Datenschutzhinweise

1. Verantwortlicher

Prüfbörse GmbH i. G.
Grubenstr. 2
50354 Hürth
E-Mail: info@pruefboerse.de

Vertreten durch Avni Cosar. Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Sofern künftig eine gesetzliche Bestellpflicht besteht, werden die Kontaktdaten an dieser Stelle ergänzt.

2. Technischer Aufruf und Hosting

Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Geräteinformationen sowie Sicherheitsereignisse gehören. Die Verarbeitung dient der sicheren Auslieferung, Fehlerbehebung und Abwehr von Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform. Die Anwendung wird über Vercel bereitgestellt; Authentifizierung, Datenbank und Dateispeicher werden über Google Firebase betrieben. Für transaktionale Plattform-E-Mails, etwa Benachrichtigungen zu Ausschreibungen, Angeboten, Aufträgen oder Nachweisen, nutzen wir Resend. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, erfolgt der Einsatz auf Grundlage der jeweils einschlägigen datenschutzrechtlichen Vertragsbedingungen.

3. Benutzerkonto und Anmeldung

Für geschützte Funktionen verarbeiten wir insbesondere Name, E-Mail-Adresse, technische Kontokennung, Verifizierungsstatus und sicherheitsbezogene Sitzungsdaten. Die Anmeldung wird mit Firebase Authentication bereitgestellt. Passwörter werden nicht in der Prüfbörse-Datenbank gespeichert; ihre Verarbeitung und Absicherung erfolgt durch Firebase Authentication.

Soweit die betroffene Person selbst ein Prüfbörse-Konto einrichtet und nutzt, ist die Verarbeitung für die Durchführung des Nutzungsverhältnisses erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsschutzmaßnahmen stützen wir zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt dabei im Schutz von Konten, Unternehmen und Plattformdaten.

Für die Bestätigung der E-Mail-Adresse erzeugt Firebase Authentication den technischen Bestätigungscode; die gebrandete Prüfbörse-Bestätigungsnachricht wird über unseren E-Mail-Dienst Resend versendet. Für Passwort-Resets erzeugt Firebase Authentication den technischen Reset-Code; die gebrandete Prüfbörse-Reset-Nachricht wird anschließend über unsere eigene Mail-Outbox und Resend versendet.

Zur Nachvollziehbarkeit des Registrierungsvorgangs speichern wir außerdem, welche Fassung der Nutzungsbedingungen akzeptiert und welche Fassung der Datenschutzhinweise zur Kenntnis genommen wurde, zusammen mit Zeitpunkt und Benutzerkennung. Eine Einwilligung in die allgemeine Datenverarbeitung wird damit nicht fingiert.

4. Profil-, Unternehmens- und Beschäftigtendaten

Wir verarbeiten die Angaben, die Sie in Ihrem persönlichen Konto und für Ihr Unternehmen hinterlegen, etwa Zugriffsrolle, Name, Firma, Anschrift und Ansprechpartner. Technische Zugriffsrollen wie Administrator und Mitarbeiter steuern ausschließlich die Berechtigungen innerhalb des Portals und sind von der tatsächlichen Funktion der Person im Unternehmen zu unterscheiden. Zur Unternehmensverifizierung verarbeiten wir eine eingereichte Gewerbeanmeldung oder einen Handelsregisterauszug sowie den dazugehörigen Prüfstatus. Prüfdienstleister geben angebotene Prüfbereiche als Selbstauskunft an; Prüfbörse prüft dabei keine fachliche Eignung oder Befähigung. Benutzer und Unternehmen werden getrennt geführt. Unternehmensnachweise sind nicht öffentlich und nur für das eigene Unternehmen sowie berechtigte Prüfbörse-Administratoren zugänglich.

Für die interne Disposition können Prüfdienstleister Prüfer als Personalressourcen mit Name und optionaler Personalnummer hinterlegen und bestätigten Prüfterminen zuordnen. Diese Personalressourcen sind keine Benutzerkonten und erhalten dadurch keinen Login oder Zugriff auf Kunden-, Auftrags- oder Dokumentdaten.

Für personenbezogene Daten des unmittelbar handelnden Nutzers kommt insbesondere Art. 6 Abs. 1 lit. b DSGVO in Betracht. Werden geschäftliche Ansprechpartner, Beschäftigte oder sonstige Personalressourcen durch ein Unternehmen hinterlegt, die nicht selbst Vertragspartei von Prüfbörse sind, stützen wir die für Betrieb, Zuordnung, Sicherheit und B2B-Kommunikation erforderliche Verarbeitung grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das berechtigte Interesse des jeweiligen Unternehmens liegen in der sicheren Organisation und Durchführung des geschäftlichen Plattformvorgangs. Das eintragende Unternehmen darf nur Daten übermitteln, für deren Verarbeitung eine tragfähige Rechtsgrundlage besteht, und muss eigene Informationspflichten gegenüber seinen Beschäftigten und Ansprechpartnern erfüllen.

5. Ausschreibungen, Angebote, Aufträge und Einladungen

Bei Ausschreibungen und Angeboten verarbeiten wir insbesondere Prüfbereich, Beschreibung, Ort, Termin, Umfang, Preisangebot, Nachricht, Status und beteiligte Unternehmen. Offene Aufträge sind auf dem Marktplatz ohne direkte Kontaktdaten sichtbar. Ansprechpartner, vollständige Anschrift, E-Mail und Telefon des jeweiligen Vertragspartners werden dem ausgewählten Unternehmen erst nach der Vergabe angezeigt.

Bei Nutzern, die selbst an einem Ausschreibungs-, Angebots- oder Auftragsvorgang teilnehmen, erfolgt die Verarbeitung zur Anbahnung und Durchführung des jeweiligen Plattform- und Vertragsvorgangs insbesondere nach Art. 6 Abs. 1 lit. b DSGVO. Soweit geschäftliche Kontaktdaten von Beschäftigten oder Ansprechpartnern eines Unternehmens betroffen sind, die nicht selbst Vertragspartei von Prüfbörse sind, erfolgt die erforderliche B2B-Zuordnung und Kommunikation grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Prüfdienstleister können bereits außerhalb von Prüfbörse abgeschlossene Aufträge als Auftragsakte erfassen und einen geschäftlichen Ansprechpartner des Kunden per E-Mail zur Akte einladen. Unternehmen können außerdem Teammitglieder per E-Mail zu einem bestehenden Unternehmenskonto einladen. In diesen Fällen erhalten wir die E-Mail-Adresse und gegebenenfalls die Zuordnung zu Unternehmen und Auftrag nicht unmittelbar von der eingeladenen Person, sondern von dem Unternehmen, das die Einladung auslöst. Zweck ist ausschließlich die sichere Übermittlung, Prüfung und Zuordnung der Einladung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind die sichere B2B-Kommunikation und die vom einladenden Unternehmen gewünschte digitale Zusammenarbeit. Die erste Einladungs-E-Mail enthält einen kompakten Datenschutzhinweis mit Datenquelle und Verweis auf diese Datenschutzhinweise.

Bei einer Einladung zu einer extern übernommenen Auftragsakte erhält der Empfänger einen persönlichen, auf genau diese Auftragsakte beschränkten Zugangslink. Dieser Link besitzt kein automatisches Ablaufdatum; er bleibt nutzbar, bis der einladende Prüfdienstleister den Zugriff widerruft, einen neuen Link ausstellt oder die Auftragsakte dauerhaft mit einem Prüfbörse-Unternehmen verknüpft wird. Beim Öffnen kann zusätzlich eine technisch erforderliche, auf diese Auftragsakte beschränkte Sitzung im Browser gesetzt werden. Der persönliche Zugriff eröffnet keinen allgemeinen Portal- oder Marktplatzzugriff. Wenn Sie eine Einladung nicht erwartet haben, müssen Sie diese nicht öffnen. Sie können sich unter info@pruefboerse.de an uns wenden und insbesondere der Verarbeitung widersprechen, soweit die Voraussetzungen des Art. 21 DSGVO vorliegen.

Wenn Sie eine Umkreis- oder Entfernungssuche verwenden, wird zur Ermittlung eines ungefähren PLZ-Mittelpunkts ausschließlich die von Ihnen verwendete fünfstellige deutsche Postleitzahl an den PLZ-Geodienst Zippopotam.us übermittelt. Es werden dabei keine Straßenadresse, Firmenbezeichnung, E-Mail-Adresse oder Benutzerkennung an diesen Dienst übertragen. Die zurückgegebenen, auf GeoNames-Daten basierenden Koordinaten werden serverseitig zwischengespeichert und ausschließlich zur Berechnung von Luftlinien zwischen PLZ-Mittelpunkten verwendet.

6. Dokumente und frühere Kommunikationsdaten

Hochgeladene Dokumente werden ausschließlich den jeweils berechtigten Konten, ausdrücklich freigeschalteten auftragsbezogenen Gastzugängen und, soweit zur Plattformprüfung nötig, berechtigten Administratoren zugänglich gemacht. Dazu gehören Unternehmensnachweise zur Verifizierung, Auftragsunterlagen, Prüfberichte und Rechnungen. Die Nachrichtenfunktion gehört nicht mehr zum MVP; bereits zuvor angefallene Kommunikationsdaten bleiben bis zum Ablauf der geltenden Lösch- oder Aufbewahrungsfristen geschützt gespeichert und werden nicht für neue Kommunikation verwendet.

Laden Sie nur erforderliche Unterlagen hoch und schwärzen Sie nicht benötigte personenbezogene Daten. Besondere Kategorien personenbezogener Daten sollten nicht hochgeladen werden, sofern dies für den konkreten Vorgang nicht zwingend erforderlich und rechtlich zulässig ist. Für Daten des unmittelbar handelnden Nutzers kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein; für betriebliche Dokumentation, Rechtsverteidigung, Integrität und Missbrauchsschutz kommt insbesondere Art. 6 Abs. 1 lit. f DSGVO in Betracht. Gesetzliche Pflichten können eine Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO erfordern.

7. Abrechnung und Stripe

Die Tarifaktivierung und Stripe-Zahlungsverwaltung sind derzeit nicht freigeschaltet. Die folgenden Angaben beschreiben die vorgesehene Abwicklung bei freigeschaltetem Tarif. Die öffentlichen Seiten laden derzeit kein Stripe.js.

Für den kostenpflichtigen Prüfdienstleister-Tarif verarbeiten wir Rechnungs- und Vertragsdaten, insbesondere Rechnungs-E-Mail, Rechnungsanschrift, gegebenenfalls USt-IdNr. und interne Rechnungsreferenz, Tarif- und Abrechnungsstatus, Abrechnungszeiträume sowie Rechnungsinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Rechnungs- und Aufbewahrungsdaten verarbeiten wir zusätzlich nach Art. 6 Abs. 1 lit. c DSGVO.

SEPA-Lastschriften und die Zahlungsverwaltung werden über Stripe abgewickelt. Bank- und Mandatsdaten werden nicht in unserer Prüfbörse-Datenbank gespeichert. Stripe verarbeitet die für die Zahlungsabwicklung erforderlichen Daten nach den jeweils anwendbaren Datenschutzbedingungen teils als Auftragsverarbeiter und teils in eigener Verantwortlichkeit. Für Nutzer in Deutschland ist hierbei insbesondere Stripe Payments Europe, Limited, Irland, eingebunden.

Rechnungen werden automatisiert erstellt, elektronisch übermittelt und im Unternehmensbereich im gesetzlich erforderlichen Umfang zum Abruf bereitgestellt. Soweit PDF-Rechnungen gesetzlich zulässig sind, können sie als PDF bereitgestellt werden; sobald für den jeweiligen Vorgang ein strukturiertes elektronisches Rechnungsformat gesetzlich erforderlich ist, wird das gesetzlich vorgeschriebene Format verwendet.

8. Empfänger und internationale Verarbeitung

Daten erhalten nur diejenigen Nutzer, für die sie im jeweiligen Plattformablauf bestimmt sind, sowie von uns eingesetzte technische Dienstleister. Dazu gehören insbesondere Vercel für Hosting und Bereitstellung, Google Firebase für Authentifizierung, Datenbank und Dateispeicher, Resend für transaktionale Plattform-E-Mails, Stripe für SEPA-Zahlungsabwicklung, Abonnements und Rechnungsprozesse sowie Zippopotam.us ausschließlich für die Auflösung fünfstelliger deutscher Postleitzahlen in ungefähre PLZ-Mittelpunkte bei aktiv verwendeten Umkreis- und Entfernungssuchen. Eine Weitergabe an Behörden erfolgt nur, soweit hierfür eine gesetzliche Grundlage besteht.

Bei Dienstleistern mit Sitz oder Infrastruktur außerhalb des Europäischen Wirtschaftsraums kann eine Verarbeitung in Drittländern stattfinden. Soweit eine Drittlandübermittlung erfolgt, beachten wir die Art. 44 ff. DSGVO und stützen die Übermittlung insbesondere auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, etwa Standarddatenschutzklauseln. Informationen zu den im konkreten Fall verwendeten Garantien und zu einer verfügbaren Kopie können Sie unter info@pruefboerse.de anfordern.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungs- und Nachweispflichten bestehen. Kontodaten werden grundsätzlich für die Dauer des Nutzerkontos verarbeitet und nach wirksamer Kontolöschung gelöscht oder anonymisiert, soweit keine entgegenstehenden Pflichten oder erforderlichen Nachweise bestehen.

Für kaufmännische Unterlagen gelten je nach Dokumentart unterschiedliche Fristen. Nach § 257 HGB sind insbesondere Handelsbücher und bestimmte Abschlussunterlagen zehn Jahre, Buchungsbelege acht Jahre sowie empfangene und abgesandte Handelsbriefe grundsätzlich sechs Jahre aufzubewahren. Daneben können steuerrechtliche oder sonstige gesetzliche Vorgaben einschlägig sein. Auftrags-, Angebots- und Vertragsdaten werden nach Abschluss nur so lange aufbewahrt, wie sie für gesetzliche Pflichten, Rechtsdurchsetzung oder Rechtsverteidigung erforderlich sind. Benachrichtigungen sollen regelmäßig nach zwölf Monaten gelöscht werden. Technische Sicherheits- und Serverprotokolle werden nur so lange vorgehalten, wie sie für Betrieb, Fehleranalyse und Missbrauchsabwehr erforderlich sind.

10. Datenschutz durch Technikgestaltung

Die Plattform ist zunächst auf Unternehmen und Einsatzorte in Deutschland begrenzt. Öffentliche Ausschreibungen enthalten nur Prüfbereich, Beschreibung, fünfstellige Postleitzahl, Ort, Zeitraum und Umfang. Die genaue Einsatzadresse wird getrennt gespeichert und erst dem ausgewählten Prüfdienstleister nach der Vergabe angezeigt. Unternehmens-Kontaktdaten werden getrennt von der persönlichen Anmelde-E-Mail-Adresse geführt.

Direkte Browserzugriffe auf die Datenbank sind gesperrt. Berechtigungen für private Dateien werden serverseitig geprüft. Für Auftragsdokumente kann der Browser danach eine delegierte Upload-Adresse erhalten oder beim Download zu einer kurzzeitig gültigen, signierten Adresse des Dateispeichers weitergeleitet werden. Die optionalen Analysedienste Google Analytics 4 und Microsoft Clarity werden nur nach Ihrer ausdrücklichen Analyse-Einwilligung eingesetzt; Einzelheiten finden Sie im folgenden Abschnitt. Unsere eigenen E-Mail-Vorlagen enthalten keine Trackingpixel. Ob der E-Mail-Dienst zusätzliche Öffnungs- oder Klickinformationen verarbeitet, hängt von dessen Konfiguration ab; hierfür liegt derzeit kein abschließender technischer Nachweis vor.

11. Browser-Speicherung, Sitzungen und Einwilligungsbanner

Für Anmeldung und Sitzungsschutz verwenden wir ein technisch erforderliches, serverseitig geprüftes Sitzungs-Cookie. Es ist in der Produktionsumgebung als Secure und HttpOnly gesetzt, verwendet SameSite=Lax und wird als Browser-Sitzungs-Cookie gesetzt. Der darin enthaltene serverseitig geprüfte Sitzungstoken besitzt eine begrenzte technische Gültigkeit; beim Abmelden wird die Sitzung beendet. In den Anmelde- und Registrierungsabläufen setzen wir unmittelbar vor dem Authentifizierungsschritt für den zusätzlichen clientseitigen Anmeldestatus von Firebase Authentication ausdrücklich die Persistenz für die laufende Browsersitzung bzw. den aktuellen Tab (sessionStorage). Beim Öffnen einer extern bereitgestellten Auftragsakte kann ebenfalls ein technisch erforderliches Secure-/HttpOnly-Cookie mit SameSite=Lax gesetzt werden. Dieses Cookie ist ausschließlich an die konkret freigegebene Auftragsakte gebunden und besitzt höchstens 24 Stunden Gültigkeit. Der persönliche Zugangslink selbst läuft dadurch nicht ab; seine Berechtigung wird bei jedem Zugriff serverseitig geprüft und endet insbesondere bei Widerruf, Neuausstellung oder dauerhafter Kontoverknüpfung.

Auf der Startseite und beim bloßen Öffnen der Anmeldung oder Registrierung starten wir Firebase Authentication nicht. Die Rückleitung bei einer bestehenden Anmeldung prüft ausschließlich die serverseitige Sitzung. Erst wenn Sie eine Authfunktion verwenden, etwa die Anmeldung absenden oder einen Bestätigungslink prüfen, wird der dafür benötigte Firebase-Client geladen. Sein Anmeldestatus wird von Beginn an auf die laufende Sitzung bzw. den aktuellen Tab begrenzt.

Bei der Nutzung dieser Authfunktionen kann Firebase zusätzlich technische Informationen wie SDK-Versionen und Datumsangaben im Browser speichern und bei Anfragen an Firebase übermitteln. Diese technischen Daten sind vom Anmeldestatus getrennt und können länger als die Sitzung gespeichert bleiben. Eine feste zeitliche Löschfrist ist für diese SDK-Daten nicht belegt.

Wenn Sie auf der Startseite mit „Weiter zur Ausschreibung“ fortfahren oder auf einer Prüfbereichsseite „Prüfung ausschreiben“ wählen, speichern wir einen Ausschreibungsentwurf unter pruefboerse:draft-request im localStorage dieses Browsers. Je nach Einstieg enthält er Prüfbereich, Titel, Beschreibung, Postleitzahl, gewünschten Zeitraum, Umfang und Herkunft des Entwurfs sowie Speicher- und Ablaufzeitpunkt. Dies geschieht erst nach Ihrer Aktion, damit die gewünschte Vorbefüllung Anmeldung, Registrierung und gegebenenfalls E-Mail-Bestätigung übersteht. Für die Übernahme gilt eine Frist von 60 Minuten. Beim Prüfen im angemeldeten Arbeitsbereich wird der Eintrag nach Übernahme oder Verwerfung entfernt; die Startseite entfernt ihn beim Aufruf, wenn die Frist abgelaufen ist. Ohne einen solchen Aufruf kann der Eintrag länger im Browser verbleiben. Sie können ihn auch hier löschen.

Beim bewussten Abmelden wird außerdem kurzfristig ein Marker im sessionStorage gesetzt, um eine fehlerhafte Rückleitung in den geschützten Bereich zu verhindern; er wird unmittelbar wieder entfernt. Rein kosmetische Einstellungen wie der Ein-/Ausklappzustand der Seitenleiste werden nicht dauerhaft gespeichert. Such-, Filter- und Sortierzustände der Auftragslisten werden ebenfalls nicht dauerhaft im Browser gespeichert.

Einwilligung und Cookie-Einstellungen

Über unseren Einwilligungsbanner entscheiden Sie über optionale Analyse-Technologien. Google Analytics 4 und Microsoft Clarity werden erst nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Analyse“ geladen. Ohne diese Einwilligung und bei der Auswahl „Nur notwendige“ werden beide Dienste nicht geladen. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ ändern oder Ihre Einwilligung mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Ihre Einwilligungsentscheidung wird mit Fassung, gewählten Kategorien und Zeitpunkt unter pruefboerse.consent im localStorage dieses Browsers gespeichert. Damit kann die Anwendung Ihre Auswahl berücksichtigen und bei einer ungültigen oder abgelaufenen Entscheidung erneut fragen. Nach Analyse-Einwilligung können außerdem bereinigte Kampagnen- und Herkunftsangaben unter pruefboerse.campaign im sessionStorage gespeichert werden; diese optionalen Angaben werden beim Widerruf der Analyse-Einwilligung gelöscht. Die oben beschriebenen notwendigen Sitzungs- und Entwurfsfunktionen sind davon getrennt.

Rechtsgrundlage für die einwilligungspflichtige Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. a DSGVO. Soweit Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, erfolgt dies auf Grundlage Ihrer Einwilligung nach § 25 Abs. 1 TDDDG.

Google Analytics 4

Wir verwenden Google Analytics 4 von Google Ireland Limited, Irland, ausschließlich nach Ihrer Analyse-Einwilligung. Der Dienst dient der Reichweitenmessung, der Auswertung von Seitenaufrufen und der Nutzung der öffentlichen Website, der Analyse des Registrierungs- und Conversion-Funnels sowie der Verbesserung der Plattform.

Dabei können technische Nutzungsdaten verarbeitet werden, insbesondere gekürzte oder technisch verarbeitete Netzwerk- und Geräteinformationen, Browser- und Geräteinformationen, aufgerufene Seiten, Ereignisse, Zeitpunkte und technische Identifikatoren. Unsere Messschnittstelle übermittelt keine Namen, E-Mail-Adressen, Firmenfreitexte, Dokumentnamen, Preise oder privaten Auftragsinhalte gezielt an Google Analytics 4. Vollständige private URLs, Ressourcenkennungen, Query-Strings und Zugangstoken werden nicht als Seitenadresse übermittelt; private Seiten werden unter einer allgemeinen Arbeitsbereichsadresse zusammengefasst.

Eine Verarbeitung durch Google kann auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, stattfinden. Für Drittlandübermittlungen gelten die in Abschnitt 8 erläuterten Voraussetzungen nach Art. 44 ff. DSGVO. Informationen zur Verarbeitung und zu den von Google beschriebenen Übermittlungsmechanismen finden Sie in Googles Datenschutzhinweisen und in den Datenschutzinformationen zu Google Analytics.

Microsoft Clarity

Wir verwenden Microsoft Clarity von Microsoft Ireland Operations Limited, Irland, ausschließlich nach Ihrer Analyse-Einwilligung. Der Dienst dient der UX- und Nutzungsanalyse, der Erstellung von Heatmaps, der Erkennung von Bedienproblemen und einer begrenzten Session-Replay-Analyse.

Clarity wird nur auf dafür freigegebenen statischen öffentlichen Informationsseiten geladen: auf der Prüfbereichsübersicht, den freigegebenen Prüfbereich-Seiten und der Seite „Für Prüfdienstleister“. Auth-, Portal-, Admin-, Gast- und Auftragsseiten sind ausgeschlossen. Auf Seiten mit Formularen sowie bei vorhandenen Query-Strings oder Hashes wird Clarity nicht geladen. Der Dokumentinhalt der freigegebenen Seite wird vor dem Laden technisch maskiert. Sensible Produkt- und Geschäftsdaten sind nicht für Session-Replay vorgesehen.

Trotz dieser Beschränkungen kann Microsoft technische Nutzungsdaten erhalten, etwa Browser- und Geräteinformationen, technische Identifikatoren sowie Informationen über Klicks, Scrollbewegungen und Zeitpunkte auf den freigegebenen Seiten. Eine Verarbeitung kann auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, stattfinden. Für Drittlandübermittlungen gelten die in Abschnitt 8 erläuterten Voraussetzungen nach Art. 44 ff. DSGVO. Weitere Informationen zur Verarbeitung und zu den von Microsoft beschriebenen Übermittlungsmechanismen finden Sie in den Microsoft-Datenschutzbestimmungen.

Für die Speicherdauer der Analysedaten sind der jeweilige Analysezweck, die verwendeten Diensteinstellungen und die anwendbaren Anbieterbedingungen maßgeblich; die allgemeinen Kriterien in Abschnitt 9 gelten ergänzend. Derzeit wird kein Google-Ads-Conversion-Tracking eingesetzt. Vor oder gleichzeitig mit einer späteren Aktivierung wird diese Datenschutzerklärung entsprechend ergänzt.

12. Ihre Rechte und Kontofunktionen

Sie haben nach Maßgabe der DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie unter den Voraussetzungen des Art. 21 DSGVO Widerspruch einlegen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenn Sie eingeloggt sind, reichen Sie Ihre Datenschutzanfrage direkt im Konto unter „Datenschutz & Daten“ ein. Dort können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder ein anderes Datenschutzanliegen auswählen und erhalten eine Referenznummer für die Bearbeitung. Im Konto steht außerdem ein maschinenlesbarer Datenexport bereit.

Ein Konto kann grundsätzlich gelöscht werden; ist die Person Inhaber eines Unternehmens, ist wegen Unternehmens- und Auftragsdaten zunächst die Inhaberrolle zu übertragen oder eine Löschanfrage erforderlich. Daten mit gesetzlichen Aufbewahrungsgründen werden gesperrt, minimiert oder nach Ablauf der Frist gelöscht.

Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig.

13. Änderungen

Wir aktualisieren diese Datenschutzhinweise, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar. Bei wesentlichen Änderungen, die eine erneute Kenntnisnahme im Konto sinnvoll machen, wird die Fassung technisch versioniert.