dotmec dotmec

Rechtliches

Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, wie wir personenbezogene Daten verarbeiten – beim Besuch dieser Website sowie bei der Kommunikation und Zusammenarbeit mit uns, etwa als Interessent, Kunde, Projektbeteiligter, Geschäftspartner oder Bewerber.

Verantwortlich im Sinne der DSGVO und sonstiger datenschutzrechtlicher Bestimmungen ist:

dotmec GmbH
vertreten durch den Geschäftsführer Benjamin Mecheels
Willy-Brandt-Allee 31a
23554 Lübeck
Deutschland

E-Mail: contact@dotmec.com
Telefon: +49 451 40608674
Website: dotmec.com

Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte (Ziff. 12 und 13) erreichen Sie uns unter diesen Kontaktdaten.

2. Hosting, Server-Logfiles und Verschlüsselung

Diese Website wird bei der webhostone GmbH, Rheinvogtstraße 17, 79713 Bad Säckingen, Deutschland, gehostet. Die Server befinden sich in Rechenzentren in Deutschland.

Beim Aufruf unserer Website verarbeitet der Webserver automatisch Informationen, die Ihr Browser übermittelt, und speichert sie in sogenannten Server-Logfiles:

  • IP-Adresse des anfragenden Geräts (in den Logfiles nur gekürzt und damit anonymisiert gespeichert)
  • Datum und Uhrzeit der Anfrage
  • aufgerufene Seite bzw. Datei, HTTP-Statuscode und übertragene Datenmenge
  • Referrer-URL (die zuvor besuchte Seite)
  • Browsertyp und -version sowie verwendetes Betriebssystem

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technisch fehlerfreien Auslieferung, der Stabilität und der Sicherheit unserer Website, insbesondere in der Abwehr und Aufklärung von Angriffen. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Mit dem Hoster haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Er verarbeitet die Daten nur nach unseren Weisungen. Die Logfiles werden nach spätestens 10 Tagen automatisch gelöscht.

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte – etwa Ihrer Anfragen über das Kontaktformular – eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile Ihres Browsers.

3. Schriftarten (lokale Einbindung)

Diese Website nutzt zur einheitlichen Darstellung die Schriftarten Montserrat und Numans. Beide sind lokal auf unserem eigenen Webserver installiert; eine Verbindung zu Servern von Drittanbietern (etwa Google Fonts) findet beim Aufruf unserer Website nicht statt.

Die Nutzung dieser Schriftarten erfolgt im Interesse einer einheitlichen und ansprechenden Darstellung unseres Online-Angebots. Dies stellt ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO dar.

4. Technisch notwendige Cookies und lokale Speicherung

Ohne Ihre Einwilligung speichern wir auf Ihrem Endgerät ausschließlich die folgenden technisch notwendigen Informationen:

  • Cookie „lang“ (Sprachauswahl): wird nur gesetzt, wenn Sie über den Sprachumschalter aktiv eine Sprache (Deutsch oder Englisch) wählen, und speichert diese Auswahl, damit Sie beim nächsten Aufruf unserer Startseite direkt die gewählte Sprachversion erhalten. Speicherdauer: 12 Monate.
  • Local-Storage-Einträge „stcm.…“ (Einwilligungsstatus): speichern, ob Sie im Cookie-Banner eine Auswahl getroffen und welchen Kategorien Sie zugestimmt haben, damit Ihre Entscheidung auf allen Seiten beachtet wird und das Banner nicht erneut erscheint. Die Einträge bleiben bestehen, bis Sie Ihre Auswahl ändern oder die Website-Daten in Ihrem Browser löschen.

Rechtsgrundlage für das Speichern und Auslesen dieser Informationen ist § 25 Abs. 2 Nr. 2 TDDDG, da es unbedingt erforderlich ist, um Ihnen die Website in der von Ihnen gewählten Sprache bereitzustellen und Ihre Einwilligungsentscheidung umzusetzen. Die weitere Verarbeitung beruht auf unserem berechtigten Interesse an einer nutzerfreundlichen Website (Art. 6 Abs. 1 lit. f DSGVO) bzw. – für den Einwilligungsstatus – auf Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 und 3 DSGVO. Ein nutzerübergreifendes Tracking findet nicht statt.

Rufen Sie unsere Startseite ohne Sprachangabe auf und ist noch kein Cookie „lang“ gesetzt, wählen wir die Sprache anhand der Spracheinstellung Ihres Browsers; diese Angabe wird nicht gespeichert.

5. Einwilligungsverwaltung, Google Tag Manager und Google Analytics 4

a. Consent-Management (Silktide Consent Manager)

Für die Verwaltung Ihrer Einwilligungen nutzen wir den Silktide Consent Manager. Das Tool ist auf unserem eigenen Webserver installiert; es werden keine Daten an den Hersteller übertragen. Es fragt Ihre Einwilligung für nicht notwendige Dienste ab, setzt Ihre Entscheidung technisch um und ermöglicht Ihnen den jederzeitigen Widerruf. Ihre Auswahl wird wie in Ziff. 4 beschrieben lokal in Ihrem Browser gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 und 3 DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder Ihre Auswahl anpassen, indem Sie auf das Cookie-Symbol unten links auf unserer Website klicken. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

b. Google Tag Manager

Wir nutzen den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Der Tag Manager ist ein Werkzeug, mit dem wir Website-Tags über eine Oberfläche verwalten; wir setzen darüber ausschließlich Google Analytics 4 ein (Buchst. c).

Schon das Laden des Tag-Manager-Skripts überträgt Daten wie Ihre IP-Adresse an Server von Google. Wir haben den Google Tag Manager daher so eingebunden, dass das Skript erst geladen wird, nachdem Sie im Cookie-Banner der Kategorie „Analyse“ zugestimmt haben. Ohne Ihre Einwilligung wird keine Verbindung zu Google-Servern aufgebaut. Ergänzend setzen wir den Google Consent Mode v2 ein: Alle Einwilligungssignale stehen standardmäßig auf „abgelehnt“ (denied); die werbebezogenen Signale (ad_storage, ad_user_data, ad_personalization) bleiben dauerhaft abgelehnt.

Rechtsgrundlage für den Zugriff auf Ihr Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Datenverarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Zu Übermittlungen in die USA siehe Buchst. c.

c. Google Analytics 4

Soweit Sie in die Kategorie „Analyse“ eingewilligt haben, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited. Google Analytics 4 verwendet Cookies und ähnliche Technologien, um die Nutzung unserer Website auszuwerten – etwa aufgerufene Seiten, Verweildauer, Herkunft des Aufrufs (Referrer), ungefährer Standort (Land, Region, Stadt), Gerätetyp, Browser und Betriebssystem sowie Interaktionen wie Scrollen, Klicks auf externe Links oder Downloads. Dazu speichert Google Analytics in den Cookies „_ga“ und „_ga_D5BJB2Q05Q“ eine zufällig erzeugte, pseudonyme Kennung (Speicherdauer jeweils bis zu 2 Jahre).

Ihre IP-Adresse verwendet Google Analytics 4 nur, um den ungefähren Standort zu ermitteln; sie wird dabei weder protokolliert noch gespeichert. Wir erhalten ausschließlich zusammengefasste, pseudonyme Auswertungen und führen diese nicht mit anderen Daten über Sie zusammen. Werbefunktionen wie Google Signals oder die Verknüpfung mit Werbekonten nutzen wir nicht; die Freigabe der Daten an Google für eigene Zwecke (Datenfreigabeeinstellungen) haben wir deaktiviert. Nutzer- und ereignisbezogene Daten werden nach spätestens 14 Monaten automatisch gelöscht.

Google verarbeitet diese Daten in unserem Auftrag auf Grundlage der Auftragsverarbeitungsbedingungen von Google (Google Ads Data Processing Terms). Dabei kann es zu einer Übermittlung an die Google LLC in die USA kommen. Diese stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Google LLC zertifiziert ist; ergänzend sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) Bestandteil der Auftragsverarbeitungsbedingungen.

Rechtsgrundlage für das Setzen und Auslesen der Cookies ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über das Cookie-Symbol unten links widerrufen. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

6. Kontaktaufnahme und Bewerbungen

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu bearbeiten und Anschlussfragen zu beantworten. Beim Kontaktformular sind das Ihr Name, Ihre E-Mail-Adresse, Ihre Nachricht sowie – freiwillig – Unternehmen, Telefonnummer und Thema; zusätzlich werden Sprache und Zeitpunkt der Anfrage übermittelt. Die mit * gekennzeichneten Pflichtfelder benötigen wir, um Ihre Anfrage bearbeiten und Ihnen antworten zu können; ohne diese Angaben ist eine Kontaktaufnahme über das Formular nicht möglich.

Anfragen über das Kontaktformular werden verschlüsselt an unseren Webserver übertragen und von dort über den Mailserver unseres Hosters (Ziff. 2) als E-Mail an unser Postfach in Microsoft Exchange Online (Ziff. 10) zugestellt. Kann eine Nachricht ausnahmsweise nicht zugestellt werden, wird sie vorübergehend in einem geschützten, nicht öffentlich abrufbaren Bereich unseres Webservers gespeichert, damit wir sie manuell bearbeiten können, und danach gelöscht. Zum Schutz vor Spam verwenden wir ein unsichtbares Formularfeld und eine Zeitprüfung; dabei werden keine zusätzlichen Daten erhoben und keine Dienste Dritter eingebunden.

a. Allgemeine Anfragen

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag zusammenhängt, dessen Vertragspartei Sie sind oder werden möchten, oder der Durchführung vorvertraglicher Maßnahmen dient. In allen übrigen Fällen – insbesondere, wenn Sie uns als Beschäftigte oder Beschäftigter eines Unternehmens kontaktieren – beruht die Verarbeitung auf unserem berechtigten Interesse an der wirksamen Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist, also wenn sich aus den Umständen ergibt, dass der betreffende Sachverhalt abschließend geklärt ist. Führt Ihre Anfrage zu einem Vertrag oder handelt es sich um einen Geschäftsbrief, bewahren wir die Korrespondenz im Rahmen der gesetzlichen Aufbewahrungsfristen auf (Ziff. 11).

b. Bewerbungen

Sie können sich über das Kontaktformular (Thema „Bewerbung“) oder per E-Mail bei uns bewerben. Wir verarbeiten die von Ihnen übermittelten Daten – etwa Kontaktdaten, Angaben zu Qualifikation und Werdegang, Zeugnisse und sonstige Unterlagen – ausschließlich zur Durchführung des Bewerbungsverfahrens. Bewerbungsunterlagen speichern wir in unserer Microsoft-365-Umgebung (Ziff. 10); Zugriff haben nur die am Auswahlverfahren beteiligten Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen im Hinblick auf ein Beschäftigungsverhältnis). Übermitteln Sie uns freiwillig besondere Kategorien personenbezogener Daten (z. B. Angaben zu einer Schwerbehinderung), verarbeiten wir diese nur, soweit dies für das Bewerbungsverfahren erforderlich ist (Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG). Die Bereitstellung Ihrer Daten ist nicht vorgeschrieben; ohne sie können wir Ihre Bewerbung jedoch nicht berücksichtigen.

Kommt ein Beschäftigungsverhältnis zustande, übernehmen wir die erforderlichen Daten in die Personalakte. Im Falle einer Absage löschen wir Ihre Bewerbungsdaten spätestens 6 Monate nach Abschluss des Bewerbungsverfahrens. Die Aufbewahrung bis dahin dient der Verteidigung gegen etwaige Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (vgl. § 15 Abs. 4 AGG, § 61b ArbGG); Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO.

Eine längere Speicherung – etwa um Sie bei künftigen Stellen zu berücksichtigen – erfolgt nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

7. Kartendarstellung (OpenStreetMap)

Wir binden auf unserer Kontaktseite eine Karte des Dienstes OpenStreetMap ein. Betreiberin ist die OpenStreetMap Foundation (OSMF), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich.

Wenn Sie die Kontaktseite aufrufen, baut Ihr Browser eine direkte Verbindung zu den Servern der OSMF auf. Dabei werden Ihre IP-Adresse sowie technische Informationen über Ihren Browser und Ihr Gerät an die OSMF übertragen. Wir haben die Karte so eingebunden, dass Ihr Browser keine Informationen über die aufrufende Seite (Referrer) übermittelt; die Karte setzt keine Cookies und nutzt keinen lokalen Speicher in Ihrem Browser. Die OSMF nutzt die Daten zur Auslieferung der Karte und zur Gewährleistung der Sicherheit ihrer Dienste. Für die Auslieferung setzt sie ein weltweites Netz von Cache-Servern (Content Delivery Network) ein, das derzeit von der Fastly, Inc., USA, bereitgestellt wird; Anfragen aus Deutschland werden dabei in der Regel von Servern in der EU beantwortet.

Die Nutzung von OpenStreetMap erfolgt im Interesse einer ansprechenden Darstellung unseres Online-Angebots und einer leichten Auffindbarkeit unseres Standorts. Dies stellt ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO dar.

Die Übermittlung in das Vereinigte Königreich erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission nach Art. 45 DSGVO (Durchführungsbeschluss (EU) 2021/1772, verlängert durch Durchführungsbeschluss (EU) 2025/2574). Soweit Daten dabei in die USA gelangen, ist die Fastly, Inc. unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Weitere Informationen finden Sie in der Datenschutzerklärung der OSMF: https://osmfoundation.org/wiki/Privacy_Policy.

8. Links zu Social-Media-Profilen (LinkedIn, Xing, YouTube)

Auf unserer Website befinden sich im Footer Verlinkungen zu unseren Unternehmensprofilen auf den sozialen Netzwerken LinkedIn, Xing und YouTube. Bei diesen Verlinkungen handelt es sich um statische Hyperlinks und ausdrücklich nicht um Social-Media-Plugins.

Beim bloßen Besuch unserer Website werden daher keinerlei personenbezogene Daten an die Betreiber der jeweiligen sozialen Netzwerke übertragen. Erst wenn Sie aktiv auf das Icon des jeweiligen Netzwerks klicken, werden Sie auf die Website des jeweiligen Anbieters weitergeleitet. Es gelten dann die Datenschutzbestimmungen der jeweiligen Betreiber:

9. Kunden, Interessenten, Geschäftspartner und Projektbeteiligte

a. Zwecke und Datenkategorien

Zur Anbahnung und Durchführung unserer Beratungs-, Implementierungs-, Trainings- und Betriebsleistungen verarbeiten wir personenbezogene Daten unserer Kunden, Interessenten, Geschäftspartner und Lieferanten sowie der dort tätigen Ansprechpartner und Projektbeteiligten. Dazu gehören insbesondere:

  • Stamm- und Kontaktdaten (z. B. Name, Unternehmen, Funktion, geschäftliche E-Mail-Adresse und Telefonnummer),
  • Kommunikationsdaten (z. B. E-Mails, Chatnachrichten, Besprechungstermine und -notizen),
  • Projekt- und Vertragsdaten, soweit sie personenbezogene Daten enthalten (z. B. Angebote, Verträge, Anforderungen, Konzepte, Protokolle, Dokumentationen, Arbeitsergebnisse und Leistungsnachweise),
  • Abrechnungsdaten (z. B. Rechnungsanschrift, Zahlungsinformationen) sowie
  • bei Trainings: Name und Kontaktdaten der Teilnehmenden, gebuchte Kurse und Teilnahmenachweise.

b. Herkunft der Daten

Wir erheben diese Daten in der Regel bei Ihnen selbst. Andernfalls erhalten wir sie von Ihrem Arbeitgeber bzw. unserem Auftraggeber, der Sie uns als Ansprechpartner, Projektbeteiligten oder Teilnehmenden benennt, oder aus öffentlich zugänglichen Quellen (z. B. Unternehmenswebsites, Handelsregister).

c. Rechtsgrundlagen

  • Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind (z. B. als Einzelunternehmer oder Freiberufler) oder die Verarbeitung vorvertraglichen Maßnahmen auf Ihre Anfrage dient;
  • Art. 6 Abs. 1 lit. f DSGVO, soweit wir Daten von Ansprechpartnern und Projektbeteiligten unserer Kunden und Geschäftspartner verarbeiten – unser berechtigtes Interesse liegt in der Anbahnung, Durchführung und Dokumentation der Geschäftsbeziehung und der Projektzusammenarbeit;
  • Art. 6 Abs. 1 lit. c DSGVO, soweit wir gesetzlichen Aufbewahrungs- und Nachweispflichten unterliegen, insbesondere nach Handels- und Steuerrecht.

d. Verarbeitung im Auftrag unserer Kunden

Verarbeiten wir in einem Projekt personenbezogene Daten im Auftrag unseres Kunden – etwa Daten von dessen Beschäftigten oder Kunden bei einer Migration, Implementierung oder im Betrieb –, ist unser Kunde Verantwortlicher im Sinne der DSGVO. Wir handeln dann ausschließlich nach seinen Weisungen auf Grundlage einer Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO; Informationen zu diesen Verarbeitungen erhalten Betroffene vom jeweiligen Verantwortlichen. Arbeiten wir in der Microsoft-365- oder Azure-Umgebung (Tenant bzw. Subscription) unseres Kunden, gelten dessen Verträge mit Microsoft und dessen Datenschutzhinweise.

e. Trainings und offizielle Microsoft-Kurse (MOC)

Für die praktischen Übungen in offiziellen Microsoft-Kursen (Microsoft Official Courseware, MOC) nutzen wir Übungsumgebungen (Labs) von Lab-Anbietern, die Microsoft dafür autorisiert hat. Damit Sie Zugang erhalten, übermitteln wir dem jeweiligen Anbieter die dafür erforderlichen Angaben – in der Regel Ihren Namen, Ihre E-Mail-Adresse sowie Kurs und Termin –, oder Sie registrieren sich mit einem von uns bereitgestellten Zugangscode selbst. Der Anbieter verarbeitet außerdem Nutzungsdaten der Übungsumgebung (z. B. IP-Adresse, Anmeldezeitpunkte, Bearbeitungsstand der Übungen). Welcher Lab-Anbieter eingesetzt wird, teilen wir Ihnen spätestens mit der Kurseinladung mit.

Die Lab-Anbieter verarbeiten diese Daten in unserem Auftrag auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO); soweit Sie beim ersten Aufruf eines Labs Nutzungsbedingungen des Anbieters akzeptieren, gelten ergänzend dessen Datenschutzbestimmungen. Einige Anbieter haben ihren Sitz oder betreiben die Übungsumgebungen außerhalb der EU, insbesondere in den USA. Übermittlungen dorthin erfolgen auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO, etwa des EU-US Data Privacy Framework bei zertifizierten Anbietern) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es gelten die Rechtsgrundlagen nach Buchst. c. Die Lab-Zugänge sind befristet; danach werden die Übungsumgebungen gelöscht. Bitte geben Sie in den Übungsumgebungen keine echten personenbezogenen oder vertraulichen Daten ein – dort wird ausschließlich mit Testkonten und Testdaten gearbeitet.

Die Kursinhalte stellt Microsoft über Microsoft Learn bereit. Für Lernpfade, Übungstests und Zertifizierungsprüfungen nutzen Sie ein eigenes Microsoft-Learn-Profil; die Prüfungen legen Sie bei einem von Microsoft beauftragten Prüfungsdienstleister ab (derzeit Pearson VUE). Hierfür sind Microsoft bzw. der Prüfungsdienstleister eigenständig verantwortlich; es gelten deren Datenschutzbestimmungen.

Zum Abschluss offizieller Microsoft-Kurse erhalten Sie einen Link zu einer Kursbewertung über die Plattform „Metrics That Matter“ (MTM) der Explorance Inc., Montréal, Kanada. Microsoft misst damit die Qualität der Kurse seiner Trainingspartner und verpflichtet diese, allen Teilnehmenden den Link bereitzustellen – etwa per E-Mail, im Kurs oder auf der Kursseite des Lab-Anbieters. Die Teilnahme ist freiwillig. Verarbeitet werden Ihre Antworten sowie technische Zugriffsdaten (z. B. IP-Adresse, Browser- und Geräteinformationen). Verantwortlich für die Befragung ist Microsoft; Explorance verarbeitet die Daten als Dienstleister und nutzt dafür nach eigenen Angaben Rechenzentren von Microsoft Azure bzw. eigene Rechenzentren in Kanada, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Wir erhalten Zugang zu den Ergebnissen unserer Kurse und nutzen sie, um unsere Trainings zu verbessern. Wird der Link auf der Kursseite eines Lab-Anbieters angezeigt, kann uns der Anbieter außerdem anzeigen, ob Sie den Link aufgerufen haben; das hilft uns, die Vorgaben von Microsoft zur Befragung einzuhalten. Rechtsgrundlage für diese Verarbeitungen durch uns ist Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von Explorance.

f. Speicherdauer

Wir speichern diese Daten für die Dauer der Geschäftsbeziehung bzw. des Projekts. Danach löschen wir sie, sobald sie nicht mehr erforderlich sind, es sei denn, gesetzliche Aufbewahrungspflichten (Ziff. 11) stehen entgegen oder wir benötigen sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Im Auftrag verarbeitete Daten geben wir nach Projektende nach Wahl des Kunden zurück oder löschen sie, wie in der Vereinbarung zur Auftragsverarbeitung festgelegt.

10. Einsatz von Microsoft 365 und Microsoft Azure

a. Anbieter und eingesetzte Dienste

Für unsere Kommunikation, Zusammenarbeit und Dokumentenablage – einschließlich der Ablage von Kunden- und Projektdokumenten – nutzen wir Cloud-Dienste von Microsoft. Anbieter und Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Muttergesellschaft: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA). Wir setzen insbesondere ein:

  • Microsoft 365: Exchange Online mit Exchange Online Protection (E-Mail, Kalender, Kontakte, Spam- und Schadsoftwarefilter), Microsoft Teams (Chat, Audio- und Videokonferenzen, Dateiaustausch), SharePoint Online und OneDrive for Business (Ablage, gemeinsame Bearbeitung und Freigabe von Dokumenten), Microsoft 365 Copilot (KI-gestützte Assistenzfunktionen) sowie Viva Connections (internes Informationsportal);
  • Microsoft Azure: Speicherdienste (z. B. Azure Storage) für die Ablage, Archivierung und Sicherung von Kunden- und Projektdokumenten sowie – je nach Projekt – Entwicklungs- und Testumgebungen;
  • Microsoft Entra ID: Verwaltung von Benutzerkonten und Zugriffsrechten, bei der Zusammenarbeit mit externen Personen auch von Gastzugängen.

b. Verarbeitete Daten und Zwecke

Verarbeitet werden – je nach Dienst – Inhaltsdaten (z. B. E-Mails, Dokumente, Chatnachrichten, Besprechungsinhalte, Eingaben in und Ergebnisse von Copilot), Kontakt- und Kontodaten (z. B. Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Gastkonto) sowie Nutzungs-, Protokoll- und Diagnosedaten (z. B. IP-Adresse, Geräte- und Browserinformationen, Anmelde- und Zugriffszeitpunkte). Zwecke sind die interne und externe Kommunikation, die Organisation von Terminen und Besprechungen, die Erstellung, Ablage und gemeinsame Bearbeitung von Dokumenten, die Durchführung von Projekten sowie die Gewährleistung der IT-Sicherheit. Diese Hinweise gelten auch für externe Kommunikationspartner, etwa wenn Sie uns E-Mails senden, an einer Teams-Besprechung teilnehmen oder Dokumente mit uns austauschen. Auch Anfragen über unser Kontaktformular gehen in einem Exchange-Online-Postfach ein.

c. Rechtsgrundlagen

Soweit die Verarbeitung der Erfüllung eines Vertrags mit Ihnen oder vorvertraglichen Maßnahmen dient, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Im Übrigen stützen wir uns auf unser berechtigtes Interesse an einer effizienten, sicheren und ortsunabhängigen Kommunikation und Zusammenarbeit sowie an der Gewährleistung der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO) und auf gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Zu Aufzeichnungen und Transkriptionen siehe Buchst. g.

d. Auftragsverarbeitung durch Microsoft

Microsoft verarbeitet die Daten als unser Auftragsverarbeiter auf Grundlage des Microsoft Products and Services Data Protection Addendum (DPA), das die Anforderungen des Art. 28 DSGVO umsetzt. Microsoft darf die Daten danach nur nach unseren Weisungen verarbeiten, ist zur Vertraulichkeit und zu angemessenen technischen und organisatorischen Schutzmaßnahmen verpflichtet und setzt Unterauftragsverarbeiter nur unter den vertraglich festgelegten Voraussetzungen ein. In begrenztem Umfang ist Microsoft eigenständiger Verantwortlicher: für eigene Geschäftszwecke im Zusammenhang mit der Bereitstellung der Dienste (Abrechnung und Kontoverwaltung, Vergütungsberechnung, interne Berichterstattung und Geschäftsplanung, Finanzberichterstattung) – hierfür erstellt Microsoft laut DPA ausschließlich aggregierte, nicht personenbezogene Statistiken aus pseudonymisierten Daten, ohne auf Inhalte zuzugreifen –, für Websuchen von Copilot (Buchst. h) sowie für optionale verbundene Funktionen der Office-Anwendungen (z. B. Online-Bildersuche), soweit diese genutzt werden. Insoweit gilt die Datenschutzerklärung von Microsoft.

Soweit wir Daten im Auftrag unserer Kunden in unserer eigenen Microsoft-Umgebung verarbeiten (Ziff. 9 Buchst. d), setzen wir Microsoft als weiteren Auftragsverarbeiter ein; dies regeln wir in der jeweiligen Vereinbarung zur Auftragsverarbeitung mit unserem Kunden.

e. Speicherorte (EU Data Boundary)

Als Datenstandort unseres Microsoft-365-Tenants ist Deutschland festgelegt. Nach den Produktbedingungen von Microsoft werden insbesondere Postfachinhalte (Exchange Online), Dateien in SharePoint Online und OneDrive for Business, Teams-Chatnachrichten, Besprechungsaufzeichnungen sowie gespeicherte Copilot-Interaktionen im Ruhezustand (Data at Rest) in Rechenzentren in Deutschland gespeichert. Für weitere Dienste, etwa Exchange Online Protection und Viva Connections, gilt die Speicherung innerhalb der EU bzw. EFTA. Azure-Ressourcen, in denen wir Kunden- und Projektdokumente ablegen, betreiben wir in Rechenzentrumsregionen in Deutschland; die ruhenden Daten – einschließlich georedundanter Kopien – verbleiben in Deutschland.

Darüber hinaus hat sich Microsoft im Rahmen der EU Data Boundary verpflichtet, Kundendaten und personenbezogene Daten der erfassten Microsoft-365- und Azure-Dienste grundsätzlich innerhalb der EU und der EFTA-Staaten zu speichern und zu verarbeiten.

f. Übermittlungen in Drittländer

Trotz dieser Zusagen kann ein Zugriff aus Drittländern – insbesondere durch die Microsoft Corporation in den USA – nicht vollständig ausgeschlossen werden, etwa beim Fernzugriff durch Microsoft-Techniker in Support- und Wartungsfällen, bei Sicherheitsdiensten, die zur Erkennung von Schadsoftware, Phishing und kompromittierten Konten weltweit aggregierte Sicherheitsdaten auswerten, oder bei global betriebenen Diensten (von Microsoft dokumentierte begrenzte Übermittlungen). Solche Übermittlungen stützen sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Microsoft Ireland und die Microsoft Corporation für alle Übermittlungen aus der EU vereinbart haben. Microsoft hat sich zudem vertraglich verpflichtet, behördliche Herausgabeverlangen nach Möglichkeit an den Kunden zu verweisen, rechtswidrige Anordnungen anzufechten und den Kunden – soweit rechtlich zulässig – zu informieren.

g. Microsoft Teams: Besprechungen mit externen Teilnehmenden

Nehmen Sie an einer Teams-Besprechung mit uns teil, verarbeiten wir – je nach Nutzung – Ihren Anzeigenamen und ggf. Ihre E-Mail-Adresse, Audio- und Videodaten, Bildschirmfreigaben, Chatnachrichten und geteilte Dateien sowie Metadaten der Besprechung (z. B. Zeitpunkt, Dauer, Teilnehmende). Kamera und Mikrofon können Sie jederzeit selbst deaktivieren. Aufzeichnungen, Transkriptionen und KI-gestützte Besprechungszusammenfassungen (Copilot) nutzen wir nur nach vorheriger Ankündigung und mit Einwilligung der Teilnehmenden (Art. 6 Abs. 1 lit. a DSGVO); eine laufende Aufzeichnung oder Transkription zeigt Teams allen Teilnehmenden an.

h. Microsoft 365 Copilot

Microsoft 365 Copilot unterstützt unsere Mitarbeitenden, etwa beim Zusammenfassen von E-Mails und Dokumenten oder beim Erstellen von Entwürfen. Copilot greift dabei nur auf Inhalte zu, für die die jeweilige Person ohnehin berechtigt ist, und verarbeitet Eingaben und Ergebnisse innerhalb der Microsoft-365-Dienste nach Maßgabe des DPA. Die Verarbeitung durch die KI-Modelle erfolgt innerhalb der EU Data Boundary; die Möglichkeit, sie bei Lastspitzen in Rechenzentren in den USA, Kanada oder Australien zu verlagern („Flex Routing“), haben wir deaktiviert. KI-Modelle von Drittanbietern, die außerhalb der EU Data Boundary betrieben werden (z. B. Modelle von Anthropic), sind bei uns nicht freigeschaltet. Microsoft verwendet Eingaben, Antworten und die über Microsoft Graph abgerufenen Daten nicht zum Training der zugrunde liegenden KI-Modelle. KI-Ergebnisse werden von unseren Mitarbeitenden geprüft; Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten, trifft Copilot nicht.

Soweit Copilot für eine Antwort die Websuche nutzt, werden daraus abgeleitete Suchbegriffe ohne Benutzer- und Tenant-Kennung an den Suchdienst Microsoft Bing übermittelt. Für diese Suchanfragen ist Microsoft eigenständig verantwortlich; sie unterliegen nicht dem DPA und nicht der EU Data Boundary.

i. Sicherheit

Zum Schutz der Daten setzen wir unter anderem folgende Maßnahmen ein: Verschlüsselung bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (bei Azure Storage u. a. AES-256), Anmeldung ausschließlich mit personalisierten Konten und Multi-Faktor-Authentifizierung, rollenbasierte Zugriffsrechte nach dem Erforderlichkeitsprinzip, widerrufliche Freigaben für externe Personen sowie die Protokollierung sicherheitsrelevanter Ereignisse.

j. Diagnosedaten

Microsoft erhebt bei der Nutzung der Microsoft-365-Anwendungen Diagnosedaten, um die Software sicher und aktuell zu halten und Fehler zu beheben. Wir haben die Übermittlung auf die erforderlichen Diagnosedaten beschränkt; optionale Diagnosedaten werden nicht übermittelt.

k. Speicherdauer und Löschung

Wir löschen Daten in Microsoft 365 und Microsoft Azure, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind und weder gesetzliche Aufbewahrungspflichten (Ziff. 11) noch vertragliche Vereinbarungen mit unseren Kunden entgegenstehen. Gelöschte Inhalte können technisch bedingt noch für eine begrenzte Wiederherstellungsfrist vorgehalten werden (z. B. bis zu 93 Tage im Papierkorb von SharePoint und OneDrive), bevor sie endgültig entfernt werden. Nach Beendigung unseres Vertrags mit Microsoft hält Microsoft die gespeicherten Daten laut DPA noch 90 Tage zur Mitnahme vor und löscht sie anschließend innerhalb weiterer 90 Tage.

11. Empfänger, Speicherdauer und weitere Pflichtangaben

a. Empfänger

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf Ihre Daten, die ihn zur Erfüllung der genannten Zwecke benötigen. Externe Empfänger sind – je nach Verarbeitung – unsere Auftragsverarbeiter (insbesondere unser Hoster und Microsoft, bei Trainings die Lab-Anbieter sowie, bei erteilter Einwilligung, Google; siehe Ziff. 2, 5, 9 und 10), mit Zustimmung unserer Kunden eingesetzte Unterauftragnehmer in Projekten, unser Steuerberater, Kreditinstitute zur Zahlungsabwicklung sowie Behörden und Gerichte, soweit wir hierzu gesetzlich verpflichtet sind. Einen Verkauf oder eine Weitergabe Ihrer Daten zu Werbezwecken gibt es nicht.

b. Speicherdauer und gesetzliche Aufbewahrungsfristen

Soweit in dieser Datenschutzerklärung keine speziellere Speicherdauer genannt ist, verarbeiten wir personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Unterliegen Daten gesetzlichen Aufbewahrungspflichten, schränken wir ihre Verarbeitung ein und löschen sie nach Ablauf der Frist. Maßgeblich sind insbesondere § 257 HGB und § 147 AO: Handels- und Geschäftsbriefe 6 Jahre, Buchungsbelege (z. B. Rechnungen) 8 Jahre, Handelsbücher, Jahresabschlüsse und Inventare 10 Jahre, jeweils beginnend mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

c. Pflicht zur Bereitstellung

Soweit nicht anders angegeben, sind Sie weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die jeweils als erforderlich gekennzeichneten Angaben können wir Ihre Anfrage oder Bewerbung jedoch nicht bearbeiten bzw. einen Vertrag nicht abschließen oder durchführen.

d. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

12. Ihre Rechte als betroffene Person

Als von der Datenverarbeitung betroffene Person stehen Ihnen nach der DSGVO folgende Rechte gegenüber dem Verantwortlichen zu:

  • Recht auf Auskunft (Art. 15 DSGVO): Sie können Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten sowie eine Kopie dieser Daten verlangen.
  • Recht auf Berichtigung (Art. 16 DSGVO): Sie können die unverzügliche Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
  • Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit die Verarbeitung nicht zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen, etwa wenn Sie die Richtigkeit der Daten bestreiten, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen, Sie diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen brauchen, oder wenn Sie Widerspruch eingelegt haben und noch nicht feststeht, ob unsere Gründe überwiegen.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übermitteln zu lassen.
  • Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
  • Widerspruchsrecht (Art. 21 DSGVO): siehe Ziff. 13.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Ziff. 1 genannten Kontaktdaten. Wir antworten grundsätzlich innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für unseren Unternehmenssitz zuständige Aufsichtsbehörde ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
Postadresse: Postfach 71 16, 24171 Kiel
Telefon: +49 (0) 431 988-1200
E-Mail: mail@datenschutzzentrum.de
Website: https://www.datenschutzzentrum.de

13. Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Ihre personenbezogenen Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben, können Sie dieser Verarbeitung jederzeit widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diese Zwecke.

Der Widerspruch ist formfrei möglich, zum Beispiel per E-Mail an contact@dotmec.com.

14. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand September 2026. Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher beziehungsweise behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Fassung kann jederzeit auf unserer Website unter https://dotmec.com/de/privacy abgerufen und ausgedruckt werden.