Pflichtinformationen gem. Art. 13 DSGVO

Der Schutz personenbezogener Daten unserer Ansprechpartner bei Interessenten, Kunden, Vertriebspartner und Lieferanten (nachfolgend „Geschäftspartner“) ist uns ein wichtiges Anliegen. Deshalb verarbeiten wir personenbezogene Daten in Übereinstimmung mit den anwendbaren Rechtsvorschriften zum Schutz personenbezogener Daten und zur Datensicherheit.

I. Kontaktdaten des Verantwortlichen

Verantwortlicher ist die Stelle, die allein -oder gemeinsam mit anderen- über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Verantwortliche im Sinne der Datenschutz-Grundverordnung und anderer nationaler Datenschutzgesetze der Mitgliedsstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

ECOPLAN GmbH
Justus-Liebig-Straße 6
D-36093 Künzell
Vertreten durch: Marcel Gerk, Roland Vollmer
Telefon: +49 661 410844-0
E-Mail: info@ecoplan-crm.de
Internet: www.ecoplan-crm.de

II. Kontaktdaten des (externen) Datenschutzbeauftragten

Wir haben einen externen Datenschutzbeauftragten bestellt:

BerIsDa GmbH | Internetseite: www.berisda.de

Sie erreichen den Datenschutzbeauftragten postalisch unter: ECOPLAN GmbH, z. Hd. des Datenschutzbeauftragten, Justus-Liebig-Straße 6, D-36093 Künzell oder per E-Mail unter
datenschutz@berisda.de

III. Beschreibung der Verarbeitung

1.     Beschreibung und Umfang der Verarbeitung

Wir verarbeiten personenbezogene Daten, die wir im Rahmen unserer Geschäfts- und Vertragsbeziehung von Ihnen oder Ihrem Arbeitgeber oder im Rahmen einer vorvertraglichen Kontaktaufnahme oder einer sonstigen Anfrage Ihrerseits erhalten. Wir verarbeiten gegebenenfalls die folgenden Kategorien personenbezogener Daten:

• Stamm- und Kontaktdaten wie Anrede, Vor- und Nachnamen, geschäftliche Anschrift, ggfls. Geburtsname, Geburtsdatum, geschäftliche Kontaktdaten (Telefonnummern, Mobilfunknummern, Faxnummer und E-Mail-Adressen)
• Informationen zur Funktion und zu Ihrer Tätigkeit (bei Ihrem Arbeitgeber)
• Informationen, die aus öffentlich verfügbaren Quellen erhoben wurden
• Legitimations- und Benutzerdaten (Anwendungsspezifisch)
• Fotos und Bewegtbildaufnahmen
• Kommunikationsdaten im Zusammenhang mit Korrespondenzen
• Projekt-, Vertrags- und Abrechnungsdaten
• Weitere Daten, deren Verarbeitung im Rahmen eines Projekts oder der Abwicklung einer Vertragsbeziehung erforderlich sind oder die freiwillig von unseren Ansprechpartnern angegeben werden, wie getätigte Anfragen oder Projektdetails

Ihre personenbezogenen Daten werden grundsätzlich direkt bei Ihnen oder Ihrem Arbeitgeber im Rahmen der gemeinsamen Zusammenarbeit erhoben. Die Bereitstellung Ihrer personenbezogenen Daten ist weder gesetzlich noch vertraglich vorgeschrieben, ist jedoch für die Kommunikation und die Abwicklung von Verträgen mit uns erforderlich. Eine Verpflichtung zur Bereitstellung besteht nicht. Sollten Sie uns die notwendigen Informationen und Unterlagen nicht zur Verfügung stellen, können wir die von Ihnen gewünschte Geschäftsbeziehung nicht aufnehmen oder fortsetzen. Dies gilt auch für die Beantwortung von Anfragen Ihrerseits. Darüber hinaus werden wir in der Regel nicht in der Lage sein, die Geschäftsbeziehung zu Ihnen aufrechtzuerhalten bzw. einen Vertrag mit Ihnen oder Ihrem Arbeitgeber zu schließen, diesen auszuführen und zu beenden. Die Nichtbereitstellung kann daher dazu führen, dass Sie kein Ansprechpartner und/oder Geschäftspartner sein können. Zur Verarbeitung der von Ihnen überlassenen Daten kommt keine vollautomatisierte Entscheidungsfindung (einschließlich Profiling) gem. Art. 22 DSGVO zum Einsatz.

Wir identifizieren zudem anhand der übermittelten Informationen potenzielle Geschäftspartner, die unsere Leistungen und Informationen benötigen könnten, und informieren diese Geschäftspartner per Briefwerbung. Wir behalten uns vor im Falle eines dauerhaften Widerspruchs Ihren Namen und Ihre Kontaktdaten allein zu diesem Zweck in einer Werbesperrdatei zu speichern.

2. Rechtsgrundlage der Verarbeitung

Die Verarbeitung der Daten erfolgt zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen (Anbahnung, Durchführung und Beendigung) auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b DSGVO. Die Verarbeitung Ihrer Daten als Ansprechpartner einer juristischen Person erfolgt zur Wahrung unserer berechtigten Interessen gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO, und zwar zur Erfüllung eines mit Ihrem Arbeitgeber geschlossenen Vertrages. Soweit notwendig verarbeiten wir Ihre personenbezogenen Daten auch darüber hinaus aufgrund einer Interessenabwägung (berechtigtes Interesse gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO), wonach die Verarbeitung zulässig ist, wenn sie zur Wahrung der berechtigten Interessen von uns oder von Dritten erforderlich ist und Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen.

Die Verarbeitung Ihrer Daten zum Zwecke der postalischen Direktwerbung erfolgt ebenfalls auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO, für die Speicherung Ihrer Daten in einer Werbesperrdatei zu Nachweiszwecken und Abwehr von Haftungsansprüchen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Die Verarbeitung Ihrer Daten kann zudem aufgrund gesetzlicher Vorgaben (gem. Art. 6 Abs. 1 S. 1 lit. c DSGVO) erfolgen oder im öffentlichen Interesse (gem. Art. 6 Abs.1 S. 1 lit. e DSGVO) liegen. Die Zwecke der Datenverarbeitung ergeben sich aus gesetzlichen Vorgaben oder liegen im öffentlichen Interesse (z. B. Einhaltung von Aufbewahrungspflichten).

3.  Zweck der Verarbeitung

Für folgende Zwecke verarbeiten wir Daten von Geschäftspartnern und deren Ansprechpartnern:

• Allgemeine Kommunikation mit Geschäftspartnern zu Dienstleistungen und Projekten, z.B. um Anfragen des Geschäftspartners zu bearbeiten
• Planung, Durchführung und Verwaltung der (vertraglichen) Geschäftsbeziehung zwischen dem Verantwortlichen und dem Geschäftspartner
• Durchführen von postalischen Marketingkampagnen, Veranstaltungen für Geschäftspartner und ähnlichen Aktionen und Events
• Postalische Zustellung von Informationen, von denen wir annehmen, dass diese für Sie interessant sind
• Einhalten von rechtlichen Anforderungen (z.B. von steuer- und handelsrechtlichen Aufbewahrungspflichten)

Darüber hinaus erfolgt eine Verarbeitung zu folgenden Zwecken:

• Maßnahmen für die Optimierung unserer Geschäftsprozesse wie z.B. das Führen einer Customer-Relationship-Management-Datenbank
• Sicherstellung von Maßnahmen zur Gebäude- und Anlagensicherheit, wie z.B. die Durchführung von Zutrittskontrollen und die Ausstellung von Besucherausweisen
• Beilegen von Rechtsstreitigkeiten, Durchsetzen bestehender Verträge und zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen
• Aufrechterhalten und Schutz der Sicherheit unserer Dienstleistungen, Verhindern und Aufdecken von Sicherheitsrisiken, betrügerischem Vorgehen oder anderen kriminellen oder mit Schädigungsabsicht vorgenommenen Handlungen

In diesen Zwecken liegt auch unser berechtigtes Interesse in der Verarbeitung der personenbezogenen Daten nach Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Die Verarbeitung Ihrer Daten erfolgt zudem zum Zwecke der postalischen Direktwerbung. Die Aufnahme in eine Werbesperrdatei dient zum Nachweis und zur Abwehr von Haftungsansprüchen sowie zur Berücksichtigung Ihrer erteilten Werbewidersprüche bei zukünftigen Marketinginitiativen. In diesen Zwecken liegt auch unser berechtigtes Interesse in der Verarbeitung der personenbezogenen Daten nach Art. 6 Abs. 1 S. 1 lit. f DSGVO.

4. Dauer der Verarbeitung, Widerspruchs- und Beseitigungsmöglichkeit

Die Verarbeitung der von Ihnen überlassenen Daten erfolgt so lange, wie sie zur Erreichung des vertraglich vereinbarten Zweckes notwendig ist, jedoch grundsätzlich so lange, bis das Vertragsverhältnis mit Ihnen oder Ihrem Arbeitgeber besteht. Die Daten werden daher gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Dies ist zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen dann der Fall, wenn die Daten für die Durchführung des Vertrages nicht mehr erforderlich sind. Auch nach Abschluss des Vertrags kann eine Erforderlichkeit, personenbezogene Daten des Vertragspartners zu speichern, bestehen, um vertraglichen oder gesetzlichen Verpflichtungen nachzukommen. Nach der Beendigung des Vertragsverhältnisses werden die von Ihnen überlassenen Daten daher zur Einhaltung gesetzlicher Aufbewahrungspflichten oder aufgrund unserer berechtigten Interessen verarbeitet. Nach Wegfall unserer berechtigten Interessen oder gesetzlicher Vorgaben werden Ihre Daten gelöscht.

Wir nutzen Ihre Kontaktdaten, um Sie per Post über unsere Leistungen zu informieren. Dieser Verarbeitung Ihrer personenbezogenen Daten zur Direktwerbung können Sie jederzeit widersprechen:

Werden die Sie betreffenden personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Widersprechen Sie der Verarbeitung für Zwecke der Direktwerbung, so werden die Sie betreffenden personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet. (Widerspruch nach Art. 21 Abs. 2 DSGVO)

Wenden Sie sich dazu bitte an die oben angegebenen Kontaktdaten. Dabei entstehen Ihnen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Wir behalten uns vor, im Falle eines dauerhaften Widerspruchs Ihre E-Mailadresse und/oder Ihre Postadresse allein zu diesem Zweck in einer Werbesperrdatei zu speichern. Die Speicherung in der Werbesperrdatei ist zeitlich nicht befristet. Sie können der Speicherung widersprechen, sofern Ihre Interessen unser berechtigtes Interesse überwiegen.

Für weiterführende Informationen zur Aufbewahrungsdauer der einzelnen Daten nach Beendigung des Vertragsverhältnisses bitten wir Sie den zuständigen Datenschutzbeauftragten zu kontaktieren.

5. Empfänger der Daten

Innerhalb unserer Organisation erhalten diejenigen Stellen und Bereiche Zugriff auf Ihre personenbezogenen Daten, die diese zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten bzw. der o.g. Zwecke benötigen und die zur Verarbeitung dieser Daten berechtigt sind.

Im Rahmen unserer Leistungserbringung beauftragen wir Auftragsverarbeiter, die zur Erfüllung der vertraglichen Pflichten beitragen. Wir arbeiten mit Dienstleistern, wie beispielsweise Dienstleistern für sicheren Datentransfer (ftapi), IT-Wartungsleistungen, Videokonferenztools (Microsoft) oder Newsletter Versand (INXMAIL), zusammen (sog. Auftragsverarbeiter). Diese Dienstleister werden nur nach unserer Weisung tätig und sind vertraglich auf die Einhaltung der geltenden datenschutzrechtlichen Anforderungen verpflichtet. Dazu schließen wir schriftlich entsprechende Auftragsverarbeitungsverträge mit diesen Dienstleistern ab.

Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass unsere Dienstleister die personenbezogenen Daten unserer Geschäftspartner nur nach unseren Weisungen und unter Einhaltung der datenschutzrechtlichen Bestimmungen (DSGVO, BDSG, usw.)  verarbeiten.

Wir übermitteln gegebenenfalls personenbezogene Daten an Gerichte, Aufsichtsbehörden oder Anwaltskanzleien, soweit hierfür nach Art. 6 Abs. 1 S. 1 lit. c DSGVO eine gesetzliche Verpflichtung besteht oder nach Art. 6 Abs. 1 S. 1 lit. f DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein Grund zu der Annahme besteht, dass unsere Geschäftspartner ein überwiegendes schutzwürdiges Interesse an der Nichtweitergabe der Daten haben.

6. Einsatz von Künstlicher Intelligenz

Im Rahmen der Abwicklung unserer Projekte und der damit verbundenen Kommunikation setzen wir Anwendungen Künstlicher Intelligenz (KI), insbesondere den Dienst Claude des Anbieters Anthropic, ein. Die Nutzung erfolgt insbesondere zur Unterstützung bei der Bearbeitung, Strukturierung und Aufbereitung von Informationen sowie bei der Kommunikation im Projektgeschäft.

Dabei achten wir darauf, keine personenbezogenen Daten an den Anbieter des KI-Dienstes zu übermitteln. Personenbezogene Daten werden vor einer Verarbeitung durch KI-Anwendungen entsprechend entfernt, anonymisiert oder so aufbereitet, dass ein Personenbezug nicht hergestellt werden kann.

Die Verarbeitung personenbezogener Daten erfolgt daher nicht durch den KI-Anbieter im Rahmen der von uns beschriebenen Nutzung.

7. Datenübermittlung an ein Drittland oder eine internationale Organisation

Die Europäische-Datenschutzgrundverordnung (DSGVO) setzt voraus, dass die Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, nur zulässig ist, wenn ein mit den Vorgaben der DSGVO vergleichbares Datenschutzniveau gewährleistet ist. Wenn also sichergestellt ist, dass die Bestimmungen der DSGVO eingehalten werden – dazu kann beispielsweise das Vorliegen eines Angemessenheitsbeschlusses der EU-Kommission i.S.d. Art. 45 Abs. 1, 3 DSGVO oder die Einführung unternehmensinterner, von einer Aufsichtsbehörde genehmigter Datenschutzvorschriften (sog. „geeignete Garantien“, Art. 46 Abs. 2, 3 DSGVO) zählen.

Wir übermitteln Daten auch in Drittländer.

Eine Übermittlung der Daten in die USA ist zulässig, wenn der Empfänger eine Zertifizierung unter dem „EU-US Data Privacy Framework“ (DPF) besitzt oder über geeignete zusätzliche Garantien verfügt. Das DPF ist ein (individuelles) Übereinkommen zwischen der Europäischen Union und den USA, welches die Einhaltung europäischer Datenschutzstandards bei Datenverarbeitungen in den USA gewährleisten soll. Jedes nach dem DPF-zertifizierte Unternehmen verpflichtet sich, diese Datenschutzstandards einzuhalten.

Für die interne und externe Kommunikation sowie für die Zusammenarbeit in Projekten nutzen wir Microsoft 365. Anbieter und Auftragsverarbeiter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (nachfolgend „Microsoft“). Microsoft wird nur nach unserer Weisung tätig und ist vertraglich auf die Einhaltung der geltenden datenschutzrechtlichen Anforderungen verpflichtet; wir haben mit Microsoft einen Auftragsverarbeitungsvertrag geschlossen. Wir achten bei der Vertragsgestaltung und Konfiguration darauf, dass die Verarbeitung der personenbezogenen Daten innerhalb der Europäischen Union stattfindet (sog. EU Data Boundary). Der Hauptsitz der Muttergesellschaft (Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA) liegt aus Datenschutzsicht in einem Drittland. Eine Verarbeitung der personenbezogenen Daten auf Servern, auf welche auch die Muttergesellschaft Zugriff hat, kann, bspw. im Supportfall, nicht gesichert ausgeschlossen werden. Für diese Fälle stützen wir die Übermittlung auf die Zertifizierung der Microsoft Corporation nach dem „EU-US Data Privacy Framework“ (DPF) sowie ergänzend auf die von Microsoft einbezogenen EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Die Liste der zertifizierten Unternehmen finden Sie unter: https://www.dataprivacyframework.gov/list. Dort können Sie nach dem Anbieternamen suchen und die Zertifizierung direkt einsehen.

Im Rahmen der Zusammenarbeit in Projekten nutzen wir nach Bedarf des Kunden die Cloud-Dienste Jira, Confluence und Bitbucket. Anbieter ist die Atlassian Pty Ltd, Level 6, 341 George Street, Sydney NSW 2000, Australien, die die Dienste gemeinsam mit ihrer US-amerikanischen Konzerngesellschaft Atlassian US, Inc., 350 Bush Street, Floor 13, San Francisco, CA 94104, USA, erbringt. Die Sitze der Anbieter liegen damit aus Datenschutzsicht in Drittländern (Australien und Vereinigte Staaten), für die kein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO vorliegt. Atlassian wird nur nach unserer Weisung tätig und ist vertraglich auf die Einhaltung der geltenden datenschutzrechtlichen Anforderungen verpflichtet; Grundlage ist das Atlassian Data Processing Addendum. Soweit wir die Instanz selbst betreiben, nutzen wir die Funktion „Data Residency“ mit dem Speicherort Europa, sodass die abgedeckten Produktdaten im Ruhezustand innerhalb der Europäischen Union gespeichert werden. Eine Verarbeitung der personenbezogenen Daten auf Servern, auf welche auch Konzerngesellschaften außerhalb der Europäischen Union Zugriff haben, kann, bspw. im Supportfall, nicht gesichert ausgeschlossen werden. Die Übermittlung in die USA stützen wir auf die Zertifizierung von Atlassian nach dem „EU-US Data Privacy Framework“ (DPF), die Übermittlung nach Australien auf die im Data Processing Addendum einbezogenen EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Die Liste der DPF-zertifizierten Unternehmen finden Sie unter: https://www.dataprivacyframework.gov/list. Dort können Sie nach dem Anbieternamen suchen und die Zertifizierung direkt einsehen.

Nutzen wir im Projekt eine vom Kunden bereitgestellte Atlassian-Instanz, ist der Kunde für diese Verarbeitung datenschutzrechtlich verantwortlich; es gelten dann dessen Datenschutzinformationen.

Eine weitere, gezielte Übermittlung der von Ihnen überlassenen Daten an ein Drittland oder eine internationale Organisation erfolgt nicht. Sollten Sie im Einzelfall eine gezielte Übermittlung der von Ihnen überlassenen Daten an ein Drittland oder eine internationale Organisation wünschen, führen wir dies nur nach Ihrer schriftlichen Einwilligung durch.

IV. Rechte der betroffenen Person

Wenn wir personenbezogene Daten von Ihnen verarbeiten, haben Sie als Betroffener folgende Rechte gegenüber uns als Verantwortlichen:

1. Recht auf Auskunft, Art. 15 DSGVO

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf (unentgeltliche) Auskunft über Ihre erhobenen und gespeicherten personenbezogenen Daten. Dazu gehört u.a. auch die Auskunft über deren Verarbeitungszwecke, deren Herkunft und Empfänger, die Speicherdauer sowie das Bestehen verschiedener Rechte.

2. Recht auf Berichtigung, Art. 16 DSGVO

Sie haben gegenüber dem Verantwortlichen ein Recht auf Berichtigung (auch im Sinne einer Vervollständigung) Ihrer Daten, sofern die verarbeiteten personenbezogenen Daten, die Sie betreffen, unrichtig oder für den Zweck der Verarbeitung unvollständig sind. Der Verantwortliche hat die Berichtigung unverzüglich vorzunehmen.

3. Recht auf Löschung, Art. 17 DSGVO

Sie können unter den Bedingungen des Art. 17 DSGVO jederzeit die Löschung Ihrer personenbezogenen Daten verlangen, es sei denn, dass noch Umstände zum Tragen kommen, die den Verantwortlichen berechtigen oder verpflichten, Ihre personenbezogenen Daten weiterhin zu verarbeiten (wie bspw. gesetzliche Aufbewahrungspflichten).

4. Recht auf Einschränkung der Verarbeitung, Art. 18 DSGVO

Bei Vorliegen der gesetzlichen Voraussetzungen können Sie im Umfang von Art. 18 DSGVO eine Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen.

5. Recht auf Datenübertragbarkeit, Art. 20 DSGVO

Haben Sie uns personenbezogene Daten bereit gestellt, und erfolgt eine automatisierte Verarbeitung auf Grundlage Ihrer Einwilligung oder auf Grundlage eines Vertrags so haben Sie im Umfang von Art. 20 DSGVO ein Recht auf Übertragung der von Ihnen bereitgestellten Daten, sofern dadurch nicht die Rechte und Freiheiten anderer Personen beeinträchtigt werden. Die Bereitstellung erfolgt in einem gängigen, maschinenlesbaren Format. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

6. Widerspruchsrecht, Art. 21 DSGVO

Sie haben das Recht, im Umfang von Art. 21 DSGVO gegen eine Verarbeitung Widerspruch zu erheben, soweit die Datenverarbeitung zum Zwecke der Direktwerbung oder des Profilings erfolgt. Einer Verarbeitung auf Grund einer Interessenabwägung können Sie unter Angabe von Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.

7. Recht auf Beschwerde bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde für den Datenschutz, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die für uns zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Wenn Sie sich in einem anderen Bundesland oder nicht in Deutschland aufhalten, können Sie sich aber auch an die dortige Datenschutzbehörde wenden.