Datenschutzhinweise zu Projekt und Vertragsabwicklung

1 Ansprechpartner und Rollen

Für die eigene Vertrags-, Kommunikations- und Kontoverwaltung ist Giulio Focardi, handelnd unter VERION GROUP, Maximilianstraße 2, 80539 München, Deutschland, info@verion.group verantwortlich. Ein betrieblicher Datenschutzbeauftragter wird hier nicht benannt. Datenschutzanfragen können unmittelbar an die genannte Adresse gerichtet werden.

Bei der Verarbeitung von Teilnehmerdaten für den vom Kunden festgelegten Projektzweck ist die datenschutzrechtliche Rollenverteilung vor Beginn zu klären. Soweit VERION im Auftrag und nach Weisung des Kunden handelt, ist der Kunde Verantwortlicher und VERION Auftragsverarbeiter; hierfür ist ein gesonderter Vertrag nach Art. 28 DSGVO mit den tatsächlichen Anlagen erforderlich. Entscheiden beide Parteien gemeinsam über Zwecke und wesentliche Mittel, bedarf dies einer entsprechenden gesonderten Regelung. Eine Vertragsannahme ersetzt diese Rollenklärung nicht.

2 Daten und Zwecke

Zur Anbahnung, Durchführung und Dokumentation eines Vertrags werden Unternehmens- und Kontaktdaten, Berechtigungen, Projektbeschreibung, Teilnehmerzuordnung, Rechnungsdaten, Preis- und Zahlungsreferenzen sowie notwendige Sicherheits- und Zustimmungsnachweise verarbeitet. Der Zustimmungsbeleg enthält Nutzer- und Auftragszuordnung, Zeitpunkt, bestätigte Unternehmensvertretung, die angenommene Dokumentfassung und deren Inhalt. Er enthält keine vollständigen Kreditkartendaten.

Im Review können Antworten, Rollenbeschreibungen und daraus abgeleitete Auswertungen zu identifizierbaren Personen verarbeitet werden. Sie dienen ausschließlich dem vorher festgelegten und rechtmäßig vereinbarten Projektzweck. Es erfolgt keine Freigabe für Werbung, einen Verkauf von Teilnehmerdaten oder ein eigenständiges Training allgemeiner Modelle durch die Bestätigung dieser Hinweise. Die Eingabe besonders geschützter Daten ist ohne einen dafür ausdrücklich vereinbarten zulässigen Prozess nicht vorgesehen.

3 Rechtsgrundlagen und notwendige Angaben

Für eigene Vertragsbeziehungen mit einer natürlichen Person erfolgt die erforderliche Verarbeitung nach Art. 6 Abs. 1 Buchst. b DSGVO; für Unternehmensansprechpartner, die nicht selbst Vertragspartner sind, regelmäßig nach Art. 6 Abs. 1 Buchst. f DSGVO zur sachgerechten Geschäftskommunikation und Vertragsabwicklung. Gesetzliche Buchführungs- und Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO. Erforderliche Sicherheits- und Rechtsnachweise dienen dem berechtigten Interesse an einem sicheren Betrieb und der Wahrung von Rechtsansprüchen nach Art. 6 Abs. 1 Buchst. f DSGVO.

Die Rechtsgrundlage für Beschäftigten- und andere Teilnehmerdaten bestimmt der hierfür Verantwortliche unter Beachtung des konkreten Einsatzes, einschließlich gegebenenfalls § 26 BDSG. Eine Einwilligung wird nicht allein durch den Auftraggeber stellvertretend für alle Teilnehmer fingiert. Soweit Angaben für Vertragsabwicklung oder Analyse erforderlich sind, kann die betreffende Leistung ohne diese Angaben nicht oder nur eingeschränkt erbracht werden.

4 Empfänger und technische Dienste

Zugriff erhalten befugte Personen beim Anbieter und die für den bestätigten Projektzweck freigegebenen Kundenvertreter. Teilnehmern wird keine pauschal anonyme Teilnahme zugesichert. Der Auftraggeber muss den betroffenen Personen vor der Teilnahme den konkreten Zweck und berechtigten Empfängerkreis mitteilen.

Die VERION-Anwendung wird auf einem Droplet von DigitalOcean am Standort Frankfurt am Main betrieben. Der bestätigte Standort der Anwendung besagt nicht, dass sämtliche Dienstleister, Supportzugriffe, Sicherungskopien und nachgelagerte Verarbeitungen ausschließlich in Deutschland oder der EU liegen.

OpenAI wird für KI-gestützte Verarbeitung und Texterstellung eingesetzt. Brevo wird für Einladungs- und Transaktionsnachrichten genutzt. Übermittelt werden jeweils nur die für den konkreten Verarbeitungsschritt benötigten Angaben. Die hierfür tatsächlich vereinbarten Datenregionen, Unterauftragnehmer und Aufbewahrungseinstellungen sind gesondert festzuhalten; eine besondere Datenresidenz oder eine Speicherung von null Tagen wird hier nicht zugesichert.

Stripe übernimmt die Zahlungsabwicklung und die im System vorgesehene Rechnungserstellung. Lexware wird für die Buchhaltung und Rechnungsverwaltung genutzt; MiracleSync überträgt die Rechnungsdaten aus Stripe an Lexware. Dies betrifft insbesondere Unternehmens- und Rechnungsempfängerdaten, erforderliche Kontaktdaten, Beträge, Steuerangaben sowie Zahlungs- und Rechnungsreferenzen. Vertrauliche Teilnehmerantworten und individuelle Analyseberichte gehören nicht zu diesem Abrechnungszweck. Für bestimmte Verarbeitungsvorgänge, etwa eigene gesetzliche Zahlungs- und Sicherheitsaufgaben, kann Stripe selbst Verantwortlicher sein; die Rolle der Anbieter ist je Verarbeitung und Vertragsverhältnis zu bestimmen.

Apollo und FullEnrich werden zur Suche, Prüfung und Ergänzung geschäftlicher Kontaktdaten im Rahmen der Akquise eingesetzt. Dabei können insbesondere Name, geschäftliche Funktion, Unternehmen, Unternehmensdomain und öffentliches berufliches Profil abgeglichen und geschäftliche Kontaktinformationen zurückgegeben werden. Auch Abfrage, Abgleich, Übermittlung und Ergänzung sind personenbezogene Datenverarbeitung; diese Dienste sind deshalb keine pauschal datenverarbeitungsfreien Empfänger. Die Akquise ist von der Analyse vertraulicher Teilnehmerantworten getrennt. Die Anbieter können je nach Leistung und eigenen Datenbeständen als Auftragsverarbeiter oder eigenständig Verantwortliche handeln; die konkrete Rolle ist anhand der anwendbaren Verträge und Einstellungen zu dokumentieren.

Die jeweils vertraglich eingebundenen Unternehmen, Datenregionen, weiteren Empfänger, einschlägigen Anbietervereinbarungen und Übermittlungsgrundlagen müssen in der Betriebsdokumentation und erforderlichenfalls in der Auftragsverarbeitungsvereinbarung vollständig festgehalten werden. Die Bestätigung der Nutzung eines Dienstes beweist nicht den Abschluss eines bestimmten Anbieter-AVV. Für Drittlandübermittlungen gelten Art. 44 ff. DSGVO; eine Bestätigung dieser Hinweise ersetzt die erforderliche Grundlage nicht.

5 Dauer und Löschung

Konten, Projektdaten und Vertragsnachweise werden nur so lange verarbeitet, wie es für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Aufbewahrungspflicht bzw. ein tragfähiger Grund zur Rechtsverteidigung besteht. Für Abrechnungsunterlagen gelten die jeweils anwendbaren steuer- und handelsrechtlichen Fristen. Teilnehmerdaten sind nach den gesondert festgelegten Weisungen und Fristen des Projekts zu löschen oder zurückzugeben; aus diesen allgemeinen Hinweisen ergibt sich keine pauschale unbegrenzte Aufbewahrung.

Eine konkrete produktive Lösch-, Sicherungs- und Rückgaberegelung ist vor Beginn der Verarbeitung mit den tatsächlichen technischen Abläufen abzugleichen. Gesetzlich gesperrte Aufbewahrung ist von weiterer fachlicher Nutzung zu trennen.

6 Rechte und Beschwerden

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie Widerspruch aus Gründen der besonderen Situation gegen Verarbeitungen nach Art. 6 Abs. 1 Buchst. f DSGVO. Soweit eine Verarbeitung tatsächlich auf Einwilligung beruht, kann diese jederzeit für die Zukunft widerrufen werden. Anfragen zu Verarbeitungen im Kundenauftrag werden unter Wahrung der Rollenverteilung an den zuständigen Verantwortlichen weitergeleitet oder nach dessen Weisung bearbeitet.

Betroffene können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort eines vermuteten Verstoßes. Für privatwirtschaftliche Verantwortliche in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht eine mögliche Anlaufstelle. VERION-Ergebnisse sind zur menschlichen Prüfung bestimmt; eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung ist nicht als Leistungszweck vereinbart.