Datenschutzerklärung

1. Wer ist verantwortlich?

Auf dieser Plattform gibt es zwei Rollen. Welche gilt, hängt davon ab, um welche Daten es geht.

Daten der Personen in einer Besprechung

Hierzu gehören Einladung, Name im Raum, Zeiten im Raum, Anwesenheit je Termin und, während der Besprechung, Ton, Bild, Bildschirmfreigabe und Chat. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist insoweit die Organisation, die den Raum betreibt und Sie eingeladen hat. Der Betreiber verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf dokumentierte Weisung dieser Organisation (Auftragsverarbeitungsvertrag). Fragen und Anträge zu diesen Daten richten Sie bitte an diese Organisation.

Vertrag und Abrechnung mit dem Kunden

Daten der Personen, die für einen Kunden handeln, sowie Rechnungsdaten. Hierfür ist der Betreiber Verantwortlicher:

Einen Datenschutzbeauftragten hat der Betreiber nicht benannt, weil keine Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG). Anfragen zum Datenschutz richten Sie an die oben genannte Adresse.

2. Welche Daten wir als Verantwortlicher verarbeiten

Vertrag und Konto des Kunden

Name der Organisation, Anschrift, Name und E-Mail-Adresse der handelnden Personen, Zugangsdaten (das Passwort speichern wir nur in einer nicht zurückrechenbaren Form), Angaben zum Vertrag und zur Abrechnung. Zweck: Vertragsschluss, Bereitstellung der Plattform, Kommunikation mit dem Kunden, Abrechnung. Rechtsgrundlage: Für die Daten von Kontaktpersonen einer Organisation grundsätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung und Verwaltung des Vertrags mit der Organisation); Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist; Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

Sicherheit des Betriebs

Beim Aufruf der Seiten verarbeitet der Server technisch bedingt Ihre IP-Adresse, Datum und Uhrzeit und die aufgerufene Adresse. Unsere Server führen kein Zugriffsprotokoll über einzelne Seitenaufrufe. Zum Schutz vor Missbrauch zählen wir Anfragen an Anmeldung, Passwort, Kontaktformular, Demo, Prüfseite und Schnittstelle kurzzeitig je pseudonymisierter IP-Adresse: Wir speichern dafür nur einen nicht zurückrechenbaren Schlüssel und löschen ihn nach Ablauf des Zeitfensters, spätestens nach einem Tag. Was Cloudflare beim Weiterleiten verarbeitet, steht in Abschnitt 4. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

E-Mails an uns und Kontaktformular

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten. Anfragen über das Kontaktformular (Name, Organisation, E-Mail-Adresse, Nachricht) speichern wir in unserer Datenbank und senden sie an unser Postfach. In der Datenbank löschen wir sie automatisch nach sechs Monaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, soweit die Anfrage im Namen einer Organisation bearbeitet wird; Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen anfordert.

3. Personen in einer Besprechung

Wenn Sie zu einer Besprechung eingeladen sind, ist die Organisation, die den Raum betreibt, für Ihre Daten verantwortlich, nicht der Betreiber. Die Plattform verarbeitet für sie insbesondere:

• Ihren Namen und Ihre E-Mail-Adresse aus der Einladung, ob Sie moderieren dürfen, und die Zeitpunkte von Einladung und letztem Besuch,
• bei Gästen ohne Konto den persönlichen Zugangslink, von dem wir nur einen nicht zurückrechenbaren Wert speichern, und den Namen, den Sie beim ersten Betreten angeben,
• die Anwesenheit je Termin: wer ab wann im Raum war und, vom Konferenzserver gemeldet, wann Sie den Raum betreten und verlassen haben. Daraus ergibt sich die Zeit im Raum, die die Organisation sieht.

Ihren persönlichen Zugangslink geben Sie bitte nicht weiter. Ist der Raum mit einem Kennwort geschützt, zählen wir Fehlversuche je pseudonymisierter IP-Adresse, um Raten zu verhindern.

4. Cookies, Empfänger und Drittländer

Cookies

Wir setzen nur Cookies, die für den Dienst technisch unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung nötig.

Ob Sie den Hinweis zu Cookies geschlossen haben, merkt sich Ihr Browser im lokalen Speicher (Eintrag „mc-cookie-hinweis“). Er bleibt auf Ihrem Gerät, wird nicht an uns übertragen und lässt sich über die Browsereinstellungen löschen. Gäste ohne Konto erreichen ihren Raum über den persönlichen Link aus der Einladung; die Sitzung merkt sich danach den Zugang.

Es gibt kein Tracking, keine Analyse-Werkzeuge, keine Werbung, keine Schriften oder Programmteile von fremden Servern.

Betrieb der Server

Plattform, Datenbank und Konferenzraum laufen auf einem Server, den Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen in einem Rechenzentrum in Finnland bereitstellt. Der Anbieter stellt Rechenzentrum, Hardware und Netzanbindung und handelt als Auftragsverarbeiter (Art. 28 DSGVO). Betriebssystem, Anwendung, Datenbank und Sicherungen betreibt der Betreiber selbst; die Sicherungen sind verschlüsselt.

Konferenzserver

Ton, Bild, Bildschirmfreigaben und Chat laufen über einen Konferenzserver, den der Betreiber selbst betreibt (Software Jitsi Meet). Der Server verarbeitet dazu Ihre IP-Adresse, technische Verbindungsdaten, den Namen, der im Raum angezeigt wird, und die übertragenen Inhalte, nur während der Besprechung. Aufzeichnung, Livestream und Transkription sind abgeschaltet, der Chat wird nicht gespeichert. Ton und Bild laufen verschlüsselt zwischen Ihrem Browser und dem Konferenzserver, nicht über Cloudflare und nicht direkt zwischen den Geräten; sie sind nicht Ende-zu-Ende-verschlüsselt. Der Betreiber nimmt vom Inhalt keine Kenntnis und wahrt das Fernmeldegeheimnis (§ 3 TDDDG). Einen Raum betritt nur, wer von der Plattform ein signiertes, zeitlich begrenztes Ticket für genau diesen Raum erhält.

Die Oberfläche des Konferenzraums speichert Ihre Einstellungen, etwa Kamera, Mikrofon und Hintergrund, im lokalen Speicher Ihres Browsers. Diese Angaben bleiben auf Ihrem Gerät und sind für die Funktion nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

Netzwerkdienst (Cloudflare)

Alle Aufrufe der Plattform laufen über das Netz von Cloudflare: Cloudflare nimmt die verschlüsselte Verbindung Ihres Browsers an und leitet sie durch einen verschlüsselten Tunnel an unsere Server weiter (Cloudflare Tunnel). Cloudflare verarbeitet dabei Ihre IP-Adresse, die aufgerufene Adresse, technische Verbindungsdaten und, zur Weiterleitung, die übertragenen Inhalte. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA; deutsche Niederlassung ist die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare handelt als Auftragsverarbeiter nach dem Data Processing Addendum von Cloudflare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und verfügbarer Betrieb, Schutz vor Angriffen); für Daten, die wir im Auftrag unserer Kunden verarbeiten, gilt der Auftragsverarbeitungsvertrag. Cloudflare sieht dabei auch die vollständige aufgerufene Adresse, also auch persönliche Zugangslinks, und speichert Verbindungsdaten nach seinen Vorgaben für kurze Zeit.

Drittland: Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO). Ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) aus dem Data Processing Addendum.

E-Mail-Versand

Automatisierte E-Mails der Plattform, zum Beispiel Anmeldebestätigungen mit dem persönlichen Link, versenden wir über Brevo (Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) als Auftragsverarbeiter. Brevo verarbeitet die Daten in der EU und erhält Empfängeradresse, Betreff und Inhalt der Nachricht sowie die Angaben, die für die Zustellung nötig sind. Öffnungen und Klicks werten wir nicht aus.

Drittland: Soweit Brevo Unterauftragsverarbeiter mit Sitz außerhalb der EU einsetzt, gelten die im Vertrag zur Auftragsverarbeitung mit Brevo vereinbarten Garantien (Angemessenheitsbeschluss nach Art. 45 DSGVO, etwa das EU-US Data Privacy Framework, oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).

Unser Postfach

E-Mails an uns liegen im Postfach bei der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Sonstige Empfänger

Weitere Empfänger gibt es nur, wenn ein Gesetz uns verpflichtet, zum Beispiel gegenüber Finanzbehörden oder Gerichten.

5. Wie lange wir Daten speichern

6. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO), soweit die gesetzlichen Voraussetzungen erfüllt sind,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), soweit wir Daten auf Grundlage einer Einwilligung verarbeiten.

Für die Daten Ihres Kontos nutzen Sie die Funktionen unter „Ihr Konto“ oder schreiben uns. Für Daten, die wir im Auftrag eines Kunden verarbeiten (zum Beispiel eines Veranstalters, Ihres Arbeitgebers oder der Organisation, die Sie eingeladen hat), wenden Sie sich bitte an diesen. Er kann Ihre Daten in der Plattform als Datei ausgeben, pseudonymisieren oder löschen; wir unterstützen ihn dabei.

7. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattfand. Zuständig für den Betreiber ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

8. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Ohne die Daten für Vertrag und Abrechnung können wir keinen Vertrag schließen. Um an einer Besprechung teilzunehmen, brauchen Sie einen Namen, der im Raum angezeigt wird; Kamera und Mikrofon können Sie ausgeschaltet lassen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.