Datenschutzerklärung

1. Allgemeine Bestimmungen

1.1. Diese Datenschutzerklärung regelt, wie die SIA SAM MARTIN GROYP, Registrierungsnr. 40203520646, Sitz: Matīsa iela 16-2, Rīga, Lettland, LV-1001 (nachfolgend: Verantwortlicher), personenbezogene Daten natürlicher Personen verarbeitet – im Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung, DSGVO/GDPR), dem lettischen Gesetz über die Verarbeitung personenbezogener Daten und weiteren anwendbaren Rechtsvorschriften zum Schutz personenbezogener Daten.

1.2. Ziel dieser Datenschutzerklärung ist es, betroffenen Personen klare, transparente und rechtlich korrekte Informationen zu den Zwecken der Datenverarbeitung, den Rechtsgrundlagen, den Kategorien personenbezogener Daten, den Speicherfristen, den Empfängern, der Übermittlung von Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, den Rechten der betroffenen Personen sowie zum Kommunikationsweg mit dem Verantwortlichen bereitzustellen.

1.3. Der Verantwortliche ist in der Informationstechnologiebranche tätig und kann im Rahmen seiner Geschäftstätigkeit Websites, Softwarelösungen, Server, Hosting-Umgebungen, Backup-Lösungen, E-Mail-Infrastruktur, technische Supportsysteme und weitere digitale Dienstleistungen für Kunden entwickeln, betreiben und verwalten.

1.4. Je nach Art der konkreten Dienstleistung kann der Verantwortliche sowohl als Verantwortlicher für die Verarbeitung personenbezogener Daten als auch als Auftragsverarbeiter im Namen des Kunden tätig sein, wenn der Kunde die Zwecke und Mittel der Verarbeitung festlegt.

1.5. Stellt der Verantwortliche einem Kunden Serverbetrieb, Hosting, Systemadministration, Backups, Vorfallanalysen, E-Mail-Infrastruktur, Cloud-Dienste, Nutzersupport oder andere technische Leistungen bereit, kann er personenbezogene Daten in dem Umfang verarbeiten, der für die Erbringung der Leistung, die Sicherheit, die Kontinuität und die Erfüllung vertraglicher Pflichten erforderlich ist.

1.6. Die Dienstleistungen und Websites des Verantwortlichen sowie die dazugehörigen Dienste der Informationsgesellschaft sind ausschließlich für volljährige Personen (ab 18 Jahren) bestimmt. Der Verantwortliche erhebt und verarbeitet wissentlich keine personenbezogenen Daten von Kindern, wenn eine Dienstleistung direkt Kindern angeboten wird, und ergreift angemessene Maßnahmen, um die Nutzung der Dienste durch Minderjährige ohne rechtliche Grundlage einzuschränken.

1.7. Stellt der Verantwortliche fest, dass die Dienstleistung tatsächlich von einer Person unter 18 Jahren genutzt wird und keine Rechtsgrundlage für die Datenverarbeitung besteht (z. B. die Einwilligung eines gesetzlichen Vertreters), kann er die Daten löschen oder anonymisieren und den weiteren Zugang dieser Person zu den Diensten einschränken.

2. Angaben zum Verantwortlichen und Kontakt

2.1. Verantwortlicher für die Verarbeitung personenbezogener Daten ist die SIA SAM MARTIN GROYP, Registrierungsnr. 40203520646, Sitz: Matīsa iela 16-2, Rīga, Lettland, LV-1001.

2.2. E-Mail für die Kommunikation zu Fragen der Datenverarbeitung: [email protected].

2.3. Bei Fragen zu dieser Datenschutzerklärung, zur Verarbeitung personenbezogener Daten, zur Ausübung von Betroffenenrechten, zur Bearbeitung von Anfragen oder zu sonstigen Datenschutzthemen kann sich die betroffene Person per E-Mail an [email protected] an den Verantwortlichen wenden.

3. Rolle des Verantwortlichen bei der Datenverarbeitung

3.1. Der Verantwortliche verarbeitet personenbezogene Daten als eigenständiger Verantwortlicher in den Fällen, in denen er die Zwecke und Mittel der Verarbeitung selbst festlegt, beispielsweise bei der Verarbeitung von Daten von Kooperationspartnern, Kontaktpersonen von Kunden, Lieferanten, potenziellen Kunden, Website-Besuchern sowie von Buchhaltungsunterlagen und Kommunikationsdaten.

3.2. Der Verantwortliche kann auch als Auftragsverarbeiter im Sinne von Art. 28 DSGVO tätig sein, wenn der Kunde Verantwortlicher ist und der Verantwortliche im Auftrag des Kunden IT-Infrastruktur, Website-Hosting, Datenbankbetrieb, Serveradministration, technisches Monitoring, Datenspeicherung, Backups, Systemwartung oder andere damit verbundene technische Dienstleistungen bereitstellt.

3.3. Handelt der Verantwortliche als Auftragsverarbeiter, erfolgt die Verarbeitung personenbezogener Daten gemäß dem Vertrag mit dem Kunden, den dokumentierten Weisungen des Kunden und den anwendbaren gesetzlichen Anforderungen.

3.4. Legen der Verantwortliche und der Kunde im konkreten Kooperationsmodell die Zwecke oder wesentlichen Mittel der Verarbeitung gemeinsam fest, kann das Verhältnis der Parteien gemäß den Anforderungen der DSGVO als gemeinsame Verantwortlichkeit geregelt werden.

4. Kategorien personenbezogener Daten

4.1. Je nach erbrachter Dienstleistung, Art der Zusammenarbeit und Verarbeitungszweck kann der Verantwortliche folgende Kategorien personenbezogener Daten verarbeiten:

4.1.1. Identifikationsdaten, z. B. Vorname, Nachname, Position oder Vertretungsstatus der Person;

4.1.2. Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer, Postanschrift, Firmenname und weitere Kommunikationsangaben;

4.1.3. Vertrags- und Abrechnungsdaten, z. B. Vertragsinhalte, Bestellinformationen, Rechnungen, Zahlungsinformationen, Kooperationshistorie und weitere mit der Leistungserbringung verbundene Informationen;

4.1.4. Kommunikationsdaten, z. B. E-Mail-Korrespondenz, Supportanfragen, Anfragen, Störungsmeldungen, Chatverläufe, Gesprächsnotizen und sonstige Kommunikationsaufzeichnungen;

4.1.5. technische Daten, z. B. IP-Adresse, Gerätekennungen, Browserparameter, Authentifizierungsinformationen, Zugriffszeiten, Sitzungsinformationen, Systemprotokolle, Fehlerprotokolle und Informationen zu Sicherheitsereignissen;

4.1.6. Nutzungsdaten der Website und der Dienstleistung, z. B. Nutzeraktivitäten in der technischen Umgebung, Anmeldevorgänge, administrative Handlungen, Konfigurationsänderungen, Änderungen von Zugriffsrechten, Systemaudit-Protokolle und weitere Nutzungsdaten;

4.1.7. Betriebsdaten von Servern, Hosting und Infrastruktur, z. B. Logdateien, Informationen zur Ressourcennutzung, Backup-Informationen, Überwachungs- und Verfügbarkeitsdaten, Daten zur Störungsdiagnose und Daten zur Dienstkontinuität;

4.1.8. Daten der Endnutzer von Kunden, soweit diese dem Verantwortlichen bei der Erbringung von Hosting-, Systemadministrations-, E-Mail-, Backup-, Datenbankbetriebs-, Website-Wartungs- oder anderen technischen Leistungen im Interesse der Kunden und gemäß deren Weisungen zugänglich werden;

4.1.9. weitere personenbezogene Daten, die die betroffene Person oder der Kunde dem Verantwortlichen im Rahmen der Zusammenarbeit, einer Anfrage, der Vertragserfüllung oder der Leistungserbringung übermittelt.

4.2. Der Verantwortliche verarbeitet nur solche personenbezogenen Daten, die für den jeweiligen Zweck angemessen, geeignet und erforderlich sind, unter Beachtung der Grundsätze der Datenminimierung und der Rechenschaftspflicht.

5. Quellen der personenbezogenen Daten

5.1. Personenbezogene Daten werden in erster Linie direkt von der betroffenen Person, dem Kunden, dem Kooperationspartner oder deren bevollmächtigten Vertretern erhoben, z. B. beim Abschluss eines Vertrags, beim Ausfüllen von Anfrageformularen, beim Einreichen von Anfragen, beim Versand von E-Mails oder bei der Nutzung der vom Verantwortlichen bereitgestellten Dienste.

5.2. Personenbezogene Daten können auch aus öffentlich zugänglichen Registern, von Kunden genutzten Informationssystemen, technischer Infrastruktur, Serverprotokollen, Monitoring-Lösungen, Backup-Systemen, Authentifizierungssystemen und weiteren für die Leistungserbringung erforderlichen technischen Quellen erhoben werden, soweit dies rechtmäßig und erforderlich ist.

5.3. Handelt der Verantwortliche als Auftragsverarbeiter, können personenbezogene Daten vom Kunden oder aus den vom Kunden genutzten Systemen, Infrastrukturen und Diensten stammen, die der Verantwortliche im Auftrag des Kunden technisch betreibt oder verwaltet.

6. Zwecke der Datenverarbeitung

6.1. Der Verantwortliche kann personenbezogene Daten zu folgenden Zwecken verarbeiten:

6.1.1. zur Identifizierung von Kunden, Lieferanten und Kooperationspartnern und zur Aufnahme der Zusammenarbeit;

6.1.2. zur Vorbereitung, zum Abschluss, zur Erfüllung, Verwaltung und Beendigung von Verträgen;

6.1.3. zur Bearbeitung von Kundenanfragen, Beratungen, Bestellungen und technischen Supportfragen;

6.1.4. zum Betrieb und zur Verwaltung von Websites, Anwendungen, Servern, Hosting-Diensten, Datenbanken, E-Mail-Lösungen, APIs, Integrationen und sonstiger IT-Infrastruktur;

6.1.5. zur Vergabe von Zugriffsrechten, zur Authentifizierung, Autorisierung und Verwaltung von Benutzerkonten;

6.1.6. zur Überwachung des Systembetriebs, Fehlerbehebung, Leistungsanalyse, Sicherheitsüberwachung, Untersuchung von Vorfällen und Sicherstellung der Stabilität der technischen Umgebung;

6.1.7. zur Erstellung und Wiederherstellung von Backups, zur Datenwiederherstellung und zur Sicherstellung der Betriebskontinuität;

6.1.8. zum Management von Informations- und Cybersicherheitsrisiken, zur Verhinderung unbefugten Zugriffs, zur Durchführung von Sicherheitsaudits und zum Schutz der Dienste;

6.1.9. zur Sicherstellung von Buchhaltung, Steuerpflichten, rechtlichen Pflichten, Ansprüchen, Beweisführung und interner Verwaltung;

6.1.10. zur Durchführung von Statistiken, Qualitätskontrolle, Verbesserung der Dienste, Systemoptimierung und Nutzungsanalyse;

6.1.11. zur Erfüllung gesetzlicher Pflichten, einschließlich der Zusammenarbeit mit staatlichen und kommunalen Behörden, Strafverfolgungsbehörden und Aufsichtsbehörden;

6.1.12. zur Durchführung kommerzieller Kommunikation, soweit dies nach den anwendbaren Rechtsvorschriften zulässig ist und, falls erforderlich, eine entsprechende Einwilligung vorliegt.

6.2. Der Verantwortliche kann Bestandskunden auf Grundlage berechtigter Interessen kommerzielle Mitteilungen über seine Dienstleistungen senden, unter Beachtung der Anforderungen des lettischen Gesetzes über Dienste der Informationsgesellschaft und indem jede Mitteilung eine einfache Abmeldemöglichkeit enthält (z. B. einen „unsubscribe“-Link oder die Kontaktaufnahme über [email protected]).

6.3. Beruht die kommerzielle Kommunikation auf der Einwilligung der betroffenen Person, hat diese das Recht, ihre Einwilligung jederzeit über den in der erhaltenen Mitteilung angegebenen Abmeldemechanismus zu widerrufen.

7. Rechtsgrundlagen der Datenverarbeitung

7.1. Rechtsgrundlage der Verarbeitung personenbezogener Daten kann je nach Situation sein:

7.1.1. der Abschluss und die Erfüllung eines Vertrags oder die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person gemäß Art. 6 Abs. 1 lit. b DSGVO;

7.1.2. die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, gemäß Art. 6 Abs. 1 lit. c DSGVO;

7.1.3. berechtigte Interessen des Verantwortlichen oder eines Dritten gemäß Art. 6 Abs. 1 lit. f DSGVO, z. B. im Zusammenhang mit Netz- und Informationssicherheit, Rechtsverteidigung, Sicherung der Dienstqualität, technischer Stabilität, Betrugsprävention, Systemaudits und Organisation des Geschäftsbetriebs;

7.1.4. die Einwilligung der betroffenen Person gemäß Art. 6 Abs. 1 lit. a DSGVO, wenn die Verarbeitung im Einzelfall auf einer Einwilligung beruht, z. B. für den Versand bestimmter Marketing-Mitteilungen oder die Verwendung nicht notwendiger Cookies.

7.2. Handelt der Verantwortliche als Auftragsverarbeiter im Namen des Kunden, erfolgt die Verarbeitung auf Grundlage dokumentierter Weisungen des Kunden und des Vertrags, unter Beachtung von Art. 28 DSGVO und durch Abschluss eines entsprechenden Auftragsverarbeitungsvertrags (DPA).

8. Besondere Bestimmungen für IT-Dienstleistungen und Hosting-Umgebungen

8.1. Bei der Bereitstellung von Website-Hosting, virtuellen oder physischen Servern, Datenbankbetrieb, E-Mail-Infrastruktur, Systemadministration, Cloud-Diensten oder anderen IT-Leistungen kann der Verantwortliche technische und nutzungsbezogene personenbezogene Daten verarbeiten, die beim Betrieb des Dienstes anfallen, einschließlich Zugriffsdaten, Systemprotokollen und Aufzeichnungen von Sicherheitsereignissen.

8.2. Um Sicherheit, Verfügbarkeit, Integrität und Stabilität der Systeme zu gewährleisten, kann der Verantwortliche den Netzwerkverkehr überwachen, die Serverauslastung überwachen, Fehler diagnostizieren, Backups erstellen, Notfallwiederherstellungen durchführen, Schwachstellen bewerten, Konfigurationen überprüfen und weitere angemessene technische Sicherheitsmaßnahmen ergreifen.

8.3. Bei technischen Vorfällen, Cybersicherheitsbedrohungen, Versuchen unbefugten Zugriffs, Dienststörungen oder Systemfehlern kann der Verantwortliche auf die entsprechenden technischen Informationen und in begrenztem Umfang auch auf personenbezogene Daten zugreifen, soweit dies objektiv zur Feststellung, Analyse, Behebung und Dokumentation des Vorfalls erforderlich ist.

8.4. Umfasst die vom Kunden beauftragte Leistung den Betrieb von Websites, Datenbanken, E-Mail-Postfächern, Benutzerkonten oder anderen Systemen des Kunden, kann der Verantwortliche die darin enthaltenen personenbezogenen Daten nur in dem Umfang technisch verarbeiten, der erforderlich ist, um die Funktion, Sicherheit, Sicherung, Verlagerung, Migration, Wiederherstellung oder Problembehebung des Dienstes zu gewährleisten.

8.5. Der Verantwortliche legt die Zwecke der Verarbeitung der Daten von Endnutzern des Kunden nicht fest, sofern sich aus dem Wesen der konkreten Zusammenarbeit oder aus Rechtsvorschriften nichts anderes ergibt; in solchen Fällen gilt in der Regel der Kunde als Verantwortlicher und der Verantwortliche als Auftragsverarbeiter.

8.6. Der Verantwortliche kann Unterauftragsverarbeiter einsetzen, z. B. Anbieter von Rechenzentren, Hosting, Cloud-Diensten, E-Mail, Monitoring, Backups, Cybersicherheit oder Infrastrukturdiensten, wenn dies für die Leistungserbringung erforderlich ist und die entsprechenden Datenschutzanforderungen eingehalten werden.

9. Cookies und ähnliche Technologien

9.1. Werden auf der Website des Verantwortlichen oder in den für Kunden bereitgestellten Lösungen Cookies oder ähnliche Technologien verwendet, können diese eingesetzt werden, um die Grundfunktionen der Website, die Sicherheit, die Sitzungsverwaltung, die Nutzerauthentifizierung, die Speicherung der Spracheinstellung, Analysen, Leistungsverbesserungen oder andere technisch notwendige Funktionen zu gewährleisten.

9.2. Nutzer erhalten klare und umfassende Informationen über die Zwecke der Cookie-Nutzung, und sofern die anwendbaren Rechtsvorschriften dies verlangen, wird die Möglichkeit geboten, die Einwilligung zur Nutzung der jeweiligen Cookies zu erteilen oder zu verweigern.

9.3. Die Nutzung nicht notwendiger Cookies kann auf der Einwilligung der betroffenen Person beruhen, während technisch notwendige Cookies eingesetzt werden können, um den Betrieb und die Sicherheit elektronischer Dienste gemäß den anwendbaren Regelungen zu gewährleisten.

10. Speicherfristen für personenbezogene Daten

10.1. Der Verantwortliche speichert personenbezogene Daten nicht länger, als es für die Erreichung des jeweiligen Verarbeitungszwecks, die Erfüllung vertraglicher Pflichten, die Wahrung von Rechten oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

10.2. Die Speicherfristen können je nach Datenkategorie und Zweck variieren; beispielsweise können Vertragsdaten, Buchhaltungsunterlagen, technische Protokolle, Backups, Zugriffsprotokolle, Supportanfragen und Daten zu Sicherheitsvorfällen unter Berücksichtigung der Rechtsgrundlage, der technischen Notwendigkeit, von Sicherheitserwägungen und gesetzlichen Anforderungen unterschiedlich lange gespeichert werden.

10.3. In Backups enthaltene personenbezogene Daten können bis zu den nächsten Backup-Zyklen oder länger gespeichert werden, wenn dies für die Systemwiederherstellung, die Untersuchung von Vorfällen, die Betriebskontinuität oder die Erfüllung gesetzlicher Anforderungen erforderlich ist.

10.4. Sind personenbezogene Daten für den jeweiligen Zweck nicht mehr erforderlich, werden sie gemäß den anwendbaren Rechtsvorschriften und technischen Möglichkeiten gelöscht, anonymisiert, überschrieben oder archiviert.

11. Empfänger personenbezogener Daten

11.1. Personenbezogene Daten können Mitarbeitern des Verantwortlichen, bevollmächtigten Personen und Kooperationspartnern nur in dem Umfang offengelegt werden, der zur Erfüllung von Arbeitspflichten oder vertraglichen Verpflichtungen erforderlich ist, unter Beachtung des Vertraulichkeitsgrundsatzes und angemessener Sicherheitsmaßnahmen.

11.2. Personenbezogene Daten können an Auftragsverarbeiter oder Unterauftragsverarbeiter übermittelt werden, z. B. an Anbieter von Hosting, Rechenzentren, Cloud-Diensten, Backups, E-Mail, Cybersicherheit, Buchhaltung, Rechtsdiensten, Kundensupport, Monitoring, Dokumentenmanagement oder anderen damit verbundenen Dienstleistungen, soweit dies für die Leistungserbringung erforderlich ist.

11.3. In den gesetzlich vorgesehenen Fällen können personenbezogene Daten an staatliche und kommunale Behörden, Gerichte, Strafverfolgungsbehörden, Aufsichtsbehörden oder andere Personen übermittelt werden, wenn sich eine solche Pflicht aus Rechtsvorschriften ergibt oder dies zum Schutz der Rechte, berechtigten Interessen oder der Sicherheit des Verantwortlichen erforderlich ist.

12. Datenübermittlung außerhalb der Europäischen Union oder des EWR

12.1. Werden personenbezogene Daten im Rahmen der Leistungserbringung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt, stellt der Verantwortliche sicher, dass dies nur im Einklang mit den anwendbaren Anforderungen der DSGVO geschieht und geeignete Datenschutzmechanismen angewendet werden.

12.2. Solche Mechanismen können einen Angemessenheitsbeschluss der Europäischen Kommission, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder andere von der DSGVO anerkannte Instrumente zum Schutz personenbezogener Daten umfassen.

13. Sicherheit personenbezogener Daten

13.1. Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung, Beschädigung, Offenlegung oder unbefugtem Zugriff zu schützen.

13.2. Je nach Art der konkreten Dienstleistung können solche Maßnahmen Zugriffskontrolle, Nutzerauthentifizierung, Verwaltung von Zugriffsrechten, Netzwerksegmentierung, Datenverschlüsselung, Firewalls, Backups, Ereignisprotokollierung, Schwachstellenmanagement, Software-Updates, Vorfallmanagement, Vertraulichkeitsverpflichtungen der Mitarbeiter und weitere angemessene Sicherheitsmaßnahmen umfassen.

13.3. Der Verantwortliche setzt Sicherheitsmaßnahmen unter Bewertung der Risiken für die Rechte und Freiheiten natürlicher Personen entsprechend dem in Art. 32 DSGVO festgelegten Sicherheitsniveau um.

13.4. Stellt der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten fest, handelt er gemäß den anwendbaren Rechtsvorschriften und prüft dabei insbesondere die Pflicht zur Meldung an die Aufsichtsbehörde und, falls erforderlich, auch an die betroffenen Personen.

14. Rechte der betroffenen Person

14.1. Die betroffene Person hat das Recht, Auskunft über ihre personenbezogenen Daten, deren Berichtigung, Löschung und Einschränkung der Verarbeitung zu verlangen, der Verarbeitung zu widersprechen sowie das Recht auf Datenübertragbarkeit auszuüben, soweit sich diese Rechte aus den anwendbaren Rechtsvorschriften ergeben.

14.2. Beruht die Verarbeitung personenbezogener Daten auf einer Einwilligung, hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

14.3. Zur Ausübung ihrer Rechte kann die betroffene Person eine Anfrage per E-Mail an [email protected] senden.

14.4. Der Verantwortliche bearbeitet die Anfrage unverzüglich und antwortet innerhalb der gesetzlich festgelegten Frist, in der Regel spätestens innerhalb eines Monats nach Eingang der Anfrage, sofern die konkrete Situation keine Fristverlängerung gemäß der DSGVO rechtfertigt.

14.5. Der Verantwortliche ist berechtigt, zusätzliche Informationen zur Überprüfung der Identität der Person anzufordern, um sicherzustellen, dass keine Informationen an Unbefugte weitergegeben werden.

14.6. Handelt der Verantwortliche im konkreten Datenverarbeitungsverhältnis nur als Auftragsverarbeiter im Namen des Kunden, kann er die Anfrage der betroffenen Person an den jeweiligen Kunden weiterleiten oder sie in Zusammenarbeit mit dem Kunden bearbeiten, unter Berücksichtigung der Rollen und Pflichten der Parteien gemäß der DSGVO.

15. Beschwerden

15.1. Ist die betroffene Person der Ansicht, dass die Verarbeitung ihrer personenbezogenen Daten gegen die Anforderungen der anwendbaren Rechtsvorschriften verstößt, hat sie das Recht, sich zunächst per E-Mail an [email protected] an den Verantwortlichen zu wenden.

15.2. Die betroffene Person hat außerdem das Recht, Beschwerde bei der Datu valsts inspekcija (Staatliche Datenschutzbehörde) einzulegen, der Aufsichtsbehörde für den Schutz personenbezogener Daten in Lettland.

15.3. Kontaktdaten der Datu valsts inspekcija: Elijas iela 17, Rīga, LV-1050, Lettland; E-Mail: [email protected]; Telefon: +371 67223131.

15.4. Die Datu valsts inspekcija empfiehlt, sich vor Einreichung einer Beschwerde zunächst an den Verantwortlichen zu wenden, der die Datenverarbeitung durchführt.

16. Gesprächsaufzeichnungen und alternative Kommunikation

16.1. Im Rahmen von Kundensupport und Kommunikation kann der Verantwortliche Telefongespräche, Internetanrufe, Sprachnachrichten oder andere elektronische Kommunikation aufzeichnen, wenn dies für die Leistungserbringung, die Qualitätskontrolle, die Streitbeilegung, die Gewährleistung der Sicherheit und den Schutz der berechtigten Interessen des Verantwortlichen erforderlich ist, unter Beachtung der DSGVO und weiterer anwendbarer Rechtsvorschriften.

16.2. Gesprächsaufzeichnungen werden in der Regel bis zu 90 Tage ab dem Tag der Aufzeichnung gespeichert, sofern nicht im Einzelfall Streitbeilegung, Qualitätskontrolle, die Wahrung der Rechte des Verantwortlichen oder gesetzliche Verjährungsfristen eine längere Speicherfrist rechtfertigen.

16.3. Vor der Aufzeichnung eines Gesprächs wird die betroffene Person über die Aufzeichnung informiert, und die Aufzeichnungen werden nur so lange gespeichert, wie es für den jeweiligen Zweck, die Streitbeilegung, die Qualitätskontrolle oder die Einhaltung gesetzlicher Anforderungen erforderlich ist.

16.4. Möchte die betroffene Person nicht, dass ein bestimmtes Gespräch aufgezeichnet wird, kann sie alternative Kommunikationswege wählen, indem sie an [email protected] schreibt oder z. B. die WhatsApp-Nummer +371 28 706 247 nutzt.

16.5. Gesprächsaufzeichnungen und Sprachnachrichten gelten als personenbezogene Daten, und es gelten dafür die Rechte der betroffenen Person gemäß der DSGVO in vollem Umfang, einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch, soweit dies mit dem Zweck der Aufzeichnung und den anwendbaren Rechtsvorschriften vereinbar ist.

17. Ausfüllen von Formularen und Datenverarbeitung

17.1. Auf den Websites, in den Anwendungen oder in den für Kunden bereitgestellten Lösungen des Verantwortlichen können verschiedene elektronische Formulare verfügbar sein (z. B. Kontaktformulare, Anfrageformulare, Formulare für Dienstleistungsanfragen, Support-Formulare), bei deren Ausfüllung die betroffene Person personenbezogene Daten angibt, damit der Verantwortliche die angefragte Leistung, Kommunikation oder einen anderen konkreten Zweck erfüllen kann.

17.2. Beim Ausfüllen eines Formulars gibt die betroffene Person in der Regel Identifikations- und Kontaktdaten sowie weitere mit der Anfrage verbundene Daten an, die der Verantwortliche verarbeitet, um die Anfrage zu beantworten, die Leistung zu erbringen, ein Anliegen zu prüfen, ein Angebot zu erstellen oder weitere von der betroffenen Person angestoßene Schritte durchzuführen.

17.3. Rechtsgrundlagen für die Verarbeitung der über Formulare übermittelten personenbezogenen Daten können der Abschluss oder die Erfüllung eines Vertrags, die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen, berechtigte Interessen des Verantwortlichen (z. B. Sicherstellung der Kommunikation, Rechtsverteidigung, Verbesserung der Dienstqualität) oder die Einwilligung der betroffenen Person sein, wenn im jeweiligen Formular entsprechende Informationen dazu bereitgestellt werden.

17.4. Durch das Ausfüllen von Formularen erhaltene personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck, die Sicherstellung der Kommunikation, die Erfüllung vertraglicher Pflichten, die Wahrung der Rechte des Verantwortlichen oder die Erfüllung gesetzlicher Pflichten erforderlich ist; danach werden sie gemäß dem in dieser Datenschutzerklärung festgelegten Verfahren gelöscht, anonymisiert oder archiviert.

17.5. Die betroffene Person ist jederzeit berechtigt, sich an den Verantwortlichen zu wenden, um zu erfahren, welche Daten über sie erhoben wurden, zu welchen Zwecken sie verwendet werden und wie lange sie gespeichert werden, sowie weitere in der DSGVO vorgesehene Rechte in Bezug auf die über Formulare übermittelten personenbezogenen Daten auszuüben.

18. Live-Chat auf der Website

18.1. Auf der Website evoex.eu steht ein Live-Chat zur Verfügung, über den die betroffene Person mit dem Support-Team des Verantwortlichen kommunizieren kann. Der Chat wird über das Kundenportal des Verantwortlichen (portal.evoex.eu) bereitgestellt, und die Korrespondenz wird auf Servern des Verantwortlichen in der Europäischen Union (in Finnland) gespeichert.

18.2. Ein Gespräch wird durch das Schreiben einer Nachricht begonnen. Optional kann die betroffene Person ihren Namen, ihre E-Mail-Adresse und ihre Telefonnummer angeben (zum Beispiel, um eine Antwort per E-Mail zu erhalten) sowie Dateien anhängen.

18.3. Um eine qualitativ hochwertige Antwort und Sicherheit zu gewährleisten, werden während des Gesprächs automatisch auch technische Daten verarbeitet: die IP-Adresse und der daraus ermittelte ungefähre Standort (Land, Stadt, Region), Gerätetyp, Browser und Betriebssystem, Bildschirmgröße, Sprache und Zeitzone, die Seite, von der aus geschrieben wird, die in diesem Besuch aufgerufenen Seiten der Website, die Referenzquelle (z. B. Suchmaschine oder Parameter von Werbekampagnen) und die Anzahl der Besuche. Diese Daten werden nur übermittelt, wenn die betroffene Person den Chat öffnet.

18.4. Rechtsgrundlage der Verarbeitung sind die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person (Art. 6 Abs. 1 lit. b DSGVO) und die berechtigten Interessen des Verantwortlichen an der Sicherstellung der Kommunikation, der Dienstqualität und der Informationssicherheit (Art. 6 Abs. 1 lit. f DSGVO). Vor Beginn des Gesprächs bestätigt die betroffene Person, diese Datenschutzerklärung zur Kenntnis genommen zu haben.

18.5. Zur Verhinderung von Missbrauch und automatisierten Anfragen (Bots) wird der Dienst Cloudflare Turnstile eingesetzt. Angehängte Dateien werden automatisch mit Antivirensoftware und Sicherheitsfiltern geprüft, bei Bildern werden Metadaten (z. B. Standortinformationen) entfernt. Dateien, die die Prüfung nicht bestehen, werden nicht gespeichert.

18.6. Erfolgt die Antwort des Verantwortlichen, wenn sich die betroffene Person nicht mehr auf der Website befindet, wird die Benachrichtigung über die Antwort an die angegebene E-Mail-Adresse gesendet.

18.7. Chat-Korrespondenz, angehängte Dateien und die mit dem Gespräch verbundenen technischen Daten werden bis zu 12 Monate nach der letzten Nachricht gespeichert, sofern aus dem Gespräch kein Vertrag hervorgeht oder keine längere Speicherung zum Schutz der Rechte des Verantwortlichen erforderlich ist. Die betroffene Person kann jederzeit die Löschung der Korrespondenz und der damit verbundenen Daten verlangen, indem sie an [email protected] schreibt.

18.8. Zugriff auf die Chat-Korrespondenz haben nur bevollmächtigte Mitarbeiter des Verantwortlichen. Chat-Daten werden nicht für automatisierte Entscheidungsfindung oder Profiling verwendet.

18.9. Damit die betroffene Person in der für sie bequemsten Sprache kommunizieren kann, können Chat-Nachrichten automatisch mit dem KI-Dienst Claude der Anthropic PBC (USA) übersetzt werden. Zur Übersetzung wird nur der Text der jeweiligen Nachricht übermittelt (einschließlich personenbezogener Daten, sofern die betroffene Person diese in die Nachricht aufgenommen hat); Name, E-Mail-Adresse, Telefonnummer, technische Daten und angehängte Dateien werden nicht zur Übersetzung übermittelt. Anthropic handelt als Auftragsverarbeiter des Verantwortlichen und verwendet diese Daten gemäß seinen gewerblichen Nutzungsbedingungen nicht zum Training von KI-Modellen. Die Übermittlung in die USA erfolgt auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (von der Europäischen Kommission genehmigte Standardvertragsklauseln). Übersetzte Nachrichten sind im Chat mit dem Hinweis „Translated by Claude AI“ gekennzeichnet; der Originaltext wird zusammen mit der Übersetzung für die in Ziffer 18.7 genannte Dauer gespeichert. Die Übersetzung wird nicht für automatisierte Entscheidungsfindung verwendet.

19. Cybersicherheit und Systemwartung

19.1. Der Verantwortliche stellt sicher, dass die von ihm betriebenen Informations- und Kommunikationstechnologiesysteme gemäß den in der Republik Lettland geltenden Vorschriften zur Cybersicherheit geschützt werden, einschließlich der Anforderungen des Nationalen Cybersicherheitsgesetzes und der damit verbundenen Verordnungen des Ministerkabinetts, soweit diese Vorschriften auf den Verantwortlichen anwendbar sind.

19.2. Der Verantwortliche betreibt Server, Hosting-Umgebungen, Datenbanken, E-Mail-Infrastruktur und andere IT-Systeme in angemessenem Umfang, unter Berücksichtigung der technischen Möglichkeiten, des Risikoniveaus und der Mindestanforderungen an die Cybersicherheit sowie der vertraglich festgelegten Pflichten und Haftungsgrenzen der Kunden.

19.3. Der Verantwortliche setzt technische und organisatorische Maßnahmen zur Minderung von Cybersicherheitsrisiken um, z. B. Zugriffskontrolle, Authentifizierung, Sicherheitsupdates, Backups, Vorfallmanagement, Monitoring und weitere angemessene Schutzmaßnahmen, soweit objektiv möglich, unter Berücksichtigung des Risikoniveaus und der Bedeutung des jeweiligen Systems.

19.4. Der Verantwortliche haftet nicht für Cybersicherheitsvorfälle oder Systemstörungen, die auf Umständen beruhen, die er objektiv nicht kontrollieren kann (z. B. Handlungen Dritter, die Infrastrukturkonfiguration des Kunden selbst, Handlungen der Nutzer des Kunden, globale Cyberangriffe); dennoch ergreift der Verantwortliche angemessene Maßnahmen, um die Folgen zu mindern und die Leistungserbringung so weit wie praktisch möglich wiederherzustellen.

19.5. Erfüllt der Verantwortliche den Status eines Adressaten des Nationalen Cybersicherheitsgesetzes (z. B. als Anbieter eines wichtigen oder wesentlichen Dienstes), erfüllt er zusätzlich zu dieser Datenschutzerklärung die gesetzlich festgelegten Pflichten, einschließlich der Ernennung eines Cybersicherheitsbeauftragten, der Vorlage von Selbstbewertungsberichten, der Meldung von Vorfällen an die Aufsichtsbehörde und der Erfüllung weiterer gesetzlicher Anforderungen.

20. Automatisierte Entscheidungsfindung und Profiling

20.1. Der Verantwortliche führt keine automatisierte Entscheidungsfindung, einschließlich Profiling, durch, die rechtliche Wirkung entfaltet oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigt im Sinne von Art. 22 DSGVO.

20.2. Der Verantwortliche kann eingeschränkte Analysen und Auswertungen von Dienstnutzungsdaten durchführen (z. B. Analyse der Systemleistung, der Nutzung von Funktionen, von Zugriffsstatistiken), die nicht als Profiling mit erheblicher Auswirkung auf die betroffene Person gelten.

21. Schlussbestimmungen

21.1. Der Verantwortliche ist berechtigt, diese Datenschutzerklärung jederzeit einseitig zu ändern oder zu ergänzen, indem er die aktuelle Fassung auf seiner Website, im Kundenportal oder über einen anderen vom Verantwortlichen bestimmten Kommunikationskanal veröffentlicht.

21.2. Die aktuelle Fassung der Datenschutzerklärung tritt mit dem Tag ihrer Veröffentlichung in Kraft, sofern darin kein anderer Zeitpunkt des Inkrafttretens bestimmt ist.

21.3. Wird ein Teil dieser Datenschutzerklärung unwirksam, widersprüchlich oder unanwendbar, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht; in diesem Fall ersetzt der Verantwortliche die betreffende Bestimmung durch eine, die dem ursprünglichen Zweck und den anwendbaren Regelungen so weit wie möglich entspricht.

21.4. Diese Datenschutzerklärung gilt so lange, wie der Verantwortliche im Rahmen seiner Geschäftstätigkeit personenbezogene Daten verarbeitet; für einzelne Dienstleistungen, Verträge oder Projekte können spezifische Datenverarbeitungsbestimmungen erarbeitet werden, die zusammen mit dieser Erklärung gelten, soweit sie nicht im Widerspruch zur DSGVO und den Rechtsvorschriften der Republik Lettland stehen.

Fragen zur Verarbeitung personenbezogener Daten: [email protected].