Datenschutzerklärung

Finanzwerk UG (haftungsbeschränkt), Nürnberger Straße 58, 85055 Ingolstadt, Deutschland
E-Mail: info@deinfinanzwerk.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.

Bei LeadDoc sind zwei Verarbeitungssituationen strikt zu unterscheiden:

• Als Verantwortlicher verarbeiten wir die Daten unserer eigenen Kundinnen und Kunden, also der Unternehmen, die ein LeadDoc-Konto anlegen, sowie deren Admins und Vertriebler (Registrierung, Abrechnung, Support).
• Als Auftragsverarbeiter nach Art. 28 DSGVO verarbeiten wir die Daten, die unsere Kunden über LeadDoc von ihren eigenen Neukunden erheben - also Formularinhalte, hochgeladene Dokumente und Unterschriften. Für diese Daten ist das jeweilige Unternehmen verantwortlich, nicht wir. Wir verarbeiten sie ausschließlich weisungsgebunden.

Betroffene Personen, die ein Formular ausfüllen, wenden sich für Auskunft und Löschung bitte an das Unternehmen, das ihnen den Formular-Link geschickt hat. Wir leiten entsprechende Anfragen weiter.

Als Verantwortlicher:

• Konto- und Profildaten: Vor- und Nachname, E-Mail-Adresse, Rolle, zugehörige Organisation
• Optionale Firmenangaben: Firmenname, Anschrift, Postleitzahl, Ort, Telefonnummer
• Organisationsdaten: Name, Logo, Markenfarbe, optionale eigene SMTP-Zugangsdaten
• Vertrags- und Zahlungsdaten: Tarif, Abo-Status, Laufzeit, Stripe-Kundennummer
• Server-Logdaten: IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode

Als Auftragsverarbeiter im Auftrag unserer Kunden:

• E-Mail-Adresse des eingeladenen Neukunden und der zugehörige Zugangscode
• Alle Inhalte, die im Formular eingetragen werden - je nach Formularaufbau z. B. Name, Anschrift, Geburtsdatum oder finanzielle Angaben
• Hochgeladene Dateien: PDFs, Bilder und Ausweiskopien sowie digital geleistete Unterschriften
• Bearbeitungsstand: Zeitpunkte von Speicherung, Einreichung, Freigabe und Rückfragen

Welche konkreten Angaben abgefragt werden, bestimmt allein das Unternehmen, das das Formular erstellt. Werden dabei besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erhoben, ist das Unternehmen für die erforderliche Rechtsgrundlage verantwortlich.

• Bereitstellung des Nutzerkontos und der Plattform - Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Abrechnung und Rechnungsstellung - Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten)
• Versand von System-E-Mails wie Einladungen, Eingangs- und Freigabebestätigungen - Art. 6 Abs. 1 lit. b DSGVO
• Schutz vor Missbrauch, Brute-Force-Versuchen und Spam sowie Fehleranalyse - Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb)
• Verarbeitung der Formulardaten von Neukunden - Art. 28 DSGVO im Auftrag des jeweiligen Unternehmens

Wir setzen die folgenden Dienstleister ein. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Google Ireland Limited / Google Cloud (Firebase) - Authentifizierung, Datenbank, Dateispeicher und Hosting. Die Datenbank (Firestore) liegt in der Europäischen Union (Mehrfachregion eur3, Belgien und Niederlande). Die Anwendung selbst läuft in Belgien (europe-west1). Hochgeladene Dateien liegen in der Europäischen Union (Belgien, europe-west1).
• Stripe Payments Europe, Ltd. (Irland) - Abwicklung von Abonnements und Zahlungen. Zahlungsdaten wie Kartennummern werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht.
• MailerSend / Mailer Lite, UAB (Litauen) - Versand der System-E-Mails. Übermittelt werden Empfängeradresse, Betreff und Inhalt der jeweiligen Nachricht.

Hinterlegt ein Unternehmen in den Einstellungen einen eigenen SMTP-Server, werden die E-Mails an dessen Kunden über diesen Server versendet und nicht über MailerSend. Die Zugangsdaten speichern wir verschlüsselt (AES-256-GCM).

Datenbank, Dateispeicher und Anwendung laufen in der Europäischen Union. Google und Stripe sind jedoch Konzerne mit Mutterunternehmen in den USA, sodass ein Zugriff aus den USA nicht vollständig ausgeschlossen werden kann. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Google LLC und Stripe, Inc. sind dort zertifiziert) sowie ergänzend auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

• Konto- und Organisationsdaten: bis zur Löschung des Kontos durch den Kunden
• Formular-Links für Neukunden: automatischer Ablauf drei Monate nach Erstellung
• Formularinhalte und hochgeladene Dokumente: bis zur Löschung durch das verantwortliche Unternehmen, spätestens mit Löschung des Kontos
• Rechnungs- und Buchungsdaten: zehn Jahre nach § 147 AO und § 257 HGB
• Server-Logs: in der Regel 30 Tage

Löscht ein Admin das Konto, entfernen wir alle Nutzerkonten der Organisation, sämtliche Formulare und Neukundendaten sowie alle hochgeladenen Dateien und kündigen ein laufendes Abo bei Stripe. Ausgenommen sind Daten, die wir gesetzlich aufbewahren müssen.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist deshalb nicht erforderlich. Technisch notwendig sind:

• Firebase Authentication speichert die Anmeldesitzung im lokalen Speicher des Browsers, damit angemeldete Nutzer nicht bei jedem Seitenaufruf erneut ihr Passwort eingeben müssen.
• Beim Ausfüllen eines Formulars wird der eingegebene Zugangscode im lokalen Speicher des Browsers abgelegt, damit er beim Weiterarbeiten nicht erneut eingegeben werden muss.
• Stripe setzt während des Bezahlvorgangs eigene, für die Betrugsprävention erforderliche Cookies.

Diese Daten verlassen den Browser nicht und können jederzeit über die Browsereinstellungen gelöscht werden.

• Übertragung ausschließlich über TLS
• Stammdaten der Nutzer werden verschlüsselt in der Datenbank abgelegt (AES-256-GCM)
• Zugriff auf Formulare nur mit Link und sechsstelligem Zugangscode; nach acht Fehlversuchen wird der Zugang für 15 Minuten gesperrt
• Rollentrennung: Vertriebler sehen ausschließlich die von ihnen selbst angelegten Neukunden
• Datenbank- und Speicherregeln verweigern jeden direkten Zugriff aus dem Browser auf fremde Datensätze

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach. Unabhängig davon können Sie sich an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden (Art. 77 DSGVO).

Die Angabe von Name und E-Mail-Adresse ist für den Vertragsschluss erforderlich. Ohne diese Angaben kann kein Konto angelegt werden. Welche Angaben in einem Neukunden-Formular verpflichtend sind, legt das jeweilige Unternehmen fest.

Unternehmen, die LeadDoc einsetzen, benötigen mit uns einen Vertrag zur Auftragsverarbeitung. Die Bedingungen finden Sie unter Auftragsverarbeitung.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.