Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Dreysatz GmbH
Einsteinstraße 37, 26871 Papenburg, Deutschland
vertreten durch die Geschäftsführerin Ulrike Dreyer, M.A.
Registergericht: Amtsgericht Osnabrück, HRB 223590
Telefon: +49 (0)40 41307794
E-Mail: kontakt@kritis-kompass.de
Web: https://kritis-kompass.de

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung von KRITIS Kompass erforderlich ist und eine Rechtsgrundlage nach Art. 6 DSGVO bzw. § 25 TDDDG (für den Einsatz von Cookies) vorliegt. Die Plattform und die von Ihnen eingegebenen Compliance-Daten werden auf Servern in Deutschland verarbeitet. Eine Ausnahme bildet das ausschließlich mit Ihrer Einwilligung eingesetzte Google Ads Conversion-Tracking, bei dem eine Übermittlung in die USA stattfinden kann (siehe Abschnitte 6 und 12).

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Für Registrierungs-, Konto-, Kontakt-, Protokoll- (Server-Logs) und Marketingdaten ist die Dreysatz GmbH Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

Für die Inhalte, die Sie innerhalb der Module eingeben (Unternehmens- und Compliance-Daten) — einschließlich etwaiger personenbezogener Daten Dritter, etwa Ihrer Mitarbeitenden oder Ansprechpartner — verarbeiten wir diese ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Insoweit sind Sie Verantwortlicher und die Dreysatz GmbH Auftragsverarbeiter. Grundlage ist ein gesonderter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den wir mit Ihnen abschließen.

Die nachstehenden Angaben zu Rechtsgrundlagen, Empfängern und Speicherdauern beziehen sich auf die Verarbeitungen, für die die Dreysatz GmbH selbst Verantwortlicher ist.

4. Erhobene Daten und Zwecke

a) Registrierung und Nutzerkonto

Daten: Name, E-Mail-Adresse, Unternehmensname, Bundesland, KRITIS-Sektor, Rechtsform.
Zweck: Bereitstellung und Verwaltung Ihres Nutzerkontos sowie Erbringung der vertraglichen Leistungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Die Bereitstellung dieser Daten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne diese Angaben können wir kein Nutzerkonto bereitstellen.

b) Compliance-Daten in den Modulen

Im Rahmen der Module (Betroffenheitsprüfer, Risikoanalyse, Resilienzplan etc.) verarbeiten wir die von Ihnen eingegebenen Unternehmensdaten und Compliance-Dokumentation. Diese Daten sind ausschließlich für Sie bzw. die von Ihnen berechtigten Nutzer zugänglich und werden von uns nicht zu eigenen Zwecken ausgewertet oder an Dritte weitergegeben. Die Verarbeitung erfolgt in Ihrem Auftrag; insoweit sind wir Auftragsverarbeiter (siehe Abschnitt 3). Maßgeblich sind Ihre Weisungen und der Auftragsverarbeitungsvertrag.

c) Kontaktformular

Daten: Name, E-Mail-Adresse, Nachrichteninhalt.
Zweck: Bearbeitung und Beantwortung Ihrer Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die effiziente Bearbeitung und Beantwortung von Anfragen.

Speicherdauer: Wir löschen diese Daten, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch nach sechs Monaten.

d) Technische Nutzungsdaten (Server-Logs)

Beim Aufruf der Plattform werden automatisch erfasst: IP-Adresse, Browsertyp, Betriebssystem, aufgerufene Seiten und Zugriffszeitpunkt.
Zweck / berechtigtes Interesse: Gewährleistung eines sicheren und stabilen Betriebs, Fehleranalyse sowie Abwehr missbräuchlicher Zugriffe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: 30 Tage; danach werden die Protokolldaten gelöscht.

e) Cookies und ähnliche Technologien

Für den Betrieb der Plattform verwenden wir technisch notwendige Session-Cookies zur Authentifizierung. Das Speichern und Auslesen dieser Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, da sie für die von Ihnen ausdrücklich gewünschte Nutzung unbedingt erforderlich sind; die anschließende Datenverarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

Nur bei Ihrer Einwilligung setzen wir zusätzlich Cookies für das Google Ads Conversion-Tracking ein. Das Speichern und Auslesen dieser Cookies erfolgt auf Grundlage von § 25 Abs. 1 TDDDG, die weitere Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Einzelheiten finden Sie in Abschnitt 12.

5. Empfänger der Daten

Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt. Empfänger personenbezogener Daten sind:

• Auftragsverarbeiter, insbesondere unser Hosting-Dienstleister „Informaten" Max Schumann, Luca Drefke und Alec Putzmann GbR, Frankfurt auf Grundlage eines Vertrags nach Art. 28 DSGVO;
• Google Ireland Ltd. bzw. Google LLC im Rahmen des Conversion-Trackings — nur bei erteilter Einwilligung und in eigener datenschutzrechtlicher Verantwortung von Google (siehe Abschnitte 6 und 12);
• öffentliche Stellen und Behörden, soweit wir gesetzlich zur Übermittlung verpflichtet sind.

6. Datenübermittlung in Drittländer

Beim Einsatz des Google Ads Conversion-Trackings (nur mit Ihrer Einwilligung) können personenbezogene Daten an die Google LLC in den USA übermittelt werden. Die Google LLC ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; für dieses DPF besteht ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, sodass grundsätzlich ein angemessenes Datenschutzniveau gewährleistet ist. Ergänzend hat Google Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.

Sofern Sie keine Einwilligung erteilen, findet keine Übermittlung in ein Drittland statt.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Konto- und Registrierungsdaten: für die Dauer des Vertragsverhältnisses; Löschung spätestens 30 Tage nach Vertragsende.
• Compliance-Daten in den Modulen: nach Maßgabe des Auftragsverarbeitungsvertrags; Löschung oder Rückgabe nach Vertragsende gemäß Ihren Weisungen.
• Kontaktanfragen: siehe Abschnitt 4 c).
• Server-Logs: 30 Tage.
• Marketing-Cookies: siehe Abschnitt 12.

Gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtlicher Art) bleiben unberührt; für deren Dauer wird die Verarbeitung eingeschränkt.

8. Hosting und Serverstandort

KRITIS Kompass wird auf Servern in Deutschland betrieben; die im Rahmen des Betriebs anfallenden Daten werden dort verarbeitet. Eine Übermittlung außerhalb der EU findet nur im Rahmen des in den Abschnitten 6 und 12 beschriebenen, einwilligungsbasierten Google Ads Conversion-Trackings statt.

9. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten zu schützen. Dazu gehören insbesondere die Verschlüsselung sämtlicher Datenübertragungen mittels TLS/HTTPS, passwortgeschützte Zugänge sowie regelmäßige Sicherheitsprüfungen.

10. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Betreffen die Verarbeitungen Daten, für die die Dreysatz GmbH Auftragsverarbeiter ist (siehe Abschnitt 3), richten Sie Ihre Betroffenenrechte bitte an den jeweils Verantwortlichen; wir unterstützen diesen im vertraglich vereinbarten Umfang.

Es besteht zudem ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen), Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de

Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden.

Zur Wahrnehmung Ihrer Rechte wenden Sie sich an: kontakt@kritis-kompass.de.

11. Automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

12. Google Ads Conversion-Tracking

Diensteanbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; für die Verarbeitung in den USA: Google LLC.

Zweck: Messung von Registrierungen und Interaktionen nach Klick auf eine unserer Google-Ads-Anzeigen, um die Wirksamkeit unserer Werbung auszuwerten.

Datenschutzrechtliche Rolle: Google verarbeitet die im Rahmen des Conversion-Trackings erhobenen Daten auch zu eigenen Zwecken und handelt insoweit als eigenständig Verantwortlicher. Einzelheiten enthält die Datenschutzerklärung von Google (https://policies.google.com/privacy).

Rechtsgrundlage: § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Cookies sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die anschließende Verarbeitung. Ohne Einwilligung werden keine Marketing-Cookies gesetzt (Google Consent Mode v2, Default: „denied").

Drittlandübermittlung: siehe Abschnitt 6.

Speicherdauer der Cookies: Conversion-Cookies (z. B. _gcl_*) werden bis zu 90 Tage im Browser gespeichert.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Footer widerrufen oder anpassen.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung bei Änderungen des Dienstes oder der Rechtslage anzupassen. Es gilt die jeweils aktuelle, unter https://www.kritis-kompass.de/datenschutz abrufbare Fassung.