Datenschutzerklärung der zentor GmbH

Stand: 31.05.2026

Wir freuen uns über Ihren Besuch auf einem unserer Online-Auftritte. Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. In dieser Datenschutzerklärung informieren wir Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten, die im Rahmen unserer Online-Auftritte erfolgt, sowie über Ihre Rechte als betroffene Person.

Geltungsbereich

Diese Datenschutzerklärung gilt einheitlich für alle Online-Auftritte der zentor GmbH:

zentor.de (mit Weiterleitung von zentor.me) — Hauptseite mit Informationen über uns, Blog und Online-Shop
academy.zentor.de — Lernplattform mit Online-Kursen und Diagnostik-Modulen
analytics.zentor.de — internes Analytics-Tool (derzeit in Entwicklung; mit Go-Live um die dann tatsächlich aktiven Funktionalitäten ergänzt)

Soweit eine Verarbeitung nur eine bestimmte Subdomain betrifft, weisen wir bei den jeweiligen Abschnitten gesondert darauf hin.

1 Name und Anschrift des Verantwortlichen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und sonstiger datenschutzrechtlicher Vorschriften ist:

zentor GmbH vertreten durch den Geschäftsführer Dr. Valentin Schellhaas Reifenstuelstraße 4 80469 München Deutschland

Telefon: +49 (89) 32405287 E-Mail: datenschutz@zentor.de Website: https://zentor.de

Datenschutzbeauftragter

Die zentor GmbH hat keinen Datenschutzbeauftragten benannt. Die gesetzlichen Voraussetzungen einer Benennungspflicht (insbesondere § 38 BDSG: regelmäßige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten; Art. 37 Abs. 1 DSGVO: keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten als Kerntätigkeit) sind nicht erfüllt. Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2 Allgemeines zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzer:innen grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der Nutzer:innen oder auf einer anderen geeigneten Rechtsgrundlage.

2.2 Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Soweit wir für Verarbeitungsvorgänge eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.

Bei der Verarbeitung zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, sowie zur Durchführung vorvertraglicher Maßnahmen, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage.

Soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (z.B. handels- oder steuerrechtliche Aufbewahrungspflichten), dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person das berechtigte Interesse nicht, dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage.

2.3 Datenlöschung und Speicherdauer

Personenbezogene Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt. Eine längere Speicherung kann erfolgen, wenn dies durch europäische oder nationale Gesetzgeber in Verordnungen, Gesetzen oder sonstigen Vorschriften, denen wir unterliegen, vorgesehen wurde (z.B. handelsrechtliche Aufbewahrungsfristen von 6 Jahren, steuerrechtliche von 10 Jahren). Eine Sperrung oder Löschung erfolgt auch dann, wenn eine durch die genannten Normen vorgeschriebene Speicherfrist abläuft, es sei denn, eine weitere Speicherung der Daten ist für einen Vertragsabschluss oder eine Vertragserfüllung erforderlich.

2.4 Begriffsbestimmungen

Wir verwenden in dieser Datenschutzerklärung die in Art. 4 DSGVO definierten Begriffe (z.B. „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Einwilligung“).

3 Bereitstellung der Websites und Erstellung von Logfiles

3.1 Beschreibung und Umfang der Datenverarbeitung

Bei jedem Aufruf eines unserer Online-Auftritte erfasst unser System automatisiert Daten und Informationen vom Computersystem des aufrufenden Geräts. Folgende Daten werden hierbei erhoben:

Informationen über Browsertyp und verwendete Version
Betriebssystem des Nutzergeräts
Internet-Service-Provider des Nutzers
IP-Adresse des Nutzers (gekürzt/anonymisiert nach Logfile-Verarbeitung)
Datum und Uhrzeit des Zugriffs
Websites, von denen das System des Nutzers auf unsere Seite gelangt (Referrer)
Websites, die vom System des Nutzers über unseren Auftritt aufgerufen werden

Die Daten werden in den Logfiles unseres Systems gespeichert. Eine Speicherung dieser Daten zusammen mit anderen personenbezogenen Daten der Nutzer findet nicht statt.

3.2 Hosting

Unsere Online-Auftritte werden auf folgender Infrastruktur betrieben:

zentor.de, analytics.zentor.de und ein Backup-Server für die Academy werden von der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, in einem deutschen Rechenzentrum (Standort Nürnberg) gehostet. Es findet kein Drittlandtransfer im Rahmen des Hostings statt.
academy.zentor.de wird auf einer Cloud-Infrastruktur der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Konzernmutter: Amazon Web Services, Inc., USA) gehostet. Die Verarbeitung erfolgt in der AWS-Region Europa-Frankfurt (eu-central-1).

Mit beiden Anbietern haben wir Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen. Im Falle von AWS sind zusätzlich die EU-Standardvertragsklauseln nach Art. 46 DSGVO Bestandteil des Vertrags und AWS ist unter dem EU-US Data Privacy Framework zertifiziert.

3.3 Rechtsgrundlage und Zweck

Rechtsgrundlage für die vorübergehende Speicherung der Daten und Logfiles ist Art. 6 Abs. 1 lit. f DSGVO. Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Website an den Computer des Nutzers zu ermöglichen. Die Speicherung in Logfiles erfolgt zur Sicherstellung der Funktionsfähigkeit, zur Optimierung der Websites und zur Sicherheit unserer informationstechnischen Systeme. Eine Auswertung dieser Daten zu Marketingzwecken findet nicht statt.

3.4 Dauer der Speicherung

Logfile-Daten werden nach spätestens 30 Tagen gelöscht oder anonymisiert.

3.5 Widerspruchs- und Beseitigungsmöglichkeit

Die Erfassung der Daten zur Bereitstellung der Websites und die Speicherung in Logfiles sind für deren Betrieb zwingend erforderlich. Eine Widerspruchsmöglichkeit besteht hierfür nicht.

4 Verwendung von Cookies

4.1 Beschreibung und Umfang der Datenverarbeitung

Unsere Online-Auftritte verwenden Cookies. Bei Cookies handelt es sich um Textdateien, die vom Internet-Browser auf dem Computersystem des Nutzers gespeichert werden. Beim Aufruf unserer Seiten können Cookies auf dem Gerät des Nutzers gespeichert werden. Diese enthalten charakteristische Zeichenfolgen, die eine eindeutige Identifizierung des Browsers beim erneuten Aufrufen ermöglichen.

Wir setzen technisch notwendige Cookies ein, um unsere Websites nutzerfreundlich zu gestalten. Optionale Cookies (z.B. für eingebettete Drittinhalte oder externe Dienste, die ein Cookie setzen) werden nur nach ausdrücklicher Einwilligung der Nutzer:innen über unser Cookie-Banner gesetzt.

4.2 Rechtsgrundlage

Die Rechtsgrundlage für technisch notwendige Cookies ist § 25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO. Für optionale Cookies gilt § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4.3 Zweck und Dauer

Technisch notwendige Cookies dienen der Funktionalität der Website (z.B. Spracheinstellungen, Login-Status). Sie werden in der Regel mit Ende der Browser-Sitzung gelöscht. Optionale Cookies haben den Zweck, der die jeweilige Funktion erfordert; ihre Speicherdauer ist im Cookie-Banner angegeben.

4.4 Widerspruchs- und Beseitigungsmöglichkeit

Sie haben jederzeit die Möglichkeit, Ihre Einwilligung zu Cookies über das Cookie-Banner zu widerrufen oder anzupassen. Zusätzlich können Sie Cookies in den Browsereinstellungen deaktivieren. Werden Cookies für unsere Websites deaktiviert, können möglicherweise nicht mehr alle Funktionen vollumfänglich genutzt werden.

5 Online-Shop und Bestellprozess

Diese Verarbeitung betrifft zentor.de.

5.1 Beschreibung und Umfang

Auf unserer Hauptseite betreiben wir einen Online-Shop. Im Rahmen einer Bestellung erheben wir folgende Daten:

Anrede, Vor- und Nachname
Rechnungs- und ggf. Lieferadresse
E-Mail-Adresse, Telefonnummer (optional)
Bestellte Artikel und Bestelldetails
Zahlungsinformationen (über die in §6 genannten Zahlungsdienstleister)
Datum und Uhrzeit der Bestellung
IP-Adresse und Browser-Informationen zum Zeitpunkt der Bestellung

5.2 Rechtsgrundlage

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung). Soweit handels- und steuerrechtliche Aufbewahrungspflichten greifen, dient Art. 6 Abs. 1 lit. c DSGVO als zusätzliche Rechtsgrundlage.

5.3 Zweck und Dauer der Speicherung

Die Daten werden zur Vertragsabwicklung sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten gespeichert. Bestelldaten werden gemäß § 257 HGB und § 147 AO 6 bzw. 10 Jahre aufbewahrt und danach gelöscht.

5.4 Empfänger / Weitergabe

Daten werden an die in §6 genannten Zahlungsdienstleister sowie ggf. an Versanddienstleister (sofern für die Lieferung erforderlich) übermittelt. Soweit gesetzliche Aufbewahrungs- und Mitteilungspflichten greifen, geben wir relevante Bestelldaten im Rahmen unseres Steuerberater-Mandats weiter; unser Steuerberater ist eigenständiger Verantwortlicher und unterliegt seinen berufsrechtlichen Pflichten (insbesondere § 203 StGB).

6 Zahlungsabwicklung

Diese Verarbeitung betrifft zentor.de.

6.1 Stripe (Kreditkarten- und SEPA-Zahlungen)

Für die Abwicklung von Zahlungen per Kreditkarte und SEPA-Lastschrift verwenden wir den Zahlungsdienstleister Stripe Payments Europe Limited, Block 4, Harcourt Centre, Harcourt Road, Dublin 2, Irland (Konzernmutter: Stripe, Inc., USA). Stripe ist überwiegend eigenständig Verantwortlicher (insbesondere für Pflichten aus Geldwäscheprävention und Betrugsabwehr). Soweit Stripe personenbezogene Daten in unserem Auftrag verarbeitet, besteht ein Auftragsverarbeitungsvertrag mit integrierten Standardvertragsklauseln und einem Data Transfers Addendum, das alle drei SCC-Module abdeckt.

Es werden Zahlungs- und Identifikationsdaten an Stripe übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen zur Verarbeitung bei Stripe: https://stripe.com/de/privacy.

6.2 PayPal

Wenn Sie sich für die Zahlungsart PayPal entscheiden, werden die Zahlungsdaten an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, übermittelt. PayPal ist eigenständig Verantwortlicher im Sinne der DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: https://www.paypal.com/de/legalhub/privacy-full.

7 Newsletter-Versand

Diese Verarbeitung betrifft zentor.de.

7.1 Beschreibung und Umfang

Über den Newsletter-Anmeldebereich auf unserer Hauptseite können Sie sich für unseren Newsletter registrieren. Wir nutzen für den Newsletter-Versand den Dienst Mailchimp der Intuit Inc. / The Rocket Science Group LLC, 405 N. Angier Avenue NE, Atlanta, GA 30308, USA. Bei der Anmeldung erheben wir:

E-Mail-Adresse
Datum und Uhrzeit der Anmeldung sowie der Bestätigung (Double-Opt-In)
IP-Adresse zum Zeitpunkt der Anmeldung

Im Rahmen der Newsletter-Versendung können zusätzlich Reaktionsdaten (Öffnen, Klicken, Geräte-Information, ungefähre Geo-Information) erhoben werden, um Inhalte zu optimieren.

7.2 Rechtsgrundlage und Zweck

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Anmeldung erfolgt im Double-Opt-In-Verfahren — Sie erhalten nach der Anmeldung eine Bestätigungsmail und müssen Ihre Anmeldung über einen Link bestätigen. Die Einwilligung können Sie jederzeit widerrufen, etwa über den Abmelde-Link am Ende jedes Newsletters.

7.3 Auftragsverarbeitung und Drittlandtransfer

Mit Mailchimp besteht ein Auftragsverarbeitungsvertrag, der über die Click-Through-Akzeptanz der Mailchimp Standard Terms of Use rechtsverbindlich integriert ist (Art. 28 Abs. 9 DSGVO erlaubt diese elektronische Form). Mailchimp ist im EU-US Data Privacy Framework als Tochter von Intuit zertifiziert. Zusätzlich enthält der Mailchimp-DPA die EU-Standardvertragsklauseln nach Art. 46 DSGVO.

8 Login-Bereich und Mitgliederkonten

Diese Verarbeitung betrifft academy.zentor.de und (bei Go-Live) analytics.zentor.de.

8.1 Beschreibung

Bestimmte Bereiche unserer Online-Auftritte sind nur nach erfolgreicher Anmeldung mit E-Mail-Adresse und Passwort zugänglich. Bei der Registrierung und beim Login erheben wir:

E-Mail-Adresse
Verschlüsseltes Passwort (Hash)
Vor- und Nachname (sofern Sie diese angeben)
IP-Adresse und Geräte-Informationen zum Zeitpunkt der Registrierung und der Logins
Datum und Uhrzeit der Aktionen
Login-Historie und Aktivitätsverlauf in geschlossenen Bereichen

8.2 Rechtsgrundlage und Zweck

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsverhältnis Nutzungsvertrag) und ergänzend Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Login-Funktion).

8.3 Dauer der Speicherung

Daten zum Benutzerkonto werden gespeichert, solange Ihr Konto besteht. Bei Kündigung wird das Konto innerhalb angemessener Frist gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen. Login-Logs werden nach maximal 90 Tagen anonymisiert oder gelöscht.

9 Lernmanagementsystem

Diese Verarbeitung betrifft academy.zentor.de.

Für die Bereitstellung unserer Online-Kurse und der zugehörigen Inhalte betreiben wir ein Lernmanagementsystem (LMS) auf unserem eigenen Hosting (AWS Frankfurt). Im Rahmen Ihrer Kursteilnahme werden Ihr Benutzerkonto, Kursfortschritt, Quiz-Ergebnisse, Zertifikate sowie Zeitstempel der Kursinteraktionen gespeichert. Die Daten werden ausschließlich auf unserem Hosting verarbeitet — ein Drittlandtransfer im Rahmen des LMS findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung des vertraglich geschuldeten Lernangebots).

10 Diagnostik-Module und psychometrische Fragebögen

Diese Verarbeitung betrifft academy.zentor.de.

10.1 Beschreibung und Umfang

Im Rahmen unserer Academy-Inhalte bieten wir Diagnostik-Module an, mit denen Sie freiwillig Fragebögen zu Persönlichkeit, Werten und beruflicher Orientierung beantworten können. Erhoben werden:

Ihre Antworten auf die Fragebögen
Daraus abgeleitete Auswertungen und Einsichten
Ihre Zuordnung zum jeweiligen Kursmodul

Die Daten werden ausschließlich auf unserem eigenen Hosting (AWS Frankfurt) verarbeitet.

10.2 Besonderer Schutzbedarf — freiwillige Behandlung wie Art. 9 DSGVO

Diese Diagnostik-Daten haben für sich keinen klinischen Charakter und stellen keine medizinische oder psychologische Gesundheitsdiagnose dar. Aus Gründen besonderer Vorsicht und um Ihrem Vertrauen gerecht zu werden, behandeln wir diese Daten freiwillig wie besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Das bedeutet:

Wir holen vor der Verarbeitung Ihre ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO ein
Wir wenden erhöhte technisch-organisatorische Schutzmaßnahmen an (Verschlüsselung, restriktive Zugangsregelung, separate Berechtigungen)
Sie können die Verarbeitung jederzeit widerrufen und die Löschung der Diagnostik-Daten verlangen

10.3 Empfänger

Die Diagnostik-Daten werden an keinen Dritten übermittelt — es sei denn, Sie haben uns ausdrücklich beauftragt, sie z.B. mit einem Coach oder im Rahmen eines B2B-Kundenvertrags zu teilen.

11 KI-gestützte Funktionen

Diese Verarbeitung betrifft academy.zentor.de.

Auf Teilen unserer Academy bieten wir KI-gestützte Funktionen an (z.B. interaktive Lernassistenz). Wenn Sie eine solche Funktion nutzen, wird der Text Ihrer Anfrage über eine API an unseren Auftragsverarbeiter OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Ireland (Konzernmutter: OpenAI OpCo, LLC, USA), übermittelt und dort verarbeitet, um die Antwort zu generieren.

Mit OpenAI Ireland Ltd. besteht ein signierter Auftragsverarbeitungsvertrag (DPA) vom 03.05.2026 mit integrierten Standardvertragsklauseln (Module 2 und Module 3). OpenAI ist als US-Konzern unter dem EU-US Data Privacy Framework zertifiziert. OpenAI verwendet API-Inputs nicht zum Training seiner Modelle (Default für API-Kunden).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Cookie-Banner) bzw. Art. 6 Abs. 1 lit. b DSGVO bei vertraglich geschuldeten KI-Funktionen.

12 Eingebettete Videos (YouTube und Vimeo)

Diese Verarbeitung betrifft unsere Online-Auftritte, soweit dort Videos eingebunden sind (typischerweise auf zentor.de im Blog/Wissensbereich und auf academy.zentor.de in Kursinhalten).

12.1 Beschreibung und Umfang

An einzelnen Stellen binden wir Videos der Plattformen YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Konzernmutter: Google LLC, USA) und Vimeo (Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, USA) ein.

Die Video-Einbettung erfolgt erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner. Solange Sie diese nicht erteilt haben, werden die Videos nicht geladen und es findet keine Datenübermittlung an YouTube oder Vimeo statt.

Sobald Sie ein eingebettetes Video aktivieren, werden insbesondere folgende Daten an die jeweilige Plattform übermittelt:

IP-Adresse
Informationen über Browser, Betriebssystem und Gerät
Datum und Uhrzeit des Aufrufs
aufgerufene Video-URL
ggf. Plattform-eigene Cookies bzw. Tracking-Identifier

12.2 Rechtsgrundlage und Zweck

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Zweck ist die Bereitstellung audiovisueller Inhalte als Teil unserer Lern- und Informationsangebote.

12.3 Drittlandtransfer

Sowohl YouTube (über Google LLC als Konzernmutter) als auch Vimeo verarbeiten Daten in den USA. Beide Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert.

12.4 Widerruf

Sie können Ihre Einwilligung jederzeit über das Cookie-Banner widerrufen. Bereits geladene Videos bleiben in der laufenden Browser-Sitzung sichtbar; bei einem nachfolgenden Besuch ohne Einwilligung werden die Videos nicht erneut geladen.

13 CDN- und DDoS-Schutz

Diese Verarbeitung betrifft zentor.de.

Zur Beschleunigung und zum Schutz unserer Hauptseite nutzen wir das Content Delivery Network und den DDoS-Schutz der QUIC.cloud / LiteSpeed Technologies Inc., 4885 Riverbend Road, Boulder, CO 80301, USA. Beim Aufruf unserer Seiten wird der Datenverkehr über Quic.cloud-Server geleitet, dabei werden insbesondere IP-Adressen der Nutzer:innen, HTTP-Anfragedaten und ggf. Cookie-Informationen verarbeitet, um Inhalte schneller auszuliefern und Angriffe auf unsere Website abzuwehren.

Mit Quic.cloud besteht ein Auftragsverarbeitungsvertrag mit integrierten Schutzgarantien (Click-Through-DPA, Valid From 10.05.2024). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, sicheren Auslieferung der Website).

14 Web-Analytics

Diese Verarbeitung betrifft alle unsere Online-Auftritte.

Wir verwenden zur statistischen Auswertung der Website-Zugriffe das selbst gehostete Open-Source-Analytics-Tool Matomo, betrieben auf unserem eigenen Server in Nürnberg, Deutschland. Matomo wird in einem cookieless Modusbetrieben (disableCookies()), mit anonymisierter IP-Adresse (anonymizeIP) und unter Beachtung des Do-Not-Track-Headers (respectDoNotTrack).

Da Matomo keine Cookies setzt, ist eine Einwilligung nach § 25 TDDDG nicht erforderlich. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an einer datenschutzfreundlichen Reichweitenmessung. Es werden keine personenbezogenen Daten an Drittanbieter übermittelt; die Verarbeitung findet ausschließlich auf unserer eigenen Infrastruktur in Deutschland statt.

15 Geschäftliche Kommunikation und Backoffice

Diese Verarbeitung betrifft Daten, die im Rahmen der Geschäftsbeziehung über zentor.de und academy.zentor.de an uns gerichtet werden.

Im Rahmen unserer geschäftlichen Kommunikation nutzen wir Dienste der Microsoft Ireland Operations Limited(Microsoft 365: Exchange Online, Teams, OneDrive, SharePoint). Die Datenresidenz unseres Tenants ist auf Deutschland konfiguriert; zusätzlich ist die EU Data Boundary für die genutzten Dienste aktiv. Mit Microsoft besteht ein Auftragsverarbeitungsvertrag (Microsoft Products and Services Data Protection Addendum) mit integrierten Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (sonstige geschäftliche Kommunikation).

16 Drittstaatenübermittlungen

Soweit personenbezogene Daten an Empfänger in Drittstaaten (insbesondere die USA) übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO. Konkret nutzen wir:

Adäquanzbeschluss EU-US Data Privacy Framework (DPF) — soweit der jeweilige Anbieter zertifiziert ist (z.B. AWS, OpenAI, Mailchimp, Stripe)
Standardvertragsklauseln (SCC) der EU-Kommission gemäß Durchführungsbeschluss (EU) 2021/914 — als Auffangregel oder zusätzliche Garantie

Die jeweiligen Mechanismen sind in den oben aufgeführten Drittanbieter-Abschnitten konkret benannt.

17 Rechte der betroffenen Person

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener im Sinne der DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

Auskunftsrecht (Art. 15 DSGVO)

Sie können vom Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden. Liegt eine solche Verarbeitung vor, können Sie Auskunft über die Zwecke der Verarbeitung, die Kategorien personenbezogener Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, das Bestehen von Rechten auf Berichtigung, Löschung, Einschränkung, Widerspruch und Beschwerde, die Herkunft der Daten (sofern nicht bei Ihnen erhoben), das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling sowie über etwaige Drittstaatenübermittlungen verlangen.

Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben ein Recht auf Berichtigung und/oder Vervollständigung gegenüber dem Verantwortlichen, sofern die verarbeiteten personenbezogenen Daten unrichtig oder unvollständig sind. Der Verantwortliche hat die Berichtigung unverzüglich vorzunehmen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen, etwa wenn Sie die Richtigkeit der Daten bestreiten, die Verarbeitung unrechtmäßig ist und Sie statt Löschung die Einschränkung wünschen, oder wenn der Verantwortliche die Daten nicht mehr benötigt, Sie diese aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen.

Recht auf Löschung (Art. 17 DSGVO)

Sie können vom Verantwortlichen verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe zutrifft (Daten sind für die Zwecke nicht mehr erforderlich; Einwilligungswiderruf bei fehlender anderer Rechtsgrundlage; erfolgreicher Widerspruch nach Art. 21 DSGVO; unrechtmäßige Verarbeitung; rechtliche Löschungspflicht; Erhebung im Rahmen von Diensten der Informationsgesellschaft an Kinder). Das Recht besteht nicht, soweit die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung, zur Erfüllung rechtlicher Verpflichtungen, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Recht auf Unterrichtung (Art. 19 DSGVO)

Haben Sie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung gegenüber dem Verantwortlichen geltend gemacht, ist dieser verpflichtet, allen Empfängern, denen die Sie betreffenden personenbezogenen Daten offengelegt wurden, diese Berichtigung, Löschung oder Einschränkung der Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden. Sie haben das Recht, über diese Empfänger unterrichtet zu werden.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie dem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt. Außerdem haben Sie das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung zu übermitteln.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Werden die Sie betreffenden personenbezogenen Daten zu Direktwerbung verarbeitet, haben Sie das Recht, jederzeit Widerspruch einzulegen; dies gilt auch für das Profiling, soweit es mit der Direktwerbung in Verbindung steht.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, Ihre datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Automatisierte Entscheidung im Einzelfall einschließlich Profiling (Art. 22 DSGVO)

Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Eine solche automatisierte Entscheidungsfindung findet auf unseren Online-Auftritten nicht statt.

Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für die zentor GmbH zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18 91522 Ansbach Telefon: +49 (0) 981 53 1300 E-Mail: poststelle@lda.bayern.de Website: https://www.lda.bayern.de

18 Aktualität dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den am Anfang des Dokuments angegebenen Stand. Durch die Weiterentwicklung unserer Online-Auftritte oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung kann jederzeit auf unseren Online-Auftritten abgerufen und ausgedruckt werden.