Datenschutzerklärung

Sie können diese Datenschutzerklärung ausdrucken oder speichern, indem Sie die übliche Funktionalität Ihres Browsers nutzen. Auch können Sie diese Datenschutzerklärung als PDF-Datei herunterladen und archivieren, indem Sie hier klicken: Download Datenschutzerklärung

I Allgemeiner Teil

Begriffe

Für die Zwecke der nachfolgenden Datenschutzinformationen gelten die folgenden Begriffe, wobei sich alle Personenbezeichnungen auf alle Geschlechter und die damit verbundenen Sprachformen beziehen und stets mit dem Zusatz „m/w/d“ zu verstehen sind:

1. Verantwortliche. Verantwortliche für die Datenverarbeitung ist die kfzteile24 GmbH, Am Treptower Park 28-30, 12435 Berlin, T: 030/40 50 400, E: info@kfzteile24.de, Geschäftsführung: Markus Winter, Matthias Gossenz, Just Beyer, Sebastian Bourmer, externe Datenschutzbeauftrage: STANHOPE Rechtsanwaltsgesellschaft mbH, datenschutz@kfzteile24.de.
2. Betroffene. Betroffene sind alle natürliche Personen, die
   1. Kunden der Verantwortlichen sind, einschließlich potenzieller, aktueller und ehemaliger Kunden (vgl. „II Kundendaten/Onlineshop“)
   2. Lieferanten der Verantwortlichen sind, einschließlich potenzieller, aktueller und ehemaliger Lieferanten (vgl. „III Lieferantendaten“)
   3. Besucher der Internetseite www.kfzteile24.de sind (vgl. „IV Internetseite“).
3. Personenbezogene Daten. Das sind alle Informationen, die mittelbar oder unmittelbar Rückschlüsse auf natürliche Personen, mithin menschliche Wesen zulassen.
4. Verarbeitung personenbezogener Daten. Das ist jedweder aktive oder passive Umgang mit personenbezogenen Daten, von der Erhebung über die Kernverarbeitung bis zur Löschung.
5. Einwilligung. Das ist eine nachweisbare Willenserklärung, mit der die Betroffenen einer konkreten Datenverarbeitung freiwillig und vorab zustimmen.
6. KI/Künstliche Intelligenz. Künstliche Intelligenz bezeichnet die Fähigkeit eines Systems, Aufgaben zu erledigen, die normalerweise menschliche Intelligenz erfordern. Dazu gehören unter anderem das Erkennen von Mustern, das Treffen von Entscheidungen, das Erlernen von neuen Informationen und das Anpassen an neue Situationen. KI nutzt Algorithmen und statistische Modelle, um Informationen zu analysieren und daraus Schlussfolgerungen zu ziehen.
7. KI-System. Das ist ein softwarebasiertes System, das mithilfe von Algorithmen Aufgaben autonom oder teilautonom durchführt (z.B. Google Gemini, ChatGPT).
8. KI-Modell. Ein KI-Modell ist ein mathematisches oder algorithmisches System, das durch maschinelles Lernen trainiert wurde, um spezifische Aufgaben zu erfüllen. Es basiert auf Datensätzen, um Muster zu erkennen, Vorhersagen zu treffen, Entscheidungen zu unterstützen oder andere automatisierte Funktionen auszuführen. KI-Modelle können in verschiedenen Formen auftreten, einschließlich neuronaler Netze, Entscheidungsbäume oder statistischer Algorithmen, und werden in der Regel genutzt, um datenbasierte Probleme effizient zu lösen.
9. LLM/Large Language Models/Große Sprachmodelle. Große Sprachmodelle sind eine spezialisierte Form von KI-Modellen, die darauf trainiert sind, natürlichsprachliche Texte zu verstehen und zu generieren. Sie basieren häufig auf tiefen neuronalen Netzwerken und verwenden riesige Mengen an Textdaten, um ihre Sprachfähigkeiten zu entwickeln. LLMs können Aufgaben wie Textvervollständigung, Übersetzung, Konversationsführung oder Stilanalyse durchführen. Beispiele sind Modelle wie GPT (Generative Pre-trained Transformer) von OpenAI. Diese Modelle sind in der Lage, menschlich klingende Texte zu produzieren und kontextbezogene Antworten zu geben, was sie besonders nützlich in Anwendungen wie Chatbots, virtuellen Assistenten und Content-Kreationstools macht.
10. Soziale Medien / Upload in die Custom Audience. Diese Formulierung bedeutet, dass die Verantwortliche die Daten der Betroffenen (i.d.R. die E-Mail-Adresse) bei einer Drittanbieterin eines sozialen Netzwerks oder Mediums hochlädt; natürlich erst nach Erteilung der Einwilligung. Dadurch kann die hiesige Verantwortliche den Betroffenen im Rahmen des Besuchs eines sozialen Netzwerks bzw. Mediums interessenbezogene Werbeanzeigen („Ads“) darstellen lassen. Dies geschieht wie folgt: Sie lädt die Kontaktdaten (i.d.R. die E-Mail-Adresse) bei der jeweiligen Drittanbieterin hoch. Die Drittanbieterin prüft dann, ob die Betroffenen mit diesen Kontaktdaten bei ihr registriert sind. Verneinendenfalls werden die Kontaktdaten nicht in die Custom Audience (eine Art Datenbank, die die Verantwortliche bei der jeweiligen Drittanbieterin führt) eingetragen. Bejahendenfalls werden die Daten in die Custom Audience der Verantwortlichen eingetragen. Sofern die Betroffenen dann das von der jeweiligen Drittanbieterin bereitgehaltene soziale Netzwerk oder Medium besuchen, hat die hiesige Verantwortliche die Möglichkeit, den Betroffenen Werbung anzuzeigen, die für sie von Interesse ist.
11. Soziale Medien oder Videoeinbettungen / Veröffentlichung von Medienaufnahmen. Diese Formulierung bedeutet, dass die Verantwortliche Medienaufnahmen der Betroffenen (Foto-, Ton- und/oder Filmaufnahmen) im jeweiligen sozialen Medium oder Netzwerk oder im jeweiligen Videoportal hochlädt und sie dort veröffentlicht.

Hinweise an alle Betroffenen

1. Die Betroffenen haben mit Blick auf die zu ihrer Person gespeicherten Daten folgende Rechte: Das Recht auf Auskunft, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung von Daten, für die es keinen Aufbewahrungsgrund mehr gibt, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Ferner haben sie das Recht, sich bei der für die Verantwortliche zuständigen Aufsichtsbehörde zu beschweren.
2. Beruht die Verarbeitung auf einer Einwilligung, können die Betroffenen ihre Einwilligung jederzeit und mit Wirkung für die Zukunft widerrufen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (vgl. Begriffe / Verantwortliche).
3. Beruht die Verarbeitung auf einem berechtigten Interesse, mithin auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, können die Betroffenen der Verarbeitung jederzeit widersprechen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (vgl. Begriffe / Verantwortliche). Falls der Widerspruch begründet ist, wird die Verarbeitung beendet. Sofern das berechtigte Interesse im Direktmarketing liegt; ist der Widerspruch stets begründet.
4. Eine automatisierte Entscheidungsfindung, einschl. Profiling, findet nicht statt.
5. Eine rechtliche Verpflichtung zur Verarbeitung besteht nur, sofern nachfolgend auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO Bezug genommen wird.
6. Sofern nachfolgend eine Datenverarbeitung beschrieben wird, heißt das nicht, dass die Betroffenen einen irgendwie gearteten Anspruch auf die damit verbundenen Handlungen haben (z.B. Medienaufnahmen, Bewertungen). Die Ansprüche des Betroffenen ergeben sich aus den Absätzen 1 bis 3 dieses Abschnitts. Die nachfolgend dargestellten Datenverarbeitungen beschreiben nur mögliche Handlungsweisen, die aber nicht auf alle Betroffenen zutreffen.
7. Sofern personenbezogene Daten an Stellen außerhalb der Europäischen Union übermittelt (Drittland) werden, muss die Verantwortliche ergänzende Schutzgarantien nach Artikel 44 ff. DSGVO mitteilen. Beruft sich die Verantwortliche auf
   • Artikel 45 DSGVO, bedeutet dies, dass die empfangende Stelle in einem Land, Gebiet oder spezifischen Sektor sitzt, zu dem die EU-Kommission beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet.
   • Artikel 46 DSGVO i.V.m. EU-Standardvertragsklauseln beruft, bedeutet dies, dass sich die empfangende Stelle vertraglich dazu verpflichtet hat, die Grundsätze des EU-Datenschutzrechts zu achten und dies auf Grundlage eines Mustervertrages der EU-Kommission.
   • Artikel 47 DSGVO beruft, bedeutet dies, dass die empfangende Stelle sich verbindlichen, internen Datenschutzvorschriften unterworfen hat, die von einer in der EU sitzenden Aufsichtsbehörde genehmigt wurden.
   • Artikel 49 Absatz 1 lit. a DSGVO beruft, bedeutet dies, dass die Betroffenen in Kenntnis aller Risiken der Datenübermittlung in ein Drittland zugestimmt hat.

II Kundendaten/Onlineshop

Anbahnung des Vertrages (Registrierung Onlineshop)

1. Die Betroffenen gelangen zum Registrierungsformular. Dort geben sie die erforderlichen Registrierungsdaten ein, die anschließend gespeichert werden. Hierbei werden folgende Daten verarbeitet: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Internetseite, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware, technische Identifikationsdaten des Endgeräts, ggf. Protokollierung von Fehlermeldungen, E-Mail-Adresse, Passwort, Anrede (Herr, Frau, Firma), Vorname, Nachname, Rechnungsadresse (Land, PLZ, Ort, Straße, Hausnummer), Telefonnummer, Geburtsdatum, Rechnungsadresse (Adresszusatz). Die Verarbeitung dient der Darstellung, der Bereitstellung des Registrierungsformulars sowie der Vertragsanbahnung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
2. Die Verantwortliche sendet den Betroffenen eine Transaktions-E-Mail, mit der sie die Registrierung bestätigen. Hierbei werden folgende Daten verarbeitet: Nachname, E-Mail-Adresse. Die Verarbeitung dient der Betrugsprävention, der datenschutzrechtlichen Qualifizierung/Identifizierung sowie der Vertragsanbahnung. Soweit die Verarbeitung der Vertragsanbahnung dient ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO die Rechtsgrundlage. Im Fall der Betrugsprävention ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse = Zweck) die Rechtsgrundlage. Im Fall der Qualifizierung/Identifizierung ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 2 DSGVO die Rechtsgrundlage.
3. Sofern der Betroffene die Registrierung aus der E-Mail heraus bestätigt, wird der Registrierungsprozess abgeschlossen; anderenfalls bleibt er offen. Hierbei werden folgende Daten verarbeitet: Nachname, E-Mail-Adresse, Status der Bestätigung. Die Verarbeitung dient der Betrugsprävention, der datenschutzrechtlichen Qualifizierung/Identifizierung sowie der Vertragsanbahnung. Soweit die Verarbeitung der Vertragsanbahnung dient ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO die Rechtsgrundlage. Im Fall der Betrugsprävention ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse = Zweck) die Rechtsgrundlage. Im Fall der Qualifizierung/Identifizierung ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 2 DSGVO die Rechtsgrundlage.

Anbahnung des Vertrages (am Standort)

Durchführung des Vertrages (Kaufgeschäfte über den Onlineshop)

1. Der Betroffene wählt ein Produkt aus und gibt − erforderlichenfalls − weitere Daten an, um selbst ein Kaufangebot zu unterbreiten. In diesem Zusammenhang generiert der Verantwortliche eine Bestellnummer und ordnet sie dem Betroffenen zu. Hierbei werden folgende Daten verarbeitet: Liefer- und Rechnungsanschrift, KfZ-Kennzeichen (auf www.carpardoo.nl, www.carpardoo.fr und www.carpardoo.dk), Fahrzeugtyp KBA-Nummer (auf www.kfzteile24.de, www.autoteile24.de, www.auspuff.com, www.bremsen.com und www.kfzteile.com), Hersteller, Modell, Typ, nationaler Code (auf kfzteile24.at), Bestellnummer (stets). Die Verarbeitung dient der Durchführung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
2. Die Betroffenen führen über den ausgewählten Zahlungsdienstleister die Zahlung dadurch. Dafür werden sie zu Zahlungs-Dienstleistern weitergeleitet, die den Zahlungsvorgang eigenverantwortlich abwickeln und dem Verantwortlichen den Status zum Zahlungsvorgang zurückmelden. Hierbei werden folgende Daten verarbeitet: Bestelldaten, Rechnungsdaten, Zahlungsstatus. Die Verarbeitung dient der Durchführung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
3. Entscheiden sich die Betroffenen für eine Zahlung per Rechnung-, Lastschrift oder Ratenkauf werden die Daten an einen externen Zahlungsdienstleister übermittelt, damit dieser ggf. unter Einbeziehung externer Auskunfteien entscheidet, ob die gewählte Zahlungsart gewährt werden kann. Dieser Schritt erfolgt nur, wenn die Zahlung nach Lieferung erfolgen soll. Die Bonitätsdaten werden von externen Zahlungsdienstleistern eigenverantwortlich erhoben und gespeichert und dem hiesigen Verantwortlichen gegenüber nicht bekannt gemacht. Hierbei werden folgende Daten verarbeitet: Kontaktdaten (Name, Adresse, ggf. Geburtsdatum, ggf. E-Mail-Adresse, Ihre Bankdaten), Angaben zu den bestellten Artikeln (z.B. Bestellwert, Produktgruppe, Warenwert, ggf. Anfragekanal und Lieferart), Bonitätsdaten. Die Verarbeitung dient der Durchführung eines Vertrages. Soweit allerdings Bonitätsauskünfte eingeholt werden, bezweckt die Verarbeitung den Schutz vor dem Vorleistungsrisiko. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO. Soweit allerdings Bonitätsauskünfte eingeholt werden, ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO die Rechtsgrundlage, wobei das berechtigte Interesse in der Minimierung von Vorleistungsrisiken besteht.
4. Bei positivem Zahlungsstatus wird der Kaufgegenstand automatisiert verpackt, beschriftet, an ein externes Logistikunternehmen übergeben und ausgeliefert. Hierbei werden folgende Daten verarbeitet: Name, Lieferungsanschrift, Zahlungsstatus, ggf. Telefonnummer, Bestellstatus, z.B. „Versendet“ oder „Retourniert“, Versandstatus. Die Verarbeitung dient der Durchführung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Durchführung des Vertrages (am Standort)

Veränderungen bei der Datenverarbeitung

Ansprüche, Rechte und Konflikte im Vertragsverhältnis

1. Sofern die Betroffenen ihre Rechte nach der DSGVO oder anderen rechtlichen Vorschriften (einschl. Vertragliche Ansprüche) geltend machen, verarbeitet die Verantwortliche die Daten, um diese Ansprüche zu prüfen und ggf. zu erfüllen. Zweck ist die Prüfung von bzw. die Reaktion auf die Ansprüche, einschließlich der Erfüllung oder Zurückweisung der Ansprüche. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus der Natur des jeweils geltend gemachten Rechts folgt.
2. Im Fall eines rechtlichen Konflikts zwischen den Betroffenen und der Verantwortlichen werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben (z.B. Geltendmachung von Forderungen) und ggf., um einen externen Rechtsrat einzuholen. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, sämtliche Vorgänge, die im Zusammenhang mit dem rechtlichen Konflikt stehen. Die Verarbeitung dient Wahrnehmung externer, rechtlicher Beratung/Betreuung sowie Ausübung eigener Rechte der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus den vorgenannten Zwecken folgt.

Löschung, soweit keine Aufbewahrungsgründe bestehen

1. Sobald die Daten den hier jeweils beschriebenen Zweck erfüllt haben, werden sie gelöscht. Die Löschung bezweckt die Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 1 litt. a, e DSGVO.
2. Abweichend von Absatz 1 unterbleibt die Löschung in folgenden Fällen:
   • Interne Aufzeichnungen, die keine Buchungsbelege sind (z.B. Jahresabschlüsse), werden 10 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Buchungsbelege werden 8 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten der geschäftlichen Kommunikation (z.B. Kundenbriefe) und sonstige steuerrelevante Unterlagen werden 6 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten, die entstehen, wenn die Betroffenen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden für 3 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem die Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB) und ergänzend aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
   • Daten, die entstehen, wenn die Betroffenen sonstige Ansprüche gegenüber der Verantwortlichen geltend machen, werden für 3 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB).
   • Daten, die auf einer Einwilligung beruhen, werden bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufbewahrt, je nachdem, was früher eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
   • Daten, die die Erteilung der Einwilligung beweisen, werden 3 Jahre aufbewahrt, beginnend mit dem Zeitpunkt des Widerrufs der Einwilligung oder des Wegfalls des Zwecks, je nachdem, was früher eintritt. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).

Unterstützung bei Haupt-/Abgasuntersuchung und/oder für ein Schadensgutachten

Service-Hotline, einschl. Sprachaufzeichnung

1. Zu Beginn des Gesprächs werden die Betroffenen gefragt, ob sie mit der Aufzeichnung einverstanden sind, wobei die Antwort dokumentiert wird. Hierbei werden folgende Daten verarbeitet: Telefonnummer, Inhalt zur Einwilligung (Stimmdaten). Die Verarbeitung dient der Erfüllung der rechtlichen Verpflichtung i.S.v. Artikel 7 Absatz 1 DSGVO. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO.
2. Nur falls die Betroffenen vorab eingewilligt haben, werden die Gespräche aufgezeichnet. Hierbei werden folgende Daten verarbeitet: Telefonnummer des anrufenden Betroffenen, Gesprächsbeginn, Dauer des Gesprächs, die Auftragsnummer, Inhalt des Gesprächs. Die Verarbeitung dient der Verbesserung des Servicelevels sowie der Bearbeitung des Vorhabens. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

Business-Intelligence

Videokonferenzen (ohne Aufzeichnung)

Sicherheitsüberprüfung von E-Mails ohne KI

Bewertungen/Testimonials

1. Die Verantwortliche holt Testimonials der Betroffenen ein.
2. Zunächst erfragt sie die Einwilligung dafür und dokumentiert die Antwort. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
3. Falls die Einwilligung erteilt wird, geschieht folgendes: Die Verantwortliche erhebt die Testimonials und veröffentlicht sie, soweit die erteilte Einwilligung dies erlaubt. Hierbei werden folgende Daten verarbeitet: Name, Status zur Einwilligung, Datum der Entscheidung. Die Verarbeitung bezweckt die Präsentation der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

Videotestimonials

1. Die Verantwortliche ermöglicht den Betroffenen in einigen, ausgewählten Fällen, ein Videotestimonial abzugeben.
2. Falls die Betroffenen sich dafür entscheiden, holt sie die dafür erforderliche Einwilligung ein. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
3. Die Verantwortlich fertigt das Videotestimonial an und veröffentlicht es, soweit die Einwilligung es zulässt. Hierbei werden folgende Daten verarbeitet: Name, Bild- und Tondaten. Zweck ist Präsentation der Verantwortlichen in der Öffentlichkeit. Rechtsgrundlage ist die Einwilligung der Betroffenen i.S.v. Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

werbliche Ansprache per E-Mail (berechtigtes Interesse)

werbliche Ansprache per E-Mail (Einwilligung)

1. Die Verantwortliche nutzt die E-Mail-Adressen der Betroffenen, um diese werblich anzusprechen.
2. Falls die Betroffenen sich dafür entscheiden, holt sie die dafür erforderliche Einwilligung ein. Hierfür verarbeitet sie den Namen, Zeitpunkt, Status der Einwilligung sowie die ergänzende Identitätsbestätigung durch Klick auf den entsprechenden Link in der Bestätigungs-E-Mail (sog. Double-Opt-In-Verfahren). Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
3. Die Verantwortliche nutzt die E-Mail-Adressen, um die Betroffenen werblich anzusprechen. Hierbei verarbeitet sie die folgenden Daten: Name, E-Mail-Adresse. Rechtsgrundlage ist die Einwilligung der Betroffenen i.S.v. Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

werbliche Ansprache per Post (berechtigtes Interesse)

Steuerberatung

Einsatz von LLM (KI-System)

1. Eingabe des Prompts: Zunächst geben personalverantwortliche Beschäftigte der Verantwortlichen einen Prompt in das dafür vorgesehene Feld ein.
2. Tokenisierung: Der Prompt wird dann in eine Form umgewandelt, die das KI-Modell, das dem KI-System zugrunde liegt, verstehen kann. Dies geschieht durch eine sog. Tokenisierung, bei der der Prompt in kleine Einheiten zerlegt wird, sog. Tokens.
3. Verarbeitung durch das Modell: Die Tokens werden durch das Modell geleitet. Das KI-Modell besteht aus vielen Schichten, die jeweils unterschiedliche Teile des Prompts analysieren. Bei jedem Durchgang durch eine Schicht versteht das Modell den Prompt besser.
4. Generierung der Antwort: Das KI-Modell nutzt die erlernten Muster und Strukturen, um eine Antwort zu erzeugen. Die Antwort selbst besteht aus Tokens. Das Modell sagt voraus, welche Tokens am wahrscheinlichsten als nächstes kommen, und setzt diesen Prozess fort, bis eine vollständige Antwort entsteht.
5. Umwandlung in einen lesbaren Text: Die generierten Tokens werden schließlich wieder in lesbaren Text umgewandelt und als Antwort ausgegeben. Diese Antwort basiert auf den Daten, mit denen das Modell trainiert wurde, und den spezifischen Anweisungen des Prompts.

gesellschaftsrechtlich Reorganisation

1. Verschmelzung und Share-Deal: Bei einer Verschmelzung oder einem sogenannten Share-Deal findet kein Wechsel der verantwortlichen Stelle statt, da entweder die Identität des Rechtsträgers erhalten bleibt (Verschmelzung) oder nur die gesellschaftsrechtliche Eigentümerstruktur verändert wird (Share-Deal). Kundendaten verbleiben in der Sphäre der bisherigen Verantwortlichen; eine Übermittlung an Dritte erfolgt nicht. Entsprechend bedarf es hierfür keiner datenschutzrechtlichen Rechtsgrundlage für eine Übermittlung, da kein Wechsel der datenverarbeitenden Stelle stattfindet. In diesen Fallgestaltungen werden Kundendaten lediglich weiterhin im Rahmen der ursprünglich vereinbarten Zwecke verarbeitet.
2. Asset-Deal: Im Rahmen eines Asset-Deals kann es zu einer Übertragung von Kundendaten auf einen neuen, erwerbenden Verantwortlichen kommen. Die Verantwortliche prüft, ob Kundendaten − differenziert nach dem rechtlichen Status des Kundenverhältnisses − an die erwerbende Partei übermittelt werden dürfen. Kunden mit aktuellen vertraglichen Beziehungen oder fortbestehenden Ansprüchen (z. B. bestehende Hauptleistungsschuld, offene Gewährleistungs- oder Schadenersatzansprüche): Hier kann eine Übermittlung personenbezogener Daten an den Erwerber zur Wahrung der berechtigten Interessen des Erwerbers sowie der betroffenen Kunden erforderlich sein. Der Erwerber muss die Möglichkeit haben, bestehende Ansprüche, laufende Verträge oder Gewährleistungsrechte zu verwalten, zu erfüllen und zu prüfen. Vor der Übermittlung werden Umfang und Zulässigkeit der konkret notwendigen Kundendaten geprüft. Soweit eine Übermittlung von Kundendaten im Rahmen eines Asset-Deals an den Erwerber notwendig ist: Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse des Erwerbers und der betroffenen Kunden an der Wahrnehmung, Fortführung und Erfüllung bestehender vertraglicher Ansprüche und Rechte; Interessenabwägung erfolgt unter besonderer Berücksichtigung des Schutzniveaus und der Übermittlungserforderlichkeit).

Empfänger von Kundendaten

Behörden der Finanzverwaltung:
Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuerrechtlich relevanten Dokumenten.

Gerichte:
Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Schadenersatzklage, …)

Staatsanwaltschaften/Polizei:
Als Empfängerkategorie werden Staatsanwaltschaften/Polizei benannt, die auf Grundlage von strafprozessualen oder gefahrenabwehrrechtlichen Vorschriften heraus, Zugriff auf bestimmte Daten erhalten.

externe Rechtsanwaltskanzleien:
Als Empfängerkategorie werden externe Rechtsanwaltskanzleien benannt, die zu Beratung und Vertretung der Verantwortlichen eingesetzt werden.

externe Datenschutzbeauftragte:
Als Empfängerkategorie werden externe Datenschutzbeauftragte benannt, die zu Beratung der Verantwortlichen eingesetzt werden.

Erwerber:
Als Empfängerkategorie werden Erwerber im Fall der gesellschaftsrechtlichen Reorganisation genannt.

Microsoft:
Es werden Anwendungen der Microsoft Ireland Operations Limited (EU - Irland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Microsoft Corporation, USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
Microsoft-Teams (Videokonferenz)

AWS:
Es werden Anwendungen der Amazon Web Services EMEA SARL (EU - Luxemburg) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
AWS cloud

Google:
Es werden Anwendungen der Google Ireland Ltd. (Irland - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Google LLC in den USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Weitere Informationen zur Datenverarbeitung erfolgt hier. Folgende Anwendungen werden eingesetzt:
Google Workspace
Google Gemini (KI-Anwendung)
Google Meet

Google Analytics
Google Analytics hilft bei der Analyse des Nutzungsverhaltens auf der Internetseite. Die IP-Adresse wird durch die Drittanbieterin innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server der Drittanbieterin in den USA übertragen und dort gekürzt. Die im Rahmen des Einsatzes dieses Tools vom Browser übermittelte IP-Adresse wird nicht mit anderen Daten durch die Drittanbieterin zusammengeführt. Das Tool wird zudem für eine geräteübergreifende Analyse von Besucher*innenströmen eingesetzt, die über eine User-ID durchgeführt wird.

Google Tagmanager
Durch dieses Tool kann die Verantwortliche verschiedene Codes und Dienste geordnet und vereinfacht auf dieser Internetseite einbinden. Dieses Tool implementiert dabei die tags bzw. löst die damit eingebundenen tags aus. Beim Auslösen eines tags verarbeitet die Dritanbieterin unter Umständen auch personenbezogene Daten.

Google Doubleclick
DoubleClick setzt Cookies ein, um für die Betroffenen relevante Anzeigen zu schalten, die Berichte zur Kampagnenleistung zu verbessern oder um zu vermeiden, dass die Betroffenen die gleichen Anzeigen mehrmals sehen. Über eine Cookie-ID erfasst die Drittanbieterin, welche Anzeigen in welchem Browser geschaltet werden und kann so verhindern, dass diese mehrfach geschaltet werden. Darüber hinaus kann DoubleClick mithilfe von Cookie-IDs sog. Conversions erfassen, die Bezug zu Anzeigenanfragen haben. Das ist etwa der Fall, wenn die Betroffenen eine DoubleClick-Anzeige sehen und später mit demselben Browser die Internetseite der hiesigen Verantwortlichen aufrufen und dort etwas kaufen. Aufgrund der eingesetzten Marketing-Tools baut der Browser automatisch und direkt eine Verbindung mit dem Server der Drittanbieterin auf. Durch die Einbindung von DoubleClick erhält die Drittanbieterin die Information, dass die Betroffenen den entsprechenden Teil des hiesigen Internetauftritts aufgerufen oder die Anzeige der Verantwortlichen angeklickt haben. Sofern die Betroffenen bei einem Dienst der Drittanbieterin registriert sind, kann sie den Besuch dem jeweiligen Account der Betroffenen zuordnen. Selbst wenn die Betroffenen nicht bei der Drittanbieterin registriert sind bzw. sich nicht eingeloggt haben, besteht die Möglichkeit, dass die Drittanbieterin deren IP-Adresse in Erfahrung bringt und speichert.

Google Ads / Google Remarketing
Wenn die Betroffenen mit der Verantwortlichen online in Interaktion treten, etwa diese Internetseite besuchen, können sie per Cookies (sog. Ad Server Cookies) als geeignete Empfänger von Werbeanzeigen, sog. „Ads“ gekennzeichnet werden. Außerdem kann mithilfe dieser Cookies der Erfolg einer Kampagne gemessen und bewertet werden. Wenn die Betroffenen dann das soziale Medium der hiesigen Drittanbieterin, etwa ihre Suchmaschine, aufsuchen, werden sie erkannt und ihnen werden die „Ads“ der hiesigen Verantwortlichen angezeigt („Remarketing“). Dies geschieht, in dem der jeweilige Browser der Betroffenen automatisch eine direkte Verbindung mit dem Server der hiesigen Drittanbieterin aufbaut. Die Auslieferung der „Ads“ erfolgt dann über sog. Google Ad Server. Die hierfür eingesetzten Ad Server Cookies verlieren in der Regel nach 30 Tagen ihre Gültigkeit und sollen nicht dazu dienen, die Betroffenen persönlich zu identifizieren. Zu diesem Cookie werden in der Regel als Analyse-Werte die Unique Cookie-ID, Anzahl Ad Impressions pro Platzierung (Frequency), letzte Impression (relevant für Post-View-Conversions) sowie Opt-out-Informationen (Markierung, dass der Nutzer nicht mehr angesprochen werden möchte) gespeichert. Die Betroffenen können das Tracking erschweren und verhindern, etwa (a) durch entsprechende Einstellungen ihrer Browser-Software (insbesondere führt die Unterdrückung von Drittcookies dazu, dass sie keine Anzeigen von Drittanbieterinnen erhalten) oder (b) durch Deaktivierung der Cookies für das Conversion-Tracking, indem sie ihren Browser so einstellen, dass Cookies von der Domain der hiesigen Drittanbieterin blockiert werden, wobei diese Einstellung gelöscht werden, wenn die Betroffenen die Cookies löschen. Der Zweck besteht darin, die Verantwortlichen zu präsentieren, das Nutzungsverhaltens in Bezug auf die Interaktion mit dieser Internetseite zu analysieren sowie über das hier vorgestellte soziale Medium (ggf. werblich) mit den Betroffenen zu kommunizieren.

YouTube (Grundsatz)
YouTube ist ein Portal, auf dem Videos gezeigt werden.

YouTube (eigener Kanal)
Die Verantwortliche betreibt einen eigenen YouTube-Kanal.

YouTube (Medienaufnahmen)
Die Verantwortliche veröffentlicht hier Videos, die die Betroffenen zeigen.

YouTube (Recruiting)
Die Verantwortliche sucht über Videos, die sie veröffentlicht, neue Beschäftigte.

Zoom:
Es wird das Webinar- bzw. Videokonferenz-Tool „Zoom“ der Zoom Video Communications, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.

externe Steuerberatungskanzlei:
Die Buchhaltungsdaten werden an eine externe Steuerberatungskanzlei übermittelt. Soweit Daten bei der Steuerberatungskanzlei verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

Confluence:
Es wird das Projektmanagement-Tool „Confluence“ der Atlassian Pty Ltd (Australien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

Atlassian:
Es werden das Projektmanagement-Tool „Jira“ und das Projektmanagement-Tool „Confluence“ der Atlassian Pty Ltd (Australien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

clockwise:
Es wird das Projektmanagement-Tool „clockwise“ der Clockwise Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

slack:
Es wird das Kollaborations-Tool „slack“ der Slack Technologies Ireland Limited (Irland − EU) eingesetzt. Der Beauftragung dieses Anbieters steht auch nicht entgegen, dass die ggf. außerhalb der EU verarbeitet werden, etwa unter Mitwirkung der Slack Technologies Inc. (USA). Mit Blick auf Non-HR-Daten ist die Übermittlung gemäß Artikel 45 DSGVO gerechtfertigt. Mit Blick auf HR-Daten ist sie zunächst gemäß Artikel 47 DSGVO und ergänzend dadurch gerechtfertigt, dass sich die Slack Technologies Inc. hat sich gemäß Artikel 46 DSGVO verpflichtet hat.

Monday.Rocks:
Es wird das Kollaborations-Tool „Monday.Rocks“ der MONDAY.ROCKS GmbH (Deutschland − EU) eingesetzt.

Veolia Deutschland GmbH:
Es wird die Veolia Deutschland GmbH (Deutschland − EU) mit der Löschung/Vernichtung von Daten gemäß Artikel 28 DSGVO beauftragt.

GitHub:
Es wird der Onlinedienst „GitHub“ der GitHub Inc. (USA) eingesetzt, die nach Artikel 28 DSGVO beauftragt. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass die GitHub Inc. ihren Sitz außerhalb der EU hat. Bei allen Daten, die keine Beschäftigtendaten sind, ist die Übermittlung gemäß Artikel 45 DSGVO gerechtfertigt. Bei Beschäftigtendaten gilt, dass sich der Unterauftragsverarbeiter gemäß den EU-Standardvertragsklauseln verpflichtet hat, sodass die Übermittlung nach Artikel 46 DSGVO gerechtfertigt ist.

iComply GmbH:
Es wird das Hinweisgebersystem „iWhistle“ der iComply GmbH (EU − Deutschland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde.

userwerk:
Es wird das Affliate-System „userwerk“ der userwerk GmbH (Deutschland - EU) eingesetzt.

Paypal:
Es wird der Zahlungsdienst „Paypal“ des Anbieters PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg - EU) eingesetzt. Bevor die Betroffenen diesen Zahlungsdienst nutzen, müssen sie bei dieser Drittanbieterin ein eigenes Konto erstellen. Dafür teilen sie der Drittanbieterin die hierfür erforderlichen Daten mit. Sofern sie anschließend auf Dienstleister, wie die hier Verantwortliche treffen, die eine Zahlung über diesen Zahlungsdienst akzeptieren, autorisieren sie diese Drittanbieterin, Geld an die hiesigen Verantwortliche zu überweisen. Hierbei erlangt die Drittanbieterin freilich Informationen über das Kaufverhalten der Betroffenen. Die Drittanbieterin agiert hier also nicht als eine weisungsabhängige Auftragsverarbeiterin der hiesigen Verantwortlichen, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortlichen verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie, (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen, (3) personenbezogene Daten und Kontoinformationen, die erforderlich sind, um die Transaktion durchzuführen und (4) personenbezogene Daten, die die Verantwortlichen zur Klärung von Konflikten und zur Prüfung und Prävention von Betrug benötigt. Die Informationen zu 2., zu 3. und zu 4. erhält die Verantwortliche von der Drittanbieterin.

SOFORT:
Es wird der Zahlungsdienst „SOFORT“ der SOFORT GmbH (Deutschland - EU) eingesetzt. Sofern in der Rechtsbeziehung zwischen den Betroffenen und der hiesigen Verantwortlichen ein Zahlungsvorgang des Betroffenen ansteht, werden die Betroffenen zur Internetseite dieser Drittanbieterin weitergeleitet, wo sie ihre für das Online-Banking erforderlichen Zugangsdaten eingeben. Sodann prüft diese Drittanbieterin, ob das Konto den zu überweisenden Betrag abdeckt (Kontodeckungsprüfung) und ob etwaige Sofortüberweisungen der letzten 30 Tage von diesem Konto erfolgreich durchgeführt wurden. Nach positiver Prüfung übermittelt die Drittanbieterin den von ihnen freigegebenen Überweisungsauftrag in elektronischer Form an die Bank und informiert die hiesige Verantwortliche über die erfolgreiche Einstellung der Überweisung. Die Drittanbieterin agiert hier also nicht als weisungsabhängige Auftragsverarbeiterin, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortliche verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen. Diese Meldung umfasst nur die Daten aus dem Überweisungsformular sowie das Datum (mit Uhrzeit) und die von der hiesigen Verantwortlichen gewählte Transaktionskennung (z.B. Auftragsnummer). Bei SEPA-Überweisungen und nur sofern von der jeweiligen Bank gefordert, enthält die Bestätigung auch BIC und IBAN. Die Information zu 2. erhält die Verantwortliche von der Drittanbieterin.

riverty:
Es wird der Zahlungsdienst „riverty“ des Anbieters Riverty GmbH (Deutschland - EU) eingesetzt.

Klarna:
Es wird der Zahlungsdienst „Klarna“ des Anbieters Klarna Bank AB (publ) (Schweden - EU) eingesetzt. Dies gilt für die Internetseiten: www.auspuff.com, www.bremsen.com.

iDEAL:
Es wird der Zahlungsdienst „iDEAL“ des Anbieters Currence iDEAL B.V (Niederlande - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.nl.

Cartes Bancaires:
Es wird der Zahlungsdienst „Cartes Bancaires“ des Anbieters Cartes Bancaires CB (Frankreich - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.fr.

Dankort:
Es wird der Zahlungsdienst „Dankort“ des Anbieters Nets Holding A/S (Dänemark - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.dk.

DEKRA:
Sofern die Betroffenen diesen Service wünschen und der damit verbundenen Datenverarbeitung zustimmen, werden die für die Haupt-/Abgasuntersuchung und/oder für ein Schadensgutachten erforderlichen Daten an die DEKRA Automobil GmbH (EU − Deutschland) übermittelt.

Hotjar:
Im Zusammenhang mit der Analyse des Nutzungsverhaltens wird das Analyse-Tool „Hotjar“ der Hotjar Ltd. (Malta - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Neben dem jederzeit möglichen Widerruf ihrer Einwilligung können die Betroffenen die Erfassung der Daten durch Hotjar verhindern, indem sie auf den folgenden Link klicken und die dortigen Instruktionen befolgen: https://www.hotjar.com/opt-out.

Meta:
Es wird die sozialen Netzwerke und Medien der Meta Platforms Ireland Limited (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Meta Platforms Inc. (USA), stattfindet. Soweit die Verantwortliche und die vorgenannte Anbieterin gemeinsam verantwortlich sind, ist die Vereinbarung hier nachzulesen: https://www.facebook.com/legal/terms/page_controller_addendum. Dort befinden sich alle Informationen zum Anwendungsbereich und zur Aufgabenverteilung. In allen übrigen Fällen wurde die vorgenannte Anbieterin nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende soziale Netzwerke, Medien und/oder Tools werden eingesetzt:
Facebook (Unternehmensseite)
Facebook (Ads)
Facebook (Custom Audience)
Facebook (Medienaufnahmen)
Instagram (Unternehmensseite)
Instagram (Ads)
Instagram (Medienaufnahmen)

Xing:
Es wird das soziale Netzwerk „Xing“ der New Work SE (Deutschland - EU) eingesetzt. Folgende Tools werden eingesetzt:
Xing (Unternehmensseite)
Xing (Ads)
Xing (Medienaufnahmen)

TikTok:
Es wird das soziale Netzwerk „TikTok“, das von der TikTok Technology Limited (EU - Irland) und der TikTok Information Technologies UK Limited (Vereinigtes Königreich von England und Nordirland) gemeinschaftlich angeboten wird, eingesetzt. Aus der Datenschutzerklärung der Drittanbieterinnen geht jedoch vor, dass sie Daten auch an andere Unternehmen ihrer „Unternehmensgruppe“ weitergeben, ohne jedoch zu spezifizieren, welche Unternehmen dazugehörigen. Trotz öffentlich gegenteiliger Aussagen ist daher nicht auszuschließen, dass die Daten zu Unternehmen in den USA und/oder die Volksrepublik China, dort insbesondere an die Muttergesellschaft Beijing Bytedance Technology Ltd. (Volksrepublik China) übermittelt und dort auch verarbeitet werden. Soweit der Verantwortliche und die Drittanbieterinnen des hier vorgestellten sozialen Netzwerks bzw. Mediums gemeinsam verantwortlich sind, haben sie eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vereinbart. In allen übrigen Fällen wurde der Anbieter sozialen Netzwerks bzw. Mediums nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 49 Absatz 1 lit. a DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
TikTok (Unternehmensseite)
TikTok (Ads)
TikTok (Medienaufnahmen)

Bloomreach:
Es wird das Automatisierungs-Tool „Bloomreach“ der BLOOMREACH B.V., die nach Artikel 28 DSGVO beauftragt wurde, eingesetzt.

Zenloop:
Es wird das Tool „Zenloop“ der zenloop GmbH (Deutschland − EU) eingesetzt. Näheres zur Art und Weise der Verarbeitung bei diesem Drittanbieter ist hier beschrieben: https://www.zenloop.com/de/plattform/.

DHL:
Für Auslieferungen von Kaufsachen wird die DHL Paket GmbH (Deutschland − EU) eingesetzt. Soweit Daten an einen Lieferungsdienst übermittelt und durch ihn verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

WhatsApp:
Es wird der Messengerdienst „WhatsApp“ der WhatsApp Ireland Limited (Irland − EU) eingesetzt. Sofern hierüber Daten verarbeitet werden, ist nicht auszuschließen, dass diese Daten an folgende Unternehmen übermittelt werden:
Unternehmen mit Sitz in der EU: Meta Platforms Ireland Limited (Irland − EU), Facebook Germany GmbH (Deutschland − EU) o FB Spain S.L. (Spanien − EU)
Unternehmen mit Sitz in Ländern, für die es einen Angemessenheitsbeschluss i.S.v. Artikel 45 DSGVO gibt: Facebook Israel Limited (Israel), Facebook UK Limited (Vereinigtes Königreich). Hier ist die Übermittlung an Stellen außerhalb der EU nach Artikel 45 DSGVO gerechtfertigt.
sonstige Unternehmen mit Besonderheiten: WhatsApp LLC (USA). Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist bei Beschäftigtendaten gemäß Artikel 45 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Facebook Singapur Pie Limited (Singapur). Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier Singapur) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Meta Platforms Inc. (USA) Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Die Einzelheiten sind hier erklärt: https://www.whatsapp.com/legal/privacy-policy-eea#privacy-policy-how-we-work-with-other-meta-companies.

Tableau:
Es wird das Business-Intelligence-Tool der Tableau Software, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.

Astronomer:
Es wird das Schnittstellen-Tool „Astronomer.io“ der Astronomer, Inc (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Astronomer.io ist eine Plattform zur Verwaltung und Steuerung von Datenworkflows bereit. Die Software ermöglicht Unternehmen, Datenprozesse zu überwachen und zu automatisieren, was im Bereich Business Intelligence eingesetzt wird. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.

growthbook.io:
Es wird das A/B-Testing-Tool growthbook.io der GrowthBook, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.

III Lieferantendaten

Anbahnung des Vertrages

Durchführung des Vertrages

Veränderungen bei der Datenverarbeitung

Ansprüche, Rechte und Konflikte im Vertragsverhältnis

1. Sofern die Betroffenen ihre Rechte nach der DSGVO oder anderen rechtlichen Vorschriften (einschl. Vertragliche Ansprüche) geltend machen, verarbeitet die Verantwortliche die Daten, um diese Ansprüche zu prüfen und ggf. zu erfüllen. Zweck ist die Prüfung von bzw. die Reaktion auf die Ansprüche, einschließlich der Erfüllung oder Zurückweisung der Ansprüche. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus der Natur des jeweils geltend gemachten Rechts folgt.
2. Im Fall eines rechtlichen Konflikts zwischen den Betroffenen und der Verantwortlichen werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben (z.B. Geltendmachung von Forderungen) und ggf., um einen externen Rechtsrat einzuholen. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, sämtliche Vorgänge, die im Zusammenhang mit dem rechtlichen Konflikt stehen. Die Verarbeitung dient Wahrnehmung externer, rechtlicher Beratung/Betreuung sowie Ausübung eigener Rechte der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus den vorgenannten Zwecken folgt.

Löschung, soweit keine Aufbewahrungsgründe bestehen

1. Sobald die Daten den hier jeweils beschriebenen Zweck erfüllt haben, werden sie gelöscht. Die Löschung bezweckt die Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 1 litt. a, e DSGVO.
2. Abweichend von Absatz 1 unterbleibt die Löschung in folgenden Fällen:
   • Interne Aufzeichnungen, die keine Buchungsbelege sind (z.B. Jahresabschlüsse), werden 10 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Buchungsbelege werden 8 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten der geschäftlichen Kommunikation (z.B. Kundenbriefe) und sonstige steuerrelevante Unterlagen werden 6 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten, die entstehen, wenn die Betroffenen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden für 3 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem die Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB) und ergänzend aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
   • Daten, die entstehen, wenn die Betroffenen sonstige Ansprüche gegenüber der Verantwortlichen geltend machen, werden für 3 Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB).
   • Daten, die auf einer Einwilligung beruhen, werden bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufbewahrt, je nachdem, was früher eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
   • Daten, die die Erteilung der Einwilligung beweisen, werden 3 Jahre aufbewahrt, beginnend mit dem Zeitpunkt des Widerrufs der Einwilligung oder des Wegfalls des Zwecks, je nachdem, was früher eintritt. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).

Business-Intelligence

Videokonferenzen (ohne Aufzeichnung)

Sicherheitsüberprüfung von E-Mails ohne KI

Steuerberatung

Einsatz von LLM (KI-System)

1. Eingabe des Prompts: Zunächst geben personalverantwortliche Beschäftigte der Verantwortlichen einen Prompt in das dafür vorgesehene Feld ein.
2. Tokenisierung: Der Prompt wird dann in eine Form umgewandelt, die das KI-Modell, das dem KI-System zugrunde liegt, verstehen kann. Dies geschieht durch eine sog. Tokenisierung, bei der der Prompt in kleine Einheiten zerlegt wird, sog. Tokens.
3. Verarbeitung durch das Modell: Die Tokens werden durch das Modell geleitet. Das KI-Modell besteht aus vielen Schichten, die jeweils unterschiedliche Teile des Prompts analysieren. Bei jedem Durchgang durch eine Schicht versteht das Modell den Prompt besser.
4. Generierung der Antwort: Das KI-Modell nutzt die erlernten Muster und Strukturen, um eine Antwort zu erzeugen. Die Antwort selbst besteht aus Tokens. Das Modell sagt voraus, welche Tokens am wahrscheinlichsten als nächstes kommen, und setzt diesen Prozess fort, bis eine vollständige Antwort entsteht.
5. Umwandlung in einen lesbaren Text: Die generierten Tokens werden schließlich wieder in lesbaren Text umgewandelt und als Antwort ausgegeben. Diese Antwort basiert auf den Daten, mit denen das Modell trainiert wurde, und den spezifischen Anweisungen des Prompts.

Empfänger von Lieferantendaten

Behörden der Finanzverwaltung:
Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuerrechtlich relevanten Dokumenten.

Gerichte:
Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Schadenersatzklage, …)

Staatsanwaltschaften/Polizei:
Als Empfängerkategorie werden Staatsanwaltschaften/Polizei benannt, die auf Grundlage von strafprozessualen oder gefahrenabwehrrechtlichen Vorschriften heraus, Zugriff auf bestimmte Daten erhalten.

externe Rechtsanwaltskanzleien:
Als Empfängerkategorie werden externe Rechtsanwaltskanzleien benannt, die zu Beratung und Vertretung der Verantwortlichen eingesetzt werden.

externe Datenschutzbeauftragte:
Als Empfängerkategorie werden externe Datenschutzbeauftragte benannt, die zu Beratung der Verantwortlichen eingesetzt werden.

Erwerber:
Als Empfängerkategorie werden Erwerber im Fall der gesellschaftsrechtlichen Reorganisation genannt.

Microsoft:
Es werden Anwendungen der Microsoft Ireland Operations Limited (EU - Irland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Microsoft Corporation, USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
Microsoft-Teams (Videokonferenz)

AWS:
Es werden Anwendungen der Amazon Web Services EMEA SARL (EU - Luxemburg) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
AWS cloud

Google:
Es werden Anwendungen der Google Ireland Ltd. (Irland - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Google LLC in den USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Weitere Informationen zur Datenverarbeitung erfolgt hier. Folgende Anwendungen werden eingesetzt:
Google Workspace
Google Gemini (KI-Anwendung)
Google Meet

Zoom:
Es wird das Webinar- bzw. Videokonferenz-Tool „Zoom“ der Zoom Video Communications, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.

externe Steuerberatungskanzlei:
Die Buchhaltungsdaten werden an eine externe Steuerberatungskanzlei übermittelt. Soweit Daten bei der Steuerberatungskanzlei verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

Confluence:
Es wird das Projektmanagement-Tool „Confluence“ der Atlassian Pty Ltd (Australien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

Atlassian:
Es werden das Projektmanagement-Tool „Jira“ und das Projektmanagement-Tool „Confluence“ der Atlassian Pty Ltd (Australien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

clockwise:
Es wird das Projektmanagement-Tool „clockwise“ der Clockwise Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Dem Einsatz dieses Drittanbieters steht nicht entgegen, dass dieser seinen Sitz außerhalb der EU hat. Denn der Anbieter hat sich gemäß den EU-Standardvertragsklauseln verpflichtet (Artikel 46 DSGVO).

slack:
Es wird das Kollaborations-Tool „slack“ der Slack Technologies Ireland Limited (Irland − EU) eingesetzt. Der Beauftragung dieses Anbieters steht auch nicht entgegen, dass die ggf. außerhalb der EU verarbeitet werden, etwa unter Mitwirkung der Slack Technologies Inc. (USA). Mit Blick auf Non-HR-Daten ist die Übermittlung gemäß Artikel 45 DSGVO gerechtfertigt. Mit Blick auf HR-Daten ist sie zunächst gemäß Artikel 47 DSGVO und ergänzend dadurch gerechtfertigt, dass sich die Slack Technologies Inc. hat sich gemäß Artikel 46 DSGVO verpflichtet hat.

Monday.Rocks:
Es wird das Kollaborations-Tool „Monday.Rocks“ der MONDAY.ROCKS GmbH (Deutschland − EU) eingesetzt.

Veolia Deutschland GmbH:
Es wird die Veolia Deutschland GmbH (Deutschland − EU) mit der Löschung/Vernichtung von Daten gemäß Artikel 28 DSGVO beauftragt.

iComply GmbH:
Es wird das Hinweisgebersystem „iWhistle“ der iComply GmbH (EU − Deutschland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde.

WhatsApp:
Es wird der Messengerdienst „WhatsApp“ der WhatsApp Ireland Limited (Irland − EU) eingesetzt. Sofern hierüber Daten verarbeitet werden, ist nicht auszuschließen, dass diese Daten an folgende Unternehmen übermittelt werden:
Unternehmen mit Sitz in der EU: Meta Platforms Ireland Limited (Irland − EU), Facebook Germany GmbH (Deutschland − EU) o FB Spain S.L. (Spanien − EU)
Unternehmen mit Sitz in Ländern, für die es einen Angemessenheitsbeschluss i.S.v. Artikel 45 DSGVO gibt: Facebook Israel Limited (Israel), Facebook UK Limited (Vereinigtes Königreich). Hier ist die Übermittlung an Stellen außerhalb der EU nach Artikel 45 DSGVO gerechtfertigt.
sonstige Unternehmen mit Besonderheiten: WhatsApp LLC (USA). Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist bei Beschäftigtendaten gemäß Artikel 45 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Facebook Singapur Pie Limited (Singapur). Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier Singapur) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Meta Platforms Inc. (USA) Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Die Einzelheiten sind hier erklärt: https://www.whatsapp.com/legal/privacy-policy-eea#privacy-policy-how-we-work-with-other-meta-companies.

Tableau:
Es wird das Business-Intelligence-Tool der Tableau Software, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.

Astronomer:
Es wird das Schnittstellen-Tool „Astronomer.io“ der Astronomer, Inc (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Astronomer.io ist eine Plattform zur Verwaltung und Steuerung von Datenworkflows bereit. Die Software ermöglicht Unternehmen, Datenprozesse zu überwachen und zu automatisieren, was im Bereich Business Intelligence eingesetzt wird. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.

IV Internetseite

Informatorische Nutzung

Veränderungen bei der Datenverarbeitung

Ansprüche, Rechte und Konflikte im Vertragsverhältnis

1. Sofern die Betroffenen ihre Rechte nach der DSGVO oder anderen rechtlichen Vorschriften (einschl. Vertragliche Ansprüche) geltend machen, verarbeitet die Verantwortliche die Daten, um diese Ansprüche zu prüfen und ggf. zu erfüllen. Zweck ist die Prüfung von bzw. die Reaktion auf die Ansprüche, einschließlich der Erfüllung oder Zurückweisung der Ansprüche. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus der Natur des jeweils geltend gemachten Rechts folgt.
2. Im Fall eines rechtlichen Konflikts zwischen den Betroffenen und der Verantwortlichen werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben (z.B. Geltendmachung von Forderungen) und ggf., um einen externen Rechtsrat einzuholen. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, sämtliche Vorgänge, die im Zusammenhang mit dem rechtlichen Konflikt stehen. Die Verarbeitung dient Wahrnehmung externer, rechtlicher Beratung/Betreuung sowie Ausübung eigener Rechte der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus den vorgenannten Zwecken folgt.

Aufbewahrung und Löschung

1. Nach Ende des Beschäftigungsverhältnisses werden alle vorgenannten Daten, die noch gespeichert werden, aufbewahrt. Insoweit Hinsichtlich der Aufbewahrung ergeben sich Zweck und Rechtsgrundlage aus der untenstehenden Auflistung der Aufbewahrungszeiträume (Absatz 2)
2. Es gelten folgende Aufbewahrungszeiten:
   • Interne Aufzeichnungen, die keine Buchungsbelege sind (z.B. Jahresabschlüsse), sind 10 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Buchungsbelege sind 8 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten der geschäftlichen Kommunikation (z.B. Kundenbriefe) und sonstige steuerrelevante Unterlagen sind 6 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
   • Daten, die entstehen, wenn die Betroffenen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem die Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB) und ergänzend aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
   • Daten, die entstehen, wenn die Betroffenen sonstige Ansprüche gegenüber der Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB).
   • Daten, die auf einer Einwilligung beruhen, sind bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufzubewahren, je nachdem, was früher eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
   • Daten, die die Erteilung der Einwilligung beweisen, sind 3 Jahre aufzubewahren, beginnend mit dem Zeitpunkt des Widerrufs der Einwilligung oder des Wegfalls des Zwecks, je nachdem, was früher eintritt. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).

Externes Webhosting

CDN

Cookie-Consent

Formular

Bewertung

1. Zunächst wird ein Bewertungs-Plugin auf dieser Internetseite dargestellt. Sobald die Betroffenen darauf klicken, werden sowohl die Information, dass die Betroffenen sich auf dieser Internetseite befinden als auch, dass sie auf das Plugin geklickt haben, an die Verantwortliche und ggf. eine externe Drittanbieterin übermittelt, d.h. der Webserver speichert automatisch einige Zugriffsdaten (Server-Logfile, Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, übertragene Datenmenge und den anfragenden Provider). Diese Zugriffsdaten werden nicht ausgewertet und kurze Zeit nach Ende Ihres Seitenbesuchs automatisch überschrieben.
2. Sobald die Betroffenen eine Bewertung abgeben, verarbeitet die jeweilige Drittanbieterin die hierbei anfallenden Daten zwecks Darstellung der Bewertung und ggf. für weitere Zwecke, über die diese Drittanbieterin die Betroffenen aufklären muss.
3. Nachdem die Betroffenen eine Bewertung abgegeben haben, übermittelt die jeweilige Drittanbieterin den Name und - soweit von den Betroffenen bekannt gegeben - die E-Mail-Adresse sowie die Kunden-ID des Bestellvorgangs an die hiesige Verantwortliche.

Zahlung

Login-Bereich

automatisierte Kommunikation

Affiliate (passiv)

Analyse des Nutzungsverhaltens

Soziale Medien

Videos

Ads/Remarketing

Newsletter

1. Die Verantwortliche ermöglicht den Betroffenen, sich auf der Internetseite für einen Newsletter anzumelden.
2. Zunächst erfragt sie die Einwilligung dafür und dokumentiert die Antwort. Zur Einholung der Einwilligung bedient sich die Verantwortliche des sog. Double-Opt-In-Verfahrens. Das heißt, dass sie die Betroffenen nach ihrer Newsletter-Anmeldung eine E-Mail an die angegebene E-Mail-Adresse sendet, in welcher sie sie um Bestätigung ihrer Einwilligung bittet. Wenn sie ihre Anmeldung nach einer vorab definierten Wartezeit nicht bestätigen, werden ihre Informationen gesperrt und nach einer einer weiteren Wartezeit automatisch gelöscht. Darüber hinaus speichert die Verantwortliche jeweils ihre eingesetzten IP-Adressen und Zeitpunkte der Anmeldung und Bestätigung. Hierbei werden also folgende Daten verarbeitet: Name, Status zur Einwilligung, Datum der Entscheidung, IP-Adresse. Zweck ist die Erfüllung einer gesetzlichen Pflicht nach Artikel 7 Absatz 1 DSGVO. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO.
3. Falls die Einwilligung erteilt wird, nutzt die Verantwortliche die E-Mail-Adressen der Betroffenen, um diese werblich anzusprechen. Hierbei werden also folgende Daten verarbeitet: Name, E-Mail-Adresse. Zweck ist werbliche Ansprache bzw. Direktmarketing. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

externe Schriftarten

Empfänger

Behörden der Finanzverwaltung:
Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuerrechtlich relevanten Dokumenten.

Gerichte:
Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Schadenersatzklage, …)

Staatsanwaltschaften/Polizei:
Als Empfängerkategorie werden Staatsanwaltschaften/Polizei benannt, die auf Grundlage von strafprozessualen oder gefahrenabwehrrechtlichen Vorschriften heraus, Zugriff auf bestimmte Daten erhalten.

externe Rechtsanwaltskanzleien:
Als Empfängerkategorie werden externe Rechtsanwaltskanzleien benannt, die zu Beratung und Vertretung der Verantwortlichen eingesetzt werden.

externe Datenschutzbeauftragte:
Als Empfängerkategorie werden externe Datenschutzbeauftragte benannt, die zu Beratung der Verantwortlichen eingesetzt werden.

AWS (Suite):
Es werden diverse Applikationen der Amazon Web Services EMEA SARL (Luxemburg - EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
AWS Webhosting

Bloomreach:
Es wird das Automatisierungs-Tool „Bloomreach“ der BLOOMREACH B.V., die nach Artikel 28 DSGVO beauftragt wurde, eingesetzt. Insbesondere wird das CDN „brxcdn.com“ eingesetzt.

Google:
Es werden Anwendungen der Google Ireland Ltd. (Irland - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Google LLC in den USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Weitere Informationen zur Datenverarbeitung erfolgt hier. Folgende Anwendungen werden eingesetzt:
Google Workspace
Google Gemini (KI-Anwendung)

Google Analytics
Google Analytics hilft bei der Analyse des Nutzungsverhaltens auf der Internetseite. Die IP-Adresse wird durch die Drittanbieterin innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server der Drittanbieterin in den USA übertragen und dort gekürzt. Die im Rahmen des Einsatzes dieses Tools vom Browser übermittelte IP-Adresse wird nicht mit anderen Daten durch die Drittanbieterin zusammengeführt. Das Tool wird zudem für eine geräteübergreifende Analyse von Besucher*innenströmen eingesetzt, die über eine User-ID durchgeführt wird.

Google Tagmanager
Durch dieses Tool kann die Verantwortliche verschiedene Codes und Dienste geordnet und vereinfacht auf dieser Internetseite einbinden. Dieses Tool implementiert dabei die tags bzw. löst die damit eingebundenen tags aus. Beim Auslösen eines tags verarbeitet die Dritanbieterin unter Umständen auch personenbezogene Daten.

Google Doubleclick
DoubleClick setzt Cookies ein, um für die Betroffenen relevante Anzeigen zu schalten, die Berichte zur Kampagnenleistung zu verbessern oder um zu vermeiden, dass die Betroffenen die gleichen Anzeigen mehrmals sehen. Über eine Cookie-ID erfasst die Drittanbieterin, welche Anzeigen in welchem Browser geschaltet werden und kann so verhindern, dass diese mehrfach geschaltet werden. Darüber hinaus kann DoubleClick mithilfe von Cookie-IDs sog. Conversions erfassen, die Bezug zu Anzeigenanfragen haben. Das ist etwa der Fall, wenn die Betroffenen eine DoubleClick-Anzeige sehen und später mit demselben Browser die Internetseite der hiesigen Verantwortlichen aufrufen und dort etwas kaufen. Aufgrund der eingesetzten Marketing-Tools baut der Browser automatisch und direkt eine Verbindung mit dem Server der Drittanbieterin auf. Durch die Einbindung von DoubleClick erhält die Drittanbieterin die Information, dass die Betroffenen den entsprechenden Teil des hiesigen Internetauftritts aufgerufen oder die Anzeige der Verantwortlichen angeklickt haben. Sofern die Betroffenen bei einem Dienst der Drittanbieterin registriert sind, kann sie den Besuch dem jeweiligen Account der Betroffenen zuordnen. Selbst wenn die Betroffenen nicht bei der Drittanbieterin registriert sind bzw. sich nicht eingeloggt haben, besteht die Möglichkeit, dass die Drittanbieterin deren IP-Adresse in Erfahrung bringt und speichert.

Google Ads / Google Remarketing
Wenn die Betroffenen mit der Verantwortlichen online in Interaktion treten, etwa diese Internetseite besuchen, können sie per Cookies (sog. Ad Server Cookies) als geeignete Empfänger von Werbeanzeigen, sog. „Ads“ gekennzeichnet werden. Außerdem kann mithilfe dieser Cookies der Erfolg einer Kampagne gemessen und bewertet werden. Wenn die Betroffenen dann das soziale Medium der hiesigen Drittanbieterin, etwa ihre Suchmaschine, aufsuchen, werden sie erkannt und ihnen werden die „Ads“ der hiesigen Verantwortlichen angezeigt („Remarketing“). Dies geschieht, in dem der jeweilige Browser der Betroffenen automatisch eine direkte Verbindung mit dem Server der hiesigen Drittanbieterin aufbaut. Die Auslieferung der „Ads“ erfolgt dann über sog. Google Ad Server. Die hierfür eingesetzten Ad Server Cookies verlieren in der Regel nach 30 Tagen ihre Gültigkeit und sollen nicht dazu dienen, die Betroffenen persönlich zu identifizieren. Zu diesem Cookie werden in der Regel als Analyse-Werte die Unique Cookie-ID, Anzahl Ad Impressions pro Platzierung (Frequency), letzte Impression (relevant für Post-View-Conversions) sowie Opt-out-Informationen (Markierung, dass der Nutzer nicht mehr angesprochen werden möchte) gespeichert. Die Betroffenen können das Tracking erschweren und verhindern, etwa (a) durch entsprechende Einstellungen ihrer Browser-Software (insbesondere führt die Unterdrückung von Drittcookies dazu, dass sie keine Anzeigen von Drittanbieterinnen erhalten) oder (b) durch Deaktivierung der Cookies für das Conversion-Tracking, indem sie ihren Browser so einstellen, dass Cookies von der Domain der hiesigen Drittanbieterin blockiert werden, wobei diese Einstellung gelöscht werden, wenn die Betroffenen die Cookies löschen. Der Zweck besteht darin, die Verantwortlichen zu präsentieren, das Nutzungsverhaltens in Bezug auf die Interaktion mit dieser Internetseite zu analysieren sowie über das hier vorgestellte soziale Medium (ggf. werblich) mit den Betroffenen zu kommunizieren.

Google Fonts
Google Fonts ist ein Verzeichnis externer, hier eingebundener Schriftarten. IP-Adressen werden weder auf Google-Servern protokolliert noch gespeichert noch analysiert. Die Google Fonts Web API protokolliert Details der HTTP-Anfragen (angeforderte URL, User-Agent und Verweis-URL). Der Zugriff auf diese Daten ist eingeschränkt und streng kontrolliert. Google verwendet keine der von Google Fonts erfassten Informationen, um Profile von Endnutzer*innen zu erstellen. Es werden lediglich die Schriftarten (ein Jahr) und die zugehörigen CSS-Dateien (ein Tag) auf dem Endgerät der Betroffenen gespeichert.

YouTube (Grundsatz)
YouTube ist ein Portal, auf dem Videos gezeigt werden.

YouTube (eigener Kanal)
Die Verantwortliche betreibt einen eigenen YouTube-Kanal.

YouTube (Medienaufnahmen)
Die Verantwortliche veröffentlicht hier Videos, die die Betroffenen zeigen.

YouTube (Recruiting)
Die Verantwortliche sucht über Videos, die sie veröffentlicht, neue Beschäftigte. In den Videos und/oder Videobeschreibungen befinden sich Verlinkungen und/oder sonstige Angaben, die die Kontaktaufnahme zur Anbahnung eines Beschäftigungsverhältnisses ermöglichen.

YouTube (Plugin)
Die Verantwortliche hat auf der Internetseite ein YouTube-Plugin eingebunden, das bei Klick zu YouTube und ihrem Kanal führt und im Übrigen dabei die Daten der Betroffenen verarbeitet.

Exponea:
Es wird das Automatisierungs-Tool „Exponea“ der Exponea s.r.o. (EU - Slowakei), die nach Artikel 28 DSGVO beauftragt wurde, eingesetzt.

Criteo:
Es wird die Advertising-Plattform „Criteo“ der Criteo S.A. (EU - Frankreich) eingesetzt. Auf den Internetseiten des Verantwortlichen wird dabei ein JavaScript eingebaut, das einen Aufruf via HTTP oder HTTPS-Protokoll auf die Criteo-Domains startet. Dieser Aufruf wird mit einer anonymisierten User-ID und dem Kontext des Aufrufes verarbeitet. Durch das Setzen von Cookies auf den Criteo-Domains wird die Nutzung über Kunden- und Publisher-Seiten hinweg anonymisiert getrackt und für personalisierte Werbung verwendet. Die personenbezogenen Daten werden verarbeitet für personalisierte Onlinewerbung.

Zenloop:
Es wird das Tool „Zenloop“ der zenloop GmbH (Deutschland − EU) eingesetzt.

Paypal:
Es wird der Zahlungsdienst „Paypal“ des Anbieters PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg - EU) eingesetzt. Bevor die Betroffenen diesen Zahlungsdienst nutzen, müssen sie bei dieser Drittanbieterin ein eigenes Konto erstellen. Dafür teilen sie der Drittanbieterin die hierfür erforderlichen Daten mit. Sofern sie anschließend auf Dienstleister, wie die hier Verantwortliche treffen, die eine Zahlung über diesen Zahlungsdienst akzeptieren, autorisieren sie diese Drittanbieterin, Geld an die hiesigen Verantwortliche zu überweisen. Hierbei erlangt die Drittanbieterin freilich Informationen über das Kaufverhalten der Betroffenen. Die Drittanbieterin agiert hier also nicht als eine weisungsabhängige Auftragsverarbeiterin der hiesigen Verantwortlichen, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortlichen verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie, (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen, (3) personenbezogene Daten und Kontoinformationen, die erforderlich sind, um die Transaktion durchzuführen und (4) personenbezogene Daten, die die Verantwortlichen zur Klärung von Konflikten und zur Prüfung und Prävention von Betrug benötigt. Die Informationen zu 2., zu 3. und zu 4. erhält die Verantwortliche von der Drittanbieterin.

SOFORT:
Es wird der Zahlungsdienst „SOFORT“ der SOFORT GmbH (Deutschland - EU) eingesetzt. Sofern in der Rechtsbeziehung zwischen den Betroffenen und der hiesigen Verantwortlichen ein Zahlungsvorgang des Betroffenen ansteht, werden die Betroffenen zur Internetseite dieser Drittanbieterin weitergeleitet, wo sie ihre für das Online-Banking erforderlichen Zugangsdaten eingeben. Sodann prüft diese Drittanbieterin, ob das Konto den zu überweisenden Betrag abdeckt (Kontodeckungsprüfung) und ob etwaige Sofortüberweisungen der letzten 30 Tage von diesem Konto erfolgreich durchgeführt wurden. Nach positiver Prüfung übermittelt die Drittanbieterin den von ihnen freigegebenen Überweisungsauftrag in elektronischer Form an die Bank und informiert die hiesige Verantwortliche über die erfolgreiche Einstellung der Überweisung. Die Drittanbieterin agiert hier also nicht als weisungsabhängige Auftragsverarbeiterin, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortliche verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen. Diese Meldung umfasst nur die Daten aus dem Überweisungsformular sowie das Datum (mit Uhrzeit) und die von der hiesigen Verantwortlichen gewählte Transaktionskennung (z.B. Auftragsnummer). Bei SEPA-Überweisungen und nur sofern von der jeweiligen Bank gefordert, enthält die Bestätigung auch BIC und IBAN. Die Information zu 2. erhält die Verantwortliche von der Drittanbieterin.

riverty:
Es wird der Zahlungsdienst „riverty“ des Anbieters Riverty GmbH (Deutschland - EU) eingesetzt.

Klarna:
Es wird der Zahlungsdienst „Klarna“ des Anbieters Klarna Bank AB (publ) (Schweden - EU) eingesetzt. Dies gilt für die Internetseiten: www.auspuff.com, www.bremsen.com.

iDEAL:
Es wird der Zahlungsdienst „iDEAL“ des Anbieters Currence iDEAL B.V (Niederlande - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.nl.

Cartes Bancaires:
Es wird der Zahlungsdienst „Cartes Bancaires“ des Anbieters Cartes Bancaires CB (Frankreich - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.fr.

Dankort:
Es wird der Zahlungsdienst „Dankort“ des Anbieters Nets Holding A/S (Dänemark - EU) eingesetzt. Dies gilt für die Internetseiten: www.carpardoo.dk.

Hotjar:
Im Zusammenhang mit der Analyse des Nutzungsverhaltens wird das Analyse-Tool „Hotjar“ der Hotjar Ltd. (Malta - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Neben dem jederzeit möglichen Widerruf ihrer Einwilligung können die Betroffenen die Erfassung der Daten durch Hotjar verhindern, indem sie auf den folgenden Link klicken und die dortigen Instruktionen befolgen: https://www.hotjar.com/opt-out.

Meta:
Es wird die sozialen Netzwerke und Medien der Meta Platforms Ireland Limited (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Meta Platforms Inc. (USA), stattfindet. Soweit die Verantwortliche und die vorgenannte Anbieterin gemeinsam verantwortlich sind, ist die Vereinbarung hier nachzulesen: https://www.facebook.com/legal/terms/page_controller_addendum. Dort befinden sich alle Informationen zum Anwendungsbereich und zur Aufgabenverteilung. In allen übrigen Fällen wurde die vorgenannte Anbieterin nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende soziale Netzwerke, Medien und/oder Tools werden eingesetzt:
Facebook (Unternehmensseite)
Facebook (Ads)
Facebook (Pixel)
Facebook (Plugin)
Facebook (Custom Audience)
Facebook (Medienaufnahmen)
Instagram (Unternehmensseite)
Instagram (Ads)
Instagram (Pixel)
Instagram (Plugin)
Instagram (Medienaufnahmen)

Xing:
Es wird das soziale Netzwerk „Xing“ der New Work SE (Deutschland - EU) eingesetzt. Folgende Tools werden eingesetzt:
Xing (Unternehmensseite)
Xing (Ads)
Xing (Plugin)
Xing (Medienaufnahmen)

TikTok:
Es wird das soziale Netzwerk „TikTok“, das von der TikTok Technology Limited (EU - Irland) und der TikTok Information Technologies UK Limited (Vereinigtes Königreich von England und Nordirland) gemeinschaftlich angeboten wird, eingesetzt. Aus der Datenschutzerklärung der Drittanbieterinnen geht jedoch vor, dass sie Daten auch an andere Unternehmen ihrer „Unternehmensgruppe“ weitergeben, ohne jedoch zu spezifizieren, welche Unternehmen dazugehörigen. Trotz öffentlich gegenteiliger Aussagen ist daher nicht auszuschließen, dass die Daten zu Unternehmen in den USA und/oder die Volksrepublik China, dort insbesondere an die Muttergesellschaft Beijing Bytedance Technology Ltd. (Volksrepublik China) übermittelt und dort auch verarbeitet werden. Soweit der Verantwortliche und die Drittanbieterinnen des hier vorgestellten sozialen Netzwerks bzw. Mediums gemeinsam verantwortlich sind, haben sie eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vereinbart. In allen übrigen Fällen wurde der Anbieter sozialen Netzwerks bzw. Mediums nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 49 Absatz 1 lit. a DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
TikTok (Unternehmensseite)
TikTok (Ads)
TikTok (Pixel)
TikTok (Plugin)
TikTok (Medienaufnahmen)

Microsoft:
Es werden Anwendungen der Microsoft Ireland Operations Limited (EU - Irland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Microsoft Corporation, USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
Microsoft-Bing Ads / Microsoft Advertising

New Relic:
Es wird das Website-Monitoring-Tool „New Relic“ der New Relic, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.

userwerk:
Es wird das Affliate-System „userwerk“ der userwerk GmbH (Deutschland - EU) eingesetzt.