1. Wer wir sind
priceq ist ein Dienst der Outflanq B.V., Boekweitstraat 62, 2153 GL Nieuw-Vennep, Niederlande, niederländisches Handelsregister (KvK) Nr. 42160759, USt-IdNr. NL869980646B01. Fragen zu dieser Erklärung: [email protected].
Zwei Rollen, halten Sie sie auseinander:
- Unsere Website, das Anmeldeformular, Rechnungsstellung und Zahlungen, Support und Feedback: wir sind Verantwortlicher.
- Die Anwendung: Ihre Organisation ist Verantwortlicher für die Daten ihrer Mitarbeiter; wir sind Auftragsverarbeiter. Die Vereinbarungen stehen im Auftragsverarbeitungsvertrag.
2. Welche personenbezogenen Daten wir verarbeiten
Websitebesucher und Anmeldungen: was Sie in ein Kontakt-, Demo- oder Anmeldeformular eintragen (Name, geschäftliche E-Mail-Adresse, Firmenname, Ihre Nachricht) sowie die IP-Adresse und den Browser, mit dem Sie das Formular abgesendet haben. Eine Anmeldung wird in unserer Datenbank gespeichert und nicht nur an ein Postfach weitergeleitet.
Zustimmung zu den Bedingungen: je Dokument, dem Sie zustimmen, welche Version es war, ein Fingerabdruck (SHA-256) des angezeigten Textes, der Zeitpunkt, die IP-Adresse und der Browser. Das halten wir bei Ihrer Registrierung fest und erneut, wenn Sie später einer neuen Version zustimmen.
Nutzer der Anwendung: Name, geschäftliche E-Mail-Adresse, Rolle, eine mit Argon2id gehashte Darstellung des Passworts, die persönlichen Einstellungen (Sprache, Darstellung, Benachrichtigungen), Zeitpunkt und IP-Adresse des letzten Einloggens und (falls E-Mails an Ihre Adresse unzustellbar zurückkamen) wann das geschah und welchen Grund der empfangende Mailserver angab.
Anmeldesitzungen: je Gerät, mit dem Sie eingeloggt sind, speichern wir ein Sitzungsmerkmal, die IP-Adresse und den Browser, damit eine Sitzung widerrufen werden kann.
Auditprotokoll: Handlungen rund um Konten und Zugang (jemanden einladen, eine Rolle ändern, ein Konto deaktivieren oder reaktivieren, ein Mitarbeiter von uns, der mitschaut, ein Antrag auf Löschung des Kontos), mit Angabe, wer es getan hat, wann, von welcher IP-Adresse und mit welchem Browser, und worauf sich die Handlung bezog, zum Beispiel die E-Mail-Adresse der eingeladenen Person. Dieses Protokoll besteht, um im Nachhinein feststellen zu können, was mit Konten geschehen ist. Die Anwendung kann es nicht ändern oder löschen; eine gesonderte Wartungsaufgabe löscht jeden Eintrag zwölf Monate, nachdem er geschrieben wurde.
Versandte Benachrichtigungen: die E-Mail-Adresse, an die eine Benachrichtigung ging, und ob sie angekommen ist.
Firmen- und Rechnungsdaten: der rechtliche Name und die Adresse Ihrer Organisation, wie Sie sie in der Anwendung eintragen. Schließen Sie ein Abonnement ab, geben Sie beim Bezahlen Name, E-Mail-Adresse, Rechnungsadresse und gegebenenfalls eine USt-IdNr. an. Diese Daten gehen an Stripe, das die Zahlung abwickelt, und an Moneybird, in dem wir die Rechnung erstellen; siehe §5. Ihre Zahlungsdaten (Konto oder Karte) geben Sie bei Stripe ein; wir sehen und speichern sie nicht. Wir selbst speichern je Zahlung den Betrag, das Datum, die umsatzsteuerliche Behandlung und die Verweise auf Stripe und Moneybird.
Anzeigen-Klicks: Gelangen Sie über eine Anzeige bei Google oder Microsoft auf unsere Anmeldeseite, enthält die Adresszeile eine Klick-Kennung (etwa gclid oder msclkid) sowie den Namen der Kampagne. Wir speichern diese Kennung nur, wenn Sie im Anmeldeformular das dafür vorgesehene Kästchen anhaken; dieses Kästchen ist nicht vorab angehakt. Haken Sie es nicht an, speichern wir nichts. Cookies setzen wir dafür nicht, und wir speichern dafür nichts in Ihrem Browser.
Löschantrag: beantragt ein Administrator in der Anwendung die Löschung des Kontos, halten wir den Zeitpunkt fest; wer es beantragt hat, steht im Auditprotokoll.
Support-Nachrichten: senden Sie eine E-Mail an unsere Support-Adresse, speichern wir Ihren Namen, Ihre E-Mail-Adresse, den Betreff, den Text der Nachricht, Name und Größe von Anhängen sowie unsere Antworten.
Feedback in der Anwendung: sind Sie eingeloggt, gibt die Anwendung Ihren Namen, Ihre E-Mail-Adresse und den Namen Ihrer Organisation an die Feedback-Schaltfläche weiter. Senden Sie über diese Schaltfläche Feedback, gehen diese Daten mit Ihrer Nachricht an unseren eigenen Feedback-Dienst, damit wir wissen, von wem es kommt, und Ihnen antworten können.
Wir verarbeiten keine besonderen Kategorien personenbezogener Daten und betreiben keine automatisierte Entscheidungsfindung über Personen.
3. Was wir von Shop-Websites abrufen
Der Kern von priceq ist das Verfolgen von Preisen in Webshops. Von einer Produktseite speichern wir den Preis, die Verfügbarkeit, die Produktbezeichnung und den Zeitpunkt der Messung. Mehr nicht. Wir speichern keine Namen, keine Bewertungen und keine Verkäuferdaten. Wir besuchen ausschließlich Seiten, die für jeden Besucher ohne Anmeldung sichtbar sind.
Das sind Marktdaten, keine personenbezogenen Daten; die DSGVO findet darauf keine Anwendung. Stoßen Sie in Ihren Daten dennoch auf etwas, das auf eine Person zurückführbar ist, melden Sie es an die oben genannte Adresse: Wir löschen es.
4. Warum wir diese Daten verarbeiten
| Wofür | Rechtsgrundlage |
|---|---|
| Beantwortung Ihrer Frage, Ihrer Demoanfrage oder Ihrer Anmeldung | Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) |
| Zugang zur Anwendung gewähren, die von Ihnen eingerichteten Benachrichtigungen versenden | Erfüllung des Vertrags |
| Ein Abonnement abrechnen und Zahlungen einziehen | Erfüllung des Vertrags |
| Support-Fragen und Feedback beantworten | Erfüllung des Vertrags; bei jemandem, der kein Kunde ist: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| Festhalten, welchen Bedingungen Sie zugestimmt haben | Berechtigtes Interesse: nachweisen können, was vereinbart wurde |
| Missbrauch verhindern, Auditprotokoll führen, Fehler aufspüren | Berechtigtes Interesse: ein funktionierender und sicherer Dienst (Art. 6 Abs. 1 lit. f DSGVO) |
| Rechnungsstellung und Buchhaltung | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
Wir versenden keine kommerziellen E-Mails ohne Ihre Einwilligung oder eine bestehende Kundenbeziehung.
5. Mit wem wir teilen und wo es liegt
Wir verkaufen keine Daten und teilen sie nicht mit Dritten für deren eigene Zwecke. Wir setzen jedoch Dienstleister ein, die für uns arbeiten: Hosting, E-Mail, Fehlerüberwachung, Speicherung von Sicherungskopien, Zahlungen, Buchhaltung und das Support-Postfach. Die vollständige Liste, mit Angabe des Zwecks, der Datenkategorie, des Landes und des Übermittlungsmechanismus je Partei, steht in der Liste der Unterauftragsverarbeiter. Änderungen kündigen wir dreißig Tage im Voraus an.
Zahlungen, Buchhaltung und Support. Hierfür sind wir selbst Verantwortlicher, und diese Parteien arbeiten für uns, nicht im Auftrag Ihrer Organisation:
- Stripe wickelt die Zahlung ab und erhält dafür Name, E-Mail-Adresse, Rechnungsadresse, die USt-IdNr., wenn Sie sie angeben, und Ihre Zahlungsdaten. Stripe ist ein US-Konzern; die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage von Standardvertragsklauseln und des EU-US Data Privacy Framework.
- Moneybird (Niederlande) erstellt und versendet die Rechnung und erhält dafür Firmenname, E-Mail-Adresse, Adresse und USt-IdNr.
- Vimexx (zxcs) (Niederlande) hostet das Postfach unserer Support-Adresse und erhält damit Name, E-Mail-Adresse und Inhalt der Nachrichten, die Sie uns senden.
Websitebesuche. Akzeptieren Sie auf der Website die Cookie-Leiste, verarbeitet die Google Ireland Limited Ihre Besuchsdaten für uns mit Google Analytics. Google kann diese Daten auch in den Vereinigten Staaten verarbeiten, auf Grundlage von Standardvertragsklauseln und des EU-US Data Privacy Framework. Google misst für uns außerdem, ob ein Klick auf eine unserer Google-Anzeigen in einem Klick auf die Anmelde-Schaltfläche endet; diese Messdaten teilen wir mit Google Ads. Personalisierte Werbung und Remarketing setzen wir nicht ein. Lehnen Sie ab, geschieht nichts davon.
Anzeigen-Klicks. Haken Sie bei der Anmeldung das Kästchen für Anzeigen-Klicks an, geben wir die Klick-Kennung an die Google Ireland Limited bzw. die Microsoft Ireland Operations Limited weiter, damit uns angezeigt werden kann, welche Anzeige zu einem Testkonto oder einem Abonnement geführt hat. Ohne dieses Häkchen geschieht das nicht. Sie können Ihre Einwilligung jederzeit über [email protected] widerrufen; wir löschen die Kennung dann umgehend.
Wo es liegt. Die Anwendung und die Datenbank laufen innerhalb der EU, bei Hetzner in Nürnberg. Von den Sicherungskopien geht eine Kopie an Speicheranbieter außerhalb der EU. Diese Sicherungskopien werden verschlüsselt, bevor sie das deutsche Cluster verlassen; der Speicheranbieter erhält ausschließlich Chiffretext und besitzt den Schlüssel nicht. Der E-Mail-Versand (Benachrichtigungen, Bestätigungen, Nachrichten zu Ihrem Abonnement und unsere Antworten auf Support-Fragen) läuft über eine Partei in den Vereinigten Staaten, auf Grundlage von Standardvertragsklauseln und des EU-US Data Privacy Framework.
6. Wie lange wir aufbewahren
| Was | Wie lange |
|---|---|
| Kontodaten, einschließlich letztem Einloggen und unzustellbarer E-Mail | Solange das Konto besteht |
| Nach Beendigung | Anonymisiert beim Abschluss Ihrer Akte, spätestens 30 Tage nach Beendigung. Beantragt ein Administrator die Löschung selbst in der Anwendung, gilt zunächst eine Bedenkzeit von 30 Tagen, in der alles weiter funktioniert und der Antrag zurückgezogen werden kann; danach löschen wir. Früher löschen wir auf ausdrücklichen Wunsch |
| Zustimmung zu den Bedingungen | Solange der Vertrag läuft; danach gelöscht zusammen mit den übrigen Daten Ihrer Organisation. Die Kopie bei Ihrer Registrierung: 12 Monate nach Bearbeitung, wie Anmeldeformulare |
| Löschantrag | Bis die Löschung durchgeführt oder der Antrag zurückgezogen ist |
| Auditprotokoll | 12 Monate nach der Handlung, auch wenn das Konto früher beendet wurde |
| Anmeldesitzungen | Bis zum Widerruf oder Ablauf, danach 12 Monate |
| Versandte Benachrichtigungen | 12 Monate |
| Kontakt- und Anmeldeformulare | 12 Monate nach Bearbeitung |
| Support-Nachrichten | Solange der Vertrag läuft; danach gelöscht zusammen mit den übrigen Daten Ihrer Organisation. Von jemandem, der kein Kunde ist: 12 Monate nach der letzten Nachricht |
| Rechtlicher Name und Adresse Ihrer Organisation | Solange der Vertrag läuft; auf Rechnungen 7 Jahre |
| Websitebesuche in Google Analytics, nach Ihrer Zustimmung zur Cookie-Leiste | 14 Monate; das Cookie in Ihrem Browser sechs Monate |
Werbemessung auf der Website (_gcl_aw), nach Ihrer Zustimmung zur Cookie-Leiste | das Cookie in Ihrem Browser 90 Tage |
| Klick-Kennung einer Anzeige | 90 Tage nach der Bestätigung Ihrer E-Mail-Adresse; der Kampagnenname bleibt, er sagt nichts Persönliches über Sie |
| Preishistorie (keine personenbezogenen Daten) | 13 Monate |
| Rechnungen und Buchhaltung, auch bei Moneybird | 7 Jahre (gesetzliche Aufbewahrungspflicht) |
7. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Sind Sie Nutzer der Anwendung, richten Sie Ihren Antrag zunächst an die Organisation, die Ihr Konto angelegt hat. Diese ist Verantwortlicher. Wir helfen dabei. Ein Administrator kann alle Daten seiner Organisation selbst in der Anwendung exportieren.
Sie können eine Beschwerde bei der Autoriteit Persoonsgegevens (niederländische Datenschutzaufsichtsbehörde) einreichen.
8. Sicherheit
Wir treffen geeignete technische und organisatorische Maßnahmen. Kurz zusammengefasst: Daten verschiedener Kunden sind in der Datenbank voneinander getrennt, und diese Trennung wird von der Datenbank selbst erzwungen, mit einer bewussten Ausnahme: die Benutzerkonten und die Einmalcodes für Einladungen und Passwortwiederherstellung, die beim Einloggen gesucht werden, bevor bekannt ist, zu welchem Kunden jemand gehört; dort filtert die Anwendung ausdrücklich nach der Kunden- oder Benutzernummer aus der eingeloggten Sitzung. Außerdem: Passwörter sind für uns nicht lesbar; der gesamte Datenverkehr ist verschlüsselt; täglich wird eine verschlüsselte Sicherungskopie erstellt; die Anwendung kann das Auditprotokoll nicht ändern; und der Zugang zur Produktionsumgebung ist auf einen kleinen Kreis von Administratoren beschränkt.
Eine ausführliche Beschreibung der Maßnahmen übersenden wir auf Anfrage; sie steht auch in Anlage III des Auftragsverarbeitungsvertrags. Keine Maßnahme bietet absolute Sicherheit; siehe auch Artikel 8 der Allgemeinen Geschäftsbedingungen.
9. Cookies und Skripte
In der Anwendung speichern wir in Ihrem Browser nur, was für das Funktionieren des Dienstes nötig ist: ein Cookie, das Sie eingeloggt hält, und Ihre Voreinstellungen (Ihre Sprache, Ihr Design und Ihre Anzeigeeinstellungen). Dafür ist keine Einwilligung erforderlich. Die Anwendung verwendet keine Analyse- oder Marketing-Cookies.
Auf der Website fragen wir zuerst. Bei Ihrem ersten Besuch erscheint eine Leiste mit zwei Schaltflächen. Wählen Sie "Akzeptieren", laden wir Google Analytics, das Cookies setzt (_ga und _ga_<Code>), um zu sehen, welche Seiten besucht werden und wie Besucher sich durch die Website bewegen. Diese Cookies laufen nach sechs Monaten ab. Google misst dann auch, ob ein Klick auf eine unserer Google-Anzeigen in einem Klick auf die Anmelde-Schaltfläche endet, und teilt diese Messung mit Google Ads; dafür kommt ein weiteres Cookie hinzu, _gcl_aw, das nach 90 Tagen abläuft. Für personalisierte Werbung oder Remarketing setzen wir Google dabei nicht ein. Wählen Sie "Nur das Nötige", laden wir Analytics nicht und löschen solche Cookies, falls eine frühere Wahl welche hinterlassen hat. Ihre Wahl selbst bewahren wir im Speicher Ihres Browsers auf, nicht in einem Cookie, und nach sechs Monaten fragen wir erneut. Sie können Ihre Wahl jederzeit über den Link "Cookies" am Ende jeder Seite ändern.
Außerdem zählen wir Besuche mit Cloudflare Web Analytics. Das funktioniert ohne Cookie und ohne Kennung, die Sie wiedererkennt: Wir sehen Zahlen pro Seite, pro Land und pro Gerätetyp, nicht wer Sie sind. Dafür fragen wir also keine Einwilligung, und diese Zählung läuft auch, wenn Sie oben "Nur das Nötige" wählen.
Zwei Bestandteile, die wir nicht in der Anwendung selbst mitliefern, laden wir jedoch, jeweils für eine Funktion: den Bot-Schutz von Cloudflare (Turnstile) auf dem Anmeldeformular und in der Anwendung die Feedback-Schaltfläche unseres eigenen Feedback-Dienstes (siehe §2). Außerdem meldet die Anwendung Fehler, die in Ihrem Browser auftreten, an unsere Fehlerüberwachung, ohne personenbezogene Daten.
10. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst ändert. Die aktuelle Fassung steht immer auf unserer Website, mit dem Datum oben.
Fingerabdruck dieses Textes (SHA-256): 396c4d7f26b6d6ec235bccbdc6b6db3baa16157a93c949a20b8d0ec6b2530a07