Datenschutzerklärung – ascoramatch

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Software „ascoramatch“ (nachfolgend „Dienst“) ist:

ascoramatch UG (haftungsbeschränkt) i. G.

Schulterblatt 84

20357 Hamburg

E-Mail: info@ascoramatch.de

Unser Dienst richtet sich ausschließlich an Unternehmen. Dabei unterscheiden wir zwei Situationen:

• Wir als Verantwortliche: Für Daten, die beim Besuch unserer Website, bei der Registrierung, der Verwaltung von Kundenkonten, der Abrechnung und der Sicherheit des Dienstes anfallen, sind wir verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO. Diese Datenschutzerklärung beschreibt diese Verarbeitungen.
• Wir als Auftragsverarbeiter: Daten, die unsere Kunden im Dienst speichern – insbesondere interne Unternehmensdaten, Produktdaten sowie Daten ihrer Mitarbeitenden, Geschäftspartner oder Kunden („Kundeninhalte“) –, verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlich für diese Daten ist der Kunde. Grundlage ist der mit dem Kunden geschlossene Auftragsverarbeitungsvertrag (AVV). Betroffene wenden sich mit Anliegen zu diesen Daten bitte an das jeweilige Unternehmen, das den Dienst nutzt.

Server-Logfiles. Bei jedem Aufruf verarbeitet unser Hosting-Anbieter automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite/Datei, übertragene Datenmenge, Referrer-URL, Browsertyp und -version, Betriebssystem.

• Zweck: Auslieferung der Inhalte, Stabilität und Sicherheit (z. B. Abwehr von Angriffen), Fehleranalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und fehlerfreien Betrieb).
• Speicherdauer: [7] Tage, danach Löschung oder Anonymisierung, sofern keine längere Aufbewahrung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

Cookies und ähnliche Technologien. Wir setzen nur technisch notwendige Cookies bzw. lokale Speicher ein, z. B. für die Anmeldung (Session), die Sicherheit (CSRF-Schutz) und gespeicherte Einstellungen. Konkret setzen wir ein: das Cookie „ascora.lang“ (Spracheinstellung, 1 Jahr), das Cookie „sidebar_state“ (Zustand der Seitenleiste) sowie lokalen Speicher bzw. Sitzungsspeicher für die Anmeldung und die Spracheinstellung. Das Speichern und Auslesen dieser Informationen ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b und f DSGVO. Analyse- oder Marketing-Cookies setzen wir nicht ein. [Falls doch: Einwilligungsbanner nach § 25 Abs. 1 TDDDG / Art. 6 Abs. 1 lit. a DSGVO und eigener Abschnitt je Tool erforderlich.]

Für die Nutzung des Dienstes legt der Kunde ein Konto an und kann weitere Nutzer (z. B. Mitarbeitende) einladen. Dabei verarbeiten wir:

• Anmeldedaten: Name, geschäftliche E-Mail-Adresse, Passwort (nur als verschlüsselter Hash gespeichert), ggf. Daten zur Zwei-Faktor-Authentifizierung, Rolle und Berechtigungen.
• Unternehmensdaten des Kunden: Firmenname, Anschrift, USt-IdNr., Ansprechpartner.
• Nutzungs- und Sicherheitsdaten: Zeitpunkte von Anmeldungen, IP-Adresse beim Login, fehlgeschlagene Anmeldeversuche, sicherheitsrelevante Aktionen (Audit-Log).

Zweck: Bereitstellung des Dienstes, Zugangskontrolle, Schutz vor Missbrauch, Support. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Kunden) sowie Art. 6 Abs. 1 lit. f DSGVO für eingeladene Nutzer und für Sicherheitsprotokolle (berechtigtes Interesse an einem sicheren Dienst). Speicherdauer: für die Dauer des Vertragsverhältnisses; Sicherheitsprotokolle [90] Tage; nach Vertragsende Löschung, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

Interne Unternehmensdaten, Produktdaten und sonstige Inhalte, die Kunden im Dienst anlegen oder hochladen, verarbeiten wir ausschließlich zur Erbringung des Dienstes und nach Weisung des Kunden. Wir nutzen diese Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und geben sie nicht an Dritte weiter, außer an die im AVV genannten Unterauftragsverarbeiter. KI-Funktionen: Für die Erstellung und Übersetzung von Lerninhalten nutzen wir einen KI-Dienst (Google Gemini über das Lovable AI Gateway). Dabei werden nur die von Administratoren des Kunden verfassten Inhalte (z. B. Lerntexte und Anweisungen) übermittelt, keine Daten einzelner Mitarbeitender. [Bitte rechtlich prüfen.]

Nach Vertragsende stellen wir dem Kunden seine Daten für [30] Tage zum Export bereit und löschen sie anschließend einschließlich aller Kopien, Backups spätestens nach [30] weiteren Tagen.

Für Abonnements verarbeiten wir Vertrags- und Rechnungsdaten (Firmenname, Rechnungsanschrift, USt-IdNr., gewählter Tarif, Abrechnungszeitraum, Rechnungen, Zahlungsstatus).

Bei Wahl der Zahlungsart Stripe erfolgt die Zahlungsabwicklung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“). Zahlungsdaten (z. B. Kreditkarten- oder SEPA-Daten) gibt der Kunde direkt bei Stripe ein; wir erhalten sie nicht vollständig, sondern nur z. B. Kartentyp, die letzten vier Ziffern und den Zahlungsstatus. Stripe verarbeitet Daten zum Teil auch in den USA durch Stripe, Inc.; diese ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln. Stripe ist für bestimmte Verarbeitungen (z. B. Betrugsprävention, gesetzliche Pflichten) selbst verantwortlich. Datenschutzhinweise von Stripe: https://stripe.com/de/privacy Bei Zahlung per Banküberweisung oder gegen Rechnung verarbeiten wir die Zahlungsdaten (Kontoinhaber, IBAN, Betrag, Verwendungszweck) zur Zuordnung der Zahlung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Speicherdauer: Rechnungs- und Buchungsbelege gemäß den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB; derzeit bis zu 10 Jahre bzw. 8 Jahre für Buchungsbelege).

Wenn Sie uns per E-Mail an info@ascoramatch.de kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail, Unternehmen, Inhalt der Anfrage) zur Bearbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Speicherdauer: Löschung nach abschließender Bearbeitung, spätestens nach [2] Jahren, soweit keine Aufbewahrungspflichten bestehen.

[Optional: Newsletter / Produkt-E-Mails – eigener Abschnitt mit Double-Opt-in bzw. § 7 Abs. 3 UWG für Bestandskunden.]

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):

Daneben geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Finanzbehörden) oder dies zur Durchsetzung unserer Rechte erforderlich ist (z. B. an Steuerberater, Rechtsanwälte).

Wir hosten den Dienst [in der EU, Region noch zu bestätigen]. Eine Übermittlung in Länder außerhalb des EWR erfolgt nur, soweit oben beschrieben (Stripe, Google, Microsoft, HubSpot, Salesforce, Hosting-Anbieter), und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien (Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln).

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a. TLS-Verschlüsselung bei der Übertragung, Verschlüsselung gespeicherter Daten [falls zutreffend], rollenbasierte Zugriffsrechte, Trennung der Daten verschiedener Kunden (Mandantentrennung), regelmäßige Backups und Protokollierung administrativer Zugriffe.

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an info@ascoramatch.de. Betrifft Ihr Anliegen Kundeninhalte (Abschnitt 5), leiten wir es an das verantwortliche Unternehmen weiter bzw. unterstützen dieses bei der Beantwortung.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Die Angabe von Anmelde- und Vertragsdaten ist für den Abschluss und die Durchführung des Vertrags erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.