Datenschutzerklärung

Was das Vermittler-Portal mit personenbezogenen Daten macht.

Dieser Text ist noch nicht fertig.Die Angaben zum Verantwortlichen und einige Fristen fehlen noch. Die farbig markierten Stellen müssen vor dem Öffentlichmachen gefüllt und der Gesamttext anwaltlich geprüft werden. Bis dahin ist er ein Gerüst, keine Rechtsauskunft.

1. Verantwortlicher

Firmierung, Anschrift
E-Mail: Adresse für Datenschutzanfragen

Datenschutzbeauftragte Person: Name und Kontakt, falls benannt. Eine Benennung ist Pflicht, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind (§ 38 BDSG).

2. Wer hier vorkommt

Das Portal berührt zwei Gruppen von Menschen, und die sind sehr unterschiedlich gestellt:

Vermittler — sie haben ein Konto, geben ihre Daten selbst an und wissen, was damit geschieht.
Ansprechpartner in Leads — sie haben ihre Daten nicht selbst gegeben. Ein Vermittler hat sie übermittelt. Sie wissen zunächst nichts davon.

Daraus folgt eine Frist, kein Formular.Weil die Daten nicht bei der Person selbst erhoben wurden, gilt Artikel 14 DSGVO: Die Person ist innerhalb eines Monats zu informieren — spätestens jedoch bei der ersten Ansprache, wenn diese früher erfolgt. Praktisch heißt das: Wer einen Lead anruft, sagt in diesem Gespräch, woher die Daten stammen, und schickt die Datenschutzhinweise hinterher.

3. Welche Daten, wozu, auf welcher Grundlage

Daten	Zweck	Rechtsgrundlage
Vermittler: Vor- und Nachname, E-Mail, Telefon, ggf. Mobil, ggf. Firma, Anschrift, verschlüsselte Fassung des Passworts	Zugang zum Portal und Abwicklung der Zusammenarbeit	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
Vertrag: die PDF-Fassung, Zeitpunkt der Annahme, IP-Adresse, Browserkennung, Prüfsumme der Fassung	Nachweis, wer wann welche Fassung angenommen hat	Art. 6 Abs. 1 lit. b und lit. f DSGVO (Beweissicherung)
Leads: Firma, Website, Ort, Name und Position des Ansprechpartners, Telefon, ggf. Mobil, ggf. E-Mail, Erreichbarkeit, Kommentar des Vermittlers	Anbahnung einer Geschäftsbeziehung	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Geschäftsanbahnung)
Anmeldeversuche: E-Mail-Adresse und IP-Adresse fehlgeschlagener Versuche	Schutz der Konten gegen automatisiertes Durchprobieren	Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung, Art. 32)
Sitzung: ein Zufallswert im Cookie, in der Datenbank nur dessen Prüfsumme	Angemeldet bleiben	Art. 6 Abs. 1 lit. b DSGVO — technisch notwendig

Das Portal setzt ein einziges Cookie, und zwar für die Anmeldung. Es gibt keine Reichweitenmessung, keine Werbenetzwerke, keine eingebetteten Schriften oder Karten von fremden Servern. Deshalb erscheint auch kein Einwilligungsbanner: Es gäbe nichts, worin eingewilligt werden könnte.

4. Telefonische Ansprache

Ein Lead endet in aller Regel in einem Anruf. Dafür gilt neben dem Datenschutzrecht auch § 7 UWG: Ein Anruf bei einem Unternehmen setzt eine mutmaßliche Einwilligungvoraus — es muss also einen sachlichen Grund geben, warum gerade dieses Unternehmen gerade dieses Angebot erwarten würde. Bei Privatpersonen ist eine ausdrücklicheEinwilligung nötig; ohne sie ist der Anruf unzulässig.

Der Kommentar, den ein Vermittler zu jedem Lead schreibt, ist genau deshalb Pflichtfeld: Aus ihm muss hervorgehen, warum dieser Kontakt zustande kam.

5. Wer die Daten sonst noch sieht

Empfänger	Wofür	Grundlage
Hosting-Anbieter (Betrieb der Anwendung)	Bereitstellung des Portals	Auftragsverarbeitung nach Art. 28 DSGVO
Datenbank-Anbieter	Speicherung	Auftragsverarbeitung nach Art. 28 DSGVO
Anbieter des Postfachs	Versand der Portal-Mails	Auftragsverarbeitung nach Art. 28 DSGVO

Ein Vermittler sieht ausschließlich die von ihm selbst eingereichten Leads. Diese Trennung entsteht im Portal und wird bei jeder einzelnen Abfrage durchgesetzt.

Mit jedem der oben genannten Anbieter ist ein Vertrag zur Auftragsverarbeitung zu schließen. Sitzt ein Anbieter außerhalb der EU oder gehört er zu einem Konzern außerhalb der EU, kommt eine Grundlage für den Drittlandstransfer hinzu. Hier eintragen, welche Anbieter das sind und wo sie verarbeiten.

6. Wie lange

Was	Dauer
Sitzung (Cookie und Eintrag)	14 Tage, danach automatisch entfernt
Link zum Zurücksetzen des Passworts	gültig 60 Minuten, Eintrag nach sieben Tagen entfernt
Fehlgeschlagene Anmeldeversuche	24 Stunden
Vermittler-Konto	bis zum Ende der Zusammenarbeit
Verträge samt Beweisspur	Aufbewahrungsfrist eintragen — üblich sind sechs bzw. zehn Jahre nach HGB und AO
Leads	Frist eintragen — solange sie für die Anbahnung oder eine laufende Geschäftsbeziehung gebraucht werden

Ein im Portal gelöschter Lead verschwindet nur dort. Im CRM entscheidet darüber ein Mensch — das Portal hat dafür bewusst keine Berechtigung.

7. Rechte der betroffenen Personen

Jede Person, deren Daten hier verarbeitet werden, hat das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Der Widerspruch ist bei Verarbeitungen auf Grundlage eines berechtigten Interesses besonders wichtig — also insbesondere bei Leads.

Anfragen an: Adresse für Datenschutzanfragen

Daneben besteht ein Beschwerderecht bei einer Aufsichtsbehörde, in der Regel der des eigenen Wohnsitzes oder der des Verantwortlichen: zuständige Aufsichtsbehörde eintragen.

8. Sicherheit

Passwörter werden nie im Klartext gespeichert, sondern nur als mit scrypt errechneter Wert. Sitzungsmerkmale und Links zum Zurücksetzen liegen ebenfalls ausschließlich als Prüfsumme in der Datenbank — wer sie liest, kann sich damit nicht anmelden. Der Zugang ist auf angemeldete Personen beschränkt, und Fehlversuche werden begrenzt.

Diese Erklärung beschreibt den Stand der Anwendung. Sie ersetzt keine anwaltliche Prüfung.