Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

codea IT-Services GmbH
Mindermannweg 31
22609 Hamburg, Deutschland
Vertreten durch Juri Schewe und Max Biege

E-Mail für Datenschutzanfragen: info@codea.de
Telefon: +49 (0)40 88 21 80 68

Weitere Anbieterangaben finden Sie im Impressum.

Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten benannt:

secjur GmbH
Falkensteiner Ufer 40
22587 Hamburg
Telefon: +49 40/80 90 81 146
E-Mail: dsb@secjur.com

2. Geltungsbereich und Rollenverteilung

Diese Informationen betreffen das codea CRM. Für die Verwaltung eigener Vertragsbeziehungen, Benutzerzugänge und die Sicherheit des Betriebs ist codea verantwortlich. Soweit ein Kunde personenbezogene Daten in seinem Mandanten verwaltet, ist grundsätzlich dieser Kunde für deren Verarbeitung verantwortlich. codea verarbeitet diese Daten nach seinen Weisungen als Auftragsverarbeiter auf Grundlage eines Vertrags gemäß Art. 28 DSGVO.

Für die Rechtmäßigkeit eingetragener Kontakt-, Beschäftigten- und Kundendaten, erforderliche Einwilligungen und Informationen gemäß Art. 13 bzw. 14 DSGVO ist der jeweilige Kunde verantwortlich. Datenschutzanfragen zu diesen Inhalten richten Sie bitte an ihn; codea unterstützt ihn bei der Erfüllung seiner Pflichten.

3. Hosting bei Hetzner

Die Anwendung einschließlich Datenbank, Anmeldedienst, Dateien und Backups wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland betrieben. Hetzner ist dabei als Infrastruktur-Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO eingesetzt.

Die Server stehen in Rechenzentren in Deutschland (Falkenstein und Nürnberg). Eine Speicherung der CRM-Daten außerhalb der Europäischen Union findet im Hosting nicht statt.

Bei Seitenaufrufen werden IP-Adresse, Zeitpunkt, angeforderte URL, Browser- und Betriebssysteminformationen sowie Statuscodes für die Auslieferung, Fehleranalyse und Abwehr von Angriffen verarbeitet. Für notwendige Vertragsleistungen gilt Art. 6 Abs. 1 lit. b DSGVO; für die Absicherung des Betriebs Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist ein sicherer, verfügbarer Dienst. Serverlogs werden nach 14 Tagen gelöscht, soweit keine Aufbewahrung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

Offizielle Quellen: Hetzner-Datenschutzhinweise, Auftragsverarbeitungsvertrag und Unterauftragnehmer.

4. Benutzerkonto, Einladung und Anmeldung

Verarbeitet werden insbesondere Name, E-Mail-Adresse, geschützte Authentifizierungsdaten, Sitzungsinformationen, Rolle, Mandantenzugehörigkeit sowie Einladungs- und Bestätigungsstatus. Der Zugang wird ausschließlich per Einladung eingerichtet; eine eigenständige Registrierung wird nicht angeboten. Beim erstmaligen Einrichten über einen gültigen signierten Einladungslink wird die E-Mail-Zugehörigkeit über diesen Link nachgewiesen. Eine zusätzliche Bestätigungs-E-Mail ist für diese Einladungsstrecke nicht erforderlich.

Die Daten dienen Kontoeinrichtung, Anmeldung, Passwortwiederherstellung und Berechtigungsverwaltung. Soweit die Person selbst Vertragspartner ist, gilt Art. 6 Abs. 1 lit. b DSGVO. Für die Bereitstellung und Absicherung des Teamzugangs von Beschäftigten oder anderen berechtigten Personen gilt grundsätzlich Art. 6 Abs. 1 lit. f DSGVO. Die Rechtsgrundlage des Kunden für die Nutzung durch seine Beschäftigten ist gesondert zu beurteilen. Ohne die erforderlichen Angaben kann kein Benutzerzugang bereitgestellt werden.

Optionale Google-Anmeldung

Die Anwendung bietet eine Google-Anmeldung an. Wenn Sie diese auswählen, werden Sie zu Google weitergeleitet. Dabei werden Anmeldeinformationen und die für die Identifikation freigegebenen Kontodaten, insbesondere E-Mail-Adresse und gegebenenfalls Name oder Profilbild, ausgetauscht. Anbieter für Nutzer im EWR ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; weitere Gesellschaften wie Google LLC in den USA können beteiligt sein. Die Anmeldung mit E-Mail und Passwort bleibt als Alternative verfügbar.

Es gelten außerdem die Datenschutzinformationen von Google. Für die Übermittlung in Drittländer stützt sich Google auf das EU–US Data Privacy Framework sowie Standardvertragsklauseln.

5. Zugangsanfrage über die Startseite

Über das Formular auf der Startseite können Sie einen Zugang anfragen. Verarbeitet werden Name, E-Mail-Adresse, optional Firma, Teamgröße und Ihre Nachricht sowie der Zeitpunkt der Anfrage. Zur Missbrauchsabwehr enthält das Formular ein für Menschen unsichtbares Prüffeld und eine Mengenbegrenzung je E-Mail-Adresse; dafür werden keine Cookies gesetzt und keine Profile gebildet.

Zweck ist die Bearbeitung Ihrer Anfrage, die Kontaktaufnahme und gegebenenfalls die Einrichtung eines Arbeitsbereichs. Rechtsgrundlage sind vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben sind nur für befugte Betreiberadministratoren von codea einsehbar.

Nach dem Absenden erhalten Sie und die zuständigen Administratoren eine Benachrichtigung per E-Mail über Brevo (siehe Abschnitt 8). Erledigte Anfragen, aus denen keine Vertragsbeziehung entsteht, werden nach sechs Monaten gelöscht, sofern Sie nicht zuvor der Verarbeitung widersprechen. Sie werden ohne Ihre gesonderte Einwilligung nicht für Newsletter verwendet.

6. CRM-Inhalte, Dokumente und Teamzugriff

Je nach Nutzung werden Kontakt- und Firmendaten, Anschriften, Notizen, Aktivitäten, Aufgaben, Deals, Positionen, Preise, Beteiligte, individuelle Felder, Auswertungen und hochgeladene Dokumente verarbeitet. Zweck ist die vom jeweiligen Kunden bestimmte Organisation seiner Geschäftsbeziehungen. Die Rechtsgrundlage für diese Daten bestimmt der verantwortliche Kunde; sie kann insbesondere Art. 6 Abs. 1 lit. b oder f DSGVO sein.

CRM-Daten werden mandantenbezogen verarbeitet. Berechtigte Teammitglieder greifen entsprechend ihrer Rolle darauf zu. Dateien werden nicht als öffentliches Dateiverzeichnis bereitgestellt. Befugte Betreiberadministratoren können im erforderlichen Umfang für Administration und Support zugreifen. Die Trennung der Mandanten ersetzt nicht die Prüfung der Berechtigungen innerhalb eines Teams.

7. Verbundene E-Mail-Postfächer und CardDAV

Beim Verbinden eines Postfachs werden Serveradressen, Benutzerkennung und verschlüsselt gespeicherte Zugangsdaten verarbeitet. Über IMAP werden Nachrichten und Metadaten synchronisiert; über SMTP können Nachrichten mit dem verbundenen Mailanbieter versendet werden. Synchronisierte Inhalte umfassen insbesondere Absender, Empfänger, Betreff, Datum und Nachrichtentext. Der jeweilige Postfachanbieter verarbeitet zusätzlich Daten nach seinen eigenen Bedingungen und im Rahmen der Vereinbarungen des Kunden.

Nachrichten können Kontakten, Firmen und Deals zugeordnet werden. Persönliche und im Team freigegebene Nachrichten unterscheiden sich in ihren Zugriffsrechten. Zweck ist die Verwaltung geschäftlicher Korrespondenz. Die Rechtsgrundlage und zulässige Postfachnutzung bestimmt der verantwortliche Kunde. Das CRM-Postfach ist vom Brevo-Systemmailversand getrennt.

Optionales, mandantenweit freigeschaltetes CardDAV erlaubt berechtigten Geräten das Lesen von Kontaktdaten. Gerätezugänge sind personenbezogen und widerrufbar; das CRM unterstützt über CardDAV keine Schreibzugriffe. Die weitere Speicherung auf einem Endgerät unterliegt der Verantwortung des jeweiligen Nutzers bzw. Kunden.

8. Transaktionale Systemmails über Brevo

Einladungen, Passwort- und gegebenenfalls erforderliche Bestätigungsmails sowie Eingangsbestätigungen und Benachrichtigungen zu Zugangsanfragen werden über die Brevo-API versendet. Anbieter ist die Brevo SAS, 9–17, rue Salneuve, 75017 Paris, Frankreich, eingetragen im Handelsregister Paris unter 498 019 298.

An Brevo werden Empfängeradresse, Absenderangaben, Betreff, E-Mail-Inhalt und Versandkennzeichnung übermittelt. Einladungen enthalten den Mandantennamen und einen signierten Einladungslink; Passwort- und Bestätigungsmails enthalten die vom Anmeldedienst erzeugten Aktionslinks. Diese Links können Zugangsvorgänge auslösen und sind vertraulich zu behandeln. Das gewählte Passwort wird nicht an Brevo übermittelt. Brevo verarbeitet außerdem technische Versand- und Zustellinformationen, etwa Versandzeit, Zustellstatus, Fehler und gegebenenfalls Sperrlisteneinträge.

Zwecke sind die sichere Bereitstellung des eingeladenen Zugangs, erforderliche Kontoaktionen und die Zustellung dieser Nachrichten. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Vertragsleistungen oder Art. 6 Abs. 1 lit. f DSGVO für sichere Team- und Kontoverwaltung. Diese Systemmails sind keine Newsletter; aus ihrer Zustellung folgt keine Einwilligung in Werbung.

Brevo wird für den Versand als Auftragsverarbeiter eingesetzt. Die Vertragsbedingungen enthalten den Auftragsverarbeitungsvertrag in Anhang 3 und eine Unterauftragnehmerliste. Dort werden unter anderem Hosting in Frankreich und Belgien sowie weitere Infrastruktur- und Supportanbieter mit möglichen USA-Bezügen genannt. Eine ausschließlich deutsche Verarbeitung wird daher nicht zugesichert.

Brevos Unterauftragnehmerliste nennt je nach Anbieter Standardvertragsklauseln, ergänzende Maßnahmen, verbindliche interne Datenschutzvorschriften oder das EU–US Data Privacy Framework. Welche Garantie für einen konkreten Transfer trägt, richtet sich nach Art. 44 ff. DSGVO; ein Angemessenheitsbeschluss gilt nur in seinem jeweiligen Anwendungsbereich und bei US-Unternehmen nur bei einschlägiger gültiger Zertifizierung.

Die Anwendung fordert keine Öffnungs- oder Klickauswertung an; für reine Systemmails ist ein solches Tracking in den Kontoeinstellungen deaktiviert. Erforderliche Versand- und Zustellnachweise bleiben davon unberührt.

Offizielle Quellen: Brevo-Vertragsbedingungen, Auftragsverarbeitung und Unterauftragnehmer sowie Brevo-Datenschutzhinweise.

9. Browser-Speicher, Schriften und Kartenlinks

Für die Anmeldung werden technisch erforderliche Sitzungsinformationen im Browser gespeichert. Soweit der Zugriff auf das Endgerät unbedingt erforderlich ist, erfolgt er nach § 25 Abs. 2 Nr. 2 TDDDG; die personenbezogene Verarbeitung beruht je nach Zweck auf Art. 6 Abs. 1 lit. b oder f DSGVO. Nicht erforderliche Tracking-Technologien werden nicht eingesetzt.

Die Anwendung lädt die Schriftarten Urbanist und Epilogue von Google Fonts. Dabei verbindet sich der Browser mit Google-Servern; insbesondere IP-Adresse und technische Anfragedaten können an Google gelangen. Anbieterinformationen finden Sie in den Google-Datenschutzhinweisen. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen, performanten Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

Die PLZ-Erkennung nutzt lokal eingebundene Daten. Dabei werden keine eingegebenen Adressen an OpenStreetMap oder einen PLZ-Dienst gesendet. Google Maps ist nicht eingebettet. Erst wenn Sie einen Kartenlink öffnen, wird die ausgewählte Adresse in der Ziel-URL an Google übergeben; Google verarbeitet die weiteren Daten des Besuchs nach seinen Bedingungen. Quellen und Lizenzen finden Sie unter Quellen & Lizenzen.

10. Sicherheit, weitere Empfänger und Drittlandtransfers

Zugangskontrolle, mandantenbezogene Berechtigungen und Sicherheitsprotokolle dienen der Absicherung des Dienstes. Protokolliert werden Akteur, E-Mail-Adresse, Aktion, betroffene Objekte, Zeitpunkt und technische Zusatzinformationen zu sensiblen Verwaltungs- und Mailvorgängen. Für codeas eigene Betriebssicherheit ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich; im Auftrag verarbeitete Daten unterliegen zusätzlich den Weisungen des Kunden.

Empfänger können befugte Mitarbeiter und Administratoren, die hier genannten Dienstleister, vom Kunden gewählte Postfachanbieter, berechtigte Geräte und gesetzlich zuständige Behörden sein.

Bei Übermittlungen außerhalb des EWR sind Art. 44 ff. DSGVO zu beachten. Das Hosting bei Hetzner findet in Deutschland statt; Drittlandbezüge können sich über Brevo, die optionale Google-Anmeldung und Google Fonts ergeben. Informationen zu den konkret einschlägigen Garantien und gegebenenfalls Kopien können über den oben genannten Datenschutzkontakt angefragt werden, soweit gesetzliche Voraussetzungen und Schutzrechte Dritter dies zulassen.

11. Speicherdauer und Löschung

Daten werden nur so lange verarbeitet, wie der jeweilige Zweck dies erfordert. Vertrags- und Buchhaltungsunterlagen unterliegen, soweit einschlägig, den gesetzlichen Aufbewahrungspflichten, insbesondere nach Handels- und Steuerrecht. Für vom Kunden verwaltete CRM-Inhalte bestimmt dieser die erforderliche Speicherdauer und Löschung; codea setzt die vertraglich vereinbarten Weisungen um.

Beim Entfernen eines Teammitglieds werden dessen zugehörige Einladung und Einladungsverlauf im Mandanten entfernt. Dies ist nicht gleichbedeutend mit der Löschung des Benutzerkontos oder aller von der Person bearbeiteten CRM-Inhalte. Sicherheitsprotokolle sind getrennte Nachweise. Die Löschung eines Mandanten entfernt seine operativen CRM- und verbundenen Postfachdaten; Nachrichten beim ursprünglichen Mailanbieter werden dadurch nicht gelöscht.

Serverlogs werden nach 14 Tagen gelöscht. Sicherheitsprotokolle werden für die Dauer der Vertragsbeziehung und darüber hinaus nur aufbewahrt, soweit gesetzliche Pflichten oder die Verfolgung konkreter Vorfälle dies erfordern. Benutzerkonten werden nach Vertragsende gelöscht, sobald keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups werden turnusmäßig überschrieben; gelöschte Daten sind aus Backups spätestens nach Ablauf des Backup-Zyklus entfernt. Erledigte Zugangsanfragen werden nach sechs Monaten gelöscht. Die Gültigkeit eines Einladungslinks ist keine Speicherfrist.

12. Ihre Datenschutzrechte

Bei Vorliegen der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Widerspruch nach Art. 21 DSGVO: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht, einschließlich damit zusammenhängenden Profilings. Anfragen zu codeas eigener Verarbeitung richten Sie an info@codea.de; bei CRM-Daten eines Kunden wenden Sie sich an diesen.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort eines mutmaßlichen Verstoßes. Für codea in Hamburg ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig: Ludwig-Erhard-Str. 22, 20459 Hamburg, Telefon +49 (0)40 428 54 – 4040, E-Mail mailbox@datenschutz.hamburg.de. Beschwerdeformulare und Informationen: datenschutz-hamburg.de.

13. Automatisierte Entscheidungen

Die CRM-Funktionen ordnen Daten zu und unterstützen die Verwaltung. codea setzt keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung gemäß Art. 22 DSGVO ein. Setzt ein Kunde solche Verfahren auf Basis seiner CRM-Daten ein, muss er dies gesondert prüfen und erläutern.