Datenschutzhinweise

für Website-Besucher und Kunden

Betroffene Personen

1Diese Hinweise richten sich an alle Personen, die

1.die Website https://onepage.io/ besuchen oder

2.Kunden des Verantwortlichen sind; dazu zählen auch Interessenten und ehemalige Kunden.

Grundsätzlich gelten alle Angaben für beide Gruppen betroffener Personen, sofern ein Abschnitt nicht ausdrücklich als nur für eine der Gruppen geltend gekennzeichnet ist.

2Alle Personenbezeichnungen beziehen sich auf alle Geschlechter. Wird aus Gründen der Lesbarkeit eine geschlechtsspezifische Bezeichnung verwendet, sind damit alle Geschlechter gemeint (m/w/d).

Verantwortlicher

Verantwortlich für die hier beschriebene Verarbeitung ist: Onepage GmbH, Hanauer Landstraße 172, 60314 Frankfurt am Main, E: support@onepage.io, Geschäftsführung: Marcel Knopf, externer Datenschutzbeauftragter: STANHOPE Rechtsanwaltsgesellschaft mbH, Rechtsanwalt Dr. Stephan Gärtner, E: request@thenextstanhope.de.

Rechte der betroffenen Personen und weitere Hinweise

1Betroffene Personen haben hinsichtlich ihrer gespeicherten personenbezogenen Daten folgende Rechte: das Recht auf Auskunft, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung von Daten, für deren Speicherung kein Grund mehr besteht, das Recht auf Einschränkung der Verarbeitung und das Recht auf Datenübertragbarkeit. Außerdem haben sie das Recht, sich bei der für den Verantwortlichen zuständigen Aufsichtsbehörde zu beschweren.

2Beruht die Verarbeitung auf einer Einwilligung der betroffenen Person, hat sie das Recht, diese Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Der Widerruf kann formlos über jeden der oben genannten Kontaktwege (Verantwortlicher) erklärt werden.

3Soweit die Verarbeitung auf der Wahrnehmung eines berechtigten Interesses, also auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, beruht, können die betroffenen Personen der Verarbeitung jederzeit widersprechen, etwa durch eine formlose Nachricht an einen der oben genannten Kontaktwege (Verantwortlicher). Ist der Widerspruch begründet, wird die Verarbeitung beendet. Liegt das berechtigte Interesse in der Direktwerbung, ist der Widerspruch stets begründet.

4Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

5Eine gesetzliche Pflicht zur Verarbeitung besteht nur, soweit auf Art. 6 Abs. 1 S. 1 lit. c DSGVO verwiesen wird.

6Soweit nachfolgend Datenverarbeitungen beschrieben werden, folgt daraus kein Anspruch der betroffenen Personen auf die damit verbundenen Handlungen (z. B. Medienaufnahmen, Auswertungen). Die Ansprüche der betroffenen Person ergeben sich aus den Absätzen 1 bis 3 dieses Abschnitts. Die nachfolgend beschriebenen Datenverarbeitungen beschreiben lediglich mögliche Handlungsabläufe, die nicht auf alle betroffenen Personen zutreffen.

Übermittlung in Länder außerhalb der Europäischen Union

1Werden personenbezogene Daten an Stellen außerhalb der Europäischen Union übermittelt, muss der Verantwortliche zusätzliche Garantien nach Art. 44 ff. DSGVO vorsehen.

2Verweist der Verantwortliche in den folgenden Datenschutzhinweisen auf einen sogenannten Angemessenheitsbeschluss, bedeutet dies, dass der Empfänger in einem Land, einem Gebiet oder einem spezifischen Sektor sitzt, für das die EU-Kommission beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet. Die Garantie folgt dann aus Art. 45 DSGVO.

3Verweist der Verantwortliche in den folgenden Datenschutzhinweisen auf die sogenannten EU-Standardvertragsklauseln, bedeutet dies, dass sich der Empfänger auf Grundlage der EU-Standardvertragsklauseln vertraglich verpflichtet hat, die EU-Datenschutzgrundsätze einzuhalten. Die Garantie folgt dann aus Art. 46 DSGVO.

4Verweist der Verantwortliche in den folgenden Datenschutzhinweisen auf sogenannte verbindliche interne Datenschutzvorschriften, bedeutet dies, dass die zuständige Aufsichtsbehörde die Übermittlung genehmigt hat. Die Garantie folgt dann aus Art. 47 DSGVO.

5Gibt der Verantwortliche in den folgenden Datenschutzhinweisen an, dass die betroffenen Personen in die Übermittlung in ein Land außerhalb der Europäischen Union ausdrücklich eingewilligt haben, bedeutet dies, dass sie in Kenntnis aller damit verbundenen Risiken dennoch in die Übermittlung einwilligen. Die Garantie folgt dann aus Art. 49 Abs. 1 lit. a DSGVO. Etwaige Risikohinweise finden sich im Glossar.

Datenschutzhinweise für Kunden

Die Angaben in diesem Abschnitt richten sich nur an Kunden.

Erwartbare Standard-Datenverarbeitung (Kunden)

Vertragsanbahnung:

Erstkontakt

Die Vertragsanbahnung läuft wie folgt ab: Entweder nehmen die betroffenen Personen den Erstkontakt zum Verantwortlichen auf oder umgekehrt. Dabei verarbeitet der Verantwortliche alle Daten, die die betroffenen Personen freiwillig angeben. Häufig sind das Kontaktdaten (Name, Kontaktangaben wie E-Mail-Adresse, Postanschrift, Telefonnummer) und Kommunikationsdaten (Beschreibung des Anliegens, Gesprächsnotizen, Formulareingaben). Auf dieser Grundlage erstellt der Verantwortliche ein Angebot und speichert diese Daten. Zweck ist die Anbahnung bzw. der Abschluss eines Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Geltendmachung von Rechten

Macht die betroffene Person ihre Rechte aus der DSGVO oder anderen Rechtsvorschriften geltend, verarbeitet der Verantwortliche die Daten, um diese Ansprüche zu prüfen und gegebenenfalls zu erfüllen. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. der Norm, aus der sich die rechtliche Verpflichtung ergibt.

Löschung:

Nach Ablauf der Aufbewahrungsfristen (siehe unten „Nach Ende des aktiven Vertragsverhältnisses“) werden die Daten gelöscht. Die Löschung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 1 lit. a und e DSGVO.

Aktives Vertragsverhältnis

Vertragsdurchführung

Nach Vertragsschluss erhebt der Verantwortliche weitere Kommunikations- und Abrechnungsdaten (Leistungserbringung, Beantwortung von Anfragen), um den Vertrag zu erfüllen. Zweck ist die Durchführung eines Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Änderungen der Verarbeitung

Ändert der Verantwortliche die Verarbeitung, insbesondere durch die Beauftragung neuer Empfänger, informiert er die betroffenen Personen per E-Mail über die Änderung und sendet ihnen die aktualisierten Datenschutzhinweise zu. Zweck ist die Erfüllung der Transparenzpflichten der DSGVO (Art. 12 bis 14 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO.

Geltendmachung von Rechten

Macht die betroffene Person Rechte aus der DSGVO oder anderen Vorschriften geltend, verarbeitet der Verantwortliche die dafür erforderlichen Daten und die Korrespondenz. Zweck ist die Bearbeitung des Anliegens und die Erfüllung rechtlicher Pflichten. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. der Vorschrift, aus der sich die rechtliche Verpflichtung ergibt.

Konflikte im Vertragsverhältnis

Kommt es zu einem Rechtsstreit zwischen den betroffenen Personen und dem Verantwortlichen, werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben und gegebenenfalls externen Rechtsrat einzuholen. Dabei werden folgende Daten verarbeitet: Name, Kontaktdaten, alle Vorgänge im Zusammenhang mit dem Rechtsstreit. Die Verarbeitung dient der Einholung externer rechtlicher Beratung/Unterstützung und der Wahrnehmung eigener Rechte des Verantwortlichen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus den genannten Zwecken ergibt. Soweit Daten extern verarbeitet werden, liegt keine Auftragsverarbeitung vor (vgl. DSK-Kurzpapier Nr. 13), sondern eine Datenübermittlung, die ihrerseits durch Art. 6 Abs. 1 S. 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich somit um sonstiges Outsourcing.

Löschung

Nach Ablauf der Aufbewahrungsfristen (siehe unten „Nach Ende des aktiven Vertragsverhältnisses“) werden die Daten gelöscht, sofern keine weitere gesetzliche Pflicht zur Aufbewahrung oder Verarbeitung besteht. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 1 lit. a, e DSGVO.

Nach Ende des aktiven Vertragsverhältnisses

Speicherung nach deutschem Recht

1Nach Ende des Vertragsverhältnisses werden alle oben genannten, noch gespeicherten Daten aufbewahrt. Zweck und Rechtsgrundlage der Aufbewahrung ergeben sich aus der nachfolgenden Liste der Aufbewahrungsfristen (Absatz 2).

2Es gelten folgende Aufbewahrungsfristen:

a.Buchungsbelege werden 8 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der jeweilige Beleg entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

b.Steuerlich relevante interne Unterlagen, die keine Buchungsbelege sind, werden 10 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

c.Geschäftliche Kommunikationsdaten (z. B. Kundenschreiben) und vergleichbare steuerlich relevante Unterlagen werden 6 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

d.Daten, die entstehen, wenn betroffene Personen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche auf diese Ansprüche antwortet. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus der Verjährung von Schadensersatzansprüchen (§§ 195, 199 Abs. 1 BGB) und ergänzend aus der Verfolgungsverjährung nach Ordnungswidrigkeitenrecht (§ 31 Abs. 2 Nr. 1 OWiG i. V. m. Art. 83 DSGVO).

e.Daten, die entstehen, wenn betroffene Personen sonstige Ansprüche gegenüber dem Verantwortlichen geltend machen, werden drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche auf diese Ansprüche antwortet. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus der Verjährung von Schadensersatzansprüchen (§§ 195, 199 Abs. 1 BGB).

f.Daten, die auf einer Einwilligung beruhen, werden bis zum Widerruf der Einwilligung oder bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufbewahrt, je nachdem, was zuerst eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Art. 6 Abs. 1 S. 1 lit. a DSGVO.

g.Daten, die die Erteilung einer Einwilligung belegen, werden 3 Jahre aufbewahrt, beginnend mit dem Zeitpunkt, zu dem die Einwilligung widerrufen wird oder der Zweck entfällt, je nachdem, was zuerst eintritt. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Abs. 2 Nr. 1 OWiG i. V. m. Art. 83 DSGVO).

Löschung der Daten

Nach Ablauf der Aufbewahrungsfristen werden die Daten gelöscht, sofern keine weitere gesetzliche Pflicht zur Aufbewahrung oder Verarbeitung besteht. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 1 lit. a, e DSGVO.

Nicht routinemäßige Datenverarbeitung (Kunden)

Videokonferenzen

1Der Verantwortliche ermöglicht den betroffenen Personen die Kommunikation per Videokonferenz.

2Entscheiden sich die betroffenen Personen für die Videokonferenz, holt der Verantwortliche die erforderliche Einwilligung ein. Dazu verarbeitet er Name, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.

3Der Verantwortliche führt Gespräche per Videokonferenz. Dabei verarbeitet er die entstehenden Bild- und Tondaten sowie etwaige Transkripte. Zweck ist die vertragsbezogene Kommunikation mit den betroffenen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO. Das Verbot des Art. 9 Abs. 1 DSGVO steht dem nicht entgegen, da hier die Ausnahme des Art. 9 Abs. 2 lit. a DSGVO greift.

Übermittlung von Daten an eine Steuerberatungskanzlei

Der Verantwortliche übermittelt die steuerlich relevanten Daten (Rechnungen, Zahlungseingänge usw.) an eine externe Steuerberatungskanzlei. Dazu gehören folgende Daten: Name, Kontaktdaten, alle steuerlich relevanten Daten, die die betroffenen Personen freiwillig angeben. Zweck der genannten Verarbeitungen ist die Einholung externer steuerrechtlicher Unterstützung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Soweit Daten von der externen Steuerberatungskanzlei verarbeitet werden, liegt keine Auftragsverarbeitung vor (vgl. DSK-Kurzpapier Nr. 13), sondern eine Datenübermittlung, die ihrerseits durch Art. 6 Abs. 1 S. 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich somit um sonstiges Outsourcing.

Bewertungen/Testimonials

1Der Verantwortliche holt Testimonials der betroffenen Personen ein.

2Zunächst bittet er um die Einwilligung dafür und dokumentiert die Antwort. Dazu verarbeitet er Name, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.

3Wird die Einwilligung erteilt, geschieht Folgendes: Der Verantwortliche sammelt die Testimonials und veröffentlicht sie, soweit die erteilte Einwilligung dies zulässt. Dabei werden folgende Daten verarbeitet: Name, Status der Einwilligung, Datum der Entscheidung. Zweck der Verarbeitung ist die Darstellung des Verantwortlichen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Video-Testimonials

1In bestimmten ausgewählten Fällen ermöglicht der Verantwortliche betroffenen Personen, ein Video-Testimonial abzugeben.

2Entscheiden sich die betroffenen Personen dafür, holt der Verantwortliche die erforderliche Einwilligung ein. Dazu verarbeitet er Name, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.

3Der Verantwortliche produziert das Video-Testimonial und veröffentlicht es, soweit die Einwilligung dies zulässt. Dabei werden folgende Daten verarbeitet: Name, Bild- und Tondaten. Zweck ist die Darstellung des Verantwortlichen in der Öffentlichkeit. Rechtsgrundlage ist die Einwilligung der betroffenen Personen im Sinne von Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Werbliche Kommunikation per E-Mail (berechtigtes Interesse)

Der Verantwortliche nutzt die E-Mail-Adressen der betroffenen Personen zu Werbezwecken. Dabei verarbeitet er folgende Daten: Name, E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem Vertragsstatus und Erwägungsgrund 47 DSGVO ergibt.

Werbliche Kommunikation per Post (berechtigtes Interesse)

Der Verantwortliche nutzt die Anschriften der betroffenen Personen, um ihnen Werbung per Post zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem Vertragsstatus und Erwägungsgrund 47 DSGVO ergibt.

Werbeanrufe per Telefon (Einwilligung)

1Der Verantwortliche nutzt die Telefonnummern der betroffenen Personen, um sie zu Werbezwecken zu kontaktieren.

3Der Verantwortliche nutzt die Telefonnummern, um die betroffenen Personen zu Werbezwecken zu kontaktieren. Dabei verarbeitet er folgende Daten: Name, Telefonnummer. Rechtsgrundlage ist die Einwilligung der betroffenen Personen im Sinne von Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Einsatz großer Sprachmodelle

Im Rahmen der Vertragsanbahnung und der aktiven Vertragsdurchführung werden Kundendaten mithilfe eines KI-Systems in Form eines großen Sprachmodells (LLM) verarbeitet. Das läuft wie folgt ab:

a.Eingabe des Prompts: Beschäftigte des Verantwortlichen geben relevante Informationen oder Fragen zum Kunden oder zur vertragsbezogenen Kommunikation als Prompt in das Eingabefeld des Systems ein.

b.Tokenisierung: Die IT-Anwendung wandelt den eingegebenen Prompt in eine für das LLM verständliche Form um, indem sie den Text in einzelne Einheiten (Tokens) zerlegt. So kann das Modell Struktur und Inhalt analysieren.

c.Verarbeitung durch das Modell: Die Tokens durchlaufen zahlreiche Schichten des KI-Modells, die Kontext, Bedeutung und Zusammenhänge erkennen. Jede Schicht trägt zu einer besseren Analyse des Prompt-Inhalts bei.

d.Generierung der Antwort: Das Modell nutzt das erlernte Wissen, um auf Grundlage des Prompts eine Antwort zu erzeugen. Dabei sagt es Token für Token voraus, wie eine passende Antwort fortgesetzt wird, bis der Text vollständig ist.

e.Umwandlung in lesbaren Text: Die vom Modell erzeugten Tokens werden wieder in lesbaren Text umgewandelt und den Beschäftigten des Verantwortlichen angezeigt. Die Antwort beruht sowohl auf den Trainingsdaten des Modells als auch auf den konkreten Vorgaben im Prompt.

Dabei werden folgende Daten verarbeitet: Daten aus dem aktiven Vertragsverhältnis (z. B. Name und Kontaktdaten des Kunden, aktuelle Vertragsinhalte, Leistungs- oder Zahlungsdetails, Daten aus vertragsbezogener Kommunikation und Korrespondenz). Die Verarbeitung dient der Durchführung und Betreuung eines bestehenden Vertragsverhältnisses, der Analyse und Beantwortung vertragsbezogener Fragen, der Unterstützung im Kundenservice und der Vertragserfüllung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Outsourcing: Empfänger, Auftragsverarbeiter (Kunden)

Folgende Empfänger und sonstige externe Stellen erhalten in diesem Zusammenhang Daten der betroffenen Personen:

Google (Suite):

Es werden verschiedene Anwendungen der Google Ireland Ltd. (Irland – EU) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Die nicht auszuschließende Übermittlung von Daten in ein Drittland (hier an die Google LLC in den USA) ist gemäß Art. 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•Google Workspace

•Google Looker Studio

•Google Gemini (KI-Anwendung)

Hyros:

Es wird das Analyse-Tool Hyros der Hyros, Inc. (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Der Sitz des Drittanbieters außerhalb der EU steht der Beauftragung nicht entgegen, da die Übermittlung gemäß Art. 45 DSGVO gerechtfertigt ist.

Datev:

Es wird das Buchhaltungs-Tool „Datev“ der Datev eG (Deutschland – EU) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde.

Externe Steuerberatungskanzlei:

Die Buchhaltungsdaten werden an eine externe Steuerberatungskanzlei übermittelt. Soweit Daten von der Steuerberatungskanzlei verarbeitet werden, liegt keine Auftragsverarbeitung vor (vgl. DSK-Kurzpapier Nr. 13), sondern eine Datenübermittlung, die ihrerseits durch Art. 6 Abs. 1 S. 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich somit um sonstiges Outsourcing.

AWS (Suite):

Es werden verschiedene Anwendungen der Amazon Web Services EMEA SARL (Luxemburg – EU) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Die nicht auszuschließende Übermittlung von Daten in ein Drittland (hier an die Amazon Web Services Inc., USA) ist bei Beschäftigtendaten gemäß Art. 46 DSGVO und bei allen übrigen Daten gemäß Art. 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•AWS Cloud

Slack:

Es wird das Kollaborations-Tool „Slack“ der Slack Technologies Ireland Limited (Irland – EU) eingesetzt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 45 DSGVO gerechtfertigt.

Zoom:

Es wird das Webinar- und Videokonferenz-Tool „Zoom“ der Zoom Video Communications, Inc. (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 45 DSGVO gerechtfertigt.

Intercom:

Es wird das Automatisierungs-Tool „Intercom“ der Intercom, Inc. (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 45 DSGVO gerechtfertigt.

Stripe:

Es wird der Zahlungsdienst „Stripe“ der Stripe Payments Europe, Ltd. (Irland – EU) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Die Stripe Payments Europe, Ltd. ist eine Tochtergesellschaft der Stripe, Inc. mit Sitz in den USA. Die Stripe Payments Europe, Ltd. unterliegt dem europäischen Datenschutzrecht. Vom Verantwortlichen werden insbesondere folgende Daten verarbeitet: (1) die Information, dass die betroffenen Personen diesen Dienst nutzen, (2) Betrag und Zeitpunkt der Zahlung durch die betroffenen Personen, (3) personenbezogene Daten und Kontoinformationen, die zur Abwicklung der Transaktion erforderlich sind, und (4) personenbezogene Daten, die der Verantwortliche zur Klärung von Konflikten sowie zur Prüfung und Verhinderung von Betrug benötigt. Die Informationen zu 2, 3 und 4 erhält der Verantwortliche vom Drittanbieter.

OpenAI-ChatGPT:

Im Zusammenhang mit dem Einsatz künstlicher Intelligenz wird das API-Tool „OpenAI API“ der OpenAI, LLC (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 46 DSGVO gerechtfertigt.

Claude:

Im Zusammenhang mit dem Einsatz künstlicher Intelligenz wird das Tool „Claude“ der Anthropic PBC (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Der Sitz dieses Anbieters außerhalb der Europäischen Union steht seiner Beauftragung nicht entgegen. Denn er hat sich gemäß den EU-Standardvertragsklauseln verpflichtet, sodass die Übermittlung nach Art. 46 DSGVO gerechtfertigt ist.

HubSpot (Suite):

Es werden verschiedene Anwendungen der HubSpot, Inc. (USA) eingesetzt. Die Übermittlung von Daten in ein Drittland (hier in die USA) ist nicht auszuschließen und bei Beschäftigtendaten gemäß Art. 46 DSGVO, bei allen übrigen Daten gemäß Art. 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•HubSpot CRM

•HubSpot Marketing Hub

Mailchimp:

Es werden die Automatisierungs-Tools „Mailchimp“ / „Mandrill“ der The Rocket Science Group LLC d/b/a Mailchimp (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland ist gemäß Art. 45 DSGVO gerechtfertigt.

Datenschutzhinweise für Besucher der Website

Die Angaben in diesem Abschnitt richten sich nur an Besucher der Website:

Erwartbare Standard-Datenverarbeitung

Informatorische Nutzung:

Darstellung der Website

Die betroffenen Personen nutzen die Website zunächst informatorisch, d. h., sie besuchen die Website, ohne aktiv mit ihr zu interagieren. In diesem Fall erhebt der Verantwortliche folgende Daten der betroffenen Personen, soweit dies für die Darstellung der Website technisch erforderlich ist: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Website, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware. Zweck ist die Darstellung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt.

Geltendmachung von Rechten

Konflikte im Nutzungsverhältnis

Kommt es zu einem Rechtsstreit zwischen den betroffenen Personen und dem Verantwortlichen, werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben und gegebenenfalls externen Rechtsrat einzuholen. Dabei werden folgende Daten verarbeitet: Name, Kontaktdaten, alle Vorgänge im Zusammenhang mit dem Rechtsstreit. Die Verarbeitung dient der Einholung externer rechtlicher Beratung/Unterstützung und der Wahrnehmung der Rechte des Verantwortlichen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus den genannten Zwecken ergibt. Soweit Daten extern verarbeitet werden, liegt keine Auftragsverarbeitung vor (vgl. DSK-Kurzpapier Nr. 13), sondern eine Datenübermittlung, die ihrerseits durch Art. 6 Abs. 1 S. 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich somit um sonstiges Outsourcing.

Löschung:

Nach Ablauf der Aufbewahrungsfristen (siehe unten „Nach Ende der Nutzung“) werden die Daten gelöscht. Die Löschung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 1 lit. a und e DSGVO.

Nach Ende der Nutzung

Speicherung nach deutschem Recht

1Nach Ende der Nutzung der Website werden alle oben genannten, noch gespeicherten Daten aufbewahrt. Zweck und Rechtsgrundlage der Aufbewahrung ergeben sich aus der nachfolgenden Liste der Aufbewahrungsfristen (Absatz 2).

2Es gelten folgende Aufbewahrungsfristen:

a.Aufbewahrungsfrist 1: Daten, die entstehen, wenn betroffene Personen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche auf den Anspruch antwortet. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus der Verjährung von Schadensersatzansprüchen (§§ 195, 199 Abs. 1 BGB) und ergänzend aus der Verfolgungsverjährung nach Ordnungswidrigkeitenrecht (§ 31 Abs. 2 Nr. 1 OWiG i. V. m. Art. 83 DSGVO).

b.Aufbewahrungsfrist 2: Daten, die entstehen, wenn betroffene Personen sonstige Ansprüche gegenüber dem Verantwortlichen geltend machen, werden drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche auf diese Ansprüche antwortet. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus der Verjährung von Schadensersatzansprüchen (§§ 195, 199 Abs. 1 BGB).

c.Aufbewahrungsfrist 3: Daten, die auf einer Einwilligung beruhen, werden bis zum Widerruf der Einwilligung oder bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufbewahrt, je nachdem, was zuerst eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Art. 6 Abs. 1 S. 1 lit. a DSGVO.

d.Aufbewahrungsfrist 4: Daten, die die Erteilung einer Einwilligung belegen, werden 3 Jahre aufbewahrt, beginnend mit dem Zeitpunkt, zu dem die Einwilligung widerrufen wird oder der Zweck entfällt, je nachdem, was zuerst eintritt. Die Verarbeitung dient der Wahrung des Interesses an der Abwehr von Ansprüchen und beruht auf Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Abs. 2 Nr. 1 OWiG i. V. m. Art. 83 DSGVO).

Löschung der Daten

Nach Ablauf der Aufbewahrungsfristen werden die Daten gelöscht. Die Löschung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 1 lit. a und e DSGVO.

Nicht routinemäßige Datenverarbeitung

Externes Webhosting

Der Verantwortliche nutzt einen externen Webhoster, um die Website darzustellen und die dafür erforderlichen Daten zu verarbeiten. Dabei verarbeitet er folgende Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Website, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware. Zweck ist die Darstellung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt.

Cookie-Einwilligung

Der Verantwortliche überlässt der betroffenen Person die Wahl, ob sie in den Einsatz von Cookies einwilligt, und nutzt dafür ein Cookie-Consent-Tool. Dabei verarbeitet er folgende Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Website, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware, Einwilligungsstatus, Datum der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.

Formular

Der Verantwortliche stellt auf der Website ein Formular-Tool bereit. Es dient der Kommunikation zwischen den betroffenen Personen und dem Verantwortlichen; die Eingaben der betroffenen Personen werden dokumentiert und an den Verantwortlichen übermittelt. Dabei werden folgende Daten verarbeitet: Daten zu Inhalt, Art und Umfang der Eingaben im jeweiligen Formular. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Zahlung

Die betroffenen Personen besuchen die Website und geben Erklärungen ab (z. B. Ankreuzen von Kästchen, Entscheidungen im Warenkorb), um einen kostenpflichtigen Vertrag abzuschließen. Dafür bietet der Verantwortliche die Möglichkeit der Online-Zahlung. Dazu werden die betroffenen Personen an einen externen Zahlungsdienstleister weitergeleitet, der den Zahlungsauftrag entgegennimmt, ausführt und dem Verantwortlichen den Abschluss der Zahlung bestätigt. Dabei werden folgende Daten verarbeitet: Zahlungsstatus. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Auf dieser Website können sich betroffene Personen für die Nutzung eines internen Bereichs registrieren, sich anschließend dort anmelden und schließlich wieder abmelden. Bei der Registrierung für den internen Bereich erhebt der Verantwortliche die Daten, die die betroffenen Personen im Registrierungsprozess angeben. Innerhalb des internen Bereichs zeichnet der Verantwortliche die Aktionen der betroffenen Personen auf, soweit dies erforderlich ist, um die Funktionen des internen Bereichs bereitzustellen. Dabei werden folgende Daten verarbeitet: (1) die von den betroffenen Personen eingegebenen Registrierungsdaten, (2) Daten zu Anmeldungen, (3) Daten zu Aktionen der betroffenen Personen im Login-Bereich, (4) Daten zum Abmeldestatus. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

E-Mail-Automatisierung und Werbung per E-Mail (berechtigtes Interesse)

Der Verantwortliche erhebt auf der Website Daten, die er für automatisierte Kommunikation verarbeitet, und zwar sowohl (1) zu vertraglichen als auch (2) zu Werbezwecken. Dabei verarbeitet er folgende Daten: Name, E-Mail-Adressen, Tags (die bestimmte Merkmale kennzeichnen, z. B. Bestandskunden, Interessenten usw.), Kommunikationsdaten, Angaben zum Leseverhalten (Zeitpunkt des Öffnens der E-Mail, Antwortstatus). Zweck (1) ist die Anbahnung und/oder Durchführung von Verträgen, Zweck (2) ist Werbung bzw. Direktmarketing. Rechtsgrundlage für Zweck (1) ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Rechtsgrundlage für Zweck (2) ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck (2) ergibt.

Analyse des Nutzungsverhaltens

Zur Analyse des Nutzungsverhaltens der betroffenen Personen auf dieser Website werden Cookies eingesetzt. Das sind Textdateien, die auf dem Computer der betroffenen Personen gespeichert werden und eine Analyse der Website-Nutzung ermöglichen. Die Informationen zum Nutzungsverhalten werden verwendet, um Berichte über Aktivitäten und Interaktionen zu erstellen. Der Verantwortliche nutzt diese Daten, um das Nutzungserlebnis auf der Website regelmäßig zu verbessern. Die gewonnenen Statistiken ermöglichen es ihm außerdem, sein Angebot zu verbessern, um das Interesse der betroffenen Personen gezielter auf für sie passende Produkte und Leistungen zu lenken. Weitere Einzelheiten finden sich unten in den Angaben zu den Drittanbietern. Verarbeitet werden folgende Daten: cookiebasierte Daten zu Interaktionen (insbesondere Abfolge der Interaktionen, Verweildauer). Zweck ist die Optimierung dieser Website und eine verbesserte werbliche Ansprache der betroffenen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Social Media

Der Verantwortliche nutzt soziale Medien und soziale Netzwerke. Er hat keinen Einfluss auf die erhobenen Daten und Verarbeitungsvorgänge und kennt weder den vollen Umfang der Datenerhebung noch die Zwecke der Verarbeitung, die Speicherfristen und die Umstände der Löschung personenbezogener Daten vollständig. Besuchen betroffene Personen die Unternehmens- und Produktseiten des Verantwortlichen in sozialen Medien oder Werbeanzeigen (sogenannte Ads), ist es möglich, dass die Anbieter der sozialen Medien und Netzwerke die über sie erhobenen Daten als Nutzungsprofile speichern und für Zwecke der Werbung, Marktforschung und/oder bedarfsgerechten Gestaltung ihrer Websites verwenden. Weitere Einzelheiten finden sich unten in den Angaben zu den Drittanbietern. Für die Verantwortlichkeit für diese Datenverarbeitung gilt: Soweit der Verantwortliche die Interaktionen von Besuchern mit seiner Unternehmensseite auswertet, sind er und der jeweilige Drittanbieter des sozialen Netzwerks oder Mediums datenschutzrechtlich gemeinsam verantwortlich, und zwar gemäß Art. 26 DSGVO.

In allen übrigen Fällen ist der jeweilige Drittanbieter des sozialen Netzwerks oder Mediums gemäß Art. 28 DSGVO beauftragt. Dabei werden folgende Daten verarbeitet: cookie- oder pixelbasierte Daten zu Interaktionen mit der Website und den Unternehmens- und/oder Produktseiten des Verantwortlichen sowie gegebenenfalls E-Mail-Adresse, Name und Kommunikationsdaten. Weitere Einzelheiten finden sich unten in den Angaben zu den Drittanbietern. Zweck ist die Darstellung des Verantwortlichen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Einbindung von Videos

In die Website sind Plugins eines Videoportals eingebunden. Bei jedem Aufruf einer Seite, die einen oder mehrere Videoclips anbietet, wird eine direkte Verbindung zwischen dem Browser der betroffenen Person und einem Server des Videoportals hergestellt. Dabei werden folgende Daten verarbeitet: cookiebasierte Daten mit folgenden Informationen: (1) die Information, dass die betroffenen Personen diese Website (und gegebenenfalls die konkrete Unterseite) besucht haben, (2) die Information, dass ein bestimmtes Video angeklickt wurde. Weitere Einzelheiten finden sich unten in den Angaben zu den Drittanbietern. Zweck ist die Darstellung von Videos, die Optimierung dieser Website und eine verbesserte werbliche Ansprache der betroffenen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Ads/Remarketing

Der Verantwortliche schaltet Werbeanzeigen, sogenannte Ads, in sozialen Medien wie Suchmaschinen oder sozialen Netzwerken. Diese Ads werden den betroffenen Personen angezeigt, nachdem sie die Website des Verantwortlichen besucht haben und auf ihrem Endgerät ein Cookie gesetzt wurde, das sie wiedererkennt (sogenanntes Remarketing). Dabei werden folgende Daten verarbeitet: cookie- oder pixelbasierte Daten zu Interaktionen mit der Website und den Unternehmens- und/oder Produktseiten des Verantwortlichen. Zweck der Verarbeitung ist die Darstellung des Verantwortlichen und die werbliche Ansprache der betroffenen Person. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Externe Schriftarten

Im Zusammenhang mit der Website werden externe Schriftartenverzeichnisse abgerufen. Dabei werden Daten an externe Drittanbieter übermittelt, die damit Ergebnisse und Erfolg bestimmter Schriftarten ermitteln, um ihr eigenes Angebot zu optimieren. Konkret geschieht Folgendes: Sobald die betroffenen Personen diese Website besuchen, senden ihre Browser HTTP-Anfragen an den jeweiligen externen Drittanbieter der Schriftarten. Die dabei angefragte URL identifiziert die Schriftfamilien. Diese Daten werden protokolliert, damit der jeweilige externe Drittanbieter ermitteln kann, wie oft eine bestimmte Schriftfamilie angefragt wird. Außerdem wird die Schriftart an den jeweiligen Browsertyp angepasst, was wiederum die Erhebung und Speicherung von Daten zum Browsertyp erfordert. Auch daraus entstehen Statistiken, die wiederum zur Optimierung der Schriftarten genutzt werden. Schließlich wird die Referrer-URL protokolliert, damit die Daten für die Wartung der Produktion genutzt und anhand der Anzahl der Schriftartanfragen ein aggregierter Bericht über die häufigsten Einbindungen erstellt werden kann. Die Speicherdauer hängt vom jeweiligen Anbieter ab. Verarbeitet werden folgende Daten: cookiebasierte Daten zu Interaktionen (insbesondere Abfolge der Interaktionen, Verweildauer). Diese Daten werden verarbeitet, um aggregierte Nutzungsstatistiken zu erstellen, die die Beliebtheit von Schriftfamilien messen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Missbrauch melden

Betroffene Personen können den Missbrauch von Onepage-Websites über ein Formular melden. Dabei müssen sie die Art des Missbrauchs, eine Beschreibung des Missbrauchs und die URL angeben. Der Verantwortliche prüft, ob die URL zu einer Website führt, die mit Onepage erstellt wurde und von Onepage bereitgestellt wird. Zweck ist die Vermeidung von Haftungsrisiken. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem genannten Zweck ergibt.

Outsourcing: Empfänger, Auftragsverarbeiter (Website-Besucher)

Folgende Empfänger und sonstige externe Stellen erhalten in diesem Zusammenhang Daten der betroffenen Personen:

Google (Suite):

Es werden verschiedene Anwendungen der Google Ireland Ltd. (Irland – EU) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier an die Google LLC in den USA) ist gemäß Art. 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•Google Workspace

•Google Gemini (KI-Anwendung)

•Google Cloud Platform (Hosting)

•Google Analytics

Ergänzend gilt: Google Analytics hilft, das Nutzungsverhalten auf der Website zu analysieren. Die IP-Adresse wird vom Drittanbieter innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server des Drittanbieters in den USA übertragen und dort gekürzt. Die im Rahmen dieses Tools vom Browser übermittelte IP-Adresse wird vom Drittanbieter nicht mit anderen Daten zusammengeführt. Das Tool wird außerdem für die geräteübergreifende Analyse von Besucherströmen eingesetzt, die über eine User-ID erfolgt.

•Google Tag Manager

Ergänzend gilt: Mit diesem Tool kann der Verantwortliche verschiedene Codes und Dienste geordnet und vereinfacht in diese Website einbinden. Das Tool implementiert die Tags bzw. löst die damit verknüpften Tags aus. Wird ein Tag ausgelöst, kann auch der Drittanbieter personenbezogene Daten verarbeiten.

•Google DoubleClick

Hierzu ist Folgendes anzumerken: DoubleClick verwendet Cookies, um für die betroffenen Personen relevante Anzeigen zu schalten, die Berichte zur Kampagnenleistung zu verbessern oder zu verhindern, dass betroffene Personen dieselben Anzeigen mehrfach sehen. Über eine Cookie-ID erfasst der Drittanbieter, welche Anzeigen in welchem Browser geschaltet werden, und kann so verhindern, dass sie mehrfach angezeigt werden. Darüber hinaus kann DoubleClick mithilfe von Cookie-IDs sogenannte Conversions erfassen, die sich auf Anzeigenanfragen beziehen. Das ist etwa der Fall, wenn betroffene Personen eine DoubleClick-Anzeige sehen und später mit demselben Browser die Website des Verantwortlichen aufrufen und dort etwas kaufen. Aufgrund der eingesetzten Marketing-Tools baut der Browser automatisch eine direkte Verbindung mit dem Server des Drittanbieters auf. Durch die Einbindung von DoubleClick erhält der Drittanbieter die Information, dass die betroffenen Personen den entsprechenden Teil der Website aufgerufen oder eine Anzeige des Verantwortlichen angeklickt haben. Sind die betroffenen Personen bei einem Dienst des Drittanbieters registriert, kann dieser den Besuch dem jeweiligen Konto der betroffenen Personen zuordnen. Selbst wenn die betroffenen Personen nicht beim Drittanbieter registriert sind oder sich nicht eingeloggt haben, besteht die Möglichkeit, dass der Drittanbieter ihre IP-Adresse in Erfahrung bringt und speichert.

•Google Ads / Google Remarketing

Hierzu ist Folgendes anzumerken: Interagieren betroffene Personen online mit dem Verantwortlichen, etwa durch den Besuch dieser Website, können sie über Cookies (sogenannte Ad-Server-Cookies) als geeignete Empfänger von Werbeanzeigen, sogenannten „Ads“, identifiziert werden. Mit diesen Cookies lässt sich auch der Erfolg einer Kampagne messen und auswerten. Besuchen die betroffenen Personen anschließend die Social-Media-Präsenz des Drittanbieters, etwa seine Suchmaschine, werden sie wiedererkannt und bekommen die „Ads“ des Verantwortlichen angezeigt („Remarketing“). Dies geschieht, indem der jeweilige Browser der betroffenen Personen automatisch eine direkte Verbindung mit dem Server des Drittanbieters aufbaut. Die Ads werden dann über Google-Ad-Server ausgeliefert. Die dafür eingesetzten Ad-Server-Cookies verlieren in der Regel nach 30 Tagen ihre Gültigkeit und sollen die betroffenen Personen nicht persönlich identifizieren. Als Analysewerte werden zu diesem Cookie in der Regel die eindeutige Cookie-ID, die Anzahl der Ad-Impressions pro Platzierung (Frequency), die letzte Impression (relevant für Post-View-Conversions) sowie Opt-out-Informationen (Markierung, dass die Person nicht mehr angesprochen werden möchte) gespeichert. Betroffene Personen können das Tracking erschweren und verhindern, etwa (a) durch eine entsprechende Einstellung ihrer Browsersoftware (insbesondere führt die Unterdrückung von Drittanbieter-Cookies dazu, dass sie keine Anzeigen von Drittanbietern erhalten) oder (b) durch die Deaktivierung der Cookies für das Conversion-Tracking, indem sie ihren Browser so einstellen, dass Cookies von der Domain des betreffenden Drittanbieters blockiert werden; diese Einstellung wird gelöscht, wenn die betroffenen Personen ihre Cookies löschen. Zweck ist die Darstellung des Verantwortlichen, die Analyse des Nutzungsverhaltens in Bezug auf die Interaktion mit dieser Website und die Kommunikation mit den betroffenen Personen über die hier dargestellten sozialen Medien (gegebenenfalls zu Werbezwecken).

•Google Looker Studio

•Google Fonts

Hierzu ist Folgendes anzumerken: Google Fonts ist ein Verzeichnis externer Schriftarten, die hier eingebunden sind. IP-Adressen werden auf Google-Servern weder protokolliert noch gespeichert noch ausgewertet. Die Google Fonts Web API protokolliert Details der HTTP-Anfragen (angeforderte URL, User-Agent und Referrer-URL). Der Zugriff auf diese Daten ist eingeschränkt und streng kontrolliert. Google verwendet keine der von Google Fonts erhobenen Informationen, um Profile von Endnutzern zu erstellen. Auf dem Endgerät der Endnutzer werden nur die Schriftarten (ein Jahr) und die zugehörigen CSS-Dateien (ein Tag) gespeichert.

•Google Meet

•YouTube (Grundsatz)

Hierzu ist Folgendes anzumerken: YouTube ist ein Portal, auf dem Videos gezeigt werden.

•YouTube (eigener Kanal)

Hierzu ist Folgendes anzumerken: Der Verantwortliche betreibt einen eigenen YouTube-Kanal.

•YouTube (Plugin)

Hierzu ist Folgendes anzumerken: Der Verantwortliche hat auf der Website ein YouTube-Plugin eingebunden, das beim Anklicken zu YouTube und dem Kanal führt und dabei auch die Daten der betroffenen Personen verarbeitet.

Microsoft (Suite):

Es werden verschiedene Anwendungen der Microsoft Corporation (USA) eingesetzt, die gemäß Art. 28 DSGVO beauftragt wurde. Die nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•Microsoft Advertising

•Bing Ads

Meta (soziales Netzwerk):

Es werden die sozialen Netzwerke und Medien der Meta Platforms Ireland Limited (Irland – EU) genutzt. Es ist jedoch nicht auszuschließen, dass Daten an die Muttergesellschaft Meta Platforms Inc. (USA) übermittelt oder mit ihr zusammengeführt werden. Soweit der Verantwortliche und der genannte Anbieter gemeinsam verantwortlich sind, ist die Vereinbarung hier abrufbar: https://www.facebook.com/legal/terms/page_controller_addendum. Dort finden sich alle Informationen zum Anwendungsbereich und zur Aufgabenverteilung. In allen übrigen Fällen ist der genannte Anbieter gemäß Art. 28 DSGVO beauftragt. Die nicht auszuschließende Übermittlung von Daten in ein Drittland (hier an die Meta Platforms Inc., USA) ist bei Beschäftigtendaten gemäß Art. 46 DSGVO und bei allen übrigen Daten gemäß Art. 45 DSGVO gerechtfertigt. Folgende soziale Netzwerke, Medien und/oder Tools werden eingesetzt:

•Facebook (Unternehmensseite)

•Facebook (Plugin)

•Facebook (Pixel)

•Facebook (Ads)

•Instagram (Unternehmensseite)

•Instagram (Plugin)

•Instagram (Pixel)

•Instagram (Ads)

LinkedIn (soziales Netzwerk):

Es wird das soziale Netzwerk „LinkedIn“ der LinkedIn Ireland Unlimited Company (Irland – EU) genutzt. Es ist jedoch nicht auszuschließen, dass Daten an die Muttergesellschaft LinkedIn Corporation (USA) übermittelt oder mit ihr zusammengeführt werden. Die Übermittlung von Daten in ein Drittland (hier in die USA) ist nicht auszuschließen und gemäß Art. 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•LinkedIn (Unternehmensseite)

•LinkedIn (Plugin)

•LinkedIn (Ads)

•LinkedIn (Recruiting)

TikTok (soziales Netzwerk):

Es wird das soziale Netzwerk „TikTok“ genutzt, das gemeinsam von der TikTok Technology Limited (EU – Irland) und der TikTok Information Technologies UK Limited (Vereinigtes Königreich Großbritannien und Nordirland) angeboten wird. In der Datenschutzerklärung der Drittanbieter heißt es jedoch, dass sie Daten auch an andere Unternehmen ihrer „Unternehmensgruppe“ weitergeben, ohne anzugeben, welche Unternehmen zu dieser Gruppe gehören. Trotz gegenteiliger öffentlicher Aussagen ist daher nicht auszuschließen, dass die Daten an Unternehmen in den USA und/oder der Volksrepublik China, insbesondere an die Muttergesellschaft Beijing Bytedance Technology Ltd. (Volksrepublik China), übermittelt und dort auch verarbeitet werden. Soweit der Verantwortliche und die Drittanbieter des hier dargestellten sozialen Netzwerks oder Mediums gemeinsam verantwortlich sind, haben sie eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO vereinbart. In allen übrigen Fällen ist der Anbieter des sozialen Netzwerks oder Mediums gemäß Art. 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 49 Abs. 1 lit. a DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•TikTok (Unternehmensseite)

•TikTok (Plugin)

•TikTok (Pixel)

•TikTok (Ads)

X (soziales Netzwerk):

Es wird das soziale Netzwerk „X“ der Twitter International Company (Irland – EU) genutzt. Es ist jedoch nicht auszuschließen, dass Daten an die Muttergesellschaft X Corp. (USA) übermittelt oder mit ihr zusammengeführt werden. Einzelheiten dazu, wie dieser Drittanbieter Daten verarbeitet, sind hier beschrieben: https://twitter.com/de/privacy. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier in die USA) ist gemäß Art. 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

•X (Unternehmensseite)

•X (Plugin)

•X (Ads)

HubSpot (Suite):

•HubSpot CRM

•HubSpot Marketing Hub

Mailchimp:

Glossar

Es folgt ein Glossar. Nicht alle darin erläuterten Begriffe spielen zwingend eine Rolle für die hier beschriebenen Datenverarbeitungen. Sie dienen lediglich dem allgemeinen Verständnis und der Transparenz.

1.Personenbezogene Daten. Das sind alle Informationen, die direkt oder indirekt Rückschlüsse auf natürliche Personen, also Menschen, zulassen.

2.Verarbeitung personenbezogener Daten. Jeder aktive oder passive Umgang mit personenbezogenen Daten, von der Erhebung über die eigentliche Verarbeitung bis zur Löschung.

3.Verantwortlicher. Das ist die natürliche oder juristische Person oder sonstige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Der Verantwortliche ist im Abschnitt „Verantwortlicher“ näher bezeichnet.

4.Betroffene Person. Das ist die identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.

5.Einwilligung. Das ist eine nachweisbare, freiwillig vor der Verarbeitung personenbezogener Daten abgegebene Willenserklärung, die die konkrete Verarbeitung der personenbezogenen Daten der erklärenden betroffenen Person erlaubt.

6.Social Media / Unternehmens- und/oder Produktseite. Diese Formulierung bedeutet, dass der Verantwortliche auf einer Social-Media-Plattform eine Unternehmens- oder Produktseite unterhält, die auch mit der Website verlinkt ist. Klicken die betroffenen Personen auf diesen Link (gemeint ist der Link zur Unternehmens- oder Produktseite), gelangen sie zum Profil des Verantwortlichen.

7.Social Media / Plugin. Diese Formulierung bedeutet, dass der Verantwortliche ein Plugin eines Drittanbieters eines sozialen Netzwerks oder Mediums in die Website eingebunden hat. Klicken die betroffenen Personen auf dieses Plugin, gelangen sie zum Profil des Verantwortlichen. Der Verantwortliche nutzt die sogenannte Zwei-Klick-Lösung. Das bedeutet, dass nach dem Klick zunächst keine personenbezogenen Daten an den jeweiligen Drittanbieter des Plugins weitergegeben werden. Der Drittanbieter ist an der Gestaltung des Plugins erkennbar (z. B. am Logo). Über den Button ermöglicht der Verantwortliche den betroffenen Personen, direkt mit dem Drittanbieter des Plugins zu kommunizieren. Erst wenn sie auf das markierte Feld klicken und es dadurch aktivieren, erhält der Drittanbieter die Information, dass die betroffenen Personen diese Website aufgerufen haben. Erst dann werden die Daten übermittelt. Mit der Aktivierung des Plugins werden personenbezogene Daten der betroffenen Personen an den jeweiligen Drittanbieter übermittelt. Diese Datenübermittlung erfolgt unabhängig davon, ob die betroffenen Personen beim jeweiligen Drittanbieter ein Konto haben und dort eingeloggt sind. Sind sie beim Drittanbieter eingeloggt, werden ihre vom Verantwortlichen erhobenen Daten direkt dem Konto zugeordnet, das die betroffenen Personen beim jeweiligen Drittanbieter unterhalten.

8.Social Media / Ads. Diese Formulierung bedeutet, dass der Verantwortliche in einem sozialen Medium sogenannte „Ads“ (Werbeanzeigen) nutzt. Mithilfe der „Ads“ kann der Verantwortliche innerhalb des jeweiligen sozialen Netzwerks oder Mediums auf seine Angebote aufmerksam machen. Er kann ermitteln, wie erfolgreich die einzelnen Werbemaßnahmen im Verhältnis zu den Daten aus den Werbekampagnen sind. Ziel ist es, den betroffenen Personen „Ads“ zu zeigen, die für sie von Interesse sind, diese Website für sie interessanter zu gestalten und Werbekosten fair zu berechnen. Diese „Ads“ werden vom jeweiligen Drittanbieter ausgeliefert. Rufen die betroffenen Personen die Website des Verantwortlichen über Ads auf, die ihnen der jeweilige Drittanbieter anzeigt, wird auf ihren Computern ein Cookie gespeichert. Diese Cookies dienen grundsätzlich nicht dazu, die betroffenen Personen persönlich zu identifizieren.

9.Social Media / Pixel. Diese Formulierung bedeutet, dass der Verantwortliche sogenannte Pixel einsetzt. Das ist ein Analyse-Tool, mit dem der Verantwortliche die Wirksamkeit von Werbung messen kann. Es dient grundsätzlich dazu, die Aktionen von Personen auf einer Website zu verstehen und nachzuverfolgen. Der Verantwortliche hat das Pixel auf seiner Website implementiert, indem er den Pixel-Code im Header platziert hat. Besuchen betroffene Personen die Website und führen eine Aktion aus (z. B. einen Kauf), wird das Pixel ausgelöst und die Aktion gemeldet. So erfährt der Verantwortliche, wann betroffene Personen eine Aktion ausführen, und kann sie auswerten.

10.Social Media / Upload in Custom Audience. Diese Formulierung bedeutet, dass der Verantwortliche die Daten der betroffenen Personen (in der Regel ihre E-Mail-Adresse) bei einem Drittanbieter eines sozialen Netzwerks oder Mediums hochlädt, selbstverständlich erst nach Einholung einer Einwilligung. Dadurch kann der Verantwortliche den betroffenen Personen interessenbasierte Werbeanzeigen („Ads“) zeigen, wenn sie ein soziales Netzwerk oder Medium besuchen. Das läuft wie folgt ab: Der Verantwortliche lädt die Kontaktdaten (in der Regel die E-Mail-Adresse) beim jeweiligen Drittanbieter hoch. Der Drittanbieter prüft dann, ob die betroffenen Personen mit diesen Kontaktdaten bei ihm registriert sind. Ist das nicht der Fall, werden die Kontaktdaten nicht in die Custom Audience (eine Art Datenbank, die der Verantwortliche beim jeweiligen Drittanbieter führt) aufgenommen. Ist das der Fall, werden die Daten in die Custom Audience des Verantwortlichen aufgenommen. Besuchen die betroffenen Personen dann das soziale Netzwerk oder Medium des jeweiligen Drittanbieters, kann der Verantwortliche ihnen Werbeanzeigen zeigen, die für sie von Interesse sind.

11.Social Media oder Video-Einbindungen / Veröffentlichung von Medienaufnahmen. Diese Formulierung bedeutet, dass der Verantwortliche Medienaufnahmen der betroffenen Personen (Fotos, Audio- und/oder Filmaufnahmen) in das jeweilige soziale Medium oder Netzwerk bzw. auf das jeweilige Videoportal hochlädt und dort veröffentlicht.

12.Video-Einbindungen / Plugins. Dieser Begriff bedeutet, dass Plugins eines Videoportals in die Website des Verantwortlichen eingebunden sind. Bei jedem Aufruf einer Seite, die einen oder mehrere Videoclips anbietet, wird eine direkte Verbindung zwischen dem Browser der betroffenen Person und einem Server des jeweiligen Drittanbieters hergestellt. Der jeweilige Drittanbieter speichert die Daten der betroffenen Personen als Nutzungsprofile und nutzt sie für Zwecke der Werbung, Marktforschung und/oder bedarfsgerechten Gestaltung seiner Website. Eine solche Auswertung erfolgt insbesondere (auch für nicht eingeloggte betroffene Personen) zur Darstellung bedarfsgerechter Werbung und um andere Nutzer über die Aktivitäten der betroffenen Personen auf der Website des Verantwortlichen zu informieren. Der betroffenen Person steht ein Widerspruchsrecht gegen die Bildung dieser Nutzerprofile zu; zur Ausübung muss sie sich an den jeweiligen Drittanbieter wenden. Weitere Informationen zu Zweck und Umfang der Datenerhebung und ihrer Verarbeitung durch den jeweiligen Drittanbieter finden sich in dessen Datenschutzerklärung.

13.Video-Einbindungen / Eigener Kanal. Dieser Begriff bedeutet, dass der Verantwortliche einen eigenen Kanal auf dem Videoportal anbietet.

14.KI/Künstliche Intelligenz. Künstliche Intelligenz bezeichnet die Fähigkeit eines Systems, Aufgaben auszuführen, die normalerweise menschliche Intelligenz erfordern. Dazu gehören das Erkennen von Mustern, das Treffen von Entscheidungen, das Lernen neuer Informationen und die Anpassung an neue Situationen. KI nutzt Algorithmen und statistische Modelle, um Informationen zu analysieren und daraus Schlüsse zu ziehen.

15.KI-System. Das ist ein softwarebasiertes System, das mithilfe von Algorithmen Aufgaben autonom oder teilautonom ausführt (z. B. Google Gemini, ChatGPT).

16.KI-Modell. Ein KI-Modell ist ein mathematisches oder algorithmisches System, das durch maschinelles Lernen darauf trainiert wurde, bestimmte Aufgaben auszuführen. Es stützt sich auf Datensätze, um Muster zu erkennen, Vorhersagen zu treffen, Entscheidungen zu unterstützen oder andere automatisierte Funktionen auszuführen. KI-Modelle können verschiedene Formen annehmen, darunter neuronale Netze, Entscheidungsbäume oder statistische Algorithmen, und werden in der Regel eingesetzt, um datenbasierte Probleme effizient zu lösen.

17.LLM/Large Language Models. Große Sprachmodelle sind eine spezialisierte Form von KI-Modellen, die darauf trainiert sind, natürliche Sprache zu verstehen und zu erzeugen. Sie basieren häufig auf tiefen neuronalen Netzen und nutzen riesige Mengen an Textdaten, um ihre Sprachfähigkeiten zu entwickeln. LLMs können Aufgaben wie Textvervollständigung, Übersetzung, Konversation oder Stilanalyse übernehmen. Beispiele sind Modelle wie GPT (Generative Pre-trained Transformer) von OpenAI. Diese Modelle können menschlich klingende Texte erzeugen und kontextbezogene Antworten geben, was sie besonders nützlich für Anwendungen wie Chatbots, virtuelle Assistenten und Tools zur Content-Erstellung macht.