Datenschutzhinweise für Website und Centrivo-Plattform
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Tim Nottelmann, handelnd unter IT Solution Nottelmann, Bonnstraße 34, 45470 Mülheim an der Ruhr, Deutschland. Kontakt: office@it-solution-nottelmann.de, Telefon: 0208 / 88 35 16 30.
Datenschutzkontakt: office@it-solution-nottelmann.de. Datenschutzbeauftragte Stelle: Nach dokumentierter Prüfung ist keine Datenschutzbeauftragtenstelle benannt.
2. Geltungsbereich und Rollen
Diese Hinweise erläutern die Verarbeitung personenbezogener Daten beim Besuch der Centrivo-Website, bei einer Anfrage oder Angebotsannahme, bei der Einrichtung und Nutzung eines Kontos, in der Vertragsverwaltung, im Support und bei der Kommunikation mit uns.
Für eigene Website-, Interessenten-, Kunden-, Abrechnungs-, Sicherheits- und Vertragsnachweisdaten handelt der Anbieter als Verantwortlicher. Soweit Geschäftskunden über Centrivo personenbezogene Daten ihrer eigenen Kunden, Beschäftigten, Ansprechpartner oder sonstigen Personen verarbeiten, ist grundsätzlich der jeweilige Geschäftskunde Verantwortlicher und der Anbieter Auftragsverarbeiter. Dafür gilt die gesonderte Vereinbarung zur Auftragsverarbeitung (AVV).
3. Hosting, Websiteaufruf und Server-Protokolldaten
Unsere Website und die von uns betriebene Plattform laufen auf von uns administrierter Serverinfrastruktur bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Verarbeitungsort ist Deutschland.
Zur Auslieferung einer Seite muss die vollständige IP-Adresse des anfragenden Geräts technisch verarbeitet werden. Darüber hinaus können Datum und Uhrzeit, aufgerufene Adresse beziehungsweise Datei, HTTP-Statuscode, übertragene Datenmenge, Referrer-Adresse sowie Browser- und Betriebssystemangaben verarbeitet werden.
Je nach Server- und Fehlerkonfiguration können Zugriffs-, Sicherheits- und Fehlerprotokolle kurzfristig vollständige IP-Adressen enthalten. Wir beschränken die protokollierten Angaben auf das für Betrieb, Fehleranalyse und Sicherheit erforderliche Maß, führen sie nicht mit anderen Datenquellen zu Nutzungsprofilen zusammen und löschen reguläre Protokolldaten spätestens nach 7 Tagen. Eine längere Aufbewahrung erfolgt nur, wenn konkrete Daten zur Aufklärung eines Sicherheitsvorfalls oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.
Die Verarbeitung erfolgt, um die Website auszuliefern, technische Fehler zu erkennen und Sicherheit sowie Stabilität der Systeme zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb unserer digitalen Dienste. Der Hostinganbieter wird im Rahmen der Server-, E-Mail- und Backupbereitstellung als Auftragsverarbeiter eingesetzt.
Die Frist von 7 Tagen ist unsere festgelegte betriebliche Löschfrist für reguläre Protokolldaten. Für Webserver-Protokolle besteht keine einheitliche starre Tagesfrist; maßgeblich sind Erforderlichkeit, Datenminimierung und Speicherbegrenzung.
4. Website-Formulare: Anfrage, Konfiguration und Angebot
Bei einer Websiteanfrage verarbeiten wir die eingegebenen Firmen-, Kontakt-, Kommunikations-, Paket-, Modul-, Mengen-, Einrichtungs- und Terminangaben sowie technische Nachweisdaten. Zwecke sind Bearbeitung der Anfrage, Rückfragen, automatisierte Erstellung und Übermittlung eines Standardangebots, Verhinderung von Missbrauch und Dokumentation vorvertraglicher Kommunikation. Soweit die betroffene Person selbst Vertragspartei werden soll oder vorvertragliche Maßnahmen auf ihre eigene Anfrage erfolgen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten, Organen oder sonstigen geschäftlichen Ansprechpartnern eines Unternehmens, die nicht selbst Vertragspartei sind, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Anbahnung, Durchführung und Dokumentation der B2B-Geschäftsbeziehung. Art. 6 Abs. 1 lit. f DSGVO dient außerdem der Missbrauchsabwehr, Sicherheit und Nachweisführung.
Eine Standardanfrage kann anhand der gewählten, transparenten Katalog- und Preisregeln automatisiert in ein Angebot überführt werden. Ein Änderungswunsch wird zur manuellen Bearbeitung ausgesteuert. Es findet dabei keine ausschließlich automatisierte Entscheidung über persönliche Merkmale, Bonität oder Zulassung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt.
Nicht zu einem Vertrag führende Anfragen werden regulär 180 Tage nach Abschluss der Bearbeitung gelöscht oder anonymisiert, soweit keine Einwilligung, konkrete Anschlusskommunikation, gesetzliche Pflicht oder erforderliche Anspruchsdokumentation entgegensteht.
5. Angebot, elektronische Erklärungen und Vertragsverwaltung
Beim Abruf und bei der Beantwortung eines Angebots sowie bei Paket-/Moduländerungen, Verlängerungen oder Kündigungen verarbeiten wir Vertragsbezug, Erklärung, Zeitpunkt, erklärendes Nutzerkonto, E-Mail-Adresse, bestätigten Preis- und Leistungsstand, Dokumentversionen und Prüfsummen. IP-Adresse und User-Agent werden für den Nachweis mit einem geheimen Schlüssel pseudonymisiert; die Rohwerte werden nicht Bestandteil des Vertragsnachweises. Zwecke sind Vertragsschluss, Vertragsdurchführung, rechtssichere Zuordnung, Integritätskontrolle, Missbrauchsabwehr und Beweisführung. Soweit die betroffene Person selbst Vertragspartei ist, erfolgt die hierfür erforderliche Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für vertretungsberechtigte Personen, Beschäftigte, Administratoren und sonstige Ansprechpartner des Geschäftskunden, die nicht selbst Vertragspartei sind, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind die Durchführung und Dokumentation des Vertragsverhältnisses, Integritätskontrolle, Missbrauchsabwehr und Rechtsverteidigung. Soweit gesetzliche Dokumentations- oder Aufbewahrungspflichten bestehen, gilt ergänzend Art. 6 Abs. 1 lit. c DSGVO.
Vertrags- und Erklärungsnachweise werden für die Vertragsdauer und anschließend regulär 6 Jahre gespeichert; längere gesetzliche Aufbewahrungs- oder Verjährungsfristen sowie laufende Rechtsstreitigkeiten bleiben unberührt. Die bestätigten Unterlagen werden dem Kunden auf einem dauerhaften Datenträger bereitgestellt.
6. Konto, Authentifizierung und Plattformbetrieb
Für Nutzerkonten verarbeiten wir Namen, geschäftliche Kontaktdaten, Mandanten- und Firmenzuordnung, Rollen, Berechtigungen, Passwort-Hash, Mehrfaktor- und Wiederherstellungsdaten, vertrauenswürdige Geräte, Sitzungs- und Sicherheitsereignisse. Zwecke sind Einrichtung und Betrieb des Kontos, Zugriffsschutz, Rechteverwaltung, Support und Sicherheitsprüfung. Ist die betroffene Person selbst Vertragspartei, kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein. Für Nutzer, Administratoren und Beschäftigte eines Geschäftskunden, die nicht selbst Vertragspartei sind, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind die vertragsgemäße Bereitstellung der Plattform, sichere Authentifizierung, Berechtigungsverwaltung und IT-Sicherheit. Berechtigungen sind auf das Erforderliche zu beschränken; ausgeschiedene Nutzer müssen deaktiviert werden.
7. Abrechnung, Geschäftsunterlagen und Kommunikation
Zur Vertragsabwicklung, Rechnungsstellung, Zahlungszuordnung, Mahnung und geschäftlichen Kommunikation verarbeiten wir Stamm-, Kontakt-, Vertrags-, Leistungs-, Rechnungs-, Zahlungs- und Korrespondenzdaten. Bei Daten der Vertragspartei ist Art. 6 Abs. 1 lit. b DSGVO einschlägig; gesetzlich vorgeschriebene Buchführungs-, Steuer- und Aufbewahrungsvorgänge beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Daten geschäftlicher Ansprechpartner, die nicht selbst Vertragspartei sind, sowie Verarbeitung für geordnete Geschäftsabläufe, Forderungsmanagement und Rechtsverteidigung beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Steuer- und handelsrechtliche Unterlagen werden je nach Dokumentart regelmäßig zehn, acht oder sechs Jahre nach den jeweils anwendbaren gesetzlichen Fristregeln aufbewahrt.
8. Support und Produktkommunikation
Bei Supportanfragen verarbeiten wir Kontakt-, Vertrags-, Ticket-, Kommunikations-, Diagnose- und gegebenenfalls vom Nutzer bereitgestellte Inhaltsdaten. Zwecke sind Fehlerbehebung, Beratung, Sicherheit und Dokumentation. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Sensible Daten und Zugangsdaten sollen nicht in ungeschützten Supportnachrichten übermittelt werden.
E-Mail-Dienstleister: Hetzner Online GmbH. Versand- und Zustellstatus werden nur soweit erforderlich protokolliert. Push-Benachrichtigungsdienst: nicht aktiviert. Push-Funktionen werden nur nach aktiver Freigabe des Endgeräts verwendet und können dort oder im Konto deaktiviert werden.
9. Cookies, lokale Speicherung und optionale Dienste
Technisch notwendige Cookies oder vergleichbare Speicherungen können für Anmeldung, Sitzungsschutz, CSRF-Schutz, Sprache, Sicherheits- und Einwilligungsstatus erforderlich sein. Ihre Verwendung richtet sich nach § 25 Abs. 2 TDDDG und, soweit personenbezogene Daten verarbeitet werden, nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Nicht notwendige Statistik-, Marketing- oder Komforttechnologien werden nur nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingesetzt.
Konfigurierter Funktionsstand: Analyse/Statistik: deaktiviert; Marketing-Cookies: deaktiviert; Newsletter: deaktiviert; Push-Benachrichtigungen: deaktiviert; externer CDN: deaktiviert; externer QR-Dienst: deaktiviert; Banksynchronisierung: deaktiviert; öffentliche API: deaktiviert; Demo-Modus: deaktiviert.
10. Freiwillige Marketingeinwilligung
Eine Marketingoption ist freiwillig und nicht Voraussetzung für Anfrage oder Vertrag. Bei Aktivierung verarbeiten wir E-Mail-Adresse, Einwilligungszeitpunkt, Textversion und Widerrufsstatus auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Werbliche E-Mails werden unter Beachtung von § 7 UWG grundsätzlich nur mit vorheriger wirksamer Einwilligung versandt. Soweit die Voraussetzungen der gesetzlichen Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG vollständig erfüllt sind, kann der Versand ausnahmsweise ohne gesonderte Einwilligung erfolgen. Jede Nachricht enthält eine einfache Abmeldemöglichkeit; bei Nutzung der Bestandskunden-Ausnahme wird auf das jederzeitige Widerspruchsrecht bereits bei Erhebung der Adresse und bei jeder Verwendung hingewiesen. Der Widerruf beziehungsweise Widerspruch wirkt für die Zukunft; ein erforderlicher Sperrnachweis darf gespeichert werden, um weitere Zusendungen zu verhindern.
11. Empfänger, Auftragsverarbeiter und Drittlandtransfers
Zugriff erhalten intern nur zuständige Personen. Als technischer Auftragsverarbeiter für Hosting, E-Mail-Infrastruktur und Backups wird Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland eingesetzt. Nach dem aktuell dokumentierten Betriebsstand bestehen Keine weiteren Unterauftragsverarbeiter mit Zugriff auf personenbezogene Daten. Steuer-/Rechtsberater, Banken oder Behörden können Empfänger sein, soweit dies für den jeweiligen Zweck erforderlich oder gesetzlich vorgeschrieben ist; sie sind dadurch nicht automatisch Unterauftragsverarbeiter der Plattform.
Die versionierte Liste eingesetzter Unterauftragsverarbeiter ist unter https://dev-cockpit.jaylu.de/website/unterauftragsverarbeiter.php abrufbar. Verarbeitungen außerhalb EU/EWR erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, etwa aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien einschließlich erforderlicher zusätzlicher Schutzmaßnahmen. Die konkrete Transfergrundlage ist in der Unterauftragsverarbeiterliste auszuweisen.
12. Speicherdauer und Löschung
Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck, vertragliche Leistungen, gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Nach Vertragsende steht, soweit vereinbart, eine Exportfrist von 30 Tagen zur Verfügung. Danach werden löschbare Produktivdaten nach dem dokumentierten Löschprozess entfernt oder zurückgegeben. Backups werden innerhalb eines regulären Zyklus von höchstens 30 Tagen überschrieben, soweit keine isolierte Sicherung wegen eines Sicherheitsvorfalls oder einer gesetzlichen Pflicht länger benötigt wird. Einzelheiten enthält das Lösch- und Aufbewahrungskonzept unter https://dev-cockpit.jaylu.de/website/aufbewahrung.php.
13. Sicherheit
Wir treffen risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere Transportverschlüsselung, sichere Passwortspeicherung, rollenbasierte und mandantenbezogene Zugriffskontrolle, Mehrfaktoroptionen, CSRF- und Sitzungsschutz, Rate-Limits, private Dateispeicherung, Integritätsnachweise, Protokollierung, Patch- und Schwachstellenprozesse, Datensicherungen, Wiederherstellungsprüfungen und Verfahren zur Behandlung von Sicherheitsvorfällen. Die verbindlichen tatsächlichen Maßnahmen sind in der versionierten TOM-Anlage beschrieben.
14. Rechtsgrundlagen und berechtigte Interessen
Je nach Vorgang stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag oder vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) oder lit. f (berechtigte Interessen). Berechtigte Interessen sind insbesondere sicherer und stabiler Betrieb, Angriffserkennung, Fehlerbehebung, nachvollziehbare Vertrags- und Geschäftsvorgänge, Verhinderung von Missbrauch sowie Geltendmachung und Abwehr von Ansprüchen. Soweit im Einzelfall besondere Kategorien von Daten betroffen sind, ist zusätzlich eine Rechtsgrundlage nach Art. 9 DSGVO erforderlich.
15. Rechte betroffener Personen
Betroffene Personen haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3). Zur Vermeidung unberechtigter Offenlegung kann eine angemessene Identitätsprüfung erforderlich sein.
Bei Daten, die ein Geschäftskunde als Verantwortlicher in Centrivo verarbeitet, ist die Anfrage grundsätzlich an diesen Geschäftskunden zu richten. Wir unterstützen ihn nach Maßgabe der AVV.
16. Beschwerderecht
Betroffene Personen können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde des Anbieters: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Deutschland, https://www.ldi.nrw.de/kontakt.
17. Pflicht zur Bereitstellung
Als Pflichtfelder gekennzeichnete Daten sind für Anfrage, Angebot, Vertrag oder Kontoeinrichtung erforderlich. Ohne diese Angaben kann der jeweilige Vorgang nicht durchgeführt werden. Freiwillige Angaben sind entsprechend gekennzeichnet.
17a. Daten aus anderen Quellen und Art. 14 DSGVO
Personenbezogene Geschäftskontaktdaten können uns auch durch den jeweiligen Geschäftskunden, dessen Administratoren oder Beschäftigte, andere geschäftliche Ansprechpartner sowie aus öffentlich zugänglichen geschäftlichen Quellen wie Unternehmenswebsites oder öffentlichen Registern mitgeteilt werden. Dabei können insbesondere Name, geschäftliche Kontaktdaten, Funktion, Unternehmenszugehörigkeit und vertrags-, support- oder kommunikationsbezogene Angaben verarbeitet werden.
Soweit die betroffene Person nicht selbst Vertragspartei ist, erfolgt die Verarbeitung zur Anbahnung, Durchführung und Dokumentation der B2B-Geschäftsbeziehung regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Art. 6 Abs. 1 lit. b DSGVO wird nur herangezogen, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre eigene Anfrage erfolgen; gesetzliche Pflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.
Soweit personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben wurden, stellen wir die nach Art. 14 DSGVO erforderlichen Informationen innerhalb der gesetzlichen Fristen bereit, grundsätzlich spätestens innerhalb eines Monats, bei einer früheren Kommunikation spätestens bei der ersten Kommunikation beziehungsweise bei einer vorherigen Offenlegung spätestens bei der ersten Offenlegung, sofern keine gesetzliche Ausnahme von der Informationspflicht greift. Die in diesen Datenschutzhinweisen beschriebenen Betroffenenrechte gelten entsprechend.
18. Änderungen
Wir aktualisieren diese Hinweise bei Änderungen von Funktionen, Dienstleistern, Verarbeitungsvorgängen oder Rechtslage. Maßgeblich ist die veröffentlichte, versionierte Fassung. Wesentliche Änderungen werden, soweit erforderlich, zusätzlich mitgeteilt.