Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

Corelead GmbH
David Oberholzner
Togostr. 6
81827 München
E-Mail: info@compliantdesk.de

2. Kontakt für Datenschutzfragen

Wir sind nicht zur Benennung eines Datenschutzbeauftragten verpflichtet. Für Fragen zum Datenschutz erreichen Sie uns unter:
datenschutz@compliantdesk.de

3. Erhebung und Speicherung personenbezogener Daten

3.1 Beim Besuch der Website

Beim Aufrufen unserer Website werden durch den auf Ihrem Endgerät zum Einsatz kommenden Browser automatisch Informationen an den Server unserer Website gesendet. Diese Informationen werden temporär in einem sogenannten Logfile gespeichert. Folgende Informationen werden dabei ohne Ihr Zutun erfasst und bis zur automatisierten Löschung gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser und ggf. das Betriebssystem Ihres Rechners

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3.2 Bei Registrierung und Nutzung

Bei der Registrierung für unseren Dienst erheben wir folgende Daten:

• Name und Vorname
• E-Mail-Adresse
• Unternehmensinformationen (Name, Branche, Größe)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.3 Bei einer Demo-Anfrage

Wenn Sie über unser Formular eine Demo anfragen, erheben wir folgende Daten:

• Name und E-Mail-Adresse
• Unternehmen und optional die Unternehmensgröße
• optional Ihre Nachricht
• die Seite unserer Website, von der aus Sie das Formular aufgerufen haben, sowie ggf. Kampagnen-Parameter aus dem Link (z. B. utm_source)

Wir speichern Ihre Anfrage in unserer Datenbank (Supabase, Speicherort Frankfurt) und leiten sie per E-Mail (Resend) an unser Postfach info@compliantdesk.de (Microsoft 365) weiter. Anschließend erhalten Sie eine Eingangsbestätigung per E-Mail. Die Daten verwenden wir ausschließlich, um Ihre Anfrage zu bearbeiten und einen Termin mit Ihnen abzustimmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

Speicherdauer: Kommt kein Vertrag zustande, löschen wir Ihre Anfrage spätestens zwölf Monate nach unserem letzten Kontakt. Kommt ein Vertrag zustande, gelten die Fristen aus Abschnitt 8.

3.4 Bei kostenlosen Checks und Vorlagen (NIS2-Check, CRA-Check, Vorlagen)

Unsere kostenlosen Checks können Sie ohne Angabe persönlicher Daten nutzen; das Ergebnis wird direkt im Browser angezeigt. Optional können Sie sich das Ergebnis eines Checks bzw. ein Begleitdokument zu einer Vorlage per E-Mail zusenden lassen. Dabei erheben wir:

• Ihre E-Mail-Adresse
• beim NIS2-Check optional den Namen Ihres Unternehmens
• Ihre Antworten im Check bzw. die gewählte Vorlage und ggf. Branche, damit wir Ihnen das passende Ergebnis zusenden können
• zum Nachweis Ihrer Einwilligung einen Hashwert Ihrer IP-Adresse, die Browserkennung sowie die Zeitpunkte von Anforderung und Bestätigung; beim NIS2-Check gilt für den Hashwert der IP-Adresse der Absatz „NIS2-Check, Hashwert der IP-Adresse“ weiter unten

Wir verwenden das Double-Opt-in-Verfahren: Zunächst erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung senden wir Ihnen das Ergebnis bzw. das Dokument zu. Ohne Bestätigung versenden wir keine weiteren E-Mails. Nach Ihrer Bestätigung werden wir intern per E-Mail an info@compliantdesk.de über Ihre Anfrage informiert (Quelle, E-Mail-Adresse, ggf. Unternehmen und eine Kurzfassung des Ergebnisses). Die Daten speichern wir in unserer Datenbank (Supabase, Speicherort Frankfurt), der Versand erfolgt über Resend. Anbieter und Garantien: Abschnitt 4.

Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink in jeder unserer E-Mails oder per E-Mail an info@compliantdesk.de.

Speicherdauer: Wir speichern Ihre Daten, bis Sie Ihre Einwilligung widerrufen. Was nach einem Widerruf gelöscht wird und was als Sperreintrag stehen bleibt, steht im Absatz „Widerruf und Sperreintrag“ weiter unten.

Beim NIS2-Check gelten abweichend von den beiden vorstehenden Absätzen zu Rechtsgrundlage und Speicherdauer die folgenden Regeln.

NIS2-Check, Zusendung der Dokumentation: Nach Ihrer Bestätigung senden wir Ihnen eine PDF-Dokumentation Ihrer NIS2-Selbsteinschätzung zu. Dafür erheben wir zusätzlich optional den Namen der prüfenden Person. Die Dokumentation enthält Ihre Angaben, das Ergebnis, das Prüfdatum, den Namen Ihres Unternehmens und der prüfenden Person, soweit angegeben, sowie eine Kennung. Wir speichern außerdem die Kennung, das Ergebnis, die Version des Fragebogens und den Zeitpunkt des Versands. Rechtsgrundlage für die Zusendung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung der angeforderten Dokumentation.

NIS2-Check, Hashwert der IP-Adresse: Den Hashwert Ihrer IP-Adresse speichern wir zum Schutz vor Missbrauch des Formulars (Ratenbegrenzung) und, falls Sie in Informationen einwilligen, zum Nachweis dieser Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Formulars vor Missbrauch und der Nachweis einer erteilten Einwilligung.

Informationen zu NIS2, IT-Sicherheit und CompliantDesk: Solche E-Mails erhalten Sie nur, wenn Sie dafür ein eigenes, nicht vorausgewähltes Häkchen setzen. Die Einwilligung ist freiwillig, für die Zusendung der Dokumentation nicht erforderlich und wird erst mit der Bestätigung Ihrer Adresse wirksam. Wir speichern die Version des Einwilligungstexts sowie die Zeitpunkte, zu denen Sie das Häkchen gesetzt und Ihre Adresse bestätigt haben. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft über den Abmeldelink oder per E-Mail an info@compliantdesk.de widerrufen.

Kampagnen-Parameter: Rufen Sie die NIS2-Selbsteinschätzung über einen Link mit Kampagnen-Parametern auf (z. B. utm_campaign aus einer E-Mail-Aussendung), werten wir diese nur zusammengefasst aus: Wir zählen je Tag und Kampagne, wie oft die Selbsteinschätzung aufgerufen und abgeschlossen und wie oft die Dokumentation angefordert wurde. Mit Ihrer Anfrage speichern wir die Kampagnen-Parameter nicht.

Speicherdauer beim NIS2-Check: Anfragen, die Sie nicht bestätigen, löschen wir 14 Tage nach der Anfrage. Haben Sie Ihre Adresse bestätigt, aber nicht in Informationen eingewilligt, löschen wir Ihre Angaben, das Ergebnis, die Kennung und die Zeitpunkte 30 Tage nach dem Versand der Dokumentation; wurde keine Dokumentation versendet, 30 Tage nach Ihrer Bestätigung. Haben Sie in Informationen eingewilligt, speichern wir Ihre Daten bis zu Ihrem Widerruf. Fordern Sie die Dokumentation erneut an, ersetzen die neuen Angaben die bisherigen, und die Fristen beginnen neu.

Widerruf und Sperreintrag beim NIS2-Check, beim CRA-Check und bei Vorlagen: Melden Sie sich über den Abmeldelink ab, löschen wir sofort Ihre Angaben im Check einschließlich des Namens Ihres Unternehmens und der prüfenden Person, das Ergebnis, die Kennung, bei Vorlagen die angegebene Branche, den Hashwert der IP-Adresse und die Browserkennung. Wir bewahren nur einen Sperreintrag auf: Ihre E-Mail-Adresse, die Art der Anfrage (NIS2-Check, CRA-Check oder die angeforderte Vorlage), die Herkunft der Anfrage und die Zeitpunkte von Anfrage, Bestätigung und Widerruf, außerdem die Version des Einwilligungstexts und die Zeitpunkte einer erteilten Einwilligung in Informationen. So stellen wir sicher, dass wir Ihnen ohne neue Anfrage keine E-Mails mehr senden, und können die Rechtmäßigkeit früherer Informations-E-Mails nachweisen. Rechtsgrundlage für den Sperreintrag ist Art. 6 Abs. 1 lit. f DSGVO, für den Nachweis der Einwilligung in Verbindung mit Art. 17 Abs. 3 lit. e DSGVO; unser berechtigtes Interesse ist, Ihren Widerruf dauerhaft zu beachten und die Einhaltung unserer Nachweispflicht nach Art. 7 Abs. 1 DSGVO belegen zu können.

3.5 Schutz vor Missbrauch der Formulare

Um unsere Formulare vor automatisierten Massenanfragen zu schützen, begrenzen wir die Zahl der Anfragen je Stunde. Dazu speichern wir einen täglich wechselnden Hashwert Ihrer IP-Adresse zusammen mit dem Zeitpunkt der Anfrage; die IP-Adresse selbst speichern wir dabei nicht. Dieser Eintrag wird mit unserem Anwendungsprotokoll aufbewahrt (siehe Abschnitt 8). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Website).

3.6 Postalische Werbung

Wir sprechen Geschäftsführerinnen und Geschäftsführer von Unternehmen, für die unser Angebot fachlich relevant sein kann, per Brief an. Dazu verarbeiten wir Name, Anrede, gegebenenfalls Titel, geschäftliche Funktion, Firma und Geschäftsanschrift sowie Branche und Größenklasse des Unternehmens. Die Daten beziehen wir aus dem kostenpflichtigen Dienst North Data, der öffentlich zugängliche Handelsregister- und Unternehmensinformationen aufbereitet; die Anrede leiten wir aus dem Vornamen ab. Vor dem Versand gleichen wir die Daten mit unseren bestehenden Kontakten, früheren Aussendungen und unserer Sperrliste ab. Die Briefe erstellen wir lokal auf unseren eigenen Systemen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Ansprache potenzieller Geschäftskunden mit einem für sie fachlich relevanten Angebot (Erwägungsgrund 47 DSGVO).

Empfänger: Beauftragte Druck- und Versanddienstleister als Auftragsverarbeiter sowie die Deutsche Post zur Zustellung.

Speicherdauer: Die Daten löschen wir spätestens zwölf Monate nach Versand. Widersprechen Sie, speichern wir nur die dafür erforderlichen Daten (Firma und Anschrift) in einer Sperrliste, solange dies zur Vermeidung erneuter Werbung notwendig ist.

Widerspruch: Sie können der Verwendung Ihrer Daten für Direktwerbung jederzeit kostenlos und ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO), per E-Mail an info@compliantdesk.de oder per Post an die in Abschnitt 1 genannte Anschrift. Danach verwenden wir Ihre Daten nicht mehr für Direktwerbung.

4. Empfänger und Auftragsverarbeiter

Für den Betrieb unserer Website und Anwendung setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein, insbesondere für Hosting, Datenbank, Datensicherung, E-Mail-Versand und Assistenzfunktionen. Die Daten werden in Rechenzentren in Deutschland bzw. der EU gespeichert. Soweit einzelne Dienstleister oder deren Unterauftragnehmer ihren Sitz außerhalb der EU haben und ein Zugriff von dort nicht ausgeschlossen ist, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) oder von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln sowie eine Liste der eingesetzten Dienstleister erhalten Sie auf Anfrage an datenschutz@compliantdesk.de. Eine Weitergabe an sonstige Dritte erfolgt nur, soweit wir gesetzlich dazu verpflichtet sind oder dies in dieser Erklärung beschrieben ist.

4a. Assistenzfunktionen (Azure OpenAI)

Für Entwürfe von Richtlinien, Maßnahmenplänen, Risikobewertungen und Auswertungen nutzen wir den Azure OpenAI Service von Microsoft.

• Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
• Ort: Ressource in Germany West Central (Frankfurt), Verarbeitung innerhalb der EU (Azure Data Zone EU). Das gilt auch für das zweite Modell, das wir als technisches Fallback einsetzen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung dieser Funktionen)
• Auftragsverarbeitung: Microsoft Products and Services Data Protection Addendum (DPA) nach Art. 28 DSGVO

Übermittelt werden die Inhalte, die für die jeweilige Funktion nötig sind, etwa Fragebogenantworten, Unternehmensangaben oder Beschreibungen von Vorfällen und Risiken. Diese Eingaben können personenbezogene Daten enthalten, etwa Namen. E-Mail-Adressen, Telefonnummern, IBAN, Kartennummern und IP-Adressen werden vor der Übermittlung automatisch entfernt.

Microsoft nutzt die Eingaben und Ausgaben nicht zum Training eigener Modelle. Details: learn.microsoft.com/legal/cognitive-services/openai/data-privacy

5. Cookies und vergleichbare Technologien

Wir speichern auf Ihrem Endgerät Informationen, soweit dies für den Betrieb der Website technisch notwendig ist. Dazu gehören u. a. Cookies für die Authentifizierung und Sitzungsverwaltung in der Anwendung sowie die Speicherung Ihrer Entscheidung im Cookie-Banner im lokalen Speicher Ihres Browsers (localStorage), damit wir Sie nicht bei jedem Besuch erneut fragen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Nur wenn Sie im Cookie-Banner „Einverstanden“ wählen, setzen wir auf unseren Marketing-Seiten zusätzlich Microsoft Clarity ein (siehe Abschnitt 5a). Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich der Website ändern.

6. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

7. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Die im Rahmen unseres Dienstes gespeicherten Daten liegen verschlüsselt in Rechenzentren in Deutschland.

Zusätzliche Sicherheitsmaßnahmen umfassen:

• Zwei-Faktor-Authentifizierung (2FA) für alle Nutzer verfügbar
• Automatischer Session-Timeout nach Inaktivität
• Protokollierung sicherheitsrelevanter Aktionen (Audit-Log)
• Rollenbasierte Zugriffskontrolle (RBAC)

8. Aufbewahrungsfristen

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Für Vertragsdaten gelten die gesetzlichen Aufbewahrungsfristen nach § 147 AO und § 257 HGB (für Buchungsbelege und Rechnungen 8 Jahre, für Handels- und Geschäftsbriefe 6 Jahre). Nach Kündigung Ihres Accounts werden Ihre Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. In den Datenbanksicherungen bleiben sie bis zu deren Ablauf nach 90 Tagen erhalten.

Audit-Log-Daten werden für die Dauer des Vertragsverhältnisses aufbewahrt und nach Vertragsende zusammen mit den übrigen Kundendaten gelöscht.

9. Recht auf Datenlöschung

Sie können Ihren Account und alle zugehörigen Daten jederzeit unter Einstellungen → Konto vollständig löschen. Die Löschung umfasst alle personenbezogenen Daten, erstellte Inhalte und Zugangsdaten. Vor der Löschung können Sie Ihre Daten gemäß Art. 20 DSGVO (Datenübertragbarkeit) exportieren.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

11. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.