Datenschutzhinweise

1. Geltungsbereich

Dieses Dokument enthält Informationen über die Erhebung und Verarbeitung personenbezogener Daten und gilt für natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen (nachfolgend: „Dritte“), für die die CSS AG und/oder ihre direkten oder indirekten Tochtergesellschaften (nachfolgend: alle Gesellschaften einheitlich „CSS“) im Rahmen ihrer Leistungserbringung tätig werden oder bei denen CSS in sonstiger Weise mit personenbezogenen Daten des Dritten in Berührung kommt. Soweit in diesem Dokument die Vorschriften der Datenschutzgrundverordnung (DSGVO) benannt sind, finden diese nach Maßgabe von Art. 3 DSGVO Anwendung. Im Übrigen gelten die jeweils anwendbaren gesetzlichen Bestimmungen zum Datenschutz.

2. Verantwortliche Stelle und Datenschutzbeauftragter

Verantwortliche Stelle:

CSS AG
Danziger Str. 4
36093 Künzell

Vorstand: Robert Lindner, Stevan Lutz, Frank Boettiger

Tel.: +49 (0) 661 9392-0
E-Mail: info(at)css.de

Namen und Kontaktdaten des für Sie relevanten und ggf. abweichenden Verantwortlichen von CSS ergeben sich aus Ihrem Vertragsverhältnis bzw. der Leistungsbeziehung mit der jeweiligen Gesellschaft.

Für alle Fragen zum Datenschutz und zur Umsetzung der gesetzlichen Bestimmungen wenden Sie sich bitte an unseren Datenschutzbeauftragten:

Jürgen Gies
Danziger Str. 4
36093 Künzell

Tel.: +49 (0) 661 9392-150
E-Mail: datenschutz(at)css.de

3. Erforderlichkeit der Bereitstellung Ihrer personenbezogenen Daten, Verarbeitungszwecke und Rechtsgrundlage

CSS verarbeitet die von Ihnen erhobenen personenbezogene Daten zu den nachfolgenden Zwecken, wenn dies erforderlich ist oder wird.

Vertragsverhältnis:
Für die Begründung und Durchführung des Vertragsverhältnisses ist die Bereitstellung Ihrer personenbezogenen Daten durch Sie erforderlich. Sofern Sie Ihre personenbezogenen Daten nicht bereitstellen, ist der Abschluss des jeweiligen Vertrags ggf. nicht möglich. Die Verarbeitung Ihrer personenbezogenen Daten zum Zwecke des Vertragsverhältnisses erfolgt auf der Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Sofern besondere Kategorien personenbezogener Daten betroffen sind, richtet sich die Verarbeitung insbesondere nach Art. 9 Abs. 2 b) DSGVO i.V.m. den jeweils landesspezifischen Konkretisierungen und Ergänzungen zur DSGVO. In Abhängigkeit von unserer jeweiligen Leistungserbringung verarbeiten wir i.d.R. folgende personenbezogene Daten:

Persönliche Angaben: z.B. Vor- und Nachname, Adresse, Telefon- und Faxnummer, E-Mail-Adresse, Firmenposition und Firmenabteilung sowie ggf. weitere vergleichbare Daten. Besondere Kategorien personenbezogener Daten („Sensible Daten“) wie Religionszugehörigkeit etc. erheben wir i.d.R. nicht.
Auftrags- und Umsatzdaten: z.B. IBAN, Überweisungsdaten, SEPA-Lastschriftmandate, Auftrags- und Umsatzvolumen
Angaben zu Ihren Interessen und Wünschen: z.B. Interesse an einzelnen Produkten und Ihre Wünsche zur weiteren Kontaktaufnahme und Übersendung von Informationsmaterial über unseren Kundendialog, unser Permission-Marketing und unsere Website

Berechtigte Interessen:
Insbesondere sofern kein Vertragsverhältnis mit Ihnen besteht, verarbeitet CSS Ihre Daten auf Basis eines berechtigten Interesses. Das berechtigte Interesse ergibt sich aus dem jeweiligen Einzelfall, für welchen die Datenverarbeitung erforderlich ist. Die Rechtsgrundlage ist sodann Art. 6 Abs. 1 lit. f DSGVO. Für Rückfragen zu den Sie betreffenden Datenverarbeitungsfällen steht Ihnen unser Datenschutzbeauftragter zur Verfügung.

Kundenzufriedenheitsbefragungen:
Wir führen regelmäßig Kundenzufriedenheitsbefragungen durch, um unsere Produkt- und Serviceleistungen zu verbessern. Hierfür nutzen wir den Dienst der REFINER SAS, 10 rue de Penthièvre, 75008 Paris („REFINER“). REFINER verarbeitet die Umfragedaten in unserem Auftrag gemäß Art. 28 DSGVO und stellt uns die Ergebnisse in einem passwortgeschützten Dashboard zur Verfügung. Für die Einladung zu diesen Befragungen verwenden wir die geschäftlichen E-Mail-Adressen von Mitarbeitenden unserer Kunden, die im Rahmen eines Vertragsverhältnisses durch uns erhoben wurden. Dabei gilt die folgende Differenzierung:

Neukunden (Art. 13 DSGVO): Wenn wir Ihre E-Mail-Adresse neu im Zusammenhang mit einem Vertragsverhältnis erheben, informieren wir Sie auf Basis dieser Datenschutzerklärung bereits zu diesem Zeitpunkt über die zusätzliche Nutzung für Kundenzufriedenheitsumfragen. Die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung Ihrer Daten im Zusammenhang mit der Umfrage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Verbesserung unserer Leistungen.

Bestandskunden (Art. 13 Abs. 3 DSGVO / Zweckänderung): Wenn Ihre E-Mail-Adresse bereits zuvor im Rahmen eines Vertragsverhältnisses erhoben wurde und Sie zu diesem Zeitpunkt noch nicht über diese Nutzung zur Befragung informiert wurden, erfolgt eine nachträgliche Information gemäß Art. 13 Abs. 3 DSGVO. Die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung Ihrer Daten im Zusammenhang mit der Umfrage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Verbesserung unserer Leistungen.

Durchführung anonymer Umfragen: Die Teilnahme an der Befragung erfolgt grundsätzlich anonym, sofern bei einer Umfrage kein anders lautender erkennbarer Hinweis durch uns erfolgt. Es werden in diesem Fall von uns keine personenbezogenen Daten von Ihnen verpflichtend abgefragt. Allerdings besteht die Möglichkeit, dass Sie freiwillig personenbezogene Daten (z. B. Ihren Namen oder Ihre E-Mail-Adresse) in vorgesehene Freitextfelder einfügen. Diese Angaben verarbeiten wir ausschließlich zu dem von Ihnen angegebenen Zweck. Die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung Ihrer Daten ist auch in diesem Fall Art. 6 Abs. 1 S. 1 lit. f DSGVO und unser berechtigtes Interesse besteht in der Verbesserung unserer Leistungen unter Berücksichtigung Ihrer Zusatzangaben.

Durchführung nicht anonymer Umfragen: In Einzelfällen führen wir Befragungen durch, bei denen Ihre Teilnahme nicht anonym ist. In diesen Fällen ist der Umfrage-Link mit einem technischen Parameter versehen, der es uns ermöglicht Ihre Email-Adresse als Identifizierungsmerkmal zu verwenden. Dadurch können wir Ihre Antworten direkt Ihrer Person zuordnen. Nicht anonyme Umfragen werden von uns mit einem deutlich erkennbarem Hinweistext versehen. Die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung Ihrer Daten ist auch in diesem Fall Art. 6 Abs. 1 S. 1 lit. f DSGVO und unser berechtigtes Interesse besteht in der Verbesserung unserer Leistungen unter Berücksichtigung Ihrer Zusatzangaben, hier verbunden mit der Möglichkeit individuell auf Ihre Angaben zu reagieren und für den konkreten Einzelfall Kontakt mit Ihnen aufzunehmen. Durch Beantwortung der Umfrage und Absenden Ihrer Antwort erteilen Sie uns Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO Ihre Angaben zur Kontaktaufnahme mit Ihnen für diesen konkreten Einzelfall für Rücksprachen zu verwenden, sofern Sie einer Kontaktaufnahme nicht widersprechen.

Sie können der Nutzung Ihrer E-Mail-Adresse für Umfrage jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Ein Widerspruch hat keine Auswirkungen auf bestehende Vertragsbeziehungen oder die Bearbeitung Ihrer Anliegen (z.B. Service- und Supportanfragen auf Basis des Vertrags). Im Übrigen beachten Sie bitte Ihre Rechte unter Ziff. 6 in dieser Datenschutzerklärung. Weitere Informationen zur Datenverarbeitung durch REFINER finden Sie unter: https://refiner.io/legal/privacy-policy/

CSS-Portal

Wenn Sie Kunde von CSS sind, haben Sie ggf. die Möglichkeit, über die Login-Funktion auf dieser Website insbesondere Zugriff auf gesonderte Informationen oder Aktualisierungen zu dem von Ihnen verwendeten Produkt zu nehmen.
Zu diesem Zweck müssen Sie zunächst Ihren Benutzernamen eingeben und Ihr Passwort wählen („Logindaten“). Ein Passwort sollte mindestens 8 Zeichen lang sein und möglichst immer aus einer Kombination von Buchstaben in Groß- und Kleinschreibung, Ziffern und Sonderzeichen bestehen. Problematisch sind Trivialkennwörter wie „ABC“ oder Tastaturfolgen (z.B. „qwert“ oder „asdfgh“), alle Arten von Namen (etwa von Freunden, Bekannten, Kollegen/Innen, Familienangehörigen, Haustieren), Städte- und Gebäudebezeichnungen, Comic-Figuren, Automarken, Autokennzeichen, Begriffe, Geburtsdaten, Telefonnummern, gängige Abkürzungen usw. Logindaten sind strikt geheim zu halten. Sollte eine Weitergabe dennoch erfolgt sein, um etwa im Notfall den Zugriff auf bestimmte Datenbestände durch Dritte zu ermöglichen, ist das Passwort umgehend zu ändern. Es ist zu Ihrem eigenen Schutz untersagt, bereits genutzte Passwörter erneut zu verwenden. Darüber hinaus werden im Rahmen eines Logins Ihre IP-Adresse und der Zeitpunkt des Zugriffs von uns gespeichert. Dies ist erforderlich, um die Sicherheit unserer informationstechnischen Systeme zu gewährleisten. Bei jedem Login setzt CSS zudem ein Session-Cookie. Dieses Session-Cookie verhindert die automatische Abmeldung während der aktiven Nutzung des Accounts oder damit verbundener Dienste. Nach der jeweiligen Abmeldung wird das Session-Cookie innerhalb weniger Minuten automatisch gelöscht.
Die Rechtsgrundlage für die Verarbeitung Ihrer Daten ist Art. 6 Abs. 1 S. 1 lit. f DSGVO und, sofern Ihr Vertragsverhältnis betroffen ist, Art. 6 Abs. 1 S. 1 lit. b und/oder f DSGVO.

Nutzung des Ticketsystems (Zendesk):
Für die Bearbeitung von Supportanfragen unserer Kunden setzen wir das Ticketsystem „Zendesk“ der Zendesk, Inc., 181 S. Fremont St., San Francisco, CA 94105, USA, ein. Dabei erfolgt die Datenverarbeitung durch Zendesk in unserem Auftrag (hierzu unter: https://www.zendesk.de/company/data-processing-agreement/). Eine eigenständige Nutzung von Daten durch Zendesk zu eigenen Zwecken findet nicht statt.

Zur Nutzung des Ticketsystems ist eine Registrierung mit einer E-Mail-Adresse und einem selbst gewählten Passwort erforderlich. Darüber hinaus werden im Rahmen von Supportanfragen die von Ihnen angegebenen Daten (z. B. Name, Kontaktdaten, Kommunikationsinhalte, Ticketverläufe) verarbeitet.

Je nach Konfiguration können innerhalb eines Kundenkontos entweder alle Tickets durch die berechtigten Mitarbeitenden des Kunden eingesehen werden oder nur die jeweils eigenen Tickets. Die Verwaltung der Benutzerkonten (z. B. das Löschen von Zugängen ausgeschiedener Mitarbeitender) obliegt dem jeweiligen Kunden.

Die Verarbeitung der Daten erfolgt zum Zweck der Registrierung, Verwaltung und Bearbeitung von Supportanfragen. Im Falle der Durchführung vorvertraglicher oder vertraglicher Maßnahmen ist die Rechtsgrundlage Art. 6 Abs. 1 S. 1 lit. b DSGVO. Soweit Mitarbeitenden-Zugänge durch Kunden verwaltet werden, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO. Das berechtigte Interesse besteht in diesen Fällen in einer sicheren und effizienten Nutzung des Ticketsystems.

Einzelne Benutzerkonten und die damit verbundenen Zugangsdaten können durch den Kunden individuell (z.B. bei einem Ausscheiden des Mitarbeitenden) oder durch uns (z.B. bei Beendigung des Kundenvertrags oder im Falle einer missbräuchlichen Nutzung) gesperrt oder gelöscht werden.

Support-Tickets und die darin enthaltenen Daten werden von uns allerdings grundsätzlich für vier (4) Jahre nach Abschluss der Supportanfrage gespeichert. Darüber hinaus können gesetzliche Aufbewahrungspflichten bestehen.

Bitte beachten Sie, dass es sich bei Zendesk um ein Unternehmen aus den USA handelt. Als geeignete Garantien zur Gewährleistung eines angemessenen Schutzniveaus bei der Datenübermittlung wurden die neuen EU-Standarddatenschutzklauseln vereinbart. Zudem ist Zendesk aktiver Teilnehmer des EU-U.S. Data Privacy Framework, wodurch der sichere Datentransfer personenbezogener Daten in die USA gewährleistet ist. Weitere Informationen finden Sie hier: https://www.dataprivacyframework.gov/list.

Weitere Informationen zur Datenverarbeitung durch Zendesk finden Sie unter: https://www.zendesk.de/trust-center/

Teamviewer:
Für Supportanfragen (Fernwartungen) stellen wir auf unserer Website eine Verlinkung zum Download von TeamViewer bereit. Anbieter von TeamViewer ist die TeamViewer Germany GmbH, Bahnhofsplatz 2, 73033 Göppingen, Deutschland.

Durch den Besuch der Unterseite unserer Website, auf der wir den Download der TeamViewer-Software anbieten, erhält TeamViewer die Information, dass Sie die entsprechende Unterseite unserer Website aufgerufen haben. Wir haben keine Kenntnis darüber, ob und für welche eigenen Zwecke TeamViewer diese Informationen nutzt. Einzelheiten zum Datenschutz entnehmen Sie bitte den Hinweisen von TeamViewer: https://www.teamviewer.com/de/legal/privacy-and-cookies/

Die Rechtsgrundlage für die Verarbeitung Ihrer Daten durch uns unter Nutzung von TeamViewer ist Art. 6 Abs. 1 S. 1 lit. b und/oder f DSGVO.

Fehleranalyse im Produkt eGECKO evo:
Zur Sicherstellung der Stabilität, Sicherheit und ordnungsgemäßen Funktionsweise unseres Produkts eGECKO evo setzen wir Komponenten des Entwickler-Tools „Sentry“ des Anbieters Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, ein.
Sentry ist ein technisches Framework zur Echtzeit-Fehlerverfolgung und Leistungsüberwachung. Es ermöglicht Entwicklungsteams z.B. Softwarefehler und Leistungsengpässe strukturiert zu erfassen, zu analysieren und schneller zu beheben. Hierzu werden in die Anwendung integrierte Programmbibliotheken (SDKs) eingesetzt, die technische Ereignisdaten wie Fehlermeldungen, Zeitpunkte des Auftretens, betroffene Systemkomponenten sowie weitere technische Kontextinformationen erfassen.

Die Nutzung von Sentry erfolgt ausschließlich in einer von uns selbst betriebenen (self-hosted) Instanz innerhalb unserer eigenen technischen Infrastruktur (weitere Informationen hierzu unter: https://develop.sentry.dev/self-hosted/). Ergänzend wurden insbesondere sämtliche optionalen Funktionen, die eine Übermittlung von Diagnose- oder Nutzungsdaten an Server des Anbieters ermöglichen würden, deaktiviert. Dies betrifft insbesondere:

Installations- bzw. Diagnosetelemetrie,

„Self-Hosted Issue Reporting“ (Übermittlung von Installations- oder Laufzeitprotokollen an Sentry),

„Self-Hosted Beacon“ (periodische Übermittlung technischer Nutzungsmetriken).

Aufgrund der getroffenen Maßnahmen werden im Zusammenhang mit der Nutzung von Sentry keine personenbezogenen Daten an Functional Software, Inc. übertragen. Soweit möglich, haben wir auch im Übrigen sämtliche technischen und organisatorischen Maßnahmen getroffen, um eine Verarbeitung personenbezogener Daten auf das notwendige Minimum zu reduzieren. Sollten wir im Rahmen unserer Nutzung von Sentry ausnahmsweise personenbezogene Daten verarbeiten, beschränkt sich dies daher auf technisch notwendige System- oder Nutzungsbezüge, die für die Analyse und Behebung konkreter Fehler/Störungen erforderlich sind. Eine Verarbeitung zu anderen Zwecken oder eine Weitergabe an Dritte erfolgt nicht. Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von Art. 6 Abs. 1 S.1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Gewährleistung der Funktionsfähigkeit, Stabilität und Sicherheit unserer Software sowie in der schnellen Identifikation und Behebung technischer Fehler. Ohne diese technische Fehleranalyse wäre ein zuverlässiger und sicherer Betrieb von eGECKO evo nicht möglich. Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, besteht grundsätzlich ein Widerspruchsrecht nach Art. 21 DSGVO. Wir weisen jedoch darauf hin, dass die beschriebenen Verarbeitungsvorgänge zwingend für den sicheren und störungsfreien Betrieb der Software erforderlich sind. Im Falle eines Widerspruchs können wir die Verarbeitung nur dann einstellen, wenn keine zwingenden schutzwürdigen Gründe für die Verarbeitung vorliegen, die gegenüber Ihren Interessen, Rechte und Freiheiten überwiegen. Solche zwingende Gründe liegen aber regelmäßig vor, soweit die Verarbeitung der Aufrechterhaltung der IT-Sicherheit und Systemstabilität dient.

Videoüberwachung:
CSS führt in einigen Standorten aus Gründen des Eigentumsschutzes und zur Vermeidung von Straftaten eine Videoüberwachung durch. Die betroffenen Bereiche sind durch entsprechende Piktogramme (Kamerasymbol) kenntlich gemacht sind. Die gesetzliche Grundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Bei Fragen zur Videoüberwachung, insbesondere zur Aufzeichnungsdauer, zum konkreten Aufnahmebereich und zur Speicherdauer, wenden Sie sich bitte an unseren Datenschutzbeauftragten.

Telefon- und Videokonferenzen:
CSS nutzt die Online-Plattform „Teams“, um Telefonkonferenzen und/oder Videokonferenzen insbesondere im Zusammenhang mit Online-Seminaren für Interessenten und Fachkreise durchzuführen („Online-Meetings“). In diesem Zusammenhang werden verschiedene Arten personenbezogener Daten durch CSS verarbeitet. Art und Umfang der Daten hängen insbesondere davon ab, welche Angaben Sie vor bzw. bei der Teilnahme an einem Online-Meeting machen. Um Sie als berechtigten Teilnehmer identifizieren zu können, müssen Sie jedoch zumindest Ihren Namen angeben. Die Video- oder die Mikrofonfunktion können Sie jederzeit über die jeweilige Applikation deaktivieren. Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. f) DSGVO. Unser Interesse besteht in diesen Fällen an der effektiven Durchführung von Online-Meetings. In gesonderten Fällen (z.B. einer Aufzeichnung von Online-Meetings), in denen Sie vorab um eine Einwilligungserklärung gebeten werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. a) DSGVO. Weitere Informationen finden Sie in der Anlage 1.

Terrorlistenscreening:
Nach Maßgabe der EU-Anti-Terrorverordnungen (2580/2001/EG, 881/2002/EG und 753/2011/EG) soll die Finanzierung terroristischer Handlungen verhindert werden. Entsprechend ist CSS ggf. gesetzlich (Art. 6 Abs. 1 lit. c DSGVO) zu einem Abgleich mit sog. Terrorlisten verpflichtet.

Übermittlung innerhalb der Unternehmensgruppe:
Z.B. für Verwaltungszwecke kann es erforderlich sein, Ihre personenbezogenen Daten innerhalb der bestehenden oder einer zukünftigen Unternehmensgruppe zu übermitteln und zu verarbeiten. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse von CSS besteht dann in der Erfüllung von Reporting-Pflichten und der Steuerung von Prozessen in der Unternehmensgruppe.

Outsourcing / Nutzung von IT-Dienstleistungen:
CSS ist aus wirtschaftlichen und organisatorischen Gründen bestrebt, Geschäftsprozesse effizient zu gestalten. Unter Berücksichtigung Ihrer Interessen können so z.B. einzelne Geschäftsbereiche ausgelagert oder die Datenverarbeitung durch die Nutzung eines Cloud-Services vereinfacht oder zentralisiert werden. Konkrete Anwendungsbereiche bestehen z.B. bei der Erbringung von IT-Dienstleistungen. Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten ist in diesem Fall Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse von CSS besteht dann in der effizienten Gestaltung von Geschäftsprozessen.

Unternehmenstransaktionen:
Im Rahmen einer Unternehmenstransaktion kann es erforderlich sein, Ihre personenbezogenen Daten an einen Dritten zu übermitteln. In der Vorbereitungsphase, im Rahmen der sog. Due Diligence, werden grds. anonymisierte oder pseudonymisierte Daten verarbeitet. Ggf. kann es im konkreten Einzelfall allerdings erforderlich werden, auch personenbezogene Daten ohne Anonymisierung oder Pseudonymisierung zu verarbeiten. Ebenso kann für den Vollzug der Transaktion eine Datenübermittlung erforderlich sein, insbesondere bei einem sog. Asset Deal. Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten ist in diesem Fall Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse von CSS besteht dann in der Durchführung der Unternehmenstransaktion.

4. Empfänger und Kategorien von Empfängern

An folgende Empfänger oder Kategorien von Empfängern werden Ihre personenbezogenen Daten übermittelt oder können übermittelt werden:

Unternehmen innerhalb der Unternehmensgruppe von CSS in ihrer jetzigen oder zukünftigen Form (eine Unternehmensgruppe besteht aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen, vgl. Art. 4 Nr. 19 DSGVO).
Handelspartner, Vertriebspartner etc.
Beschäftigte und freie Mitarbeiter
Dienstleister (z.B. IT-Dienstleister)
Unternehmenskäufer /-interessenten und/oder Investoren
Behörden oder sonstige staatliche Stellen.

Eine Übermittlung Ihrer personenbezogenen Daten an die vorgenannten Empfänger erfolgt nur, sofern hierfür eine gesetzliche Erlaubnis besteht oder Sie zuvor eingewilligt haben. Soweit erforderlich, haben wir mit den Empfängern Ihrer Daten, Verträge über die Auftragsverarbeitung nach Maßgabe von Art. 28 DSGVO geschlossen. An staatliche Stellen geben wir Ihre Daten nur im Rahmen der gesetzlichen Pflichten oder aufgrund einer behördlichen Anordnung oder gerichtlichen Entscheidung weiter.

In einzelnen Fällen findet eine Verarbeitung Ihrer personenbezogenen Daten ggf. auch in einem Drittland, d.h. außerhalb der EU/des EWR statt. CSS stellt dann sicher, dass für die Verarbeitung personenbezogener Daten angemessene Garantien bestehen, die den datenschutzrechtlichen Anforderungen entsprechen. So wird ein angemessenes Datenschutzniveau z.B. durch den Abschluss der sog. EU-Standardvertragsklauseln gewährleistet.

6. Ihre Rechte

Im Rahmen der gesetzlichen Vorgaben haben Betroffene (Sie) gegenüber CSS grundsätzlich Anspruch auf

Bestätigung, ob sie betreffende personenbezogene Daten durch die CSS AG verarbeitet werden,
Auskunft über diese Daten und die Umstände der Verarbeitung,
Berichtigung, bei fehlerhaften oder nicht mehr zutreffenden Daten,
Löschung, soweit für die Verarbeitung keine Rechtfertigung und keine Pflicht zur Aufbewahrung (mehr) besteht,
Einschränkung der Verarbeitung personenbezogener Daten in besonderen gesetzlichen Fällen und
Übermittlung der personenbezogenen Daten – soweit die Betroffenen diese bereitgestellt haben – an die Betroffenen oder einen Dritten in einem strukturierten, gängigen und maschinenlesbaren Format.

Soweit die Verarbeitung von personenbezogenen Daten auf einer Einwilligung beruht, haben Betroffene das Recht, die Einwilligung jederzeit zu widerrufen, mit der Folge, dass die Verarbeitung ihrer personenbezogenen Daten für die Zukunft unzulässig wird. Dies berührt die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung jedoch nicht.

Sofern die Datenverarbeitung auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO beruht, steht Ihnen nach Maßgabe von Art. 21 DSGVO ein Widerspruchsrecht zu.

Schließlich haben Betroffene das Recht zur Beschwerde bei der Aufsichtsbehörde für den Datenschutz.

Anlage 1: Datenverarbeitung via „Teams“

Wir nutzen zur interaktiven Kommunikation die Online-Plattform Teams („Teams“). Teams ist ein Service der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, die ihren Sitz in den USA hat („Microsoft“). Weitere Informationen von Microsoft zum Datenschutz bei Teams finden Sie hier.

Eigene Verantwortlichkeit von Microsoft
Wenn Sie für die Nutzung von Teams die Internetseite von Microsoft aufrufen, ist Microsoft für die Datenverarbeitung verantwortlich. Ein Aufruf der Internetseite ist jedoch nur erforderlich, um sich die Software für die Nutzung von Teams herunterzuladen. Sie können Teams auch nutzen, wenn Sie die jeweilige Meeting-ID und ggf. weitere Zugangsdaten zum Meeting direkt in der Teams-App eingeben. Wenn Sie die Teams-App nicht nutzen möchten, sind die Basisfunktionen auch über eine Browser-Version nutzbar.
Soweit Microsoft personenbezogene Daten im Zusammenhang mit seinen eigenen legitimen Geschäftsvorgängen verarbeitet, wie in den Microsoft Online Services-Nutzungsbedingungen beschrieben, ist Microsoft unabhängiger Datenverantwortlicher für diese Verarbeitung, deren Rechtsgrundlage, nach eigener Erklärung, „berechtigte Interessen“ sind. „Legitime Geschäftsvorgänge von Microsoft“ in diesem Zusammenhang sind ausweislich der Erklärung von Microsoft, Folgende, jeweils als Vorfall bei der Bereitstellung von Teams an uns: (1) Rechnungsstellung und Kontoführung; (2) Vergütung (z. B. Berechnung von Mitarbeiterprovisionen und Partneranreizen); (3) interne Berichterstellung und Modellierung (z. B. Prognosen, Einnahmen, Kapazitätsplanung, Produktstrategie); (4) Bekämpfung von Betrug, Cyberkriminalität oder Cyberangriffen, die Microsoft oder Microsoft-Produkte betreffen können; (5) Verbesserung der Kernfunktionalität der Barrierefreiheit, des Datenschutzes oder der Energieeffizienz; und (6) Finanzberichterstattung und Einhaltung gesetzlicher Verpflichtungen.
Die Erklärung von Microsoft zur Speicherung von personenbezogenen Daten finden Sie hier.
Zweck der Verarbeitung und Arten personenbezogener Daten
Wir nutzen Teams, um Telefonkonferenzen und/oder Videokonferenzen insbesondere im Zusammenhang mit Online-Seminaren für Interessenten und Fachkreise und/oder Beschäftigungsverhältnissen durchzuführen („Online-Meetings“).
Bei der Nutzung von Teams werden verschiedene Arten personenbezogener Daten von uns verarbeitet. Art und Umfang der Daten hängt insbesondere davon ab, welche Angaben Sie vor bzw. bei der Teilnahme an einem Online-Meeting machen. Um Sie als berechtigten Teilnehmer identifizieren zu können, müssen Sie jedoch zumindest Ihren Namen angeben. Die Video- oder die Mikrofonfunktion können Sie jederzeit über die Teams-Applikationen deaktivieren.
Zu den personenbezogenen Daten, die im Zusammenhang mit Teams verarbeitet werden, gehören:
Profildaten: Vorname, Nachname, Telefonnummer (optional), E-Mail-Adresse, Passwort (wenn „Single-Sign-On“ nicht verwendet wird), Profilbild (optional), Abteilung (optional)
Meeting-Metadaten: Thema, Beschreibung (optional), Teilnehmer-IP-Adressen, Geräte-/Hardware-Informationen
Anrufverlaufsdaten: Angabe zur eingehenden und ausgehenden Rufnummer, Ländername, Start- und Endzeit. Ggf. können weitere Verbindungsdaten wie z.B. die IP-Adresse des Geräts gespeichert werden.
Inhaltsdaten: Sie haben ggf. die Möglichkeit, in einem Online-Meeting Chat-, Fragen- oder Umfragefunktionen zu nutzen. Ihre Texteingaben sowie sonstige freigegebene Daten werden dabei verarbeitet, um diese im Online-Meeting anzuzeigen.

Weitere Einzelheiten zur Datenverarbeitung durch Microsoft finden Sie in den Erläuterungen von Microsoft.
Datenübermittlung in Staaten außerhalb der EU
Teams ist ein Dienst, der von einem Anbieter aus den USA erbracht wird. Eine Verarbeitung der personenbezogenen Daten findet damit auch in einem Drittland statt. Wir haben mit Microsoft einen Auftragsverarbeitungsvertrag nach Maßgabe von Art. 28 DSGVO geschlossen. Ein angemessenes Datenschutzniveau ist durch den Abschluss der EU-Standarddatenschutzklauseln sichergestellt. Zudem ist Microsoft aktiver Teilnehmer des EU-US Data Privacy Framework. Falls Strafverfolgungsbehörden Microsoft mit einer Anforderung kontaktieren, versucht Microsoft, nach eigener Erklärung, die Strafverfolgungsbehörden so umzuleiten, dass diese die persönlichen Daten direkt bei uns anfordern. Falls Microsoft dazu verpflichtet ist, persönliche Daten an Strafverfolgungsbehörden auszuhändigen, wird Microsoft (ebenfalls nach eigener Erklärung von Microsoft) uns unverzüglich darüber informieren und eine Kopie der Forderung aushändigen, es sei denn, dies ist gesetzlich untersagt. Weitere Informationen zu den Daten, die Microsoft als Antwort auf Anfragen von Strafverfolgungsbehörden und anderen Regierungsbehörden offenlegt, finden Sie in dem Law Enforcement Requests Report von Microsoft.

Informationen zum Datenschutz bei der CSS AG