahre nach dem Ende des Kalenderjahres, in dem wir sie versendet haben.

Vereinbaren wir einen Termin, senden wir Ihnen eine Einladung mit Kalenderdatei und gegebenenfalls einen Link zu einem Videogespräch. Empfänger ist dann auch der Anbieter des Videodienstes, den die Einladung nennt.

25Bewerbungen

Veröffentlichen wir eine Stellenanzeige, können Sie sich per E-Mail oder über die in der Anzeige genannte Seite bewerben. Bewerben Sie sich über ein Portal, das die Anzeige nennt, erhält dessen Betreiber Ihre Angaben. Soweit der Betreiber des Portals Ihre Angaben in eigener Verantwortung verarbeitet, gelten dafür seine Bedingungen und Datenschutzhinweise.

• Verarbeitete Daten: Bewerben Sie sich per E-Mail, verarbeiten wir Ihren Namen, Ihre E-Mail Adresse, den Inhalt Ihrer E-Mail, die Unterlagen, die Sie anhängen, und den Zeitpunkt, zu dem die E-Mail eingegangen ist. Welche Angaben zu Ihrer Person und Qualifikation darin stehen, bestimmen Sie selbst. Bitte schicken Sie uns nur die Angaben und Unterlagen, die wir für die ausgeschriebene Stelle brauchen.
• Betroffene Personen: Bewerber auf eine Stellenanzeige von uns.
• Empfänger: der Betreiber des Portals, wenn Sie sich über ein Portal bewerben, das die Anzeige nennt. Im Übrigen gilt der Abschnitt „Empfänger“.

Ihre Unterlagen verarbeiten wir, um über das Beschäftigungsverhältnis zu entscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Kommt keine Einstellung zustande, bewahren wir die Unterlagen noch 6 Monate nach der Absage auf, um uns gegen Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz verteidigen zu können (Art. 6 Abs. 1 Buchst. f DSGVO), und löschen sie dann.

26Werbliche Ansprache

Kunden bieten wir im Rahmen der Betreuung passende weitere Module an, wie im Abschnitt „Geschäftliche Leistungen“ beschrieben. Dass Sie Kunde sind, genügt uns allein nicht, um Ihnen ein Angebot per E-Mail zu senden. Das tun wir nur, wenn Sie eingewilligt haben, Sie oder Ihr Unternehmen bei uns angefragt haben, Sie uns geschrieben haben, ein Termin mit Ihnen oder, ohne dass ein Ansprechpartner eingetragen ist, mit Ihrem Unternehmen bestätigt ist oder stattgefunden hat oder Sie das Angebot ausdrücklich angefordert haben.

• Verarbeitete Daten: Name und dienstliche Kontaktdaten der Ansprechpartner, ob sie eingewilligt, sich abgemeldet oder widersprochen haben, ob wir sie über die Speicherung informiert haben, woher wir den Kontakt haben und ob ein Termin mit uns besteht, Name und Kundennummer des Unternehmens, der Stand des Kundenkontos, gebuchte Module mit dem Tag der Buchung sowie die Kennzahlen zur Nutzung je Kunde aus dem Abschnitt „Geschäftliche Leistungen“. Mit einem Angebot speichern wir, auf welcher Grundlage wir es per E-Mail gesendet haben.
• Betroffene Personen: Ansprechpartner unserer Kunden, ehemaligen Kunden und Interessenten.
• Zweck: unseren Kunden und Interessenten eigene Leistungen anbieten und Widersprüche gegen unsere Ansprache beachten.
• Rechtsgrundlage: Für die Ansprache aus den Kennzahlen gilt die Rechtsgrundlage im Abschnitt „Geschäftliche Leistungen“. Senden wir Ihnen ein Angebot per E-Mail, weil Sie eingewilligt haben, ist Rechtsgrundlage Art. 6 Abs. 1 Buchst. a DSGVO. Haben Sie bei uns angefragt oder das Angebot angefordert, ist es Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Vertragspartei werden möchten, sonst Art. 6 Abs. 1 Buchst. f DSGVO. In den übrigen Fällen ist es Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, unseren Kunden und Interessenten eigene Leistungen anzubieten. Für Werbung Dritter nutzen wir Ihre Angaben nicht, und wir geben sie dafür nicht an Dritte weiter.
• Empfänger: unser Dienstleister für den E-Mail Versand.
• Speicherdauer: Es gelten die Fristen in den Abschnitten „Kontakt und Formulare“, „Ansprechpartner von Interessenten“ und „Geschäftliche Leistungen“, für Einträge in der Sperrliste die Frist im Abschnitt „Support und E-Mail“.

Widerspruch: Nach einem Widerspruch senden wir Ihnen keine Angebote und keine Werbung mehr per E-Mail. Wie Sie widersprechen, steht im Abschnitt „Widerspruchsrecht“. Vom Widerspruch unberührt bleiben Rechnungen, Ankündigungen von Lastschriften, Zahlungserinnerungen und Mahnungen, Hinweise auf das Ende der Testphase und auf neue Preise, Hinweise auf neue Fassungen von AGB und AVV und die Bestätigung Ihrer Annahme sowie Einladungen, Codes und Links zur Anmeldung. Diese Nachrichten sind keine Werbung.

27Ansprechpartner von Interessenten

Zentrana richtet sich an Unternehmen und öffentliche Stellen. Um geeignete Unternehmen anzusprechen, speichern wir dienstliche Angaben ihrer Ansprechpartner, die wir nicht von Ihnen selbst erhalten. Darüber informieren wir hier nach Art. 14 DSGVO.

• Verarbeitete Daten: Name, Funktion, dienstliche Kontaktdaten, Hinweise zur Erreichbarkeit, Angaben zum Unternehmen, die Fundstelle der Angaben und Notizen zu unserem Kontakt.
• Herkunft: Angaben, die Ihr Unternehmen selbst öffentlich gemacht hat, etwa auf seiner Website, sowie Listen von Unternehmen, die wir als Datei einlesen. Bei früher angelegten Kontakten stammen Angaben zum Teil aus einem Impressum. Für Werbung nutzen wir diese Kontakte nicht. Wir bewahren sie nur auf, um nachweisen zu können, woher sie stammen und dass wir Sie informiert haben, und löschen sie nach der unten genannten Frist.
• Zweck: Ihnen Zentrana vorstellen und eine Geschäftsbeziehung anbahnen.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist Direktwerbung bei Unternehmen und öffentlichen Stellen, für die Zentrana passen kann, bei früher angelegten Kontakten aus einem Impressum der Nachweis ihrer Herkunft und unserer Information.
• Empfänger: unser Hoster, bei einer Recherche zusätzlich Anthropic und, wenn wir Ihnen schreiben, unser Dienstleister für den E-Mail Versand.
• Speicherdauer: Gab es über die von uns eingestellte Frist weder Kontakt noch einen neuen Vorgang wie eine Notiz oder ein Angebot, löschen wir die Angaben. Diese Frist kann zwischen 1 und 60 Monaten liegen, voreingestellt sind 12 Monate. Hat das Unternehmen selbst bei uns angefragt, gilt die Frist aus dem Abschnitt „Kontakt und Formulare“. Liegt uns von dem Unternehmen ein unterschriebener Vertrag zur Auftragsverarbeitung vor, löschen wir sie erst, wenn er nicht mehr gilt. Entsteht eine Geschäftsbeziehung, gelten die Fristen im Abschnitt „Geschäftliche Leistungen“.

Recherche: Sofern wir eine Recherche über ein Unternehmen durchführen, rufen wir öffentliche Seiten seiner Website, etwa Team, Kontakt oder Impressum, mit einem Programm ab. Den Text wertet ein Sprachmodell von Anthropic PBC, USA (Anthropic), aus und zieht daraus Ansprechpartner mit Funktion, eine Beschreibung des Unternehmens, die Passung zu unseren Modulen, mögliche Einwände und Ansätze für ein erstes Gespräch.

Anthropic erhält dafür nur diese öffentlichen Texte und Angaben zum Unternehmen, die wir schon geprüft haben, keine Kundendaten. Anthropic verarbeitet sie in unserem Auftrag; zum Drittland siehe den Abschnitt „Übermittlung in Drittländer“.

Ein Ergebnis übernehmen wir erst nach Prüfung durch einen Mitarbeiter. Den abgerufenen Text löschen wir nach der Auswertung. Ergebnisse, die wir nicht übernehmen, löschen wir nach 30 Tagen; übernommene Angaben speichern wir wie die übrigen Angaben zu Ansprechpartnern.

Widerspruch: Sie können dieser Verarbeitung jederzeit ohne Begründung widersprechen. Dann löschen wir Ihre Angaben und nehmen Ihre E-Mail Adresse in eine Sperrliste auf, damit wir Sie nicht erneut ansprechen. Die Sperrliste führen wir, solange Ihr Widerspruch gilt. Heben wir den Eintrag auf, weil Sie wieder angesprochen werden möchten, löschen wir ihn 3 Jahre nach dem Ende des Kalenderjahres, in dem wir ihn aufheben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Ihren Widerspruch dauerhaft zu beachten.

28Benachrichtigungen

Benachrichtigungen zu Vorgängen in der Plattform, etwa zu Erwähnungen, zugewiesenen Aufgaben oder Fristen, zeigt die Plattform in der Anwendung an oder sendet sie per E-Mail. Einen Teil der Benachrichtigungen in der Anwendung, etwa wenn Sie jemand erwähnt oder Ihnen eine Aufgabe oder Frist zuweist, schalten Sie unter „Benachrichtigungen“, „Einstellungen“ selbst ein oder aus.

• Verarbeitete Daten: die Person, für die eine Benachrichtigung bestimmt ist, Betreff, Text, Verweis auf den Vorgang, Art des Ereignisses und Sprache, bei E-Mails der Stand des Versands mit Zeitpunkt, Zahl der Versuche und Fehlermeldung, ob und wann sie gelesen wurde, und Ihre Einstellungen dazu.
• Betroffene Personen: Personen, an die sich Benachrichtigungen richten, per E-Mail auch ohne eigenen Zugang zur Plattform, und Personen, die eine Benachrichtigung nennt, etwa wer eine Abwesenheit beantragt oder auf einen Beitrag geantwortet hat.
• Zweck: Personen über Vorgänge in der Plattform informieren, die sie betreffen; welche Zwecke der Kunde damit verfolgt, entscheidet er.
• Rechtsgrundlage: Benachrichtigungen zu Vorgängen beim Kunden verarbeitet die Plattform im Auftrag des Kunden (Art. 28 DSGVO, § 3 Abs. 1 AVV); auf welcher Rechtsgrundlage, entscheidet er. Hinweise, die wir selbst in der Anwendung zu Vertrag, Zahlungsweise, Mahnungen und Sperren oder zur Antwort auf eine Supportanfrage anzeigen, verarbeiten wir als Verantwortlicher; es gelten die Abschnitte „Geschäftliche Leistungen“, „Zahlungsverfahren“ und „Support und E-Mail“. Für E-Mails zur Anmeldung gilt die Rechtsgrundlage im Abschnitt „Registrierung und Nutzerkonto“.
• Empfänger: unser Dienstleister für den E-Mail Versand.
• Speicherdauer: Benachrichtigungen und Ihre Einstellungen dazu löschen wir spätestens mit dem Kunden, also zusammen mit seinen übrigen Daten nach § 6 AGB. Für die Kopien versandter E-Mails gilt der Abschnitt „Support und E-Mail“.

29Partnerprogramm

Unternehmen können sich als Partner bewerben und mit uns eine Partnervereinbarung schließen. Dabei verarbeiten wir Firma, Name der Ansprechperson, E-Mail Adresse, Partnertyp und freiwillig die Website. Für Vereinbarung und Abrechnung kommen Anschrift, Steuerstatus, Steuernummer oder Umsatzsteuer-Identifikationsnummer, Bankverbindung, die angenommene Vereinbarung und die Vergütungen hinzu. Nehmen Sie die Vereinbarung an, speichern wir Zeitpunkt, IP-Adresse und Browserkennung als Nachweis.

Wortlaut und Zeitpunkt Ihrer Bestätigung speichern wir, um nachweisen zu können, dass Sie diese Hinweise erhalten haben (Art. 6 Abs. 1 Buchst. f DSGVO).

Empfehlungen prüfen wir automatisch auf Hinweise auf Missbrauch, etwa eine gleiche IBAN, Anschrift oder Domain. Ein Hinweis hält die Vergütung vorläufig zurück. Ob sie entfällt, entscheidet ein Mitarbeiter. Sie können verlangen, dass er den Hinweis prüft, und Ihren Standpunkt darlegen. Mehr dazu im Abschnitt „Automatisierte Entscheidungen und KI“.

• Zweck: Bewerbung prüfen, Vereinbarung schließen und durchführen, Vergütung per Gutschrift abrechnen und Missbrauch verhindern.
• Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO, soweit Sie selbst Partner sind, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist dann, die Partnerschaft mit Ihrem Unternehmen zu führen. Für Aufbewahrungspflichten gilt Art. 6 Abs. 1 Buchst. c DSGVO. Für die Prüfung auf Missbrauch gilt Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, nur berechtigte Empfehlungen zu vergüten.
• Empfänger: unser Hoster und, wenn wir Ihnen schreiben, unser Dienstleister für den E-Mail Versand.
• Speicherdauer: Unbestätigte Bewerbungen löschen wir nach 7 Tagen, abgelehnte anonymisieren wir nach 6 Monaten, jeweils zusammen mit unseren E-Mails zur Bewerbung. Sonst bewahren wir die E-Mail zur Bestätigung der Bewerbung als Nachweis auf, dass Sie die Bewerbung bestätigt haben, und löschen sie 3 Jahre nach dem Ende des Kalenderjahres, in dem wir sie versendet haben (Art. 6 Abs. 1 Buchst. f DSGVO). Die Angaben zum Partner anonymisieren wir 8 Jahre nach dem Ende des Kalenderjahres, in dem die Partnerschaft endet. Eine Vereinbarung, die ein abgelehnter Bewerber schon angenommen hat, löschen wir mit dem Nachweis ihrer Annahme 6 Monate nach der Ablehnung. In den 6 Monaten nach einer Ablehnung bewahren wir die Bewerbung, unsere E-Mails zur Bewerbung und eine schon angenommene Vereinbarung auf; solange wir die Bewerbung aufbewahren, können Sie sich mit demselben Zugang nicht erneut bewerben. Unser berechtigtes Interesse ist, Rückfragen zur Ablehnung beantworten und Ansprüche aus der Bewerbung prüfen oder abwehren zu können und je Zugang nur eine Bewerbung oder Partnerschaft zu führen (Art. 6 Abs. 1 Buchst. f DSGVO).
• Vereinbarung, Gutschriften und Belege: Die Vereinbarung eines freigeschalteten Partners löschen wir 6 Jahre nach dem Ende des Kalenderjahres, in dem die Partnerschaft endet, frühestens aber mit den Gutschriften, die auf ihr beruhen. Gutschriften, Korrekturbelege, Rückforderungen und Belege über Vergütungen löschen wir 8 Jahre nach dem Ende des Kalenderjahres, in dem der letzte Vorgang dazu stattfand, etwa die Erstellung, die Übermittlung oder die Zahlung. Solange eine Vergütung oder eine Gutschrift offen ist, bewahren wir sie mit den zugehörigen Belegen auf. Hängt an einer Vergütung ein Prüfhinweis, bewahren wir sie mit den Rechnungen, auf denen sie beruht, so lange auf wie den Hinweis.
• Prüfhinweise zu Empfehlungen: Wird aus einer Empfehlung kein Vertrag, löschen wir ihre Prüfhinweise mit der Zuordnung, 30 Tage nach Ablauf der Empfehlungsfrist oder einer späteren Ablehnung. Haben mehrere Partner dieselbe Firma empfohlen, löschen wir sie nicht, bevor wir entschieden haben, welche Empfehlung gilt. Wird daraus ein Vertrag, ohne dass auf ihr eine Vergütung oder ein angewendeter Vorteil beruht, löschen wir sie ebenfalls mit der Zuordnung. Sonst löschen wir sie 8 Jahre nach dem Ende des Kalenderjahres, in dem der letzte Vorgang zu der Empfehlung stattfand, etwa die Entscheidung über den Hinweis, die Anwendung eines Vorteils, eine Vergütung oder ihre Auszahlung, frühestens aber mit den Gutschriften, Rückforderungen und Belegen über die Vergütungen aus dieser Empfehlung. Solange wir über einen Hinweis zu einer Empfehlung, aus der ein Vertrag wurde, noch nicht entschieden haben, löschen wir keinen ihrer Hinweise. Bewahren wir wegen einer Außenprüfung oder eines Verfahrens alle Unterlagen zu dem Partner oder zu der empfohlenen Firma auf oder gehen wir bei dem Partner einem Verdacht auf Missbrauch nach, löschen wir die Prüfhinweise erst, wenn diese Prüfung oder dieses Verfahren abgeschlossen ist.

Ist eine steuerliche Festsetzungsfrist noch offen oder läuft eine Prüfung oder ein Rechtsstreit, bewahren wir die betroffenen Unterlagen bis zu deren Ende auf (§ 147 Abs. 3 Satz 5 AO). Läuft eine steuerliche Außenprüfung oder ein Einspruch, bewahren wir bis zu deren Abschluss die Vereinbarungen, Gutschriften, Belege und E-Mails an Partner außer denen mit einem Link zur Anmeldung sowie die Empfehlungen, aus denen ein Vertrag wurde, mit ihren Prüfhinweisen und Vorteilen auf, zu denen ab dem ersten Kalenderjahr, das die Prüfung oder der Einspruch betrifft, noch ein Vorgang stattfand, dazu die Angaben zu Partnern, deren Partnerschaft in diesem Jahr oder später endete. Das gilt auch für die Angaben zu einem abgelehnten Bewerber und eine Vereinbarung, die er schon angenommen hat, nicht aber für die E-Mails zur Bestätigung einer Bewerbung und unsere übrigen E-Mails an abgelehnte Bewerber; unser berechtigtes Interesse ist, keine Unterlage zu löschen, die dafür noch angefordert werden kann (Art. 6 Abs. 1 Buchst. f DSGVO).

Gehen wir bei einem Partner einem Verdacht auf Missbrauch nach, bewahren wir bis zum Abschluss der Prüfung die Angaben zu ihm, seine Vereinbarung, seine Gutschriften und Belege, seine Empfehlungen mit ihren Prüfhinweisen und Vorteilen und unser Protokoll der E-Mails an ihn auf. Bei einem abgelehnten Bewerber gilt das nur für die Angaben zu ihm und eine schon angenommene Vereinbarung, nicht für die E-Mails zur Bewerbung.

Empfehlungscode

Partner empfehlen Zentrana an Unternehmen weiter. Wird aus einer Empfehlung ein Vertrag und bezahlt das empfohlene Unternehmen eine Rechnung, kann nach der Vergütungsregel, die für den Partner gilt, entweder der Partner eine Vergütung erhalten, die wir per Gutschrift abrechnen, oder das empfohlene Unternehmen einen Vorteil, etwa einen Nachlass auf einer Rechnung. Einem Partner ordnen wir eine Empfehlung nur auf einem dieser Wege zu: Sie geben seinen Empfehlungscode im Kontaktformular oder in Ihrer Bestellung an, auch wenn ihn sein Empfehlungslink oder Ihre Registrierung dort eingetragen hat; Sie lösen in der Bestellung einen Gutscheincode ein, den wir diesem Partner zugeordnet haben; oder ein Mitarbeiter ordnet Ihr Unternehmen dem Partner zu. Ob daraus eine Zuordnung wird, hängt auch davon ab, ob der Partner aktiv ist und ob Sie bereits ein anderer Partner empfohlen hat.

• Verarbeitete Daten: Der Empfehlungscode, den Sie angegeben haben oder der zu Ihrem Gutscheincode gehört, der Partner, das empfohlene Unternehmen und gegebenenfalls Ihre Anfrage, der Weg der Zuordnung (Code in der Anfrage, Code bei der Anlage Ihres Kundenkontos, etwa aus der Bestellung, oder Zuordnung durch einen Mitarbeiter), der Stand der Empfehlung mit den Zeitpunkten ihrer Erfassung, ihrer Zuordnung zu Ihrem Kundenkonto, ihres Abschlusses und ihres Ablaufs, unsere Entscheidungen über die Empfehlung mit Begründung und Zeitpunkt, etwa wenn mehrere Partner Sie empfohlen haben oder wir die Empfehlung ablehnen, sowie die Vergütungsregel und die Vergütungen, Vorteile und Prüfhinweise, die auf der Empfehlung beruhen. Nutzungsdaten wie besuchte Seiten, Ihre IP-Adresse oder Ihre Browserkennung speichern wir mit der Empfehlung nicht; was wir mit Ihrer Anfrage speichern, steht unter „Kontakt und Formulare“.

Der Partner erfährt Ihren Firmennamen, den Stand der Empfehlung mit den Zeitpunkten ihrer Erfassung, ihres Abschlusses und ihres Ablaufs, wann Sie eine Rechnung bezahlt haben, den Nettobetrag dieser Rechnung als Grundlage seiner Vergütung und die Höhe seiner Vergütung, in der Gutschrift außerdem Nummer und Datum dieser Rechnung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Empfehlungen richtig zuzuordnen und abzurechnen.

Wird aus der Empfehlung kein Vertrag, löschen wir die Zuordnung 30 Tage nach Ablauf der Empfehlungsfrist oder, lehnen wir die Empfehlung später ab, 30 Tage nach der Ablehnung. Haben mehrere Partner Sie empfohlen, löschen wir keine dieser Zuordnungen, bevor wir entschieden haben, welche gilt. Wird daraus ein Vertrag, löschen wir die Zuordnung erst, wenn wir die Empfehlung abgelehnt oder Ihr Kundenkonto nach § 6 AGB gelöscht haben, frühestens aber 3 Jahre nach dem Ende des Kalenderjahres, in dem der letzte Vorgang zu ihr selbst stattfand, etwa ihr Abschluss oder eine Entscheidung über sie. Bewahren wir wegen einer Außenprüfung oder eines Verfahrens alle Unterlagen zu Ihnen oder zu dem Partner auf, der Sie empfohlen hat, oder gehen wir bei ihm einem Verdacht auf Missbrauch nach, löschen wir die Zuordnung erst, wenn diese Prüfung oder dieses Verfahren abgeschlossen ist. Beruht auf der Empfehlung eine Vergütung oder ein angewendeter Vorteil, etwa ein Nachlass auf einer Rechnung, löschen wir die Zuordnung zudem erst nach diesen, also frühestens 8 Jahre nach dem Ende des Kalenderjahres, in dem der letzte Vorgang zu ihnen stattfand, etwa die Auszahlung einer Vergütung oder die Anwendung eines Vorteils, und nicht vor den Gutschriften, Rückforderungen und Belegen über die Vergütungen daraus. Einen angewendeten Vorteil löschen wir frühestens 8 Jahre nach dem Ende des Kalenderjahres, in dem der letzte Vorgang zu der Empfehlung stattfand, auch wenn die Zuordnung dann noch besteht, einen nicht angewendeten mit der Zuordnung. Unser berechtigtes Interesse ist, die Zuordnung gegenüber Ansprüchen aus der Empfehlung nachweisen zu können und Vergütungen und Nachlässe nachvollziehbar zu halten, solange wir ihre Belege aufbewahren (Art. 6 Abs. 1 Buchst. f DSGVO). Für eine längere Aufbewahrung gilt der Abschnitt „Partnerprogramm“.

Empfehlungslink

Der Empfehlungslink eines Partners führt auf unsere Website und enthält seinen Empfehlungscode in der Adresse. Auf der aufgerufenen Seite hängt unsere Website den Code an die Links zum Kontaktformular und, auf den deutschen Seiten, zur Registrierung an; öffnen Sie von dort zuerst eine andere Seite, geht der Code verloren. Im Kontaktformular steht er dann im Feld „Empfehlungscode“, wo Sie ihn ändern oder löschen können. Bei der Registrierung senden wir ihn mit Ihren Angaben. Registrieren Sie sich als Kunde, steht er nach der Bestätigung Ihrer E-Mail Adresse in Ihrer Bestellung im Feld „Gutscheincode oder Empfehlungscode“, wo Sie ihn ebenfalls ändern oder entfernen können; bei einer Registrierung als Partner verwenden wir ihn nicht weiter. Den Aufruf des Links zählen wir nur wie jeden anderen Aufruf in den Tagessummen (Abschnitt „Zählung der Seitenaufrufe“), und der Webserver verarbeitet die Adresse wie im Abschnitt „Aufruf der Website“. Beim Aufruf des Links speichern wir für die Empfehlung weder Ihre IP-Adresse noch Ihre Browserkennung, und auf Ihrem Gerät speichern wir dafür nichts. Die Prüfung des Codes im Kontaktformular und eine Registrierung mit Code zählen wir zur Abwehr von Missbrauch kurzzeitig je IP-Adresse, wie im Abschnitt „Aufruf der Website“ beschrieben. Zugeordnet wird die Empfehlung erst, wenn Sie das Kontaktformular oder Ihre Bestellung mit dem Code absenden; was der Partner dann erfährt, steht unter „Empfehlungscode“. Mit dem Empfehlungscode verfolgen wir Ihren Weg über die Website nicht und bilden daraus kein Profil.

30Eingebettete Videos und weitere Inhalte

Einige Seiten zeigen Videos von YouTube, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google). Wir binden sie in zwei Schritten ein: Zuerst sehen Sie nur einen Platzhalter von unserem Server mit einem Hinweis. Erst wenn Sie das Video mit einem Klick laden, baut Ihr Browser eine Verbindung zu YouTube auf, über die Adresse youtube-nocookie.com. Dabei erhält Google Ihre IP-Adresse und technische Angaben Ihres Browsers und kann Informationen auf Ihrem Gerät speichern oder lesen. Dabei erfährt Google auch, welches Video Sie laden und wann. Von der Adresse unserer Seite sendet Ihr Browser dabei nur die Domain mit, nicht den Pfad der Seite, auf der das Video steht.

Für das Laden des Videos und die Übermittlung Ihrer Daten an Google sind wir gemeinsam mit Google verantwortlich (Art. 26 DSGVO). Für die weitere Verarbeitung ist Google allein verantwortlich. Wir informieren Sie hier über das Laden und die Übermittlung, Google informiert in seinen eigenen Datenschutzhinweisen über die weitere Verarbeitung. Ihre Rechte können Sie uns gegenüber und gegenüber Google geltend machen.

• Zweck: das Video, das Sie anklicken, auf unserer Seite abspielen. Ob Sie ein Video laden, erfasst unsere Seite nicht.
• Rechtsgrundlage: Ihre Einwilligung mit dem Klick (Art. 6 Abs. 1 Buchst. a DSGVO, § 25 Abs. 1 TDDDG). Wir speichern Ihre Wahl nicht, jedes Video lädt erst nach Ihrem Klick.
• Drittland: Google kann die Daten auch an Google LLC in den USA übermitteln. Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission zum Datenschutzrahmen EU-USA (EU-US Data Privacy Framework, Art. 45 DSGVO), nach dem Google LLC zertifiziert ist.
• Widerruf: Ihre Einwilligung gilt nur für das Video, das Sie anklicken, und nur, bis Sie die Seite verlassen oder neu laden; danach zeigt die Seite wieder den Platzhalter. Möchten Sie widerrufen, laden Sie die Seite neu und laden Sie kein weiteres Video. Was Google auf Ihrem Gerät gespeichert hat, löschen Sie in Ihrem Browser.

Zeigt eine Seite unseren Standort mit einer Anfahrtskarte, ist die Karte ein Bild aus unserer eigenen Medienbibliothek. Zu OpenStreetMap führt in der Plattform nur ein Link, den Sie selbst öffnen.

31Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert oder die Rechtslage es verlangt. Die aktuelle Fassung finden Sie immer auf dieser Seite.

Die Anschriften anderer Unternehmen und der Aufsichtsbehörde in dieser Erklärung können sich mit der Zeit ändern. Bitte prüfen Sie sie vor einer Kontaktaufnahme.