Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten nach dieser Datenschutzerklärung ist:

GEFIM UG (haftungsbeschränkt)
Neckarstraße 7
38120 Braunschweig
Deutschland
Vertreten durch die Geschäftsführer Marcel Hofmann und Martin Solarczek
Telefon: +49 531 180 540 80
E-Mail: info@gefim.de
Amtsgericht Braunschweig, HRB 211852

Für welche Angebote diese Erklärung gilt

Diese Datenschutzerklärung gilt für die Website gefim.de, für Anfragen, die du uns von hier aus schickst, für die Abwicklung von Verträgen mit unseren Kunden (Ziffer 10), für unsere Unternehmensseite und unsere Anzeigen bei LinkedIn (Ziffer 11) und für unsere Seite bei Facebook und unser Profil bei Instagram, einschließlich Anzeigen, die wir dort schalten (Ziffer 12). Für unsere Websites nis2-berater.de, certvia.de und visitvia.de gelten deren eigene Datenschutzinformationen. Folgst du einem Link von dieser Website zu einem fremden Angebot, ist dafür dessen Anbieter verantwortlich, nicht wir.

2. Begriffe in je einem Satz

• Personenbezogene Daten sind alle Angaben, die sich auf dich als bestimmte oder bestimmbare Person beziehen – zum Beispiel dein Name, deine E-Mail-Adresse oder deine IP-Adresse.
• Verarbeitung ist jeder Umgang mit diesen Daten, also auch das bloße Erheben, Speichern, Ansehen, Weitergeben oder Löschen.
• Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – das sind wir (Ziffer 1).
• Auftragsverarbeiter ist ein Dienstleister, der Daten nur nach unserer Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO verarbeitet, etwa unser Hoster.
• Gemeinsam Verantwortliche sind zwei oder mehr Stellen, die Zweck und Mittel einer Verarbeitung zusammen festlegen (Art. 26 DSGVO) – bei uns betrifft das die Statistiken unserer Seiten bei LinkedIn, Facebook und Instagram (Ziffern 11 und 12).
• Berechtigtes Interesse ist eine Rechtsgrundlage, bei der wir unsere Interessen gegen deine abwägen müssen und dir ein Widerspruchsrecht zusteht (Ziffer 3).

3. Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Das kostet dich nichts. Wende dich dafür formlos an info@gefim.de oder an die Anschrift in Ziffer 1. Wir antworten innerhalb eines Monats; ist dein Anliegen umfangreich, sagen wir dir Bescheid, wenn es länger dauert.

• Auskunft darüber, ob und welche Daten wir über dich verarbeiten, und über alle näheren Umstände (Art. 15 DSGVO).
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO).
• Löschung deiner Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO).
• Einschränkung der Verarbeitung, wenn du die Richtigkeit bestreitest oder wir die Daten nicht mehr brauchen, du sie aber für Rechtsansprüche benötigst (Art. 18 DSGVO).
• Datenübertragbarkeit: Herausgabe der Daten, die du uns auf Grundlage eines Vertrags oder einer Einwilligung bereitgestellt hast, in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft; was bis dahin geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO).
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen – siehe den hervorgehobenen Hinweis direkt im Anschluss (Art. 21 DSGVO).

Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn du meinst, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt (Art. 77 DSGVO) – etwa bei der Behörde deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Postanschrift: Postfach 221, 30002 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Website: www.lfd.niedersachsen.de · Beschwerdeformular: www.lfd.niedersachsen.de/beschwerde

4. Aufruf der Website: Server-Logfiles und Zugriffsstatistik

Wenn du eine Seite von gefim.de aufrufst, übermittelt dein Browser technisch notwendige Daten an den Server. Dieser hält den Vorgang in Protokolldateien fest, den Logfiles. Das geschieht bei jedem Aufruf und lässt sich nicht abschalten, ohne die Seite unbrauchbar zu machen.

Diese Daten werden dabei erfasst:

• die IP-Adresse des anfragenden Geräts (anonymisiert, siehe unten),
• Datum und Uhrzeit des Zugriffs,
• die angeforderte Adresse (URL) und der Name der abgerufenen Datei,
• die übertragene Datenmenge und die Meldung, ob der Abruf erfolgreich war (HTTP-Statuscode),
• der verwendete Browser einschließlich Version und das Betriebssystem,
• die zuvor besuchte Seite (Referrer), sofern dein Browser sie übermittelt.

Zweck. Wir brauchen diese Daten, um die Seiten auszuliefern, technische Störungen zu erkennen und zu beheben und Angriffe auf unsere Systeme zu erkennen und abzuwehren. Außerdem entsteht daraus eine einfache Zugriffsstatistik (siehe unten). Wir werten die Logfiles nicht aus, um dich zu identifizieren, und führen sie nicht mit anderen Datenquellen zusammen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb dieser Website und die Erfüllung unserer Pflichten aus Art. 32 DSGVO; Erwägungsgrund 49 der DSGVO erkennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse an. Ohne Protokollierung ließe sich ein Angriff weder bemerken noch aufklären.

Speicherdauer und Anonymisierung. Die IP-Adressen werden in den Logfiles anonymisiert gespeichert; ein Rückschluss auf einzelne Personen ist uns damit grundsätzlich nicht möglich. Die Logfiles werden nach 30 Tagen gelöscht. Brauchen wir einzelne Einträge zur Aufklärung eines konkreten Sicherheitsvorfalls, bewahren wir nur diese Einträge bis zur Klärung auf.

Hoster als Auftragsverarbeiter. Diese Website wird betrieben bei:

ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich
Hauptstraße 68
02742 Friedersdorf
Datenschutzinformationen: all-inkl.com/datenschutz

Der Hoster stellt Speicherplatz und Rechenleistung bereit, liefert die Seiten aus, betreibt das Skript, das unser Formular entgegennimmt, versendet die daraus entstehenden E-Mails und erstellt die Zugriffsstatistik. Er verarbeitet die Daten ausschließlich nach unserer Weisung und in einem Rechenzentrum in Deutschland. Mit ihm haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Einfache Zugriffsstatistik aus den Logfiles

Wir möchten wissen, welche Seiten gelesen werden und ob technisch alles funktioniert. Dafür wertet unser Hoster die Logfiles mit dem Programm Webalizer aus. Es ist bei ihm vorinstalliert und läuft auf seinem Server in Deutschland. Es ist kein Zusatzdienst, den wir eingebunden hätten, und dein Browser verbindet sich dafür mit niemandem sonst.

Datenquelle. Ausgewertet werden nur die oben beschriebenen Logfiles, also genau die Daten, die beim Abruf einer Seite ohnehin anfallen. Zusätzliche Daten werden dafür nicht erhoben. Die IP-Adressen darin sind anonymisiert.

Was die Auswertung zeigt:

• wie oft eine Seite abgerufen wurde und wie viele Anfragen der Server insgesamt beantwortet hat,
• welche Adresse auf uns verwiesen hat (Referrer), soweit dein Browser sie übermittelt,
• welche Browser und Betriebssysteme dabei zum Einsatz kamen,
• zu welchen Zeiten zugegriffen wurde und welche Datenmengen übertragen wurden,
• aus welchen Ländern zugegriffen wurde, soweit erkennbar, welche Suchbegriffe in einer verweisenden Suchmaschinen-Adresse standen und über welche Seiten Besuche begannen und endeten.

Was die Auswertung nicht kann. Weil die IP-Adressen anonymisiert sind, erkennt die Statistik niemanden an seiner IP-Adresse wieder und setzt keinen Verlauf über mehrere Besuche zusammen. Es entstehen keine Nutzerprofile. Dafür werden keine Cookies gesetzt und kein Skript in deinem Browser ausgeführt (Ziffer 5). Mit anderen Datenquellen führen wir die Statistik nicht zusammen. Steht in einer aufgerufenen Adresse eine Klick-Kennung aus einer Anzeige (Ziffer 7), kann sie in der Statistik erscheinen; wir werten sie dort nicht aus und gleichen sie nicht mit unseren Protokoll-E-Mails ab.

Keine Weitergabe. Die Statistik verlässt den Server unseres Hosters nicht. Sie ist passwortgeschützt und nur uns zugänglich; ein Aufruf ohne Zugangsdaten wird abgewiesen. An Dritte geben wir weder die Logfiles noch die Berichte daraus weiter.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Reichweite unserer Inhalte zu verstehen und die Website zu verbessern – etwa zu erkennen, welche Seiten gefunden werden und wo Abrufe ins Leere laufen. Deine Interessen überwiegen nicht, weil dafür keine zusätzlichen Daten erhoben werden, die IP-Adressen anonymisiert sind, wir die Statistik nur zusammengefasst auswerten und keinen Bezug zu einzelnen Personen herstellen und sie den Server unseres Hosters nicht verlässt. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3).

Speicherdauer. Die Logfiles selbst werden nach 30 Tagen gelöscht (siehe oben). Die daraus erzeugten Monatsberichte bewahren wir auf, solange wir sie für den Vergleich über die Zeit brauchen, längstens 24 Monate; danach werden sie gelöscht.

5. Keine Cookies, keine Tracking-Skripte, keine Inhalte Dritter

Wir setzen keine Cookies. Diese Website speichert keine Cookies auf deinem Gerät und liest keine aus. Sie legt auch sonst nichts in deinem Browser ab – weder im Local Storage oder Session Storage noch in einer IndexedDB oder über einen Hintergrunddienst (Service Worker) – und greift nicht auf dort gespeicherte Informationen zu. Auch ob du ein Video anhältst, merkt sich die Seite nicht.

Warum es hier kein Einwilligungsbanner gibt. Eine Einwilligung nach § 25 Abs. 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) ist nur nötig, wenn Informationen in deiner Endeinrichtung gespeichert oder dort ausgelesen werden. Beides findet hier nicht statt. Ein Banner würde dir eine Entscheidung abverlangen, die es gar nicht zu treffen gibt. Der Vollständigkeit halber: Dein Browser legt die von uns ausgelieferten Dateien – Schriften, Bilder, Videos, Stylesheets – in seinem eigenen Zwischenspeicher ab. Das ist unbedingt erforderlich, um die angeforderte Seite anzuzeigen, und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir greifen darauf nicht zu.

Keine Tracking-Skripte, keine Werbung auf dieser Website. Es gibt hier kein Analyseprogramm im Browser, keine Zählpixel (weder das „Insight Tag“ von LinkedIn noch das Pixel von Meta oder ein Conversion-Tag von Google), keine Profilbildung, keine Wiedererkennung über Geräteeigenschaften (Fingerprinting) und kein Retargeting. Wir verfolgen dein Verhalten nicht über mehrere Besuche oder Websites hinweg.

Davon zu unterscheiden ist die Zugriffsstatistik aus den Server-Logfiles (Ziffer 4): Sie entsteht ohne Cookies und ohne Skript in deinem Browser, allein aus den Daten, die der Server beim Ausliefern der Seiten ohnehin festhält. Die IP-Adressen darin sind anonymisiert, und es entstehen keine Nutzerprofile. Eine Einwilligung nach § 25 TDDDG braucht es dafür nicht, denn dabei wird weder etwas auf deinem Gerät gespeichert noch von dort ausgelesen.

Anzeigen ohne Rückmeldung an die Werbeanbieter. Wir werben bei Google und LinkedIn; werben wir bei Facebook oder Instagram, gilt dasselbe. Kommst du über eine Anzeige und forderst etwas an, sehen wir an der Herkunftsangabe in der Adresse, von welcher Anzeige du kamst. Diese Angabe steht nur in unserer Protokoll-E-Mail (Ziffer 7, „Woher deine Anfrage kommt“). Wir melden sie nicht an Google, LinkedIn oder Meta zurück. Auf dieser Website läuft kein Skript dieser Anbieter, und es wird kein Cookie gesetzt. Du kannst dem widersprechen (Ziffer 3).

Keine Inhalte fremder Anbieter. Alle Bestandteile dieser Seiten liegen auf unserem eigenen Server:

• Schriften kommen von unserem Server – keine Verbindung zu Google Fonts oder einem anderen Schriftdienst.
• Bilder, Logos und Symbole liegen ebenfalls bei uns.
• Videos im Seitenkopf spielt der eingebaute Player deines Browsers von unserem Server ab – ohne Videoplattform, ohne Ton und ohne Messung, ob oder wie lange du zusiehst. Mit dem Pause-Knopf hältst du sie an.

Es sind keine Karten, keine Videoplattformen, kein Terminbuchungsdienst, keine Schaltflächen oder Zählpixel sozialer Netzwerke und kein Captcha eingebunden. Beim Aufruf dieser Seiten verbindet sich dein Browser deshalb nur mit unserem eigenen Server. Abgesichert ist das zusätzlich durch eine strikte Content-Security-Policy (Ziffer 15).

Links auf andere Websites. Wir verlinken unter anderem auf unsere eigenen Angebote (nis2-berater.de, certvia.de, visitvia.de), auf die Websites von Kunden bei den Referenzen, auf Verbände und Behörden und auf LinkedIn und Instagram. Diese Inhalte sind nicht eingebettet: Eine Verbindung zum anderen Anbieter entsteht erst, wenn du den Link anklickst; ab dann gilt dessen Datenschutzerklärung. Übermittelt wird dabei nur unsere Domain als Herkunft, nicht die Unterseite, auf der du geklickt hast.

6. Anfrage- und Kontaktformular

Über unser Formular kannst du ein Erstgespräch vereinbaren, ein Angebot anfragen oder uns eine Nachricht schicken. Die Formulare auf den Seiten Erstgespräch und Kontakt laufen über dasselbe Skript. Für den TISAX®-Rechner und die Unterlagen, die du per E-Mail anfordern kannst (Broschüre, Checkliste, Leitfaden), gilt Ziffer 7.

Pflichtangaben: dein Anliegen, dein Name, dein Unternehmen, deine E-Mail-Adresse und die Bestätigung, dass du diese Datenschutzerklärung zur Kenntnis genommen hast. Wählst du als Anliegen „Sonstiges“, brauchen wir zusätzlich eine kurze Nachricht.

Freiwillige Angaben: deine Telefonnummer, ein Rückrufwunsch mit Zeitfenster, bei Fragen zum IT-Betrieb die ungefähre Zahl der Arbeitsplätze, deine Nachricht an uns (bis zu 4.000 Zeichen) und die Antwort auf die Frage „Wie bist du auf GEFIM aufmerksam geworden?“.

Technisch zusätzlich: der Zeitpunkt des Absendens und die Seite, von der aus du das Formular abgeschickt hast. Hast du das Formular über einen Link von einer unserer Seiten geöffnet, kommen bis zu drei Werte aus diesem Link hinzu: das vorausgewählte Anliegen, die Leistung und die Stelle der Website, von der der Link stammt. Diese Werte stehen sichtbar in der Adresszeile, stammen aus einer festen Liste zulässiger Angaben und enthalten nichts über dich; alles andere verwerfen wir. Möchtest du sie nicht mitsenden, ruf das Formular einfach über das Menü auf.

Die Bestätigung ist keine Einwilligung. Mit dem Pflicht-Häkchen bestätigst du nur, dass du diese Datenschutzerklärung zur Kenntnis genommen hast. Die Verarbeitung stützen wir auf die folgenden Rechtsgrundlagen.

Zwecke und Rechtsgrundlagen.

• Zielt deine Anfrage auf ein Erstgespräch, ein Angebot oder einen Vertrag, verarbeiten wir deine Daten zur Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin – Art. 6 Abs. 1 lit. b DSGVO.
• Bei allgemeinen Anfragen ohne Vertragsbezug stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, an uns gerichtete geschäftliche Anfragen zu beantworten.
• Die freiwillige Antwort auf „Wie bist du auf GEFIM aufmerksam geworden?“ nutzen wir statt eines Trackings, um zu verstehen, welche Wege zu uns führen, und unsere Website und Werbung zu verbessern – Art. 6 Abs. 1 lit. f DSGVO. Lässt du das Feld leer, hat das keine Folgen.

Keine Speicherung auf dem Webserver. Deine Angaben werden auf unserem Webserver weder in einer Datenbank noch in einer Datei gespeichert. Das Skript leitet sie unmittelbar als E-Mail an unser Postfach info@gefim.de weiter, wo wir sie bearbeiten (Ziffern 8 und 9). Den Versand übernimmt unser Hoster; als Absender trägt das Skript unsere technische Adresse no-reply@gefim.de ein. Als Antwortadresse setzen wir deine E-Mail-Adresse, damit wir dir direkt antworten können.

Pflicht zur Bereitstellung. Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne die Pflichtangaben können wir deine Anfrage aber nicht bearbeiten; weitere Nachteile entstehen dir nicht. Du kannst uns auch einfach anrufen (Ziffer 1).

Keine Zweckänderung. Wir verwenden deine Anfrage nur, um dein Anliegen zu bearbeiten. Wir tragen dich nicht in einen Werbeverteiler ein – einen solchen gibt es bei uns nicht. Speicherdauer: Ziffer 16.

Schutz des Formulars vor Missbrauch

Damit das Formular nicht für automatisierte Massenzusendungen missbraucht wird, setzen wir Maßnahmen ohne Cookies und ohne Auswertung deines Verhaltens ein:

• ein für dich unsichtbares Zusatzfeld, das nur automatisierte Programme ausfüllen;
• eine Prüfung, ob zwischen dem Aufruf des Formulars und dem Absenden mindestens drei Sekunden liegen;
• eine Prüfung, ob die Absendung tatsächlich von einer Seite dieser Website stammt;
• eine Begrenzung auf fünf Absendungen je Absender innerhalb von 15 Minuten. Dafür berechnen wir aus deiner IP-Adresse, einem geheimen Schlüssel und dem Datum einen Prüfwert (SHA-256). Deine IP-Adresse selbst wird dabei nicht gespeichert, nur dieser Prüfwert mit dem Zeitpunkt der Absendung;
• eine Obergrenze für die Zahl der Absendungen je Tag über alle Absender hinweg; dafür zählen wir nur die Absendungen, über dich wird nichts gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, Formular, Postfach und Website vor Missbrauch zu schützen. Nach 15 Minuten hat ein Prüfwert keine Funktion mehr, spätestens um Mitternacht. Gelöscht wird er automatisch bei einer späteren Nutzung eines unserer Formulare – stichprobenartig und in jedem Fall bei der ersten Nutzung eines neuen Tages. Weil das Datum in die Berechnung eingeht, ergibt dieselbe IP-Adresse jeden Tag einen anderen Prüfwert. Aus dem Prüfwert lässt sich deine IP-Adresse nicht ablesen; mit dem geheimen Schlüssel ließe sich nur für eine bereits bekannte IP-Adresse nachrechnen, ob ein Prüfwert zu ihr gehört. Das tun wir nicht.

Sicherheit der Übertragung

Deine Eingaben gehen verschlüsselt an unseren Server (TLS, erkennbar am Schloss-Symbol deines Browsers). Die anschließende Zustellung an unser Postfach erfolgt per E-Mail; der Transport zwischen Mailservern ist heute regelmäßig verschlüsselt, eine durchgehende Verschlüsselung von deinem Gerät bis in unser Postfach besteht dabei aber nicht.

Schick uns deshalb bitte keine Angaben zu konkreten Sicherheitsvorfällen, Schwachstellen oder Zugangsdaten über das Formular. Bei einem akuten Vorfall ruf uns bitte direkt an: +49 531 180 540 80 (Soforthilfe).

7. TISAX®-Rechner, Workbook, Broschüre, Checkliste und Leitfaden: Zusendung per E-Mail mit Bestätigung

Fünf Angebote auf dieser Website schicken dir etwas per E-Mail – erst nachdem du deine E-Mail-Adresse bestätigt hast (sogenanntes Double-Opt-in): der TISAX®-Rechner auf der Seite zur TISAX®-Beratung (deine Preistendenz), das GEFIM Workbook TISAX®, die Broschüre zum BCM-Workshop auf der Seite zum BCM-Workshop, die Checkliste VDA ISA 2027 und der Leitfaden „Schluss mit Zettelwirtschaft“ für Handwerksbetriebe (jeweils ein Download-Link). Einen Newsletter gibt es bei uns nicht.

Welche Daten.

• Beim TISAX®-Rechner deine Antworten auf fünf Fragen zu deinem Unternehmen – nicht zu dir als Person: Wo startest du? · Welches Assessment-Level und welche Prüfziele verlangt dein Kunde? · Wie groß ist der Bereich, der geprüft wird? · Wo stehst du heute? · Bis wann braucht dein Kunde das Label?
• dein Name und deine E-Mail-Adresse (Pflicht), dein Unternehmen (beim TISAX®-Rechner Pflicht, sonst freiwillig), beim TISAX®-Rechner freiwillig deine Telefonnummer;
• dein Pflicht-Häkchen mit dem genauen Wortlaut und seiner Fassung und, falls gesetzt, das freiwillige Häkchen für eine einmalige Ansprache;
• zum Nachweis deiner Einwilligung: Zeitpunkt, IP-Adresse und Browserkennung der Anforderung und des Bestätigungsklicks sowie die Seite, von der aus du das Formular abgeschickt hast.

So läuft es ab. Nach dem Absenden bekommst du eine Bestätigungs-E-Mail. Sie enthält bewusst weder deinen Namen noch dein Unternehmen und keinen Betrag – nur einen Link, der sieben Tage gilt. Der Link öffnet eine Seite mit einem Knopf; erst dein Klick darauf zählt als Bestätigung (manche E-Mail-Programme öffnen Links automatisch). Danach schicken wir dir eine einzelne E-Mail: beim TISAX®-Rechner deine Preistendenz mit einer Einladung zum Gespräch, bei Workbook, Broschüre, Checkliste und Leitfaden einen Download-Link, der sieben Tage gilt, mit einer kurzen Einladung zum Gespräch. Die Datei selbst ist ohne diesen Link nicht abrufbar. Bestätigst du nicht, schicken wir dir nichts weiter.

Keine Datenbank auf dem Webserver. Wir führen keine Datenbank und keine Liste unbestätigter Adressen. Deine Angaben stehen verschlüsselt im Bestätigungslink selbst; lesen kann ihn nur unser Server. Beim Öffnen steht der Link wie jede aufgerufene Adresse im Zugriffsprotokoll des Hosters (Ziffer 4) – dort aber nicht lesbar. Zusätzlich geht für jeden Schritt eine Protokoll-E-Mail an unser Postfach info@gefim.de; sie nennt auch, welche Unterlage du angefordert hast.

Schutz vor Missbrauch. Er funktioniert wie in Ziffer 6 beschrieben. Zusätzlich gilt je E-Mail-Adresse: höchstens eine Anforderung je Angebot in 15 Minuten und höchstens fünf Anforderungen am Tag über alle fünf Angebote zusammen; um Mitternacht beginnt die Zählung neu. Gezählt wird die Adresse in Kleinbuchstaben und ohne einen Zusatz nach „+“ (name+abc@firma.de zählt wie name@firma.de), bei Gmail-Adressen auch ohne die Punkte vor dem @. Die E-Mail geht trotzdem an genau die Adresse, die du eingegeben hast. Gespeichert wird dafür nur ein Prüfwert, gebildet wie in Ziffer 6 aus der Adresse, dem geheimen Schlüssel und dem Datum, mit den Zeitpunkten deiner Anforderungen – nie die Adresse selbst. Gelöscht wird er wie in Ziffer 6 beschrieben. Adressen bekannter Wegwerf-Dienste nehmen wir nicht an; dafür vergleichen wir nur den Teil hinter dem @ mit einer Liste solcher Dienste, gespeichert wird dabei nichts.

Jeder Bestätigungslink wirkt nur einmal. Nach deinem Klick auf den Knopf legen wir auf dem Webserver einen Vermerk an. Er enthält nur den Zeitpunkt deiner Bestätigung; sein Name besteht aus dem Ablaufdatum des Links und einem Prüfwert aus der zufälligen Vorgangsnummer und dem geheimen Schlüssel – ohne Adresse und ohne Namen. Über die Vorgangsnummer, die auch in unseren Protokoll-E-Mails steht, ließe sich der Vermerk deiner Anforderung zuordnen; er dient aber nur dazu, einen zweiten Versand zu verhindern. Öffnest du den Link noch einmal, zeigen wir dir, wann du bestätigt hast, und schicken nichts erneut. Nach Ablauf des Links (sieben Tage nach deiner Anforderung) hat der Vermerk keine Funktion mehr; gelöscht wird er danach automatisch bei einer späteren Nutzung eines unserer Formulare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, mehrfachen Versand und Missbrauch der Links zu verhindern.

Woher deine Anfrage kommt (Anzeigen, ohne Cookies). Kommst du über eine Anzeige oder einen markierten Link zu uns, enthält die Adresse der Seite oft eine Herkunftsangabe – etwa quelle=google-ads oder einen Kampagnennamen (utm_campaign). Ein kleines Skript übernimmt diese beiden Angaben aus der Adresse in versteckte Felder des Formulars. Klick-Kennungen, die Werbeanbieter an die Adresse anhängen – etwa gclid von Google oder fbclid von Meta –, übernehmen wir nicht; an einer gclid erkennt das Skript nur, dass du über eine Google-Anzeige kamst. Es setzt dafür keine Cookies, speichert nichts in deinem Browser und lädt nichts von Google. Es liest nur die Adresse der gerade geöffneten Seite, die dein Browser beim Aufruf ohnehin an unseren Server geschickt hat; sonstige auf deinem Gerät gespeicherte Informationen liest es nicht aus. Die Angaben reisen verschlüsselt im Bestätigungslink mit und stehen in den beiden Protokoll-E-Mails an unser Postfach. Außerdem steht die aufgerufene Adresse samt dieser Angaben wie jede Adresse in den Server-Logfiles, die nach 30 Tagen gelöscht werden (Ziffer 4). Zweck: Wir möchten wissen, welche Anzeige zu einer Anfrage geführt hat, um Werbung sinnvoll zu steuern und nicht für wirkungslose Anzeigen zu bezahlen. Rechtsgrundlage ist unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.

Nur für uns, nicht für die Werbeanbieter. Die Herkunftsangaben nutzen wir ausschließlich intern, um eine Anfrage der Anzeige zuzuordnen, über die sie kam. Wir geben sie an niemanden weiter, auch nicht an Google oder andere Werbeanbieter. Wie gut eine Anzeige wirkt, zählen wir selbst an den bestätigten Anforderungen. Deine Interessen überwiegen nicht, weil wir dadurch nur erfahren, über welche Anzeige du kamst, die Angaben unser Postfach nicht verlassen und wir daraus kein Profil über dich bilden. Den Klick auf die Anzeige selbst verarbeitet der jeweilige Werbeanbieter in eigener Verantwortung; dafür gilt dessen Datenschutzerklärung. Du kannst der Verarbeitung bei uns jederzeit widersprechen (Ziffer 3), zum Beispiel per E-Mail an info@gefim.de. Dann löschen wir die Herkunftsangaben aus den Protokoll-E-Mails. Sonst gilt die Aufbewahrung der Protokoll-E-Mails (siehe unten).

Wie die Preistendenz entsteht. Der Server rechnet die Tendenz aus deinen Antworten nach einem festen Schema (Aufwand nach Assessment-Level und Größe mit Zu- und Abschlägen). Sie ist eine unverbindliche Einschätzung, kein Angebot und keine Entscheidung über dich (Ziffer 14).

Zwecke und Rechtsgrundlagen.

• Zusendung der Preistendenz bzw. der angeforderten Unterlage auf deine Anforderung – deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; beim TISAX®-Rechner zugleich vorvertragliche Maßnahme auf deine Anfrage, Art. 6 Abs. 1 lit. b DSGVO.
• Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO) mit den Protokoll-E-Mails – Art. 6 Abs. 1 lit. c und f DSGVO; unser berechtigtes Interesse ist, belegen zu können, dass und wozu du eingewilligt hast.
• Nur mit dem freiwilligen zweiten Häkchen: eine einmalige Ansprache per E-Mail oder Telefon – deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie ist für die Zusendung nicht nötig und wird erst mit deinem Bestätigungsklick wirksam.

Widerruf. Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@gefim.de. Danach sprechen wir dich nicht mehr an; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Speicherdauer. Bestätigst du nicht, löschen wir die Protokoll-E-Mail zur Anforderung 30 Tage nach Ablauf des Bestätigungslinks; das Datum steht in der E-Mail. Bestätigst du, bewahren wir beide Protokoll-E-Mails als Einwilligungsnachweis bis drei Jahre nach Ablauf des Jahres der Bestätigung auf. Wird aus deiner Anfrage keine Geschäftsbeziehung, löschen wir deine übrigen Angaben wie in Ziffer 16 beschrieben.

Empfänger. Den Versand übernimmt unser Hoster, das Postfach liegt bei Microsoft 365 (Ziffern 8 und 9). Darüber hinaus geben wir nichts an andere weiter, auch die Herkunftsangaben aus Anzeigen nicht (siehe oben, „Woher deine Anfrage kommt“); einen Versanddienstleister gibt es nicht.

8. Kontakt per E-Mail, Telefon und Videokonferenz

E-Mail und Telefon. Schreibst du uns direkt oder rufst an, verarbeiten wir deine Angaben, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Vertragsanbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, geschäftliche Anfragen zu beantworten. Speicherdauer: Ziffer 16.

Unser E-Mail-Postfach. Alle Nachrichten aus dem Formular und alle E-Mails an info@gefim.de laufen in unserem Postfach zusammen. Wir betreiben es über Microsoft 365 (Exchange Online). Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit dem Anbieter besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO (Microsoft Data Protection Addendum). Unser Mandant liegt in Europa; die Verarbeitung findet im Rahmen der EU-Datengrenze (EU Data Boundary) innerhalb der Europäischen Union statt (Ziffer 13).

Erstgespräch per Videokonferenz. Führen wir ein Gespräch per Video, nutzen wir in der Regel Microsoft Teams über denselben Mandanten und denselben Auftragsverarbeitungsvertrag. Verarbeitet werden dein Name bzw. Anzeigename, deine Verbindungsdaten und die Bild- und Tonsignale, die du übermittelst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir zeichnen diese Gespräche nicht auf.

Termin online buchen. Für das Erstgespräch kannst du einen Termin über Microsoft Bookings buchen. Der Link führt auf eine Seite von Microsoft; erst wenn du ihn anklickst, werden Daten an Microsoft übertragen – auf gefim.de selbst ist nichts eingebunden. Bei der Buchung verarbeiten wir die Angaben, die du dort machst (Name, E-Mail-Adresse, Telefon und dein Anliegen, falls angegeben), und den gewählten Termin, um das Gespräch durchzuführen. Der Dienst läuft über denselben Microsoft-365-Mandanten und denselben Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Darstellung der Buchungsseite ist Microsoft selbst verantwortlich.

9. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nur weiter, soweit das für die hier genannten Zwecke nötig ist. Einen Verkauf deiner Daten gibt es nicht, ebenso wenig eine Weitergabe zu Werbezwecken Dritter.

ALL-INKL.COM, Microsoft und DATEV arbeiten für uns als Auftragsverarbeiter nach Art. 28 DSGVO, sind an unsere Weisungen gebunden und zur Vertraulichkeit verpflichtet. LinkedIn und Meta (Facebook, Instagram) arbeiten nicht in unserem Auftrag: Für die Statistiken unserer Seiten dort sind sie gemeinsam mit uns verantwortlich, und über diese Website erhalten sie keine Daten von dir (Ziffern 11 und 12). Die GRENKE AG erhält Daten nur, wenn du über uns eine Finanzierung anfragst, und verarbeitet sie als eigener Verantwortlicher, nicht in unserem Auftrag (Ziffer 10). Die Miete24 P4Y GmbH erhält Daten nur, wenn du eine Finanzierung über uns möchtest: Über ihr Händlerportal laufen Angebot und Anfrage, und sie kauft die finanzierten Geräte von uns (Ziffer 10). In welcher Rolle Miete24 dabei handelt, in unserem Auftrag oder als eigener Verantwortlicher, klären wir noch mit Miete24; bis dahin geben wir dort nur die in Ziffer 10 genannten Angaben ein. Google erhält von uns keine Daten von dir, auch nicht die Herkunftsangaben aus Anzeigen (Ziffer 7). Darüber hinaus geben wir deine Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind – etwa gegenüber Finanz-, Strafverfolgungs- oder Aufsichtsbehörden – oder wenn es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist. Im Einzelfall können auch unsere Steuerberatung und unser Rechtsbeistand Empfänger sein, jeweils mit gesetzlicher Verschwiegenheitspflicht.

Auf dieser Website eingebunden ist keiner der folgenden Dienste: gesonderte Anbieter von Reichweitenmessung oder Webanalyse, Werbenetzwerke, soziale Netzwerke, Captcha-Dienste, Kartendienste, Videoplattformen, Terminbuchungsdienste, Newsletter- oder Versanddienstleister und Anbieter von Einwilligungsbannern. Die Zugriffsstatistik aus Ziffer 4 erstellt unser Hoster mit einem Programm auf seinem eigenen Server; ein weiterer Dienstleister kommt dafür nicht hinzu. Für unsere Anzeigen ist auf dieser Website nichts eingebunden; die Herkunftsangaben aus Ziffer 7 bleiben in unserem Postfach.

10. Verträge, Rechnungen und Buchhaltung

Wirst du Kunde, verarbeiten wir die Angaben aus Angebot, Auftrag und Vertragsdurchführung: Firma und Anschrift, Namen und Kontaktdaten deiner Ansprechpersonen, die vereinbarten Leistungen, Rechnungen und Zahlungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Abschluss und Erfüllung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO (Aufbewahrungspflichten). Angebote, Verträge und Schriftverkehr liegen in unserem Postfach und unserer Ablage in Microsoft 365 (Ziffern 8 und 13).

Rechnungen und Buchhaltung führen wir mit DATEV Unternehmen online der DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg. Die DATEV eG ist dafür unser Auftragsverarbeiter nach Art. 28 DSGVO; nach ihren Angaben liegen die Daten im DATEV-Rechenzentrum in Deutschland. Fristen: Ziffer 16.

Finanzierung über grenke: Leasing und Mietkauf

Möchtest du Geräte oder Programme nicht auf einmal bezahlen, kannst du sie über unseren Finanzierungspartner leasen oder im Mietkauf erwerben. Den Vertrag schließt du dann mit der GRENKE AG, Neuer Markt 2, 76532 Baden-Baden. Angebot und Anfrage laufen über das Händlerportal der Miete24 P4Y GmbH, Am Markt 4, 16727 Velten, eines Beteiligungsunternehmens der GRENKE AG. Nur wenn du eine Finanzierung möchtest, geben wir dort die Angaben ein, die für Angebot und Prüfung nötig sind: Firma, Rechtsform und Anschrift, Namen und Kontaktdaten deiner Ansprechperson und der zur Vertretung berechtigten Personen, die Geräte oder Programme mit Preisen und die gewünschte Laufzeit. Das Finanzierungsangebot kannst du online annehmen; danach geht die Anfrage an grenke. Nach der Prüfung bekommst du eine E-Mail, um dich zu identifizieren und den Vertrag digital zu unterschreiben; die Vertragsunterlagen findest du danach im Kundenbereich von grenke. Wir erfahren, ob die Finanzierung zustande kommt. Die finanzierten Geräte kauft Miete24 von uns und erhält dafür unsere Rechnung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst Vertragspartner wirst, etwa als Einzelunternehmer. Für die Angaben zu Ansprechpersonen und Vertretern eines Unternehmens ist es Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist, die Finanzierung zu ermöglichen, um die du uns gebeten hast. grenke verarbeitet die Daten als eigener Verantwortlicher, nicht in unserem Auftrag. Ob und zu welchen Bedingungen grenke dir einen Vertrag anbietet, entscheidet grenke selbst; dafür fragt grenke nach eigenen Angaben Auskunfteien wie die SCHUFA, Creditreform Boniversum und CRIF an und bewertet deine Kreditwürdigkeit teilweise automatisiert mit einem Scoring (Profiling). Eine vollautomatisierte Entscheidung nach Art. 22 DSGVO setzt grenke dafür nach eigenen Angaben grundsätzlich nicht ein. Haftet eine natürliche Person für den Vertrag, etwa du als Einzelunternehmer, meldet grenke nach dem Vertrag Daten zu dieser Beteiligung an die SCHUFA; ein SCHUFA-Informationsblatt liegt dem Vertrag bei. Was grenke mit deinen Daten macht und welche Rechte du dort hast, steht in den Datenschutzhinweisen der GRENKE AG, besonders in den Ziffern 9 und 10: grenke.de/datenschutz-grenke-ag.

Unsere Anfrage, die Rückmeldung von grenke, den Kaufvertrag über die finanzierten Geräte und die Rechnung bewahren wir nach Ziffer 16 auf. Das gilt auch, wenn keine Finanzierung zustande kommt; dein Auftrag, unsere Auftragsbestätigung und unsere Mitteilung über die Absage sind dann Geschäftsbriefe (Ziffer 16).

11. Unsere Unternehmensseite und Anzeigen bei LinkedIn

Auf gefim.de ist LinkedIn nicht eingebunden – kein Skript, kein Zählpixel, keine Schaltfläche (Ziffer 5). Über diese Website erhält LinkedIn keine Daten von dir. Was hier beschrieben ist, geschieht auf LinkedIn selbst.

Unsere Unternehmensseite. Auf LinkedIn betreiben wir die Unternehmensseite „GEFIM – Informationssicherheit im Mittelstand“. Besuchst du sie, folgst du ihr oder interagierst du mit ihr, verarbeitet LinkedIn personenbezogene Daten, um uns daraus Statistiken zu unserer Seite bereitzustellen („Page Insights“) – nach eigenen Angaben etwa Funktion, Land, Branche, Karrierestufe und Unternehmensgröße aus deinem Profil und wie du mit unserer Seite interagiert hast.

Für diese Statistiken sind wir und die LinkedIn Ireland Unlimited Company gemeinsam verantwortlich (Art. 26 DSGVO; Urteil des Gerichtshofs der Europäischen Union vom 5. Juni 2018 – C-210/16). Die Aufteilung regelt die Vereinbarung von LinkedIn über die gemeinsame Verantwortlichkeit („Page Insights Joint Controller Addendum“): legal.linkedin.com/pages-joint-controller-addendum. Das Wesentliche daraus:

• LinkedIn ist für die Bereitstellung der Statistiken nach der DSGVO zuständig, insbesondere für die Pflichten aus Art. 12 bis 22 und Art. 32 bis 34 DSGVO – also für deine Information, deine Rechte und die Sicherheit der Verarbeitung.
• Wir erhalten die Statistiken nur zusammengefasst und können sie keiner einzelnen Person zuordnen.
• Deine Rechte zu diesen Statistiken kannst du in deinen LinkedIn-Einstellungen oder direkt gegenüber LinkedIn geltend machen. Du kannst dich auch an uns wenden; wir leiten dein Anliegen dann an LinkedIn weiter.
• Federführende Aufsichtsbehörde ist die irische Data Protection Commission; dein Beschwerderecht nach Ziffer 3 bleibt unberührt.

Was wir außerdem sehen. Folgst du unserer Seite, zeigt LinkedIn uns deinen Namen, deinen aktuellen Arbeitgeber und seit wann du folgst. Reaktionen, Kommentare und geteilte Beiträge sind wie überall auf LinkedIn mit deinem Namen sichtbar. Schreibst du uns dort eine Nachricht, bearbeiten wir sie wie eine E-Mail (Ziffern 8 und 16). Die Nachricht selbst speichert LinkedIn; dafür gilt die Datenschutzerklärung von LinkedIn.

Anzeigen. Wir werben auf LinkedIn für unsere Angebote. Wem LinkedIn eine Anzeige zeigt, entscheidet LinkedIn anhand der Zielgruppe, die wir für eine Kampagne wählen; wir erfahren nicht, wem sie gezeigt wurde, und erhalten nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Klickst du auf eine Anzeige, öffnet sich unsere Website wie bei jedem anderen Link; ein Skript oder Zählpixel von LinkedIn gibt es hier nicht (Ziffer 5). Öffnest du den Link in der LinkedIn-App, nutzt du deren eingebauten Browser; dafür gilt die Datenschutzerklärung von LinkedIn. Führt eine Anzeige auf eine andere unserer Websites, gilt deren Datenschutzerklärung. Füllst du ein Anfrageformular direkt in einer unserer LinkedIn-Anzeigen aus, steht alles dazu in Ziffer 16 der Datenschutzerklärung von nis2-berater.de.

Zweck und Rechtsgrundlage. Wir nutzen die Unternehmensseite und die Anzeigen, um unser Unternehmen und unsere Leistungen vorzustellen, und die Statistiken, um zu verstehen, wie unsere Beiträge ankommen – Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Fachleute und Unternehmen auf LinkedIn zu erreichen. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Anbieter für Mitglieder in der EU:

LinkedIn Ireland Unlimited Company
Wilton Plaza, Wilton Place
Dublin 2, Irland
Datenschutzerklärung: linkedin.com/legal/privacy-policy
Hinweise für die EU: linkedin.com/legal/privacy/eu
Datenschutzbeauftragter: linkedin.com/help/linkedin/ask/TSO-DPO

12. Unsere Seiten und Anzeigen bei Facebook und Instagram

Auf gefim.de sind Facebook und Instagram nicht eingebunden – kein Skript, kein Pixel, keine Schaltfläche (Ziffer 5). Über diese Website erhält Meta keine Daten von dir. Was hier beschrieben ist, geschieht auf Facebook und Instagram selbst.

Unsere Seiten dort. Wir betreiben eine Seite bei Facebook und ein Profil bei Instagram. Besuchst du sie, folgst du ihnen oder interagierst du mit ihnen, verarbeitet Meta personenbezogene Daten, um uns daraus Statistiken zu unseren Seiten bereitzustellen („Seiten-Insights“ bzw. „Insights“). Dafür nutzt Meta nach eigenen Angaben etwa, ob du Beiträge, Videos oder Storys angesehen, uns gefolgt, reagiert, kommentiert oder etwas geteilt hast, und Angaben dazu wie Zeitpunkt, ungefährer Ort, Sprache, Alters- und Geschlechtsgruppe und die Art deines Geräts.

Nach eigenen Angaben setzt Meta dafür auch Cookies ein, etwa um festzustellen, ob du bei Facebook eingeloggt bist. Welche Cookies Meta setzt und wofür Meta dich um Einwilligung bittet, steht in der Cookie-Richtlinie von Meta (facebook.com/privacy/policies/cookies).

Für diese Statistiken sind wir und die Meta Platforms Ireland Limited gemeinsam verantwortlich (Art. 26 DSGVO; Urteil des Gerichtshofs der Europäischen Union vom 5. Juni 2018 – C-210/16). Die Aufteilung regelt die Vereinbarung von Meta über die gemeinsame Verantwortlichkeit („Page Insights Controller Addendum“, deutsch „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“), abrufbar unter facebook.com/legal/terms/page_controller_addendum. Die Vereinbarung nennt ausdrücklich nur Facebook-Seiten. Eine eigene Vereinbarung für Instagram hat Meta nach unserem Kenntnisstand nicht veröffentlicht. Wir gehen davon aus, dass für die Statistiken unseres Instagram-Profils dieselbe Aufteilung gilt. Unabhängig davon kannst du deine Rechte nach Art. 26 Abs. 3 DSGVO sowohl gegenüber Meta als auch gegenüber uns geltend machen. Das Wesentliche aus der Vereinbarung:

• Meta übernimmt die Pflichten aus der DSGVO für die Verarbeitung der Daten für die Statistiken, unter anderem aus Art. 12 und 13, Art. 15 bis 21 sowie Art. 33 und 34 DSGVO – also für deine Information, deine Rechte und die Meldung von Datenschutzverletzungen.
• Wir erhalten die Statistiken nur zusammengefasst und können sie keiner einzelnen Person zuordnen.
• Deine Rechte zu diesen Statistiken kannst du direkt gegenüber Meta geltend machen. Du kannst dich auch an uns wenden; wir leiten dein Anliegen dann unverzüglich, spätestens innerhalb von sieben Tagen, an Meta weiter.
• Federführende Aufsichtsbehörde ist die irische Data Protection Commission; dein Beschwerderecht nach Ziffer 3 bleibt unberührt.

Diese Vereinbarung gilt nur für die Statistiken. Für die übrigen Verarbeitungen auf Facebook und Instagram, mit denen wir nichts zu tun haben, ist Meta allein verantwortlich, etwa für die Werbung anderer Unternehmen, die Meta dir dort zeigt. Das regelt die Datenschutzrichtlinie von Meta. Was für unsere eigenen Anzeigen gilt, steht weiter unten unter „Anzeigen“.

Was wir außerdem sehen. Folgst du unserer Seite oder unserem Profil, sehen wir deinen Namen bzw. Nutzernamen und dein Profilbild, so wie du sie dort für andere sichtbar gemacht hast. Reaktionen, Kommentare und geteilte Beiträge sind wie überall bei Facebook und Instagram mit deinem Namen sichtbar. Schreibst du uns dort eine Nachricht, bearbeiten wir sie wie eine E-Mail (Ziffern 8 und 16). Die Nachricht selbst speichert Meta; dafür gilt die Datenschutzrichtlinie von Meta.

Anzeigen. Werben wir bei Facebook oder Instagram für unsere Angebote – mit Anzeigen oder beworbenen Beiträgen –, entscheidet Meta anhand der Zielgruppe, die wir für eine Kampagne wählen, wem sie gezeigt werden. Wir erfahren nicht, wem sie gezeigt wurden, und erhalten nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Klickst du auf eine Anzeige, öffnet sich unsere Website wie bei jedem anderen Link; ein Pixel oder Skript von Meta gibt es hier nicht (Ziffer 5). Meta hängt dabei meist eine eigene Klick-Kennung (fbclid) an die Adresse. Wir übernehmen sie nicht in unsere Formulare (Ziffer 7); sie steht aber wie jede aufgerufene Adresse in den Server-Logfiles (Ziffer 4). Öffnest du den Link in der App von Facebook oder Instagram, nutzt du deren eingebauten Browser; dafür gilt die Datenschutzrichtlinie von Meta. Führt eine Anzeige auf eine andere unserer Websites, gilt deren Datenschutzerklärung. Reaktionen und Kommentare unter einem beworbenen Beitrag sind wie unter jedem anderen Beitrag mit deinem Namen sichtbar.

Zweck und Rechtsgrundlage. Wir nutzen die Seiten und Anzeigen dort, um unser Unternehmen und unsere Leistungen vorzustellen, und die Statistiken, um zu verstehen, wie unsere Beiträge ankommen – Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Unternehmen und Interessierte auch bei Facebook und Instagram zu erreichen. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Welche Werbung Meta dir zeigt, kannst du außerdem in den Werbeeinstellungen deines Kontos bei Facebook bzw. Instagram beeinflussen. Anbieter für Nutzer in der EU:

Meta Platforms Ireland Limited
Merrion Road
Dublin 4, D04 X2K5, Irland
Datenschutzrichtlinie (für Facebook und Instagram): facebook.com/privacy/policy
Informationen zu den Statistikdaten: facebook.com/legal/terms/information_about_page_insights_data
Datenschutzbeauftragter von Meta: facebook.com/help/contact/540977946302970

13. Übermittlung in Länder außerhalb der EU

Eine Übermittlung deiner Daten durch uns in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nicht beabsichtigt. Hosting, Zugriffsstatistik und E-Mail-Versand dieser Website finden in Deutschland statt.

Postfach und Videokonferenzen. Unser Microsoft-365-Mandant liegt in Europa; Microsoft verarbeitet die Daten aus Postfach, Ablage und Teams im Rahmen der EU-Datengrenze innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland findet nur in den vom Anbieter dokumentierten Ausnahmen statt, etwa beim technischen Support, wenn eine Störung von außerhalb der EU bearbeitet werden muss. Dafür stützt sich Microsoft auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; eine Kopie bekommst du auf Anfrage unter info@gefim.de.

LinkedIn. Nach eigenen Angaben teilt LinkedIn Daten seiner Mitglieder mit der LinkedIn Corporation in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln. Für diese Übermittlung ist LinkedIn verantwortlich.

Facebook und Instagram. Nach eigenen Angaben überträgt Meta Daten, auch die für die Statistiken unserer Seiten und für die Ausspielung von Anzeigen, an die Meta Platforms, Inc. in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln. Für diese Übermittlung ist Meta verantwortlich.

14. Keine automatisierte Entscheidung, kein Profiling

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO ein. Auch beim TISAX®-Rechner entscheidet kein Programm über dich: Die Preistendenz ist eine Rechnung nach festem Schema, kein Angebot, und sie hat keine rechtliche Wirkung. Wem Google, LinkedIn oder Meta unsere Anzeigen zeigen, entscheiden diese Anbieter (Ziffern 7, 11 und 12). Dafür nutzen sie ihre eigenen Profile; das regeln ihre Datenschutzerklärungen. Das gilt für unsere eigene Verarbeitung. Wie die GRENKE AG über eine Finanzierung entscheidet, steht in Ziffer 10.

15. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Auf dieser Website konkret:

• Verschlüsselte Übertragung. Die Seiten werden nur über HTTPS ausgeliefert; Aufrufe über HTTP werden umgeleitet, und der Strict-Transport-Security-Header weist deinen Browser an, unsere Seiten künftig nur verschlüsselt aufzurufen.
• Strikte Content-Security-Policy. Dein Browser darf Inhalte nur von unserem eigenen Server laden; fremde Skripte, Schriften, Bilder oder eingebettete Fenster sind technisch ausgeschlossen.
• Weitere Schutzvorgaben. Die Seiten dürfen nicht in fremde Seiten eingebettet werden, Dateitypen werden nicht erraten, Kamera, Mikrofon und Standortbestimmung sind für diese Seite abgeschaltet, und bei Links auf andere Websites wird nur unsere Domain als Herkunft übermittelt.
• Zugriffsschutz auf dem Server. Konfigurations- und Zugangsdateien sind nicht abrufbar. Die Zugriffsstatistik aus Ziffer 4 liegt hinter einem Passwortschutz. Das Formular-Skript nimmt Eingaben nur per POST an, begrenzt die Größe jeder Anfrage und prüft jede Eingabe gegen feste Vorgaben.
• Datensparsamkeit. Was nicht gespeichert wird, kann nicht abfließen: Auf dem Webserver entsteht keine Datenbank mit Anfragen, und Fehlermeldungen in den technischen Protokollen enthalten keine Namen, Adressen oder Nachrichteninhalte.
• Interner Zugriff. Auf eingehende Anfragen greifen nur die Personen zu, die sie bearbeiten.

16. Aufbewahrung und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Aufbewahrungspflichten es verlangen.

Aufbewahrung nach Datenart

Daten	Aufbewahrung
Server-Logfiles	30 Tage; IP-Adressen darin anonymisiert (Ziffer 4)
Berichte der Zugriffsstatistik (Webalizer)	längstens 24 Monate (Ziffer 4)
Prüfwerte des Missbrauchsschutzes zu IP-Adresse und E-Mail-Adresse	nach 15 Minuten bzw. mit Ablauf des Tages ohne Funktion; automatische Löschung bei einer späteren Nutzung eines unserer Formulare, spätestens bei der ersten Nutzung eines neuen Tages (Ziffern 6 und 7)
Vermerk über einen bestätigten Link (ohne Adresse und Namen)	mit Ablauf des Links (sieben Tage nach der Anforderung) ohne Funktion; danach automatische Löschung bei einer späteren Nutzung eines unserer Formulare (Ziffer 7)
Protokoll-E-Mails des TISAX®-Rechners, der BCM-Broschüre, des TISAX®-Workbooks, der Checkliste VDA ISA 2027 und des Leitfadens „Schluss mit Zettelwirtschaft“ (Ziffer 7)	ohne Bestätigung 30 Tage nach Ablauf des Bestätigungslinks; mit Bestätigung als Einwilligungsnachweis bis drei Jahre nach Ablauf des Jahres der Bestätigung
Anfragen (auch über den TISAX®-Rechner), die zu keiner Geschäftsbeziehung führen	Löschung, sobald die Anfrage abschließend bearbeitet ist und nichts dafür spricht, dass du darauf zurückkommst – in der Regel spätestens sechs Monate nach dem letzten Kontakt
Anfragen, die zu einer Geschäftsbeziehung führen	für die Dauer der Geschäftsbeziehung, danach nach den folgenden Fristen
Handels- und Geschäftsbriefe, zum Beispiel Angebote und Auftragsbestätigungen	sechs Jahre (§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB; § 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO)
Buchungsbelege und Rechnungen, auch in DATEV Unternehmen online	acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB in der seit dem Vierten Bürokratieentlastungsgesetz geltenden Fassung)
Statistiken und Follower-Liste unserer LinkedIn-Unternehmensseite	Statistiken erhalten wir nur zusammengefasst; die Follower-Liste zeigt nur, wer der Seite derzeit folgt. Wie lange LinkedIn die Daten speichert, regelt die Datenschutzerklärung von LinkedIn (Ziffer 11)
Statistiken und Follower unserer Seite bei Facebook und unseres Profils bei Instagram	Statistiken erhalten wir nur zusammengefasst; die Liste der Follower zeigt nur, wer uns derzeit folgt. Wie lange Meta die Daten speichert, regelt die Datenschutzrichtlinie von Meta (Ziffer 12)
Zahlen zu unseren Anzeigen bei Google und LinkedIn sowie bei Facebook und Instagram, wenn wir dort werben	nur zusammengefasst, ohne Bezug zu einzelnen Personen; wie lange die Anbieter Daten speichern, regeln ihre Datenschutzerklärungen (Ziffern 7, 11 und 12)

Die handels- und steuerrechtlichen Fristen beginnen mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). In dieser Zeit ist die Verarbeitung auf die Aufbewahrung beschränkt; danach löschen wir die Daten, auch in DATEV Unternehmen online.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die beschriebenen Verarbeitungen oder die rechtlichen Anforderungen ändern – zuerst die Erklärung, dann die Technik. Maßgeblich ist die hier veröffentlichte Fassung mit dem angegebenen Stand. Frühere Fassungen bewahren wir auf; auf Anfrage sagen wir dir, welche Fassung zu einem bestimmten Zeitpunkt galt.