Datenschutzerklärung

Stand: 26.10.2026

Diese Erklärung gilt für diese Website (Teil A) und für unsere Anwendung Company Dashboard (Teil B). Sie sagt Ihnen, welche personenbezogenen Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage.

1. Verantwortliche und Kontakt

BSTools GmbH Bergstraße 5 91589 Aurach Amtsgericht Ansbach, HRB 3034 USt-IdNr. DE206399020 Vertreten durch den alleinigen Geschäftsführer Stefan Messler

Telefon: +49 9804 9159710 E-Mail: mail@bstools.de

Datenschutzbeauftragter:

Peter Anklam Unterer Brand 10 72224 Ebhausen-Rotfelden Telefon: +49 7054 930954 E-Mail: erfaanklam@web.de

Sie können sich in allen Fragen zum Datenschutz und zur Ausübung Ihrer Rechte unmittelbar an ihn wenden.

Teil A — Diese Website

2. Aufruf der Website

Wenn Sie die Website aufrufen, überträgt Ihr Browser technisch notwendige Daten an unseren Server. Er speichert sie in Protokolldateien:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei und übertragene Datenmenge
• Meldung über den Erfolg des Abrufs (Statuscode)
• Browsertyp und -version, Betriebssystem
• ggf. die zuvor besuchte Seite (Referrer)

Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr und Aufklärung von Angriffen, Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb). Speicherdauer: 14 Tage, danach werden die Protokolle automatisch gelöscht. Wir führen diese Daten nicht mit anderen Daten zusammen.

3. Cookies und Werbung nur mit Ihrer Einwilligung

Ohne Ihre Einwilligung setzt diese Website keine Cookies für Werbung oder Messung, lädt nichts von Meta oder anderen Werbenetzwerken und wertet Ihre Nutzung nicht personenbezogen aus. Auf der Bestellseite zählt unser Server nur Tagessummen ohne Bezug zu Ihrer Person (Ziffer 5a). Schriften und Bilder laden wir nicht von fremden Diensten. Gespeichert wird dann nur Ihre Entscheidung selbst (Ziffer 3a).

Einen einzigen Dienst setzen wir nur ein, wenn Sie im Banner auf „Annehmen“ klicken: den Meta-Pixel (Ziffer 3a). Weitere Tracker oder Werbenetzwerke gibt es nicht; die Reichweite messen wir außer mit den Tageszahlen der Bestellseite (Ziffer 5a) nicht.

Wir selbst treffen keine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO.

Dashboard und Kundenportal setzen technisch notwendige Cookies; dazu die Ziffern 10 und 15.

3a. Meta-Pixel

Was er tut. Mit Ihrer Einwilligung binden wir auf dieser Website — auch auf den Bestell- und Anfrageseiten und in der offenen Demo — den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland („Meta“) ein. So sehen wir, ob unsere Anzeigen auf Facebook und Instagram Menschen auf diese Website bringen (Erfolgsmessung), und können Besuchern dieser Website dort später erneut eine Anzeige zeigen (Wiederansprache). Im Dashboard unserer Kunden und im Kundenportal gibt es den Meta-Pixel nie.

Verarbeitete Daten. Ihre IP-Adresse, Angaben zu Browser und Gerät, die aufgerufene Seite und die Seite, von der Sie kamen, Datum und Uhrzeit sowie Ereignisse wie den Aufruf einer Seite oder das Absenden einer Anfrage oder Bestellung — ohne deren Inhalt. Dazu speichert der Pixel ein Cookie mit einer zufälligen Kennung in Ihrem Browser, das bis zu 90 Tage bleibt und bei jedem Besuch verlängert wird. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta Ihren Besuch Ihrem Konto zuordnen. E-Mail-Adressen, Namen oder Formularinhalte übermitteln wir Meta nicht.

Gemeinsame Verantwortung. Für das Erheben dieser Daten auf unserer Website und ihre Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Was wir dabei miteinander vereinbart haben, steht in der Vereinbarung von Meta über die gemeinsame Verantwortlichkeit (facebook.com/legal/controller_addendum). Meta beantwortet danach Anfragen zu Ihren Rechten, soweit es um Daten geht, die Meta nach der Übermittlung speichert; Sie können sich aber auch an uns wenden, wir leiten Ihre Anfrage weiter. Was Meta danach mit den Daten tut, verantwortet Meta allein; dazu die Datenschutzrichtlinie von Meta (facebook.com/privacy/policy).

Übermittlung in die USA. Meta kann die Daten an die Meta Platforms, Inc. in den USA übermitteln. Die Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; dafür gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Rechtsgrundlage. Ihre Einwilligung: für das Speichern und Auslesen des Cookies § 25 Abs. 1 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Ohne Ihre Einwilligung lädt die Website nichts von Meta.

Speicherdauer. Wir selbst speichern diese Daten nicht; bei Meta sehen wir nur zusammengefasste Zahlen ohne Bezug zu einzelnen Personen. Besucher dieser Website fassen wir bei Meta höchstens 180 Tage zu einer Zielgruppe für die Wiederansprache zusammen. Wie lange Meta die Daten selbst speichert, sagt die Datenschutzrichtlinie von Meta.

Ihre Entscheidung und der Widerruf. Ihre Wahl im Banner — ob „Annehmen“ oder „Ablehnen“ — speichert die Website in Ihrem Browser, damit das Banner nicht bei jedem Aufruf erscheint. Der Eintrag enthält keine Kennung und geht nicht an uns oder an Meta; nach sechs Monaten fragen wir erneut. Grundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ unten auf jeder Seite, genauso einfach, wie Sie sie erteilt haben. Danach lädt die Website nichts mehr von Meta und löscht das Cookie des Pixels.

4. Speicherung im Browser

Die Website hat zwei Schalter: Hell/Dunkel und Kontrast. Erst wenn Sie einen davon anklicken, speichert die Website Ihre Wahl im Speicher Ihres Browsers — und nur diese Wahl. Ohne Klick speichert sie nichts und folgt der Einstellung Ihres Geräts.

Der Eintrag enthält keine Kennung und keine personenbezogenen Daten, geht nicht an uns und dient nicht der Wiedererkennung oder Analyse. Er gilt nur für diesen Besuch und bleibt, bis Sie das Browserfenster schließen; danach ist er gelöscht. Grundlage ist § 25 Abs. 2 Nr. 2 TDDDG: Die Speicherung setzt allein die Darstellung um, die Sie mit dem Klick gewählt haben.

5. Bestellung

Über das Bestellformular dieser Website geben Sie eine Bestellung ab oder fordern ein Angebot an. Ihre Angaben gehen verschlüsselt an unseren Server; dort speichern wir sie, um Ihre Bestellung zu bearbeiten.

Verarbeitete Daten: Firma, Anschrift, Registerangaben und USt-IdNr., drei Kontaktadressen (für die Zusammenarbeit, für Rechnungen und für die technische Betreuung, jeweils Name, E-Mail und Telefon), gewähltes Produkt nebst Umfang, gewählte Bezeichnung der Einheit, Vertragsbeginn, Laufzeit und Zahlweise. Pflicht ist nur die Adresse für die Zusammenarbeit; fehlt eine der beiden anderen, nutzen wir sie. Freiwillig können Sie bis zu zwei Ansprechpartner mit Name, E-Mail und Telefon nennen; diese Angaben nicht zu machen, hat keine Nachteile.

Bestätigung der E-Mail-Adresse. Wir senden Ihnen eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick bearbeiten wir die Bestellung weiter; so schützen wir Sie vor Bestellungen unter fremder Adresse.

Nachweis Ihrer Bestätigungen. Bestätigen Sie im Bestellprozess, dass Sie Unternehmer sind, und stimmen Sie den Vertragsbedingungen und dem Auftragsverarbeitungsvertrag zu, speichern wir dazu Zeitpunkt, Nutzerkennung, IP-Adresse und die genaue Fassung der bestätigten Dokumente. So können wir nachweisen, welcher Vertrag gilt. Die IP-Adresse löschen wir nach 90 Tagen.

Zweck: Bearbeitung Ihrer Anfrage, Angebot, Abschluss und Abwicklung des Vertrages, Nachweis des Vertragsschlusses. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung); für den Nachweis und bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist der Nachweis des Vertragsschlusses bzw. die Antwort auf Ihre Anfrage. Speicherdauer: bis zur abschließenden Bearbeitung; kommt ein Vertrag zustande, bis zum Ablauf der gesetzlichen Aufbewahrungs- und Verjährungsfristen (handels- und steuerrechtlich in der Regel sechs bzw. zehn Jahre).

5a. Tageszahlen der Bestellseite

Wir möchten sehen, an welcher Stelle Interessenten eine Bestellung abbrechen, damit wir die Bestellseite verbessern können. Dazu zählt unser Server je Tag als Summe:

• wie oft die Bestellseite aufgerufen wurde, auch getrennt nach der Kampagne in der aufgerufenen Adresse (etwa eines QR-Codes aus einem unserer Vorträge),
• wie oft ein Gutscheincode geprüft wurde und mit welchem Ergebnis, je Gutscheincode; einen Code, den es nicht gibt, zählen wir nur als „unbekannt“, nie im Wortlaut,
• wie viele Bestellungen abgeschickt, bestätigt und angenommen wurden; diese Zahlen bilden wir aus den Bestellungen nach Ziffer 5.

Gezählt wird nur auf unserem Server, an den Anfragen, die Ihr Browser für die Bestellseite ohnehin stellt. Für diese Zählung setzen wir kein Cookie, speichern nichts in Ihrem Browser, lesen nichts aus ihm aus und geben Ihnen keine Kennung. Ihre IP-Adresse verwenden wir dafür nicht; das Protokoll nach Ziffer 2 bleibt davon unberührt. Die Tageszahlen sagen nichts über Sie als Person.

Zweck: eine verständliche Bestellseite, an der möglichst wenige Interessenten hängen bleiben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen, funktionierenden Bestellseite). Speicherdauer: Die Tageszahlen enthalten keine personenbezogenen Daten; wir bewahren sie auf, um Zeiträume miteinander zu vergleichen.

6. Kontaktaufnahme per E-Mail, Telefon oder Anfrageformular

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Wir löschen sie, wenn sie nicht mehr nötig sind und keine gesetzliche Aufbewahrungspflicht besteht.

Anfrageformular für ein Erstgespräch. Auf der Seite zu unseren Entwicklungs- und Automatisierungsleistungen können Sie ein unverbindliches Erstgespräch anfragen.

Verarbeitete Daten: Firma, Name, E-Mail-Adresse, Telefonnummer (freiwillig), Umsatzgröße (freiwillig) und Ihr Anliegen; zusätzlich Zeitpunkt der Absendung. Zweck: Beantwortung Ihrer Anfrage und Vorbereitung des Gesprächs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen); soweit es sich um eine allgemeine Anfrage handelt, Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist die Beantwortung geschäftlicher Anfragen. Speicherdauer: bis zur abschließenden Bearbeitung; kommt ein Auftrag zustande, bis zum Ablauf der gesetzlichen Aufbewahrungsfristen. Pflichtangaben sind Firma, Name und E-Mail-Adresse — ohne sie können wir nicht antworten. Telefonnummer und Umsatzgröße sind freiwillig; sie nicht anzugeben hat keine Nachteile.

Zur Umsatzgröße. Sie wählen aus vorgegebenen Spannen; eine genaue Umsatzzahl fragen wir nicht ab. Wir brauchen die Angabe allein, um Ihre Anfrage unserer Honorarstaffel zuzuordnen, damit wir Ihnen schon im Erstgespräch sagen können, was die Arbeit kostet. Sie wird mit Ihrer Anfrage gespeichert und nach denselben Regeln gelöscht.

Fragen über ein Formular in einer Anzeige bei Facebook, Instagram oder LinkedIn. In einigen unserer Anzeigen können Sie uns über ein Formular direkt eine Frage zu Company Dashboard stellen. Ihre Angaben geben Sie dabei bei der Plattform ein — bei Facebook und Instagram bei der Meta Platforms Ireland Limited, Dublin (Meta), bei LinkedIn bei der LinkedIn Ireland Unlimited Company, Dublin (LinkedIn). Die Plattform stellt sie uns zum Herunterladen bereit. Verarbeitete Daten: die Angaben im Formular — Name, geschäftliche E-Mail-Adresse, Firma, Ihre Frage und die Antworten auf weitere Fragen des Formulars, etwa nach Ihrer Warenwirtschaft —, Ihre Antwort auf unsere Frage, ob wir Ihnen Neuigkeiten per E-Mail senden dürfen, und der Zeitpunkt des Absendens. Eine Telefonnummer fragen wir nicht ab. Zweck: Ihre Frage persönlich per E-Mail zu beantworten; wir rufen Sie nicht an. Neuigkeiten per E-Mail senden wir Ihnen nur, wenn Sie im Formular „Ja“ wählen und das danach in unserer Bestätigungsmail bestätigen (Ziffer 7). Ihre Frage beantworten wir in beiden Fällen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Frage einen möglichen Vertrag betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist die Beantwortung geschäftlicher Anfragen. Wer verantwortlich ist: Für die Angaben, die wir herunterladen, sind wir verantwortlich. Was Meta oder LinkedIn darüber hinaus mit den Angaben tun — etwa ein späteres Formular für Sie vorausfüllen —, verantworten sie selbst nach ihren Datenschutzrichtlinien. Beide können Daten auch in die USA übermitteln; Meta Platforms, Inc. und LinkedIn Corporation sind nach dem EU-US Data Privacy Framework zertifiziert. Speicherdauer und Löschung: Wir laden Ihre Angaben in der Regel am Werktag nach dem Absenden herunter. Bei der Plattform bleiben sie für uns abrufbar, bei Meta 90 Tage, bei LinkedIn ein Jahr ab dem Absenden; danach stellt die Plattform sie uns nicht mehr bereit. Die heruntergeladene Datei löschen wir, sobald wir Ihnen geantwortet haben. Ihre Frage und unsere Antwort bleiben in unserem E-Mail-Postfach; kommt kein Auftrag zustande, löschen wir sie spätestens sechs Monate nach unserer letzten Nachricht, sonst gelten die gesetzlichen Aufbewahrungsfristen. Haben Sie Neuigkeiten gewählt und bestätigt, bleiben Ihr Name und Ihre E-Mail-Adresse in unserem Verteiler, solange Ihre Einwilligung gilt (Ziffer 7). Bestätigen Sie nicht innerhalb von 30 Tagen, verwenden wir Ihre Adresse nicht für Neuigkeiten und löschen den Vermerk.

Teil B — Anwendung „Company Dashboard"

7. Werbung per E-Mail

Mit Einwilligung. Wenn Sie uns eine Einwilligung erteilt haben, verwenden wir Ihre E-Mail-Adresse, um Sie über eigene Produkte, Neuerungen und Veranstaltungen zu informieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — formlos an mail@bstools.de oder über den Abmeldelink in jeder Mail. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Einwilligung über ein Formular in einer Anzeige. Stellen Sie uns über ein Formular in einer Anzeige bei Facebook, Instagram oder LinkedIn eine Frage (Ziffer 6), fragt das Formular auch, ob wir Ihnen Neuigkeiten zu Company Dashboard und unseren weiteren Produkten per E-Mail senden dürfen. „Ja“ und „Nein“ sind gleichwertig; Ihre Frage beantworten wir in beiden Fällen. Wählen Sie „Ja“, erhalten Sie von uns eine Bestätigungsmail ohne Werbung. Erst wenn Sie darin bestätigen, nehmen wir Ihre Adresse in unseren Verteiler auf. Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir Name, E-Mail-Adresse, Plattform und Formular, den Zeitpunkt Ihrer Antwort im Formular, den Wortlaut der Frage und den Zeitpunkt Ihrer Bestätigung.

Ohne Einwilligung an Bestandskunden. Haben wir Ihre E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Leistung erhalten, dürfen wir sie nach § 7 Abs. 3 UWG auch ohne Einwilligung für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwenden, solange Sie dem nicht widersprochen haben. Das gilt für jede Adresse, die uns Ihr Unternehmen im Vertrag angibt, etwa für die Zusammenarbeit, für Rechnungen oder für die technische Leitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktwerbung gegenüber bestehenden Kunden (Erwägungsgrund 47 Satz 7).

Sie können jederzeit widersprechen — bei Erhebung der Adresse und in jeder einzelnen Werbemail weisen wir Sie darauf hin. Für den Widerspruch entstehen Ihnen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Ein Widerspruch genügt formlos an mail@bstools.de. Sie brauchen ihn nicht zu begründen (Art. 21 Abs. 2 DSGVO); danach verwenden wir Ihre Adresse nicht mehr für Werbung (Art. 21 Abs. 3 DSGVO). Der Widerspruch gilt für die Adresse, von der er kommt oder die Sie nennen; auf Wunsch sperren wir alle Adressen Ihres Unternehmens.

Versand. Werbemails versenden wir von unserer Adresse mail@bstools.de; der Versand selbst läuft über den Postausgangsserver unseres E-Mail-Anbieters STRATO GmbH, Berlin, wie bei unserer übrigen Geschäftspost (Ziffer 16). Zum Verfassen nutzen wir die Weboberfläche Gmail der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die mit diesem Postausgangsserver verbunden ist; dabei bleibt eine Kopie der Mail auch im Postfach unseres Gmail-Kontos gespeichert, sodass Google Ihre E-Mail-Adresse und den Inhalt der Mail ebenfalls verarbeitet. Google übermittelt Daten auch an die Google LLC in den USA; Grundlage ist das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Die Empfänger einer Werbemail stehen in Blindkopie; sie sehen die Adressen der anderen nicht.

Speicherdauer: Einwilligung und Widerspruch speichern wir, solange sie gelten, und darüber hinaus zum Nachweis (Art. 7 Abs. 1 DSGVO) bis zum Ablauf der Verjährungsfristen. Nach einem Widerspruch führen wir Ihre Adresse in einer Sperrliste, damit wir ihn dauerhaft beachten; sie enthält nur die Adresse und den Zeitpunkt des Widerspruchs.

8. Zwei Rollen — bitte unterscheiden

Für die Anwendung sind zwei Verarbeitungen zu trennen:

Beschäftigte unserer Kunden, deren Daten im Dashboard erscheinen (z. B. in einer Verkäufer-Auswertung oder, soweit der Kunde es einschaltet, in einer Stundenauswertung je Mitarbeiter-Kennung), wenden sich für Auskunft und Löschung an ihren Arbeitgeber als Verantwortlichen; wir leiten Anfragen dorthin weiter.

Ist eine Abteilung sehr klein besetzt, kann schon eine Auswertung „Stunden je Abteilung" Rückschlüsse auf eine einzelne Person zulassen, auch ohne dass Ihr Arbeitgeber die Mitarbeiterebene einschaltet; das prüft Ihr Arbeitgeber als Verantwortlicher selbst.

9. Nutzerkonto und Anmeldung

Für den Zugang zum Dashboard führen wir je Nutzer ein Konto.

Verarbeitete Daten: Anmeldename, Anzeigename, Rolle (Inhaber, Leitung, Filiale), zugeordnete Einheiten, das Passwort nur in nicht umkehrbar verschlüsselter Form, Zeitpunkt der letzten Anmeldung. Zweck: Zugangskontrolle, Rechtevergabe, Nachvollziehbarkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zum Kunden; im Übrigen Verarbeitung im Auftrag nach Ziffer 8.

10. Das Dashboard

Sitzung. Sobald Sie das Dashboard aufrufen, auch die Anmeldeseite oder die Demo, setzt es ein technisch notwendiges Sitzungs-Cookie. Es hält allein Ihre Sitzung und Anmeldung aufrecht und enthält keine Auswertungsdaten. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig.

Keine Tracker. Auch im Dashboard setzen wir keine Analyse-, Reichweiten- oder Werbedienste ein, binden keine Skripte oder Schriften fremder Anbieter ein und werten Ihr Nutzungsverhalten nicht aus. Einzige Ausnahme ist die offene Demo: Dort gilt wie auf der übrigen Website der Meta-Pixel, und nur mit Ihrer Einwilligung (Ziffer 3a). Protokolliert werden nur die sicherheitsrelevanten Vorgänge nach Ziffer 11.

Ihre Einstellungen speichert das Dashboard bei Ihrem Nutzerkonto auf unserem Server, nicht in Ihrem Browser: Darstellung, gewählte Filiale oder Einheit, Filter und Zeiträume, auf- und zugeklappte Karten, gelesene Hinweise und Neuerungen. Verschieben Sie die Bitte, Ihre E-Mail-Adresse zu bestätigen, merkt es sich dort auch, wie oft.

Im Browser legt das Dashboard nur Folgendes ab:

Nichts davon geht an Dritte oder dient der Analyse oder Wiedererkennung. Grundlage ist § 25 Abs. 2 Nr. 2 TDDDG (Bereitstellung des Dienstes, den Sie nutzen); für die Kennzahlen und die Einstellungen bei Ihrem Nutzerkonto zusätzlich Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zum Kunden, im Übrigen Verarbeitung im Auftrag nach Ziffer 8.

10a. Berichte per E-Mail und Teilen

Die Erweiterungspakete „Berichte per E-Mail" und „Teilen" bieten wir an, sobald sie verfügbar sind. Hat der Kunde eines davon gebucht, gilt zusätzlich:

Berichte per E-Mail. Der Kunde legt fest, welche Kacheln an welchen Tagen an welche E-Mail-Adressen gehen. Wir erzeugen dazu auf unserem Server ein Bild der Kacheln und versenden es über unseren eigenen Mailserver. Dafür verarbeiten wir die E-Mail-Adressen der Empfänger, Zeitpunkt und Ergebnis des Versands je Empfänger und eine Abmeldung. Das geschieht im Auftrag des Kunden (Ziffer 12); an wen ein Bericht geht, entscheidet und verantwortet der Kunde.

Abmelden. Wer einen Bericht erhält, kann sich mit dem Link in jeder Berichtsmail davon abmelden, ohne sich anzumelden. Wir vermerken die Abmeldung und teilen sie dem Kunden mit; danach geht dieser Bericht nicht mehr an diese Adresse.

Teilen. Der Knopf zum Teilen erzeugt ein Bild der Kachel. Wohin es geht, wählt der Nutzer selbst: per E-Mail oder über das Teilen-Menü seines Geräts, etwa an einen Messenger-Dienst. Wählt er den Dienst eines Dritten, gibt er das Bild selbst dorthin weiter; wir übermitteln nichts an diesen Dienst, und dort gelten dessen Datenschutzbestimmungen. Ein geteiltes Bild kann Kundendaten enthalten — für die Weitergabe ist der Kunde verantwortlich (Anlage 1 Ziffer 8b des Vertrages).

Speicherdauer. Die Bilder bewahren wir nicht auf; sie werden nach dem Versand bzw. nach dem Teilen gelöscht. Empfängeradressen und Abmeldungen bleiben, solange der Bericht besteht, längstens bis zur Löschung nach Ziffer 17.

11. Zugriffs- und Änderungsprotokolle

Wir protokollieren sicherheitsrelevante Vorgänge. Jede Anmeldung halten wir im Anmeldeprotokoll mit Zeitpunkt, Kunde, Benutzername und Ergebnis fest (angemeldet, falsches Kennwort, gesperrt) — ohne IP-Adresse. Änderungen an Konfiguration, Nutzern und Rechten halten wir mit Nutzerkonto, Zeitpunkt und Vorgang fest.

Gesondert protokollieren wir die Bestätigung zum Company Benchmark: jede Änderung mit Nutzerkonto, Zeitpunkt sowie vorherigem und neuem Zustand, als fortlaufende Historie. Grundlage ist unser berechtigtes Interesse am Nachweis, auf welcher Grundlage Kennzahlen in einer Gruppe geteilt werden (Art. 6 Abs. 1 lit. f DSGVO).

Zusätzlich zählen wir Abrufe im Dashboard je Kundeninstanz: Zeitpunkt, Kundenschlüssel, aufgerufener Pfad, Statuscode, übertragene Datenmenge und Antwortzeit — ohne IP-Adresse, Browserkennung oder verweisende Seite. Der Kundenschlüssel bezeichnet die Vertragsinstanz, nicht eine einzelne Person. Zweck ist der Betrieb und die Kapazitätsplanung unserer Server, nicht die Auswertung einzelner Nutzer. Grundlage ist unser berechtigtes Interesse an einem funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Ruft ein Partner über unsere Schnittstelle für Partner Daten ab, protokollieren wir Zeitpunkt, Partner, Pfad, Kunde, Ergebnis und die IP-Adresse des abrufenden Systems. Zweck ist die Sicherheit der Schnittstelle und der Nachweis, wer wann welche Daten abgerufen hat (Art. 6 Abs. 1 lit. f DSGVO).

Für jede E-Mail, die unsere Anwendung versendet, halten wir im Mailnachweis Zeitpunkt, Art der Mail, Empfängeradresse und das Ergebnis der Zustellung fest — ohne Betreff und Inhalt. Für jede Lieferung, die bei uns eingeht, halten wir im Lieferungsbeleg Zeitpunkt, Absender (bei E-Mail die Absenderadresse), Betreff, Dateinamen und Ergebnis fest. Zweck ist der Nachweis, dass eine Mail zugestellt und eine Lieferung eingegangen ist (Art. 6 Abs. 1 lit. b und f DSGVO).

Speicherdauer:

• Anmeldeprotokoll und übrige Sicherheitsprotokolle 14 Tage,
• Protokoll der Schnittstelle für Partner 12 Monate,
• Mailnachweis und Lieferungsbeleg 12 Monate,
• Protokolle der Bestätigung bis zum Ablauf der Verjährungsfristen,
• die Frist für die Zugriffszählung je Kundeninstanz legen wir noch fest und ergänzen sie hier.

12. Verarbeitung der Kundendaten (Auftragsverarbeitung)

Die vom Kunden gelieferten Warenwirtschaftsdaten verarbeiten wir ausschließlich weisungsgebunden zur Erbringung der vertraglichen Leistung. Einzelheiten — Gegenstand, Dauer, Art der Daten, Kategorien betroffener Personen, Unterauftragsverarbeiter, Löschung — regelt der Auftragsverarbeitungsvertrag nebst den technischen und organisatorischen Maßnahmen.

Die Verarbeitung findet auf einem Server in Deutschland statt.

13. Anonymisierte Auswertungen

Wir bilden aus den Daten mehrerer Kunden anonymisierte, aggregierte Auswertungen (Branchen-Benchmarks, Bewertung von Marken und Warengruppen, Limit- und Einkaufsplanung). Vor jeder Auswertung werden alle Bezüge zu Kunde, Filialen, Verkäufern und Endkunden entfernt — nicht nur pseudonymisiert. Gebildet werden ausschließlich Verhältniszahlen über mehrere unabhängige Unternehmen.

Nach Abschluss der Anonymisierung liegen keine personenbezogenen Daten mehr vor; die DSGVO findet auf die Ergebnisse keine Anwendung. Für den Anonymisierungsvorgang selbst stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit der vertraglichen Vereinbarung (§10 Abs. 2 des Nutzungsvertrages). Kunden können die Beteiligung jederzeit im Dashboard abschalten.

Für den anonymisierten Marktvergleich gilt: Ein Aggregat wird nur gebildet, wenn ihm Beiträge von mindestens der Mindestanzahl voneinander unabhängiger Unternehmen zugrunde liegen, kein einzelner Beitrag mehr als die Dominanzgrenze ausmacht und sich das Ergebnis nicht durch Differenzbildung zurückrechnen lässt. Mindestanzahl und Dominanzgrenze sind je Vergleichsgruppe festgelegt (Vorgabe: fünf Unternehmen und Vorgabe: 50 %) und stehen in Anlage 0 des Nutzungsvertrages. Wir prüfen die Wirksamkeit der Anonymisierung mindestens jährlich.

13a. Company Benchmark in einer Erfa-Gruppe

Der Company Benchmark ist etwas anderes als der anonyme Marktvergleich. Er ist kostenpflichtig und nur als Upgrade zu einem Dashboard-Produkt buchbar; die Kennzahlen kommen aus der Anbindung der Warenwirtschaft.

Was geteilt wird: alle Kennzahlen, die die jeweilige Erfa-Gruppe in ihrem Katalog führt — auch als absolute Werte. Nicht geteilt werden Rohdaten, Belege, Bewegungsdaten, Kunden- und Kundenkartendaten sowie Verkäufer- und Mitarbeiterbezüge.

Empfänger: die übrigen Mitglieder derselben Gruppe. Sie sehen die Kennzahlen unter dem Namen des Hauses; jedes Haus stimmt dem mit seiner Buchung zu (§10 Abs. 4 lit. c des Nutzungsvertrages). Die Gruppen bestehen aus Unternehmen, die nicht miteinander im Wettbewerb stehen. Zusätzlich geht der Durchschnitt Ihrer Gruppe — ohne Namen und ohne Werte einzelner Häuser — als „Gruppe 1, 2, …" in einen Vergleich der Gruppen ein, den die Mitglieder anderer Erfa-Gruppen sehen; Grundlage ist die anonymisierte Auswertung nach §10 Abs. 2 des Nutzungsvertrages (Ziffer 13).

Gruppenleiter: Eine Gruppe kann einen oder mehrere Gruppenleiter haben — Personen, die sie betreuen, ohne selbst Mitglied zu sein. Sie erhalten dieselben Kennzahlen aller Häuser der Gruppe in derselben Darstellung, in ihrem Zugang und als Datei, und verwenden sie nur für die Betreuung der Gruppe. Rohdaten, Belege, Kunden- und Mitarbeiterdaten erhalten sie nicht (Anlage 8 Ziffer 4a des Nutzungsvertrages).

Wann das eine Person betrifft: Führt ein Haus sein Unternehmen als Einzelkaufmann oder unter dem Namen seines Inhabers, sind der Name in der Gruppenansicht und die Kennzahlen dieses Hauses Angaben zu einer Person. Sie gehen wie alle Kennzahlen der Gruppe nur an deren Mitglieder und Gruppenleiter; Grundlage ist der Vertrag, den das Haus mit seiner Buchung schließt (Art. 6 Abs. 1 lit. b DSGVO).

Daten des Gruppenleiters: Für seinen Zugang verarbeiten wir als Verantwortliche seinen Namen, seine E-Mail-Adresse, die Gruppen, die er betreut, die Angaben zur Anmeldung nach Ziffer 9, den Zeitpunkt, zu dem er die Nutzungsbedingungen bestätigt hat, sowie Einladung und Entzug des Zugangs. Grundlage sind diese Nutzungsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Endet seine Rolle, sperren wir den Zugang sofort.

Wann: täglich, über Nacht.

Grundlage: die mit der Buchung erteilte Bestätigung des Kunden (Anlage 6) und der Nutzungsvertrag; die Verarbeitung selbst erfolgt weisungsgebunden als Auftragsverarbeitung.

Beenden: durch Kündigung des Produkts; der Widerruf der Bestätigung ist diese Kündigung und wirkt zum Ende des Kalendermonats, in dem die Kündigungsfrist der Gruppe abläuft. Danach fließen keine neuen Werte ein; weil die Gruppenansicht täglich neu gerechnet wird, verschwinden Ihre Werte auch für zurückliegende Zeiträume.

Die Ausgaberegeln des anonymen Marktvergleichs — Mindestanzahl, Dominanzgrenze, Differenzsperre — gelten hier nicht, weil die Darstellung offen ist. Bei Darstellung mit Klarnamen zeigt der Gruppenvergleich gleichwohl erst an, wenn mindestens zwei Häuser teilnehmen.

14. Abrechnung: Rechnungsstellung und Zahlung

Zur Abrechnung setzen wir ein:

Verarbeitete Daten: Firmen- und Rechnungsanschrift, Ansprechpartner, Rechnungs- und Zahlungsvorgänge sowie — zum Lastschriftmandat — den Kontoinhaber, die Mandatsreferenz und die letzten vier Stellen der Kontonummer. Die vollständige Kontonummer (IBAN) speichern wir nicht: Sie geben sie unmittelbar beim Zahlungsdienstleister ein, der auch das Mandat elektronisch entgegennimmt. Das Mandat erteilen Sie, wenn Sie Ihre erste Rechnung im Kundenportal per SEPA-Lastschrift bezahlen. Speicherdauer: bis zum Ablauf der gesetzlichen Aufbewahrungsfristen.

Stripe. Für Ihr Zahlungskonto übermitteln wir Firmenname, Ansprechpartner, E-Mail-Adresse und Rechnungsanschrift an Stripe. An diese E-Mail-Adresse kündigt Stripe in unserem Auftrag jeden Einzug vorab an. Stripe übermittelt Daten auch an die Stripe, LLC in den USA; Grundlage ist das EU-US Data Privacy Framework, hilfsweise die Standardvertragsklauseln der EU-Kommission. Für die eigenen Zwecke von Stripe gilt die Datenschutzerklärung von Stripe (https://stripe.com/de/privacy).

Ihre Rechnungs- und Vertragsdaten gehen an keinen fremden Rechnungsdienst; unsere eigenen Systeme verlassen sie nur für den Zahlungseinzug bei Stripe und als verschlüsselte Datensicherung bei den in Ziffer 16 genannten Stellen.

15. Kundenportal für Rechnungen

In unserem Kundenportal (Link in jeder Rechnungsmail) können Sie Ihre Rechnungen, Angebote, Zahlungen und die hinterlegten Vertragsunterlagen einsehen. Das Portal betreiben wir selbst auf unserem Server in Deutschland.

Verarbeitete Daten: Firmen- und Rechnungsanschrift, Ansprechpartner mit E-Mail-Adresse, Rechnungen, Angebote, Zahlungen und Gutschriften sowie die dort abgelegten Dokumente. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Zugang. Der Zugang erfolgt über einen persönlichen Link, den wir Ihnen per E-Mail senden; ein Passwort ist im Standard nicht erforderlich. Wer diesen Link hat, kommt in das Portal — behandeln Sie ihn deshalb wie ein Kennwort und geben Sie ihn nicht weiter. Auf Wunsch richten wir einen zusätzlichen Passwortschutz ein.

Cookies des Portals. Anders als diese Website setzt das Portal technisch notwendige Cookies. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich; ohne sie funktionieren die Anmeldung und der Schutz vor Fremdzugriffen nicht:

Sie können diese Cookies jederzeit über die Einstellungen Ihres Browsers löschen; danach ist eine erneute Anmeldung nötig. Eine Analyse Ihres Nutzungsverhaltens findet nicht statt, es sind keine Analysedienste und keine Werbenetzwerke eingebunden.

Zugriffsprotokoll. Das Portal vermerkt, wann eine Rechnung oder ein Angebot zuerst geöffnet wurde. Wir verwenden diesen Vermerk ausschließlich, um Zustellung und Zugang nachvollziehen zu können; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem belastbaren Nachweis über den Zugang von Rechnungen.

Zahlungsdaten. Wenn Sie im Portal eine Zahlungsart hinterlegen, geben Sie die Daten unmittelbar bei unserem Zahlungsdienstleister ein. Wir speichern keine vollständige Kontonummer und keine Kartennummer, sondern nur die vom Zahlungsdienstleister vergebenen Kennungen sowie den Kontoinhaber und die letzten vier Stellen.

16. Empfänger und Auftragsverarbeiter

Ihre Daten erhalten nur Stellen, die zur Leistungserbringung erforderlich sind:

• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin — Betrieb des Servers, Rechenzentrum in Deutschland, Auftragsverarbeiterin,
• STRATO GmbH, Berlin — E-Mail-Versand und -Empfang, Auftragsverarbeiterin,
• Datensicherung, vor der Übertragung verschlüsselt: STRATO GmbH (HiDrive), Auftragsverarbeiterin; pCloud International AG, Baar, Schweiz (Speicherort: EU-Rechenzentrum in Luxemburg; erhält nur vor der Übertragung verschlüsselte Sicherungen, nicht den Schlüssel und keinen Zugriff auf lesbare Daten),
• Dienste nach Ziffer 14,
• die Empfänger von Berichten, die der Kunde benennt (Ziffer 10a),
• Meta Platforms Ireland Limited, Dublin — mit Ihrer Einwilligung Daten des Meta-Pixels, gemeinsam mit uns verantwortlich (Ziffer 3a), und Ihre Angaben aus einem Formular in unserer Anzeige (Ziffer 6),
• LinkedIn Ireland Unlimited Company, Dublin — Ihre Angaben aus einem Formular in unserer Anzeige bei LinkedIn (Ziffer 6),
• Google Ireland Limited, Dublin — Verfassen und Speichern unserer Werbemails im E-Mail-Postfach Gmail; der eigentliche Versand läuft über die STRATO GmbH (Ziffer 7),
• Steuerberatung und Behörden im Rahmen gesetzlicher Pflichten.

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

17. Speicherdauer und Löschung nach Vertragsende

Für Kundendaten gilt das vertragliche Löschkonzept:

Schaltet Ihr Arbeitgeber die Ebene „Stunden je Mitarbeiter" ein, gelten die Werte je Mitarbeiter-Kennung schon während der laufenden Vertragszeit nur rollierend für die letzten 24 Monate; ältere Monate werden automatisch gelöscht, unabhängig vom Vertragsende.

Die Lieferdateien, aus denen das Dashboard seine Zahlen bildet, löschen wir schon während der Vertragszeit: sobald sie verarbeitet sind, spätestens 90 Tage nach Eingang. Archiv und Verlauf im Dashboard bleiben bis zur Löschung nach Vertragsende.

Abrechnungs- und Buchhaltungsdaten bleiben bis zum Ablauf der gesetzlichen Aufbewahrungsfristen gespeichert. Bereits gebildete anonymisierte Aggregate enthalten keinen Personenbezug mehr und werden nicht gelöscht.

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Gegen Werbung können Sie jederzeit ohne Begründung widersprechen (Ziffer 7).

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen, die zum Meta-Pixel über den Link „Cookie-Einstellungen“ unten auf jeder Seite (Ziffer 3a); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Wenden Sie sich dafür an die unter Ziffer 1 genannte Adresse. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir sie an diesen weiter.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach.

19. Pflicht zur Bereitstellung

Die Bereitstellung der Vertrags- und Nutzerdaten ist für den Vertragsschluss und die Nutzung der Anwendung erforderlich. Ohne diese Daten können wir die Leistung nicht erbringen.

20. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die auf dieser Seite veröffentlichte Fassung.