Datenschutz

ENTWURF V0.02 — NICHT RECHTLICH FREIGEGEBEN. Die Beschreibung bezieht sich auf den EGM500-Prototyp. Vor Verarbeitung echter Pilotdaten müssen die offenen Betriebsangaben und Rechtsgrundlagen vervollständigt und geprüft werden. 1. Verantwortliche und Kontakt Verantwortliche ist WISTRA – Gesellschaft für Wissens- und Informationstransfer mbH, Wildensteinstraße 25 72461 Albstadt Deutschland / Germany, vertreten durch Gerd H. Schick. Datenschutzanliegen: info@wistra.de; Telefon: +49 7432 18924-100. [OFFEN: Prüfen, ob ein Datenschutzbeauftragter bestellt ist oder bestellt werden muss; gegebenenfalls dessen gesonderte Kontaktdaten ergänzen.] 2. Aufruf des Portals und Sitzung Beim Zugriff verarbeitet die Serverumgebung die für die Übertragung benötigten Verbindungsdaten. Welche Webserver- und Infrastrukturprotokolle zusätzlich anfallen, hängt von der Installation ab: [OFFEN: Anbieter, Datenkategorien einschließlich IP-Adresse, Zugriffspfad und Zeitpunkt, Verarbeitungszwecke und konkrete Löschfristen der Serverprotokolle eintragen.] Die Anwendung setzt das Sitzungscookie EGM500SID ein. Es ordnet Browseraufrufe einer Sitzung zu und ermöglicht Anmeldung, Formularschutz und die gewählte DE-/EN-Sprache. Es ist als Sitzungscookie konfiguriert; Browser können Sitzungen bei Wiederherstellung fortführen. Die Anwendung beendet die angemeldete Nutzung nach einer Stunde Inaktivität. Serverseitige Sitzungsdateien können bis zu ihrer technischen Bereinigung bestehen bleiben; diese Frist ist separat festzulegen. Die ausgelieferte Anwendung lädt ihre Skripte, Stile und Bilder lokal und enthält keine eingebundene Werbe- oder Reichweitenanalyse. Zusätzliche Hostingdienste oder spätere Erweiterungen sind gesondert zu prüfen. Für unbedingt erforderliche Sitzungsspeicherung ist die Ausnahme nach § 25 Absatz 2 TDDDG vorgesehen; dies ist keine allgemeine Freigabe für zusätzliche Trackingtechnik. 3. Konten und Sicherheit Gespeichert werden Kontokennung, Benutzername, Anzeigename, Sprache, Rollen, Status und Zeitpunkte sowie gegebenenfalls E-Mail-Adresse und deren Bestätigungsstatus. Passwörter werden als Hash gespeichert. Vorhandene Mehrfaktor- und Wiederherstellungsdaten bleiben beim Wechsel in den Prototypmodus erhalten, werden dort aber nicht als Anmeldepflicht erzwungen. Für Kontovorgänge können zeitlich begrenzte Nachweise und Sicherheitsmitteilungen entstehen. Zur Begrenzung von Anmeldeversuchen nutzt die Anwendung aus Anmeldeangabe und Verbindungsadresse abgeleitete, schlüsselgebundene Kennwerte und Zähler. Änderungen und Freigaben werden mit Konto, Zeitpunkt, Aktion und Objektbezug protokolliert. Gemeinsam genutzte Testkonten identifizieren das Konto, nicht sicher die ausführende Person. Für das Prototypkonto sind Benutzername, Passwort und die administrativ benötigten Angaben erforderlich; E-Mail ist optional. Ohne Konto stehen geschützte Funktionen nicht zur Verfügung. Das Lesen eines Datenschutzhinweises ist keine pauschale Einwilligung in sämtliche Verarbeitungen. 4. Unternehmensprofile und Quellen Bei Vertretungsanträgen werden Unternehmen, Funktion, Autorisierungsangaben und Prüfentscheidung verarbeitet. Berechtigte Konten und Redaktion bearbeiten Entwürfe, Quellen, Dokumente, Einreichungen und Korrekturen. Profilfelder können Namen und Funktionen von Führungspersonen enthalten. Daten stammen aus Einreichungen und den jeweils bezeichneten Quellen, etwa Unternehmensveröffentlichungen oder Registern. Veröffentlicht werden nur die zur Veröffentlichung freigegebenen Inhalte und die nach Quellenrechten zulässigen Angaben. Veröffentlichte personenbezogene Angaben sind für Besucher des Portals zugänglich und können außerhalb unseres Einflussbereichs kopiert werden. Interne Prüfnotizen, vertrauliche Nachweise und zugriffsgeschützte Originaldateien werden dadurch nicht automatisch öffentlich. Laden Sie keine Ausweiskopien, besonderen Kategorien personenbezogener Daten oder unnötigen privaten Kontaktdaten hoch. Ob eine Quelle öffentlich zugänglich ist, entscheidet nicht allein über die Rechtmäßigkeit ihrer Weiterverarbeitung. 5. Watchlist, Kontaktwünsche und Service Eine Watchlist speichert die Beziehung zwischen Konto und beobachteten Unternehmen sowie die Einstellung für optionale E-Mail-Hinweise. Ein Kontaktwunsch eines Investors enthält Konto-/Kontaktdaten, das betreffende Unternehmensprofil, Anlass, kurze Nachricht und Bearbeitungsstatus. Er wird dem berechtigten Betreiberteam zugänglich; die Anwendung übermittelt ihn nicht automatisch an das Unternehmen. Eine gesonderte Weitergabe wird vorher mit dem Anfragenden abgestimmt. Serviceanfragen enthalten Kontaktname, E-Mail, gegebenenfalls Organisation, Kategorie, Betreff, Nachricht, Antworten und Bearbeitungszuordnung. Bitte beschränken Sie Freitext auf die erforderlichen Informationen. Die Vollständigkeitsanzeige prüft das Vorhandensein von Profilangaben; sie erstellt kein personenbezogenes Bonitäts- oder Anlegerprofil. 6. Veranstaltungen und Nachrichten Bei einer Veranstaltungsanmeldung werden Konto, Veranstaltung, Anmeldestatus, Zeitpunkte und gegebenenfalls Anwesenheitsstatus gespeichert. Berechtigte Veranstaltungsbetreuer können die Teilnehmerliste einschließlich Kontaktangaben einsehen und exportieren. Eine Weitergabe an einen externen Veranstalter ist nicht allein durch die technische Exportmöglichkeit erlaubt und muss für die konkrete Veranstaltung transparent geregelt sein. Nachrichten im Portal und im Mailausgang beziehen sich auf Konto-, Unternehmens-, Service- oder Veranstaltungsvorgänge. Bei aktiviertem SMTP-Versand verarbeitet der konfigurierte Mailanbieter Empfängeradresse und Nachrichteninhalt. Die Anwendung speichert Warteschlangen- und Versandstatus; ein Annahmestatus ist kein Zustellnachweis. Passwort- oder Bestätigungslinks können sensible Zugangstoken enthalten. Demo- und lokaler Testbetrieb sind nicht mit einem Versand an echte Empfänger gleichzusetzen. 7. Zwecke und Rechtsgrundlagen — zu bestätigen Kontoführung und auf Wunsch erbrachte Portal-, Service- und Veranstaltungsfunktionen sind, soweit sie einen Vertrag mit der betroffenen Person erfüllen oder dessen Anbahnung dienen, auf Artikel 6 Absatz 1 Buchstabe b DSGVO auszurichten. Für Ansprechpartner einer Organisation ist diese Grundlage nicht automatisch passend. Systemsicherheit, nachvollziehbare Rechteverwaltung und angemessene Bearbeitungsprotokolle sind anhand berechtigter Interessen nach Artikel 6 Absatz 1 Buchstabe f und einer dokumentierten Abwägung zu prüfen. Bei veröffentlichten Informationen über Personen sind Zweck, Quelle, Erforderlichkeit und Informationspflichten gesondert zu prüfen. Optionale E-Mail-Änderungshinweise werden nur nach entsprechender Auswahl vorgesehen; ihre Einwilligungs- und Nachweisgestaltung ist zu bestätigen. Es ist keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung vorgesehen. [OFFEN: Je Verarbeitung die tatsächlich zutreffende Rechtsgrundlage, bei berechtigten Interessen die konkreten Interessen und Abwägung, bei Einwilligung deren dokumentierten Mechanismus festlegen; Pflichten bei indirekter Datenerhebung gesondert erfüllen.] 8. Empfänger und Verarbeitungsländer Zugriff erhalten im erforderlichen Umfang die zuständigen berechtigten Mitarbeitenden und administrativen Betreuer. Öffentliche Profilinformationen erreichen Portalbesucher. Hosting, Backup und aktivierter E-Mail-Versand können externe Dienstleister einbeziehen. [OFFEN: Hosting-, Mail-, Support- und Backupanbieter einschließlich Unterauftragnehmern, Aufgaben und Verarbeitungsstandorten benennen; erforderliche Auftragsverarbeitungsverträge abschließen.] [OFFEN: Prüfen und offenlegen, ob Übermittlungen außerhalb des EWR stattfinden; gegebenenfalls Empfängerland, Übermittlungsgrundlage und Zugang zu geeigneten Garantien beschreiben. Eine ausschließlich deutsche oder europäische Verarbeitung wird hier nicht behauptet.] 9. Speicherdauer und Löschung Konten, Anfragen, Anmeldungen, Versionshistorien, Rechteentscheidungen, Nachrichten, Protokolle und Sicherungen erfüllen unterschiedliche Zwecke. Die Anwendung stellt keine allgemeine automatische Löschung aller dieser Kategorien bereit. Eine Kontosperre ist keine Löschung. Speicherung bis auf unbestimmte Zeit ist damit nicht gerechtfertigt. [OFFEN: Für jede Kategorie überprüfbare Fristen oder Kriterien, Startpunkt, Verantwortliche und Löschverfahren einschließlich Warteschlange, Tokens, Sitzungen, Protokollen, privaten Dateien, Exporten und Backup-Rotation festlegen und betrieblich umsetzen. Gesetzliche Aufbewahrung oder Rechtsverteidigung nur im jeweils erforderlichen Umfang berücksichtigen.] 10. Ihre Rechte Unter den gesetzlichen Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Bei einer Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung besteht ein Widerspruchsrecht ohne diese Begründung. Eine erteilte Einwilligung können Sie für die Zukunft widerrufen. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder Ort eines vermuteten Verstoßes. Wenden Sie sich für die Ausübung an info@wistra.de. Zur sicheren Bearbeitung kann eine angemessene Identitätsprüfung nötig sein. Der Kontoexport liefert eine Auswahl gespeicherter Kontodaten und Vorgänge; er ersetzt keine vollständige Auskunft auf Antrag. Optionale Watchlist-E-Mails lassen sich im Portal abwählen. [OFFEN: Zuständige Aufsicht und geprüften Kontaktweg ergänzen; interne Zuständigkeit und fristgerechte Bearbeitung von Betroffenenanträgen festlegen.]