Datenschutzerklärung

Sie können sich jederzeit mit einer Beschwerde an eine Aufsichtsbehörde wenden, etwa an die zuständige Aufsichtsbehörde des Bundeslands Ihres Wohnsitzes oder an die für uns als verantwortliche Stelle zuständige Behörde. Für die Rhein Ruhr Konfektor GmbH (Marke Konfektor Systeme) mit Sitz in Düsseldorf ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Eine Liste der Aufsichtsbehörden für den nichtöffentlichen Bereich mit Anschrift finden Sie unter bfdi.bund.de.

Eine Übermittlung der Protokolldaten in ein Land außerhalb der Europäischen Union findet nicht statt. Server und Anbieter sitzen in Deutschland.

Unser Postfach info@konfektor-systeme.de betreiben wir bei Google Workspace. Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Google verarbeitet die E-Mails als unser Auftragsverarbeiter nach den Datenverarbeitungsbedingungen von Google (Artikel 28 DSGVO). Google LLC in den Vereinigten Staaten und Unterauftragnehmer von Google wirken als weitere Verarbeiter mit, teils in Drittländern. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, geprüft am 13. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO), ergänzend auf Standardvertragsklauseln (Artikel 46 Absatz 2 Buchstabe c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage an info@konfektor-systeme.de.

Resend hat seinen Sitz in den USA. Nach dem Vertrag über die Auftragsverarbeitung findet die Hauptverarbeitung dort statt. Nach eigener Angabe speichert Resend Kontodaten, Metadaten der E-Mails und Protokolle in den USA, auch wenn der Versand über ein Rechenzentrum in einer anderen Region läuft. Resend ist nach dem EU-US Data Privacy Framework zertifiziert. Die Liste des US-Handelsministeriums führt Resend mit dem Status „Active - Re-certification under Review“, die Rezertifizierung ist also in Prüfung (geprüft am 12. November 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO), ergänzend auf Standardvertragsklauseln (Artikel 46 Absatz 2 Buchstabe c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage an info@konfektor-systeme.de.

Cal.com, Inc. hat seinen Sitz in den Vereinigten Staaten. Mit der Nutzung des Terminkalenders werden die dabei anfallenden Daten deshalb in ein Drittland übermittelt. Cal.com ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, Status „Active“, geprüft am 24. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Übermittlungen, die davon nicht erfasst sind, stützt Cal.com auf die Standardvertragsklauseln der Europäischen Kommission (Artikel 46 Absatz 2 Buchstabe c DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Artikel 7 Absatz 3 DSGVO). Schreiben Sie uns dazu eine E-Mail an info@konfektor-systeme.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Ihren Klick speichern wir nicht. Bei jedem neuen Aufruf der Seite lädt der Player erst wieder, wenn Sie den Film erneut starten. Die Einträge im lokalen Speicher Ihres Browsers können Sie in den Einstellungen Ihres Browsers löschen. Gegenüber Wistia können Sie Ihre Rechte über die Seite Privacy & Data Requests von Wistia ausüben.

Wistia, Inc. hat seinen Sitz in den Vereinigten Staaten. Starten Sie den Film, werden die oben genannten Daten deshalb in ein Drittland übermittelt. Wistia, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, Status „Active“, geprüft am 12. November 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Ergänzend setzt Wistia nach eigener Angabe Standardvertragsklauseln ein. Weitere Informationen finden Sie in der Datenschutzerklärung von Wistia.

Sie können der Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Artikel 21 DSGVO widersprechen. Schreiben Sie uns dazu eine E-Mail an info@konfektor-systeme.de. Technisch verhindern Sie das Laden, indem Sie Skripte von Google in Ihrem Browser sperren.

Google LLC hat seinen Sitz in den Vereinigten Staaten. Mit dem Laden des Containers können die oben genannten Daten deshalb in ein Drittland gelangen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, geprüft am 13. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Ergänzend stützt Google Übermittlungen für seine Analyse- und Werbedienste nach eigener Angabe bei Bedarf auf Standardvertragsklauseln. Weitere Informationen finden Sie in den Angaben von Google zu Datenübermittlungen.

Sie können Ihre Auswahl jederzeit mit Wirkung für die Zukunft ändern oder Ihre Einwilligung widerrufen. Klicken Sie dazu in der Fußzeile jeder Seite auf die Schaltfläche „Cookie-Einstellungen“. Der Hinweis erscheint erneut. Dort können Sie neu wählen. Zusätzlich können Sie in den Einstellungen Ihres Browsers das Cookie „CookieConsent“ dieser Website löschen. Beim nächsten Aufruf erscheint der Hinweis dann ebenfalls erneut. Bereits gesetzte Cookies von Google Analytics löschen Sie in den Einstellungen Ihres Browsers. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Usercentrics A/S sitzt in Dänemark, also innerhalb der Europäischen Union. Den Schlüssel zum Nachweis Ihrer Auswahl speichert Usercentrics nach eigener Angabe in Irland. Das Auslieferungsnetz betreibt die BunnyWay d.o.o. in Slowenien, die Datenbank liegt nach den Angaben von Usercentrics in der Europäischen Union. Das weltweite Auslieferungsnetz von Cookiebot, das die Akamai Technologies, Inc. in den USA betreibt, nutzt diese Website nicht. Nach den uns vorliegenden Angaben findet bei Cookiebot in dieser Einbindung keine Übermittlung in ein Land außerhalb der Europäischen Union statt. Weitere Informationen finden Sie in der Datenschutzerklärung von Usercentrics.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Wie das geht, steht in Abschnitt 10 unter „Einwilligung ändern oder widerrufen“.

Google LLC hat seinen Sitz in den Vereinigten Staaten. Mit Ihrer Einwilligung können die von Google Analytics erfassten Daten deshalb in ein Drittland gelangen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, geprüft am 13. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Ergänzend stützt Google Übermittlungen für seine Analyse- und Werbedienste nach eigener Angabe bei Bedarf auf Standardvertragsklauseln. Weitere Informationen finden Sie in den Angaben von Google zu Datenübermittlungen.

Wie Sie der Verarbeitung widersprechen oder Ihre Einwilligung widerrufen, steht bei den jeweiligen Diensten in Abschnitt 7 und Abschnitt 8.

Functional Software, Inc. hat ihren Sitz in den Vereinigten Staaten. Sentry gibt an, am EU-US Data Privacy Framework teilzunehmen. Die Liste des US-Handelsministeriums führt das Unternehmen unter dem Namen Sentry.io mit aktiver Zertifizierung (geprüft am 13. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Wo dieser nicht gilt, nennt Sentry Standardvertragsklauseln als Grundlage. Weitere Informationen finden Sie in der Datenschutzerklärung von Sentry.

Für unsere Kunden und Interessenten betreiben wir ein Kundenportal. Jedes Unternehmen erhält eine eigene Adresse in der Form firmenname.kk.konfektor-systeme.de. Im Portal sehen berechtigte Personen des Unternehmens das Konzept, die Leistungen mit ihrem Stand und die Verträge. Sie können Leistungen anfragen, Verträge anfordern und unterschreiben, Änderungswünsche und Nachrichten an uns senden und weitere Personen aus ihrem Team einladen. Das Portal richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB.

Die Abschnitte 3 bis 12 beschreiben die Website unter konfektor-systeme.de. Für das Kundenportal gelten die Abschnitte 13 bis 22. Im Kundenportal setzen wir weder den Google Tag Manager noch Google Analytics noch Cookiebot ein.

Wir verarbeiten folgende Daten der Personen, die das Portal nutzen oder dort geführt werden:

• Vorname, Nachname, geschäftliche E-Mail-Adresse, Telefonnummer, Funktion, die gewünschte Ansprache (Sie oder Du) und gegebenenfalls ein Profilbild,
• die Angabe, ob die Person Hauptansprechpartner, Entscheider, vertretungsberechtigt oder unterschreibende Person ist,
• Angaben zum Unternehmen und zum Vertragsverhältnis, soweit sie Personen betreffen,
• Nachrichten und Anhänge aus dem Portal mit dem Zeitpunkt, zu dem sie gelesen wurden, Änderungswünsche sowie unsere Notizen zu Gesprächen und Terminen und
• Angaben zu Anmeldung und Sitzung (siehe Abschnitt 14).

Die Daten stammen von Ihnen selbst, von Kollegen Ihres Unternehmens, die Sie als Ansprechpartner benennen oder ins Team einladen, aus Gesprächen und Terminbuchungen mit unserem Vertrieb und aus öffentlich zugänglichen Registern. Ob eine Person für das Unternehmen vertretungsberechtigt ist, trägt unser Vertrieb ein.

Zugangsdaten für den Tresor unseres internen Systems und Dateien, die Sie uns beim Onboarding übergeben, verarbeiten wir im Auftrag Ihres Unternehmens nach dem Vertrag über die Auftragsverarbeitung. Verantwortlich ist insoweit Ihr Unternehmen. Das Portal selbst speichert keine Zugangsdaten aus dem Tresor.

Buchen Sie über unseren Kalender bei Cal.com einen Termin, ob über die Website (Abschnitt 7), über die Terminauswahl im Portal (Abschnitt 20) oder über einen Link in einer unserer E-Mails, übernehmen wir die Buchung in unser Vertriebssystem. Fehlt der Name des Unternehmens, leiten wir ihn aus der Domain Ihrer E-Mail-Adresse ab. Wir speichern Ihren Namen, Ihre E-Mail-Adresse, gegebenenfalls Ihre Telefonnummer und den Namen Ihres Unternehmens, den Termin und die Art des Termins. Haben Sie bei der Buchung eine Notiz eingetragen, zeigen wir sie in der Zeitleiste Ihres Unternehmens an, die nur unsere Mitarbeiter sehen. Enthält die Buchung Angaben zur Herkunft, etwa die Seite, von der Sie zum Kalender kamen, speichern wir auch diese. Anhand der Buchung legen wir einen Kontakt an und, falls es Ihr Unternehmen bei uns noch nicht gibt, ein Unternehmen. Zweck ist die Vorbereitung und Führung des Gesprächs und die Betreuung als Interessent. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit Sie als Einzelunternehmer selbst einen Vertrag mit uns anbahnen, im Übrigen Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die Vorbereitung des Gesprächs und die Betreuung des Unternehmens, für das Sie den Termin gebucht haben. Die Speicherdauer entspricht der von Anfragen, aus denen kein Vertrag entsteht (siehe unten).

Im Portal zeigen wir Ihnen das Konzept, das wir für Ihr Unternehmen erstellt haben, mit den empfohlenen Leistungen und ihrem Stand. Berechtigte Personen Ihres Unternehmens können aus den empfohlenen Leistungen auswählen und daraus einen Vertrag anfordern. Dabei speichern wir, welche Person die Auswahl getroffen hat, welche Leistungen gewählt wurden und wann die Anfrage einging. Aus der Anfrage erstellen wir den Vertrag. Sie sehen ihn danach im Portal und können ihn dort unterschreiben, wie in Abschnitt 16 beschrieben.

Zweck ist, Ihnen die Auswahl und Beauftragung von Leistungen im Portal zu ermöglichen und den Vertrag vorzubereiten. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit Sie als Einzelunternehmer selbst Vertragspartei sind oder wir auf Ihre Anfrage vorvertragliche Maßnahmen treffen. Für alle übrigen Personen beruht die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die Anbahnung und Abwicklung des Vertrags mit dem Unternehmen, für das Sie tätig sind.

Wie die Anmeldung zum Portal funktioniert und welche Cookies dabei entstehen, steht in Abschnitt 14. Die Speicherdauer richtet sich nach den Angaben unter „Speicherdauer“ in diesem Abschnitt: Anfragen, aus denen kein Vertrag entsteht, löschen wir 24 Monate nach der letzten Aktivität. Entsteht ein Vertrag, gelten die dort genannten Fristen für Verträge und die zugehörigen Nachweise.

Unterschreibt eine Person einen Vertrag, meldet das Portal das an unser internes System Konfektor OS und übergibt dabei die Angaben zum Unternehmen. Das sind Firmenname, Rechtsform, Anschrift, Umsatzsteuer-Identifikationsnummer, Handelsregisternummer, Rechnungsanschrift und Rechnungs-E-Mail-Adresse. Für den Hauptansprechpartner, den Entscheider, die unterschreibenden und die vertretungsberechtigten Personen übergibt es Vorname, Nachname, Funktion, E-Mail-Adresse und Telefonnummer mit der jeweiligen Rolle. Das interne System dient dem Onboarding und der Abwicklung des Vertrags. Es versendet die Mail zum Onboarding über Resend (Abschnitt 15), läuft auf einem Server der Hetzner Online GmbH und nutzt eine Datenbank von Supabase in der Region Frankfurt (Abschnitt 17). Im internen System gelten für diese Daten dieselben Fristen wie im Portal, die unter Speicherdauer stehen: Kontaktangaben löschen wir drei Jahre nach dem Ende des Jahres, in dem der letzte Vertrag des Kunden endete, Verträge und Auftragsverarbeitungsverträge samt ihren PDF-Dokumenten zehn Jahre nach dem Ende des Jahres, in dem der Vertrag endet. Die Meldungen, mit denen das Portal das interne System über Vertragsschlüsse und Änderungen informiert, löschen wir nach 12 Monaten. Protokolle des internen Systems, die Namen, E-Mail-Adressen oder IP-Adressen enthalten, löschen wir nach 12 Monaten.

Soweit Sie als Einzelunternehmer selbst Vertragspartei sind oder wir auf Ihre Anfrage vorvertragliche Maßnahmen treffen, verarbeiten wir Ihre Daten nach Artikel 6 Absatz 1 Buchstabe b DSGVO. Für alle übrigen Personen, also Beschäftigte und Vertreter eines Kundenunternehmens sowie eingeladene Teammitglieder, beruht die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die Anbahnung, Durchführung und Abwicklung des Vertrags mit dem Unternehmen, für das Sie tätig sind, sowie eine bedarfsgerechte Beratung.

Empfänger sind unsere Mitarbeiter, soweit sie die Daten für die Betreuung Ihres Unternehmens brauchen. Weitere Empfänger sind die Dienstleister, die in den Abschnitten 15 bis 20 genannt sind, sowie Trello, Slack, Wispr und Plaud (Abschnitt 21, Teil A). Berechtigte Personen Ihres Unternehmens sehen in der Teamansicht des Portals alle Personen, die Zugang zum Portal haben, mit Namen, E-Mail-Adresse, Rolle und gegebenenfalls Profilbild. Dort steht auch, wer eine Person eingeladen hat und ob sie sich bereits angemeldet hat. Eine Weitergabe zu Werbezwecken findet nicht statt.

• Anfragen und Kontakte, aus denen kein Vertrag entsteht, löschen wir 24 Monate nach der letzten Aktivität.
• Die übrigen Daten der Personen unserer Kunden, also Kontakte, Nachrichten und Notizen, löschen wir drei Jahre nach dem Ende des Jahres, in dem der letzte Vertrag des Kunden endete (regelmäßige Verjährungsfrist, § 195 BGB), soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Entfernen Sie eine Person aus dem Team des Portals, beenden wir ihren Zugang und löschen ihr Profilbild sofort. Ihre Kontaktangaben bewahren wir höchstens bis zur genannten Dreijahresfrist auf. Nachrichten und Notizen, die sie verfasst hat, bleiben bis zu dieser Frist erhalten, weil sie Erklärungen gegenüber dem Kunden belegen. Entziehen Sie einer Person nur den Zugang oder verlässt sie Ihr Unternehmen, gilt dasselbe.
• Das Anmelde- und Sitzungsprotokoll und das übrige Änderungsprotokoll der Anwendung löschen wir nach 12 Monaten, Nachweise über Löschläufe nach 36 Monaten.
• Verträge bewahren wir zehn Jahre nach dem Ende des Jahres auf, in dem der Vertrag endet. Ebenso lange bewahren wir die Nachweise zu ihrem Abschluss auf. Das sind das Prüfprotokoll des Signaturdienstes, unser Änderungsprotokoll zu den Vertragsdaten, die Nachrichten, die einem Vertrag zugeordnet sind, sowie Name und Funktion der unterschreibenden Person.

Gesetzlich vorgeschrieben sind nach § 257 HGB und § 147 AO sechs Jahre für Geschäftsbriefe und acht Jahre für Buchungsbelege, jeweils ab dem Ende des Kalenderjahres. Die längere Frist von zehn Jahren dient dem Nachweis des Vertragsschlusses, weil Ansprüche aus einem Vertrag bis zu zehn Jahre nach ihrer Entstehung geltend gemacht werden können (§ 199 Abs. 4 BGB). Rechtsgrundlage ist für die gesetzliche Aufbewahrung Artikel 6 Absatz 1 Buchstabe c DSGVO, für die Zeit darüber hinaus Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die Durchsetzung und Abwehr von Ansprüchen aus dem Vertrag.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Für den Zugang zum Portal brauchen wir Ihre geschäftliche E-Mail-Adresse. Für den Abschluss eines Vertrags über das Portal sind Name und E-Mail-Adresse der unterschreibenden Person erforderlich. Ohne diese Angaben ist eine elektronische Unterschrift nicht möglich, Sie können den Vertrag dann nur auf anderem Weg schließen.

Das Portal kennt kein Passwort. Sie geben Ihre E-Mail-Adresse ein und erhalten per E-Mail einen sechsstelligen Code, mit dem Sie sich anmelden. Einen Code erhalten nur Adressen, die zu einer Person Ihres Unternehmens gehören, die wir als Ansprechpartner führen oder die ein Teammitglied eingeladen hat. Die Antwort der Seite fällt immer gleich aus, damit niemand erfahren kann, ob eine Adresse bei uns hinterlegt ist.

Wir verarbeiten dabei Ihre E-Mail-Adresse, den Code, den Zeitpunkt der Anforderung und die IP-Adresse Ihres Geräts. Die IP-Adresse speichern wir nur als Prüfwert, wie in Abschnitt 17 beschrieben. Den Code speichern wir nur als Prüfwert, nie im Klartext, auch nicht in unserem Postausgang. Der Versanddienst Resend hält die E-Mail mit dem Code bis zu 30 Tage vor. Der Code gilt zehn Minuten und erlaubt fünf Versuche. Wird für Ihre Adresse innerhalb von 24 Stunden zehnmal ein falscher Code eingegeben, braucht die Anmeldung zu Ihrem Schutz zwei Codes: Stimmt der erste Code, senden wir Ihnen einen zweiten per E-Mail. Jeder der beiden Codes erlaubt dann nur einen Versuch. Nach 24 Stunden ohne weitere falsche Eingaben reicht wieder ein Code. Beim zehnten Fehlversuch weisen wir Sie per E-Mail darauf hin, dass die Anmeldung zwei Codes braucht. Werden für Ihre Adresse in kurzer Zeit sehr viele Codes angefordert, senden wir nicht jedes Mal eine neue E-Mail. Sie melden sich dann mit dem Code aus der neuesten E-Mail an. Anfragen begrenzen wir je E-Mail-Adresse und je IP-Adresse, um Missbrauch zu verhindern. Falsche Eingaben speichern wir mit dem Zeitpunkt, einem Prüfwert Ihrer Adresse und der Kennung, unter der wir Sie als Kontakt führen. Die Adresse selbst speichern wir dabei nicht. Diese Einträge löschen wir nach zwei Tagen. Braucht Ihre Anmeldung zwei Codes, sieht unser Vertrieb das in unserem Vertriebssystem mit der Zahl der falschen Eingaben. Auf Ihren Wunsch setzt er die Zählung zurück und löscht dabei die gespeicherten falschen Eingaben. Anforderung, Anmeldung, Fehlversuch, Abmeldung und das Zurücksetzen halten wir in einem Protokoll fest, nie jedoch den Code selbst.

Das Portal speichert in Ihrem Browser drei Cookies. Wenn Sie einen Code anfordern, setzen wir das Cookie „__Host-kk_anfrage“ für 15 Minuten. Es sorgt dafür, dass der Code nur in dem Browser gilt, in dem Sie ihn angefordert haben. Braucht die Anmeldung zwei Codes, setzen wir es nach dem ersten Code erneut für 15 Minuten. Öffnen Sie ohne Anmeldung einen Link aus einer unserer E-Mails, etwa zur Unterschrift eines Vertrags, merkt sich das Cookie „__Host-kk_ruecksprung“ für 15 Minuten, zu welcher Seite des Portals wir Sie nach der Anmeldung weiterleiten. Es enthält die Kennung des Vertrags oder den Pfad der Seite, keine E-Mail-Adresse und keinen Namen. Nach der Anmeldung setzen wir das Sitzungscookie „__Host-kk_portal“. Es gilt nur für die Adresse Ihres Unternehmens und dient dazu, Sie während der Sitzung wiederzuerkennen.

Bei der Anmeldung können Sie „Angemeldet bleiben“ wählen. Das Feld ist nicht vorausgewählt. Wählen Sie es nicht, speichert Ihr Browser das Sitzungscookie „__Host-kk_portal“ nur, bis Sie ihn schließen. Stellt Ihr Browser beim nächsten Start die letzte Sitzung wieder her, kann die Anmeldung bestehen bleiben, auf unserem Server endet sie aber spätestens nach 24 Stunden. Wählen Sie es, bleibt das Sitzungscookie 30 Tage in Ihrem Browser und Sie müssen in dieser Zeit keinen neuen Code eingeben, auch wenn Sie das Portal zwischendurch nicht nutzen. Das Cookie enthält nur einen Zufallswert und keine Angaben zu Ihrer Person. Wir speichern davon nur einen Prüfwert. Mit „Abmelden“ beenden Sie die Sitzung sofort, das Cookie wird dabei gelöscht. Wird eine Person aus dem Portal entfernt, endet ihre Sitzung ebenfalls sofort. Auf Geräten, die auch andere Personen nutzen, sollten Sie „Angemeldet bleiben“ nicht wählen.

Öffnen Sie die Terminauswahl Ihres Systemberaters, setzt der Dienst Cloudflare für Cal.com ein weiteres Cookie und Cal.com legt einen Eintrag im lokalen Speicher Ihres Browsers an, siehe Abschnitt 20.

Die Verarbeitung der Anmeldedaten beruht auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die sichere Anmeldung der Personen Ihres Unternehmens und der Schutz des Portals vor Missbrauch. Diesem Interesse dienen auch die Zählung falscher Eingaben und der zweite Code. Soweit Sie als Einzelunternehmer selbst Vertragspartei sind, ist Artikel 6 Absatz 1 Buchstabe b DSGVO die Grundlage. Alle drei Cookies sind technisch notwendig. Rechtsgrundlage für das Speichern auf Ihrem Gerät ist § 25 Absatz 2 Nummer 2 TDDDG. Die längere Laufzeit des Sitzungscookies setzen wir nur, wenn Sie „Angemeldet bleiben“ ausdrücklich wählen. Sie dient allein dazu, diese von Ihnen gewünschte Funktion bereitzustellen. Rechtsgrundlage für das Speichern auf Ihrem Gerät ist auch insoweit § 25 Absatz 2 Nummer 2 TDDDG.

Die E-Mails mit den Codes und den Hinweis auf falsche Eingaben versenden wir über den Dienst Resend (Abschnitt 15). Weitere Empfänger gibt es nicht.

Einmalcodes löschen wir 24 Stunden nach der Ausstellung, Fehlversuche der Codeprüfung nach 2 Tagen und Sitzungen 7 Tage nach ihrem Ende. Die Zähler zur Begrenzung von Anfragen, die nur Prüfwerte der E-Mail-Adresse und der IP-Adresse enthalten, löschen wir nach einem Tag. Das Anmeldeprotokoll löschen wir nach 12 Monaten.

Ohne die Angabe Ihrer E-Mail-Adresse und den Code ist eine Anmeldung nicht möglich.

Alle E-Mails des Portals versenden wir über den Dienst Resend. Dazu gehören der Einmalcode, Sicherheitshinweise zur Anmeldung, Einladungen von Teammitgliedern, Hinweise auf neue Konzepte und Vertragsfassungen, Links zur Unterschrift, die Auftragsbestätigung nach der Unterschrift, die Bestätigung der Annahme einer verspäteten Unterschrift, Hinweise auf Antworten im Nachrichtenverlauf sowie die Mitteilung, dass die Adresse Ihres Portals erreichbar ist. Auch unser internes System versendet seine Mail zum Onboarding über Resend. Die E-Mails gehen an die Adresse, die wir für Sie hinterlegt haben. Absender ist Konfektor Systeme mit der Adresse no-reply@konfektor-systeme.de, Antworten gehen an info@konfektor-systeme.de. Dieses Postfach betreiben wir bei Google Workspace. Die Angaben zu Google stehen in Abschnitt 5. Im Fuß der E-Mails stehen unsere Angaben aus dem Impressum.

Resend verarbeitet als unser Auftragsverarbeiter die E-Mail-Adresse des Empfängers, den Inhalt der Nachricht und technische Versanddaten wie Zeitpunkt und Zustellstatus. In den meisten E-Mails stehen keine Beträge und keine Vertragsinhalte, sondern ein Link ins Portal. Die Auftragsbestätigung und die Bestätigung der Annahme einer verspäteten Unterschrift tragen das unterschriebene Vertragsdokument als Anhang. Es enthält Vertragsinhalte und Beträge. Resend meldet uns den Zustellstatus einer E-Mail (zugestellt, nicht zustellbar, als Spam gemeldet oder verzögert) an das Portal zurück. Wir speichern ihn im Postausgang.

Die Verarbeitung beruht auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist die Zustellung der Anmeldung und der Mitteilungen im Rahmen des Vertrags mit dem Unternehmen, für das Sie tätig sind. Soweit Sie als Einzelunternehmer selbst Vertragspartei sind, ist Artikel 6 Absatz 1 Buchstabe b DSGVO die Grundlage. Mit Resend besteht ein Vertrag über die Auftragsverarbeitung nach Artikel 28 DSGVO.

Anbieter ist Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Die Hauptverarbeitung findet nach dem Vertrag in den USA statt. Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert. Die Liste des US-Handelsministeriums führt ihn mit dem Status „Active - Re-certification under Review“, die Rezertifizierung ist also in Prüfung (geprüft am 19. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Zusätzlich sind Standardvertragsklauseln vereinbart (Artikel 46 Absatz 2 Buchstabe c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

Resend hält Inhalt und Versanddaten einzelner E-Mails bis zu 30 Tage vor. Nach Ende des Vertragsverhältnisses mit uns löscht Resend Kundendaten innerhalb von 90 Tagen. In unserem Postausgang speichern wir zu jeder Nachricht den Empfänger, den Betreff, die Vorlage, den Zeitpunkt, den Status und die Kennung des Anbieters, nie den Inhalt. Diese Einträge löschen wir nach 12 Monaten.

Verträge und den Vertrag über die Auftragsverarbeitung können Sie elektronisch unterschreiben. Dafür setzen wir den Dienst PandaDoc ein. Wir übergeben PandaDoc das Dokument sowie Namen und E-Mail-Adresse der unterschreibenden Person. PandaDoc verschickt an Sie keine eigene E-Mail. Den Link zur Unterschrift erhalten Sie von uns per E-Mail (Abschnitt 15). Er führt ins Portal und leitet Sie nach der Anmeldung zur Unterschriftsseite von PandaDoc weiter. Ihr Browser öffnet diese Seite in demselben Fenster, sie wird nicht in das Portal eingebettet. PandaDoc meldet uns Ansicht, Unterschrift oder Ablehnung. Anschließend laden wir das unterschriebene Dokument und das Prüfprotokoll herunter und legen beides bei uns ab. Wird eine neue Vertragsfassung angelegt, setzen wir das alte Dokument beim Dienst auf ungültig.

Das Prüfprotokoll enthält Name, E-Mail-Adresse, IP-Adresse und den daraus abgeleiteten Ort, die Zeitpunkte von Versand, Ansicht und Unterschrift sowie die Dokumentnummer. Diese Angaben bewahren wir mit dem Vertrag für die Aufbewahrungsfrist auf. Nur Personen, die für Ihr Unternehmen vertretungsberechtigt sind, erhalten einen Unterschriftslink.

Mit dem Aufruf der Unterschriftsseite verbindet sich Ihr Browser mit den Servern von PandaDoc. PandaDoc erhält dabei Ihre IP-Adresse. Nutzungsdaten auf der Unterschriftsseite verarbeitet PandaDoc als eigener Verantwortlicher nach seiner Datenschutzerklärung (https://www.pandadoc.com/legal/privacy-notice/). Dort steht auch, welche Cookies PandaDoc verwendet. Der Aufruf ist für die von Ihnen gewünschte Unterschrift erforderlich.

Die Verarbeitung dient dem Abschluss und der Durchführung des Vertrags mit dem Unternehmen, für das Sie tätig sind. Sie beruht auf Artikel 6 Absatz 1 Buchstabe f DSGVO, bei Einzelunternehmern als Vertragspartei auf Artikel 6 Absatz 1 Buchstabe b DSGVO. Die Aufbewahrung des unterschriebenen Vertrags beruht auf Artikel 6 Absatz 1 Buchstabe c DSGVO, über die gesetzliche Frist hinaus auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Mit PandaDoc besteht ein Vertrag über die Auftragsverarbeitung nach Artikel 28 DSGVO.

Anbieter ist PandaDoc, Inc., 548 Market St PMB 185308, San Francisco, CA 94104-5401, USA. Unser Konto liegt in der globalen Installation von PandaDoc, die Verarbeitung findet überwiegend in den USA statt. Einzelne Unterauftragnehmer von PandaDoc arbeiten auch im Europäischen Wirtschaftsraum. Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, Status „Active“, geprüft am 19. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Zusätzlich enthält der Vertrag Standardvertragsklauseln (Artikel 46 Absatz 2 Buchstabe c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

Das unterschriebene Dokument und das Prüfprotokoll bewahren wir zehn Jahre nach dem Ende des Jahres auf, in dem der Vertrag endet. Die Gründe und Rechtsgrundlagen stehen in Abschnitt 13 unter Speicherdauer. Beim Dienst löschen wir das unterschriebene Dokument und das Prüfprotokoll derzeit nicht von selbst. Sie bleiben dort gespeichert, bis wir sie löschen.

Für die elektronische Unterschrift sind Name und E-Mail-Adresse der unterschreibenden Person erforderlich. Ohne sie ist die Unterschrift über das Portal nicht möglich.

Das Kundenportal läuft auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum der Hetzner Online GmbH in Nürnberg. Die Daten des Portals (Kontakte, Konzepte, Verträge, Sitzungen) speichern wir in einer Datenbank des Anbieters Supabase in der Region Frankfurt am Main. Dateien wie Verträge und Profilbilder liegen im nicht öffentlichen Dateispeicher desselben Supabase-Projekts. Die Adressen unter kk.konfektor-systeme.de löst der Dienst Cloudflare auf. Cloudflare führt nur die Namensauflösung durch und leitet den Seitenverkehr nicht weiter. Die Seiten des Portals laufen nicht über Cloudflare. Anders ist es nur bei der Terminauswahl, die Sie in der Box Ihres Systemberaters öffnen können: Cal.com liefert sie über Cloudflare aus (Abschnitt 20).

Der Server verarbeitet die IP-Adresse Ihres Geräts, um Ihnen die Seiten des Portals auszuliefern. Gespeichert wird sie in unserer Anwendung nur, um Anmeldeversuche zu begrenzen. Dafür bildet die Anwendung aus ihr mit einem geheimen Schlüssel einen Prüfwert, bei einer IPv6-Adresse nur aus dem vorderen Teil, der das Netz Ihres Anschlusses bezeichnet (Präfix /64). Gespeichert werden nur dieser Prüfwert, der Zeitpunkt und die Art der Anfrage. Ohne den Schlüssel lässt sich die Adresse aus dem Prüfwert nicht ablesen. Das ist eine Pseudonymisierung, der Prüfwert bleibt deshalb ein personenbezogenes Datum. Wir löschen den Eintrag nach einem Tag. Das Protokoll der Anmeldung enthält keine IP-Adresse. Der Server, über den das Portal erreichbar ist, schreibt keine Zugriffsprotokolle.

Öffnen Sie im Portal eine Datei, etwa einen Vertrag, lädt Ihr Browser sie über einen zeitlich begrenzten Link direkt aus dem Dateispeicher von Supabase. Dabei erhalten Supabase und dessen Dienstleister Cloudflare Ihre IP-Adresse. Supabase protokolliert diese Abrufe und löscht die Protokolle nach seinen eigenen Fristen.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb des Portals. Mit Hetzner, Supabase und Cloudflare bestehen Verträge über die Auftragsverarbeitung nach Artikel 28 DSGVO.

Hetzner hat seinen Sitz in Deutschland. Eine Übermittlung in ein Drittland findet bei Hetzner nach unserem Kenntnisstand nicht statt.

Supabase wird von der Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, angeboten. Die Datenbank wird bei Amazon Web Services in der Region Frankfurt (eu-central-1) betrieben. Nach dem Vertrag darf Supabase Daten an allen Standorten von Supabase und seinen Unterauftragsverarbeitern verarbeiten, unter anderem in Singapur und in den USA. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Übermittlung beruht auf den Standardvertragsklauseln der EU-Kommission (Artikel 46 Absatz 2 Buchstabe c DSGVO). Wir weisen darauf hin, dass dort ein Schutzniveau bestehen kann, das dem der Europäischen Union nicht in jeder Hinsicht entspricht. Eine Kopie der Garantien erhalten Sie auf Anfrage.

Cloudflare wird von der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, angeboten. Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, Status „Active - Re-certification under Review“, geprüft am 19. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Zusätzlich sind Standardvertragsklauseln vereinbart (Artikel 46 Absatz 2 Buchstabe c DSGVO).

Die Speicherdauer richtet sich nach den Angaben in den Abschnitten 13 und 14. Die Prüfwerte der IP-Adresse löschen wir nach einem Tag. Gelöschte Daten bleiben in unseren Datensicherungen, bis diese überschrieben werden. Tägliche Sicherungen überschreiben wir nach 30 Tagen, monatliche Sicherungen löschen wir nach 12 Monaten.

Unsere Mitarbeiter nutzen den KI-Assistenten Claude, um Kontakte, Notizen und Termine im Vertriebssystem nachzuschlagen. Dabei kann Claude über eine Schnittstelle ausschließlich lesen. Es sieht die Firmen, Kontakte, Opportunities, Aufgaben, die Zeitleiste und den Forecast des Vertriebssystems, also auch Namen, E-Mail-Adressen, Funktionen und Notizen der Personen, die dort geführt werden. Konzepte, Verträge, Dateien, Nachrichten im Portal und Inhalte des Kundenportals liefert die Schnittstelle nicht. Claude trifft keine Entscheidungen über Sie. Außerdem setzen wir Claude bei der Entwicklung und dem Betrieb des Portals ein. Dabei kann Claude im Einzelfall lesend auf die Datenbank des Portals zugreifen und dort Firmennamen, Kennungen und Zeitpunkte sehen, etwa um einen Fehler zu prüfen. Ändern kann Claude dabei nichts.

Die Verarbeitung beruht auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist eine effiziente und fehlerarme Pflege der Kundendaten.

Empfänger ist die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Wir nutzen Claude mit einem Geschäftskonto unter den kommerziellen Nutzungsbedingungen von Anthropic. Anthropic verarbeitet die Daten dabei als unser Auftragsverarbeiter nach seinem Vertrag über die Auftragsverarbeitung (Artikel 28 DSGVO). Nach diesen Bedingungen darf Anthropic unsere Eingaben und die Antworten von Claude nicht zum Training seiner Modelle verwenden. Anthropic Ireland gibt Daten an die Anthropic, PBC in den USA und an weitere Unterauftragsverarbeiter weiter, auch außerhalb der Europäischen Union. Für diese Weitergabe ist Anthropic Ireland als Unternehmen mit Sitz in der Europäischen Union selbst an die Regeln der DSGVO für Übermittlungen in Drittländer gebunden (Artikel 44 DSGVO). Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Wir weisen darauf hin, dass in den USA ein Schutzniveau bestehen kann, das dem der Europäischen Union nicht in jeder Hinsicht entspricht.

Unterhaltungen und Sitzungen mit Claude, in denen solche Daten vorkommen, bleiben in unserem Konto bei Anthropic gespeichert, bis wir sie dort löschen. Nach dem Löschen entfernt Anthropic sie nach eigenen Angaben innerhalb von 30 Tagen aus seinen Systemen. Länger speichert Anthropic Inhalte nach eigenen Angaben insbesondere, wenn seine Systeme eine Unterhaltung als Verstoß gegen die Nutzungsrichtlinie markieren (bis zu zwei Jahre) oder wenn das Gesetz es verlangt. Endet unser Vertrag mit Anthropic, löscht Anthropic die bei ihm gespeicherten Daten nach dem Vertrag über die Auftragsverarbeitung innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht entgegensteht.

In der Box Ihres Systemberaters im Portal steht der Knopf „Termin vereinbaren“. Führt er zu unserem Terminkalender bei Cal.com, öffnet ein Klick die Terminauswahl als Fenster über der Seite. Vor diesem Klick baut das Portal keine Verbindung zu Cal.com auf. Das Programm, das das Fenster öffnet, liefert das Portal von seinem eigenen Server aus. Erst nach dem Klick lädt Ihr Browser die Terminauswahl von den Servern von Cal.com. Cal.com erhält dabei Ihre IP-Adresse, Angaben zu Ihrem Browser und Ihrer Spracheinstellung sowie die Adresse des Portals Ihres Unternehmens, von der Sie kommen. Damit Sie Ihre Angaben nicht erneut eintippen müssen, übergibt das Portal beim Öffnen außerdem Ihren Vor- und Nachnamen und Ihre E-Mail-Adresse an Cal.com. Cal.com füllt das Formular damit vor. Diese Angaben stehen in der Adresse, mit der Ihr Browser die Terminauswahl lädt. Sie können deshalb auch in den Zugriffsprotokollen von Cal.com und seines Dienstleisters Cloudflare erscheinen. Das geschieht auch dann, wenn Sie das Fenster ohne Buchung wieder schließen. Buchen Sie einen Termin, gehen zusätzlich der gewählte Termin und Ihre Eintragungen im Formular an Cal.com. Cal.com bestätigt Ihnen die Buchung per E-Mail. Die Buchung übernehmen wir in unser Vertriebssystem, wie in Abschnitt 13 unter „Terminbuchungen aus Cal.com in unserem Vertriebssystem“ beschrieben.

Cal.com liefert die Terminauswahl über den Dienst Cloudflare aus. Dabei setzt Cloudflare für die Adresse cal.com das Cookie „__cf_bm“. Es dient der Erkennung automatisierter Zugriffe und läuft nach 30 Minuten ab. Die Terminauswahl legt außerdem im lokalen Speicher Ihres Browsers für die Adresse app.cal.com den Eintrag „reserverUid“ an, den Cal.com für den Ablauf der Buchung verwendet. Die Seiten des Portals selbst setzen dafür kein Cookie und legen nichts im Speicher Ihres Browsers ab. Schließlich überträgt die Terminauswahl Daten an den Dienst Sentry unter der Adresse o574544.ingest.us.sentry.io, mit dem Cal.com Fehler seiner Anwendung überwacht. Wie bei jeder Verbindung im Internet erhält Sentry dabei Ihre IP-Adresse. Welche Angaben die Übertragung sonst enthält, bestimmt Cal.com. Wir können nicht ausschließen, dass sie die Adresse der Terminauswahl mit Ihrem Namen und Ihrer E-Mail-Adresse enthält. Nach Angabe von Cal.com bewahrt Sentry für Cal.com nur interne Kennungen auf, keine Namen, E-Mail-Adressen oder IP-Adressen. Prüfen konnten wir das nicht.

Zweck ist, dass Sie einen Termin mit Ihrem Systemberater direkt im Portal vereinbaren können, ohne ihn per Telefon oder E-Mail abzustimmen.

Soweit Sie als Einzelunternehmer selbst Vertragspartei sind oder einen Vertrag mit uns anbahnen, beruht die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe b DSGVO. Für Beschäftigte und Vertreter eines Kundenunternehmens beruht sie auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist eine einfache Terminvereinbarung im Rahmen der Betreuung Ihres Unternehmens. Das Cookie „__cf_bm“ und der Eintrag „reserverUid“ entstehen erst nach Ihrem Klick und dienen allein dazu, die von Ihnen ausdrücklich gewünschte Terminauswahl bereitzustellen und vor Missbrauch zu schützen. Rechtsgrundlage für das Speichern auf Ihrem Gerät ist deshalb § 25 Absatz 2 Nummer 2 TDDDG. Die Übergabe Ihres Namens und Ihrer E-Mail-Adresse beim Öffnen beruht für alle Personen auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, dass Sie die Angaben nicht erneut eintragen müssen und wir die Buchung Ihrem Kontakt richtig zuordnen.

Anbieter der Terminauswahl ist die Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten. Cal.com verarbeitet die Daten als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Artikel 28 DSGVO. Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, Status „Active“, geprüft am 24. Oktober 2026). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Artikel 45 DSGVO). Übermittlungen, die davon nicht erfasst sind, stützt Cal.com auf die Standardvertragsklauseln der Europäischen Kommission (Artikel 46 Absatz 2 Buchstabe c DSGVO). Für die Terminauswahl setzt Cal.com als Dienstleister die Cloudflare, Inc. und die Functional Software, Inc. (Handelsname Sentry) ein, beide mit Sitz in den Vereinigten Staaten. Anschrift und Zertifizierung von Cloudflare stehen in Abschnitt 17, die von Sentry in Abschnitt 12. Dort ist Cloudflare unser eigener Dienstleister für die Namensauflösung des Portals. Bei der Terminauswahl handelt Cloudflare dagegen für Cal.com.

Das Portal selbst speichert beim Öffnen der Terminauswahl nichts. Das Cookie „__cf_bm“ läuft nach 30 Minuten ab. Den Eintrag „reserverUid“ können Sie über die Einstellungen Ihres Browsers löschen, sonst bleibt er bestehen. Die Speicherdauer bei Cal.com steht in Abschnitt 7. Nach Angabe von Cal.com löscht Sentry die Daten zur Fehlerüberwachung nach 90 Tagen. Die Speicherdauer einer Buchung in unserem Vertriebssystem steht in Abschnitt 13.

Die Nutzung der Terminauswahl ist freiwillig. Ihren Systemberater erreichen Sie auch über die übrigen Angaben in seiner Box oder per E-Mail an info@konfektor-systeme.de.

Einige Dienstleister, die wir für unsere Leistungen einsetzen, haben ihren Sitz in einem Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (Drittland) oder verarbeiten Daten dort. Das betrifft vor allem die Vereinigten Staaten, teilweise auch Singapur und weitere Länder. Dieser Abschnitt nennt diese Dienstleister und die Grundlage, auf die wir die Übermittlung stützen.

Wir setzen Dienstleister in zwei Rollen ein. Soweit wir Daten zu eigenen Zwecken verarbeiten, etwa auf dieser Website, im Kundenportal oder bei der Betreuung unserer Kunden, sind wir verantwortlich. Zweck und Rechtsgrundlage stehen dann in den Abschnitten zu den jeweiligen Diensten (Teil A). Soweit wir Leistungen im Auftrag Ihres Unternehmens erbringen, etwa beim Bau oder Betrieb seiner Systeme, verarbeiten wir die Daten nach dem Vertrag über die Auftragsverarbeitung (AVV). Verantwortlich ist dann Ihr Unternehmen. Es informiert die betroffenen Personen über diese Verarbeitung. Welche Dienstleister wir dabei einsetzen, nennen wir zusätzlich in Teil B, damit Sie sehen, wo diese Daten verarbeitet werden. Welche davon tatsächlich Daten Ihres Unternehmens verarbeiten, hängt von den Leistungen ab, die Sie bei uns beauftragen.

Schließt Ihr Unternehmen mit uns den AVV, genehmigt es damit die Dienstleister, die in dessen Anhang 2 als Unterauftragnehmer aufgeführt sind, sowie die dort ausgewiesene Übermittlung in Drittländer. Diese Genehmigung gilt zugleich als Weisung Ihres Unternehmens für die Übermittlung. Wollen wir einen weiteren Dienstleister einsetzen oder einen ersetzen, informieren wir Ihr Unternehmen vorher in Textform. Es kann innerhalb von vierzehn Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Diese Datenschutzerklärung ersetzt den AVV nicht. Maßgeblich für Ihr Unternehmen ist der AVV mit seinem Anhang 2. Die aktuelle Liste erhalten Sie auf Anfrage.

Übermittlungen in ein Drittland erfolgen nur unter den Voraussetzungen der Artikel 44 bis 49 DSGVO. Wir stützen sie je nach Dienstleister auf einen der folgenden Wege:

• Ein Angemessenheitsbeschluss der Europäischen Kommission nach Artikel 45 DSGVO trägt die Übermittlung, für die Vereinigten Staaten der Beschluss zum EU-US Data Privacy Framework vom 10. Juli 2023, soweit der Dienstleister zertifiziert ist.
• Standardvertragsklauseln der Europäischen Kommission nach Artikel 46 Absatz 2 Buchstabe c DSGVO ergänzen die Zertifizierung bei zertifizierten Dienstleistern und bilden bei nicht zertifizierten die alleinige Grundlage.

Wir prüfen die Zertifizierungen mindestens halbjährlich. Verliert ein Dienstleister seine Zertifizierung, greifen die vereinbarten Standardvertragsklauseln, soweit sie bei ihm ergänzend vereinbart sind. Für Singapur und für die nicht zertifizierten Dienstleister in den Vereinigten Staaten besteht kein Angemessenheitsbeschluss. Wir weisen darauf hin, dass dort ein Schutzniveau bestehen kann, das dem der Europäischen Union nicht in jeder Hinsicht entspricht. Eine Kopie der von uns selbst vereinbarten Garantien und Auskunft über die Garantien unserer Dienstleister erhalten Sie auf Anfrage an info@konfektor-systeme.de.

Teil A: Dienste, die wir als Verantwortlicher einsetzen

Bei den folgenden Diensten übermitteln wir als Verantwortlicher Daten in ein Drittland oder schließen eine Übermittlung nicht aus. Anbieter, Land und Garantie stehen jeweils im genannten Abschnitt.

• Google Workspace, den Google Tag Manager und Google Analytics beschreiben die Abschnitte 5, 9 und 11.
• Cal.com mit seinen Dienstleistern Cloudflare und Sentry beschreiben die Abschnitte 7, 12 und 20.
• Wistia beschreibt der Abschnitt 8.
• Resend beschreiben die Abschnitte 6 und 15.
• PandaDoc beschreibt der Abschnitt 16.
• Supabase und Cloudflare beschreibt der Abschnitt 17.
• Fireflies beschreibt der Abschnitt 18.
• Anthropic beschreibt der Abschnitt 19.

Vier weitere Dienste setzen wir ein, um unsere Kunden zu betreuen. Dabei verarbeiten wir Daten der Ansprechpartner unserer Kunden. Daten der Kunden unserer Kunden verarbeiten diese vier Dienste nicht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO, bei Einzelunternehmern als Vertragspartei Buchstabe b. Unser berechtigtes Interesse ist die geordnete Betreuung der Kunden. Die Daten löschen wir nach den Fristen aus Abschnitt 13. Für Plaud gelten Rechtsgrundlage und Löschfrist aus dem Absatz zu Plaud.

• Trello, Inc. (Atlassian), USA: Wir verwalten dort Aufgaben und Projekte zur Betreuung unserer Kunden. Trello speichert die Daten bei Amazon Web Services im Europäischen Wirtschaftsraum, in den USA und in weiteren Ländern. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework, dessen Zertifizierung der Atlassian, Inc. auch Trello erfasst. Für weitere Länder ohne Angemessenheitsbeschluss gelten Standardvertragsklauseln.
• Slack Technologies Limited, Dublin, Irland: Wir stimmen uns dort im Team über die Betreuung unserer Kunden ab. Slack speichert die Daten bei Amazon Web Services in den USA oder in der Region, die für den Arbeitsbereich gewählt ist. Weitere Unterauftragnehmer arbeiten in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework, dessen Zertifizierung der Salesforce, Inc. auch Slack erfasst. Für Länder ohne Angemessenheitsbeschluss gelten Standardvertragsklauseln oder die verbindlichen internen Datenschutzvorschriften von Salesforce.
• Wispr AI, Inc. (Wispr Flow), USA: Wir wandeln damit gesprochene Sprache in Text um, wenn wir für unsere Kunden arbeiten. Wispr erhält dabei auch Inhalte aus der Anwendung, in die wir diktieren, als Kontext, etwa den Text einer geöffneten E-Mail. Wispr verarbeitet die Daten in den USA und an weiteren Orten, die seine Liste der Unterauftragnehmer nennt. Die Übermittlung stützt sich auf Standardvertragsklauseln, weil Wispr nicht nach dem Data Privacy Framework zertifiziert ist.
• Plaud, Inc., USA: Wir können damit Besprechungen und Workshops vor Ort aufzeichnen und auswerten. Wir zeichnen nur auf, wenn alle anwesenden Personen vorher eingewilligt haben, Rechtsgrundlage ist dann Artikel 6 Absatz 1 Buchstabe a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, mündlich in der Besprechung oder in Textform an info@konfektor-systeme.de. Die Rechtmäßigkeit der Aufzeichnung bis zum Widerruf bleibt davon unberührt. Aufzeichnung, Transkript und Auswertung löschen wir nach Abschluss des Projekts oder Anliegens, für das die Besprechung stattfand, spätestens zwölf Monate nach der Besprechung. Nach den Angaben von Plaud verarbeitet das Unternehmen Daten aus Europa bei Amazon Web Services in Frankfurt. Plaud und seine Unterauftragnehmer können Daten auch in den USA und in weiteren Ländern verarbeiten. Die Übermittlung stützt sich auf Standardvertragsklauseln, weil Plaud nicht nach dem Data Privacy Framework zertifiziert ist.

Für Wispr und Plaud sowie für alle Dienste in den Vereinigten Staaten ohne Zertifizierung gilt der Hinweis zum Schutzniveau oben unter „Grundlage der Übermittlung“.

Die Hetzner Online GmbH betreibt unsere Server in Rechenzentren in Deutschland, dort findet keine Übermittlung in ein Drittland statt.

Teil B: Dienste, die wir im Auftrag Ihres Unternehmens einsetzen (Anhang 2 des AVV, Stand 24. Oktober 2026)

Trello, Slack, Wispr Flow und Plaud nennt Anhang 2 des AVV ebenfalls. Wir setzen sie nur für die Betreuung unserer eigenen Kunden ein und nie für Daten der Kunden unserer Kunden. Deshalb stehen sie in Teil A.

• Google Cloud EMEA Limited, Dublin, Irland, stellt Google Workspace für E-Mail, Dateiablage und Kalender bereit. Die Rechenzentren liegen im Europäischen Wirtschaftsraum, die Google LLC in den USA und Unterauftragnehmer von Google wirken mit, teils in Drittländern. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• Usercentrics A/S, Kopenhagen, Dänemark, stellt die Einwilligungsverwaltung Cookiebot für Webseiten bereit, die wir für Ihr Unternehmen betreuen. Usercentrics verarbeitet die Daten in der Europäischen Union. Lädt eine Webseite Cookiebot über das weltweite Auslieferungsnetz, übernimmt die Akamai Technologies, Inc. in den USA die Auslieferung und die Ortsbestimmung. Diese Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework. Lädt eine Webseite Cookiebot über das europäische Auslieferungsnetz der BunnyWay d.o.o. in Slowenien, findet nach den Angaben von Usercentrics keine Übermittlung in ein Drittland statt. Diese Website nutzt das europäische Auslieferungsnetz, für sie gilt Abschnitt 10.
• Vercel Inc., USA, hostet und liefert Webanwendungen aus. Vercel verarbeitet die Daten überwiegend in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• GitHub, Inc., USA, verwaltet die Versionen des Quellcodes. GitHub verarbeitet die Daten in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• Figma, Inc., USA, stellt Werkzeuge für Design und Prototypen bereit. Figma verarbeitet die Daten im Europäischen Wirtschaftsraum und in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• Supabase Pte. Ltd., Singapur, stellt Datenbank, Anmeldung und Dateispeicher bereit. Die Datenbank liegt in der Region Frankfurt, Unterauftragnehmer von Supabase arbeiten in den USA. Support und weitere Leistungen laufen auch in Singapur. Die Übermittlung stützt sich auf Standardvertragsklauseln, weil Supabase nicht nach dem Data Privacy Framework zertifiziert ist und für Singapur kein Angemessenheitsbeschluss besteht. Zugangsdaten im Tresor unseres internen Systems verschlüsseln wir zusätzlich, bevor sie Supabase erreichen.
• OpenAI Ireland Limited, Dublin, Irland, unterstützt die Softwareentwicklung mit KI. OpenAI Ireland verarbeitet die Daten im Europäischen Wirtschaftsraum und gibt sie an die OpenAI OpCo, LLC in den USA und an weitere Stellen außerhalb des Europäischen Wirtschaftsraums weiter. Diese Weitergabe stützt OpenAI Ireland nach eigener Zusage auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss. OpenAI ist nicht nach dem Data Privacy Framework zertifiziert.
• PandaDoc, Inc., USA, stellt die elektronische Unterschrift bereit. PandaDoc verarbeitet die Daten überwiegend in den USA, einzelne Unterauftragnehmer arbeiten auch im Europäischen Wirtschaftsraum. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework. Für diese Rolle sieht der Vertrag mit PandaDoc keine ergänzenden Standardvertragsklauseln vor.
• Fireflies.AI Corp., USA, nimmt digitale Meetings auf, transkribiert und wertet sie aus. Fireflies verarbeitet die Daten in den USA und in weiteren Ländern. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• Plus Five Five, Inc. (Resend), USA, versendet E-Mails. Resend verarbeitet die Daten überwiegend in den USA und hält Inhalt und Versanddaten einer E-Mail bis zu 30 Tage vor. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Die Rezertifizierung von Resend im Data Privacy Framework ist in Prüfung.
• Cloudflare, Inc., USA, löst Namen auf und schützt Webseiten und Systeme. Cloudflare verarbeitet die Daten in den USA und in weiteren Ländern außerhalb des Europäischen Wirtschaftsraums. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Die Rezertifizierung von Cloudflare im Data Privacy Framework ist in Prüfung.
• Cal.com, Inc., USA, bietet die Terminbuchung an. Cal.com verarbeitet die Daten in den USA und an weiteren Orten, die seine Liste der Unterauftragnehmer nennt. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.
• Anthropic Ireland, Limited, Dublin, Irland, stellt KI für Textverarbeitung und Analyse bereit. Anthropic Ireland verarbeitet die Daten im Europäischen Wirtschaftsraum und gibt sie an die Anthropic, PBC in den USA und an deren Unterauftragnehmer weiter, auch in weiteren Ländern. Für diese Weitergabe ist Anthropic Ireland als Unternehmen mit Sitz in der Europäischen Union selbst an die Artikel 44 ff. DSGVO gebunden. Anthropic ist nicht nach dem Data Privacy Framework zertifiziert.
• Functional Software, Inc. (Sentry), USA, überwacht Fehler in Systemen, die wir für Ihr Unternehmen bauen oder betreuen. Sentry verarbeitet die Daten in den USA oder in der Europäischen Union, je nachdem welche Region gewählt ist. Unterauftragnehmer von Sentry arbeiten in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework und ergänzend auf Standardvertragsklauseln.

Die Hetzner Online GmbH betreibt auch die Server für Leistungen im Auftrag in Rechenzentren in Deutschland, dort findet keine Übermittlung in ein Drittland statt.

Die Speicherdauer bei den einzelnen Dienstleistern richtet sich nach den Angaben in den Abschnitten zu den jeweiligen Diensten. Für Daten, die wir im Auftrag Ihres Unternehmens verarbeiten, legt Ihr Unternehmen die Dauer fest und wir löschen oder geben die Daten nach dem AVV zurück.

Die Übermittlung ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist erforderlich, damit wir die jeweiligen Leistungen mit den genannten Diensten erbringen können.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die aufgrund von Artikel 6 Absatz 1 Buchstabe f DSGVO erfolgt, also auf der Grundlage einer Interessenabwägung. Das gilt auch für ein auf diese Bestimmung gestütztes Profiling im Sinne von Artikel 4 Nummer 4 DSGVO.

Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Konfektor Systeme
eine Marke der Rhein Ruhr Konfektor GmbH
Königsallee 61
40215 Düsseldorf
E-Mail: info@konfektor-systeme.de