1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website und dem Angebot von Operis CRM ist:
Max Papenberg
Bachelor Professional im Kraftfahrzeugtechniker-Handwerk
Kfz-Technikermeister
Dr.-Heinrich-Winter-Str. 17
64646 Heppenheim
Deutschland
Für Fragen zum Datenschutz kann der Verantwortliche über die vorstehenden Kontaktdaten kontaktiert werden.
2. Grundsätze
Personenbezogene Daten werden nur verarbeitet, soweit hierfür eine Rechtsgrundlage besteht, die Verarbeitung für die angegebenen Zwecke erforderlich ist oder eine gesetzliche Verpflichtung besteht.
Die Verarbeitung wird auf das erforderliche Maß beschränkt. Daten werden nicht länger gespeichert, als dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen.
3. Website und Serverbetrieb
Beim Aufruf der Website können technisch erforderliche Verbindungs- und Protokolldaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource und technische Informationen zum verwendeten Browser bzw. Endgerät.
Die Verarbeitung dient insbesondere der sicheren und stabilen Bereitstellung des Angebots sowie der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Unser Hosting-Anbieter Railway (Railway Corporation, San Francisco, USA) protokolliert jede Anfrage an die Anwendung mit vollständiger IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Diese Zugriffsprotokolle werden nach Angabe von Railway in den USA gespeichert, auch wenn die Anwendung selbst in der EU betrieben wird. Auch darüber hinaus verarbeitet Railway Daten nach seinem Vertrag hauptsächlich in den USA. Grundlage dieser Übermittlung ist das EU-U.S. Data Privacy Framework, unter dem Railway Corporation zertifiziert ist; daneben sieht der Vertrag von Railway EU-Standardvertragsklauseln vor.
Abrufen können wir die Zugriffsprotokolle für unseren Tarif 30 Tage lang. Gespeichert werden sie nach Angabe eines Railway-Mitarbeiters 90 Tage und danach automatisch gelöscht. Diese Dauer ist von Railway nicht vertraglich zugesichert, und abschalten, kürzen oder vorzeitig löschen lassen sich die Protokolle bei Railway nicht. Weist die Anwendung eine Anfrage wegen zu vieler Zugriffe ab, schreibt sie zusätzlich eine Zeile mit gekürzter IP-Adresse (die letzte Stelle einer IPv4-Adresse bzw. alles nach den ersten drei Blöcken einer IPv6-Adresse fällt weg) in ihr Anwendungsprotokoll bei Railway; für dieses gilt dasselbe.
4. Operis CRM – Kundendaten
Bei Nutzung von Operis CRM werden die vom jeweiligen Kunden eingegebenen Daten verarbeitet.
Dazu können Kunden-, Kontakt-, Fahrzeug-, Vorgangs-, Dokument-, Beleg-, Mitarbeiter- und Kommunikationsdaten gehören.
Für diese Datenverarbeitung handelt Max Papenberg gegenüber dem jeweiligen Kunden grundsätzlich als Auftragsverarbeiter. Die Einzelheiten ergeben sich aus dem gesonderten AVV.
Der jeweilige Kunde ist für die Rechtmäßigkeit der von ihm in Operis CRM vorgenommenen Verarbeitung und für die Erfüllung seiner Informationspflichten gegenüber seinen eigenen Kunden verantwortlich.
5. Hosting und Datenbank
Operis wird bei Railway betrieben. Die Produktionsdatenbank befindet sich in Amsterdam, Niederlande. Railway verarbeitet Daten jedoch auch in den USA, insbesondere die Zugriffsprotokolle; Einzelheiten und Grundlage in Abschnitt 3.
Im Rahmen des Hostings werden technische Daten und die vom Kunden gespeicherten Inhalte verarbeitet. Die Verarbeitung erfolgt zur Bereitstellung, Sicherung und Wartung des Dienstes.
6. Datensicherungen und Cloudflare R2
Zur Wiederherstellung und Absicherung des Systems werden Sicherungskopien erstellt. Hierfür wird Cloudflare R2 eingesetzt.
Die für Operis verwendeten Buckets sind mit EU-Jurisdiction konfiguriert. In den Sicherungen können personenbezogene Daten enthalten sein, die im Rahmen der regulären Systemnutzung gespeichert wurden.
7. E-Mail-Versand mit Brevo
Für den Versand von System- und Benachrichtigungs-E-Mails kann Brevo eingesetzt werden. Dabei können insbesondere E-Mail-Adressen, Namen und die für die jeweilige Nachricht erforderlichen Inhalte verarbeitet werden.
Die Verarbeitung erfolgt zur technischen Durchführung des E-Mail-Versands und auf Grundlage der jeweils einschlägigen Rechtsgrundlage.
8. Anthropic – KI-gestützte Funktionen
Wenn entsprechende Funktionen genutzt werden und für den Kunden freigeschaltet sind, kann Anthropic (Anthropic Ireland, Limited, Irland) zur automatischen Verarbeitung hochgeladener Fahrzeugscheine, für den Hilfe-Bot, zum Auslesen von Eingangsbelegen und Lieferantenrechnungen, für den Mail-Assistenten, für den Sprachassistenten JARVIS und für KI-Terminvorschläge eingesetzt werden. Welche Inhalte dabei übermittelt werden, beschreibt der AVV (Anlage 1 Nr. 4).
Bei der Fahrzeugschein-Auslesung werden die für die gewünschte Erkennung erforderlichen Inhalte an den Dienst übermittelt. Die Nutzung dieser Funktion erfolgt durch den Nutzer aktiv.
Die Verarbeitung erfolgt nur im Rahmen der jeweiligen Funktion und unter Beachtung der für internationale Datenübermittlungen geltenden gesetzlichen Anforderungen. Die Verarbeitung kann in den USA und weiteren Ländern erfolgen; Grundlage sind EU-Standardvertragsklauseln. Anthropic verwendet die Inhalte nicht zum Training von KI-Modellen.
8a. Microsoft Azure – Sprachausgabe und Spracherkennung
Nutzt ein Kunde den Sprachassistenten JARVIS mit Sprachausgabe oder Spracheingabe, werden die vorzulesenden Antworttexte bzw. die gesprochenen Eingaben an Microsoft Azure (Azure AI Speech) übermittelt. Die Verarbeitung erfolgt in der Azure-Region Deutschland West-Mitte. Texte für die Sprachausgabe werden von Microsoft nicht gespeichert. Für diese Datenverarbeitung handelt Max Papenberg gegenüber dem Kunden als Auftragsverarbeiter (siehe AVV).
9. GitHub und automatisierte Datensicherung
GitHub wird für Entwicklungs- und Automatisierungsprozesse eingesetzt. Insbesondere können GitHub Actions zur Durchführung automatisierter Abläufe und der nächtlichen Datenbanksicherung eingesetzt werden.
Im Rahmen des Backup-Prozesses kann ein vollständiger Datenbankdump mit personenbezogenen Daten die Infrastruktur des GitHub-Actions-Läufers durchlaufen. Die Verarbeitung erfolgt ausschließlich zum Zweck der automatisierten Sicherung und Wiederherstellung.
9a. Stripe – Zahlungsabwicklung
Für die Abrechnung der Operis-Nutzung (Abonnement) per Lastschrift oder Karte setzen wir Stripe ein (Stripe Payments Europe, Limited). Dabei werden insbesondere Name bzw. Firma, Anschrift, E-Mail-Adresse, Zahlungsdaten und Rechnungsbeträge des Kunden verarbeitet. Stripe übermittelt Daten an die Stripe, LLC in den USA; diese ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln. Für Betrugsprävention und gesetzliche Prüfpflichten handelt Stripe als eigenständiger Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
10. Kartendienst Google Maps
In den Branchenmodulen Gartenbau und Dienstleistung können Nutzer Einsatzorte auf einer Karte auswählen und anzeigen, in der Kartenansicht des Planers nach einer Adresse suchen und den Kartenpunkt eines Objekts aus dessen Adresse ermitteln lassen. In den Branchenmodulen Gartenbau und Dienstleistung lässt Operis außerdem den Kartenpunkt eines Kunden des Nutzers aus dessen Liefer- oder, falls diese fehlt, Rechnungsadresse ermitteln, wenn für diesen Kunden in den nächsten 30 Tagen ein Termin ohne Objekt geplant ist. Der Punkt dient dazu, solche Termine auf der Planer-Karte darzustellen. Dafür binden wir den Kartendienst Google Maps (Maps JavaScript API und Geocoding API) ein. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ("Google").
Die Karte und der Dienst zur Umrechnung von Adressen werden erst geladen, wenn ein Nutzer ein Objekt-Fenster öffnet, die Kartenansicht im Planer aufruft oder die Adresse eines Objekts im Objekt-Fenster oder im Kalkulationsblatt „Einsatzort“ speichert. Die Ermittlung eines Kundenpunkts erfolgt, wenn ein Kunde oder Termin gespeichert wird — auch durch einen anderen Benutzer desselben Betriebs — sowie automatisch, ohne weitere Eingabe, wenn ein Büro-Benutzer das Hauptfenster von Operis öffnet. Dabei übermittelt der Browser des Nutzers insbesondere die IP-Adresse, den angezeigten Kartenausschnitt und die Herkunft der Anfrage (app.operis-crm.de) an Google.
Nutzt ein Nutzer die Adresssuche, wird zusätzlich die eingegebene Adresse an Google übermittelt, damit Google sie in einen Kartenpunkt umrechnet. Die Adresse kann sich auf eine natürliche Person beziehen, etwa die Anschrift eines Kunden. Die bei der Adresssuche eingegebene Adresse und deren Ergebnis speichern wir nicht. Speichert ein Nutzer die Adresse eines Objekts und hat das Objekt keinen selbst gesetzten Kartenpunkt, übermittelt sein Browser die Objektadresse an Google, um daraus einen Kartenpunkt zu ermitteln. Den ermittelten Kartenpunkt (Breiten- und Längengrad) speichern wir dauerhaft beim Objekt und kennzeichnen ihn als automatisch ermittelt. Objektadressen können Anschriften von Privatpersonen sein. Bei der Ermittlung eines Kundenpunkts übermittelt der Browser des Nutzers die Liefer- bzw. Rechnungsadresse des Kunden (Straße, Hausnummer, Postleitzahl, Ort) an Google. Kundenadressen sind häufig Anschriften von Privatpersonen. Den ermittelten Punkt speichern wir dauerhaft beim Kunden und kennzeichnen ihn als automatisch ermittelt bzw. als ungefähr. Dieselbe Adresse wird nicht erneut übermittelt. Ändert sich die Adresse, wird der Punkt gelöscht und neu ermittelt; wird der Kunde anonymisiert, werden Punkt und zuletzt gesuchte Adresse gelöscht. Je Tag werden höchstens 200 solcher automatischen Ermittlungen über alle Nutzer von Operis durchgeführt. Weitere Inhalte aus Operis, etwa Namen, übermitteln wir nicht an Google.
Für KI-Terminvorschläge ermittelt der Operis-Server über Google (Routes API) Entfernungen und Fahrzeiten zwischen Einsatzorten. Dabei übermittelt er die Kartenpunkte (Breiten- und Längengrad) der beteiligten Orte an Google: des Einsatzorts des Auftrags, der Einsatzorte der am selben Tag davor und danach geplanten Termine sowie des Betriebssitzes. Anschriften, Namen und weitere Inhalte aus Operis werden dabei nicht übermittelt. Ein Kartenpunkt kann jedoch auf die Anschrift einer Person verweisen, etwa wenn der Einsatzort ein Privatgrundstück ist; er kann daher ein personenbezogenes Datum sein. Entfernungen und Fahrzeiten speichern wir nicht. Die Funktion ist je Kunde gesondert freizuschalten.
Google verarbeitet diese Daten als eigenständiger Verantwortlicher. Eine Übermittlung an die Google LLC in den USA ist nicht ausgeschlossen. Die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Einsatzorte genau zu erfassen, auch Objekte mit bekannter Adresse ohne manuelles Setzen eines Punktes übersichtlich auf einer Karte darzustellen und bei Kundenanfragen schnell erkennen zu können, ob in der Nähe bereits Termine geplant sind, sowie Termine bei Kunden, für die kein Objekt angelegt ist, anhand der Kundenadresse auf der Karte darzustellen.
Weitere Informationen: Datenschutzerklärung von Google (https://policies.google.com/privacy) und Zusätzliche Nutzungsbedingungen für Google Maps/Google Earth (https://maps.google.com/help/terms_maps/).
11. Cookies und ähnliche Technologien
Soweit die Website technisch erforderliche Cookies oder vergleichbare Technologien verwendet, dienen diese insbesondere der Bereitstellung und Sicherheit des Angebots.
Nicht technisch erforderliche Tracking- oder Marketing-Technologien werden nur eingesetzt, soweit hierfür die erforderlichen Einwilligungen vorliegen.
Auf den Seiten unter operis-crm.de speichert Ihr Browser Ihre Auswahl im Cookie-Hinweis im lokalen Speicher des Browsers (localStorage) unter dem Namen „operis-einwilligung“: die Auswahl, die Fassung des Hinweises und den Zeitpunkt. Das ist unbedingt erforderlich, damit eine Ablehnung beachtet wird und der Hinweis nicht auf jeder Seite erneut erscheint (§ 25 Abs. 2 Nr. 2 TDDDG). Dabei wird nichts an uns oder an Dritte übertragen. Der Eintrag bleibt bestehen, bis Sie ihn im Browser löschen.
Werbe- und Messtechnik setzen wir auf diesen Seiten nur mit Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Derzeit ist das allein der Meta-Pixel (Abschnitt 11b). In der Anwendung unter app.operis-crm.de wird er nicht eingesetzt.
Aktiviert ein Nutzer Push-Benachrichtigungen, sendet der Operis-Server kurze Benachrichtigungen (etwa „Neue Aufgabe“) über den Push-Dienst des Browser-Herstellers (z. B. Google, Mozilla oder Apple) an das Gerät. Der Inhalt wird verschlüsselt übertragen und kann vom Push-Dienst nicht gelesen werden; der Push-Dienst verarbeitet die Geräteadresse der Benachrichtigung und den Zeitpunkt. Wo die Push-Dienste diese Daten verarbeiten, veröffentlichen die Hersteller nicht; eine Verarbeitung außerhalb der EU ist nicht ausgeschlossen. Push-Benachrichtigungen lassen sich im Browser jederzeit abschalten.
11a. Anmeldung über das Anmeldeformular
Wenn Sie über unser Anmeldeformular einen Zugang anlegen, verarbeiten wir Firma, Name, E-Mail-Adresse, Bundesland und Branche, gegebenenfalls den Code eines Empfehlungslinks, Ihre Zustimmungen sowie die IP-Adresse, von der die Anmeldung abgeschickt wurde. Die IP-Adresse ist die, die bei unserem Hosting-Anbieter ankommt; eine vom Browser mitgeschickte Angabe übernehmen wir nicht.
Zweck ist die Anlage Ihres Zugangs und der Vertragsschluss: Wir schicken Ihnen einen Bestätigungslink per E-Mail und legen den Zugang an, sobald Sie ihn öffnen. Die IP-Adresse dient allein dem Schutz vor Missbrauch: Von derselben IP-Adresse und für dieselbe E-Mail-Adresse nehmen wir innerhalb von 24 Stunden nur eine begrenzte Zahl von Anmeldungen an.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragsschluss), für den Schutz vor Missbrauch Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, massenhafte oder belästigende Anmeldungen abzuwehren.
Die IP-Adresse wird vollständig gespeichert und gelöscht, sobald diese Begrenzung sie nicht mehr braucht: beim ersten täglichen Bereinigungslauf nach Ablauf von 24 Stunden, also spätestens rund 48 Stunden nach der Anmeldung. Wird eine Anmeldung nicht innerhalb von 7 Tagen bestätigt, löschen wir sie insgesamt bei der täglichen Bereinigung, also spätestens am achten Tag. Bestätigte Anmeldungen bleiben ohne IP-Adresse gespeichert, solange das Kundenkonto besteht, und werden mit ihm gelöscht.
Ihre Zustimmung zu AGB, Auftragsverarbeitungsvereinbarung und Unternehmer-Erklärung halten wir mit Zeitpunkt, Fassung und Prüfsumme des Textes sowie Name, E-Mail-Adresse und Benutzerkonto der zustimmenden Person fest, ohne IP-Adresse. Das gilt ebenso für eine Zustimmung zur Auftragsverarbeitungsvereinbarung in der Anwendung. Dieser Nachweis belegt den Vertragsschluss; eine datenschutzrechtliche Einwilligung ist er nicht.
Den Nachweis bewahren wir während der Vertragslaufzeit auf und nach Vertragsende bis zum Ablauf von drei Jahren ab dem Ende des Jahres, in dem der Vertrag endet. Diese Frist ist nicht gesetzlich vorgeschrieben, sondern unsere eigene Aufbewahrungsregel; sie orientiert sich an der regelmäßigen Verjährungsfrist für vertragliche Ansprüche. Danach wird er bei der täglichen Bereinigung automatisch gelöscht, auch wenn das Kundenkonto schon vorher gelöscht wurde. Wird der Nachweis für einen Rechtsstreit gebraucht, löschen wir ihn erst nach dessen Abschluss. Rechtsgrundlage für die Aufbewahrung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Vertragsschluss bei Ansprüchen belegen zu können.
Zu den technischen Zugriffsprotokollen unseres Hosting-Anbieters siehe Abschnitt 3.
11b. Meta-Pixel (Werbemessung)
Wir schalten Werbeanzeigen auf Facebook und Instagram. Um zu messen, ob eine Anzeige zu einer Demo-Anfrage oder einer Anmeldung führt, und um die Auslieferung unserer Anzeigen daran auszurichten, setzen wir auf den Seiten unter operis-crm.de den Meta-Pixel ein. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“).
Der Meta-Pixel wird nur geladen, wenn Sie im Cookie-Hinweis „Alle akzeptieren“ wählen. Vorher und bei „Nur notwendige“ stellt Ihr Browser keine Verbindung zu Meta her. Nach der Einwilligung lädt Ihr Browser ein Skript von Meta (connect.facebook.net) und meldet Meta folgende Ereignisse: den Aufruf einer Seite, das erfolgreiche Absenden des Formulars für eine Demo-Anfrage und das erfolgreiche Absenden des Anmeldeformulars. Die Inhalte dieser Formulare (etwa Name oder E-Mail-Adresse) übermitteln wir nicht an Meta.
Dabei verarbeitet Meta insbesondere Ihre IP-Adresse, Angaben zu Browser und Endgerät, die aufgerufene Adresse und die Seite, von der Sie kamen, den Zeitpunkt, das Ereignis sowie eine Kennung, die im Cookie „_fbp“ auf Ihrem Gerät gespeichert wird. Kommen Sie über eine Anzeige, speichert Meta zusätzlich deren Kennung im Cookie „_fbc“. Beide Cookies haben eine Laufzeit von 90 Tagen. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta die Ereignisse Ihrem Konto zuordnen. Wir selbst erhalten von Meta nur zusammengefasste Auswertungen und können daraus keine einzelnen Personen erkennen.
Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu ist der Nachtrag für gemeinsam Verantwortliche von Meta (www.facebook.com/legal/controller_addendum); danach ist Meta zuständig für die Erfüllung der Betroffenenrechte zu den bei Meta gespeicherten Daten. Für die weitere Verarbeitung ist Meta allein verantwortlich; Meta kann die Daten auch für eigene Zwecke verwenden, etwa für Werbung. Näheres steht in der Datenschutzrichtlinie von Meta (www.facebook.com/privacy/policy).
Meta übermittelt Daten auch an die Meta Platforms, Inc. in den USA. Grundlage dieser Übermittlung ist das EU-U.S. Data Privacy Framework, unter dem Meta Platforms, Inc. zertifiziert ist; daneben verwendet Meta EU-Standardvertragsklauseln.
Rechtsgrundlage ist Ihre Einwilligung: für das Speichern der Cookies und den Zugriff auf Ihr Endgerät § 25 Abs. 1 TDDDG, für die Verarbeitung der Daten Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig; alle Seiten und Formulare funktionieren ohne sie unverändert. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Verweis „Cookie-Einstellungen“ unten auf den Seiten und dort „Nur notwendige“. Dann werden die Cookies „_fbp“ und „_fbc“ gelöscht, und der Meta-Pixel wird nicht mehr geladen.
12. Kontaktaufnahme
Wenn Sie per E-Mail oder auf anderem Weg Kontakt aufnehmen, werden die von Ihnen übermittelten Angaben zur Bearbeitung Ihrer Anfrage verarbeitet.
Rechtsgrundlage ist je nach Inhalt der Anfrage Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
12a. Kunden werben Kunden – Prüfung der Empfehlungen
Meldet sich ein Betrieb über den Empfehlungslink eines bestehenden Kunden an, prüfen wir bei der Bestätigung der Anmeldung, ob Anzeichen dafür vorliegen, dass Werbender und Geworbener demselben Unternehmen zuzurechnen sind. Dazu vergleichen wir den Teil der E-Mail-Adresse nach dem „@“ (die Domain) mit den Domains der E-Mail-Adressen in den Benutzerkonten des werbenden Kunden, wobei Adressen allgemeiner E-Mail-Anbieter (etwa Gmail, Web.de, GMX, T-Online) nicht verglichen werden; den angegebenen Firmennamen mit den Namen bestehender Kundenkonten; und ob sich beide Betriebe gegenseitig geworben haben. Die IP-Adresse wird für diese Prüfung nicht verwendet.
Als Ergebnis speichern wir nur, welcher dieser Vergleiche angeschlagen hat, nicht die Domain selbst, sowie gegebenenfalls unsere Entscheidung über die Prämie mit Datum und Begründung. Ein Anzeichen führt nicht automatisch zu einer Ablehnung; ob die Prämie dann gewährt wird, entscheiden wir im Einzelfall selbst.
Das Ergebnis der Prüfung wird mit dem Kundenkonto des geworbenen Betriebs gelöscht. Wie lange die Anmeldung selbst gespeichert bleibt, steht in Abschnitt 11a.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Missbrauch des Empfehlungsprogramms zu verhindern. Die Teilnahmebedingungen stehen unter Kunden werben Kunden.
13. Rechtsgrundlagen
Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag bzw. vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) und lit. f (berechtigte Interessen) DSGVO zur Anwendung. Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 TDDDG (siehe Abschnitte 11 und 11b).
14. Empfänger und Unterauftragsverarbeiter
Im Rahmen des Angebots können technische Dienstleister als Auftragsverarbeiter bzw.
Unterauftragsverarbeiter eingesetzt werden. Hierzu gehören derzeit Railway, Cloudflare R2, Brevo, Anthropic, GitHub und Microsoft Azure.
Google Ireland Limited, Irland – Kartendienst Google Maps (eigenständiger Verantwortlicher, kein Auftragsverarbeiter)
Stripe Payments Europe, Limited – Zahlungsabwicklung für die Operis-Nutzung (siehe Abschnitt 9a)
Meta Platforms Ireland Limited, Irland – Meta-Pixel auf operis-crm.de, nur mit Einwilligung (gemeinsam Verantwortlicher für Erhebung und Übermittlung, kein Auftragsverarbeiter; Übermittlung auch an Meta Platforms, Inc., USA; siehe Abschnitt 11b)
Daneben übermittelt Operis Daten an Empfänger, die der Kunde selbst auswählt und anbindet, etwa an seinen Teile- oder Großhändler bei Bestellungen und an den Anbieter seines eigenen E-Mail-Postfachs, wenn er ein Postfach anbindet. Diese Empfänger sind keine Unterauftragsverarbeiter von Operis; über die Übermittlung entscheidet der Kunde.
Die jeweiligen Zwecke und Verarbeitungsbereiche sind im AVV beschrieben. Soweit gesetzlich erforderlich, werden geeignete Verträge und Garantien für die Datenverarbeitung eingesetzt.
15. Speicherdauer
Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist.
Geschäfts- und Belegdaten können aufgrund gesetzlicher Aufbewahrungspflichten insbesondere nach Handels- und Steuerrecht länger gespeichert werden. Solche Daten werden nach Ablauf der maßgeblichen Fristen gelöscht, soweit keine andere gesetzliche Grundlage eine weitere Speicherung verlangt.
16. Rechte der betroffenen Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen bestimmte Verarbeitungen.
Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
Zur Ausübung der Rechte genügt eine Mitteilung an den Verantwortlichen unter den in Abschnitt 1 genannten Kontaktdaten.
17. Beschwerderecht
Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung ihrer personenbezogenen Daten zu beschweren.
18. Datensicherheit
Es werden angemessene technische und organisatorische Maßnahmen eingesetzt, um personenbezogene Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Die Maßnahmen werden unter Berücksichtigung des Stands der Technik und des Risikos regelmäßig weiterentwickelt.
19. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung kann angepasst werden, wenn sich die technischen, rechtlichen oder organisatorischen Rahmenbedingungen ändern.
Stand: 10. November 2026.