Datenschutzerklärung

für die webbasierte Software "Kundendatenbank mit Termin"

Stand: 19. Juli 2026

1. Geltungsbereich

Diese Datenschutzerklärung gilt für die Produktwebsite(s) und die webbasierte Anwendung "Kundendatenbank mit Termin" unter den folgenden Adressen:

Produktwebsite: https://kundendatenbank.tvzuul.net sowie https://tobiasvoelzke.net (Standard), https://tobiasvoelzke.de und https://tobiasvoelzke.com
Webanwendung/Login: https://kddb004.tvzuul.net/

Die zugrunde liegende technische Infrastruktur (Hosting bei netcup, Serverstandort Deutschland, eingesetzte Auftragsverarbeiter) ist unabhängig davon, über welche der genannten Produktwebsites ein Vertrag zustande kommt, identisch — siehe Abschnitt 16.

2. Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in eigener Verantwortlichkeit vorgenommenen Verarbeitungen ist:

Datenschutzanfragen können unmittelbar an die oben genannte E-Mail-Adresse gerichtet werden.

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

3.1 Eigene Verantwortlichkeit des Anbieters

Tobias Völzke verarbeitet personenbezogene Daten in eigener datenschutzrechtlicher Verantwortlichkeit, soweit dies insbesondere für den Betrieb der Produktwebsite, die Anbahnung und Durchführung des Nutzungsvertrags, die Abrechnung, die Verwaltung von Firmen- und Nutzerkonten, die Kommunikation sowie die Sicherheit der eigenen Systeme erforderlich ist.

3.2 Auftragsverarbeitung für Firmenkunden

Soweit ein Firmenkunde Daten seiner eigenen Kunden, Interessenten, Ansprechpartner, Beschäftigten oder sonstigen Personen in die Kundendatenbank eingibt, ist grundsätzlich der Firmenkunde datenschutzrechtlich Verantwortlicher. Tobias Völzke verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des gesonderten Auftragsverarbeitungsvertrags (AVV).

Betroffene Personen, deren Daten durch einen Firmenkunden in der Kundendatenbank gespeichert wurden, sollten sich mit Auskunfts-, Berichtigungs-, Lösch- oder Widerspruchsanliegen vorrangig an diesen Firmenkunden wenden. Geht ein solches Anliegen bei Tobias Völzke ein, wird es – soweit rechtlich zulässig – an den zuständigen Firmenkunden weitergeleitet.

3.3 Gemischte Verarbeitung bei Nutzerkonten und Sicherheitsdaten

Bei Mitarbeiter- und Nutzerkonten können beide Rollen nebeneinander bestehen: Account-, Vertrags- und Sicherheitsdaten werden teilweise in eigener Verantwortlichkeit verarbeitet; Rollen, Zugriffe und Tätigkeiten innerhalb der Kundenumgebung werden überwiegend nach Weisung des Firmenkunden verarbeitet. Die Zuordnung richtet sich nach dem konkreten Zweck der Verarbeitung.

4. Rechtsgrundlagen und Auftragsverarbeitung

Je nach Verarbeitung stützt sich die Verarbeitung insbesondere auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für die Durchführung eines Vertrags mit der betroffenen Person oder vorvertragliche Maßnahmen auf ihre Anfrage;
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, insbesondere handels-, steuer- und aufsichtsrechtliche Dokumentationspflichten;
• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere den sicheren und stabilen Betrieb, die Verhinderung von Missbrauch, die Verwaltung geschäftlicher Nutzerkonten, die Kommunikation sowie die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen;
• Art. 6 Abs. 1 lit. a DSGVO, wenn im Einzelfall ausdrücklich eine Einwilligung eingeholt wird. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden;
• Bei einer Auftragsverarbeitung bestimmt der Firmenkunde die einschlägige Rechtsgrundlage nach Art. 6 und gegebenenfalls Art. 9 oder 10 DSGVO. Art. 28 DSGVO und der AVV regeln die Verarbeitung im Auftrag, stellen aber keine eigenständige Rechtsgrundlage für die Verarbeitung der Kundendaten dar.

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird, bestehen die berechtigten Interessen insbesondere in der Bereitstellung eines funktionsfähigen und sicheren SaaS-Angebots, dem Schutz von Konten und Daten, der Missbrauchs- und Betrugsprävention, der nachvollziehbaren Vertragsverwaltung und der Rechtsverteidigung.

4.1 Pflicht zur Bereitstellung

Angaben, die im Registrierungs-, Bestell- oder Abrechnungsprozess als erforderlich gekennzeichnet sind, werden für die Vertragsanbahnung, Vertragserfüllung oder zur Erfüllung gesetzlicher Pflichten benötigt. Ohne diese Angaben kann ein Firmenkonto gegebenenfalls nicht eingerichtet, ein Vertrag nicht abgeschlossen oder eine Leistung nicht abgerechnet werden. Nicht als erforderlich gekennzeichnete Angaben sind grundsätzlich freiwillig, sofern im jeweiligen Eingabekontext nichts anderes erläutert wird.

5. Aufruf der Produktwebsite und Server-Log-Dateien

Reguläre Webserver-Zugriffs- und Fehlerprotokolle (Access-/Error-Logs) sind im Standardbetrieb deaktiviert, da die Nachvollziehbarkeit von Zugriffen und Änderungen bereits über das in Abschnitt 9 beschriebene interne Protokollsystem (Fulllog) sichergestellt wird.

Nur zur gezielten Fehlersuche bei einer konkreten technischen Störung werden Webserver-Zugriffs- und Fehlerprotokolle vorübergehend aktiviert. Dabei können insbesondere verarbeitet werden:

• IP-Adresse des zugreifenden Geräts;
• Datum und Uhrzeit des Zugriffs;
• aufgerufene Adresse beziehungsweise Datei und HTTP-Methode;
• HTTP-Statuscode und übertragene Datenmenge;
• Referrer-URL, soweit vom Browser übermittelt;
• Browsertyp, Browserversion, Betriebssystem und Geräteinformationen;
• Hostname oder Providerangaben, soweit technisch übermittelt.

Die Verarbeitung erfolgt in diesem Fall zur Fehleranalyse sowie zur Erkennung und Abwehr von Angriffen und missbräuchlichen Zugriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Diese vorübergehend aktivierten Protokolle werden in der Regel rund 4 Wochen aufbewahrt; IP-Adressen werden dabei, je nach gewählter Datenschutzoption, teilweise bereits nach 7 Tagen in voller Länge gelöscht oder gekürzt. Bei konkreten Sicherheitsvorfällen können relevante Protokolldaten bis zur Aufklärung, Beweissicherung und gegebenenfalls Rechtsverfolgung länger gespeichert werden.

6. Technisch notwendige Cookies und lokale Speichertechniken

Die Webanwendung verwendet technisch notwendige Session-Cookies beziehungsweise vergleichbare Speichertechniken, um eine Anmeldung, die Zuordnung einer Sitzung, Sicherheitsfunktionen und die Nutzung der ausdrücklich angeforderten Anwendung zu ermöglichen. Ohne diese Speicherung kann die geschützte Anwendung nicht ordnungsgemäß genutzt werden.

Soweit Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, erfolgt dies nach § 25 Abs. 2 Nr. 2 TDDDG, sofern die Speicherung oder der Zugriff unbedingt erforderlich ist, um den vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die anschließende Verarbeitung personenbezogener Daten stützt sich je nach Zusammenhang auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Nach dem derzeitigen Produktkonzept werden auf den erfassten Produktseiten keine Marketing-, Tracking- oder Analyse-Cookies von Drittanbietern eingesetzt. Werden später externe Analyse-, Werbe-, Video-, Karten-, Chat-, Schrift- oder Social-Media-Dienste eingebunden, muss diese Erklärung vor deren Aktivierung ergänzt und eine erforderliche Einwilligung technisch eingeholt werden.

7. Registrierung, Testzugang und Firmenkonto

Bei der Registrierung beziehungsweise Einrichtung eines Firmenkontos werden je nach Bestellweg insbesondere verarbeitet: Firmenname, Name und Kontaktdaten des Ansprechpartners, E-Mail-Adresse, Rechnungs- und Anschriftendaten, gebuchtes Produkt, technische Registrierungsdaten, IP-Adresse und Browserkennung sowie ein Passwort-Hash. Passwörter werden nicht im Klartext gespeichert.

Die Registrierung kann durch eine Bestätigungs-E-Mail im Double-Opt-In-Verfahren abgesichert werden. Dabei werden die E-Mail-Adresse, der Bestätigungsstatus sowie technische Nachweisdaten verarbeitet, um die Berechtigung zur Nutzung der angegebenen Adresse zu prüfen und Missbrauch zu verhindern.

Rechtsgrundlage ist bei Vertragspartnern Art. 6 Abs. 1 lit. b DSGVO; bei geschäftlichen Ansprechpartnern oder Nutzern, die nicht selbst Vertragspartei sind, zusätzlich beziehungsweise vorrangig Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der ordnungsgemäßen Einrichtung und Verwaltung des Firmenkontos und der sicheren Vertragsdurchführung.

Für kostenlose Testzugänge gilt: Sie sind ausdrücklich nicht für den dauerhaften Produktivbetrieb vorgesehen. In der Anwendung wird darauf hingewiesen, im Testzugang möglichst keine echten personenbezogenen Kundendaten einzugeben, weil der Testzugang nur der unverbindlichen Erprobung dient. Soweit ein Testzugang zeitlich nicht befristet ist, kann der Anbieter ihn nach den AGB jederzeit beenden oder sperren. Wird für einen Testzugang ein Vertragsende-Datum eingetragen oder wird er in einen regulären Zugang überführt, gelten die jeweils vorgesehenen Rückgabe- und Löschregeln (siehe Abschnitt 21).

8. Mitarbeiter- und sonstige Nutzerkonten

Firmen-Admins oder berechtigte Teamleiter können Konten für Beschäftigte und sonstige autorisierte Nutzer anlegen. Dabei werden insbesondere Name, geschäftliche E-Mail-Adresse, Rolle, Berechtigungsstatus, Firmenzuordnung und gegebenenfalls technische Einladungs- oder Aktivierungsdaten verarbeitet.

Die Daten stammen regelmäßig vom Firmenkunden beziehungsweise dessen Admin oder Teamleiter und nicht unmittelbar von der betroffenen Person. Zweck ist die Bereitstellung und Absicherung des vom Firmenkunden gebuchten Zugangs. Soweit Tobias Völzke diese Kontodaten in eigener Verantwortlichkeit verarbeitet, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen des Anbieters und des Firmenkunden liegen in der sicheren, rollenbasierten Bereitstellung der Anwendung und der nachvollziehbaren Benutzerverwaltung.

Soweit Nutzeraktivitäten, Rollen und Berechtigungen ausschließlich für die Zwecke des Firmenkunden verarbeitet werden, erfolgt die Verarbeitung als Auftragsverarbeitung. Der Firmenkunde ist für die datenschutzrechtliche Zulässigkeit der Anlage von Nutzerkonten und für erforderliche Informationen gegenüber seinen Beschäftigten verantwortlich.

9. Anmeldung, Sitzungen und Sicherheitsprotokolle

Bei Anmeldungen und sicherheitsrelevanten Vorgängen können insbesondere E-Mail-Adresse oder Benutzerkennung, Firmenzuordnung, Rolle, Login-Zeitpunkt, IP-Adresse, Browser- beziehungsweise Gerätekennung, Sitzungskennung, Erfolg oder Fehlschlag eines Zugriffs und technische Sicherheitsereignisse verarbeitet werden.

Die Verarbeitung dient der Authentifizierung, Session-Steuerung, Erkennung unberechtigter Zugriffe, Brute-Force-Abwehr, Fehleranalyse, Sperrung missbräuchlicher Konten und Beweissicherung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für den Zugang des Vertragspartners erforderlich ist, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

In produktiven Anwendungs- und Sicherheitsprotokollen werden keine Klartext-Passwörter und keine vollständigen Authentifizierungsgeheimnisse gespeichert. Kundenbezogene Änderungsprotokolle können je nach gewählter Protokollierungsstufe Nutzerkennung, Zeitpunkt, betroffenen Datensatz sowie Vorher-/Nachher-Werte enthalten und werden insoweit als Auftragsverarbeitung geführt.

Login-, Fehlversuchs-, Sicherheits- und Änderungsereignisse werden technisch im selben Protokollsystem wie die kundenbezogenen Änderungsprotokolle erfasst und daher einheitlich 3 Monate vorgehalten; ältere Einträge werden monatlich gelöscht, sodass Einträge, die älter als 4 Monate sind, nicht mehr wiederhergestellt werden können.

10. Vertrag, Bestellung, Rechnung und Zahlung

Für Vertragsanbahnung, Bestellung, Bereitstellung und Abrechnung werden je nach Fall insbesondere Name, Firma, Anschrift, Kontakt- und Rechnungsdaten, USt-IdNr., gebuchter Tarif, Datenschutzklasse, Vertragslaufzeit, Leistungsumfang, Rechnungsnummern, Zahlungsstatus sowie geschäftliche Kommunikation verarbeitet.

Die Zahlung erfolgt ausschließlich auf Rechnung. Bei einer Überweisung können Absendername, IBAN, Verwendungszweck, Betrag und Buchungsdatum über das kontoführende Kreditinstitut bekannt werden. Die Verarbeitung erfolgt zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung handels- und steuerrechtlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO.

Soweit Daten zur Durchsetzung oder Abwehr von Zahlungs- und sonstigen Vertragsansprüchen benötigt werden, kann die Verarbeitung außerdem auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

11. Kontakt, Support und Feedback

Bei Kontakt per E-Mail, Telefon, Kontaktformular, Rückrufformular oder über einen Feedback- beziehungsweise Problemmeldekanal werden die übermittelten Kontaktdaten, der Inhalt der Nachricht, Zeitpunkt, Bearbeitungsstatus und gegebenenfalls zur Fehleranalyse erforderliche technische Angaben verarbeitet.

Bei vorvertraglichen oder vertraglichen Anliegen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Für allgemeine Anfragen, Supportorganisation, Missbrauchsprävention und die Dokumentation geschäftlicher Kommunikation ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Soweit ausdrücklich eine Einwilligung abgefragt wird, gilt zusätzlich Art. 6 Abs. 1 lit. a DSGVO.

Bitte übermitteln Sie in freien Textfeldern nur Daten, die für die Bearbeitung erforderlich sind. Zugangspasswörter oder sonstige Authentifizierungsgeheimnisse sollen nicht per Kontaktformular oder E-Mail übermittelt werden.

12. System-E-Mails und Passwortwiederherstellung

Die Anwendung versendet technisch und vertraglich erforderliche E-Mails, zum Beispiel Registrierungsbestätigungen, Einladungen, Passwort-zurücksetzen-Nachrichten, Sicherheitswarnungen, Exportbenachrichtigungen, Vertragsinformationen sowie Hinweise zum Vertragsende oder zur Löschung.

Dabei werden insbesondere Empfängeradresse, Nachrichtentyp, Versandzeitpunkt, Zustellstatus und gegebenenfalls technische Link- oder Token-Daten verarbeitet. Der Passwort-zurücksetzen-Link ist eine Stunde lang gültig und wird nach Nutzung oder Ablauf dieser Frist ungültig. Das bei einer Mitarbeiter-Neuanlage automatisch vergebene Zufallspasswort ist dagegen zeitlich nicht befristet und gilt wie ein reguläres Passwort bis zu einer Änderung durch den Mitarbeiter.

System-E-Mails werden über eine eigene Mail-Infrastruktur des Anbieters versendet, die auf einem bei der netcup GmbH angemieteten "Root Server mit CPU- und RAM-Ressourcen" (feste CPU-, RAM- und SSD-Zuteilung) betrieben wird. Der Anbieter hat als Alleininhaber ausschließlichen administrativen Zugriff (Root-/SSH-Zugang) auf diesen Server; netcup selbst hat keinen Zugriff auf den Mailserver oder die darauf verarbeiteten E-Mail-Inhalte und stellt lediglich die zugrunde liegende Hardware am Serverstandort Deutschland bereit. Ein externer E-Mail-/SMTP-Drittdienstleister wird nicht eingesetzt.

Der Versand unverschlüsselter E-Mails über das Internet kann technisch bedingte Risiken aufweisen. Vertrauliche Inhalte werden deshalb soweit möglich über geschützte Anwendungsfunktionen bereitgestellt; E-Mails sollen keine Klartext-Passwörter enthalten.

13. Kündigung und Widerruf

Bei Nutzung von Kündigungs- oder Widerrufsformularen werden insbesondere Name, Firma, Kontaktdaten, Vertragskennzeichnung, gewünschter Beendigungszeitpunkt, Erklärungstext, Eingangszeitpunkt, IP-Adresse und technische Bestätigungsdaten verarbeitet.

Die Verarbeitung erfolgt zur Bearbeitung und Dokumentation der Erklärung nach Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie zur Beweissicherung und Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO.

14. Elektronischer Abschluss des Auftragsverarbeitungsvertrags

Wird der AVV innerhalb der Anwendung elektronisch bestätigt, werden neben dem Vertragstext insbesondere Name, E-Mail-Adresse und Rolle der bestätigenden Person, Firmenzuordnung, IP-Adresse, Browserkennung, Host, Datum und Uhrzeit sowie die konkret bestätigte Vertragsfassung gespeichert.

Die Verarbeitung dient dem Nachweis des Abschlusses, der Version und der Vertretungszuordnung des AVV. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person Vertragspartei ist, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Gesetzliche Dokumentations- und Nachweispflichten können zusätzlich Art. 6 Abs. 1 lit. c DSGVO begründen.

15. Datenexport und Download-Sicherheit

Firmen-Admins können einen Export der dem Firmenkonto zugeordneten Kundendaten anfordern. Dabei werden die Exportanforderung, Firmen- und Nutzerzuordnung, Erstellungsstatus, E-Mail-Adresse, technische Exportdatei, Passwort-Hash, Downloadzeitpunkte, IP-Adressen und fehlgeschlagene Passwortversuche verarbeitet.

Der Export wird in einem offenen, dokumentierten JSON-Format innerhalb einer geschützten ZIP-Datei bereitgestellt. Das Download-Passwort wird nur für die Bereitstellung verwendet und nicht im Klartext gespeichert. Nach vier fehlgeschlagenen Passwortversuchen wird die Exportdatei nach dem derzeitigen Sicherheitskonzept gelöscht. Nicht heruntergeladene Exportdateien laufen nach 48 Stunden ab und werden gelöscht; ein neuer Export kann anschließend angefordert werden.

Soweit der Export Kundendaten des Firmenkunden betrifft, erfolgt die Verarbeitung als Auftragsverarbeitung. Sicherheits- und Nachweisdaten werden ergänzend auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet. Näheres zu portierbaren Datenkategorien und dem Wechselverfahren finden Sie im Export- und Wechselregister.

16. Hosting und eigene Produktbezeichnung "Datenschutzklassen"

Für Datenschutzklasse 1 und 2 werden die Produktwebsite und die Anwendung nach derzeitiger Konfiguration auf Serverinfrastruktur der netcup GmbH betrieben. Der Anbieter hat netcup als Hosting- beziehungsweise Infrastruktur-Dienstleister eingebunden und schließt, soweit erforderlich, einen Auftragsverarbeitungsvertrag.

Die konkret gebuchte Infrastruktur wird durch eigene Produktbezeichnungen beschrieben:

• Datenschutzklasse 1: gemeinsam genutzter Server bei netcup mit technischer und serverseitig durchgesetzter Mandantentrennung zwischen Firmenkunden;
• Datenschutzklasse 2: ein dem Firmenkunden exklusiv zugewiesener "Root Server mit CPU- und RAM-Ressourcen" bei netcup als Individuallösung;
• Datenschutzklasse 3,5: ein dem Firmenkunden exklusiv zugewiesener, eigener physischer Server des Anbieters am Serverstandort Deutschland, auf den ausschließlich der Anbieter selbst als Eigentümer administrativen Zugriff hat. Aus Gründen der besonderen Vertraulichkeit dieser Individuallösung werden zu diesem Server keine weiteren Infrastrukturdetails (zum Beispiel genauer Standort, Rechenzentrum oder Netzbetreiber) veröffentlicht.

Die Bezeichnung "Datenschutzklasse" ist keine amtliche, gesetzliche oder normierte Schutzklasse und kein Zertifikat. Ein exklusiv zugewiesener Root Server mit CPU- und RAM-Ressourcen oder physischer Server bedeutet nicht zwingend, dass Rechenzentrum, Netzwerk, Schutzsysteme, E-Mail-Versand, Verwaltungszugänge oder Backup-Infrastruktur ebenfalls ausschließlich für diesen Kunden genutzt werden.

Für alle Datenschutzklassen werden die Produktivdaten ausschließlich in Deutschland gespeichert. Details finden Sie auf der Data-Act-Informationsseite.

17. Datensicherung und Wiederherstellung

Zur Sicherung der Verfügbarkeit und Wiederherstellbarkeit werden automatisierte System- und Datenbanksicherungen stündlich erstellt. Diese stündlichen Sicherungen werden 7 Kalendertage aufbewahrt; danach wird nur noch jeweils eine tägliche Sicherung (in der Regel gegen 4:15 Uhr) aufbewahrt, insgesamt für höchstens 30 Kalendertage ab Erstellung der jeweiligen Sicherung.

Backups dienen der Wiederherstellung des Gesamtsystems nach technischen Störungen und sind kein individuelles Archiv. Einzelne Sicherungsläufe können fehlschlagen oder unvollständig sein. Eine Wiederherstellung jedes einzelnen stündlichen Standes oder ein bestimmter Wiederherstellungszeitpunkt wird nur geschuldet, wenn dies ausdrücklich vereinbart wurde.

Gelöschte oder geänderte Produktivdaten können bis zum turnusmäßigen Überschreiben noch in Sicherungskopien enthalten sein. Sicherungen werden nicht für den normalen Produktivzugriff bereitgehalten und nur verarbeitet, soweit dies für eine zulässige Systemwiederherstellung, Sicherheitsprüfung oder gesetzliche Pflicht erforderlich ist. Die maximale Backup-Aufbewahrungsdauer beträgt 30 Kalendertage ab Erstellung der jeweiligen Sicherungskopie. Details zu den technischen und organisatorischen Maßnahmen finden Sie in den TOMs.

18. Kundendaten in der Software: Auftragsverarbeitung

Firmenkunden können insbesondere folgende Datenarten in der Kundendatenbank verarbeiten: Namen, Firmen- und Kontaktdaten, Anschriften, Kommunikationsdaten, Ansprechpartner, Kundennummern, Seriennummern, Social-Media-Kontakte, Notizen, Gesprächsverläufe, Rückruf- und Termindaten, Zuständigkeiten, frei konfigurierbare Zusatzfelder sowie Änderungs- und Zugriffsprotokolle.

Zwecke und Rechtsgrundlagen dieser Verarbeitung bestimmt der jeweilige Firmenkunde. Tobias Völzke verarbeitet diese Daten ausschließlich im Rahmen des AVV, der dokumentierten Weisungen und der technisch bereitgestellten Funktionen. Die Daten werden nicht für eigene Werbung, Adresshandel oder sachfremde Zwecke genutzt.

Das interne Verwaltungswerkzeug ist nach dem vorgesehenen Konzept auf Firmen-, Nutzer-, Vertrags- und Limitverwaltung beschränkt und zeigt keine regulären Inhalte einzelner Kundendatensätze. Systemseitige Zugriffe auf Daten können jedoch im erforderlichen und rechtlich zulässigen Umfang für Wartung, Störungsbeseitigung, Sicherheit, Wiederherstellung oder die Erfüllung dokumentierter Weisungen möglich sein und sind angemessen zu beschränken und zu dokumentieren.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten oder Daten mit vergleichbar hohem Schutzbedarf sind nicht Bestandteil der Standardbeschreibung. Sie dürfen nur verarbeitet werden, wenn dies ausdrücklich vereinbart, technisch angemessen abgesichert und vom Firmenkunden datenschutzrechtlich geprüft wurde.

19. Empfänger und Dienstleister

Personenbezogene Daten werden nur weitergegeben, soweit dies für die genannten Zwecke erforderlich, gesetzlich vorgeschrieben oder zulässig ist. Empfänger beziehungsweise Empfängerkategorien können insbesondere sein:

• netcup GmbH beziehungsweise die konkret vertraglich eingesetzte Hosting- und Rechenzentrumsinfrastruktur;
• ALL-INKL.COM – Neue Medien Münnich als Speicherort für eine bereits vor der Übertragung verschlüsselte Offsite-Backup-Datei, soweit diese Sicherung eingesetzt wird;
• Kreditinstitute im Rahmen von Überweisungen und Rechnungszahlungen;
• Steuerberatung, Buchhaltung, Rechtsberatung und sonstige beruflich zur Verschwiegenheit verpflichtete Berater, soweit erforderlich;
• Behörden, Gerichte und sonstige öffentliche Stellen, wenn eine gesetzliche Pflicht besteht oder dies zur Rechtsverfolgung erforderlich ist;
• weitere Unterauftragsverarbeiter, die im AVV beziehungsweise in der aktuellen Unterauftragsverarbeiterliste benannt und nach Art. 28 DSGVO eingebunden sind.

Personenbezogene Daten werden nicht verkauft und nicht für fremde Werbezwecke bereitgestellt.

20. Drittlandübermittlungen

Für den derzeit vorgesehenen Produktivbetrieb ist keine Übermittlung der Produktivdaten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums vorgesehen. Die konkrete Aussage gilt nur, soweit Serverstandort, Backup-Speicher, Supportzugriffe, E-Mail-Versand und alle Unterauftragsverarbeiter tatsächlich innerhalb der EU beziehungsweise des EWR verbleiben. Details finden Sie auf der Data-Act-Informationsseite.

Soll künftig ein Dienstleister in einem Drittland eingesetzt oder von dort aus auf Daten zugegriffen werden, wird diese Erklärung vorab ergänzt. Eine Übermittlung erfolgt dann nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln.

21. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten, die Beweissicherung oder berechtigte Rechtsansprüche eine weitere Speicherung rechtfertigen. Die folgenden Fristen und Kriterien gelten nach dem derzeitigen Konzept:

Werden Daten nur noch zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung benötigt, wird ihre Verarbeitung soweit technisch und organisatorisch möglich auf diese Zwecke beschränkt.

22. Rechte betroffener Personen

Soweit Tobias Völzke für eine Verarbeitung Verantwortlicher ist, haben betroffene Personen nach den gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung personenbezogener Daten (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Unterrichtung der Empfänger über Berichtigung, Löschung oder Einschränkung, soweit einschlägig (Art. 19 DSGVO);
• Datenübertragbarkeit bei Vorliegen der gesetzlichen Voraussetzungen (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO (Art. 21 DSGVO);
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO);
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Anfragen können an abg-mail-12@tobiasvoelzke.net gerichtet werden. Zur Vermeidung unbefugter Auskünfte kann ein angemessener Identitätsnachweis verlangt werden. Gesetzliche Fristen beginnen mit Eingang eines hinreichend bestimmten und prüfbaren Antrags.

Soweit Tobias Völzke die betroffenen Daten ausschließlich als Auftragsverarbeiter verarbeitet, ist grundsätzlich der jeweilige Firmenkunde für die Bearbeitung des Antrags verantwortlich. Tobias Völzke unterstützt den Firmenkunden nach Maßgabe des AVV.

Zuständige Aufsichtsbehörde für den Unternehmenssitz ist insbesondere: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, Telefon (040) 428 54-4040, E-Mail mailbox@datenschutz.hamburg.de. Betroffene Personen können sich auch an eine andere gesetzlich zuständige Aufsichtsbehörde wenden.

23. Widerspruchsrecht

Widerspruch nach Art. 21 DSGVO

Werden personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet, haben betroffene Personen das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Die Verarbeitung wird dann beendet, sofern keine zwingenden schutzwürdigen Gründe nachgewiesen werden können, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

24. Automatisierte Entscheidungen und Profiling

Es findet im Rahmen des beschriebenen Produkts keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling im Sinne von Art. 22 DSGVO statt.

25. Datensicherheit

Es werden angemessene technische und organisatorische Maßnahmen eingesetzt, um personenbezogene Daten gegen Verlust, Veränderung, unbefugte Offenlegung und unbefugten Zugriff zu schützen. Dazu gehören nach dem derzeitigen Konzept insbesondere TLS-verschlüsselte Übertragung, Passwort-Hashing, serverseitige Rollen- und Rechteprüfungen, Mandantentrennung, Session-Erneuerung, Schutz gegen wiederholte Fehlanmeldungen, Sicherheitsprotokollierung, kontrollierte Exportbereitstellung und regelmäßige Sicherungen. Die vollständige Auflistung finden Sie in den technischen und organisatorischen Maßnahmen (TOMs).

Sicherheitsmaßnahmen werden entsprechend Risiko, Stand der Technik, Implementierungskosten und Art der Verarbeitung überprüft und angepasst. Eine absolute Sicherheit oder jederzeit fehlerfreie Verfügbarkeit kann technisch nicht gewährleistet werden.

26. Minderjährige

Das Produkt richtet sich an Unternehmen, Selbständige und deren autorisierte Nutzer und ist nicht für die selbständige Nutzung durch Kinder vorgesehen. Soweit ein Firmenkunde Daten Minderjähriger in der Kundendatenbank verarbeitet, ist der Firmenkunde für die hierfür erforderliche Rechtsgrundlage, Information und Schutzmaßnahmen verantwortlich.

27. Änderungen und Stand

Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungen, Dienstleister, technische Funktionen oder die Rechtslage ändern. Maßgeblich ist die bei Nutzung der Produktwebsite beziehungsweise Anwendung bereitgestellte Fassung.