Source: https://www.zencomply.com/privacy/
Timestamp: 2019-03-23 00:54:44+00:00

Document:
DatenschutzerklärungJanos Konetschni2018-08-05T06:59:45+02:00
Datenschutz ist uns als Anbieter einer Datenschutz-App ganz besonders wichtig. Wir möchten Sie deshalb über die Verarbeitung personenbezogener Daten im Rahmen der Nutzung unserer Dienste von Zencomply informieren. Diese Datenschutzerklärung gilt für den gesamten Dienst Zencomply und dessen Anwendungen.
Verantwortlich für die Verarbeitung personenbezogener Daten ist M-IT 24 GmbH, Zweigstraße 16a 82216 Maisach bei München, Deutschland. Telefon: 089-54804900, E-Mail: hello(.at..)zencomply.com.
Bei der Benutzung unseres Portals – dazu zählt neben der Webseite http://www.zencomply.com vor allem auch der kostenpflichtige Mitgliederbereich – ist es erforderlich, dass Sie auch personenbezogene und/oder vertrauliche Informationen mitteilen. Ansonsten würde Zencomply nicht funktionieren, denn genau auf der Zencomply-Plattform möchten Sie ja Ihre Datenschutzthemen organisieren. Und um das zu ermöglichen, müssen wir ebendiese Informationen auf Zencomply verarbeiten.
Wir möchten fair, verständlich und transparent erklären, was unsere Webseite und unser Zencomply Portal machen und welche personenbezogenen Daten verarbeitet werden oder ggf. verarbeitet werden können.
Wir haben uns größte Mühe gegeben, alles sehr anschaulich zu beschreiben. Als Fachleute im Bereich Datenschutz wissen wir, dass Datenschutz ein äußerst komplexes Thema ist.
Wenn Sie Fragen zu unserer Webseite oder der Verarbeitung von personenbezogenen Daten auf unserer Webseite und im Mitgliederbereich haben, dann fragen Sie uns bitte. Fragen kosten nichts. Wir werden jede Anfrage schnell und unkompliziert beantworten.
Co-Founder Zencomply
Datenschutzbeauftragter DSB-TÜV, Betriebswirt (B.A.)
München, den 3.8.2018
Verarbeitung von Daten durch Zencomply
Wir verarbeiten personenbezogene Daten vor Allem, um unseren vertraglichen Pflichten gegenüber unseren Nutzern nachzukommen. Ohne diese Verarbeitung wäre es nicht möglich, den Dienst Zencomply und dessen Anwendungen bereitzustellen.
Um Ihnen unsere Internetseite und die damit verbundenen Dienste anbieten zu können, verarbeiten wir personenbezogene Daten auf Basis folgender Rechtsgrundlagen:
Sofern nicht in den einzelnen Passagen abweichend erläutert, verarbeiten wir die vorgenannten Daten für den Betrieb unserer Internetseite und für die Erfüllung von vertraglichen Pflichten gegenüber unseren Kunden bzw. der Wahrung unserer berechtigten Interessen. Bei Anfragen außerhalb eines aktiven Kundenverhältnisses verarbeiten wir die Daten für Zwecke des Vertriebs und der Werbung. Sie können einer Verwendung Ihrer personenbezogenen Daten für Werbezwecke jederzeit widersprechen.
Für die Bereitstellung des Dienstes Zencomply und dessen Anwendungen geben wir manche Ihrer Daten weiter, da wir nicht alle technischen Komponenten vollständig selbst entwickeln und betreiben können. So nutzen wir beispielsweise zertifizierte Zahlungsdienstleister, um Ihnen einen sicheren Kauf per Kreditkarte zu ermöglichen. Details hierzu finden Sie weiter unten. Eine Weitergabe von Daten erfolgt in jedem Fall nur, insofern dies erforderlich ist, entsprechende Verträge mit unseren Unterauftragnehmern geschlossen wurden, ausreichende zusätzliche Garantien vereinbart wurden und in unserer Datenschutzerklärung ausdrücklich darauf hingewiesen wurde.
In Ausnahmefällen mag eine Weitergabe gesetzlich, gerichtlich oder auch behördlich verpflichtend sein.
Wir wählen unsere Dienstleister sorgfältig – insbesondere im Hinblick auf Datenschutz und Datensicherheit – aus und treffen alle datenschutzrechtlich erforderlichen Maßnahmen für eine zulässige Datenverarbeitung. Wenn wir im Rahmen der Datenverarbeitung mit externen Dienstleistern zusammenarbeiten, erfolgt dies auf Basis genau dieser Auftragsverarbeitung, bei der wir für die Datenverarbeitung verantwortlich bleiben.
Die Empfänger von personenbezogenen Daten, die aus dem Besuch unserer Webseite oder der Nutzung der Zencomply Dienste stammen, sind weiter unten im Einzelnen ausführlich genannt. Zusammengefasst können dies sein:
Staatliche Stellen oder Gerichte
Agenturen (z. B. wenn wir mal wieder das Design zeitgemäß anpassen)
Internetprovider (z. B. Ihr eigener Provider, der aufgrund des Besuchs von Zencomply zwangsläufig Ihre IP-Adresse verarbeiten muss)
Soweit personenbezogene Daten außerhalb der europäischen Union verarbeitet werden, können Sie dies den untenstehenden Ausführungen entnehmen.
Folgende Informationen werden durch Zencomply verarbeitet:
Sofern Sie sich für die Nutzung von Zencomply registrieren, speichern wir Ihren Benutzernamen, Ihr Passwort, Ihre Kontakt- sowie allgemeine Firmendaten. Selbiges gilt für weitere Nutzer/Mitarbeiter, sofern Sie diese auf Zencomply angeben sowie die Beziehungen untereinander (z. B. in Form der Benennung von Abteilungsleitern und Verantwortlichkeiten). Ggf. kommen weitere derartige Informationen hinzu, wenn neue Funktionen zur Zencomply Plattform hinzugefügt werden. In diesem Fall passen wir unsere Datenschutzerklärung entsprechend an.
Daten, die durch die Nutzung erhoben werden
Zencomply ein Start-Up, das kleinen Unternehmen und Vereinen den Datenschutz auf einfache Weise näherbringen möchte. Wir möchten die Nutzerfreundlichkeit von Zencomply stetig weiter verbessern, dies sehen wir als ein ganz wesentliches Merkmal von Zencomply an. Dazu ist es erforderlich zu messen, an welchen Stellen die Nutzer Schwierigkeiten haben. Hierzu setzen wir verschiedene Tools ein, die weiter unten im Einzelnen beschrieben sind. In der Regel ist hierbei für uns nicht relevant, welcher Nutzer ein Problem hatte, sondern nur, dass ein Nutzer nicht weitergekommen ist. Nutzungsdaten speichern wir deshalb wann immer technisch möglich nur in anonymisierter Form, falls dies nicht möglich ist werden Nutzungsdaten automatisch spätestens nach sieben Tagen von allen Systemen gelöscht.
Wenn Sie uns z. B. über den Chat oder den Feedback-Button auf unserer Webseite Daten zur Verfügung stellen, so verarbeiten wir selbstverständlich auch diese Daten.
Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob wir personenbezogene Daten verarbeiten, die Sie betreffen. Ist dies der Fall, so haben Sie ein Recht auf unentgeltliche Auskunft über Ihre bei uns gespeicherten Daten, deren Herkunft, Empfänger und den Zweck der Verarbeitung. Sie können sich für eine Auskunft jederzeit an uns wenden. Bitte beachten Sie, dass wir ggf. Nachweise verlangen, die Ihre Identität bestätigen.
Sie haben ein Recht auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung, soweit Ihnen dies gesetzlich zusteht. Unter Berücksichtigung der Zwecke der Verarbeitung haben Sie außerdem das Recht, die Vervollständigung unvollständiger personenbezogener Daten auch mittels einer ergänzenden Erklärung zu verlangen.
Sofern wir Ihre Daten aufgrund gesetzlicher Pflichten noch nicht löschen dürfen, schränken wir die Bearbeitung ein. Dies erfolgt auch in den Fällen, in denen wir Ihre personenbezogenen Daten für Zwecke der Verarbeitung nicht länger benötigen, sie diese aber zur Geltendmachung, Ausübung oder Verteidigung von eigenen Rechtsansprüche benötigen.
Wenn personenbezogene Daten auf Grundlage einer Einwilligung von Ihnen verarbeitet werden, haben Sie das Recht, die Einwilligung jederzeit mit Wirkung für die Zukunft uns gegenüber zu widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung wird dadurch nicht berührt.
Auch wenn wir Daten auf Basis einer Interessenabwägung verarbeiten, haben Sie als Betroffene/r das Recht, unter Berücksichtigung der Vorgaben von Art. 21 DSGVO der Verarbeitung der personenbezogenen Daten zu widersprechen.
Grundsätzlich haben Sie zudem immer das Recht, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die gemäß Art. 6 Abs. 1 Buchst. f) DSGVO (Wahrung der berechtigten Interessen des Verantwortlichen) erfolgt, Widerspruch einzulegen. Falls Sie Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt haben, werden die Daten gesperrt, solange noch nicht feststeht, ob die berechtigten Gründe unseres Unternehmens gegenüber ihren Gründen überwiegen. Sie werden von uns unterrichtet, bevor die Einschränkung aufgehoben wird.
Wenn Sie von einer der Möglichkeiten Gebrauch machen möchten, genügt eine einfache Kontaktaufnahme in der Form Ihrer Wahl. Auch E-Mail Anfragen werden wir hierzu selbstverständlich umgehend bearbeiten.
Des Weiteren haben Sie ein Recht auf Datenübertragbarkeit. Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und haben das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns, denen die personenbezogenen Daten bereitgestellt wurden, zu übermitteln.
Sie haben das Recht, sich über die Verarbeitung personenbezogenen Daten durch uns bei einer Aufsichtsbehörde für den Datenschutz zu beschweren. Wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen ein Datenschutzgesetz verstößt, können Sie sich bei einer Aufsichtsbehörde Ihrer Wahl beschweren.
Detailbeschreibung verarbeiteter Daten
In diesem letzten Abschnitt möchten wir Ihnen mitteilen, in welchem Umfang, welche Arten und welche Kategorien von Daten genau bei Zencomply verarbeitet werden.
Welche Daten, das hängt ganz davon ab. Beim Besuch unserer Webseite passiert nichts großartig Ungewöhnliches. IP-Adressen werden ausgetauscht, unser Webserver speichert einige gesetzlich vorgeschriebene Logs und weitere technische Logs, die zur Fehleranalyse nötig sind. Und wenn Sie uns eine Nachricht schicken, ja, dann wird diese Nachricht eben auch verarbeitet. Aber von Anfang an, wir verarbeiten:
Damit die Seiten in Ihrem Browser dargestellt werden können, muss die IP-Adresse des von Ihnen verwendeten Endgeräts verarbeitet werden. Hinzu kommen weitere Information über den Browser Ihres Endgeräts. Wir sind rechtlich verpflichtet, auch die Vertraulichkeit und Integrität der mit unseren IT-Systemen verarbeiteten personenbezogenen Daten zu gewährleisten. Für diesen Zweck und aus diesem Interesse werden auf Basis einer Interessenabwägung neben den IP-Adressen auch nachfolgende Daten protokolliert:
Die Daten werden auch verwendet, um Fehler auf den Internetseiten ermitteln und beheben zu können. Log-Dateien dienen lediglich dazu, den Betrieb der Webseite sicherzustellen und die Stabilität und Sicherheit zu gewährleisten, es erfolgt keine Zusammenführung mit anderen Datenquellen. Die Grundlage der Datenverarbeitung bildet in diesem Fall der Verarbeitung Art. 6 Abs. 1 lit. f DSGVO. Die Verarbeitung der genannten Daten ist für die Bereitstellung einer Webseite erforderlich und dient damit der Wahrung eines berechtigten Interesses unseres Unternehmens. Die Erfassung der Daten zur Bereitstellung der Webseite und die Speicherung der Daten in Logfiles ist für den Betrieb der Internetseite zwingend erforderlich. Es besteht folglich seitens des Nutzers keine Widerspruchsmöglichkeit. Eine weitergehende Speicherung kann im Einzelfall dann erfolgen, wenn dies gesetzlich vorgeschrieben ist.
Ja, auch wir speichern Cookies. Meine Güte. Normalerweise nur zum optimalen Darstellen der Webseite, bei einigen Systemen wie z. B. von Google gesetzten Cookies kann die Speicherdauer auch bis zu einem Monat betragen, worauf wir leider nur sehr begrenzt Einfluss haben. Vergleiche jüngstes Facebook-Urteil des europäischen Gerichtshofs, klar sind wir dafür gemeinsam verantwortlich und würden gerne die Speicherdauer von Google-Cookies auf 24 Stunden reduzieren, aber wer sind wir, dass wir Google Vorgaben machen könnten?
Und was sind Cookies überhaupt? Cookies sind kleine Textdateien, die auf dem Anzeigegerät des Web-Besuchers abgespeichert werden. Diese Cookies können verschiedene Informationen quasi zwischenspeichern, die die Benutzererfahrung auf der Webseite verbessern können. Zum Beispiel kann unsere Webseite speichern, ob Sie diese mit einem kleinen Bildschirm (z. B. Mobiltelefon) oder aber mit einem großen Monitor besuchen. Davon abhängig wird Ihnen dann ein optimiertes Layout angezeigt, und zwar ohne bei jedem Click neu gefragt zu werden, welches Layout Sie denn nun bevorzugen. Um bei diesem Beispiel mit dem Mobiltelefon zu bleiben würden Sie damit beispielsweise am Handy ein solches anderes Menü sehen, das Sie auch auf sehr kleinen Bildschirmen gut mit dem Finger (“touch”) bedienen können.
So, und jetzt wird es dann schon eher spannend. Wenn Sie sich aktiv bei uns als Kunde registrieren und Zencomply nutzen möchten, um Ihren eigenen Datenschutz zu organisieren… dann werden Sie hierfür genau diese Daten in unserer Zencomply Anwendung speichern müssen. Sonst könnten wir genau diese Daten ja nicht für Sie verwalten.
Vorab möchten wir anmerken, dass jede Datenübertragung von und zu Zencomply grundsätzlich immer verschlüsselt erfolgt. Das gilt sowohl für die öffentliche Webseite als auch für den internen Bereich von Zencomply, für bereitgestellte Chatfunktionen und alle weiteren möglichen Arten von Datenübertragungen.
Bei der Auswahl unserer technischen Partner bevorzugen wir außerdem regionale Unternehmen. Soweit möglich, findet die gesamte Datenverarbeitung von Zencomply auf Servern in Deutschland oder zumindest innerhalb der EU statt. Dies gilt insbesondere für die Web- und Datenbankserver unserer kostenpflichtigen Zencomply Dienste, die heute und für immer nur in Europa bzw. Deutschland stehen werden. Um jedoch unser Angebot schnell auszubauen – beispielsweise durch die Einbettung von Schulungsvideos – setzen wir für spezielle Aufgaben auf technische Lösungen von etablierten Anbietern. So sehr wir es auch jede Woche aufs Neue versuchen, für viele technische Schnittstellen und Systeme gibt es für uns keine europäische Alternative. Gerade anspruchsvolle moderne Systeme stammen fast immer aus den USA. Wir sichern uns in diesen Fällen durch zusätzliche Garantien ab. Grundsätzlich setzen wir für unsere Nicht-EU Partner eine Privacy Shield Zertifizierung und einen hieb- und stichfesten Vertrag nach EU-Vorgaben voraus (i. d. R. sogenannte “EU Model Clauses” Verträge), sowie zusätzliche Garantie je nachdem, was für Daten verarbeitet werden. Zusätzliche Garantien sind in der Regel zusätzliche Verschlüsselungsverfahren.
Bevor wir aber zu lange um den heißen Brei herumreden, hier nun die einzelnen Verarbeitungen innerhalb unserer kostenpflichtigen Zencomply Dienste im Detail.
Wenn Sie ein Benutzerkonto anlegen, dann geben Sie bei der Registrierung personenbezogene Daten ein. Natürlich speichern wir diese Daten. Sonst würde Zencomply nicht funktionieren.
Die im Mitgliederbereich verarbeiteten Daten sind vielfältig und werden mit jedem Update mehr. Zencomply ist ein Dienst, mit dem Sie Ihren eigenen Datenschutz im Unternehmen verwalten. Alle Mitarbeiter können Zugriff z. B. auf Schulungsmaterialen bekommen, und so wächst die Zahl der von uns verarbeiteten Daten immer mehr. Dazu gehören Namen, E-Mail-Adressen, Positionsbeschreibungen, Kontaktdaten, Daten aus Verträgen und Richtlinien. Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie Ihr Abo kündigen.
Ja, auch wir müssen irgendwie Geld verdienen. Um Zencomply für Jeden zu einem attraktiven Preis anbieten zu können, muss das Kreditwesen automatisch funktionieren. Es erscheint sinnlos, Kontoeingänge von Hand zu bearbeiten. Und noch einmal ja, es geht auch vollautomatisch, ohne eine extra Registrierung wie es z. B. bei Paypal nötig wäre… aber nicht mit einem europäischen Anbieter. Ärgerlich, wir haben verschiedene Anbieter probiert, aber schlussendlich nutzen wir jetzt einen Mix aus den für uns und unsere Kunden besten Anbietern:
com: Für Kreditkartenzahlungen setzen wir auf das System des amerikanischen Anbieters Stripe (Stripe, 510 Townsend Street, San Francisco, CA 94103, USA). Die verarbeiteten Daten beschränken sich hier auf die für die jeweilige Zahlung erforderlichen Daten wie Kreditkartennummern, Kreditkarteninhaberdaten und ggf. weiteren notwendigen Informationen hinsichtlich der Zahlung. Rechtsgrundlage in diesem Einzelfall ist die Erfüllung vertraglicher Pflichten.Hinsichtlich der Absicherung wegen Drittstaatentransfer haben wir uns vergewissert, dass Stripe sowohl gemäß dem EU-US- als auch gemäß dem Swiss-US Privacy Shield zertifiziert ist. Die Privacy Shield Zertifizierung von Stripe finden Sie unter https://www.privacyshield.gov/participant?id=a2zt0000000TQOUAA4&status=Active, die Datenschutzerklärung gemäß den Prinzipien des Privacy Shield unter der Adresse https://stripe.com/privacy-shield-policy . Weitere Einzelheiten zum Thema EU-Datenübermittlungen bei Stripe finden Sie unter https://support.stripe.com/questions/stripe-and-european-data-transfers .Desweiteren ist Stripe offiziell als “PCI Level 1 Service Provider” zertifiziert, was als eine der sichersten Zertifizierungen im Zahlungsverkehr zählt.
com: Für Lastschriftzahlungen nutzen wir GoCardless aus einer Reihe von Gründen. Die Zahlung bei Zencomply funktioniert damit reibungslos und ohne, dass sich der Benutzer noch einmal extra registrieren muss. Bei den meisten uns bekannten europäischen Anbietern wäre das nämlich der Fall und die Benutzerfreundlichkeit im Zahlungsprozess wäre dahin. Die hierbei verarbeiteten Daten sind die für Lastschriftzahlungen notwendigen Daten wie Kontoinhaber und Kontonummer. Rechtsgrundlage in diesem Einzelfall ist die Erfüllung vertraglicher Pflichten.GoCardless sitzt zwar geografisch gesehen in Europa, aber dummerweise hier in England. Mit dem Brexit würden wir jetzt aktuell davon ausgehen, dass auch UK offiziell unsicheres Drittland werden wird und keinen Angemessenheitsbeschluss bekommen wird. GoCardless arbeitet nach eigenen Angaben bereits daran, das Unternehmen auf einen harten Brexit vorzubereiten. Es ist zu erwarten, dass wenn es soweit ist, wir dann auf Basis von EU-US- und Swiss-US Privacy Shield mit GoCardless arbeiten können. Falls nicht, werden wir auf einen anderen Anbieter wechseln und entsprechend darüber informieren.
Chargebee: Die Abonnementverwaltung erfolgt über Chargebee. Bei den hierbei verarbeiteten Daten handelt es sich um die Abonnementdaten wie Bestellzeitpunkt, Vertragslaufzeit, Mitarbeiteranzahl (zum Zwecke der Berechnung der monatlichen Gebühren); also all diejenigen Daten, die zur Verwaltung eines aktiven Kundenabonnements erforderlich sind. Rechtsgrundlage in diesem Einzelfall ist die Erfüllung vertraglicher Pflichten.Chargebee ist nach EU-US- und Swiss-US Privacy Shield zertifiziert. Weitere Informationen finden Sie unter https://www.privacyshield.gov/participant?id=a2zt0000000TN6jAAG&status=Active . Details zu den datenschutzrechtlichen Vorschriften bei Chargebee sind unter https://www.chargebee.com/privacy/ aufzufinden.
Um unsere Webseite und damit verbundene Marketingaktivitäten stetig zu optimieren, messen wir unter anderem die Nutzung der einzelnen Funktionen von Zencomply sowie die Wirksamkeit geschalteter Anzeigen. Für uns interessant, welche Dienste viel nachgefragt werden und welche weniger häufig. So können wir Zencomply nah beim Nutzer weiterentwickeln und es hat jeder etwas davon. Je nach Anwendungszweck nutzen wir unterschiedliche Tools hierzu.
Zur Erstellung entsprechender Reports verwenden wir das Tool Google Analytics von Google LLC (“Google”). Uns ist jedoch nicht wichtig, wer eine Seite besucht hat und wie lange, sondern nur, dass es irgend jemand war. Deshalb werden IP-Adressen wo immer möglich sofort gekürzt und somit anonymisiert. Ein Personenbezug ist dann nicht mehr herstellbar.
Google speichert übrigens auch gerne Cookies. Diese können Sie in Ihrem Browser deaktivieren, falls Ihr Rechner unter unkontrollierter Keks-Sucht leidet.
Google garantiert ein angemessenes Datenschutzniveau durch Einhaltung der Privacy Shield Vorgaben sowie ISO 27001 Zertifizierung. Weitere Informationen zum Datenschutz bei „Youtube“ finden Sie in der Datenschutzerklärung des Anbieters unter: https://www.google.de/intl/de/policies/privacy/
Sie können jederzeit der Nutzung der Web Analyse Daten durch Google Analytics widersprechen: Google Analytics deaktivieren
Heap Analytics ist ein Webanalysedienst der Heap Inc., 116 Natoma St., San Francisco, CA 94105, USA („Heap Analytics”). Zwar verarbeitet auch Heap Analytics IP-Adressen und speichert Cookies ab, jedoch erfolgt die Auswertung nur auf Basis von anonymisierten IP-Adressen. Falls es also überhaupt zu einer Verarbeitung personenbezogener Daten kommt, so tun wir das aus dem berechtigten Interesse der bedarfsgerechten Gestaltung entsprechend Art. 6 Abs. 1 S. 1 f) DSGVO.
Sie können jederzeit der Nutzung der Web Analyse Daten durch Heap Analytics widersprechen. Aktivieren Sie dazu bitte in Ihrem jeweiligen Web Browser die Funktion “Do Not Track”. Eine Anleitung dazu finden Sie z.B. hier: https://allaboutdnt.com/#adjust-settings
Es erfolgt eine Aufzeichnung von Fehlern innerhalb der verschiedenen Zencomply Anwendungen sowohl im Frontend als auch im Backend. Hierzu setzen wir Sentry ein, das vom US Unternehmen Sentry, 1501 Mariposa St #408, San Francisco, CA 94107, USA stammt. Sentry ist EU-U.S. Privacy Shield zertifiziert, siehe hierzu https://www.privacyshield.gov/participant?id=a2zt0000000TNDzAAO . Für die Datenverarbeitung auf Zencomply ist das jedoch eigentlich unerheblich, da wir mit Sentry in aller Regel keinerlei Besucher-IP-Adressen verarbeiten, sondern ausschließlich die reine Fehleraufzeichnungsfunktion verwenden.
Eine ähnliche Funktion bilden wir über logentries ab (Hersteller Rapid7 LLC, in Deutschland vertreten durch die Münchener Niederlassung Rapid7 Germany GmbH, Elsenheimerstraße 7, 80687 München). Mit logentries überwachen wir grundlegende Serverfunktionen (“Monitoring”) und lassen uns automatisiert benachrichtigen, wenn auf unseren Servern irgend etwas schief geht. Personenbezogene Daten fallen dabei in der Regel nicht an, werden im Zweifel auch nur für maximal 7 Tage gespeichert. Selbst für den unwahrscheinlichen Fall einer Verarbeitung personenbezogener Daten im Drittland (z. B. auf einem logentries Cloud Server in den USA) haben wir uns vergewissert, dass auch dieser Anbieter EU-U.S. Privacy Shield zertifiziert ist.
mixpanel In-App Analytics
In-App Event-Tracking für Single-Page-Apps, z.B. Aktionen wie “Nutzer hat sich registriert” oder “Nutzer hat Checkout-geöffnet”, erfolgt über die Dienste von mixpanel (mixpanel, 405 Howard Street, Floor 2 San Francisco, CA 94105). Der Einsatz von mixpanel erfolgt auf Basis einer Interessenabwägung. Unser Interesse ist die außerordentlich benutzerfreundliche Bedienung unserer Zencomply-App durch den Nutzer. Das ist eines der absoluten Top-Ziele von Zencomply, denn genau dadurch heben wir uns von jeder anderen uns bekannten Datenschutz-Software ab.
mixpanel ist bereits seit 2016 nach EU-U.S. and Swiss-U.S. Privacy Shield zertifiziert. Sehr ausführliche weitere Details hierzu finden Sie unter https://mixpanel.com/legal/gdpr-resources/ .
Sie können jederzeit der Nutzung der Web Analyse Daten durch mixpanel widersprechen. Aktivieren Sie dazu bitte in Ihrem jeweiligen Web Browser die Funktion “Do Not Track”. Eine Anleitung dazu finden Sie z.B. hier: https://allaboutdnt.com/#adjust-settings
Ach ja, nun gehen wir einmal davon aus, Sie registrieren sich auf Zencomply. Weil wir ein Double-opt-in-Verfahren nutzen um Anmeldungen im Namen eines anderen zu verhindern, schicken wir Ihnen eine der ersten E-Mails zur Bestätigung Ihrer E-Mail-Adresse. Auch später, wenn es wichtige Nachrichten aus Ihrem Zencomply Account gibt, informieren wir Sie per E-Mail. Das ist Teil unserer vertraglichen Leistungen (Rechtsgrundlage Art. 6 Abs. 1 lit. b) DSGVO).
Unsere E-Mail-Server stehen an unterschiedlichen Standorten. Newsletter und regelmäßige Informationen werden über MailChimp versendet (hierzu ausführlich siehe nächster Punkt).
Zahlungsinformationen und ggf. weitere Benachrichtungen werden in unserem Namen direkt über unsere Zahlungsdienstleister verschickt. Das erfolgt über SendGrid, einen der weltweit führenden Anbieter für solche Versanddienste. SendGrid ist Privacy Shield zertifiziert. Darüber hinaus ist SendGrid auch SSAE 16 (SOC 2 Type 2) zertifiziert und PCI-DSS compliant.
Bei E-Mails, die direkt von unseren Mailservern generiert oder aus unseren E-Mail-Programmen verschickt werden, erfolgt die Verarbeitung entweder auf Servern eines unserer lokalen Provider DomainFactory (domainfactory GmbH, Oskar-Messter-Str. 33, 85737 Ismaning, Deutschland) oder auf Servern des ebenfalls in Deutschland ansässigen Hosters AllInkl (ALL-INKL.COM – Neue Medien Münnich, Inhaber: René Münnich, Hauptstraße 68, 02742 Friedersdorf).
Und dann gibt es da noch unsere Newsletter, sowohl für Interessenten als auch für aktive Benutzer. Hier kommt neben der Erfüllung vertraglicher Verpflichtungen im Einzelfall auch Art. 6 Abs. 1 lit. f) DSGVO hinzu, die Interessensabwägung. Natürlich pflegen auch wir Sperrlisten und Abmeldungen. Nunja und auch der Newsletter gestaltet sich nicht von alleine. Wir nutzen hierfür MailChimp von The Rocket Science Group LLC d/b/a MailChimp (“MailChimp”), das trotz des Standorts USA durch die Privacy Shield Zertifizierung ein „angemessenes Datenschutzniveau“ erreicht. MailChimp deshalb, weil das zuverlässig funktioniert und die E-Mails nicht im Spam landen.
Nur auf Grundlage Ihrer ausdrücklich erteilten Einwilligung werden wir Newsletter bzw. vergleichbare Informationen per E-Mail an Ihre angegebene E-Mail-Adresse senden.
Wir verarbeiten dann neben den freiwilligen Angaben im jeweiligen Formular dazu nur Ihre E-Mail-Adresse. Diese ist allerdings auch zwingend erforderlich, um Ihnen den Newsletter zusenden zu können. Wie sonst sollten wir Ihnen einen Newsletter schicken? Die Einwilligung zur Speicherung Ihrer persönlichen Daten und ihrer Nutzung für den Newsletterversand können Sie jederzeit widerrufen. Sie können den Newsletter jederzeit bei uns abbestellen. Alternativ werden Sie einen Link zur Abmeldung in jeder Newsletter-E-Mail finden.
Auf unserer Webseite betten wir ggf. Youtube-Videos ein. Betreiber der entsprechenden Plug-Ins, das die Anzeige auf unserer Webseite ermöglicht, ist die Youtube, LLC, 901 Cherry Ave., San Bruno, CA 94066, USA. Wenn Sie eine Seite mit dem Youtube-Plug-In besuchen, wird eine Verbindung zu Servern von Youtube hergestellt. Dabei wird Youtube mitgeteilt, welche Seiten Sie besuchen. Wenn Sie in Ihrem Youtube-Account eingeloggt sind, kann Youtube Ihr Surfverhalten Ihnen persönlich zuzuordnen. Dies verhindern Sie, indem Sie sich vorher aus Ihrem Youtube-Account ausloggen.
YouTube garantiert ein angemessenes Datenschutzniveau, indem der Betreiber Google die Privacy Shield Vorgaben einhält und ISO 27001 zertifiziert ist. Weitere Informationen zum Datenschutz bei „Youtube“ finden Sie in der Datenschutzerklärung des Anbieters unter: https://www.google.de/intl/de/policies/privacy/
Scriptbibliotheken (“Webfonts”)
Wir setzen auf unseren Internetseiten sog. Webfonts verschiedener Anbieter ein. Dabei werden Schriftarten von externen Servern geladen, die einer besseren Gestaltung der Internetseite dienen. Um die Ausführung von Java-Script insgesamt zu verhindern, können Sie in Ihrem Browser einen Java-Script-Blocker installieren.
Derzeit nutzen wir folgende Scriptbibliotheken:
Google Webfonts: Nähere Informationen hierzu finden Sie auch unter https://www.google.com/webfonts/. Google Webfonts werden zur Vermeidung mehrfachen Ladens in den sogenannten Cache Ihres Browsers übertragen, das heisst auf Ihrem Gerät zwischengespeichert. Falls der Browser die Google Webfonts nicht unterstützt oder den Zugriff unterbindet, werden Inhalte in einer Standardschrift angezeigt. Die Datenverarbeitung erfolgt auf Basis einer Interessenabwägung, wobei unser Interesse in einer ansprechenden Gestaltung der Internetseite besteht. Die betreffenden Schriftarten – wir nutzen aktuell die Schriftypen Roboto und Raleway – werden von Servern von Google geladen, die sich in der Regel in den USA befinden. Das angemessene Datenschutzniveau wird von Google garantiert. Der öffentliche Listeneintrag im sogenannten „Privacy Shield” kann kostenfrei unter https://www.privacyshield.gov/participant?id=a2zt000000001L5AAI&status=Active nachgelesen werden.
MaxCDN von BootstrapCDN (BootstrapCDN, NetDNA, LLC. (MaxCDN), 3575 Cahuenga Blvd West suite 330, Los Angeles, Ca 90068, USA): ähnlich wie bei Google Webfonts wird auch bei BootstrapCDN/MaxCDN Ihre IP-Adresse übertragen, um Webschriften an Ihr Endgerät auszuliefern. Im Fall von MaxCDN nutzen wir lediglich gängige Icon-Symbole, um diese auf unserer Webseite darzustellen. Weitere Details zum Datenschutz finden Sie unter https://www.bootstrapcdn.com/privacy-policy/ . BootstrapCDN gibt für unseren Geschmack keine ausreichenden Garantien gibt, wird aber leider von Leadpages vorgegeben. Nachdem gefühlt jede zweite Webseite auf das Content Delivery Netzwerk von BootstrapCDN zurück greift belassen wir es vorerst dabei, suchen aber weiterhin nach europäischen Alternativen. Wenn Sie eine bessere Lösung finden nehmen wir Ihr Feedback sehr gerne entgegen.
IntercomCDN (“Intercom”, Intercom R&D Unlimited Company, 2nd Floor, Stephen Court, 18-21 St. Stephen’s Green, Dublin 2, Republic of Ireland): Von IntercomCDN wird die Webschriftart Proximanova geladen. Die vorstehenden Erläuterungen gelten auch für IntercomCDN, auch hier wird Ihre IP-Adresse übertragen zum Zwecke der Darstellung der Webschriftart. Intercom ist EU-U.S. and Swiss-U.S. Privacy Shield zertifiziert.
Wir setzen auf unseren Internetseiten neben Webfonts auch Grafiken ein, die aus Google Webbibliotheken geladen werden. Dabei werden Icone und Bilddateien von externen Servern geladen, die einer besseren Gestaltung der Internetseite dienen. Um diese Dateien auf Ihrem Endgerät darstellen zu können, muss Ihre IP-Adresse übertragen werden. Die Datenverarbeitung erfolgt auf Basis einer Interessenabwägung, wobei unser Interesse in einer ansprechenden Gestaltung der Internetseite besteht. Die betreffenden Bilddateien werden von Servern von Google geladen, die sich in der Regel in den USA befinden. Das angemessene Datenschutzniveau wird von Google garantiert. Der öffentliche Listeneintrag im sogenannten „Privacy Shield” ist auf der Webseite https://www.privacyshield.gov/participant?id=a2zt000000001L5AAI&status=Active zu finden.
Womit wir schon bei der nächsten Verarbeitung angekommen sind. Unsere Startseite ist auf Leadpages gehostet, weil das zwar alles andere als kostengünstig ist aber schnell, zuverlässig und auf allen Endgeräten inklusive Mobiltelefonen korrekt dargestellt wird. Leadpages setzt Skriptbibliotheken ein, deren Ausführung Sie durch einen JavaScript-Blocker verhindern können. Details zu den Datenschutzhinweisen von LeadPages finden Sie auf https://www.leadpages.net/blog/leadpages-gdpr/ . Zum 25.5.2018 ließ LeadPages verlauten, dass sie an der vollständigen Umsetzung der GDPR arbeiten. Leider scheint es bei diesem Anbieter nicht voran zu gehen, deshalb werden wir wohl bald auf einen anderen Server umsteigen müssen. Auch hier sind wir für Anregungen, welcher deutscher oder zumindest welcher europäische Anbieter vergleichbare Lösungen vertreibt, jederzeit äußerst dankbar.
Typeform Kontaktformular
Für eine zielgerichtete, schnelle und sichere Kontaktmöglichkeit haben wir in allen Zencomply Diensten eine Feedback- und Kontaktmöglichkeit durch Typeform (TYPEFORM, S.L., Bac de Roda 163, 08018 Barcelona, Spanien) eingebaut. Typeform ist ein europäischer Anbieter. Sämtliche Kommunikation über unsere Typeform-Kontaktmöglichkeiten erfolgt verschlüsselt. Details zu datenschutzrechtlichen Aspekten hinsichtlich der Nutzung von Typeform finden Sie unter https://www.typeform.com/help/gdpr-compliance/ .
Wir setzen ein Chatsystem des renommierten Anbieters Intercom (“Intercom”, Intercom R&D Unlimited Company, 2nd Floor, Stephen Court, 18-21 St. Stephen’s Green, Dublin 2, Republic of Ireland) ein. Wir haben uns viele Lösungen angesehen, aber kein vergleichbares System eines idealerweise deutschen Herstellers gefunden. Deshalb fiel die Wahl auf einen namhaften Anbieter, der zumindest EU-U.S. und Swiss-U.S. Privacy Shield zertifiziert ist. Jede Kommunikation, die über Intercom läuft, ist per Transport Layer Security (TLS) verschlüsselt. Dies ermöglicht ein deutlich höheres Schutzniveau, als es beispielsweise mit reinen E-Mails möglich wäre.
Aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte senden Sie uns bitte keine unverschlüsselten E-Mails. Für die sichere Kommunikation stellen wir Ihnen gesicherte Kommunikationskanäle über unsere Webseite zur Verfügung.
Die Zulässigkeit der Datenerhebung bei Ihrer Kontaktaufnahme stützt sich auf Art. 6 Abs. 1 lit. f) DSGVO, da ein gleichgerichtetes Interesse der Kontaktaufnahme und Kommunikation zwischen Ihnen und unserem Unternehmen sowie ein berechtigtes Unternehmensinteresse an der Verarbeitung der oben genannten Daten besteht. Anders könnten wir uns ja auch nicht um Ihr Anliegen kümmern.
Ähnliche Bestimmungen wie für E-Mail Anfragen gelten auch für alle telefonisch mitgeteilten Informationen. Für die Bearbeitung Ihrer Anfrage und aufgrund unserer regelmäßigen Dokumentationspflicht werden wir beispielsweise Telefonnotizen zu erfolgten Telefonaten speichern. Die Zulässigkeit der Datenerhebung bei Ihrer Kontaktaufnahme stützt sich auf Art. 6 Abs. 1 lit. f) DSGVO, da auch hier ein gleichgerichtetes Interesse der Kontaktaufnahme und Kommunikation zwischen Ihnen und unserem Unternehmen sowie ein berechtigtes Unternehmensinteresse an der Verarbeitung der oben genannten Daten besteht.
Die Dauer der Speicherung der oben genannten Daten aus Ihrer Kontaktaufnahme (Chat, Formular, E-Mail, Telefon) ist abhängig vom Hintergrund Ihrer Kontaktaufnahme. Eine Löschung Ihrer Daten erfolgt regelmäßig, sofern der verfolgte Zweck der Kommunikation entfällt und eine Speicherung nicht mehr erforderlich ist (bspw. nach Bearbeitung Ihres Anliegens, sofern keine dauerhafte Speicherung Ihrer Anfragen aus Dokumentationszwecken vertraglich vereinbart ist und keine gesetzlichen Bestimmungen der Löschung entgegenstehen).
Ein betrieblicher Datenschutzbeauftragter ist bei uns nicht bestellt, da die gesetzliche Notwendigkeit für eine Bestellung nicht vorliegt. Hiervon unabhängig schulen wir trotzdem unsere Beschäftigten (sowohl eigene als auch externe Beschäftigte) regelmäßig in datenschutzrechtlichen Angelegenheiten, unter anderem bei der TÜV SÜD Akademie. Wir möchten als Datenschützer mit gutem Vorbild vorangehen und setzen daher auch datenschutzrechtliche Aspekte in unserem Unternehmen um, die normalerweise nur deutlich größere Firmen mit eigenem Datenschutzbeauftragten behandeln würden.
Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung in der jeweils aktuellen Fassung.

References: Art. 21
 Art. 6
 Art. 21
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6