Datenschutzerklärung – Plattform „Kramlos"

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

• Florian v. Mengershausen (Einzelunternehmer / Freiberufler)
• Bergfeld 1, 83735 Bayrischzell, Deutschland
• E-Mail: florian_mengershausen@yahoo.de · Telefon: +49 176 47338343
• USt-IdNr.: DE402261241

Datenschutzbeauftragte(r): Es ist kein Datenschutzbeauftragter bestellt, da die gesetzlichen Voraussetzungen für eine Bestellpflicht (Art. 37 DSGVO, § 38 BDSG) derzeit nicht vorliegen (insbesondere sind nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt). Für Datenschutzanfragen erreichen Sie den Verantwortlichen unter den vorstehenden Kontaktdaten.

2. Rollen: eigene Verantwortlichkeit vs. Auftragsverarbeitung

Diese Datenschutzerklärung betrifft die Verarbeitungen, für die der Betreiber selbst Verantwortlicher ist – insbesondere Registrierung, Nutzerkonten, Bereitstellung der Plattform und Lead-/Kontaktdaten.

Für Inhalte, die Kunden in ihren Workspace hochladen (insbesondere Gehaltsabrechnungen mit Mitarbeiterdaten), handelt der Betreiber im Auftrag des Kunden. Insoweit ist der Kunde Verantwortlicher und der Betreiber Auftragsverarbeiter nach Art. 28 DSGVO; maßgeblich ist der mit dem Kunden geschlossene Auftragsverarbeitungsvertrag (AVV). Betroffene Personen (z. B. Mitarbeiter eines Kunden) wenden sich für diese Daten an den jeweiligen Kunden als Verantwortlichen.

3. Verarbeitungen im Einzelnen

3.1 Bereitstellung der Plattform / Server-Logfiles

Beim Aufruf der Plattform verarbeiten wir technisch erforderliche Verbindungsdaten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Statuscode, übertragene Datenmenge, Referrer, Browser-/System-Angaben), soweit zur Auslieferung, Stabilität und Sicherheit erforderlich.

• Zweck: Bereitstellung, Betriebssicherheit, Abwehr von Missbrauch/Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb).

3.2 Registrierung und Nutzerkonto

Zur Nutzung ist eine Registrierung erforderlich. Verarbeitet werden insbesondere E-Mail-Adresse, Name, bei Unternehmen zusätzlich Firmenangaben, Passwort (ausschließlich als kryptografischer Hash), Kontostatus sowie Zeitpunkt der Registrierung und der E-Mail-Bestätigung.

• Zweck: Einrichtung und Verwaltung des Nutzerkontos, Authentifizierung, Erbringung der vertraglichen Leistungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen).

3.3 E-Mail-Verifizierung und Passwort-Reset

Zur Bestätigung der E-Mail-Adresse (Double-Opt-in) und für Passwort-Zurücksetzungen versenden wir Transaktions-E-Mails mit zeitlich begrenzten Token.

• Zweck: Verifizierung, Kontosicherheit, Missbrauchsvermeidung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Auftragsverarbeiter: Versanddienstleister Goneo (Sitz Deutschland/EU).

3.4 Nutzung der Tools / hochgeladene Inhalte

Laden Kunden Inhalte zur Verarbeitung hoch (z. B. Sammel-PDF mit Gehaltsabrechnungen zur Aufteilung), verarbeiten wir diese ausschließlich zur Leistungserbringung im Auftrag des Kunden (Art. 28 DSGVO, siehe Ziffer 2). Zu Speicherung, Verschlüsselung und Löschung siehe Ziffern 6 und 7.

3.5 Kontaktaufnahme und Lead-Erfassung

Bei Kontaktaufnahme (per E-Mail, künftig zusätzlich über ein Kontaktformular) oder Erfassung von Interessenten (Leads) verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse und der Inhalt Ihrer Nachricht bzw. Ihr Anliegen).

• Zweck: Bearbeitung der Anfrage, Kontaktpflege, Geschäftsanbahnung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich) bzw. lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen); bei Einwilligung Art. 6 Abs. 1 lit. a DSGVO.

4. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

Dienst

Zweck

Sitz/Region

Absicherung

Contabo

Server-/Datenbank-Hosting (VPS)

Deutschland (EU)

Auftragsverarbeitungsvertrag

Goneo

Transaktions-E-Mails (Verifizierung/Reset)

Deutschland (EU)

Auftragsverarbeitungsvertrag

Microsoft (OneDrive)

Off-site-Ablage verschlüsselter DB-Backups

EU / USA

Microsoft-DPA; Backups client-seitig AES-256-verschlüsselt (nur Chiffrat); EU-US Data Privacy Framework (siehe Ziffer 5)

Eine Übermittlung an sonstige Dritte erfolgt nur, soweit dies gesetzlich zulässig ist (z. B. gesetzliche Pflichten) oder Sie eingewilligt haben.

5. Drittlandübermittlung

Die Verarbeitung findet grundsätzlich innerhalb der EU/des EWR statt. Eine Übermittlung in ein Drittland (USA) kann im Rahmen der verschlüsselten Off-site-Backups bei Microsoft erfolgen. Diese ist abgesichert durch den Angemessenheitsbeschluss EU-US Data Privacy Framework sowie ergänzend durch die client-seitige AES-256-Verschlüsselung der Backups (Microsoft erhält ausschließlich Chiffrat, der Schlüssel verbleibt bei uns im EWR) als zusätzliche Schutzmaßnahme.

6. Speicherorte und Sicherheit (technische und organisatorische Maßnahmen)

Die Verarbeitung erfolgt auf Servern innerhalb der EU. Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a. Transportverschlüsselung (TLS), strikte Mandantentrennung, Feld-Verschlüsselung der sensibelsten Lohndaten (Name, Personalnummer, Abrechnungs-PDF), verschlüsselte Off-site-Backups mit regelmäßigen Wiederherstellungstests sowie Zugriffs-, Zugangs- und Autorisierungskontrollen. Einzelheiten ergeben sich aus unseren TOM (Anlage zum AVV).

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

• Nutzerkonto-/Stammdaten: bis zur Löschung des Kontos bzw. Wegfall des Zwecks; anschließend Löschung, soweit keine Aufbewahrungspflicht entgegensteht.
• Hochgeladene Gehalts-Dateien (im Kundenauftrag): automatische Löschung 24 Stunden nach Download bzw. spätestens nach 7 Tagen.
• Server-Logfiles: Löschung nach sieben Tagen, soweit nicht für Sicherheitszwecke länger erforderlich.

Nutzer können ihr Konto und ihre Daten selbst löschen sowie ihre Daten exportieren (Umsetzung von Art. 15 und Art. 17 DSGVO). Einzelheiten regelt das Löschkonzept.

8. Ihre Rechte als betroffene Person

Sie haben – im Rahmen der gesetzlichen Voraussetzungen – das Recht auf:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).

Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten (z. B. Ihre Gehaltsabrechnung als Mitarbeiter eines Kunden), wenden Sie sich bitte an den jeweiligen Kunden als Verantwortlichen; wir leiten Anfragen andernfalls dorthin weiter.

9. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde für uns (nichtöffentliche Stelle mit Sitz in Bayern) ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Pflicht zur Bereitstellung

Die Bereitstellung bestimmter Daten (z. B. bei Registrierung) ist für den Vertragsschluss bzw. die Nutzung der Plattform erforderlich. Ohne diese Daten können wir die Leistungen nicht erbringen.

11. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

12. Cookies / lokale Speicherung

Wir setzen nur technisch notwendige Cookies/Token ein (z. B. für Anmeldung/Sitzung und Sicherheit, CSRF-Schutz). Diese sind für den Betrieb erforderlich (Rechtsgrundlage: § 25 Abs. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO).

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Verarbeitung oder die eingesetzten Dienste ändern. Es gilt die jeweils auf der Plattform veröffentlichte Fassung.