Transparenzerklärung für die Nachinformation nach Artikel 13 Absatz 3 DSGVO

Grundinformationen

Betroffene

Diese Datenschutzerklärung richtet sich an alle Personen, die eine nachqualifizierende Nachricht erhalten, in der entweder diese Erklärung enthalten ist oder in der diese Erklärung verlinkt ist. Alle Personenbezeichnungen beziehen sich auf alle Geschlechter und die damit verbundenen Sprachformen, insbesondere divers, weiblich, männlich. Jede Personenbezeichnung ist mit dem Zusatz „(m/w/d)“ zu verstehen.

Verantwortlicher

Verantwortlicher für die hier beschriebene Verarbeitung ist: aperçu Verlagsgesellschaft mbH, Gubener Str. 47, 10243 Berlin, Telefon: +49 30 29371400, Telefax: +49 30 29371410, E-Mail: info@verlag-apercu.de, vertreten durch die Geschäftsführerin Dana Otto. Der Datenschutzbeauftragte ist entweder unter datenschutz@verlag-apercu.de oder unter der o.g. Anschrift mit dem Adresszusatz „persönlich – vertraulich – z.Hd. Datenschutzbeauftragter“ zu erreichen.

Rechte

(1) Die Betroffenen haben mit Blick auf die zu ihrer Person gespeicherten Daten folgende Rechte: Das Recht auf Auskunft, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung von Daten, für die es keinen Aufbewahrungsgrund mehr gibt, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Ferner haben sie das Recht, sich bei der für den Verantwortlichen zuständigen Aufsichtsbehörde zu beschweren.

(2) Soweit die Verarbeitung auf einer Einwilligung der Betroffenen beruht, können die Betroffenen ihre Einwilligung jederzeit und mit Wirkung für die Zukunft widerrufen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (Verantwortlicher).

(3) Soweit die Verarbeitung auf der Erfüllung eines berechtigten Interesses, mithin auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO beruht, können die Betroffenen der Verarbeitung jederzeit widersprechen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (Verantwortlicher). Falls der Widerspruch begründet ist, wird die Verarbeitung beendet. Sofern das berechtigte Interesse im Direktmarketing liegt; ist der Widerspruch stets begründet.

Übermittlung in Länder außerhalb der Europäischen Union

(1) Sofern personenbezogene Daten an Stellen außerhalb der Europäischen Union übermittelt werden, muss der Verantwortliche ergänzende Schutzgarantien nach Artikel 44 ff. DSGVO mitteilen.

(2) Sofern sich der Verantwortliche in der nachfolgenden Datenschutzerklärung auf einen sog. Angemessenheitsbeschluss beruft, bedeutet dies, dass die empfangende Stelle in einem Land, Gebiet oder spezifischen Sektor sitzt, zu dem die EU-Kommission beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet. Die Garantie folgt dann aus Artikel 45 DSGVO.

(3) Sofern sich der Verantwortliche in der nachfolgenden Datenschutzerklärung auf die sog. EU-Standardvertragsklauseln beruft, bedeutet dies, dass die empfangende Stelle sich zur Achtung der EU-Datenschutzgrundsätze vertraglich verpflichtet hat und dies auf Grundlage der sog. EU-Standardvertragsklauseln. Die Garantie folgt dann aus Artikel 45 DSGVO.

(4) Sofern sich der Verantwortliche in der nachfolgenden Datenschutzerklärung auf sog. verbindliche, interne Datenschutzvorschriften beruft, bedeutet dies, dass die zuständige Aufsichtsbehörde die Übermittlung genehmigt hat. Die Garantie folgt dann aus Artikel 47 DSGVO.

(5) Sofern sich der Verantwortliche in der nachfolgenden Datenschutzerklärung darauf beruft, dass die Betroffenen in die Übermittlung in ein Land außerhalb der Europäischen Union ausdrücklich eingewilligt haben, bedeutet dies, dass sie in Kenntnis aller damit verbundenen Risiken der Übermittlung dennoch zustimmen. Die Garantie folgt dann aus Artikel 49 Absatz 1 lit. a DSGVO. In diesem Zusammenhang weisen wir auf folgende Risiken hin: In den USA, der Republik Indien und der Russischen Föderation ist kein mit der DSGVO vergleichbares Datenschutzrecht kodifiziert. Die dortigen staatlichen Stellen haben sich einen intensiven Datenzugriff gebilligt, wobei der in der EU geregelte Verhältnismäßigkeitsgrundsatz nicht angewendet ist. Ferner besteht in diesen Ländern kein effektiver Rechtsschutz für EU-Bürger.

(6) Die vorstehenden Hinweise werden nur vorsorglich erteilt. Sie gelten nur, wenn und soweit in der nachfolgenden Datenschutzerklärung hierauf Bezug genommen wird.

Weitere Hinweise

(1) Eine automatisierte Entscheidungsfindung, einschl. Profiling, findet nicht statt.

(2) Eine rechtliche Verpflichtung zur Verarbeitung besteht nur, sofern nachfolgend auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO Bezug genommen wird.

Verarbeitungsvorgänge zur Erfüllung rechtlicher Verpflichtungen

Zweck und Rechtsgrundlage

Soweit in diesem Abschnitt („Verarbeitungsvorgänge zur Erfüllung rechtlicher Pflichten“) keine abweichenden Angaben gemacht werden, beruhen sie allein darauf, dass der Verantwortliche rechtlich verpflichtet ist, die Daten zu verarbeiten. Die jeweilige rechtliche Pflicht wird in den einzelnen, nachfolgenden Abschnitten ausdrücklich benannt.

Speicherungsdauer

(1) Personenbezogene Daten, deren Verarbeitung in diesem Abschnitt beschrieben wird, werden so lang verarbeitet, bis die rechtliche Pflicht, die der Verantwortliche zu beachten hat, erfüllt ist.

(2) Abweichend von Absatz 1 bewahrt der Verantwortliche die Daten, aus denen sich die Pflichterfüllung sowie deren Transparentmachung ergibt, nach Lage der Dinge für drei Jahre auf, wobei dieser Zeitraum am 31. Dezember des Kalenderjahres beginnt, in dem die Pflicht abschließend erfüllt ist. Diese Speicherung beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO. Nach dieser Vorschrift dürfen (und müssen) die Daten auch ohne Einwilligung des Betroffenen gespeichert werden, wenn der Verantwortliche damit eine rechtliche Verpflichtung erfüllt, der er unterliegt. Hier folgt die rechtliche Verpflichtung aus Artikel 5 Absatz 2 DSGVO. Hiernach ist der Verantwortliche gesetzlich verpflichtet, zu dokumentieren, dass eine Verpflichtung zur Datenverarbeitung bestanden hat. Diese Dokumentation ist nur möglich, wenn die Daten, aus denen sich die Pflichterfüllung und ihre Transparentmachung ergeben, aufbewahrt werden. Dieser Aufbewahrungszeitraum endet spätestens mit dem Ablauf der zivilrechtlichen (§§ 199, 195 BGB) und bußgeldrechtlichen (§ 31 Absatz 2 Ziffer 1 OwiG i.V.m. Artikel 83 DSGVO) Verjährungsvorschriften, woraus sich auch die dreijährige Aufbewahrungszeit ergibt. Veränderungen der Umstände, die zu einer Verkürzung oder Verlängerung der Aufbewahrungszeit führen, sind nicht ausgeschlossen.

Information über die Zweckänderung

In aller Kürze: Der Verantwortliche verarbeitet die Kundendaten, um damit Verträge zu begründen, durchzuführen und/oder zu beenden.

Verarbeitung im Detail: Der Verantwortliche nutzt die Kontaktdaten der Betroffenen (Name, E-Mail-Adresse, Status der Rechzsbeziehung), um sie über eine Zweckänderung zu informieren. Die rechtliche Verpflichtung, der der Verantwortliche unterliegt, folgt aus Artikel 13 Absatz 3 DSGVO. Nach dieser Vorschrift ist er dazu verpflichtet, den Betroffenen einige Informationen zur Verfügung zu stellen, wenn und sobald er beabsichtigt, personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden. Nach dem Rechtsverständnis des Verantwortlichen besteht diese Nach-Informationspflicht nicht nur im Fall der Zweckänderung selbst, sondern auch bei Veränderung von anderen Gesichtspunkten, die für die Beurteilung der Rechtmäßigkeit der Verarbeitung maßgeblich sind. Der Verantwortliche nimmt hierbei u.a. Bezug auf die Leitlinien für Transparenz gemäß der Verordnung 2016/679, die durch die frühere Artikel-29-Gruppe verabschiedet wurde und hier abrufbar ist: https://www.ldi.nrw.de/mainmenu_Service/submenu_Links/Inhalt2/Artikel-29-Gruppe/wp260rev01_de.pdf. Darin heißt es auf Seite 16: „Um Missverständnisse zu vermeiden, vertritt die Datenschutzgruppe den Standpunkt, dass zwischen dem Status der jeweils nach den Unterabsätzen 1 und 2 der Artikel 13 und 14 zu erteilenden Informationen kein Unterschied besteht. Sämtliche Informationen in diesen Unterartikeln haben den gleichen Stellenwert und sind der betroffenen Person bereitzustellen.“ Wenn also alle Informationen nach Artikel 13 Absätze 1 und 2 DSGVO gleichwertig sind, kann nach dem Verständnis des Verantwortlichen die Pflicht zur Nachinformation nicht nur im Fall der Zweckänderung selbst, sondern auch bei gewichtigen anderen, den Transparenzpflichten unterliegenden Informationen bestehen. Diese Ansicht wird auch in der von uns ausgewerteten Fachliteratur vertreten, etwa bei Alexander Dix in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, DSGVO Art. 13 Rn. 7. Nähere Informationen zur neuen Verarbeitung sind in der neuen Kunden-Transparenzerklärung zu finden.

Drittanbieter: Es werden die Tools „Zoho Forms“, „Zoho Calendar“, „Zoho Meeting“, „Zoho Campaigns“, „Zoho CRMplus“ eingesetzt. Zur Identität des Anbieters ist folgendes auszuführen: Es gibt zahlreiche Unternehmen, die unter „Zoho“ firmieren (vgl. https://www.zoho.com/de/contactus.html). Mit Blick darauf, dass die/der Verantwortliche ein Unternehmen mit Sitz innerhalb der Europäischen Union ist, ist er insoweit mit zwei Vertragspartnern verbunden. Soweit es um die schuldrechtliche Pflicht geht, ihm das o.g. Tool zur Verfügung zu stellen, ist der Vertragspartner die Zoho Corporation B.V. (Niederlande - EU). Soweit es darum geht, dass im Rahmen der Nutzung des o.g. Tools in seinem Auftrag personenbezogene Daten verarbeitet werden, ist neben der Zoho B.V. (Niederlande, s.o.) sein zweiter Vertragspartner bzw. Auftragsverarbeiter die ZOHO CORPORATION PVT. LTD. (Indien). Anders ausgedrückt: Soweit es um den Austausch von Leistung und Zahlung geht, ist die Zoho B.V. (Niederlande, s.o.) der Vertragspartner. Und nur soweit es um die Verarbeitung personenbezogener Daten geht, sind die Zoho B.V. (Niederlande, s.o.) und die ZOHO CORPORATION PVT. LTD. (Indien, s.o.) sein Vertragspartner. Der Beauftragung der ZOHO CORPORATION PVT. LTD. (Indien) steht auch nicht entgegen, dass sie ihren Sitz außerhalb der Europäischen Union hat. Denn die ZOHO CORPORATION PVT. LTD. (Indien) hat sich gemäß den EU-Standardvertragsklauseln verpflichtet.

Verarbeitungsvorgänge mit berechtigtem Interesse

Zweck und Rechtsgrundlage

Soweit in diesem Abschnitt („Verarbeitungsvorgänge mit berechtigtem Interesse“) keine abweichenden Angaben gemacht werden, beruhen sie allein auf einem berechtigten Interesse des Verantwortlichen oder eines Dritten. Der jeweilige Zweck ist bei der Einzelbeschreibung zur Verarbeitung genannt. Hier ist dann Artikel 6 Absatz 1 Satz 1 lit. f DSGVO die Rechtsgrundlage.

Speicherungsdauer

(1) Personenbezogene Daten, deren Verarbeitung in diesem Abschnitt beschrieben wird, werden so lang verarbeitet, bis das berechtigte Interesse wegfällt oder die Betroffenen begründet widersprochen haben, je nachdem, was früher eintritt.

(2) Abweichend von Absatz 1 bewahrt der Verantwortliche die Daten, aus denen sich das Bestehen des berechtigten Interesses sowie dessen Transparentmachung ergibt, nach Lage der Dinge für drei Jahre auf, wobei dieser Zeitraum am 31. Dezember des Kalenderjahres beginnt, in dem der Betroffene der Betroffene der Verarbeitung widerspricht oder das berechtigte Interesse wegfällt, je nachdem, was früher eintritt. Diese Speicherung beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO. Nach dieser Vorschrift dürfen (und müssen) die Daten auch ohne Einwilligung des Betroffenen gespeichert werden, wenn der Verantwortliche damit eine rechtliche Verpflichtung erfüllt, der er unterliegt. Hier folgt die rechtliche Verpflichtung aus Artikel 5 Absatz 2 DSGVO. Hiernach ist der Verantwortliche gesetzlich verpflichtet, zu dokumentieren, dass ein berechtigtes Interesse bestanden hat. Diese Dokumentation ist nur möglich, wenn die Daten, aus denen sich dieses Interesse und seiner Transparentmachung ergeben, aufbewahrt werden. Dieser Aufbewahrungszeitraum endet spätestens mit dem Ablauf der zivilrechtlichen (§§ 199, 195 BGB) und bußgeldrechtlichen (§ 31 Absatz 2 Ziffer 1 OwiG i.V.m. Artikel 83 DSGVO) Verjährungsvorschriften, woraus sich auch die dreijährige Aufbewahrungszeit ergibt. Veränderungen der Umstände, die zu einer Verkürzung oder Verlängerung der Aufbewahrungszeit führen, sind nicht ausgeschlossen.

Werbliche Ansprache von Vertragspartnern

In aller Kürze: Sofern die Betroffenen mit dem Verantwortlichen einen Vertrag schließen, sei es ein kostenpflichtiger oder kostenfreier Vertrag, wird Verantwortliche den Betroffenen nützliche Informationen per E-Mail zur Verfügung stellen. Die Betroffenen können dem jederzeit widersprechen, etwa durch formlose Nachricht an den Verantwortlichen.

Verarbeitung und Drittanbieter im Detail: Der Verantwortliche verarbeitet die E-Mail-Adresse und den Namen der Betroffenen, um ihnen in regelmäßigen oder unregelmäßigen Abständen nützliche Informationen per E-Mail zuzusenden. Ferner speichert er die Information, dass zwischen ihnen und ihm ein Vertragsverhältnis besteht oder bestand, um den Nachweis des berechtigten Interesses führen zu können. Das berechtigte Interesse folgt hier aus dem Umstand, dass zwischen den Betroffenen und dem Verantwortlichen ein Vertragsverhältnis besteht, in dessen Zusammenhang die werbliche Ansprache per E-Mail zur üblichen Erwartungshaltung der Betroffenen zählt. Dies wird gestützt durch Erwägungsgrund 47 Satz 7.

Daten, die verarbeitet werden: (1) E-Mail-Adresse, (2) Name sowie (3) die Statusdaten zu dem Vertragsverhältnis.

Besonderer Hinweis zum Widerspruchsrecht: Die Betroffenen können der Nutzung ihrer Daten zu diesem Zweck jederzeit widersprechen; etwa durch formlose Nachricht an den Verantwortlichen (Kontaktkanäle finden die Betroffenen am Anfang dieser Erklärung und im Impressum). Insbesondere können die Betroffenen widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Drittanbieter: Es werden die Tools „Zoho Forms“, „Zoho Calendar“, „Zoho Meeting“, „Zoho Campaigns“, „Zoho CRMplus“ eingesetzt. Zur Identität des Anbieters ist folgendes auszuführen: Es gibt zahlreiche Unternehmen, die unter „Zoho“ firmieren (vgl. https://www.zoho.com/de/contactus.html). Mit Blick darauf, dass dierVerantwortliche ein Unternehmen mit Sitz innerhalb der Europäischen Union ist, ist er insoweit mit zwei Vertragspartnern verbunden. Soweit es um die schuldrechtliche Pflicht geht, ihm das o.g. Tool zur Verfügung zu stellen, ist der Vertragspartner die Zoho Corporation B.V. (Niederlande - EU). Soweit es darum geht, dass im Rahmen der Nutzung des o.g. Tools in seinem Auftrag personenbezogene Daten verarbeitet werden, ist neben der Zoho B.V. (Niederlande, s.o.) sein zweiter Vertragspartner bzw. Auftragsverarbeiter die ZOHO CORPORATION PVT. LTD. (Indien). Anders ausgedrückt: Soweit es um den Austausch von Leistung und Zahlung geht, ist die Zoho B.V. (Niederlande, s.o.) der Vertragspartner. Und nur soweit es um die Verarbeitung personenbezogener Daten geht, sind die Zoho B.V. (Niederlande, s.o.) und die ZOHO CORPORATION PVT. LTD. (Indien, s.o.) sein Vertragspartner. Der Beauftragung der ZOHO CORPORATION PVT. LTD. (Indien) steht auch nicht entgegen, dass sie ihren Sitz außerhalb der Europäischen Union hat. Denn die ZOHO CORPORATION PVT. LTD. (Indien) hat sich gemäß den EU-Standardvertragsklauseln verpflichtet.

Rechte-Management und ggf. externer Rechtsrat

In aller Kürze: Wenn die Betroffenen gegenüber dem hiesigen Verantwortlichen Rechte geltend machen (z.B. Auskunftsersuchen), verarbeitet er die damit verbundenen Kommunikationsdaten, um im Interesse der Betroffenen hiermit umzugehen und um sich ggf. gegen zivilrechtliche Ansprüche sowie bußgeld- und strafrechtliche Vorwürfe verteidigen zu können.

Verarbeitung im Detail: Sofern die Betroffenen dem hiesigen Verantwortlichen gegenüber Ansprüche - gleich welcher Art - geltend machen, werden die Daten wie folgt verarbeitet:

1. Der Verantwortliche nimmt das Anliegen entgegen und speichert alle damit verbundenen Daten.

2. Der Verantwortliche nutzt diese Daten, um das Anliegen zu prüfen. Erforderlichenfalls nimmt er externen Rechtsrat in Anspruch.

3. Sofern das Anliegen begründet ist, nutzt er die Daten, um dem Anliegen nachzukommen. Anderenfalls nutzt er die Daten, um die Betroffenen zu informieren.

4. Der Verantwortliche bewahrt die Daten, die bei der Verarbeitung gemäß den Ziffern 1 bis 3 besteht, für drei Jahre auf, beginnend mit dem 31. Dezember des Kalenderjahres, in dem Schritt 3 stattgefunden hat.

Das berechtigte Interesse bei den Ziffern 1 bis 3 folgt aus dem Interesse der Betroffenen, dass die Ansprüche bearbeitet werden und aus dem Interesse des Verantwortlichen, Ansprüche und Sanktionen zu vermeiden. Das berechtigte Interesse bei Ziffer 4 folgt aus dem Bedürfnis des Verantwortlichen, sich später gegen zivilrechtliche Ansprüche sowie bußgeld- und strafrechtliche Vorwürfe verteidigen zu können. Dieses Speicherungsinteresse nach Ziffer 4 endet mit dem Wegfall der Verjährungsfrist gemäß §§ 193, 195 BGB.

Daten, die verarbeitet werden: Name, Kontaktdaten und Kommunikationsinhalte.

Ergänzung zur Rechtsgrundlage: Die Verarbeitung nach den Ziffern 1 bis 3 ist ergänzend auch durch Artikel 6 Absatz 1 Satz 1 lit. C DSGVO gerechtfertigt, da der Verantwortliche verpflichtet ist, die Anliegen der Betroffenen zu prüfen.