Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

itemis AG
Speicherstraße 8
44147 Dortmund
Deutschland
E-Mail: [email protected]

Weitere Angaben zum Anbieter finden Sie in unserem Impressum auf der Curaibo-Website.

2. Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten bestellt. Sie erreichen ihn wie folgt:

itemis AG
Der Datenschutzbeauftragte
Speicherstraße 8
44147 Dortmund
Deutschland
E-Mail: [email protected]

3. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), zur Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) oder auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).

4. Hosting und Bereitstellung der Anwendung

Unsere Anwendung wird bei STACKIT (Schwarz Digits Cloud GmbH & Co. KG, Stiftsbergstraße 1, 74172 Neckarsulm, Deutschland) auf Servern in Deutschland betrieben. Der Hosting-Dienstleister verarbeitet personenbezogene Daten ausschließlich weisungsgebunden in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Bei diesem Hosting findet keine Übermittlung in ein Drittland außerhalb der EU/des EWR statt.

Der Aufruf der Anwendung läuft derzeit über einen vorgeschalteten Dienst der Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA; in der Europäischen Union vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München). Cloudflare nimmt die Verbindung entgegen, entschlüsselt sie und leitet sie an die oben genannten Server weiter; dabei werden Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung) sowie die über die Verbindung übertragenen Inhalte verarbeitet. Cloudflare wird für uns weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO tätig; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und verfügbaren Betrieb der Anwendung). Da es sich um ein Unternehmen mit Sitz in den USA handelt, ist eine Übermittlung personenbezogener Daten in die USA nicht ausgeschlossen; sie erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission; die Cloudflare, Inc. ist zudem unter dem EU-US Data Privacy Framework zertifiziert. Trotz dieser Garantien kann nicht ausgeschlossen werden, dass US-Behörden auf die Daten zugreifen.

5. Server-Logdateien

Bei jedem Aufruf dieser Anwendung erfasst unser System automatisiert Daten und Informationen des aufrufenden Systems (Server-Logdateien). Hierzu können gehören: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge sowie Browsertyp und Betriebssystem. Rechtsgrundlage ist unser berechtigtes Interesse an der technischen Bereitstellung und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Die Server-Logdateien werden nach 30 Tagen automatisch gelöscht, sofern sie nicht im Einzelfall zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

6. Cookies und Sitzungsverwaltung

Wir setzen technisch notwendige Cookies ein, um die Anmeldung und die sichere Sitzung (Session) angemeldeter Nutzerinnen und Nutzer zu ermöglichen. Diese Cookies sind für den Betrieb der Plattform erforderlich und speichern keine Informationen zu Marketing- oder Analysezwecken; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG. Ein Einsatz von nicht notwendigen Cookies, Tracking- oder Analysediensten erfolgt nicht.

7. Registrierung und Anmeldung

Der Zugang zur Plattform erfolgt ausschließlich für autorisierte Nutzerinnen und Nutzer auf Einladung. Die Authentifizierung erfolgt über den Identitätsdienst ZITADEL (Single Sign-on auf Basis von OpenID Connect). Dabei werden die zur Authentifizierung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Zugangskennungen) verarbeitet. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

ZITADEL wird als Cloud-Dienst von der CAOS AG (Lerchenfeldstrasse 3, 9014 St. Gallen, Schweiz), einer Tochtergesellschaft der ZITADEL Inc. (USA), bereitgestellt, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist. Die Daten werden in der Region Europäische Union in Rechenzentren der Google Cloud in Frankfurt am Main gespeichert; auch Sicherungskopien verbleiben in dieser Region. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Soweit Unterauftragsverarbeiter der CAOS AG Daten außerhalb der EU oder der Schweiz verarbeiten, insbesondere in den USA, erfolgt dies auf Grundlage der Standardvertragsklauseln der EU-Kommission. Trotz dieser Garantien kann nicht ausgeschlossen werden, dass US-Behörden auf die Daten zugreifen.

E-Mails zur Anmeldung und Kontoverwaltung (z. B. Einladungen, Bestätigungen, Einmal-Codes) versenden wir über den E-Mail-Versanddienst Lettermint der Lettermint B.V. (Willemsvaart 16 B, 8019 AB Zwolle, Niederlande), die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist. Über denselben Dienst laufen auch die übrigen E-Mails, die die Anwendung versendet, sofern Ihre Kanzlei keinen eigenen SMTP-Server hinterlegt hat. Die E-Mail-Daten werden dabei innerhalb der Europäischen Union verarbeitet.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben zum Zweck der Bearbeitung der Anfrage sowie für den Fall von Anschlussfragen gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Unsere Postfächer werden über Google Workspace betrieben, den E-Mail- und Bürodienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist. Dabei kann eine Übermittlung an die Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) und damit in die USA nicht ausgeschlossen werden. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission; die Google LLC ist zudem unter dem EU-US Data Privacy Framework zertifiziert. Trotz dieser Garantien kann nicht ausgeschlossen werden, dass US-Behörden auf die Daten zugreifen.

9. Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

10. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für den Verantwortlichen ist die zuständige Aufsichtsbehörde die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

11. Aktualität dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Bedarf angepasst, um sie an geänderte Rechtslagen oder Änderungen unserer Verarbeitungstätigkeiten anzupassen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.