Datenschutz

1) Einleitung und Kontaktdaten des Verantwortlichen

1.1 Wir freuen uns, dass Sie unsere Website besuchen, und bedanken uns für Ihr Interesse. Im Folgenden informieren wir Sie über den Umgang mit Ihren personenbezogenen Daten bei der Nutzung unserer Website. Personenbezogene Daten sind hierbei alle Daten, mit denen Sie persönlich identifiziert werden können.

1.2 Verantwortlicher für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Naviro GmbH

Johann-Georg-Schlosser-Straße 66

76149 Karlsruhe

Deutschland

Tel.: +49 721 181290-90

E-Mail: info@naviro.de

Der für die Verarbeitung von personenbezogenen Daten Verantwortliche ist diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

1.3 Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten und anderer vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Sie können eine verschlüsselte Verbindung an der Zeichenfolge „https://” und dem Schloss-Symbol in Ihrer Browserzeile erkennen.

2) Datenerfassung beim Besuch unserer Website

Bei der bloß informatorischen Nutzung unserer Website, also wenn Sie uns nicht anderweitig Informationen übermitteln, erheben wir nur solche Daten, die Ihr Browser an den Seitenserver übermittelt (sog. „Server-Logfiles”):

• die von Ihnen besuchte Seite unserer Website
• Datum und Uhrzeit des Zugriffs
• Menge der gesendeten Daten in Byte
• Quelle/Verweis, von der Sie auf die Seite gelangt sind
• verwendeter Browser
• verwendetes Betriebssystem
• die IP-Adresse des von Ihnen genutzten Endgeräts

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Stabilität, Funktionalität und Sicherheit unserer Website. Über die unter Ziff. 3 und 4 genannten Dienstleister hinaus, die diese Daten im Rahmen ihrer Leistungserbringung für uns verarbeiten, findet eine Weitergabe oder anderweitige Verwendung der Daten nicht statt. Wir behalten uns allerdings vor, die Server-Logfiles nachträglich zu überprüfen, sollten konkrete Anhaltspunkte auf eine rechtswidrige Nutzung hinweisen.

Von dieser Erfassung zu unterscheiden ist die Reichweitenmessung nach Ziff. 6, die ausschließlich mit Ihrer Einwilligung stattfindet.

3) Hosting, Domains und technischer Betrieb

Für den Betrieb dieser Website setzen wir die nachfolgend genannten Dienstleister ein. Die unter Ziff. 3.1 bis 3.3 genannten Anbieter verarbeiten personenbezogene Daten ausschließlich zu den von uns vorgegebenen Zwecken und nur im Rahmen der Erbringung ihrer Leistung für uns; im Wesentlichen handelt es sich um die unter Ziff. 2 genannten Verbindungsdaten sowie um Daten, die Sie uns über die Website übermitteln. Die unter Ziff. 3.4 und 3.5 genannten Anbieter stellen uns Software zur Verfügung, die wir auf eigenen Servern betreiben; soweit diese Anbieter Lizenz- und Telemetriedaten für eigene Zwecke verarbeiten, sind sie hierfür selbst verantwortlich. Rechtsgrundlage für den Einsatz der Dienstleister ist jeweils Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren und leistungsfähigen Webauftritt.

3.1 Hosting

Unsere Website wird bei folgendem Anbieter gehostet:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Die Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt.

3.2 Datensicherung und Betriebsunterstützung

Für Betrieb und Datensicherung arbeiten wir zusätzlich mit folgendem Anbieter zusammen:

Bringe Informationstechnik GmbH, Rudolf-Link-Str. 6, 76228 Karlsruhe, Deutschland

Im Rahmen der Datensicherung werden die auf unseren Systemen vorhandenen Daten, einschließlich der unter Ziff. 2 genannten Protokolldaten, in Sicherungskopien gespeichert. Die Verarbeitung findet innerhalb Deutschlands statt.

3.3 Domains und DNS

Die Verwaltung unserer Domains und der zugehörigen DNS-Einträge erfolgt über folgenden Anbieter:

InterNetX GmbH, Johanna-Dachs-Str. 55, 93055 Regensburg, Deutschland

Bei der Auflösung von Domainnamen können technische Verbindungsdaten einschließlich der IP-Adresse verarbeitet werden.

3.4 Serververwaltung

Für die Administration unserer Server nutzen wir eine Serververwaltungssoftware (Plesk) des folgenden Anbieters:

WebPros International GmbH (vormals Plesk International GmbH), Vordergasse 59, 8200 Schaffhausen, Schweiz

Die Software wird auf unseren eigenen Servern betrieben. Ein Zugriff des Anbieters auf Ihre Daten findet im Regelbetrieb nicht statt; er kann im Rahmen von Support- und Wartungsleistungen sowie bei der Übermittlung von Lizenz- und Telemetriedaten nicht vollständig ausgeschlossen werden.

Bei einer Datenübermittlung in die Schweiz ist ein angemessenes Datenschutzniveau durch einen Angemessenheitsbeschluss der Europäischen Kommission gewährleistet.

3.5 Serverbetriebssystem und Servermodule

Auf unseren Servern setzen wir Betriebssystem- und Sicherheitskomponenten des folgenden Anbieters ein:

Cloud Linux Software, Inc., 20791 Three Oaks Pkwy #980, Estero, FL 33929, USA

EU-Vertreter gem. Art. 27 DSGVO: IT.LAW GmbH, Colmantstraße 15, 53115 Bonn, Deutschland

Die Komponenten laufen auf unseren Servern. Personenbezogene Daten von Seitenbesuchern werden dabei allenfalls im Rahmen von Protokoll- und Telemetriedaten verarbeitet.

4) Auslieferung und Absicherung der Website

4.1 Cloudflare als vorgeschaltetes Netz

Diese Website wird über das Netz des folgenden Anbieters ausgeliefert; der Webserver selbst steht in Deutschland:

Cloudflare, Inc., 101 Townsend Street, San Francisco, California 94107, USA

Jede Anfrage erreicht zuerst Cloudflare. Der Anbieter übernimmt die verschlüsselte Übertragung, die Zwischenspeicherung unveränderlicher Dateien und die Abwehr von Angriffen. Weil die Verschlüsselung dort endet und neu aufgebaut wird, kann Cloudflare den Inhalt der Anfrage im Klartext sehen; das ist bei jedem vorgeschalteten Schutznetz so.

Verarbeitet werden Ihre IP-Adresse, die aufgerufene Adresse, der Zeitpunkt und die von Ihrem Browser mitgesendeten Angaben. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO an einer schnellen, zuverlässigen und gegen Angriffe geschützten Auslieferung.

Beim gewöhnlichen Aufruf setzt Cloudflare keine Cookies. Löst die Angriffsabwehr im Einzelfall eine Prüfung aus, kann ein Cookie mit 30 Minuten Laufzeit gesetzt werden, das allein die bestandene Prüfung nachweist. Diese Speicherung ist für den von Ihnen angeforderten Seitenaufruf unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG.

Die von Cloudflare eingesetzten weiteren Dienstleister sind unter https://www.cloudflare.com/gdpr/subprocessors/ veröffentlicht. Cloudflare betreibt Rechenzentren auch in den USA; zur Grundlage dieser Übermittlung siehe Ziff. 13.

4.2 BitNinja

Zusätzlich nutzen wir zur Absicherung unserer Serverinfrastruktur den Dienst des folgenden Anbieters:

BitNinja Technologies Zrt., Csapó utca 37, H-4029 Debrecen, Ungarn

Der Dienst analysiert Zugriffe auf unsere Server, um Angriffsversuche, Schadsoftware und automatisierte Missbrauchsversuche zu erkennen und zu blockieren. Verarbeitet werden dabei insbesondere die IP-Adresse, angefragte URLs sowie Browser- und Verbindungsinformationen; auffällige IP-Adressen werden mit Erkennungslisten des Anbieters abgeglichen.

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Abwehr von Angriffen und Missbrauch. Die Verarbeitung findet innerhalb der Europäischen Union statt.

4.3 Cloudflare Turnstile beim Anfordern eines PDF-Reports

Fordern Sie in unseren Selbsttests (Ziff. 11) einen PDF-Report an, laden wir in diesem Moment „Cloudflare Turnstile” von challenges.cloudflare.com, um zu prüfen, ob die Absendung von einem Menschen stammt. Beim reinen Aufruf des Selbsttests wird der Dienst nicht geladen.

Verarbeitet werden dabei nach Angabe des Anbieters Ihre IP-Adresse, ein technischer Fingerabdruck Ihrer Verbindung, die Kennung Ihres Browsers sowie Kennung und Adresse unseres Formulars; ein Cookie wird nicht gesetzt.

Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO am Schutz des Formulars vor automatisiertem Missbrauch; soweit dabei Eigenschaften Ihres Browsers ausgelesen werden, ist dies für die von Ihnen angeforderte Funktion unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Sie können uns Ihre Anfrage stattdessen per E-Mail oder telefonisch übermitteln.

4.4 Weiterleitung der Messdaten über unsere eigene Adresse

Unsere Reichweitenmessung (Ziff. 6) läuft auf einem eigenen Server. Damit Ihr Browser dafür keine fremde Adresse aufrufen muss, leiten wir die Messdaten über ein eigenes Programm im Netz von Cloudflare unter unserer eigenen Adresse weiter. Cloudflare wertet diese Daten laut vertraglicher Vereinbarung nicht aus. Das Programm gibt Ihre IP-Adresse an unseren Server weiter, damit die Messung die ungefähre Herkunft bestimmen kann, und verwirft Cookies.

Es läuft nur, wenn Sie in die Kategorie „Statistik” eingewilligt haben, weil ohne diese Einwilligung das Messskript nicht geladen wird. Rechtsgrundlage ist daher Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, widerruflich über die Datenschutzeinstellungen.

4.5 Automatisierte Bewertung von Anfragen

Die Angriffsabwehr bewertet Anfragen automatisiert danach, ob sie von einem Menschen oder einem Programm stammen, und kann sie verlangsamen, mit einer Prüfung versehen oder abweisen. Diese Bewertung dient allein der Abwehr; zur Einordnung nach Art. 22 DSGVO siehe Ziff. 14. Sollten Sie zu Unrecht ausgesperrt worden sein, wenden Sie sich an die unter Ziff. 1.2 genannten Kontaktdaten.

5) Einwilligungen, Cookies und Speicherung auf Ihrem Endgerät

Beim bloßen Aufruf dieser Website werden keine Cookies zu Analyse- oder Werbezwecken gesetzt und keine Messdaten erhoben. Einwilligungsbedürftige Funktionen sind so eingebunden, dass sie erst nach Ihrer ausdrücklichen Entscheidung geladen werden.

Einwilligungsbanner mit Kategorien. Beim ersten Aufruf können Sie über drei Kategorien entscheiden; jede können Sie einzeln annehmen oder ablehnen:

• Statistik gibt die Nutzungsmessung nach Ziff. 6 frei.
• Sitzungsanalyse gibt die Sitzungsaufzeichnung und die Zuordnung zu Ihrer E-Mail-Adresse nach Ziff. 6 frei.
• Marketing gibt die Messung des Erfolgs unserer Anzeigen nach Ziff. 10.2 frei.

Was für den Betrieb der Website unbedingt erforderlich ist, läuft unabhängig davon; darüber entscheiden Sie nicht, weil die Website ohne diese Funktionen nicht ausgeliefert werden kann. Das betrifft die Auslieferung und Angriffsabwehr nach Ziff. 4.1 und 4.2, den Prüfdienst beim Anfordern eines PDF-Reports nach Ziff. 4.3 und die Speicherung Ihrer Entscheidung über dieses Banner selbst.

Ihre Einwilligung ist freiwillig. Ohne sie steht die Website unverändert und vollständig zur Verfügung. Sie können Ihre Entscheidung jederzeit über den Link zu den Datenschutzeinstellungen in der Fußzeile ändern oder widerrufen; der Widerruf wirkt sofort und für die Zukunft. Zum Nachweis Ihrer Entscheidung speichern wir, welche Kategorien Sie gewählt haben, wann dies geschehen ist und welche Fassung des Einwilligungstextes Ihnen dabei angezeigt wurde.

Was ohne Einwilligung auf Ihrem Endgerät gespeichert werden kann. Ausnahmsweise kann ein technisch notwendiges Cookie gesetzt werden, wenn einer der unter Ziff. 4.1 und 4.2 genannten Sicherheitsdienste einen Zugriff als möglichen Angriff einstuft und eine Sicherheitsabfrage auslöst (siehe Ziff. 4.1). Ein solches Cookie dient ausschließlich der Abwehr von Missbrauch und ist für die Bereitstellung des von Ihnen ausdrücklich gewünschten Telemediendienstes unbedingt erforderlich; einer Einwilligung bedarf es hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht. Ebenfalls ohne Einwilligung wird Ihre Entscheidung über das Einwilligungsbanner selbst gespeichert, weil wir sie sonst nicht umsetzen könnten.

Was mit Einwilligung gespeichert wird. Die Reichweitenmessung nach Ziff. 6 setzt keine Cookies, speichert aber Informationen im lokalen Speicher Ihres Browsers, nämlich eine Besucherkennung und, im Fall einer Zuordnung, eine Nutzerkennung. Rechtlich ist das derselbe Vorgang wie ein Cookie, denn § 25 Abs. 1 TDDDG stellt auf die Speicherung im Endgerät ab und nicht auf die verwendete Technik. Die Messfunktionen der Werbeanbieter nach Ziff. 10.2 setzen eigene Cookies mit Laufzeiten von einem Tag bis zu zwölf Monaten; die einzelnen Cookies sind dort benannt. Die eingebetteten Funktionen nach Ziff. 7.2 (Terminbuchung) speichern nach dem Laden ebenfalls eigene Cookies und Einträge des jeweiligen Anbieters.

Unabhängig davon können Sie Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und einzeln über deren Annahme entscheiden oder die Annahme von Cookies generell ausschließen.

6) Webanalyse und Sitzungsaufzeichnung mit Rybbit

Wir messen die Nutzung dieser Website mit „Rybbit”, einer Analysesoftware, die wir auf einem eigenen Server selbst betreiben. Kein Anbieter erhält Zugriff, es werden keine Daten an Dritte weitergegeben und keine Daten in ein Land außerhalb der EU übermittelt. Das Analyseskript wird über unsere eigene Domain ausgeliefert; zur technischen Weiterleitung der Messdaten siehe Ziff. 4.4.

Ohne Ihre Einwilligung wird das Skript nicht geladen. Es entsteht dann kein Aufruf an unseren Analyseserver, und in Ihrem Endgerät wird nichts gespeichert oder ausgelesen. Die Kategorie „Statistik” gibt die Nutzungsmessung frei, die Kategorie „Sitzungsanalyse” die Sitzungsaufzeichnung und die Zuordnung zu Ihrer E-Mail-Adresse. Über beide Kategorien entscheiden Sie unabhängig voneinander; Sie können jede einzeln annehmen oder ablehnen. Ihre Einwilligung ist freiwillig; ohne sie steht die Website unverändert zur Verfügung.

Speicherung im Endgerät. Rybbit setzt keine Cookies, speichert aber Informationen im lokalen Speicher Ihres Browsers, nämlich eine Besucherkennung und, im Fall einer Zuordnung, eine Nutzerkennung. Zusätzlich liest das Skript Bildschirmgröße und Zeitzone aus.

Wiedererkennung. Die Wiedererkennung geschieht auf unserem Server, nicht in Ihrem Gerät. Wir bilden dazu einen Hashwert aus Ihrer IP-Adresse und der Kennung Ihres Browsers. Dieser Wert ist über Monate stabil, Sie werden bei wiederkehrenden Besuchen also als derselbe Besucher erkannt. Wenn Sie den Speicher Ihres Browsers löschen, endet die Wiedererkennung dadurch nicht; wir haben das geprüft. Der Weg, die Erfassung zu beenden, ist der Widerruf Ihrer Einwilligung. Wir bezeichnen diese Kennung als pseudonym und nicht als anonym.

Was bei Einwilligung in die Kategorie „Statistik” erhoben wird: aufgerufene Seiten samt Adresse, Parametern und Titel, Verweisquelle und Kanal, Land, Region und Stadt (aus Ihrer IP-Adresse bestimmt), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und Zeitzone, Klicks auf Schaltflächen und Links, Kopiervorgänge, der Wechsel zwischen Formularfeldern, Ziele von Links nach außen, JavaScript-Fehler samt Meldung und Aufrufkette, Messwerte zur Ladegeschwindigkeit sowie eigene Ereignisse wie der Abschluss eines Selbsttestschritts.

Zwecke sind: zu erkennen, welche Inhalte genutzt werden, technische Fehler und Ladezeitprobleme zu finden und unsere Seiten verständlicher zu machen. Ihre IP-Adresse speichern wir vollständig; die Standortbestimmung erfolgt auf unserem eigenen Server ohne externen Dienst.

Sitzungsaufzeichnung. Bei Einwilligung in die Kategorie „Sitzungsanalyse” zeichnen wir Ihre Sitzung auf, indem die Struktur der angezeigten Seite und deren Veränderungen mitgeschrieben werden. Der Besuch lässt sich dadurch als abspielbares Video nachvollziehen, einschließlich Maus- und Scrollbewegungen. Ihre Eingaben in Formularfelder sind maskiert und nicht lesbar. Der übrige Text der Seite wird nicht maskiert, denn aufgezeichnet wird, was auf dem Bildschirm dargestellt ist; das gilt auch für Ergebnisse, die Ihnen nach einem Selbsttest angezeigt werden. Zweck ist ausschließlich, Abbruchstellen, Bedienprobleme und technische Fehler zu erkennen.

Zuordnung nach einem Formularversand. Senden Sie ein Formular erfolgreich ab und haben in die Kategorie „Sitzungsanalyse” eingewilligt, setzen wir Ihre E-Mail-Adresse als Nutzerkennung. Damit werden auch Ihre vorherigen, bis dahin pseudonymen Seitenaufrufe dieser Adresse zugeordnet. Aus der pseudonymen Messung wird dadurch ein Nutzungsprofil, das einer namentlich bekannten Person zugeordnet ist. Zweck ist, eine eingehende Anfrage einordnen und beantworten zu können. Eine automatisierte Entscheidung nach Art. 22 DSGVO treffen wir nicht. Bei Einwilligung nur in die Kategorie „Statistik” findet diese Zuordnung nicht statt.

Speicherdauer: IP-Adresse 7 Tage, übriger Datensatz 14 Monate, Sitzungsaufzeichnungen 30 Tage. Die Zuordnung zu Ihrer E-Mail-Adresse gehört zum übrigen Datensatz und unterliegt damit der Frist von 14 Monaten. Danach wird automatisch gelöscht.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG für die Speicherung im und den Zugriff auf Ihr Endgerät sowie nach Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Auf ein berechtigtes Interesse stützen wir diese Verarbeitungen nicht.

Widerruf jederzeit über den Link zu den Datenschutzeinstellungen in der Fußzeile. Er wirkt sofort und ohne Neuladen; bei vollständigem Widerruf werden die zu Rybbit gehörenden Einträge in Ihrem Endgerät entfernt. Der Widerruf gilt für die Zukunft. Auf eine Nachricht an die unter Ziff. 1.2 genannte Adresse löschen wir zusätzlich die zu Ihrer Kennung bereits gespeicherten Analysedaten.

7) Kontaktaufnahme und Terminvereinbarung

7.1 Kontaktaufnahme per E-Mail und Telefon

Im Rahmen der Kontaktaufnahme mit uns werden – ausschließlich zum Zweck der Bearbeitung und Beantwortung Ihres Anliegens und nur im dafür erforderlichen Umfang – personenbezogene Daten verarbeitet.

Die Angabe Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben und erfolgt freiwillig. Ohne Ihre Kontaktdaten und eine Beschreibung Ihres Anliegens können wir Ihre Anfrage jedoch nicht bearbeiten und beantworten.

Rechtsgrundlage für die Verarbeitung dieser Daten ist unser berechtigtes Interesse an der Beantwortung Ihres Anliegens gemäß Art. 6 Abs. 1 lit. f DSGVO. Zielt Ihre Kontaktierung auf einen Vertrag ab, so ist zusätzliche Rechtsgrundlage für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Ihre Daten werden gelöscht, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist, und sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Wo Ihre Nachricht verarbeitet wird. Unsere E-Mail-Kommunikation läuft über Microsoft 365 des unter Ziff. 7.2 genannten Anbieters; Ihre Nachricht wird dort gespeichert und von uns bearbeitet. Eine Aufzeichnung von Telefongesprächen findet nicht statt.

7.2 Terminbuchung über Microsoft Bookings

Auf mehreren Seiten können Sie über eine eingebettete Maske einen Termin buchen. Anbieter ist:

Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA

Vertragspartner für den von uns genutzten Mandanten: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland

Der Dienst läuft in unserem eigenen Microsoft-365-Mandanten.

Laden erst auf Ihren Klick. Wenn Sie die Buchungsmaske öffnen, sehen Sie zunächst nur einen Hinweis und einen Knopf. Geladen wird sie erst, wenn Sie diesen Knopf betätigen. Bis dahin entsteht keine Verbindung zu Microsoft. Beim Laden übermittelt Ihr Browser Ihre IP-Adresse, Angaben zu Browser und Betriebssystem, die aufgerufene Seite sowie Datum und Uhrzeit. Microsoft speichert dabei Cookies und Einträge im lokalen Speicher Ihres Browsers, teils mit Laufzeiten von bis zu zwölf Monaten. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG, die Sie mit diesem Knopf erteilen. Sie können einen Termin stattdessen telefonisch oder per E-Mail vereinbaren, dann entsteht keine Verbindung zu Microsoft.

Ihre Angaben in der Maske. In der Maske geben Sie Namen und E-Mail-Adresse an und wählen einen Termin; weitere Angaben sind freiwillig. Namen und E-Mail-Adresse benötigen wir für die Terminbestätigung, ohne sie ist eine Buchung über diesen Weg nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), bei Anfragen ohne Geschäftsbezug Art. 6 Abs. 1 lit. f DSGVO.

Rolle des Anbieters und Drittlandbezug. Microsoft verarbeitet die Buchungsdaten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Microsoft Data Protection Addendum und setzt dabei weitere Dienstleister ein. Microsoft speichert Daten aus Microsoft 365 nach eigener Zusage innerhalb der EU und der EFTA-Staaten; eine Übermittlung in die USA ist damit nicht in jedem Fall ausgeschlossen. Zur Grundlage dieser Übermittlung siehe Ziff. 13.

Speicherdauer. Termindaten löschen wir spätestens zwölf Monate nach dem Termin, sofern keine Geschäftsbeziehung entsteht. Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.

7.3 Online-Besprechungen über Microsoft Teams

Für die Durchführung von Online-Meetings, Videokonferenzen und/oder Webinaren nutzen wir „Microsoft Teams” des unter Ziff. 7.2 genannten Anbieters.

Der Umfang der verarbeiteten Daten hängt davon ab, welche Daten Sie vor oder während der Teilnahme mitteilen. Verarbeitet werden insbesondere Ihre Anmeldedaten (Name, E-Mail-Adresse, Telefonnummer (optional)) und Sitzungsdaten (Thema, Teilnehmer-IP-Adresse, Geräteinformationen, Beschreibung (optional)). Darüber hinaus können Bild- und Tonbeiträge der Teilnehmer sowie Texteingaben in Chats verarbeitet werden.

Eine Aufzeichnung von Online-Besprechungen findet durch Microsoft Teams konfigurationsseitig nicht statt.

Für die Verarbeitung von personenbezogenen Daten, die für die Erfüllung eines Vertrages mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Im Übrigen ist Rechtsgrundlage unser berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO an der effektiven Durchführung der Besprechung.

8) Bewerbungen

Sie können sich bei uns per E-Mail bewerben (Ziff. 8.1) oder über das Bewerbungsformular unseres Dienstleisters JOIN (Ziff. 8.3). Welche Daten dabei jeweils verarbeitet werden, ist nachstehend getrennt beschrieben.

8.1 Bewerbung per E-Mail

Wenn Sie sich per E-Mail bei uns bewerben, verarbeiten wir die von Ihnen übermittelten Daten (insbesondere Anschreiben, Lebenslauf, Zeugnisse und Kontaktdaten) zum Zweck der Durchführung des Bewerbungsverfahrens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin erforderlich ist, sowie § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO; ergänzend stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO im Hinblick auf unser berechtigtes Interesse an der Auswahl geeigneter Bewerberinnen und Bewerber.

Die Übermittlung Ihrer Bewerbungsunterlagen erfolgt freiwillig; ohne diese Angaben können wir Ihre Bewerbung nicht prüfen und Sie nicht am Auswahlverfahren beteiligen.

Erhalten Sie keine Zusage, löschen wir Ihre Bewerbungsunterlagen grundsätzlich sechs Monate nach Abschluss des Verfahrens; diese Frist dient der Wahrung unserer berechtigten Interessen an der Verteidigung gegen etwaige Ansprüche nach dem AGG (Art. 6 Abs. 1 lit. f DSGVO). Eine längere Speicherung erfolgt nur mit Ihrer ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, etwa zur Aufnahme in einen Bewerberpool.

8.2 Stellenanzeigen auf unserer Karriereseite

Die offenen Stellen auf unserer Karriereseite zeigt ein Anzeigemodul von join.com. Betreiber ist:

JOIN Solutions AG, Eichenstrasse 2, 8808 Pfäffikon SZ, Schweiz

EU-Vertreterin: JOIN Solutions GmbH, Schönhauser Allee 36, 10435 Berlin, Deutschland

Laden erst auf Ihren Klick. Die Stellenliste lädt erst, wenn Sie sie ausdrücklich laden. Vorher entsteht keine Verbindung zu join.com. Beim Laden übermittelt Ihr Browser Ihre IP-Adresse, Angaben zu Browser und Betriebssystem, die Adresse dieser Seite sowie Datum und Uhrzeit. Zweck ist allein die tagesaktuelle Anzeige unserer offenen Stellen.

Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, die Stellen ohne doppelte Datenhaltung aktuell darzustellen; da Sie die Übermittlung selbst auslösen, bleibt Ihr Interesse an ihrer Vermeidung gewahrt. Auf Ihrem Gerät wird dabei nach unserer Prüfung vom August 2026 nichts gespeichert, weshalb die Stellenliste keiner Kategorie unseres Einwilligungsbanners angehört. Ihre Entscheidung gilt nur für den laufenden Besuch.

Die Schweiz liegt außerhalb der EU. Die Europäische Kommission hat für die Schweiz ein angemessenes Datenschutzniveau festgestellt und dies im Januar 2024 bestätigt; zusätzliche Garantien sind daher nicht erforderlich.

Wenn Sie die Stellenliste laden, erfassen wir dies als Ereignis in unserer Reichweitenmessung, aber nur bei Einwilligung in die Kategorie „Statistik” (Art. 6 Abs. 1 lit. a DSGVO), widerruflich über die Datenschutzeinstellungen.

Unsere Stellenangebote sind unabhängig vom Anzeigemodul auch auf Anfrage unter info@naviro.de abrufbar.

8.3 Bewerbungen über join.com (Bewerbermanagement)

Wählen Sie eine Stelle aus, gelangen Sie auf die Seiten von join.com. Für den Betrieb dieser Seiten ist join.com selbst verantwortlich; es gilt die Datenschutzerklärung unter https://join.com/de/privacy. Für die Inhalte Ihrer Bewerbung bleiben wir verantwortlich; join.com verarbeitet sie insoweit für uns.

Welche Daten wir verarbeiten. Wir verarbeiten die Daten, die Sie uns im Rahmen Ihrer Bewerbung übermitteln. Das sind insbesondere:

• Stammdaten wie Name, Anschrift, Geburtsdatum
• Kontaktdaten wie E-Mail-Adresse und Telefonnummer
• Angaben zu Qualifikation und beruflichem Werdegang, einschließlich Anschreiben, Lebenslauf, Zeugnissen und Zertifikaten sowie den von Ihnen freiwillig übermittelten weiteren Unterlagen
• Angaben zu Ihrer Verfügbarkeit und Ihren Gehaltsvorstellungen, soweit von Ihnen mitgeteilt
• Korrespondenz und Notizen aus dem Bewerbungsverfahren, etwa Gesprächsprotokolle und Bewertungen
• technische Daten, die beim Ausfüllen und Absenden des Formulars anfallen

Zwecke und Rechtsgrundlagen.

• Durchführung des Bewerbungsverfahrens und Entscheidung über die Begründung eines Beschäftigungsverhältnisses: Art. 6 Abs. 1 Satz 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses) sowie § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO.
• Erfüllung rechtlicher Verpflichtungen, etwa aus dem Allgemeinen Gleichbehandlungsgesetz sowie aus Nachweis- und Dokumentationspflichten: Art. 6 Abs. 1 Satz 1 lit. c DSGVO.
• Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen, insbesondere im Zusammenhang mit dem Allgemeinen Gleichbehandlungsgesetz: Art. 6 Abs. 1 Satz 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Möglichkeit, uns gegen etwaige Ansprüche verteidigen zu können.
• Soweit Sie uns freiwillig besondere Kategorien personenbezogener Daten mitteilen, etwa Angaben zu einer Schwerbehinderung: § 26 Abs. 3 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO, im Übrigen Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Freiwilligkeit. Die Angabe der zur Durchführung des Bewerbungsverfahrens erforderlichen Daten ist für die Bearbeitung Ihrer Bewerbung notwendig; ohne diese Angaben können wir Ihre Bewerbung nicht berücksichtigen. Alle weiteren Angaben sind freiwillig. Sie können sich auch initiativ ohne Umweg über join.com bewerben.

Empfänger. Innerhalb unseres Unternehmens erhalten nur diejenigen Personen Zugriff auf Ihre Bewerbungsdaten, die an der Entscheidung über Ihre Bewerbung beteiligt sind. Darüber hinaus setzt join.com zur Erbringung seiner Leistung weitere Dienstleister ein, insbesondere Amazon Web Services EMEA SARL, Luxemburg und Google Cloud EMEA Limited, Irland (jeweils Cloud-Infrastruktur) sowie Kombo, Deutschland (Schnittstellen).

Nach den Angaben des Anbieters erfolgt die Verarbeitung ausschließlich in der Schweiz, der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

Speicherdauer. Kommt es nicht zu einer Einstellung, löschen wir Ihre Bewerbungsunterlagen spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens. Diese Dauer trägt dem Umstand Rechnung, dass Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz innerhalb von zwei Monaten geltend gemacht werden müssen und wir Ihre Unterlagen zur Verteidigung gegen solche Ansprüche benötigen könnten. Werden Ansprüche geltend gemacht, speichern wir die Daten bis zum Abschluss des Verfahrens. Kommt es zu einer Einstellung, überführen wir Ihre Daten in die Personalakte. Eine längere Aufbewahrung für künftige Stellen erfolgt nur mit Ihrer Einwilligung nach Art. 6 Abs. 1 Satz 1 lit. a DSGVO.

Ihre Rechte. Es gelten die Betroffenenrechte nach Ziff. 15 dieser Erklärung.

9) Auftrags- und Kundenverwaltung

Für die Verwaltung von Anfragen, Angeboten, Aufträgen und Rechnungen nutzen wir eine cloudbasierte Warenwirtschafts- und ERP-Lösung des folgenden Anbieters:

weclapp GmbH, Friedrich-Ebert-Straße 28, 97318 Kitzingen, Deutschland

Verarbeitet werden dabei die zur Geschäftsabwicklung erforderlichen Daten, insbesondere Firmenname, Ansprechpartner, Kontaktdaten sowie Vorgangs- und Rechnungsdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung der Durchführung eines Vertrages oder vorvertraglicher Maßnahmen dient, ergänzend Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an einer effizienten Organisation und Dokumentation unserer Geschäftsvorgänge sowie Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung handels- und steuerrechtlicher Pflichten. Die Verarbeitung findet innerhalb Deutschlands statt.

10) Werbung auf Plattformen Dritter und Messung des Anzeigenerfolgs

10.1 Anzeigen innerhalb der Plattformen

Wir bewerben unsere Leistungen kampagnenbezogen auf den Plattformen der folgenden Anbieter. Ob dort zu einem bestimmten Zeitpunkt Anzeigen laufen, hängt von der jeweiligen Kampagnenplanung ab; die nachstehenden Hinweise gelten unabhängig davon für alle Zeiträume, in denen wir dort Anzeigen schalten:

• Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland
• Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irland
• LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland

Die Auswahl der Zielgruppen und die Auswertung der Kampagnen erfolgen innerhalb der Plattformen der jeweiligen Anbieter auf Basis der dort vorhandenen Daten; für diese Verarbeitung ist allein der jeweilige Anbieter verantwortlich. Klicken Sie auf eine unserer Anzeigen innerhalb der jeweiligen Plattform, gelten für diesen Vorgang die Datenschutzhinweise des jeweiligen Anbieters.

Rechtsgrundlage für unsere Werbemaßnahmen ist Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Bewerbung unserer Leistungen.

10.2 Messung des Anzeigenerfolgs auf dieser Website

Um zu erkennen, welche unserer Anzeigen zu einem Besuch oder einer Anfrage führen, binden wir auf dieser Website Messfunktionen der in Ziff. 10.3 bis 10.5 genannten Anbieter ein.

Ohne Ihre Einwilligung wird nichts geladen. Diese Funktionen werden ausschließlich geladen, wenn Sie in die Kategorie „Marketing” eingewilligt haben. Bis dahin entsteht keine Verbindung zu diesen Anbietern, und in Ihrem Endgerät wird zu diesem Zweck nichts gespeichert und nichts ausgelesen. Ihre Einwilligung ist freiwillig; ohne sie steht die Website unverändert und vollständig zur Verfügung.

Was übermittelt wird. Beim Laden übermittelt Ihr Browser an den jeweiligen Anbieter Ihre IP-Adresse, die Adresse der aufgerufenen Seite, die Verweisquelle, Angaben zu Browser und Betriebssystem sowie Datum und Uhrzeit. Zusätzlich übermitteln wir das jeweils ausgelöste Ereignis, nämlich:

• den Aufruf einer Seite unserer Website,
• das erfolgreiche Absenden eines Kontaktformulars,
• die Buchung eines Termins nach Ziff. 7.2,
• die Anforderung eines PDF-Reports aus einem unserer Selbsttests nach Ziff. 11.

Was nicht übermittelt wird. Die Inhalte Ihrer Eingaben werden nicht übermittelt: nicht der Text Ihrer Nachricht, nicht Ihre Antworten in den Selbsttests und nicht das Ergebnis eines Selbsttests. Übermittelt wird allein die Tatsache, dass das jeweilige Ereignis eingetreten ist. Erweiterte Abgleichsfunktionen, bei denen E-Mail-Adressen oder Telefonnummern in verschlüsselter Form an die Anbieter übermittelt werden (etwa „Advanced Matching” oder „Enhanced Conversions”), setzen wir nicht ein.

Was die Anbieter damit tun. Wir erhalten von den Anbietern ausschließlich aggregierte, nicht personenbezogene Berichte über Reichweite und Erfolg unserer Anzeigen. Sind Sie bei dem jeweiligen Anbieter angemeldet, kann er die übermittelten Angaben Ihrem dortigen Konto zuordnen. Auf Grundlage dieser Ereignisse können innerhalb der Plattformen außerdem Zielgruppen für die weitere Ausspielung unserer Anzeigen gebildet werden. Diese Weiterverwendung erfolgt in eigener Verantwortung des Anbieters; wir haben darauf keinen Einfluss und erhalten von ihr keine Kenntnis. Zur Einordnung nach Art. 22 DSGVO siehe Ziff. 14.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG für die Speicherung im und den Zugriff auf Ihr Endgerät sowie nach Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung und die Übermittlung an den Anbieter. Auf ein berechtigtes Interesse stützen wir diese Verarbeitung nicht.

Widerruf jederzeit über den Link zu den Datenschutzeinstellungen in der Fußzeile. Er wirkt sofort und für die Zukunft: die Messfunktionen werden nicht mehr geladen, es werden keine weiteren Ereignisse übermittelt, und die zugehörigen Cookies werden in Ihrem Endgerät entfernt. Auf die Daten, die dem Anbieter bereits übermittelt wurden, können wir nicht mehr zugreifen; hierfür wenden Sie sich an die in Ziff. 10.3 bis 10.5 genannten Stellen.

Drittlandbezug. Unsere Vertragspartner sind die nachstehend genannten Gesellschaften mit Sitz in Irland. Eine Übermittlung an die jeweilige US-Muttergesellschaft ist nicht ausgeschlossen; zur Grundlage dieser Übermittlung siehe Ziff. 13.

10.3 Meta-Pixel

Anbieter ist die Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland; Muttergesellschaft ist die Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA.

Gesetzt werden nach Angaben des Anbieters die Cookies _fbp mit einer Laufzeit von 90 Tagen und, wenn Sie über eine unserer Anzeigen zu uns gelangt sind, _fbc mit einer Laufzeit von 90 Tagen.

Gemeinsame Verantwortlichkeit. Für die Erhebung der Daten durch das Meta-Pixel und deren Übermittlung an Meta sind wir gemeinsam mit Meta Platforms Ireland Limited verantwortlich (Art. 26 DSGVO). Wir haben hierzu eine Vereinbarung geschlossen. Ihr Wesentliches: Wir sind dafür verantwortlich, Sie nach Art. 13 und 14 DSGVO über die Erhebung und Übermittlung zu informieren und Ihre Einwilligung einzuholen. Meta ist verantwortlich für die anschließende eigene Verarbeitung der Daten, für die Sicherheit der Verarbeitung nach Art. 32 DSGVO und dafür, Betroffenenrechte hinsichtlich der bei Meta gespeicherten Daten zu erfüllen. Ihre Rechte nach Art. 15 bis 22 DSGVO können Sie gegenüber jedem von uns beiden geltend machen; Anfragen, die die weitere Verarbeitung bei Meta betreffen, leiten wir dorthin weiter.

Die Datenschutzhinweise des Anbieters sind unter https://www.facebook.com/privacy/policy abrufbar. Ihre Werbeeinstellungen bei Meta können Sie unter https://www.facebook.com/settings?tab=ads verwalten.

10.4 LinkedIn Insight Tag

Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland; Muttergesellschaft ist die LinkedIn Corporation, 1000 West Maude Avenue, Sunnyvale, CA 94085, USA.

Gesetzt werden nach Angaben des Anbieters insbesondere die Cookies bcookie mit einer Laufzeit von zwölf Monaten, li_sugr mit 90 Tagen, UserMatchHistory und AnalyticsSyncHistory mit jeweils 30 Tagen sowie lidc mit einem Tag.

LinkedIn stellt uns aggregierte Berichte über die Nutzung unserer Seiten und den Erfolg unserer Anzeigen bereit; für die eigene Verarbeitung der erhobenen Daten ist LinkedIn selbst verantwortlich. Die Datenschutzhinweise des Anbieters sind unter https://de.linkedin.com/legal/privacy-policy abrufbar; der Verarbeitung zu Werbezwecken können Mitglieder unter https://www.linkedin.com/psettings/guest-controls widersprechen.

10.5 Google Ads Conversion-Tracking

Anbieter ist die Google Ireland Limited, Gordon House, 4 Barrow Street, Dublin, D04 E5W5, Irland; Muttergesellschaft ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Gesetzt wird nach Angaben des Anbieters das Cookie _gcl_au mit einer Laufzeit von 90 Tagen. Kommen Sie über eine unserer Anzeigen zu uns, kann die Kennung des Anzeigenklicks zusätzlich in der aufgerufenen Adresse enthalten sein und in diesem Cookie gespeichert werden.

Die Datenschutzhinweise des Anbieters sind unter https://policies.google.com/privacy abrufbar; Ihre Werbeeinstellungen verwalten Sie unter https://myadcenter.google.com.

11) Online-Tools auf dieser Website

Auf unserer Website stellen wir kostenlose Selbsttests und Rechner bereit (u. a. NIS2-Betroffenheits-Check, Cyber-Risiko-Kalkulator, ISMS-Reifegrad-Selbsttest). Eine Registrierung ist nicht erforderlich.

Die Auswertung erfolgt lokal in Ihrem Browser; das Ergebnis wird Ihnen unmittelbar am Bildschirm angezeigt. Solange Sie das Ergebnis nur ansehen, werden Ihre Eingaben nicht an uns übermittelt und von uns nicht gespeichert.

Drei Einschränkungen sind zu beachten:

• Anforderung eines PDF-Reports. Fordern Sie einen PDF-Report an, wird hierfür der unter Ziff. 4.3 beschriebene Prüfdienst geladen und Ihre Anfrage an uns übermittelt. Welche Angaben dabei übertragen werden, ergibt sich aus dem jeweiligen Formular.
• Sitzungsaufzeichnung. Haben Sie in die Kategorie „Sitzungsanalyse” eingewilligt, wird auch die Anzeige Ihres Testergebnisses aufgezeichnet, weil aufgezeichnet wird, was auf dem Bildschirm dargestellt ist (Ziff. 6). Ihre Eingaben in Formularfelder bleiben dabei maskiert. Ohne diese Einwilligung findet keine Aufzeichnung statt.
• Erfolgsmessung von Anzeigen. Haben Sie in die Kategorie „Marketing” eingewilligt, wird die Anforderung eines PDF-Reports als Ereignis an die in Ziff. 10.2 genannten Anbieter übermittelt. Ihre Antworten und Ihr Testergebnis werden dabei nicht übermittelt. Ohne diese Einwilligung findet keine Übermittlung statt.

Sofern Sie im Anschluss von sich aus mit uns Kontakt aufnehmen oder einen Termin buchen, gelten die Hinweise unter Ziff. 7.

12) Verlinkungen zu Angeboten Dritter

Unsere Website enthält Verlinkungen zu externen Angeboten (etwa zu Kartendiensten oder sozialen Netzwerken). Es handelt sich hierbei um einfache Verlinkungen, keine eingebetteten Inhalte. Eine Übermittlung von Daten an den jeweiligen Anbieter findet erst statt, wenn Sie den Link aktiv anklicken. Für die anschließende Verarbeitung ist der jeweilige Anbieter verantwortlich; es gelten dessen Datenschutzhinweise.

12.1 Links zu KI-Diensten

An einzelnen Stellen unserer Website bieten wir Ihnen an, eine von uns vorformulierte Frage zu unserem Unternehmen an einen KI-Dienst Ihrer Wahl zu richten. Der angezeigte Fragetext stammt von uns; Sie können ihn kopieren oder über einen der angebotenen Links unmittelbar an den jeweiligen Dienst übergeben. Angeboten werden derzeit ChatGPT, Claude, Perplexity, Microsoft Copilot und Google Gemini.

Die Darstellung dieser Funktion erfolgt vollständig von unseren eigenen Servern. Es werden keine Inhalte der Anbieter eingebettet, keine Skripte der Anbieter geladen und keine Cookies gesetzt. Solange Sie keinen der Links anklicken, werden keine Daten an die Anbieter übermittelt.

Klicken Sie einen der Links an, öffnet sich die Seite des jeweiligen Anbieters in einem neuen Fenster, und die vorformulierte Frage wird als Bestandteil der Adresse an ihn übergeben. Dabei werden Ihre IP-Adresse sowie die üblichen Verbindungsdaten an den Anbieter übermittelt. Für diese Verarbeitung ist allein der jeweilige Anbieter verantwortlich; welche Stelle dort verantwortlich ist und ob eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfindet, entnehmen Sie bitte den Datenschutzhinweisen des von Ihnen gewählten Dienstes.

13) Empfänger und Übermittlung in Drittländer

Eine Weitergabe Ihrer Daten an Dritte erfolgt nur, soweit dies in dieser Erklärung beschrieben ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind. Mit allen Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, haben wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen; diese verpflichten die Dienstleister, die Daten ausschließlich nach unseren Weisungen und im Rahmen der Leistungserbringung zu verarbeiten. Über die genannten Dienstleister hinaus können Ihre Daten an die Anbieter der Messfunktionen nach Ziff. 10.2, an Berufsträger, die uns beraten (etwa Steuerberater), sowie an Behörden übermittelt werden, soweit wir hierzu verpflichtet sind. Die Anbieter nach Ziff. 10.2 sind keine Auftragsverarbeiter; sie verarbeiten die übermittelten Daten für eigene Zwecke in eigener Verantwortung, für Meta im Rahmen der gemeinsamen Verantwortlichkeit nach Ziff. 10.3.

Soweit Daten an Anbieter mit Sitz oder Verarbeitung außerhalb des Europäischen Wirtschaftsraums übermittelt werden, betrifft dies:

Für alle in der Tabelle genannten US-Empfänger ist eine Zertifizierung unter dem EU-U.S. Data Privacy Framework belegt; die Standardvertragsklauseln greifen jeweils nachrangig, falls eine Zertifizierung entfällt. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage. Die Übermittlungen nach Ziff. 10.2 finden zusätzlich nur statt, wenn Sie in die Kategorie „Marketing” eingewilligt haben.

Der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework vom 10. Juli 2023 ist gerichtlich angegriffen worden. Das Gericht der Europäischen Union hat die Klage mit Urteil vom 3. September 2025 abgewiesen (Rechtssache T-553/23); das Rechtsmittel gegen dieses Urteil ist beim Gerichtshof der Europäischen Union anhängig (Rechtssache C-703/25 P). Der Beschluss bleibt bis zu einer anderslautenden Entscheidung wirksam.

14) Automatisierte Entscheidungsfindung und Profilbildung

Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 Abs. 1 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt, findet nicht statt.

Zwei Verarbeitungen sind in diesem Zusammenhang zu nennen:

• Die unter Ziff. 4.1, 4.2 und 4.5 beschriebenen Sicherheitsmaßnahmen bewerten Zugriffe automatisiert und können sie verlangsamen, mit einer Prüfung versehen oder abweisen. Diese Maßnahmen dienen ausschließlich der Abwehr von Angriffen und Missbrauch.
• Die Reichweitenmessung nach Ziff. 6 führt bei Einwilligung in die Kategorie „Sitzungsanalyse” zu einem Nutzungsprofil, das nach einem Formularversand Ihrer E-Mail-Adresse zugeordnet wird. Dieses Profil dient allein dazu, eine eingehende Anfrage einordnen und beantworten zu können. Eine automatisierte Entscheidung wird darauf nicht gestützt.
• Die Messung des Anzeigenerfolgs nach Ziff. 10.2 kann bei Einwilligung in die Kategorie „Marketing” dazu führen, dass die Anbieter die übermittelten Ereignisse Ihrem dortigen Konto zuordnen und zur Bildung von Zielgruppen verwenden. Darin liegt eine Profilbildung im Sinne des Art. 4 Nr. 4 DSGVO, die in der Verantwortung des jeweiligen Anbieters stattfindet. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung wird darauf nicht gestützt.

Sollten Sie zu Unrecht blockiert worden sein, wenden Sie sich bitte an die unter Ziff. 1.2 genannten Kontaktdaten.

15) Rechte des Betroffenen

15.1 Das geltende Datenschutzrecht gewährt Ihnen gegenüber dem Verantwortlichen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten die nachstehenden Betroffenenrechte, wobei für die jeweiligen Ausübungsvoraussetzungen auf die angeführte Rechtsgrundlage verwiesen wird:

• Auskunftsrecht gemäß Art. 15 DSGVO
• Recht auf Berichtigung gemäß Art. 16 DSGVO
• Recht auf Löschung gemäß Art. 17 DSGVO
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Recht auf Unterrichtung gemäß Art. 19 DSGVO
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruchsrecht gemäß Art. 21 DSGVO
• Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO
• Recht auf Beschwerde gemäß Art. 77 DSGVO

15.2 WIDERSPRUCHSRECHT

WENN WIR IM RAHMEN EINER INTERESSENABWÄGUNG IHRE PERSONENBEZOGENEN DATEN AUFGRUND UNSERES ÜBERWIEGENDEN BERECHTIGTEN INTERESSES VERARBEITEN, HABEN SIE DAS JEDERZEITIGE RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIESE VERARBEITUNG WIDERSPRUCH MIT WIRKUNG FÜR DIE ZUKUNFT EINZULEGEN.

MACHEN SIE VON IHREM WIDERSPRUCHSRECHT GEBRAUCH, BEENDEN WIR DIE VERARBEITUNG DER BETROFFENEN DATEN. EINE WEITERVERARBEITUNG BLEIBT ABER VORBEHALTEN, WENN WIR ZWINGENDE SCHUTZWÜRDIGE GRÜNDE FÜR DIE VERARBEITUNG NACHWEISEN KÖNNEN, DIE IHRE INTERESSEN, GRUNDRECHTE UND GRUNDFREIHEITEN ÜBERWIEGEN, ODER WENN DIE VERARBEITUNG DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN DIENT.

WERDEN IHRE PERSONENBEZOGENEN DATEN VON UNS VERARBEITET, UM DIREKTWERBUNG ZU BETREIBEN, HABEN SIE DAS RECHT, JEDERZEIT WIDERSPRUCH GEGEN DIESE VERARBEITUNG EINZULEGEN. SIE KÖNNEN DEN WIDERSPRUCH WIE OBEN BESCHRIEBEN AUSÜBEN.

15.3 Die für uns zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart. Sie können sich unbeschadet dessen bei jeder Datenschutzaufsichtsbehörde beschweren.

16) Dauer der Speicherung personenbezogener Daten

Die Dauer der Speicherung von personenbezogenen Daten bemisst sich anhand der jeweiligen Rechtsgrundlage, am Verarbeitungszweck und – sofern einschlägig – zusätzlich anhand der jeweiligen gesetzlichen Aufbewahrungsfrist (z. B. handels- und steuerrechtliche Aufbewahrungsfristen).

Konkret gilt:

• Server-Logfiles: 30 Tage, sofern keine sicherheitsrelevanten Vorfälle eine längere Speicherung erfordern
• Reichweitenmessung (Ziff. 6): IP-Adresse 7 Tage, übriger Datensatz 14 Monate, Sitzungsaufzeichnungen 30 Tage
• Termindaten (Ziff. 7.2): spätestens zwölf Monate nach dem Termin, sofern keine Geschäftsbeziehung entsteht
• Bewerbungsunterlagen (Ziff. 8): sechs Monate nach Abschluss des Verfahrens, bei geltend gemachten Ansprüchen bis zu deren Abschluss
• Cookies der Messfunktionen nach Ziff. 10.2: ein Tag bis zwölf Monate, je Cookie in Ziff. 10.3 bis 10.5 benannt; wie lange die Anbieter die an sie übermittelten Daten anschließend speichern, richtet sich nach deren eigenen Vorgaben

Bei der Verarbeitung von personenbezogenen Daten auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO werden die betroffenen Daten so lange gespeichert, bis Sie Ihre Einwilligung widerrufen.

Existieren gesetzliche Aufbewahrungsfristen für Daten, die im Rahmen rechtsgeschäftlicher bzw. rechtsgeschäftsähnlicher Verpflichtungen auf der Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet werden, werden diese Daten nach Ablauf der Aufbewahrungsfristen routinemäßig gelöscht, sofern sie nicht mehr zur Vertragserfüllung oder Vertragsanbahnung erforderlich sind und/oder unsererseits kein berechtigtes Interesse an der Weiterspeicherung fortbesteht.

Bei der Verarbeitung von personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO werden diese Daten so lange gespeichert, bis Sie Ihr Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO ausüben, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sofern sich aus den sonstigen Informationen dieser Erklärung über spezifische Verarbeitungssituationen nichts anderes ergibt, werden gespeicherte personenbezogene Daten im Übrigen dann gelöscht, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.

17) Stand dieser Datenschutzerklärung

Stand: August 2026. Wir passen diese Datenschutzerklärung an, wenn sich die von uns eingesetzten Dienste oder die rechtlichen Rahmenbedingungen ändern.