For the purposes of the following privacy policy, the following terms apply; all references to persons refer to all genders and the corresponding grammatical forms and are always to be understood with the addition “m/f/d”:
Data Controller. The data controller is Greator GmbH, Brüsseler Str. 89-93, E: [email protected]. The managing director is Mr. Alexander Müller. The external data protection officer is attorney Dr. Stephan Gärtner, [email protected].
Data subjects. Data subjects are all natural persons who,
who are customers of the data controllers, including potential, current, and former customers (customer data processing)
who visit the website of the data controller, where this privacy policy is linked (Data Processing on the Website).
Personal data. This refers to any information that, directly or indirectly, allows for the identification of natural persons—that is, human beings.
Processing of personal data. This refers to any active or passive handling of personal data, from collection through core processing to deletion.
Consent. This is a verifiable expression of intent by which data subjects voluntarily and in advance consent to a specific data processing activity.
AI/Artificial Intelligence. Artificial intelligence refers to a system’s ability to perform tasks that normally require human intelligence. These include, among other things, recognizing patterns, making decisions, learning new information, and adapting to new situations. AI uses algorithms and statistical models to analyze information and draw conclusions from it.
AI system. This is a software-based system that uses algorithms to perform tasks autonomously or semi-autonomously (e.g., Google Gemini, ChatGPT).
AI model. An AI model is a mathematical or algorithmic system that has been trained using machine learning to perform specific tasks. It relies on datasets to recognize patterns, make predictions, support decision-making, or perform other automated functions. AI models can take various forms, including neural networks, decision trees, or statistical algorithms, and are typically used to efficiently solve data-driven problems.
LLM/Large Language Models. Large language models are a specialized type of AI model trained to understand and generate natural language text. They are often based on deep neural networks and use vast amounts of text data to develop their language capabilities. LLMs can perform tasks such as text completion, translation, conversation, or style analysis. Examples include models such as OpenAI’s GPT (Generative Pre-trained Transformer). These models are capable of producing human-sounding text and providing context-aware responses, making them particularly useful in applications such as chatbots, virtual assistants, and content creation tools.
Social Media / Upload to Custom Audience. This phrasing means that the data controller uploads the data of the data subjects (typically their email addresses) to a third-party provider of a social network or media platform; of course, only after consent has been granted. This allows the data controller to display interest-based advertisements („ads“) to the data subjects when they visit a social network or media platform. This occurs as follows: The controller uploads the contact data (typically the email address) to the respective third-party provider. The third-party provider then checks whether the data subjects are registered with it using this contact information. If not, the contact information is not added to the Custom Audience (a type of database maintained by the data controller with the respective third-party provider). If so, the data is entered into the data controller’s Custom Audience. If the data subjects then visit the social network or platform provided by the respective third-party provider, the data controller has the option of displaying advertisements to the data subjects that are of interest to them.
Social media or video embedding / publication of media recordings. This wording means that the data controller uploads media recordings of the data subjects (photographs, audio recordings, and/or video recordings) to the respective social media platform or network or to the respective video portal and publishes them there.
(1) Data subjects have the following rights with respect to the data stored about them: the right of access, the right to have inaccurate data corrected, the right to have data erased when there is no longer a legal basis for retention, the right to restrict processing, and the right to data portability. Furthermore, they have the right to lodge a complaint with the supervisory authority responsible for the data controller.
(2) If the processing is based on consent, data subjects may withdraw their consent at any time with future effect; for example, by sending an informal message to one of the contact channels listed above (see Terms / Data Controllers).
(3) If the processing is based on a legitimate interest—that is, on Article 6(1), first sentence, subparagraph (f) of the GDPR—data subjects may object to the processing at any time; for example, by sending an informal message to one of the contact channels listed above (see Terms / Data Controllers). If the objection is justified, the processing will be terminated. If the legitimate interest relates to direct marketing, the objection is always justified.
(4) No automated decision-making, including profiling, takes place.
(5) A legal obligation to process data exists only to the extent that reference is made below to Article 6(1), first sentence, subparagraph (c) of the GDPR.
(6) The fact that data processing is described below does not imply that the data subjects have any kind of right to the associated actions (e.g., media recordings, evaluations). The data subject’s rights are set forth in paragraphs 1 through 3 of this section. The data processing activities described below outline only possible courses of action, which may not apply to all data subjects.
(7) If personal data is transferred to entities outside the European Union (third countries), the controller must provide additional safeguards in accordance with Article 44 et seq. of the GDPR. If the controller relies on
Article 45 of the GDPR means that the recipient must be located in a country, territory, or specific sector that the European Commission has determined offers an adequate level of data protection.
When Article 46 of the GDPR is invoked in conjunction with the EU Standard Contractual Clauses, this means that the recipient has contractually committed to complying with the principles of EU data protection law, based on a model contract provided by the European Commission.
Under Article 47 of the GDPR, this means that the recipient has committed to complying with binding internal data protection rules that have been approved by a supervisory authority based in the EU.
If Article 49(1)(a) of the GDPR is invoked, this means that the data subjects have given their consent with full knowledge of all the risks associated with the transfer of data to a third country.
The data subjects and the data controller make initial contact. During this process, the data controller processes all data that the data subjects voluntarily provide. This often includes contact information (name, contact details such as email address, mailing address, and phone number) as well as communication data (description of the content, meeting notes, and form entries). Based on this information, the data controller prepares an offer and stores this data. The purpose is to initiate or establish a contract. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
Both parties shall fulfill the contract, to the extent that it is concluded. In this context, the controller collects additional communication and billing data (service delivery, responses to inquiries, billing information) in order to fulfill the contract. The purpose is the performance of a contract. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
If the controller changes the manner in which data is processed—in particular, by appointing new recipients—it will inform the data subjects of the change via email by providing them with the updated privacy notice. The purpose is to fulfill the transparency obligations under the GDPR (Articles 12 through 14 of the GDPR). The legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR.
(1) If data subjects assert their rights under the GDPR or other legal provisions (including contractual claims), the controller processes the data to review these claims and, if applicable, fulfill them. The purpose is to review and respond to the claims, including fulfilling or rejecting them. The legal basis is Article 6(1)(f) of the GDPR, whereby the legitimate interest arises from the nature of the respective right being asserted.
(2) In the event of a legal dispute between the data subjects and the data controller, the data will be processed to provide the necessary information (e.g., to assert claims) and, if necessary, to seek external legal counsel. The following data will be processed in this context: name, contact information, and all matters related to the legal dispute. The processing serves to obtain external legal advice and representation, as well as to exercise the controller’s own rights. The legal basis is Article 6(1), first sentence, letter f of the GDPR, whereby the legitimate interest arises from the aforementioned purposes.
(1) Once the data has served the purpose described herein, it will be deleted. The deletion is intended to fulfill a legal obligation and is based on Article 6(1), first sentence, letter c of the GDPR in conjunction with Article 5(1), letters a and e of the GDPR.
(2) Notwithstanding paragraph 1, the deletion shall not take place in the following cases:
Internal records that are not accounting documents (e.g., annual financial statements) are retained for 10 years, beginning on December 31 of the calendar year in which the respective document was created. The processing is necessary to comply with a legal obligation and is based on Article 6(1), first sentence, letter c of the GDPR in conjunction with § 147 of the German Fiscal Code (AO) and § 257 of the German Commercial Code (HGB).
Accounting records are retained for 8 years, beginning on December 31 of the calendar year in which the respective document was created. This processing is necessary to comply with a legal obligation and is based on Article 6(1), first sentence, letter c of the GDPR in conjunction with § 147 of the German Fiscal Code (AO) and § 257 of the German Commercial Code (HGB).
Business communication records (e.g., letters to customers) and other tax-related documents are retained for 6 years, beginning on December 31 of the calendar year in which the respective document was created. This processing is necessary to comply with a legal obligation and is based on Article 6(1), first sentence, letter c of the GDPR in conjunction with Section 147 of the German Fiscal Code (AO) and Section 257 of the German Commercial Code (HGB).
Data generated when data subjects assert data protection claims against the controller is retained for 3 years, beginning on December 31 of the calendar year in which the controller responds to such claims. The processing serves to safeguard the interest in defending against claims and is based on Article 6(1), first sentence, letter f of the GDPR, whereby the legitimate interest arises from the aforementioned purpose. The duration of the legitimate interest is determined by the statute of limitations provisions for claims for damages (Sections 195, 199(1) of the German Civil Code (BGB)) and, supplementarily, from the statute of limitations provisions under administrative offense law (Section 31(2)(1) of the German Administrative Offenses Act (OWiG) in conjunction with Article 83 of the GDPR).
Data generated when data subjects assert other claims against the controller is retained for 3 years, beginning on December 31 of the calendar year in which the controller responds to such claims. The processing serves to safeguard the interest in defending against claims and is based on Article 6(1), first sentence, letter f of the GDPR, whereby the legitimate interest arises from the aforementioned purpose. The duration of the legitimate interest is determined by the statute of limitations for claims for damages (Sections 195, 199(1) of the German Civil Code (BGB)).
Data processed on the basis of consent will be retained until the consent is revoked or until the purpose of the processing no longer applies, whichever occurs first. The retention serves the purpose associated with the consent and is based on Article 6(1), first sentence, subparagraph (a) of the GDPR.
Data proving that consent was given will be retained for 3 years, beginning on the date the consent is revoked or the purpose ceases to exist, whichever occurs first. The processing serves to safeguard the interest in defending against claims and is based on Article 6(1), first sentence, subparagraph (f) of the GDPR, whereby the legitimate interest arises from the aforementioned purpose. The duration of the legitimate interest is determined by the statute of limitations provisions under administrative offense law (Section 31(2)(1) of the German Administrative Offenses Act (OWiG) in conjunction with Article 83 of the GDPR).
The data controller enables data subjects to communicate via video conference. If the data subjects choose to participate in the video conference, the data controller first processes the data required for the invitation (name, date/time, email address, and, if applicable, the subject of the conversation) and, once the video conference begins, the data generated during its conduct (IP address of the participants, device and connection information—such as the operating system of the device used, MAC address if applicable, location data, network provider, connection duration, error messages, log files, start time of the video conference, chat messages if applicable, and phone number if applicable), the transmitted audio or voice data, and—to the extent that the data subjects voluntarily activate their camera—the transmitted image data as well. The purpose is contract-related communication with the data subjects. The legal basis is Article 6(1)(b) of the GDPR. To the extent that image data is transmitted, this is not precluded by the prohibition under Article 9(1) of the GDPR, as it is the data subjects’ free choice to activate or deactivate the camera; see Article 9(2)(a) of the GDPR.
(1) The data controller enables data subjects to communicate via videoconference. If the data subjects choose to participate in the videoconference, the data controller first processes the data required for the invitation (name, date/time, email address, and, if applicable, the subject of the conversation) and, once the video conference begins, the data generated during its conduct (the data subjects’ IP addresses, device and connection information—such as the operating system of the device used, MAC address if applicable, location data, network provider, connection duration, error messages, log files, start time of the video conference, chat messages if applicable, and phone number if applicable), the transmitted audio or voice data, and—to the extent that the data subjects voluntarily activate their camera—the transmitted image data as well. The purpose is contract-related communication with the data subjects. The legal basis is Article 6(1)(b) of the GDPR. To the extent that image data is transmitted, this is not precluded by the prohibition under Article 9(1) of the GDPR, as it is the data subjects’ free choice to activate or deactivate the camera; see Article 9(2)(a) of the GDPR.
(2) In some cases, the person concerned also records the videoconferences.
a. To this end, it first obtains the consent of the data subjects. For this purpose, it processes the name, date, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR in conjunction with Article 7(1) of the GDPR.
b. The video conference (see paragraph 1) is recorded only if the data subjects have given their consent. In this case, the video and audio data are permanently stored with external providers. The purpose is to document communication with the data subjects. The legal basis is Article 6(1), first sentence, subparagraph (a) of the GDPR. This is not precluded by the prohibition under Article 9(1) of the GDPR, as the exception under Article 9(2)(a) of the GDPR applies here.
All emails that data subjects send to the controller are reviewed to determine whether they pose a risk to the controller’s IT infrastructure—for example, whether they are associated with a cyberattack. The review is based on static rules and playbooks that determine whether an email is malicious. Only the data from the specific incoming email being reviewed is examined; this is done, among other things, using blocklists. In doing so, the controller processes the following data: Email addresses, content of incoming emails, and status (malicious/non-malicious). The purpose is, first, to fulfill a legal obligation within the meaning of Article 32 of the GDPR (Purpose 1) and, second, to protect the controller’s own IT infrastructure (Purpose 2). With regard to Purpose 1, the legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR. With regard to Purpose 2, the legal basis is Article 6(1), first sentence, subparagraph (f) of the GDPR, whereby the legitimate interest arises from Purpose 2.
(1) The data controller offers data subjects the opportunity to join a social media group where she provides advice.
(2) First, it requests consent for this and documents the response. To do so, it processes the name, date and time, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR in conjunction with Article 7(1) of the GDPR.
(3) If consent is granted, the following occurs: It processes all data that data subjects voluntarily disclose there, which also includes the transmission of this information to other group members as well as to the third-party provider of the social network. It uses this data to provide its services. In doing so, names, usernames, and communication content are processed. The purpose is to fulfill a contract and for marketing purposes. The legal basis is Article 6(1), first sentence, letter a of the GDPR.
(1) The data controller collects testimonials from the data subjects.
(2) First, it requests consent for this and documents the response. To do so, it processes the name, date and time, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR in conjunction with Article 7(1) of the GDPR.
(3) If consent is granted, the following occurs: The data controller collects the testimonials and publishes them to the extent permitted by the consent granted. The following data is processed in this context: name, consent status, date of the decision. The purpose of the processing is to present the data controller. The legal basis is Article 6(1), first sentence, letter a of the GDPR.
(1) In certain selected cases, the data controller allows data subjects to provide a video testimonial.
(2) If the data subjects so choose, the controller will obtain the necessary consent. To this end, the controller processes the name, date, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, letter c of the GDPR in conjunction with Article 7(1) of the GDPR.
(3) The controller produces the video testimonial and publishes it to the extent permitted by the consent. The following data is processed in this context: name, image, and audio data. The purpose is to present the controller to the public. The legal basis is the consent of the data subjects within the meaning of Article 6(1), first sentence, letter a of the GDPR.
The data controller uses the email addresses of the data subjects to send them promotional communications. In doing so, it processes the following data: name, email address, and contractual relationship status. The legal basis is Article 6(1), first sentence, subparagraph (f) of the GDPR, whereby the legitimate interest arises from the contractual status and Recital 47 of the GDPR.
(1) The data controller uses the email addresses of the data subjects to send them promotional messages.
(2) If the data subjects choose to do so, it obtains the necessary consent. To this end, it processes the name, time, and status of the consent, as well as the supplementary identity confirmation by clicking on the corresponding link in the confirmation email (known as the “double opt-in” procedure). The purpose is to fulfill a legal obligation. The legal basis is Article 6(1), first sentence, letter c of the GDPR in conjunction with Article 7(1) of the GDPR.
(3) The data controller uses the email addresses to send promotional communications to the data subjects. In doing so, it processes the following data: name, email address. The legal basis is the consent of the data subjects within the meaning of Article 6(1), first sentence, subparagraph (a) of the GDPR.
The data controller uses the addresses of the data subjects to send them promotional mail. The legal basis is Article 6(1), first sentence, subparagraph (f) of the GDPR, whereby the legitimate interest arises from the contractual relationship and Recital 47 of the GDPR.
(1) The data controller uses the phone numbers of the data subjects to contact them for advertising purposes.
(2) If the data subjects so choose, the controller will obtain the necessary consent. To this end, the controller processes the name, date, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, letter c of the GDPR in conjunction with Article 7(1) of the GDPR.
(3) The data controller uses the names and phone numbers to send promotional communications to the data subjects. In doing so, it processes the following data: name, phone number. The legal basis is the consent of the data subjects within the meaning of Article 6(1), first sentence, subparagraph (a) of the GDPR.
The receivables are transferred to a factoring company, which pre-finances the invoice and then collects payment from the parties concerned. The following data is processed in this context: name, contact information, and all transactions necessary for invoicing. The processing serves to pre-finance the receivable. The legal basis is Article 6(1), first sentence, subparagraph (f) of the GDPR, whereby the legitimate interest arises from the aforementioned purpose.
The data controller transfers the personal data of data subjects to an external tax consulting firm for the purpose of tax advice and accounting support. The data processing serves solely to fulfill and support the data controller’s commercial and tax obligations with the help of external expertise. In particular, this includes the tax assessment of incoming and outgoing invoices, the review and processing of contracts, the management of open items and reminders, and the recording and processing of incoming payments. The tax consulting firm may also use this information to prepare tax returns and file them with the tax authorities. The legal basis is Article 6(1), first sentence, letter f of the GDPR, whereby the legitimate interest arises from the aforementioned purpose. To the extent that data is processed by the external tax consulting firm, this does not constitute commissioned processing (see DSK Brief 13), but rather a transfer of data, which in turn is justified by Article 6(1), first sentence, letter f of the GDPR. This therefore constitutes a case of other outsourcing.
The communication data is also processed using an AI system in the form of a so-called large language model (LLM). The process works as follows:
Specifically, this technology is used to
To summarize the communication.
To support communication.
The legal basis is Article 6(1), first sentence, subparagraph (b) of the GDPR.
The data controller organizes events, during which data processing also takes place. However, the following information should be added regarding the event:
Registration via invitations to existing contacts: The data controller uses the contact information of the data subjects that it already stores—and which it is permitted to use for these purposes pursuant to Article 5(1)(a) of the GDPR—and proactively invites these data subjects to the event. The following data is processed in this context: name, contact information. The purpose of the processing is to send invitations to the event. The legal basis is Article 6(1), first sentence, subparagraph (b) of the GDPR.
Registration via open registration: The data controller provides an open registration option for the event and records the registrations. The following data is processed in this context: name, contact information, registration status. The purpose of this processing is to facilitate registration for the event. The legal basis is Article 6(1), first sentence, subparagraph (b) of the GDPR.
Event Subject to a Fee: If the event is subject to a fee, invoices are generated, sent, and their payment status is verified. The following data is processed in this context: name, billing address, payment status. The purpose is to enforce our claim for payment, to the extent that this serves the performance of the event contract. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
Format: In-Person Event: If the event is an in-person event, entry to the event will be documented at the entrance. The following data will be processed: name, contact information, and entry status. The purpose of this processing is to conduct the event. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
Online Event Format: If the event is held online, access to the event is logged, and audio, image, and video data may be processed; however, this occurs only if the individuals concerned participate voluntarily and activate their camera or microphone. The following data is processed in this context: (1) name, contact information, access status; (2) audio, image, and video data. The processing is necessary for the conduct of the event. For data in category (1), the legal basis is Article 6(1), first sentence, letter b of the GDPR. For data in category (2), the legal basis is Article 6(1), first sentence, letter a of the GDPR. This is not precluded by the prohibition under Article 9(1) of the GDPR, as the exception under Article 9(2)(a) of the GDPR applies here.
Hybrid Event Format
If the event is an in-person event, entry to the event will be documented at the entrance. The following data will be processed for this purpose: name, contact information, and entry status. The purpose of this processing is to conduct the event. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
If the event is held online, access to the event will be documented, and audio, image, and video data may be processed; however, this will only occur if the individuals concerned participate voluntarily and activate their camera or microphone. The following data is processed in this context: (1) name, contact information, access status; (2) audio, image, and video data. The processing is necessary for the conduct of the event. For data in category (1), the legal basis is Article 6(1), first sentence, letter b of the GDPR. For data in category (2), the legal basis is Article 6(1), first sentence, letter a of the GDPR. This is not precluded by the prohibition under Article 9(1) of the GDPR, as the exception under Article 9(2)(a) of the GDPR applies here.
Media recordings during the event: The person in charge documents the event using media recordings (photos, audio, video).
To this end, it first obtains the necessary consent. In doing so, it processes the name, date, and status of the consent. The purpose is to comply with a legal obligation. The legal basis is Article 6(1), first sentence, letter c of the GDPR in conjunction with Article 7(1) of the GDPR.
If the individuals concerned consent, she takes photographs and publishes them. The following data is processed in this context: name, audio, and image data. The purpose is to present the responsible parties. The legal basis is Article 6(1), first sentence, letter a of the GDPR. This is not precluded by the prohibition under Article 9(1) of the GDPR, as the exception under Article 9(2)(a) of the GDPR applies here.
In connection with corporate reorganizations such as mergers, share deals, or asset deals, the data controller assesses whether and to what extent the processing or transfer of customers’ personal data is necessary and permissible.
(1) Merger and Share Deal:
In the case of a merger or a so-called share deal, there is no change in the data controller, since either the legal entity remains the same (merger) or only the ownership structure under corporate law changes (share deal). Customer data remains under the control of the previous data controller; and no transfer to third parties takes place. Accordingly, no legal basis under data protection law is required for such a transfer, as there is no change in the data controller. In these scenarios, customer data is simply continued to be processed within the scope of the originally agreed-upon purposes.
(2) Asset deal:
As part of an asset deal, customer data may be transferred to a new, acquiring data controller. The data controller determines whether customer data—differentiated according to the legal status of the customer relationship—may be transferred to the acquiring party. Customers with current contractual relationships or ongoing claims (e.g., existing primary performance obligations, outstanding warranty or damage claims): In such cases, the transfer of personal data to the acquirer may be necessary to safeguard the legitimate interests of both the acquirer and the affected customers. The acquirer must be able to manage, fulfill, and review existing claims, ongoing contracts, or warranty rights. Prior to the transfer, the scope and permissibility of the specific customer data required are reviewed. To the extent that a transfer of customer data to the acquirer is necessary as part of an asset deal: Article 6(1), first sentence, subparagraph (f) of the GDPR (legitimate interest of the acquirer and the affected customers in the exercise, continuation, and fulfillment of existing contractual claims and rights; the balancing of interests is conducted with particular consideration of the level of protection and the necessity of the transfer).
The data controller is offering those affected a time-limited, web-based AI challenge. As part of the challenge, participants can watch videos over the course of seven days and then chat with an AI system and answer questions.
(1) For the purposes of registration and providing access, the data controller processes, in particular, the email address, first name, login credentials, duration of access, time of account creation, and technical login and access data. Furthermore, the controller processes challenge progress and timestamps for interactions, such as whether a video was viewed, a profile was opened, or a challenge day was completed. This processing serves exclusively to facilitate and carry out participation in the AI Challenge, for authentication purposes, and to ensure the technical security and functionality of the application. To the extent that data processing is necessary for participation, the legal basis is Article 6(1), first sentence, subparagraph (b) of the GDPR. To the extent that technically necessary security and log data are processed, the legal basis is Article 6(1), first sentence, letter f of the GDPR; the legitimate interest lies in the secure and functional provision of the AI Challenge app.
(2) Participants in the AI Challenge may enter text messages and, if this feature is available, submit voice recordings. The data controller processes the user inputs, chat histories, voice recordings, transcripts, as well as the responses generated by the AI system and individual evaluations or insight profiles. The processing of this data serves exclusively to provide the chat function, content-based interaction, and individual analysis within the AI Challenge. The data collected as part of the AI Challenge is not used for advertising, remarketing, lead scoring, segmentation for advertising purposes, product improvement, or market research. The responses are generated by an AI system. The application is not intended to provide medical, psychotherapeutic, legal, or other individual professional advice. No automated decision-making, including profiling, that produces legal effects on data subjects or similarly significantly affects them takes place. The legal basis is Article 6(1), first sentence, letter b of the GDPR.
(3) Participants may submit smiley ratings on a scale of 1 to 4, as well as optional free-text comments regarding their challenge experience. This data is used exclusively for the purpose of administering and documenting participation, as well as for addressing inquiries or technical issues. It is not used for product improvement or market research. The legal basis is Article 6(1), first sentence, letter f of the GDPR, whereby the purpose follows from the aforementioned purpose.
(4) Attendance and online data—in particular, the „last active“ time and the challenge status—are processed exclusively to display the user’s own status, for the technical management of the AI Challenge, and, to the extent necessary for its conduct, to provide necessary reminders within the challenge. The legal basis is Article 6(1), first sentence, letter f of the GDPR, whereby the purpose follows from the aforementioned purpose.
Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuer- und sozialversicherungsrechtlich relevanten Dokumenten.
Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Schadenersatzklage, …).
Es werden diverse Applikationen der Amazon Web Services EMEA SARL (Luxemburg - EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
AWS Cloud
We use the „Trustpilot“ tool provided by Trustpilot A/S (EU—Denmark).
Es werden diverse Applikationen der Hubspot, Inc. (USA) eingesetzt, Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
HubSpot CRM
HubSpot Marketing Hub
HubSpot Form Builder
HubSpot Meeting Planner
Es wird der Zahlungsdienst „Paypal“ des Anbieters PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg - EU) eingesetzt. Bevor die Betroffenen diesen Zahlungsdienst nutzen, müssen sie bei dieser Drittanbieterin ein eigenes Konto erstellen. Dafür teilen sie der Drittanbieterin die hierfür erforderlichen Daten mit. Sofern sie anschließend auf Dienstleister, wie die hier Verantwortliche treffen, die eine Zahlung über diesen Zahlungsdienst akzeptieren, autorisieren sie diese Drittanbieterin, Geld an die hiesigen Verantwortliche zu überweisen. Hierbei erlangt die Drittanbieterin freilich Informationen über das Kaufverhalten der Betroffenen. Die Drittanbieterin agiert hier also nicht als eine weisungsabhängige Auftragsverarbeiterin der hiesigen Verantwortlichen, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortlichen verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie, (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen, (3) personenbezogene Daten und Kontoinformationen, die erforderlich sind, um die Transaktion durchzuführen und (4) personenbezogene Daten, die die Verantwortlichen zur Klärung von Konflikten und zur Prüfung und Prävention von Betrug benötigt. Die Informationen zu 2., zu 3. und zu 4. erhält die Verantwortliche von der Drittanbieterin.
Es wird der Zahlungsdienst „SOFORT“ der SOFORT GmbH (Deutschland - EU) eingesetzt. Sofern in der Rechtsbeziehung zwischen den Betroffenen und der hiesigen Verantwortlichen ein Zahlungsvorgang des Betroffenen ansteht, werden die Betroffenen zur Internetseite dieser Drittanbieterin weitergeleitet, wo sie ihre für das Online-Banking erforderlichen Zugangsdaten eingeben. Sodann prüft diese Drittanbieterin, ob das Konto den zu überweisenden Betrag abdeckt (Kontodeckungsprüfung) und ob etwaige Sofortüberweisungen der letzten 30 Tage von diesem Konto erfolgreich durchgeführt wurden. Nach positiver Prüfung übermittelt die Drittanbieterin den von ihnen freigegebenen Überweisungsauftrag in elektronischer Form an die Bank und informiert die hiesige Verantwortliche über die erfolgreiche Einstellung der Überweisung. Die Drittanbieterin agiert hier also nicht als weisungsabhängige Auftragsverarbeiterin, sondern als Zahlungsdienstleisterin der Betroffenen. Hierbei werden insbesondere die folgenden Daten durch die Verantwortliche verarbeitet: Information, (1) dass die Betroffenen diesen Dienst nutzen sowie, (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen. Diese Meldung umfasst nur die Daten aus dem Überweisungsformular sowie das Datum (mit Uhrzeit) und die von der hiesigen Verantwortlichen gewählte Transaktionskennung (z.B. Auftragsnummer). Bei SEPA-Überweisungen und nur sofern von der jeweiligen Bank gefordert, enthält die Bestätigung auch BIC und IBAN. Die Information zu 2. erhält die Verantwortliche von der Drittanbieterin.
Es wird der Zahlungsdienst „Stripe“ der Stripe Payments Europe, Ltd. (Irland - EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Stripe Payments Europe, Ltd. ist eine Tochtergesellschaft der in den USA ansässigen Stripe, Inc. Die Stripe Payments Europe, Ltd. unterliegen dem europäischen Datenschutzrecht. Hierbei werden insbesondere die folgenden Daten durch den Verantwortlichen verarbeitet: (1) Information, dass die Betroffenen diesen Dienst nutzen sowie, (2) dass, in welcher Höhe und zu welchem Zeitpunkt die Betroffenen zahlen, (3) personenbezogene Daten und Kontoinformationen, die erforderlich sind, um die Transaktion durchzuführen und (4) personenbezogene Daten, die der Verantwortlichen zur Klärung von Konflikten und zur Prüfung und Prävention von Betrug benötigt. Die Informationen zu 2., zu 3. und zu 4. erhält die Verantwortliche von der Drittanbieterin.
Digistore24 GmbH (EU - Germany) is used as the reseller.
Various applications from ELOPAGE GmbH (EU—Germany) are used. The following tools are used:
elopage Landing Page Builder
elopage reseller
Im Zusammenhang mit der Automatisierung wird das Schnittstellen-Tool „Zapier“ der Zapier, Inc. (USA), die nach Artikel 28 DSGVO beauftragt wurde, eingesetzt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.
Es wird die sozialen Netzwerke und Medien der Meta Platforms Ireland Limited (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Meta Platforms Inc. (USA) stattfindet. Soweit die Verantwortliche und die vorgenannte Anbieterin gemeinsam verantwortlich sind, ist die Vereinbarung hier nachzulesen: https://www.facebook.com/legal/terms/page_controller_addendum. Dort befinden sich alle Informationen zum Anwendungsbereich und zur Aufgabenverteilung. In allen übrigen Fällen wurde die vorgenannte Anbieterin nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende soziale Netzwerke, Medien und/oder Tools werden eingesetzt:
Facebook (Company Page)
Facebook (Custom Audience)
Facebook (Media Clips)
Instagram (Business Profile)
Instagram (Media Posts)
The social network „LinkedIn,“ operated by LinkedIn Ireland Unlimited Company (Ireland—EU), is used. However, it cannot be ruled out that data may be transferred to or integrated with the parent company, LinkedIn Corporation (U.S.). A data transfer to a third country (in this case, the U.S.) that cannot be ruled out is justified under Article 46 of the GDPR. The following tools are used:
LinkedIn (Company Page)
LinkedIn (Media Clippings)
Es wird das soziale Netzwerk „X“ der Twitter International Company (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der X Corp.(USA) stattfindet. Näheres zur Art und Weise der Verarbeitung bei diesem Drittanbieter ist hier beschrieben: https://twitter.com/de/privacy. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
X (Company Page)
X (Media Clips)
Es wird das soziale Netzwerk „Pinterest“ der Pinterest Europe Ltd. (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Pinterest Inc. (USA) stattfindet. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.
Pinterest (Company Page)
Pinterest (Media Clips)
Es wird das soziale Netzwerk „TikTok“, das von der TikTok Technology Limited (EU - Irland) und der TikTok Information Technologies UK Limited (Vereinigtes Königreich von England und Nordirland) gemeinschaftlich angeboten wird, eingesetzt. Aus der Datenschutzerklärung der Drittanbieterinnen geht jedoch vor, dass sie Daten auch an andere Unternehmen ihrer „Unternehmensgruppe“ weitergeben, ohne jedoch zu spezifizieren, welche Unternehmen dazugehörigen. Trotz öffentlich gegenteiliger Aussagen ist daher nicht auszuschließen, dass die Daten zu Unternehmen in den USA und/oder die Volksrepublik China, dort insbesondere an die Muttergesellschaft Beijing Bytedance Technology Ltd. (Volksrepublik China) übermittelt und dort auch verarbeitet werden. Soweit der Verantwortliche und die Drittanbieterinnen des hier vorgestellten sozialen Netzwerks bzw. Mediums gemeinsam verantwortlich sind, haben sie eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vereinbart. In allen übrigen Fällen wurde der Anbieter sozialen Netzwerks bzw. Mediums nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
TikTok (Company Page)
TikTok (media clips)
Various applications provided by Google Ireland Ltd. (Ireland – EU), which has been appointed as a processor pursuant to Article 28 of the GDPR, are used. A transfer of data to a third country (in this case, to Google LLC in the U.S.), which cannot be ruled out, is justified under Article 45 of the GDPR. The following tools are used:
Google Gemini
Google Workspace
Google Meet
YouTube (Grundsatz): YouTube ist ein Portal, auf dem Videos gezeigt werden.
YouTube (eigener Kanal): Die Verantwortliche betreibt einen eigenen YouTube-Kanal.
YouTube (Medienaufnahmen): Die Verantwortliche veröffentlicht hier Videos, die die Betroffenen zeigen.
We use the webinar and video conferencing tool „Zoom“ provided by Zoom Video Communications, Inc. (U.S.), which has been appointed as a processor in accordance with Article 28 of the GDPR. A transfer of data to a third country (in this case, the U.S.), which cannot be ruled out, is justified under Article 45 of the GDPR.
Es wird der Datenbank- und Backenddienst „Supabase“ der Supabase Pte. Ltd. (Singapur) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier Singapur) ist gemäß Artikel 46 DSGVO gerechtfertigt.
Es wird der KI-Dienst „Claude“ der Anthropic PBC (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.
Es wird das KI-gestützte Tool zur automatischen Transkription und Analyse von Audio- und Videoinhalten, insbesondere zur Sprechererkennung, Sprachverständnisanalyse und Erstellung von Transkripten, „AssemblyAI“ der AssemblyAI, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine Übermittlung von Daten in ein Drittland (hier USA) ist Artikel 45 DSGVO gerechtfertigt.
Die Betroffenen nutzen die Internetseite zunächst informatorisch, d.h. sie rufen die Internetseite auf, ohne mit ihr aktiv zu interagieren. Hierbei erhebt der Verantwortliche, soweit zur Darstellung der Internetseite technisch erforderlich, die folgenden Daten der Betroffenen: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Internetseite, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware. Zweck ist die Darstellung der Internetseite. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei sich das berechtigte Interesse aus dem zuvor genannten Zweck ergibt.
If the controller changes the manner in which data is processed—in particular, by appointing new recipients—it will inform the data subjects of the change via email by providing them with the updated privacy notice. The purpose is to fulfill the transparency obligations under the GDPR (Articles 12 through 14 of the GDPR). The legal basis is Article 6(1), first sentence, subparagraph (c) of the GDPR.
(1) If data subjects assert their rights under the GDPR or other legal provisions (including contractual claims), the controller processes the data to review these claims and, if applicable, fulfill them. The purpose is to review and respond to the claims, including fulfilling or rejecting them. The legal basis is Article 6(1)(f) of the GDPR, whereby the legitimate interest arises from the nature of the respective right being asserted.
(2) In the event of a legal dispute between the data subjects and the data controller, the data will be processed to provide the necessary information (e.g., to assert claims) and, if necessary, to seek external legal counsel. The following data will be processed in this context: name, contact information, and all matters related to the legal dispute. The processing serves to obtain external legal advice and representation, as well as to exercise the controller’s own rights. The legal basis is Article 6(1), first sentence, letter f of the GDPR, whereby the legitimate interest arises from the aforementioned purposes.
(1) Nach Ende des Vertragsverhältnisses werden alle vorgenannten Daten, die noch gespeichert werden, aufbewahrt. Insoweit Hinsichtlich der Aufbewahrung ergeben sich Zweck und Rechtsgrundlage aus der untenstehenden Auflistung der Aufbewahrungszeiträume (Absatz 2)
(2) The following retention periods apply:
Interne Aufzeichnungen, die keine Buchungsbelege sind (z.B. Jahresabschlüsse), sind 10 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
Buchungsbelege sind 8 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
Daten der geschäftlichen Kommunikation (z.B. Kundenbriefe) und sonstige steuerrelevante Unterlagen sind 6 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalender Jahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
Daten, die entstehen, wenn die Betroffenen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem die Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB) und ergänzend aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
Daten, die entstehen, wenn die Betroffenen sonstige Ansprüche gegenüber der Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadenersatzansprüche (§§ 195, 199 Absatz 1 BGB).
Daten, die auf einer Einwilligung beruhen, sind bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufzubewahren, je nachdem, was früher eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Daten, die die Erteilung der Einwilligung beweisen, sind 3 Jahre aufzubewahren, beginnend mit dem Zeitpunkt des Widerrufs der Einwilligung oder des Wegfalls des Zwecks, je nachdem, was früher eintritt. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
Die Verantwortliche setzt einen externen Webhoster ein, der die Internetseite darstellt und die dafür technisch erforderlichen Daten verarbeitet. Hierbei verarbeitet sie die folgenden Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Internetseite, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware. Zweck ist die Darstellung der Internetseite. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt.
Die Verantwortliche setzt zur beschleunigten Bereitstellung der Internetseite ein Content-Delivery-Network (kurz CDN) ein. Hierbei verarbeitet sie die folgenden Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Internetseite, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware. Zweck ist die Darstellung der Internetseite. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt.
Die Verantwortliche lässt den Betroffenen die Wahl, ob sie dem Einsatz von Cookies zustimmen und nutzt hierfür ein Cookie-Consent-Tool. Hierbei verarbeitet sie die folgenden Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, Zeitzonendifferenz zur Greenwich Mean Time (GMT), Inhalt der Anforderung (konkrete Seite), Zugriffsstatus/HTTP-Statuscode, jeweils übertragene Datenmenge, Internetseite, von der die Anforderung kommt, Browser, Betriebssystem und dessen Oberfläche, Sprache und Version der Browsersoftware, Status zur Einwilligung, Datum der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
Die Verantwortliche stellt auf der Internetseite ein Formulartool zur Verfügung. Darüber findet eine Kommunikation zwischen Betroffenen und der Verantwortlichen statt, wobei die Eingaben der Betroffenen dokumentiert und an die Verantwortlichen übermittelt werden. Hierbei werden die folgenden Daten verarbeitet: Daten über Inhalt, Art und Weise sowie Umfang der Eingaben in das jeweilige Formular. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Die Betroffenen haben die Möglichkeit die hiesige Verantwortliche sowie ihre Produkte/Dienstleistungen, von dieser Internetseite ausgehend zu bewerten. Hierbei sind drei Verarbeitungsvorgänge zu unterscheiden:
Mit Blick auf Verarbeitungsvorgang lit. a. ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO die Rechtsgrundlage, wobei das berechtigte Interesse daraus folgt, dass die hiesige Verantwortliche den Betroffenen die freiwillige, für die Vertragsgestaltung unerhebliche Möglichkeit einräumt, sie und ihre Produkte/Dienstleistungen unabhängig von seiner Einflusssphäre zu bewerten. Mit Blick auf den Verarbeitungsvorgang lit. b ist diejenige Rechtsgrundlage zu berücksichtigen, die die jeweilige Drittanbieterin des Bewertungstools den Betroffenen gegenüber benennt, denn sie ist insoweit der Verantwortliche und nicht mehr die hiesige Verantwortliche. Mit Blick auf den Verarbeitungsvorgang lit. c ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO die Rechtsgrundlage, wobei das berechtigte Interesse aus dem Interesse der Überprüfung der Bewertung folgt.
Wenn die Betroffenen einen Zugang zu den Produkten/Leistungen der hiesigen Verantwortlichen erwerben wollen, werden sie in einigen Fällen an eine sog. Wiederverkäuferin, englisch reseller, weitergeleitet, die das Produkt bei der hiesigen Verantwortlichen erwirbt und den Betroffenen weiterveräußert. Insoweit ist der reseller selbst Verantwortlicher. Die hiesige Verantwortliche verarbeitet dann sämtliche Daten, die sie vom reseller erhält, um den Vertrag zu erfüllen. Das sind die Informationen,
Die Informationen erhält der Verantwortliche vom reseller. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Die Betroffenen suchen die Internetseite auf und geben dort Erklärungen (z.B. die Betätigung von Checkboxes, Warenkorbentscheidungen) ab. Zur Bestätigung der Erklärung fordert die Verantwortliche die Betroffenen auf, die Erklärung digital zu unterzeichnen. Dies geschieht beispielsweise per Mausbewegung oder digitalem Stift auf einer digitalen Signaturzeile. Hierbei werden die folgenden Daten verarbeitet: Inhalt der Willenserklärung, Signaturbild. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Die Betroffenen suchen die Internetseite auf und geben dort Erklärungen (z.B. die Betätigung von Checkboxes, Warenkorbentscheidungen) ab, die auf den Abschluss eines kostenpflichtigen Vertrages abzielen. Die Verantwortliche stellt insoweit die Möglichkeit der online-Zahlung zur Verfügung. Dafür werden die Betroffenen zu einer externen Zahlungsanbieterin geleitet, die den Zahlungsauftrag entgegennimmt, ihn ausführt und der Verantwortlichen die Bestätigung schickt, dass die Zahlung vollzogen wurde. Hierbei werden die folgenden Daten verarbeitet: Zahlungsstatus. Zweck ist die Anbahnung und/oder Durchführung von Verträgen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Die Verantwortliche nimmt auf der Internetseite Daten entgegen, die sie zur automatisierten Kommunikation verarbeitet; sowohl in (1) vertraglicher als in (2) werblicher Hinsicht. Hierbei verarbeitet sie folgende Daten. Name, E-Mail-Adressen, tags (die auf bestimmte Eigenschaften, z.B. Bestandskund*innen, Interessent*innen usw.) schließen lassen, Kommunikationsdaten, Informationen zum Leseverhalten (Zeitpunkt der Öffnung der E-Mail, Status der Reaktion). Zweck (1) ist Anbahnung und/oder Durchführung von Verträgen und Zweck (2) werbliche Ansprache, Direktmarketing. Die Rechtsgrundlage für Zweck (1) ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO. Die Rechtsgrundlage für Zweck (2) ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck (2) folgt.
Die Verantwortliche empfiehlt den Betroffenen, die ihre Internetseite besuchen, Produkte und/oder Dienstleistungen von Dritten. Sofern die Betroffenen über eine Verlinkung, Plugin oder sonstige Weiterleitung zu einem empfohlenen Händler*innen und/oder Dienstleister*innen weitergeleitet werden, verarbeitet die Verantwortliche diese Information und erhält auf dieser Grundlage ggf. eine Provision von den empfohlenen Händler*innen und/oder Dienstleister*innen. Für die Bereitstellung der Werbeanzeigen werden statistische Informationen über die Betroffenen erfasst. Dazu zählen alle Daten, die ohnehin im Rahmen der informatorischen Nutzung erhoben werden (siehe oben) sowie ggf. der Weiterleitungsstatus. Zweck ist die Akquise sowie die Provisionierung von Affiliates. Rechtsgrundlage istArtikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem vorgenannten Zweck folgt.
Externe Empfehlungsgeber (sog. Affiliates) empfehlen die Produkte und/oder Dienstleistungen der Verantwortlichen. Dafür schalten sie im Rahmen ihrer eigenen Online-Auftritte (Social-Media-Profile, Internetseiten …) Werbeanzeigen oder Verlinkungen, die direkt auf die Internetseite der hiesigen Verantwortlichen führen. Die Verantwortliche verknüpft diese Zuordnung (Weiterleitung durch Empfehlung) ggf. mit dem Status über einen Vertragsschluss mit den Betroffenen, um den Affiliates ggf. eine Provision auskehren zu können. Dabei werden die folgenden Daten verarbeitet: Weiterleitungsstatus, Vertragsstatus, Verknüpfung mit der Identität der Affiliates. Zweck ist die Berechnung und Prüfung von Provisionen für Empfehlungen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem vorgenannten Zweck folgt.
Zur Analyse des Nutzerverhaltens der Betroffenen auf dieser Internetseite werden sog. Cookies eingesetzt. Das sind Textdateien, die auf dem Rechner der Betroffenen gespeichert werden und die eine Analyse der Benutzung der Internetseite ermöglichen. Aus den Informationen über das Nutzungsverhalten entstehen Berichte über die Aktivitäten und Interaktionen. Die hiesige Verantwortliche nutzt diese Daten, um das Nutzungserlebnis auf der Internetseite regelmäßig verbessern zu können. Über die gewonnenen Statistiken kann sie auch ihr Angebot verbessern, um das Interesse der Betroffenen zielgerichteter auf für sie passende Produkte und Leistungen zu lenken. Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Dabei werden die folgenden Daten verarbeitet: cookie-basierte Daten über die Interaktionen (ins. Reihenfolge der Interaktionen, Verweildauer). Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Zweck sind die Optimierung dieser Internetseite sowie die verbesserte, werbliche Ansprache der Betroffenen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Die Verantwortliche setzt soziale Medien und soziale Netzwerke ein. Sie hat weder Einfluss auf die erhobenen Daten und Datenverarbeitungsvorgänge noch sind ihr der volle Umfang der Datenerhebung, die Zwecke der Verarbeitung, die Speicherfristen und der Umstände der Löschung personenbezogener Daten vollends bekannt. Wenn die Betroffenen die Unternehmens- und Produktseiten der Verantwortlichen in den sozialen Medien oder Anzeigen (sog. Ads) aufsuchen, besteht die Möglichkeit, dass die Anbieter der sozialen Medien und Netzwerke die über sie erhobenen Daten als Nutzungsprofile speichern und diese für Zwecke der Werbung, Marktforschung und/oder bedarfsgerechten Gestaltung ihrer Internetseiten nutzen. Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Zur Verantwortlichkeit bzgl. dieser Datenverarbeitung gilt folgendes: Soweit die Verantwortliche die Besucherinteraktionen mit ihrer Unternehmensseite analysiert, sind sowohl sie als auch die jeweilige Drittanbieterin des sozialen Netzwerks oder Mediums datenschutzrechtlich gemeinsam verantwortlich; dies gemäß Artikel 26 DSGVO. In allen anderen Fällen wird die jeweilige Drittanbieterin des sozialen Netzwerks oder Mediums gemäß Artikel 28 DSGVO beauftragt. Hierbei werden die folgenden Daten verarbeitet: cookie- bzw. pixelbasierte Daten über die Interaktionen mit der Internetseite sowie den Unternehmens- und/oder Produktseiten der Verantwortlichen, ggf. die E-Mail-Adresse, der Name und die Kommunikationsdaten. Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Zweck ist Präsentation der Verantwortlichen.. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Auf der Internetseite sind Plugins eines Videoportals eingebunden. Bei jedem Aufruf einer Seite, die ein oder mehrere Videoclips anbietet, wird eine direkte Verbindung zwischen dem Browser der Betroffenen und einem Server des Videoportals hergestellt. Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Hierbei werden die folgenden Daten verarbeitet: cookie-basierte Daten, die folgende Informationen transportieren: (1) Information, dass die Betroffenen diese Internetseite (ggf. auch die konkrete Unterseite) besucht haben, (2) Information, dass ein bestimmtes Video angeklickt wurde. Weitere Details befinden sich unten bei den Angaben zu den Drittanbietern. Zweck sind Darstellung von Videos, die Optimierung dieser Internetseite und die verbesserte, werbliche Ansprache der Betroffenen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Die Verantwortliche schaltet in sozialen Medien, wie Suchmaschinen, oder in sozialen Netzwerken Anzeigen, sog. Ads. Diese Anzeigen werden den Betroffenen ausgespielt, nachdem sie die Internetseite der Verantwortlichen besucht haben und bei ihnen ein Cookie gesetzt wurde, der sie wieder identifiziert, sog. Remarketing. Hierbei werden folgende Daten verarbeitet: cookie- bzw. pixelbasierte Daten über die Interaktionen mit der Internetseite sowie den Unternehmens- und/oder Produktseiten der Verantwortlichen. Zweck der Verarbeitung ist die Präsentation der Verantwortlichen sowie die werbliche Ansprache. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
(1) Die Verantwortliche ermöglicht den Betroffenen, sich auf der Internetseite für einen Newsletter anzumelden.
(2) Zunächst erfragt sie die Einwilligung dafür und dokumentiert die Antwort. Zur Einholung der Einwilligung bedient sich die Verantwortliche des sog. Double-Opt-In-Verfahrens. Das heißt, dass sie die Betroffenen nach ihrer Newsletter-Anmeldung eine E-Mail an die angegebene E-Mail-Adresse sendet, in welcher sie sie um Bestätigung ihrer Einwilligung bittet. Wenn sie ihre Anmeldung nach einer vorab definierten Wartezeit nicht bestätigen, werden ihre Informationen gesperrt und nach einer einer weiteren Wartezeit automatisch gelöscht. Darüber hinaus speichert die Verantwortliche jeweils ihre eingesetzten IP-Adressen und Zeitpunkte der Anmeldung und Bestätigung. Hierbei werden also folgende Daten verarbeitet: Name, Status zur Einwilligung, Datum der Entscheidung, IP-Adresse. Zweck ist die Erfüllung einer gesetzlichen Pflicht nach Artikel 7 Absatz 1 DSGVO. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO.
(3) Falls die Einwilligung erteilt wird, nutzt die Verantwortliche die E-Mail-Adressen der Betroffenen, um diese werblich anzusprechen. Hierbei werden also folgende Daten verarbeitet: Name, E-Mail-Adresse. Zweck ist werbliche Ansprache bzw. Direktmarketing. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Es besteht die Möglichkeit, dass die Betroffenen Eingaben machen, die mithilfe einer Anwendung verarbeitete werden, die menschliche Fähigkeiten, wie logisches Denken, Lernen, Planen oder Kreativität imitieren. Hierbei werden die Eingabedaten über Eingabefelder und sonstige Interaktionsformen erhoben und über eine Schnittstelle an eine externe Anwendung übermittelt, die diese Daten erfasst und mithilfe von künstlicher Intelligenz so verarbeitet, dass mit den Betroffenen interagiert wird. Hierbei werden aus der Interaktion Erkenntnisse gewonnen, die einerseits das KI-System trainieren und andererseits sowohl der Verantwortlichen als auch dem Betreiber des KI-Systems zur Verfügung stehen. Zweck ist die zielgerichtete und stets verfügbare Kommunikation mit den Betroffenen. Hierbei werden folgende Daten verarbeitet: Eingabedaten, Erkenntnisse aus den Eingaben. Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem vorgenannten Zweck folgt.
Auf dieser Internetseite wird eine Karte angezeigt, die den Betroffenen eine Wegbeschreibung zeigt. Sobald die Betroffenen auf die entsprechende Seite gelangen, werden die gleich noch zu nennenden Daten sowohl an die hiesigen Verantwortlichen als auch an die jeweilige externe Drittanbieterin des Kartendienstes übermittelt. Die Karte wird nur angezeigt, wenn eine Einwilligung vorab erteilt wurde. Hierbei werden folgende Daten verarbeitet: (1) Daten über die Benutzung dieser Website, (2) IP-Adresse und ggf. (2) Daten über die zur Routenplanung eingegebene Adresse. Rechtsgrundlage ist die Einwilligung der Betroffenen (Artikel 6 Absatz 1 Satz 1 lit. a DSGVO).
Im Zusammenhang mit der Internetseite wird auf externe Verzeichnisse zu Schriftarten zugegriffen. Hierbei werden Daten an externe Drittanbieterinnen übermittelt, die diese nutzen, um Ergebnisse und Erfolge von bestimmten Schrifttypen zu ermitteln, um diese als ihr eigenes Angebot zu optimieren. In concreto geschieht folgendes: Sobald die Betroffenen die hiesige Internetseite besuchen, senden ihre Browser HTTP-Anfragen an die jeweilige, externe Drittanbieterin der Schriftarten. Die hierbei u.a. angeforderte URL identifiziert die Schriftfamilien. Diese Daten werden protokolliert, damit die jeweilige externe Drittanbieterin bestimmen kann, wie oft eine bestimmte Schriftfamilie angefordert wird. Ferner wird die Schriftart an den jeweiligen Browsertyp angepasst, was wiederum die Erhebung und Speicherung der Daten zum Browsertyp erfordert. Hieraus entstehen auch Statistiken, die wiederum zur Optimierung der Schriftarten verwendet werden. Schließlich wird die Verweis-URL protokolliert, sodass die Daten für die Wartung der Produktion verwendet und ein aggregierter Bericht zu den Top-Integrationen basierend auf der Anzahl der Schriftartenanfragen generiert werden kann. Die Dauer der Speicherung hängt vom jeweiligen Anbieter ab. Hierbei werden die folgenden Daten verarbeitet: cookie-basierte Daten über die Interaktionen (ins. Reihenfolge der Interaktionen, Verweildauer). Diese Daten werden verarbeitet, um aggregierte Nutzungsstatistiken zu generieren, mit denen die Beliebtheit von Schriftfamilien gemessen wird. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuer- und sozialversicherungsrechtlich relevanten Dokumenten.
Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Schadenersatzklage, …).
Es werden Anwendungen der Amazon Web Services EMEA SARL (EU - Luxemburg) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
AWS (Webhosting)
AWS (cloudfront)
Im Zusammenhang mit der Analyse des Nutzungsverhaltens wird das Analyse-Tool „Mouseflow“ der Mouseflow, ApS (Dänemark - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde.
Es wird das Tool zur Optimierung digitaler Angebote, insbesondere für A/B- und multivariate Tests, Webanalyse, Heatmaps, Session Recordings und Umfragen, „VWO“ der Wingify Software Private Limited (Indien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine Übermittlung von Daten in ein Drittland (USA, Indien) ist gemäß Artikel 46 DSGVO gerechtfertigt.
Es wird das Tool zur Conversion-Optimierung und Personalisierung von Websites, insbesondere für Pop-ups, Informationsleisten, Overlays, Lead-Erhebung und KI-gestützte Varianten- bzw. Inhaltsoptimierung, „OptiMonk“ der Optimonk International Zártkörűen Működő Részvénytársaság (EU – Ungarn) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde.
Es wird das Tool zur Sammlung, Verwaltung und Darstellung von Kundenbewertungen sowie zur Versendung von Einladungen zur Bewertungsabgabe „Trustindex for Business“ der Trustindex Ltd (EU – Ungarn) eingesetzt.
Es wird der Webhostingdienst „webflow“ der Webflow, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.
Es wird das Content-Delivery-Network (CDN) „Cloudflare“ der Cloudflare, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt.
Es wird das Cookie-Consent-Tool „cookiebot“ der Usercentrics GmbH, (Deutschland - EU) eingesetzt.
Es werden Anwendungen der Google Ireland Ltd. (Irland - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Google LLC in den USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Anwendungen werden eingesetzt:
Google Analytics: Google Analytics hilft bei der Analyse des Nutzungsverhaltens auf der Internetseite. Die IP-Adresse wird durch die Drittanbieterin innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server der Drittanbieterin in den USA übertragen und dort gekürzt. Die im Rahmen des Einsatzes dieses Tools vom Browser übermittelte IP-Adresse wird nicht mit anderen Daten durch die Drittanbieterin zusammengeführt. Das Tool wird zudem für eine geräteübergreifende Analyse von Besucher*innenströmen eingesetzt, die über eine User-ID durchgeführt wird.
Google Tagmanager: Durch dieses Tool kann die Verantwortliche verschiedene Codes und Dienste geordnet und vereinfacht auf dieser Internetseite einbinden. Dieses Tool implementiert dabei die tags bzw. löst die damit eingebundenen tags aus. Beim Auslösen eines tags verarbeitet die Dritanbieterin unter Umständen auch personenbezogene Daten.
Google Doubleclick: DoubleClick setzt Cookies ein, um für die Betroffenen relevante Anzeigen zu schalten, die Berichte zur Kampagnenleistung zu verbessern oder um zu vermeiden, dass die Betroffenen die gleichen Anzeigen mehrmals sehen. Über eine Cookie-ID erfasst die Drittanbieterin, welche Anzeigen in welchem Browser geschaltet werden und kann so verhindern, dass diese mehrfach geschaltet werden. Darüber hinaus kann DoubleClick mithilfe von Cookie-IDs sog. Conversions erfassen, die Bezug zu Anzeigenanfragen haben. Das ist etwa der Fall, wenn die Betroffenen eine DoubleClick-Anzeige sehen und später mit demselben Browser die Internetseite der hiesigen Verantwortlichen aufrufen und dort etwas kaufen. Aufgrund der eingesetzten Marketing-Tools baut der Browser automatisch und direkt eine Verbindung mit dem Server der Drittanbieterin auf. Durch die Einbindung von DoubleClick erhält die Drittanbieterin die Information, dass die Betroffenen den entsprechenden Teil des hiesigen Internetauftritts aufgerufen oder die Anzeige der Verantwortlichen angeklickt haben. Sofern die Betroffenen bei einem Dienst der Drittanbieterin registriert sind, kann sie den Besuch dem jeweiligen Account der Betroffenen zuordnen. Selbst wenn die Betroffenen nicht bei der Drittanbieterin registriert sind bzw. sich nicht eingeloggt haben, besteht die Möglichkeit, dass die Drittanbieterin deren IP-Adresse in Erfahrung bringt und speichert.
Google Ads / Google Remarketing: Hierzu sei folgendes angemerkt: Wenn die Betroffenen mit der Verantwortlichen online in Interaktion treten, etwa diese Internetseite besuchen, können sie per Cookies (sog. Ad Server Cookies) als geeignete Empfänger von Werbeanzeigen, sog. „Ads“ gekennzeichnet werden. Außerdem kann mithilfe dieser Cookies der Erfolg einer Kampagne gemessen und bewertet werden. Wenn die Betroffenen dann das soziale Medium der hiesigen Drittanbieterin, etwa ihre Suchmaschine, aufsuchen, werden sie erkannt und ihnen werden die „Ads“ der hiesigen Verantwortlichen angezeigt („Remarketing“). Dies geschieht, in dem der jeweilige Browser der Betroffenen automatisch eine direkte Verbindung mit dem Server der hiesigen Drittanbieterin aufbaut. Die Auslieferung der „Ads“ erfolgt dann über sog. Google Ad Server. Die hierfür eingesetzten Ad Server Cookies verlieren in der Regel nach 30 Tagen ihre Gültigkeit und sollen nicht dazu dienen, die Betroffenen persönlich zu identifizieren. Zu diesem Cookie werden in der Regel als Analyse-Werte die Unique Cookie-ID, Anzahl Ad Impressions pro Platzierung (Frequency), letzte Impression (relevant für Post-View-Conversions) sowie Opt-out-Informationen (Markierung, dass der Nutzer nicht mehr angesprochen werden möchte) gespeichert. Die Betroffenen können das Tracking erschweren und verhindern, etwa (a) durch entsprechende Einstellungen ihrer Browser-Software (insbesondere führt die Unterdrückung von Drittcookies dazu, dass sie keine Anzeigen von Drittanbieterinnen erhalten) oder (b) durch Deaktivierung der Cookies für das Conversion-Tracking, indem sie ihren Browser so einstellen, dass Cookies von der Domain der hiesigen Drittanbieterin“ blockiert werden, wobei diese Einstellung gelöscht werden, wenn die Betroffenen die Cookies löschen. Der Zweck besteht darin, die Verantwortlichen zu präsentieren, das Nutzungsverhaltens in Bezug auf die Interaktion mit dieser Internetseite zu analysieren sowie über das hier vorgestellte soziale Medium (ggf. werblich) mit den Betroffenen zu kommunizieren.
Google Maps: Google Maps ist ein Kartendarstellungstool. Welche konkreten Daten im Einzelnen übertragen werden, hängt u.a. davon ab, ob die Betroffenen diese Internetseite als eingeloggte Nutzer eines Google-Accounts nutzen oder nicht.
Es wird das Videowiedergabe-Tool „Vimeo“ der Vimeo, LLC (USA) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Hierbei wird folgendes eingesetzt:
Vimeo (Medienaufnahmen)
Vimeo (Plugin)
Vimeo (eigener Kanal)
Es werden diverse Applikationen der Hubspot, Inc. (USA) eingesetzt, Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
HubSpot CRM
HubSpot Marketing Hub
HubSpot Form Builder
HubSpot Meeting Planner
Hubspot static
Hubspot Analytics
Es wird die sozialen Netzwerke und Medien der Meta Platforms Ireland Limited (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Meta Platforms Inc. (USA) stattfindet. Soweit die Verantwortliche und die vorgenannte Anbieterin gemeinsam verantwortlich sind, ist die Vereinbarung hier nachzulesen: https://www.facebook.com/legal/terms/page_controller_addendum. Dort befinden sich alle Informationen zum Anwendungsbereich und zur Aufgabenverteilung. In allen übrigen Fällen wurde die vorgenannte Anbieterin nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Meta Plattforms Inc. USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende soziale Netzwerke, Medien und/oder Tools werden eingesetzt:
Facebook (Company Page)
Facebook (Custom Audience)
Facebook (Plugin)
Facebook (Pixel)
Instagram (Business Profile)
Instagram (Plugin)
Instagram (Pixel)
The social network „LinkedIn,“ operated by LinkedIn Ireland Unlimited Company (Ireland—EU), is used. However, it cannot be ruled out that data may be transferred to or integrated with the parent company, LinkedIn Corporation (U.S.). A data transfer to a third country (in this case, the U.S.) that cannot be ruled out is justified under Article 46 of the GDPR. The following tools are used:
LinkedIn (Company Page)
LinkedIn (Plugin)
Es wird das soziale Netzwerk „X“ der Twitter International Company (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der X Corp.(USA) stattfindet. Näheres zur Art und Weise der Verarbeitung bei diesem Drittanbieter ist hier beschrieben: https://twitter.com/de/privacy. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
X (Company Page)
X (Plugin)
Es wird das soziale Netzwerk „Pinterest“ der Pinterest Europe Ltd. (Irland - EU) eingesetzt. Es ist jedoch nicht auszuschließen, dass eine Datenübermittlung zur oder eine Einbindung der Muttergesellschaft, der Pinterest Inc. (USA) stattfindet. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.
Pinterest (Company Page)
Pinterest (Plugin)
Es wird das soziale Netzwerk „TikTok“, das von der TikTok Technology Limited (EU - Irland) und der TikTok Information Technologies UK Limited (Vereinigtes Königreich von England und Nordirland) gemeinschaftlich angeboten wird, eingesetzt. Aus der Datenschutzerklärung der Drittanbieterinnen geht jedoch vor, dass sie Daten auch an andere Unternehmen ihrer „Unternehmensgruppe“ weitergeben, ohne jedoch zu spezifizieren, welche Unternehmen dazugehörigen. Trotz öffentlich gegenteiliger Aussagen ist daher nicht auszuschließen, dass die Daten zu Unternehmen in den USA und/oder die Volksrepublik China, dort insbesondere an die Muttergesellschaft Beijing Bytedance Technology Ltd. (Volksrepublik China) übermittelt und dort auch verarbeitet werden. Soweit der Verantwortliche und die Drittanbieterinnen des hier vorgestellten sozialen Netzwerks bzw. Mediums gemeinsam verantwortlich sind, haben sie eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vereinbart. In allen übrigen Fällen wurde der Anbieter sozialen Netzwerks bzw. Mediums nach Artikel 28 DSGVO beauftragt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:
TikTok (Company Page)
TikTok (Plugin)
TikTok (Pixel)
