Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Vesturium Ltd. Artemidos 5, Artemidos Tower, 8th Floor Larnaca, 6020, Zypern

Vertreten durch: Luca Bartelsen (Director) Registrierungsnummer: HE 490885 Registerbehörde: Department of Registrar of Companies, Nicosia, Cyprus

E-Mail: [email protected]

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Die Vesturium Ltd. betreibt keine Verarbeitungen, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erfordern, und verarbeitet keine besonderen Kategorien von Daten in großem Umfang (Art. 37 Abs. 1 DSGVO). Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Welche Daten wir erheben

2.0 Welches Dokument gilt wann?

Diese Erklärung gilt für den Besuch dieser Website, die Kontaktaufnahme und die Registrierung für einen Testzugang. Für die Nutzung der Plattform selbst gelten andere Dokumente:

Die Datenschutzrichtlinie Vesturium Cloud, den AVV und die Technischen und organisatorischen Maßnahmen (TOM) stellen wir auf Anfrage unter [email protected] bereit.

Im Rahmen des Besuchs unserer Website und bei der Registrierung für einen Test-Account verarbeiten wir folgende Kategorien personenbezogener Daten:

2.1 Beim Besuch unserer Website

Bei jedem Aufruf unserer Website werden durch Ihren Browser automatisch folgende Daten an unseren Server übermittelt und temporär in einem Logfile gespeichert: IP-Adresse, Datum und Uhrzeit, übertragene Datenmenge, Browser-Typ und -Version, Betriebssystem, Referrer-URL.

2.2 Bei Registrierung für einen 14-tägigen Test-Account (Trial)

Wenn Sie sich für einen kostenlosen 14-tägigen Test-Account unserer B2B-Plattform Vesturium Cloud registrieren, erheben wir im mehrstufigen Prozess folgende Daten:

• E-Mail-Adresse (Schritt 1)
• Firmenname und Rechtsform Ihres Unternehmens (Schritt 2)
• Vor- und Nachname des Ansprechpartners sowie dessen Position (Schritt 2)
• Mobilfunknummer zur Verifikation (Schritt 2)
• Gewählter Workspace-Name (Schritt 3)
• Optionales Firmenlogo (Schritt 3)
• Angaben zur Team-Größe und zum geplanten Einsatzzweck (Schritt 3)
• Passwort (ausschließlich als kryptografischer Hash gespeichert, Schritt 3)
• Gewählter Tarif und Abrechnungszeitraum, optionaler Rabattcode sowie eine optionale Markenfarbe (Schritt 4)
• Technische Metadaten: IP-Adresse, User-Agent, UTM-Parameter der Anzeigenquelle

Zahlungsdaten erheben wir bei kostenpflichtigen Tarifen nicht selbst: Die Karteneingabe erfolgt unmittelbar bei unserem Zahlungsdienstleister (Abschnitt 2.5). Wir erhalten von dort lediglich Kunden-, Abonnement- und Auftragskennungen sowie den Zahlungsstatus.

Zur Verhinderung mehrfach angelegter Testzugänge speichern wir außerdem ein Missbrauchsmerkmal in Gestalt eines Hashwerts Ihrer E-Mail-Adresse beziehungsweise Ihrer Mobilfunknummer sowie den Hinweis, ob zu diesen Merkmalen bereits ein früherer Testzugang bestand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Integrität unseres Testangebots).

2.3 Verifikation Ihrer Mobilfunknummer per SMS

Zur Verifikation Ihrer Identität senden wir während des Registrierungsprozesses einen einmaligen Verifikationscode per SMS an die von Ihnen angegebene Mobilfunknummer. Der SMS-Versand erfolgt ausschließlich nach Ihrer ausdrücklichen Aufforderung durch Klick auf die Schaltfläche „Verifikationscode senden".

Den Versand und die Prüfung des Codes führt Twilio Inc. in unserem Auftrag über den Dienst Twilio Verify durch. Der Code selbst wird dort erzeugt, vorgehalten und geprüft; wir speichern ihn nicht. Bei uns verbleiben lediglich der Zeitpunkt der letzten Codeanforderung — er dient der Begrenzung der Anforderungen je Nummer — sowie der Zeitpunkt der erfolgreichen Verifikation als Nachweis.

2.4 Kontaktformular und E-Mail-Kontakt

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Die Angabe der Registrierungsdaten ist für die Nutzung unserer Plattformen erforderlich; werden erforderliche Daten nicht bereitgestellt, kann die Leistung nicht erbracht werden.

2.5 Zahlungsabwicklung beim Testzugang

Schließen Sie im Registrierungsprozess einen kostenpflichtigen Tarif ab, wickeln wir die Zahlung über Revolut (Merchant-Dienste der Revolut-Gruppe) ab.

Vollständige Kartendaten werden von uns zu keinem Zeitpunkt erhoben, verarbeitet oder gespeichert. Die Eingabe erfolgt im Bezahlfenster des Zahlungsdienstleisters, das in unsere Seite eingebettet ist; die Daten fließen unmittelbar an den Zahlungsdienstleister. Von dort erhalten wir ausschließlich eine Kunden-, Abonnement- und Auftragskennung sowie den Zahlungsstatus. Diese Kennungen speichern wir an Ihrem Registrierungsvorgang, um die Bereitstellung des Zugangs an den erfolgreichen Zahlungseingang zu knüpfen und das Abonnement später verwalten zu können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung beziehungsweise vorvertragliche Maßnahme). Für die Verarbeitung in seinen eigenen Systemen ist der Zahlungsdienstleister eigenständig verantwortlich.

2.6 Ihr Interessentendatensatz und die zugehörige Kundenakte

Alle Angaben aus dem Registrierungsprozess führen wir in einem Interessentendatensatz. Dieser ist einer Kundenakte zugeordnet, die wir je Unternehmen führen — zwei Registrierungen desselben Unternehmens teilen sich dieselbe Akte. In der Akte führen wir:

• Firmierung sowie die primäre E-Mail-Adresse und Telefonnummer des Unternehmens
• die zuständige Ansprechperson auf unserer Seite und ein etwaiges Wiedervorlagedatum
• Ihre Einwilligungen und Widersprüche: Zeitpunkt, Fassung und Herkunft einer erteilten Einwilligung sowie Zeitpunkt eines erklärten Widerspruchs gegen Werbung
• interne Notizen zum Bearbeitungsstand und eine Einstufung des Interesses (Lead-Score)

Die Einstufung des Interesses dient allein der Priorisierung unserer eigenen Vertriebskontakte. Sie entfaltet Ihnen gegenüber keine rechtliche Wirkung und ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO (Abschnitt 11).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung des Vertrags geht, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kundengewinnung im B2B-Bereich). Die Speicherung der Einwilligungs- und Widerspruchszeitpunkte stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis) und ist zugleich Voraussetzung dafür, dass wir einen erklärten Widerspruch dauerhaft beachten können.

2.7 Live-Demo (demo.vesturium.com)

Unter demo.vesturium.com bieten wir eine Live-Demo von Vesturium Cloud an. Sie ist ohne Anmeldung nutzbar und arbeitet mit festen Beispieldaten. Optional können Sie die Demo an Ihr Unternehmen anpassen. Dabei verarbeiten wir:

• Geschäftliche E-Mail-Adresse und daraus abgeleitete Domain, wenn Sie diese angeben. Wir rufen über den Dienstleister Firecrawl öffentlich zugängliche Logo- und Farbinformationen der Firmenwebsite zu dieser Domain ab, um die Demo in Ihrem Erscheinungsbild darzustellen. Das Ergebnis speichern wir je Domain für 30 Tage zwischen.
• Manuell eingegebene oder hochgeladene Angaben: Firmenname, Logo und Farben.
• E-Mail-Adresse für den persönlichen Link: Auf Ihre Anforderung senden wir Ihnen einen Link, über den Sie Ihre angepasste Demo wieder aufrufen können (höchstens drei Mails je Demo-Sitzung).
• Kontaktdaten aus dem Lead-Formular, wenn Sie in der Demo Kontakt zu uns aufnehmen. Sie werden wie beim Kontaktformular und der Landingpage behandelt (Abschnitte 2.4 und 2.6).
• Kartenansicht im Demo-Exposé: Die Mikrolage-Karte lädt Kartenkacheln direkt von OpenFreeMap (Hyperknot Software Kft., Ungarn); die Auslieferung kann über Cloudflare erfolgen. Dabei übermittelt Ihr Browser Ihre IP-Adresse und technische Angaben (Browsertyp, aufgerufene Seite) an diesen Anbieter. Nach eigenen Angaben speichert OpenFreeMap IP-Adressen nicht, außer vorübergehend (höchstens 30 Tage) zur Abwehr von Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionsfähigen Kartendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Ihre Demo-Sitzung wird über eine zufällige Kennung in Ihrem Browser (Local Storage) wiedererkannt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anforderung) und, soweit Sie nur die Demo nutzen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Demo). Speicherdauer: 90 Tage ab der letzten Nutzung der Demo-Sitzung, danach löschen wir die Sitzung samt hochgeladenem Logo.

3. Zwecke, Rechtsgrundlagen und Speicherdauer

Die nachfolgende Tabelle gibt Ihnen einen Überblick über die Verarbeitungszwecke, die jeweilige Rechtsgrundlage und die Speicherdauer:

4. Empfänger Ihrer Daten

4.1 Auftragsverarbeiter (Art. 28 DSGVO)

Zur Erbringung unserer Leistungen setzen wir Dienstleister ein, die personenbezogene Daten in unserem Auftrag und nach unserer Weisung verarbeiten (Auftragsverarbeiter gem. Art. 28 DSGVO). Mit allen Dienstleistern bestehen entsprechende Verträge.

4.2 Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Ein Empfänger ist ausdrücklich kein Auftragsverarbeiter: Meta verarbeitet die an Meta übermittelten Daten auch zu eigenen Zwecken und handelt insoweit nicht auf unsere Weisung.

Die Verantwortung teilt sich dabei so auf: Für die Erhebung der Daten auf dieser Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich. Für die anschließende Verarbeitung in Metas eigenen Systemen ist Meta allein verantwortlich; wir haben darauf keinen Einfluss und keinen Zugriff auf die dort gespeicherten Daten.

Ihre Betroffenenrechte (Abschnitt 7) können Sie sowohl uns gegenüber als auch unmittelbar gegenüber Meta geltend machen. Soweit sich Ihr Anliegen auf die bei Meta gespeicherten Daten bezieht, ist Meta die zutreffende Anlaufstelle.

4.3 Übermittlung zu Werbezwecken

An Meta Platforms Ireland Ltd. übermitteln wir Daten zu Werbezwecken nur von unserer Anzeigen-Landingpage /start und aus der Live-Demo (demo.vesturium.com) und nur in dem Umfang, den die Abschnitte 6.2 und 6.4 im Einzelnen beschreiben. Grundlage ist entweder Ihre ausdrückliche Einwilligung (Abschnitt 6.2) oder — wenn Sie über eine unserer Anzeigen zu uns gekommen sind und in der Einwilligungsleiste weder zugestimmt noch abgelehnt haben — unser berechtigtes Interesse an der Messung genau dieser Anzeige (Abschnitt 6.4). Haben Sie in der Leiste abgelehnt, übermitteln wir nichts.

Ihre Daten verkaufen wir nicht und geben sie nicht an Adresshändler weiter.

4.4 Eigenständig verantwortliche Anbieter eingebundener Inhalte

Die Mikrolage-Karte der Live-Demo (Abschnitt 2.7) lädt Kartenkacheln direkt in Ihrem Browser von OpenFreeMap (Hyperknot Software Kft., Ungarn). OpenFreeMap ist kein Auftragsverarbeiter, sondern verarbeitet die beim Abruf anfallenden Verbindungsdaten (insbesondere Ihre IP-Adresse) in eigener Verantwortung; die Auslieferung kann über das Netzwerk von Cloudflare Inc. erfolgen. Näheres in der Datenschutzerklärung des Anbieters unter openfreemap.org/privacy.

5. Datenübermittlung in Drittstaaten

Einige unserer Dienstleister (Cloudflare Inc., Amazon Web Services, Twilio Inc., Firecrawl) können Datenverarbeitungen in den USA durchführen, auch wenn die primäre Verarbeitung in EU-Rechenzentren stattfindet. Wir stellen durch geeignete Garantien sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist:

• EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO
• Data Processing Addendum (DPA) mit den Anbietern

Eine Kopie der Standardvertragsklauseln kann bei uns angefordert werden.

Für die Übermittlung an Meta Platforms Ireland Ltd. (Abschnitt 6.2) gilt eine andere Garantie: Soweit Meta die Daten in den USA verarbeitet, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (Art. 45 DSGVO). Meta Platforms, Inc. ist unter diesem Rahmenwerk zertifiziert; die Zertifizierung ist über die offizielle Liste unter dataprivacyframework.gov einsehbar.

6. Cookies und Tracking

6.1 Technisch notwendige Cookies

Unsere Website verwendet technisch notwendige Cookies (Session-Cookies während des mehrstufigen Registrierungsprozesses, Spracheinstellungen). Diese sind für den Betrieb der Website und die Durchführung der Registrierung erforderlich.

Rechtsgrundlage für das Setzen technisch notwendiger Cookies ist § 25 Abs. 2 Nr. 2 TDDDG; die nachgelagerte Datenverarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionsfähigkeit).

6.2 Meta-Pixel und Conversions API auf der Landingpage /start und in der Live-Demo

Auf unserer Landingpage für bezahlte Anzeigen, erreichbar unter vesturium.com/start, sowie in der Live-Demo unter demo.vesturium.com (Abschnitt 2.7), und ausschließlich dort setzen wir nach Ihrer ausdrücklichen Einwilligung das Meta-Pixel sowie die Conversions API von Meta ein.

Dieser Abschnitt beschreibt den Fall, dass Sie eingewilligt haben. Haben Sie in der Einwilligungsleiste keine Entscheidung getroffen und sind über eine unserer Anzeigen gekommen, übermitteln wir allein das Anfrage-Ereignis auf einer anderen Grundlage und in geringerem Umfang — ohne Pixel, ohne Cookies; das beschreibt Abschnitt 6.4.

Auf allen übrigen Seiten dieser Website findet keine dieser Verarbeitungen statt. Dort werden keine Analyse-, Marketing- oder Tracking-Cookies eingesetzt, und es werden keine Daten an Analysedienste (wie Google Analytics) übermittelt.

Zweck. Wir messen, welche unserer bezahlten Anzeigen bei Facebook und Instagram zu einer Kontaktanfrage geführt haben, und stellen Meta diese Information zur Optimierung der Anzeigenausspielung bereit.

Empfänger und gemeinsame Verantwortlichkeit. Empfänger dieser Übermittlung ist Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Für die Erhebung der Daten auf dieser Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO, nicht Auftraggeber und Auftragsverarbeiter (Abschnitt 4.2). Die weitere Verarbeitung in Metas eigenen Systemen verantwortet Meta allein; wir haben darauf keinen Einfluss und keinen Zugriff auf die dort gespeicherten Daten. Näheres dazu in Metas Datenschutzrichtlinie unter facebook.com/privacy/policy.

Rechtsgrundlage. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird das Pixel-Script nicht geladen, es werden keine Meta-Cookies gesetzt, und es wird kein Ereignis an Meta gesendet.

Cookies, die dabei gesetzt oder gelesen werden.

Das Cookie vw_consent ist selbst einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG). Es wird auch dann gesetzt, wenn Sie ablehnen, und speichert nur Ihre Entscheidung und den Zeitpunkt, zu dem Sie sie getroffen haben — kein Nutzungsprofil.

Ereignisse, die Ihr Browser an Meta meldet. Der Aufruf der Seite (PageView), das Erreichen von 50 % und 90 % der Scrolltiefe, der Beginn des Ausfüllens (InitiateCheckout) und die erfolgreich abgeschickte Anfrage (Lead).

Das Ereignis, das unser Server zusätzlich an Meta sendet (Conversions API). Nach dem erfolgreichen Absenden des Formulars meldet unser Server das Ereignis Lead ein zweites Mal an Meta — aus unserem eigenen System statt aus Ihrem Browser, damit die Zuordnung auch dann gelingt, wenn Ihr Browser das Pixel blockiert. Beide Meldungen tragen dieselbe Ereigniskennung, damit Meta sie als ein einziges Ereignis zählt. Übermittelt werden dabei:

• Ihre E-Mail-Adresse, Ihre Telefonnummer, Ihr Vorname und Ihr Nachname, jeweils ausschließlich als SHA-256-Hashwert. Die Klartextangaben dieser vier Felder verlassen unseren Server nicht.
• Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent) — diese beiden ungehasht im Klartext, weil Meta sie in dieser Form verlangt
• die Werte der oben genannten Meta-Cookies _fbp und _fbc. Fehlt das Cookie _fbc — etwa weil das Pixel es zum Zeitpunkt Ihres Aufrufs noch nicht gesetzt hatte —, bilden wir seinen Wert aus der Klick-Kennung der Anzeige und dem Zeitpunkt Ihres Aufrufs
• der Zeitpunkt des Absendens und die Adresse der aufgerufenen Seite einschließlich der Kampagnenparameter der Anzeige

Speicherdauer bei uns. Die Werte der Meta-Cookies (_fbp, _fbc) löschen wir in unserer Datenbank, sobald der Versand des Ereignisses abgeschlossen ist — und spätestens zwei Tage nach Ihrem Absenden auch dann, wenn er bis dahin gar nicht zustande gekommen ist. Die Ereigniskennung, der Zeitpunkt Ihres Absendens und der Zeitpunkt unseres Versands an Meta bleiben als Nachweis am Interessentendatensatz gespeichert. Von dieser Löschung nicht erfasst ist die Klick-Kennung fbclid: sie wird unabhängig von Ihrer Einwilligung auf einer eigenen Rechtsgrundlage gespeichert und bleibt erhalten (Abschnitt 6.3).

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Am einfachsten über den Link „Einwilligung zur Anzeigenmessung ändern" am Fuß der Landingpage /start und der Live-Demo: er öffnet die Einwilligungsleiste erneut, und ein Klick auf „Ablehnen" widerruft die Einwilligung und entfernt die Cookies _fbp und _fbc aus Ihrem Browser. Das bloße Öffnen der Leiste ändert nichts an Ihrer bisherigen Entscheidung; erst der Klick auf eine der beiden Schaltflächen. Daneben stehen Ihnen die üblichen Wege offen: eine E-Mail an [email protected] oder das Löschen der Cookies dieser Website in Ihrem Browser — danach erscheint die Einwilligungsleiste beim nächsten Aufruf von /start beziehungsweise der Live-Demo von selbst wieder, und solange Sie dort nicht erneut zustimmen, wird weder das Pixel geladen noch ein Ereignis gesendet.

Der Link macht den Widerruf einfacher, nicht rückwirkend. Zwei Grenzen gelten deshalb unverändert, und wir benennen sie ausdrücklich, damit hier nichts zugesagt wird, was sich technisch nicht einhalten lässt:

• Der Widerruf wirkt nur für die Zukunft. Ereignisse, die bereits an Meta gesendet wurden, kann er nicht zurückholen. Für die Löschung der bei Meta gespeicherten Daten wenden Sie sich bitte zusätzlich an Meta.
• Zwischen dem Absenden des Formulars und dem Versandlauf unseres Servers liegen in der Regel bis zu 15 Minuten. Ein Widerruf innerhalb dieses Zeitfensters hält das bereits eingereihte Server-Ereignis nicht mehr auf. Der Widerruf erreicht auch den bei uns bereits gespeicherten Interessentendatensatz nicht; dessen Löschung verlangen Sie bitte gesondert nach Abschnitt 7 unter [email protected].

6.3 Zuordnung unserer eigenen Kampagnen, unabhängig von der Einwilligung

Rufen Sie unsere Landingpage über eine Anzeige auf, so enthält die aufgerufene Adresse Kampagnenparameter: die Klick-Kennung fbclid sowie die UTM-Parameter utm_source, utm_medium, utm_campaign, utm_content und utm_term. Schicken Sie das Formular ab, speichern wir diese Parameter zusammen mit der Referrer-URL und dem Zeitpunkt Ihres Aufrufs an Ihrem Interessentendatensatz.

Das geschieht unabhängig von Ihrer Einwilligung, also auch dann, wenn Sie in der Einwilligungsleiste abgelehnt haben. Es handelt sich dabei weder um das Speichern von Informationen auf Ihrem Endgerät noch um den Zugriff darauf; § 25 TDDDG ist deshalb nicht einschlägig. Die Parameter stehen in der Adresse, die Sie aufgerufen haben, und werden mit dem Formular übertragen, das Sie abschicken.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, nachvollziehen zu können, welche unserer Anzeigen zu welcher Anfrage geführt hat. Diese Auswertung findet ausschließlich in unseren eigenen Systemen statt.

Verhältnis zur Übermittlung an Meta. Haben Sie eingewilligt, gehen diese Parameter zusätzlich in die Übermittlung nach Abschnitt 6.2 ein: die Klick-Kennung im Wert des Cookies _fbc beziehungsweise in dem Wert, den wir bilden, wenn dieses Cookie fehlt — und sowohl die Klick-Kennung als auch die fünf UTM-Parameter in der mitgesendeten Seitenadresse. Ohne Ihre Einwilligung verlassen sie unsere Systeme nur in dem engeren Rahmen, den Abschnitt 6.4 beschreibt — und gar nicht, wenn Sie in der Einwilligungsleiste abgelehnt haben.

Ihr Widerspruchsrecht. Sie können dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen, formlos an [email protected]. Ein solcher Widerspruch ist etwas anderes als der Widerruf der Einwilligung nach Abschnitt 6.2 und muss gesondert erklärt werden: Auch ein Klick auf „Ablehnen" in der Einwilligungsleiste beendet nur die Übermittlung an Meta, nicht die hier beschriebene Speicherung in unseren eigenen Systemen.

6.4 Übermittlung des Anfrage-Ereignisses an Meta ohne Einwilligung

Sind Sie über eine unserer bezahlten Anzeigen auf die Landingpage /start oder die Live-Demo gekommen und haben Sie in der Einwilligungsleiste keine Entscheidung getroffen — also weder zugestimmt noch abgelehnt —, so übermitteln wir nach dem erfolgreichen Absenden des Formulars das Ereignis Lead an Meta. Grundlage ist in diesem Fall nicht Ihre Einwilligung, sondern unser berechtigtes Interesse.

Wann dieser Abschnitt greift — und wann nicht.

Kein Zugriff auf Ihr Endgerät. In diesem Fall wird das Meta-Pixel nicht geladen, es werden keine Cookies gesetzt, und wir lesen auch keine — insbesondere nicht _fbp oder _fbc. § 25 Abs. 1 TDDDG ist damit nicht einschlägig, denn es findet weder eine Speicherung von Informationen auf Ihrem Endgerät noch ein Zugriff darauf statt. Alle übermittelten Angaben stammen aus dem Formular, das Sie abgeschickt haben, aus der Adresse, die Sie aufgerufen haben, und aus Ihrer Verbindung zu unserem Server.

Was übermittelt wird. Gegenüber Abschnitt 6.2 entfällt alles, was aus Cookies stammt:

• Ihre E-Mail-Adresse, Ihre Telefonnummer sowie Vor- und Nachname — jeweils als kryptografischer Hashwert (SHA-256), nicht im Klartext
• Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent) — diese beiden ungehasht im Klartext, weil Meta sie in dieser Form verlangt
• die Klick-Kennung der Anzeige, über die Sie gekommen sind. Diese bilden wir auf unserem Server aus dem Parameter fbclid der von Ihnen aufgerufenen Adresse; sie stammt nicht aus einem Cookie
• die Adresse der Seite, auf der Sie das Formular abgeschickt haben
• Zeitpunkt und Ereigniskennung

Rechtsgrundlage und Abwägung. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Erfolg unserer eigenen bezahlten Anzeigen messen zu können — welche Anzeige zu welcher Anfrage geführt hat — und unser Werbebudget nicht auf unwirksame Anzeigen zu verwenden. Dieses Interesse besteht ausschließlich gegenüber Personen, die tatsächlich über eine unserer Anzeigen gekommen sind; fehlt die Klick-Kennung, findet keine Übermittlung statt. Übermittelt wird nur, was für die Zuordnung erforderlich ist, und die identifizierenden Angaben ausschließlich als Hashwert. Bei der Abwägung haben wir berücksichtigt, dass Sie mit dem Absenden des Formulars aktiv auf eine Anzeige reagiert haben und dass die Übermittlung nicht dazu dient, Ihr Verhalten über unsere Website hinaus zu verfolgen.

Wir weisen ausdrücklich darauf hin, dass die deutschen Aufsichtsbehörden für Übermittlungen an Meta regelmäßig eine Einwilligung fordern und unsere Einschätzung insoweit von dieser Auffassung abweicht.

Gemeinsame Verantwortlichkeit. Es gilt unverändert, was Abschnitt 6.2 dazu ausführt: Für die Erhebung und die Übermittlung sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO; die weitere Verarbeitung in Metas Systemen verantwortet Meta allein. Für die Verarbeitung in den USA gilt der in Abschnitt 5 genannte Angemessenheitsbeschluss.

Speicherdauer bei uns. Wie in Abschnitt 6.2: Die für die Übermittlung gebildeten Werte löschen wir, sobald der Versand abgeschlossen ist, spätestens zwei Tage nach Ihrem Absenden. Ereigniskennung, Zeitpunkt und die Angabe, auf welcher Rechtsgrundlage übermittelt wurde, bleiben als Nachweis gespeichert.

Ihr Widerspruchsrecht (Art. 21 DSGVO). Sie können dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen — formlos an [email protected]. Darüber hinaus genügt für die Zukunft ein Klick auf „Ablehnen" in der Einwilligungsleiste: eine erklärte Ablehnung beendet auch die hier beschriebene Übermittlung, und zwar für jedes weitere Absenden. Wie beim Widerruf nach Abschnitt 6.2 gilt: Bereits an Meta gesendete Ereignisse lassen sich nicht zurückholen, und zwischen dem Absenden des Formulars und unserem Versandlauf liegen in der Regel bis zu 15 Minuten.

7. Ihre Rechte als Betroffener

Die DSGVO gewährt Ihnen folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Bestätigung und kostenlose Kopie Ihrer Daten
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an [email protected].

Wir werden Ihre Anfrage innerhalb eines Monats beantworten. Bei Komplexität kann die Frist um zwei weitere Monate verlängert werden, worüber wir Sie informieren.

8. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre personenbezogenen Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.

Werden Ihre personenbezogenen Daten zu Zwecken der Direktwerbung verarbeitet, haben Sie das Recht, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Im Falle Ihres Widerspruchs verarbeiten wir Ihre Daten nicht mehr für diese Zwecke.

Ihren Widerspruch richten Sie bitte an [email protected].

9. Zuständige Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Commissioner for Personal Data Protection Republik Zypern 1 Iasonos Street, 1082 Nicosia www.dataprotection.gov.cy

Sie können sich auch an eine Datenschutzaufsichtsbehörde in dem EU-Mitgliedstaat wenden, in dem Sie Ihren gewöhnlichen Aufenthalt oder Arbeitsplatz haben.

10. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder Veränderung zu schützen. Diese Maßnahmen umfassen insbesondere:

• Verschlüsselung der Datenübertragung (TLS/SSL)
• Verschlüsselte Speicherung von Passwörtern
• Zugangskontrolle und Berechtigungsmanagement
• Regelmäßige Sicherheitsupdates
• DDoS-Schutz und Web Application Firewall (Cloudflare)
• Hosting in EU-Rechenzentren (Hetzner: Falkenstein und Nürnberg in Deutschland, Helsinki in Finnland)

11. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

12. Daten von Minderjährigen

Unsere Leistungen richten sich ausschließlich an Unternehmer (B2B) und setzen die volle Geschäftsfähigkeit voraus. Eine Registrierung ist erst ab 18 Jahren möglich.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslage oder bei Änderungen unseres Dienstes bzw. der Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung finden Sie stets unter vesturium.com/privacy. Bei wesentlichen Änderungen werden wir Sie gesondert per E-Mail informieren.

14. Kontakt

Bei Fragen zur Verarbeitung Ihrer personenbezogenen Daten oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

Vesturium Ltd. Artemidos 5, Artemidos Tower, 8th Floor Larnaca, 6020, Zypern

E-Mail: [email protected]

Im Falle von Abweichungen zwischen der deutschen und einer etwaigen anderssprachigen Fassung hat die deutsche Fassung Vorrang.