ENTWURF — juristisch prüfen lassen
Datenschutzerklärung
1. Verantwortlicher und Datenschutzkontakt
t-next GmbH, Gesellschaft mit beschränkter Haftung (GmbH), Heidenkampsweg 58 20097 Hamburg Deutschland. Vertreten durch: Geschäftsführer: Dennis Timotin und Wladimir Ruwinski. Datenschutzkontakt: t-next GmbH, Heidenkampsweg 58, 20097 Hamburg; info@t-next.de. Datenschutzbeauftragte Person, soweit erforderlich: Es ist derzeit keine datenschutzbeauftragte Person benannt. Datenschutzanfragen richten Sie bitte an den oben genannten Kontakt. TODO_ASSESS_DPO_APPOINTMENT_DUTY.
2. Aufruf der Website, Hosting und Protokolle
Die Website wird laut Bereitstellungskonfiguration über Cloudflare Workers ausgeliefert. Beim Abruf werden die für die HTTP-Verbindung erforderlichen Verbindungs- und Anfragedaten verarbeitet. Anbieter und weitere Empfänger: Cloudflare; die veröffentlichte Datenschutzerklärung nennt Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Weitere Dienstleister: https://www.cloudflare.com/gdpr/subprocessors/. TODO_VERIFY_CLOUDFLARE_CONTRACTING_ENTITY. Verarbeitungsorte: Cloudflare betreibt ein weltweit verteiltes Netzwerk. TODO_VERIFY_CLOUDFLARE_DEPLOYMENT_LOCATIONS. Tatsächliche Protokollierung und Zwecke: Verbindungsdaten dienen der Auslieferung der angeforderten Inhalte. Welche Zugriffs-, Fehler- und Sicherheitsdaten darüber hinaus gespeichert werden, ist anhand der produktiven Einstellungen zu prüfen: TODO_VERIFY_HOSTING_LOG_FIELDS. Rechtsgrundlage und gegebenenfalls berechtigte Interessen: Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung einer erreichbaren Website, der sicheren Übertragung und der Abwehr von Missbrauch und technischen Angriffen. Speicher- und Löschfristen: TODO_VERIFY_HOSTING_LOG_AND_BACKUP_RETENTION.
3. Anmeldung, Registrierung und Sitzungsverwaltung
Die Website enthält Links zur Registrierung und Anmeldung. Die gemeinsame Anwendung bindet Convex und Better Auth zur Sitzungsverwaltung ein; bestehende Anmeldesitzungen können auch beim Besuch öffentlicher Seiten geprüft werden. Bei der Kontonutzung werden insbesondere eingegebene Kontaktdaten und Authentifizierungsdaten verarbeitet. Anbieter und weitere Empfänger: Convex, Inc., 444 DeHaro Street, Suite 218, San Francisco, CA 94107, USA. Convex stellt die Datenbank und Backend-Dienste bereit, einschließlich der Anbindung von Better Auth. Die veröffentlichte Unterauftragnehmerliste ist unter https://www.convex.dev/legal/subprocessors abrufbar. Verarbeitungsorte: Vereinigte Staaten von Amerika (USA). Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO für die Einrichtung und Nutzung eines eigenen Vertragskontos. Bei Mitarbeitenden eines Kunden erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse und das des Kunden bestehen in einer sicheren, berechtigten Nutzung des Kundenkontos. Soweit wir dabei im Auftrag des Kunden handeln, gelten dessen Weisungen und die Vereinbarung zur Auftragsverarbeitung. Authentifizierungs-Cookies: Sitzungs-Cookies dienen der Anmeldung und dem Schutz des Kontozugangs. Für technisch notwendige Zugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG. In der installierten Better-Auth-Version beträgt die Standardlaufzeit des Sitzungstokens sieben Tage; die Konfiguration verlangt sichere Cookies. In der SPA-/Native-Variante kann ein Sitzungstoken unter trackit.better-auth.session im lokalen Speicher liegen. TODO_VERIFY_RUNTIME_COOKIE_INVENTORY_AND_LIFETIMES. Speicherdauer: Einmalcodes für die E-Mail-Verifizierung sind zehn Minuten gültig. Diese Gültigkeit ist keine Zusage über die physische Löschung gespeicherter Datensätze. Für operative Kontodaten und zugehörige Sicherungen ist eine Löschung sieben Tage nach Ende des Zugangs vorgesehen. TODO_VERIFY_ACCOUNT_TOKEN_AND_BACKUP_DELETION. E-Mail-Versand zur Authentifizierung: Für Verifizierungs- und Passwort-E-Mails wird Resend (Plus Five Five, Inc.) eingesetzt. Übermittelt werden Empfängeradresse und Nachrichteninhalt einschließlich Verifizierungscode beziehungsweise Rücksetzlink. Die veröffentlichte DPA enthält Standardvertragsklauseln; die Unterauftragnehmerliste nennt Verarbeitungen in den USA: https://resend.com/legal/dpa und https://resend.com/legal/subprocessors. TODO_VERIFY_RESEND_CONTRACT_ADDRESS_RETENTION_AND_TRANSFER_SAFEGUARDS. Anmeldung mit Google: Sie können sich über Google anmelden. Dabei werden die Google-Konto-ID, Name, E-Mail-Adresse, Profilbild und der Status der E-Mail-Verifizierung verarbeitet; die Anmeldung fordert die Berechtigungen openid, email und profile an. Ein Zugriff auf Ihr Gmail-Postfach wird dadurch nicht angefordert. Für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, der in Googles Datenschutzhinweisen benannte Anbieter. Google beschreibt seine Verarbeitung einschließlich internationaler Übermittlungen unter https://policies.google.com/privacy?hl=de. TODO_VERIFY_GOOGLE_OAUTH_PRODUCTION_CONFIGURATION_AND_TOKEN_RETENTION.
4. Lokale Einstellungen und Endgerätespeicher
Die Farbdarstellung des Landings wird unter chatsupport-landing-theme im localStorage gespeichert. Die gemeinsame Anwendung verwendet chatsupport-appearance für die Darstellung und i18nextLng für die Sprache. Die Landing-Sprache steht außerdem im URL-Parameter lang. Die Speicherzugriffe sind von den Authentifizierungs-Cookies zu unterscheiden. Rechtsgrundlagen nach DSGVO und § 25 TDDDG: Die Speicherung dient dazu, die gewählte Sprache und Darstellung beim nächsten Besuch wiederherzustellen. Soweit personenbezogene Daten betroffen sind, liegt unser berechtigtes Interesse gemäß Art. 6 Abs. 1 Buchst. f DSGVO in einer konsistenten Bedienung. Die Zulässigkeit des Endgerätezugriffs ist gesondert nach § 25 TDDDG zu beurteilen; insbesondere wird die Sprache derzeit auch automatisch zwischengespeichert. TODO_VERIFY_PREFERENCE_STORAGE_NECESSITY_OR_CONSENT. Speicherdauer und Löschung: Die lokalen Einstellungen für Sprache und Darstellung (i18nextLng, chatsupport-appearance und chatsupport-landing-theme) haben im Anwendungscode kein festgelegtes Ablaufdatum. Sie bleiben im jeweiligen Browser gespeichert, bis sie überschrieben oder durch die Nutzerin, den Nutzer oder den Browser gelöscht werden. Sie können über die Website-Datenverwaltung des Browsers entfernt werden; anschließend gelten wieder die Standardeinstellungen.
5. Interaktive Demonstration, Schriftarten und Analyse
Die Demo enthält Beispieldialoge. Eingaben und Demo-Antworten werden im React-Zustand dieser Seite gehalten; der Demo-Sendeknopf versendet keine Kundennachricht. Die eingebundenen Schriftdateien und Markenbilder werden von dieser Website geladen. Im Landing-Code sind kein Newsletterformular und kein Besucheranalyse- oder Werbetracking-Skript eingebunden. Einstellungen außerhalb des Repositorys sind vor Veröffentlichung abzugleichen: TODO_CONFIRM_RUNTIME_LOGGING_ANALYTICS_AND_EXTERNAL_SERVICES_MATCH_CODE_AUDIT.
6. Kontaktaufnahme
Bei einer Kontaktaufnahme über die im Impressum genannten Kontaktdaten werden die von Ihnen übermittelten Daten zur Bearbeitung Ihrer Anfrage verarbeitet. Einzelheiten: Wir verarbeiten Absender- und Kontaktdaten, Nachrichteninhalt und gegebenenfalls Anlagen zur Beantwortung und Bearbeitung des Anliegens. Bei Anfragen zu einem eigenen Vertrag gilt Art. 6 Abs. 1 Buchst. b DSGVO, im Übrigen Art. 6 Abs. 1 Buchst. f DSGVO mit dem berechtigten Interesse an geschäftlicher Kommunikation. Die Unternehmenspost wird über Microsoft abgewickelt. Korrespondenz wird nur so lange aufbewahrt, wie sie für das Anliegen, gesetzliche Pflichten oder die Geltendmachung beziehungsweise Abwehr von Ansprüchen erforderlich ist. TODO_VERIFY_MICROSOFT_PRODUCT_ENTITY_REGION_DPA_AND_RETENTION_SCHEDULE.
6a. Zahlungsabwicklung
Für die vereinbarte Zahlungsabwicklung ist Stripe vorgesehen. Dabei werden Kontaktdaten, Rechnungsangaben, Zahlungsdaten und Transaktionsinformationen zur Durchführung und Zuordnung der Zahlung verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für eigene Verträge und Art. 6 Abs. 1 Buchst. c DSGVO für gesetzliche Aufbewahrungspflichten; bei Ansprechpartnern eines Unternehmenskunden kommt Art. 6 Abs. 1 Buchst. f DSGVO für die Abwicklung des Geschäftsverhältnisses hinzu. Stripe verarbeitet Daten abhängig vom Dienst als Auftragsverarbeiter oder eigenständig Verantwortlicher, unter anderem zur Betrugsabwehr und zur Erfüllung gesetzlicher Pflichten. Weitere Hinweise: https://stripe.com/de/privacy. TODO_VERIFY_STRIPE_ENTITY_IMPLEMENTATION_RETENTION_AND_TRANSFERS
7. Daten aus anderen Quellen (Art. 14 DSGVO)
Bei einer Google-Anmeldung erhalten wir die oben genannten Profildaten von Google. Werden Beschäftigte durch ein Kundenunternehmen eingeladen oder einem Konto zugeordnet, können Name, geschäftliche E-Mail-Adresse, Rolle und Kontozuordnung vom Kunden stammen. Soweit t-next diese Daten eigenverantwortlich verarbeitet, sind die Betroffenen entsprechend Art. 14 DSGVO zu informieren. Für Inhalte, die Kunden im Rahmen der Auftragsverarbeitung übermitteln, obliegt die Information grundsätzlich dem jeweiligen Verantwortlichen. TODO_VERIFY_ART14_NOTICE_DELIVERY_AND_COMPLETE_SOURCE_INVENTORY
8. Übermittlungen in Drittländer
Hosting: Cloudflare veröffentlicht eine Vereinbarung zur Auftragsverarbeitung einschließlich Regelungen zu internationalen Übermittlungen und Standardvertragsklauseln unter https://www.cloudflare.com/cloudflare-customer-dpa/. Informationen und eine Kopie der einschlägigen Garantien können über unseren Datenschutzkontakt angefragt werden. TODO_VERIFY_EXECUTED_CLOUDFLARE_DPA_AND_TRANSFER_ASSESSMENT. Authentifizierung: Convex verarbeitet Daten in der vom Betreiber gewählten US-Region. Die veröffentlichte Vereinbarung unter https://www.convex.dev/legal/dpa enthält Standardvertragsklauseln für einschlägige Übermittlungen. Eine Kopie der anwendbaren Garantien kann über unseren Datenschutzkontakt angefragt werden. TODO_VERIFY_EXECUTED_CONVEX_DPA_AND_TRANSFER_ASSESSMENT. Die Angaben müssen die eingesetzten Garantien oder einschlägigen Angemessenheitsbeschlüsse und den Zugang zu einer Kopie der Garantien beschreiben.
9. Bereitstellung von Daten und automatisierte Entscheidungen
Zum Lesen der öffentlichen Website und zur Nutzung der Landing-Demo ist keine Registrierung erforderlich. Soweit die E-Mail-Registrierung freigeschaltet ist, verlangt das Formular Name, E-Mail-Adresse und Passwort; die E-Mail-Adresse muss bestätigt werden. Ohne diese Angaben kann über dieses Formular kein Konto erstellt werden. Die Kontaktaufnahme per E-Mail ist freiwillig. Ohne ausreichende Angaben zum Anliegen und eine erreichbare Antwortadresse kann eine individuelle Anfrage unter Umständen nicht beantwortet werden. Die Landing-Demo trifft keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Diese Erklärung beschreibt die öffentliche Website und die angebundene Kontoverwaltung; zusätzliche Datenverarbeitungen innerhalb eines Kunden-Workspaces sind gesondert im Vertrags- und Datenschutzumfang zu berücksichtigen.
10. Ihre Rechte
Sie können nach Ma��gabe der gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Beruht eine Verarbeitung auf einer Einwilligung, können Sie diese mit Wirkung für die Zukunft widerrufen. Bei einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung ist ein Widerspruch jederzeit möglich. Wenden Sie sich dafür an den oben genannten Datenschutzkontakt.
11. Beschwerderecht
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für den Betreiber zuständige Behörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg; https://datenschutz-hamburg.de/.
12. Stand der Erklärung
TODO_OPERATOR_REVIEW_DATE