Datenschutzerklärung

1. Verantwortlicher

Gosign GmbH
Hallerstraße 8
20146 Hamburg

E-Mail: web26 [at] gosign.de

Der Nutzung dieser Kontaktdaten für Werbung widersprechen wir, siehe Widerspruch gegen Werbung im Impressum.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Weniger als 20 Beschäftigte sind ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst (§ 38 Abs. 1 BDSG). Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte Adresse.

2. Überblick

Diese Website setzt keine Cookies. Weder First-Party noch Third-Party. Es werden keine client-seitigen Tracker Dritter geladen - kein Google Analytics, kein Matomo, kein Facebook Pixel, kein LinkedIn Insight Tag und kein Google Tag Manager. Zur Reichweiten- und Conversion-Messung setzen wir ein eigenes, cookieloses und server-seitiges System ein (siehe Abschnitt 4).

Es ist kein Einwilligungsbanner erforderlich: Auf Ihrem Gerät werden ausschließlich Angaben gespeichert, die für die von Ihnen angeforderte Funktion unbedingt erforderlich sind - dafür sieht § 25 Abs. 2 Nr. 2 TDDDG die Ausnahme von der Einwilligungspflicht vor. Welche das im Einzelnen sind, steht im Abschnitt „Was auf Ihrem Gerät gespeichert wird".

3. Hosting und Content Delivery

Diese Website wird über Cloudflare Pages bereitgestellt. Cloudflare fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein Data Processing Addendum (DPA) mit Standard Contractual Clauses (SCCs) liegt vor.

Bei der Auslieferung von Webseiten verarbeitet Cloudflare technisch bedingt die IP-Adresse des anfragenden Geräts. Diese Verarbeitung kann je nach Dienst auch außerhalb der EU stattfinden und ist über das EU-US Data Privacy Framework sowie DPA/SCCs abgesichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und performanten Bereitstellung der Website).

4. Reichweiten- und Conversion-Messung

Zur Analyse der Websitenutzung und der Wirksamkeit unserer Werbung setzen wir ein eigenes, cookieloses Mess-System ein, das von der Gosign GmbH betrieben wird. Es werden keine Cookies gesetzt und keine client-seitigen Tracker Dritter geladen (kein Google Analytics, kein Google Tag Manager, kein Facebook Pixel, kein LinkedIn Insight Tag). Die Messung erfolgt server-seitig und ohne dauerhafte Wiedererkennung Ihres Geräts:

• Die Aufrufe einer Sitzung verbindet eine Zufallskennung, die im Browser erzeugt wird und beim Schließen des Tabs verfällt; eine Kennung, die den Tab überdauert, verwendet die Messung nicht. Die IP-Adresse speichert das Mess-System nicht.
• Erhoben werden Seitenaufrufe, Scrolltiefe, Verweildauer, Klicks sowie Formular- und Conversion-Ereignisse in pseudonymer Form; nach 30 Tagen bleiben davon nur zusammengefasste Auswertungen. Ausgenommen sind die E-Mail-Adresse, die Ihr Browser beim Absenden einer Anfrage mitschickt, und der Verlauf, der mit einer Anfrage zu uns kommt (siehe „Messung und Anfragen im Detail“ am Ende dieser Erklärung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung und der Wirksamkeit unserer Werbung).

Conversion-Messung für Werbekampagnen (Google Ads)

Wenn Sie über eine Google-Ads-Anzeige auf unsere Website gelangen, enthält die aufgerufene Adresse einen Klick-Parameter (gclid). Schließen Sie anschließend eine Aktion ab (z. B. eine Formularanfrage), übermitteln wir server-seitig ein Conversion-Ereignis an Google, um die Wirksamkeit unserer Kampagnen zu messen. Dabei werden der Klick-Parameter, ein kryptografisch gehashter (nicht im Klartext lesbarer) Wert Ihrer E-Mail-Adresse bzw. Telefonnummer sowie der Conversion-Wert übertragen. Es wird kein Cookie und kein Werbe-Tag in Ihrem Browser gesetzt. Empfänger ist Google Ireland Ltd. bzw. Google LLC (USA); die Übermittlung ist über den Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert (siehe Abschnitt „Verträge zur Auftragsverarbeitung").

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung und Optimierung unserer Werbung).

Sie können dieser Messung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO). Eine formlose Nachricht an die unter „Verantwortlicher" genannte Adresse genügt; wir stellen die Verarbeitung dann ein.

5. Kontaktformular und E-Mail-Kontakt

Wenn Sie uns per Kontaktformular oder E-Mail Anfragen zukommen lassen, werden Ihre Angaben (z. B. Name, E-Mail-Adresse, Nachrichtentext) zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns verarbeitet. Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen über das Kontaktformular und die übrigen Formulare dieser Website übernehmen wir außerdem in unser eigenes System für Anfragen und Kundenbetreuung. Um welche Formulare es geht, welche Angaben dort gespeichert werden, wozu und wie lange, steht am Ende dieser Erklärung unter „Messung und Anfragen im Detail“.

Zu einer Anfrage über das Kontaktformular übermitteln wir uns außerdem einige grobe Angaben, die Ihr Browser ohnehin mitsendet oder die Cloudflare aus Ihrer IP-Adresse ableitet: den ungefähren Ort auf Stadtebene, die Zeitzone, Browser mit Hauptversion und Betriebssystem, die Browsersprache und den Namen des Netzbetreibers, dem Ihr Internetanschluss zugeordnet ist (bei Privatanschlüssen also Ihr Internetanbieter, bei Unternehmen mit eigenem Netz das Unternehmen). Sie helfen uns zu erkennen, wer uns schreibt, Spam zuverlässig auszusortieren und Ihre Anfrage passend zu beantworten, etwa in Ihrer Sprache und zu einer Uhrzeit, die für Sie passt. Zur Beantwortung selbst sind sie nicht erforderlich; Rechtsgrundlage ist deshalb unser berechtigtes Interesse, Anfragen einzuordnen und Spam auszusortieren (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben stehen in der Nachricht an unser internes Postfach und werden dort drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, bewahren wir die Korrespondenz so lange auf, wie es die gesetzlichen Aufbewahrungsfristen verlangen.

Kommt eine Anfrage, Anforderung, Anmeldung oder Bestellung über ein Formular dieser Website von einer E-Mail-Adresse, deren Domain nicht zu einem Freemail-Anbieter gehört, den unser System kennt (etwa Gmail, GMX, Web.de, Outlook oder T-Online), ruft der Server, der sie annimmt, die öffentliche Website unter dieser Domain ab, meist die Website Ihres Unternehmens, bei einer eigenen privaten Domain Ihre eigene. Von der Startseite liest er den Namen des Unternehmens und die Beschreibung, mit der es sich vorstellt. Dort sucht er Ihren Namen, wenn Sie ihn angegeben haben, sonst Ihre E-Mail-Adresse, und steht unmittelbar dahinter Ihre Funktion im Unternehmen, übernimmt er sie so, wie sie dort öffentlich steht. Findet er auf der Startseite keine Funktion und hat Ihre E-Mail-Adresse die Form eines Namens (etwa vorname.nachname@), sucht er nacheinander auf bis zu 5 weiteren Seiten, auf denen Unternehmen ihr Team vorstellen, etwa /team oder /ueber-uns. Bei einer allgemeinen Adresse wie info@ bleibt es bei der Startseite. Auf jede Seite wartet er höchstens zwei Sekunden. Fehlen diese Angaben noch, wenn Sie später eine Anmeldung bestätigen oder ein Dokument abrufen, ruft er die Website dann erneut ab. Quelle der Angaben ist damit eine öffentlich zugängliche Website (Art. 14 Abs. 2 lit. f DSGVO). Was er findet, nennen wir in der Meldung an unser Team zu Ihrer Anfrage und in der abschließenden Nachricht zum Ende Ihres Besuchs. Rechtsgrundlage ist unser berechtigtes Interesse zu wissen, was Ihr Unternehmen tut und welche Funktion Sie dort haben, um Ihre Anfrage passend zu beantworten und ein Gespräch mit Ihnen vorzubereiten (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen (Art. 21 DSGVO), etwa per E-Mail an web26 [at] gosign.de; dann löschen wir die gefundenen Angaben aus den Nachrichten zu Ihrer Anfrage. In unser eigenes System für Anfragen und Kundenbetreuung übernehmen wir diese Angaben nicht. Bis zur abschließenden Nachricht liegen sie mit den übrigen Angaben zu Ihrer Anfrage im Zwischenspeicher bei Cloudflare, höchstens 24 Stunden nach dem letzten Eintrag; kann eine Nachricht nicht sofort zugestellt werden, bis sieben Tage nach dem letzten Zustellversuch (siehe „Technische Abwicklung über Cloudflare (befristete Zwischenspeicherung)“). In unserem internen Postfach werden sie mit den Nachrichten drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, gilt für die Korrespondenz die gesetzliche Aufbewahrung.

Beziehen Sie mit derselben E-Mail-Adresse unser AI Governance Briefing, vermerken wir in der Nachricht an unser internes Postfach, seit wann, und welche E-Books Sie mit der Anmeldung angefordert haben. Unbestätigte und abbestellte Anmeldungen ziehen wir dafür nicht heran. Rechtsgrundlage ist unser berechtigtes Interesse, Ihre Anfrage einzuordnen und Ihnen nichts erneut zu schicken, was Sie schon haben (Art. 6 Abs. 1 lit. f DSGVO). Der Vermerk wird mit der Nachricht aufbewahrt und mit ihr gelöscht (siehe „Speicherdauer“). Sie können dem jederzeit widersprechen (Art. 21 DSGVO).

Darüber hinaus nutzen wir Ihre IP-Adresse nur, um das Formular vor Missbrauch zu schützen: Wir begrenzen damit, wie oft von einem Anschluss aus innerhalb einer Minute abgesendet werden kann, und prüfen, ob das Absenden von derselben IP-Adresse kommt wie der Aufruf der Seite. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars (Art. 6 Abs. 1 lit. f DSGVO). Dafür verarbeiten wir die Adresse nur flüchtig im Arbeitsspeicher; in der Nachricht an uns steht sie nicht, und wir legen sie auch sonst nicht ab, abgesehen von den Server-Logfiles, die Cloudflare technisch bedingt führt (Abschnitt 13).

Weist das Formular eine Absendung zum Schutz vor Missbrauch ab, etwa als Spam, halten wir das in einer Protokollzeile fest, um zu erkennen, ob derselbe Anschluss wiederkommt. Ihre IP-Adresse steht darin nicht, sondern ein Streuwert, den wir mit einem geheimen Schlüssel aus ihr berechnen. Der Streuwert ist ein Pseudonym und kein anonymes Datum: Wer unseren Schlüssel kennt, kann ihn einer IP-Adresse wieder zuordnen. Gespeichert wird die Zeile nicht; wir sehen sie nur, wenn wir das Protokoll in diesem Moment mitverfolgen. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars (Art. 6 Abs. 1 lit. f DSGVO).

Technische Abwicklung über Cloudflare (befristete Zwischenspeicherung)

Um eine sichere und schnelle Übermittlung Ihrer Formulardaten zu gewährleisten, nutzen wir für das Routing die Technologie "Cloudflare Workers" des Anbieters Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare handelt dabei als unser Auftragsverarbeiter. Ihre im Formular eingegebenen Daten werden im Arbeitsspeicher verarbeitet und als fertige E-Mail über eine verschlüsselte Verbindung an unseren Versandserver übergeben. Wir betreiben ihn auf einem Server, den wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Finnland gemietet haben; Hetzner handelt dabei als unser Auftragsverarbeiter. Der Versandserver speichert die E-Mail nicht, sondern übergibt sie sofort über eine verschlüsselte Verbindung an Google Workspace, das sie zustellt (siehe unten). Zwischengespeichert werden Ihre Angaben nur in den fünf folgenden Fällen.

Für die Mail zum Ende Ihres Besuchs, die an unser internes Postfach geht und nachträgt, welche Seiten Sie nach dem Absenden noch aufgerufen haben, liegen Ihre Angaben bis zu 24 Stunden im Speicher von Cloudflare (Workers KV, ein Schlüssel-Wert-Speicher). Sie werden mit dem Versand dieser Mail gelöscht, spätestens aber automatisch nach 24 Stunden.

Nimmt unser Versandserver oder unser E-Mail-Dienst eine Nachricht nicht sofort an, bleibt sie im selben Speicher, und wir versuchen innerhalb von etwa anderthalb Stunden bis zu dreimal, sie zuzustellen. Mit der Zustellung wird sie gelöscht, andernfalls automatisch sieben Tage nach dem letzten Versuch.

Damit niemand über unser Formular Ihre Adresse wiederholt anschreiben lassen kann, speichern wir dort außerdem für höchstens 36 Stunden einen aus Ihrer E-Mail-Adresse berechneten Prüfwert, nicht die Adresse selbst. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Damit Automaten unser Formular nicht mit derselben Adresse in kurzer Folge füllen, zählen wir außerdem, wie oft eine E-Mail-Adresse es binnen 10 Minuten absendet. Dafür speichern wir einen aus der Adresse berechneten Prüfwert, nicht die Adresse selbst, zusammen mit der Zahl der Absendungen. Der Zähler läuft 10 Minuten ab der ersten Absendung; danach wird der Eintrag automatisch gelöscht. Kommen von einer Adresse in dieser Zeit mehr als zwei Absendungen, werten wir das als Hinweis auf einen Automaten, nie aber für sich allein als Grund, eine Anfrage abzuweisen. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Geht die Bestätigung Ihrer Anfrage unterwegs verloren, etwa in einem Funkloch, und Sie senden erneut, soll die Anfrage trotzdem nur einmal bei uns ankommen. Dafür trägt jede Absendung eine zufällige Kennung, die Ihr Browser erzeugt. Wir speichern 15 Minuten lang einen Prüfwert aus dieser Kennung und Ihrer E-Mail-Adresse, nicht die Adresse selbst, zusammen mit der Vorgangsnummer Ihrer Anfrage. Danach wird der Eintrag automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse, jede Anfrage nur einmal zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO).

Workers KV legt diese Angaben in zentralen Rechenzentren von Cloudflare ab und hält beim Abruf Kopien in weiteren Rechenzentren vor; eine Speicherung außerhalb der EU, auch in den USA, ist dabei möglich (Absicherung siehe „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“).

E-Mail-Hosting über Google Workspace (EU-Hosting)

Für den Empfang, die Speicherung und den Versand unserer E-Mails nutzen wir den Dienst "Google Workspace" des Anbieters Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Wir haben Google Workspace so konfiguriert, dass unsere E-Mail-Daten physisch auf Servern innerhalb der Europäischen Union (EU) gespeichert werden.

Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer

Wir haben mit Cloudflare, mit Google und mit der Hetzner Online GmbH jeweils einen Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen. Hetzner verarbeitet die Daten in der EU. Da Cloudflare und Google Teil von US-Konzernen sind, kann bei Wartungsarbeiten, Routing (Cloudflare) oder Support-Fällen eine Übermittlung in die USA nicht ausgeschlossen werden, bei Cloudflare insbesondere durch die Zwischenspeicherung in Workers KV (siehe oben). Für diese Fälle stützen sich die Anbieter auf den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) sowie auf Standardvertragsklauseln, um ein angemessenes Datenschutzniveau zu gewährleisten.

Speicherdauer

Die von Ihnen im Kontaktformular eingegebenen Daten verbleiben in unserem E-Mail-Postfach und werden drei Jahre nach dem letzten Kontakt gelöscht. Unseren Schriftwechsel zu Ihrer Anfrage, also unsere Antworten samt zitierter Anfrage und Ihre Antworten darauf, löschen wir am Ende des dritten Kalenderjahres nach dem letzten Kontakt; bis dahin bewahren wir ihn auf, um Ansprüche aus dem Kontakt belegen oder abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO), und Sie können dem widersprechen (Art. 21 DSGVO). Letzter Kontakt ist Ihre letzte Nachricht oder Anfrage an uns; unsere Nachfragen verlängern die Fristen nicht. Kommt ein Auftrag zustande, bewahren wir Anfrage und Schriftwechsel als Handels- und Geschäftsbriefe bis zum Ende des sechsten Kalenderjahres nach dem letzten Kontakt auf, Rechnungen bis zum Ende des achten Kalenderjahres nach ihrer Ausstellung (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO). Auf Ihre Aufforderung hin löschen wir früher; es bleibt dann nur, was wir nach einem Auftrag aufbewahren müssen oder in einem Streit brauchen (Art. 17 Abs. 3 lit. b und e DSGVO).

6. Newsletter

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen das AI Governance Briefing zu schicken. Es kommt ohne festen Takt, wenn sich etwas Wesentliches ändert, etwa durch ein Gesetz, eine Leitlinie oder ein Urteil, und bringt nur Fachinhalte: was sich geändert hat und was dann zu tun ist.

Fordern Sie ein E-Book an und setzen dabei den Haken für das AI Governance Briefing, abonnieren Sie damit zugleich unseren Newsletter. Updates und Korrekturen zum angeforderten E-Book sind Inhalt dieses Briefings: Mit dem Haken erhalten Sie sie bis zur Abmeldung, ohne den Haken schicken wir Ihnen keine.

Schreiben Sie uns später über das Kontaktformular mit derselben E-Mail-Adresse, vermerken wir in der Nachricht an unser internes Postfach, seit wann Sie das Briefing beziehen und welche E-Books Sie mit der Anmeldung angefordert haben (Abschnitt 5). Nach der Abmeldung unterbleibt das.

Double-Opt-In-Verfahren

Die Anmeldung erfolgt über ein Double-Opt-In-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungsmail mit einem einmaligen Link. Erst nach Klick auf diesen Link wird Ihre Adresse in den Verteiler aufgenommen. Der Bestätigungslink ist 7 Tage gültig; bestätigen Sie nicht, löschen wir die Anmeldung danach automatisch.

An unser Team gehen Nachrichten, wenn Sie ein E-Book anfordern und wenn Sie Ihre Anmeldung bestätigen. Sie enthalten Ihre E-Mail-Adresse, den Verlauf Ihrer Sitzung (welche Seiten Sie besucht haben), das Land und dieselben groben Angaben wie eine Anfrage über das Kontaktformular (Abschnitt 5): den ungefähren Ort, die Zeitzone, Browser und Betriebssystem, die Browsersprache und den Netzbetreiber. Gehört die Domain Ihrer E-Mail-Adresse nicht zu einem Freemail-Anbieter, nennen sie außerdem, was wir auf der Website unter dieser Domain finden, etwa Ihre Funktion (Abschnitt 5). Die Nachrichten liegen in unserem internen Postfach (siehe Abschnitt 5) und werden dort drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, bewahren wir die Korrespondenz so lange auf, wie es die gesetzlichen Aufbewahrungsfristen verlangen. Rechtsgrundlage ist unser berechtigtes Interesse, Anforderungen und Anmeldungen einzuordnen (Art. 6 Abs. 1 lit. f DSGVO); dem können Sie jederzeit widersprechen (Art. 21 DSGVO).

Mit Ihrer Bestätigung übernehmen wir Ihre E-Mail-Adresse und die Angaben zu Ihrer Anmeldung (E-Book oder Thema, Sprache, Land) in unser eigenes System für Anfragen und Kundenbetreuung, das die Gosign GmbH selbst betreibt; seine Datenbank liegt auf einem Server, den wir bei der Hetzner Online GmbH in einem Rechenzentrum in Finnland gemietet haben. Hetzner handelt dabei als unser Auftragsverarbeiter. Zweck, Rechtsgrundlage und Dauer stehen am Ende dieser Erklärung unter „Messung und Anfragen im Detail“.

Aus Ihrer IP-Adresse leitet Cloudflare das Land ab. Es steht zusammen mit dem Verlauf Ihrer Sitzung (welche Seiten Sie besucht haben), der Sitzungskennung und der Seite, auf der Sie sich angemeldet haben, im Datensatz Ihrer Anmeldung, bis Sie sich abmelden, und außerdem in der Meldung an unser Team und in unserem eigenen System für Anfragen und Kundenbetreuung. Damit ordnen wir Anmeldungen ein: woher sie kommen und welche Inhalte zu ihnen geführt haben (Art. 6 Abs. 1 lit. f DSGVO). Dem können Sie jederzeit widersprechen (Art. 21 DSGVO), etwa per E-Mail an web26 [at] gosign.de; dann entfernen wir diese Angaben aus dem Datensatz, Ihre Anmeldung bleibt bestehen.

Als Nachweis Ihrer Einwilligung speichern wir die Zeitpunkte Ihrer Anmeldung und Ihrer Bestätigung und die IP-Adresse, von der aus Sie sich angemeldet haben, dazu das E-Book oder Thema Ihrer Anmeldung und die Fassung: die Kennung des Formulars und der Bestätigungsmail, deren Wortlaut wir aufbewahren. Rechtsgrundlage ist unser berechtigtes Interesse, Ihre Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO). In den Nachrichten an uns steht die IP-Adresse nicht. Darüber hinaus nutzen wir sie wie beim Kontaktformular nur zum Schutz vor Missbrauch und nur flüchtig im Arbeitsspeicher (Abschnitt 5).

Eingesetzte Dienste

Ihre Anmeldung nimmt ein Cloudflare Worker entgegen (Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Ihre E-Mail-Adresse und die Angaben zu Ihrer Anmeldung speichert er in Cloudflare KV (Key-Value-Speicher). Wir haben mit Cloudflare einen Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen. Die E-Mails zum Newsletter verschicken wir über unseren Versandserver bei der Hetzner Online GmbH und über Google Workspace; der Cloudflare Worker übergibt sie dafür an den Versandserver (siehe Abschnitt 5). Google Workspace ist auch unser internes Postfach, in dem die Nachrichten an unser Team liegen; Google handelt dabei als unser Auftragsverarbeiter (siehe Abschnitt 5, „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“).

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie sich über den Abmeldelink in jeder Newsletter-E-Mail abmelden oder uns per E-Mail an web26 [at] gosign.de kontaktieren.

Speicherdauer

Ihre Anmeldung im Verteiler, also Ihre E-Mail-Adresse mit den Angaben zu Ihrer Anmeldung, wird gespeichert, bis Sie sich vom Newsletter abmelden. Mit der Abmeldung löschen wir Ihre Anmeldung im Verteiler unverzüglich. Die Nachrichten an unser Team bleiben davon unberührt; ihre Frist steht oben. Auch der Eintrag in unserem eigenen System für Anfragen und Kundenbetreuung bleibt bestehen: Auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) wissen wir damit, wenn Sie uns später anfragen, wofür Sie sich interessiert haben, und können passend antworten; per E-Mail schreiben wir Sie daraus nicht an. Er wird drei Jahre nach dem letzten Kontakt gelöscht, sofort, wenn Sie widersprechen (Art. 21 DSGVO). Haben Sie sich bis einschließlich 05.11.2026 angemeldet, beruht die Übernahme in unser eigenes System für Anfragen und Kundenbetreuung auf Ihrer Einwilligung; diesen Eintrag löschen wir mit der Abmeldung, außer Sie haben uns auch selbst angefragt.

Von Ihrer Anmeldung im Verteiler bleibt nach der Abmeldung allein der Nachweis Ihrer Einwilligung. Wir legen ihn unter einem SHA-256-Hashwert (Streuwert) Ihrer E-Mail-Adresse ab, nicht unter der Adresse selbst; das ist ein Pseudonym, denn wer Ihre Adresse kennt, kann den Hashwert berechnen und den Nachweis finden. Er enthält das E-Book oder Thema Ihrer Anmeldung, die Zeitpunkte Ihrer Anmeldung, Bestätigung und Abmeldung, die IP-Adresse der Anmeldung und die Fassung, aber weder Ihre E-Mail-Adresse noch die IP-Adresse Ihrer Abmeldung. Wir bewahren ihn auf, um Ihre Einwilligung nachweisen zu können, wenn Ansprüche gegen uns geltend gemacht werden und wir uns dagegen verteidigen müssen. Dass wir ihn trotz Ihrer Abmeldung behalten dürfen, folgt aus Art. 17 Abs. 3 lit. e DSGVO; die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Er bleibt bis zum Ende des dritten Kalenderjahres nach Ihrer Abmeldung gespeichert, das entspricht der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB), und wird dann gelöscht.

E-Book-Anforderung ohne Newsletter

Fordern Sie ein E-Book an, ohne den Haken für das AI Governance Briefing zu setzen, abonnieren Sie keinen Newsletter. Wir speichern dann Ihre E-Mail-Adresse, Ihre Sprache und das gewünschte E-Book, um Ihnen den Download-Link zu schicken und den Abruf zuzuordnen. Der Datensatz bleibt bis zum Abruf des E-Books, höchstens 7 Tage; mit dem Abruf löschen wir ihn. Rechtsgrundlage der Zustellung ist Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen angeforderte Leistung). Updates und Korrekturen zum E-Book erhalten Sie in diesem Fall nicht, sie sind Inhalt des Briefings.

Außerdem geht beim Absenden der Anforderung und beim Abruf eine Nachricht an unser Team, mit Ihrer E-Mail-Adresse, dem Verlauf Ihrer Sitzung und dem Land; der Datensatz hält diese Angaben bis zum Abruf bereit. Die Nachricht enthält außerdem dieselben groben Angaben wie eine Anfrage über das Kontaktformular (Abschnitt 5) und, wenn die Domain Ihrer E-Mail-Adresse nicht zu einem Freemail-Anbieter gehört, was wir auf der Website unter dieser Domain finden, etwa Ihre Funktion. Rechtsgrundlage der Nachricht ist unser berechtigtes Interesse, Ihre Anforderung einzuordnen (Art. 6 Abs. 1 lit. f DSGVO); dem können Sie jederzeit widersprechen (Art. 21 DSGVO). Wie die übrigen Nachrichten an unser Team wird sie drei Jahre nach dem letzten Kontakt gelöscht.

7. 203-Readiness-Check

Auf unseren deutschsprachigen Seiten bieten wir den 203-Readiness-Check an, einen freiwilligen Selbst-Check für Berufsgeheimnisträger nach § 203 StGB zum KI-Einsatz in der eigenen Organisation. Ihre Antworten im Selbst-Check werden weder gespeichert noch übertragen - die Auswertung läuft vollständig in Ihrem Browser, und das Ergebnis erscheint direkt auf der Seite, ohne E-Mail-Eingabe.

Ergebnis-Report per E-Mail (optional)

Nur wenn Sie freiwillig den ausführlichen Ergebnis-Report per E-Mail anfordern, verarbeiten wir Ihre E-Mail-Adresse, Ihre Berufsgruppe und die für Sie empfohlene Stufe - nicht Ihre Antworten. Die Anforderung wird wie beim Newsletter (Abschnitt 6) im Double-Opt-In-Verfahren bestätigt: Sie erhalten eine Bestätigungsmail mit einem einmaligen Link; erst nach Klick auf diesen Link wird der Report zugestellt. Der Versand läuft wie beim Newsletter über unseren Versandserver und Google Workspace (Abschnitt 5). Für die IP-Adresse gilt dasselbe wie beim Newsletter (Abschnitt 6), mit Ausnahme der Fristen: Die IP-Adresse der Anforderung löschen wir nach 7 Tagen, wenn Sie nicht bestätigen; nach der Bestätigung bleibt sie zusammen mit Berufsgruppe und Stufe, dem Verlauf Ihrer Sitzung, dem Land und der Sitzungskennung im Datensatz der Anforderung und wird mit ihm nach 6 Monaten gelöscht.

Den Verlauf Ihrer Sitzung, das Land und die Sitzungskennung behalten wir, um Report-Anforderungen einzuordnen: woher sie kommen und welche Inhalte zu ihnen geführt haben (Art. 6 Abs. 1 lit. f DSGVO). Dem können Sie jederzeit widersprechen (Art. 21 DSGVO), etwa per E-Mail an web26 [at] gosign.de; dann entfernen wir diese Angaben aus dem Datensatz der Anforderung.

Schon mit der Anforderung, vor Ihrer Bestätigung, geht eine Nachricht an unser Team. Sie nennt Ihre E-Mail-Adresse, das angeforderte Dokument, Berufsgruppe und Stufe, die Seite der Anforderung, das Land, den Verlauf Ihrer Sitzung und, was wir auf der Website unter der Domain Ihrer E-Mail-Adresse finden, etwa Ihre Funktion (Abschnitt 5). Bestätigen Sie die Anforderung, übernehmen wir Ihre E-Mail-Adresse, Ihre Berufsgruppe, die empfohlene Stufe, das angeforderte Dokument, das Land und, falls übermittelt, die Sprache in unser eigenes System für Anfragen und Kundenbetreuung, das die Gosign GmbH selbst betreibt (siehe „Messung und Anfragen im Detail“ am Ende dieser Erklärung). Berufsgruppe und Stufe helfen uns, Ihre Anfrage einzuordnen und bei Ihnen nachzufassen.

203-Prüfliste, Bezugsweg-Matrix und Lieferantenkette

Dasselbe gilt, wenn Sie auf unseren deutschsprachigen Seiten die 203-Prüfliste, die Bezugsweg-Matrix oder die Lieferantenkette anfordern: Bestätigung im Double-Opt-In-Verfahren, dieselben Nachrichten an unser Team, dieselbe Übernahme in unser eigenes System für Anfragen und Kundenbetreuung und dieselben Fristen wie beim Report. Statt Berufsgruppe und Stufe verarbeiten wir dabei, welches Dokument Sie angefordert haben.

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an web26 [at] gosign.de.

Die Übernahme in unser eigenes System für Anfragen und Kundenbetreuung zum Nachfassen stützen wir auf unser berechtigtes Interesse, nach einer Report-Anforderung bei Ihnen nachzufassen (Art. 6 Abs. 1 lit. f DSGVO). Dem können Sie jederzeit widersprechen (Art. 21 DSGVO); eine formlose Nachricht an die unter „Verantwortlicher“ genannte Adresse genügt. Per E-Mail fassen wir nur nach, wenn Sie darin eingewilligt haben.

Speicherdauer

Der Datensatz einer bestätigten Report-Anforderung wird nach 6 Monaten gelöscht. Unbestätigte Double-Opt-In-Anfragen verfallen automatisch nach 7 Tagen. Die Nachricht an unser Team und der Eintrag in unserem eigenen System für Anfragen und Kundenbetreuung werden drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, bewahren wir die Korrespondenz so lange auf, wie es die gesetzlichen Aufbewahrungsfristen verlangen.

8. Terminanfrage

Im Kontaktformular sehen Sie freie Zeiten für ein Erstgespräch und können eine davon mit Ihrer Nachricht anfragen. Die Zeiten stammen aus den Kalendern unseres Teams bei Google Workspace (Anbieter: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland). Abgefragt wird nur, ob eine Zeit frei oder belegt ist; Angaben von Ihnen werden dafür nicht verwendet. Auf unserer Website selbst wird dafür kein Google-Skript geladen und kein Cookie gesetzt.

Die gewählte Zeit geht mit Ihrer Nachricht an uns (siehe Abschnitt 5) und ist eine Anfrage, noch kein vereinbarter Termin: Erst wenn wir sie per E-Mail bestätigt haben, steht der Termin. Wählen Sie keine Zeit, schlagen wir Ihnen Termine per Antwort vor.

Nach der Bestätigung legt unser Team den Termin in seinem Kalender bei Google Workspace an. Die Einladung mit dem Link zu Google Meet kommt aus diesem Kalender an Ihre E-Mail-Adresse. Google verarbeitet Ihre E-Mail-Adresse und den Termin dabei als unser Auftragsverarbeiter (siehe Abschnitt 5, „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“).

Wenn Sie an einem Gespräch über Google Meet teilnehmen, verarbeitet Google Bild, Ton und Chat des Gesprächs sowie den dort angezeigten Namen als unser Auftragsverarbeiter (siehe Abschnitt 5, „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“). Technische Dienstdaten, die bei der Bereitstellung entstehen, etwa Ihre IP-Adresse und Angaben zu Ihrem Gerät und zur Verbindung, verarbeitet Google Cloud EMEA Limited als eigener Verantwortlicher; dafür gilt die Google Cloud Privacy Notice.

Der Kalendereintrag gehört zur Korrespondenz über Ihre Anfrage: Wir bewahren ihn so lange auf wie Ihre Nachricht und löschen ihn nach denselben Regeln (Abschnitt 5, „Speicherdauer“), auf Ihren Wunsch also zusammen mit ihr.

Die Terminanfrage ist freiwillig. Sie erreichen uns auch ohne sie: Im Kontaktformular genügt Ihre E-Mail-Adresse, und wir schlagen Ihnen Termine per Antwort vor.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin). Fragen Sie für ein Unternehmen oder eine Kanzlei an, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, eine Geschäftsbeziehung mit Ihrem Unternehmen oder Ihrer Kanzlei anzubahnen.

9. Fonts

Alle auf dieser Website verwendeten Schriftarten sind lokal eingebunden (Self-Hosted). Es werden keine externen Font-Dienste (z. B. Google Fonts) geladen. Es findet kein Verbindungsaufbau zu Drittanbietern beim Laden von Schriftarten statt.

10. Karten und Videos

Diese Website bindet keine externen Karten-Dienste (z. B. Google Maps) und keine externen Video-Dienste (z. B. YouTube) ein. Wo Karten oder Videos dargestellt werden, erfolgt dies über statische Bilder oder selbst gehostete Inhalte.

11. Keine weiteren Drittanbieter

Diese Website lädt keine Ressourcen von Drittanbietern nach, die nicht in dieser Datenschutzerklärung genannt sind. Insbesondere werden nicht eingesetzt:

• Google Tag Manager
• Facebook Pixel
• LinkedIn Insight Tag
• HubSpot, Salesforce oder andere CRM-Tracker
• Hotjar, Mouseflow oder andere Session-Recording-Tools
• Matomo oder andere selbst gehostete Analytics-Tools

12. SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an dem "https://" in der Adresszeile Ihres Browsers.

13. Server-Logfiles

Der Hosting-Anbieter (Cloudflare) erhebt technisch bedingt Zugriffsdaten in Server-Logfiles. Diese können enthalten: aufgerufene Seite, Zeitpunkt, Datenmenge, Referrer-URL, IP-Adresse, Browser und Betriebssystem. Die Logfiles werden von Cloudflare für maximal 72 Stunden gespeichert und nicht mit anderen Daten zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung des technischen Betriebs und der Erkennung von Angriffen).

14. Künstliche Intelligenz und automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt. Mit Ausnahme des unter Abschnitt 15 beschriebenen, von Ihnen aktiv und freiwillig genutzten BV-KI-Drafters werden auf dieser Website keine KI-Systeme zur automatisierten Verarbeitung personenbezogener Daten von Website-Besuchern eingesetzt.

KI-gestützte Inhaltserstellung

Gosign setzt KI-gestützte Werkzeuge (Large Language Models, Bildgenerierung) zur Erstellung und Bearbeitung von Website-Inhalten, Grafiken und Diagrammen ein. Diese Werkzeuge verarbeiten keine personenbezogenen Daten von Website-Besuchern. Die Ergebnisse werden redaktionell geprüft und freigegeben.

KI in Kundenprojekten

Gosign entwickelt und betreibt KI-Infrastruktur für Unternehmenskunden (AI Agents, Document Intelligence, Workflow-Automatisierung). Die Verarbeitung personenbezogener Daten in Kundenprojekten erfolgt auf Grundlage separater Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO und ist nicht Gegenstand dieser Datenschutzerklärung.

15. KI-Betriebsvereinbarungs-Entwurfsassistent (BV-KI-Drafter)

Auf unseren deutschsprachigen Tool-Seiten bieten wir einen KI-gestützten Assistenten an, der auf Grundlage Ihrer Eingaben einen Entwurf für eine Betriebsvereinbarung zur Nutzung Künstlicher Intelligenz erstellt und Ihnen das Ergebnis per E-Mail zustellt (intern „BV-KI-Drafter"). Die Nutzung ist freiwillig; die nachfolgenden Angaben gelten ausschließlich, wenn Sie dieses Tool aktiv verwenden.

Zweck der Verarbeitung

Wir verarbeiten Ihre Eingaben, um den von Ihnen angeforderten Entwurf zu generieren, sowie Ihre E-Mail-Adresse, um Ihnen den fertigen Entwurf zuzustellen. Zur Begrenzung missbräuchlicher Mehrfachnutzung speichern wir zusätzlich Ihre E-Mail-Adresse in verschlüsselter Form sowie eine anonyme Zusammenfassung Ihrer Auswahl. Bitte geben Sie in das Tool keine echten personenbezogenen Daten von Beschäftigten ein, sondern Beispielangaben.

Empfänger und Verarbeitung

Zur Erstellung des Entwurfs werden Ihre Eingaben durch einen KI-Dienst innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR) verarbeitet, der die Anfrage an ein Large Language Model übergibt. Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der EU/des EWR; eine Übermittlung in ein Drittland findet dabei nicht statt (im Sinne der Art. 44 ff. DSGVO). Aus Gründen der Datensparsamkeit werden Sie zudem gebeten, in der laufenden Testphase keine echten Beschäftigtendaten, sondern Beispielangaben einzugeben.

Rechtsgrundlage

Die Verarbeitung Ihrer Eingaben und Ihrer E-Mail-Adresse zur Erstellung und Zustellung des Entwurfs erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen angeforderten Leistung). Die verschlüsselte Speicherung Ihrer E-Mail-Adresse und der anonymen Auswahl-Zusammenfassung zur Begrenzung missbräuchlicher Nutzung beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch).

Speicherdauer

Die Entwurfsinhalte und die zur Generierung verwendeten Eingaben werden ausschließlich zur Zustellung vorübergehend gespeichert und 72 Stunden nach erfolgreicher Zustellung automatisch und unwiderruflich genullt, spätestens jedoch nach 14 Tagen. Konnte ein Entwurf nicht zugestellt werden, wird der zugehörige Datensatz nach 14 Tagen vollständig gelöscht.

Keine automatisierte Entscheidung im Einzelfall

Der erzeugte Entwurf ist ein unverbindlicher Textvorschlag zur eigenen redaktionellen Weiterverwendung. Es findet keine automatisierte Entscheidung im Einzelfall einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gemäß Art. 22 DSGVO statt.

Ihre Rechte und Grenzen nach der Nullung

Es gelten die unter „Ihre Rechte" genannten Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Nach der Nullung der Entwurfsinhalte ist uns eine Zuordnung dieser Inhalte zu Ihrer Person nicht mehr möglich (Art. 11 Abs. 2 DSGVO); Auskunfts- und Löschansprüche bezüglich der bereits genullten Inhalte können dann mangels Identifizierbarkeit nicht mehr erfüllt werden.

16. Meldeweg für Sicherheitslücken

Unter gosign.de/de/sicherheit/melden/ nehmen wir Meldungen über Sicherheitslücken entgegen. Für diesen Meldeweg ist die Gosign GmbH Verantwortlicher im Sinne der DSGVO - auch dann, wenn die gemeldete Lücke einen Auftritt betrifft, den wir für einen Kunden betreiben. Die Nutzung ist freiwillig; die folgenden Angaben gelten ausschließlich, wenn Sie eine Meldung absenden.

Zweck und Rechtsgrundlage

Wir verarbeiten Ihre Angaben, um die gemeldete Schwachstelle zu prüfen, zu beheben und - soweit sie einen Kundenauftritt betrifft - an den verantwortlichen Betreiber weiterzuleiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit unserer Systeme und der Systeme unserer Kunden. Möchten Sie nach der Behebung namentlich genannt werden, verarbeiten wir Ihren Namen oder Ihr Pseudonym auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit formlos widerrufen können.

Welche Daten wir speichern

Gespeichert werden die Angaben aus dem Formular (betroffene URL oder System, Auswirkung, Reproduktionsschritte, Zeitpunkt des Fundes, Angabe zu eingesetzten KI-Werkzeugen und ein optionaler Nachweis), Ihre Kontaktadresse, falls Sie eine angeben, sowie ein mit einem geheimen Wert gesalzener Streuwert Ihrer IP-Adresse und zusätzlich ein ebenso gesalzener Netzbereichs-Streuwert des Bereichs, zu dem diese IP-Adresse gehört. Die IP-Adresse selbst speichern wir nicht; beide Streuwerte dienen ausschließlich der Erkennung missbräuchlicher Mehrfacheinsendungen. Ohne Kontaktadresse ist Ihre Meldung anonym - wir speichern dann keine Angabe, die Sie identifiziert, und können Ihnen umgekehrt auch nicht antworten.

Die Freitextfelder können personenbezogene Daten enthalten, wenn Sie solche in Ihrem Nachweis wiedergeben. Bitte beschränken Sie sich auf das, was zum Beleg der Lücke nötig ist.

Empfänger

Die Meldung wird in einer von uns betriebenen Datenbank (Supabase, selbst gehostet auf einem Server, den wir bei der Hetzner Online GmbH in einem Rechenzentrum in Finnland gemietet haben) gespeichert und zusätzlich an ein internes Postfach der Gosign GmbH zugestellt. Zugestellt wird über Google Workspace (Google Cloud EMEA Limited); die E-Mail läuft dabei über unsere Server bei Hetzner in Finnland, die sie nicht zusätzlich speichern. Hetzner und Google handeln als Auftragsverarbeiter. Betrifft die Meldung einen von uns betriebenen Kundenauftritt, geben wir sie an den verantwortlichen Betreiber weiter - das ist der Zweck der Verarbeitung und zugleich unsere Pflicht aus Art. 33 Abs. 2 DSGVO.

Formularseite und Annahme-Endpunkt des Meldewegs laufen technisch über Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA); der Endpunkt selbst ist ein Cloudflare-Worker am Netzrand. Cloudflare beendet dabei die verschlüsselte Verbindung und verarbeitet Ihre IP-Adresse und den Inhalt Ihrer Meldung flüchtig im Arbeitsspeicher, ohne ihn zu speichern; die Verarbeitung erfolgt an dem Cloudflare-Standort, der Ihrem Internetzugang am nächsten liegt, und kann deshalb auch außerhalb der EU/des EWR stattfinden. Grundlage sind der mit Cloudflare geschlossene Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework - Cloudflare, Inc. ist dort zertifiziert - und ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der Standardvertragsklauseln erhalten Sie über web26 [at] gosign.de.

Zum Schutz vor maschinellen Massenmeldungen setzen wir ein eigenes Verfahren ein, das vollständig auf unseren eigenen Servern läuft. Beim Aufruf des Formulars stellen wir einen signierten Herkunftsnachweis aus, den wir beim Absenden prüfen. Dabei wird nichts auf Ihrem Gerät gespeichert oder ausgelesen, es wird kein Dienst Dritter eingebunden, und es entsteht kein weiterer Empfänger Ihrer Daten. Verarbeitet wird ausschließlich ein mit einem geheimen Wert gesalzener Streuwert Ihrer IP-Adresse; Ihre IP-Adresse selbst speichern wir zu diesem Zweck nicht. Kann der Nachweis einmal nicht ausgestellt oder geprüft werden, nehmen wir Ihre Meldung dennoch an und kennzeichnen sie intern als ungeprüft - ein veröffentlichter Meldeweg darf nicht an einer Prüfung scheitern.

Über die hier genannten Empfänger hinaus geben wir Ihre Meldung nicht weiter.

Speicherdauer

Meldungstext, Nachweis und eine angegebene Kontaktadresse löschen wir 90 Tage nach Abschluss des Vorgangs, spätestens jedoch 365 Tage nach Eingang der Meldung. Die Streuwerte Ihrer IP-Adresse und ihres Netzbereichs löschen wir nach 7 Tagen. Ein pseudonymisierter Eintrag mit Vorgangsnummer und Eingangszeitpunkt bleibt nach Abschluss des Vorgangs bis zu drei Jahre erhalten, damit wir die Einhaltung unserer zugesagten Fristen belegen können; danach löschen wir ihn ebenfalls.

Ihre Rechte

Es gelten die unter „Ihre Rechte" genannten Betroffenenrechte. Anfragen dazu richten Sie an web26 [at] gosign.de; nennen Sie dabei bitte Ihre Vorgangsnummer. Bei einer anonymen Meldung ist uns eine Zuordnung zu Ihrer Person nicht möglich (Art. 11 Abs. 2 DSGVO).

17. Bestellung des Testzugangs zum Gosign privacyRouter

Den Testzugang zum Gosign privacyRouter können Sie über ein Formular auf unserer Website bestellen. Die folgenden Angaben gelten nur, wenn Sie das tun.

Zweck und Rechtsgrundlage

Bestellen Sie den Testzugang, verarbeiten wir die Angaben aus dem Bestellformular. Das sind Ihr Name, Ihre berufliche E-Mail-Adresse, Firma oder Kanzlei, Rechnungsanschrift und USt-IdNr., der Testbetrag, wofür Sie den Test nutzen und welche Modelle Sie interessieren, dazu Ihre Erklärungen im Formular, etwa dass Sie nicht als Verbraucher bestellen. Bestellen Sie für eine Kanzlei, kommen deren Name und Ort hinzu, auf Wunsch auch eine Ansprechperson. Zweck ist der Vertrag über den Test und seine Rechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Rechnung und ihre Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Die Angaben zu der Kanzlei, für die Sie bestellen, und zu ihrer Ansprechperson verarbeiten wir auf Grundlage unseres berechtigten Interesses, die Beteiligung eines Berufsgeheimnisträgers zu prüfen und die Annahme des Vertragswerks durch die Kanzlei einzuholen (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Angaben können wir den Test nicht vereinbaren und nicht abrechnen.

Empfänger

Empfänger ist das Portal der Gosign GmbH für den privacyRouter. Wir betreiben es auf einem Server, den wir bei der Hetzner Online GmbH in einem Rechenzentrum in Deutschland gemietet haben; Hetzner handelt dabei als unser Auftragsverarbeiter. Verantwortlicher bleibt die Gosign GmbH. Den Bestätigungscode und die Rechnung schickt Ihnen das Portal per E-Mail über Google Workspace, wie unsere übrigen E-Mails. Google handelt dabei als unser Auftragsverarbeiter (siehe Abschnitt 5, „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“). Den Klick-Parameter einer Anzeige, den Verlauf Ihres Besuchs und die Variante der Seite, die Sie gesehen haben, erhält das Portal nicht.

Wie eine Anfrage über das Kontaktformular geht die Bestellung außerdem als Nachricht an unser internes Postfach (Abschnitt 5). In unser eigenes System für Anfragen und Kundenbetreuung übernehmen wir sie ohne Rechnungsanschrift, USt-IdNr. und die Angaben zu der Kanzlei, für die Sie bestellen (siehe „Messung und Anfragen im Detail“ am Ende dieser Erklärung).

Prüfung der USt-IdNr. bei VIES

Liegt die Rechnungsanschrift in einem anderen Staat der EU, stellen wir die Rechnung ohne deutsche Umsatzsteuer aus. Dafür prüft das Portal die USt-IdNr. mit Name und Anschrift des Rechnungsempfängers bei VIES, dem Abfragedienst der Europäischen Kommission. VIES leitet die Anfrage an die Steuerverwaltung des Staats weiter, der die USt-IdNr. erteilt hat. Rechtsgrundlage der Abfrage ist unser berechtigtes Interesse, den Status des Rechnungsempfängers als Unternehmer nachzuweisen und die Rechnung steuerlich richtig auszustellen (Art. 6 Abs. 1 lit. f DSGVO, Art. 18 Abs. 1 lit. a der Durchführungsverordnung (EU) Nr. 282/2011). Die USt-IdNr. nennen wir auf der Rechnung und melden sie mit dem Betrag in der Zusammenfassenden Meldung an das Bundeszentralamt für Steuern (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14a Abs. 1 und § 18a UStG). In Staaten außerhalb der EU übermitteln wir dabei nichts.

Schutz vor Missbrauch

Wie beim Kontaktformular begrenzen wir, wie oft von einem Anschluss aus innerhalb einer Minute abgesendet werden kann, und prüfen, ob das Absenden von derselben IP-Adresse kommt wie der Aufruf der Seite (Abschnitt 5). Damit niemand über das Formular Rechnungen an fremde Adressen auslöst, zählen wir außerdem je Anschluss die Bestellungen und Bestätigungen einer Stunde. Statt Ihrer IP-Adresse legen wir dafür einen Streuwert ab, den wir mit einem geheimen Schlüssel aus ihr berechnen, bei IPv6 aus ihrem Netz /64. Der Streuwert ist ein Pseudonym und kein anonymes Datum: Wer unseren Schlüssel kennt, kann ihn einer IP-Adresse wieder zuordnen. Er liegt im Speicher von Cloudflare (Workers KV, Abschnitt 5) und wird nach einer Stunde gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Im Portal bewahren wir Rechnungen bis zum Ende des achten Kalenderjahres nach ihrer Ausstellung auf (§ 14b UStG). Die Bestellung bewahren wir dort als Geschäftsbrief bis zum Ende des sechsten Kalenderjahres nach ihrem Eingang auf (§ 147 AO). Die übrigen Angaben löschen wir dort 90 Tage nach Verfall oder Ablehnung der Bestellung. Kommt der Vertrag zustande, bewahren wir sie für seine Dauer auf. Die Nachricht an unser internes Postfach bewahren wir wie den Schriftwechsel zu einer Anfrage auf (Abschnitt 5, „Speicherdauer“); für den Eintrag in unserem eigenen System für Anfragen und Kundenbetreuung gilt die Frist unter „Messung und Anfragen im Detail“ am Ende dieser Erklärung.

18. Internationale Datenschutzstandards

Gosign betreut Kunden weltweit und erkennt Datenschutzrechte nach den jeweils anwendbaren lokalen Gesetzen an. Die DSGVO bleibt als primäres Datenschutzrecht anwendbar, da die Gosign GmbH ihren Sitz in Deutschland hat und die Datenverarbeitung in der EU stattfindet. Nachfolgend ergänzende Hinweise für Nutzer aus bestimmten Rechtsräumen.

Vereinigtes Königreich

Für Nutzer im Vereinigten Königreich gilt die UK GDPR in Verbindung mit dem Data Protection Act 2018. Die Rechte entsprechen weitgehend der EU-DSGVO. Zuständige Aufsichtsbehörde: Information Commissioner's Office (ICO), Wilmslow, Cheshire, UK.

Vereinigte Staaten

Für Nutzer mit Wohnsitz in Kalifornien gelten ergänzend der California Consumer Privacy Act (CCPA) und der California Privacy Rights Act (CPRA). Dies umfasst das Recht auf Auskunft über gesammelte Datenkategorien, das Recht auf Löschung und das Recht, dem Verkauf personenbezogener Daten zu widersprechen. Gosign verkauft keine personenbezogenen Daten und gibt sie nicht an Dritte zu Werbezwecken weiter. Für Nutzer in anderen US-Bundesstaaten mit eigenen Datenschutzgesetzen (Colorado, Connecticut, Virginia, Utah, Texas, Oregon u. a.) werden vergleichbare Rechte anerkannt.

Schweiz

Für Nutzer in der Schweiz gilt das revidierte Bundesgesetz über den Datenschutz (revDSG/nDSG), in Kraft seit 1. September 2023. Es gewährt vergleichbare Rechte wie die DSGVO. Zuständige Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Bern.

Kanada

Für Nutzer in Kanada gilt der Personal Information Protection and Electronic Documents Act (PIPEDA). Gosign erkennt die PIPEDA-Grundsätze an, insbesondere Einwilligung, Zweckbindung, Auskunft und Berichtigung. Zuständige Aufsichtsbehörde: Office of the Privacy Commissioner of Canada (OPC), Gatineau, QC.

Brasilien

Für Nutzer in Brasilien gilt ergänzend die Lei Geral de Proteção de Dados (LGPD, Lei n.º 13.709/2018). Die LGPD gewährt brasilianischen Nutzern umfassende Rechte, darunter Auskunft, Berichtigung, Anonymisierung, Löschung, Datenübertragbarkeit und Widerspruch. Diese Rechte werden von uns vollumfänglich anerkannt. Zuständige Aufsichtsbehörde: Agência Nacional de Proteção de Dados (ANPD), Brasília, DF.

Indien

Für Nutzer in Indien gilt der Digital Personal Data Protection Act (DPDP Act, 2023). Gosign erkennt die Rechte indischer Nutzer an, insbesondere auf Auskunft, Berichtigung, Löschung und Beschwerde. Zuständige Aufsichtsbehörde: Data Protection Board of India (DPBI), Neu-Delhi.

Japan

Für Nutzer in Japan gilt der Act on the Protection of Personal Information (APPI). Die EU-Kommission hat Japan einen angemessenen Datenschutzstatus zuerkannt. Gosign erkennt die APPI-Rechte an, insbesondere Auskunft, Berichtigung, Löschung und Nutzungseinstellung. Zuständige Aufsichtsbehörde: Personal Information Protection Commission (PPC), Tokio.

Südafrika

Für Nutzer in Südafrika gilt der Protection of Personal Information Act (POPIA). Gosign erkennt die POPIA-Rechte an, insbesondere Auskunft, Berichtigung, Löschung und Widerspruch gegen Direktmarketing. Zuständige Aufsichtsbehörde: Information Regulator, Johannesburg.

Alle übrigen Rechtsräume

Für Nutzer in Ländern mit eigenem Datenschutzgesetz, die hier nicht explizit genannt sind, erkennt Gosign die jeweils anwendbaren lokalen Datenschutzrechte an, soweit sie die Verarbeitung über diese Website betreffen. Ihre Rechte auf Auskunft, Berichtigung und Löschung werden in jedem Fall gewährleistet.

19. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen und wir die Daten nicht zur Verteidigung gegen Rechtsansprüche brauchen, etwa den Nachweis einer Einwilligung (Art. 17 Abs. 3 lit. b und e DSGVO, siehe Abschnitt 6).
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sofern eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die oben genannte Adresse.

20. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem Sie wohnen, oder die für den Verantwortlichen zuständige Behörde:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg

21. Aktualität

Diese Datenschutzerklärung ist aktuell gültig. Stand: November 2026.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen.

Messung und Anfragen im Detail

Hier steht im Einzelnen, was auf Ihrem Gerät gespeichert wird, was die Reichweitenmessung aus Abschnitt 4 erfasst und was mit Ihren Angaben geschieht, wenn Sie uns schreiben, etwas anfordern oder bestellen oder sich anmelden.

Was auf Ihrem Gerät gespeichert wird (§ 25 TDDDG): Wir setzen keine Cookies. Gespeichert wird ausschließlich im lokalen Speicher Ihres Browsers, und zwar zweierlei:

Nur für die laufende Sitzung - verfällt, sobald Sie den Tab schließen: die Einträge mit dem Präfix gs_* (die Sitzungskennung, der Seitenverlauf mit Herkunft, Geräteklasse und Fenstergröße, eine Bewertung des Besuchs nach den gelesenen Inhalten, Zähler und Merker der Messung, die Klick-Kennungen einer Anzeige und die UTM-Parameter des Links, über den Sie gekommen sind, und der Entwurf einer Sicherheitsmeldung, solange Sie ihn schreiben).

Dauerhaft - bis Sie sie selbst löschen: gosign-theme (Ihre Wahl zwischen heller und dunkler Darstellung), lyftyfy_opt_out (Ihr Widerspruch gegen die Messung, eingelegt mit dem Knopf „Tracking deaktivieren“ im Seitenfuß; er muss den Tab überdauern, um zu wirken), nl-subscribed (der Hinweis, dass Sie den Newsletter bereits abonniert haben), bv-drafter-autosave-v1 (der Zwischenstand Ihres Betriebsvereinbarungs-Entwurfs, damit er bei einem Absturz nicht verloren geht) und bv_konto_session (Ihre Anmeldung im Konto des BV-KI-Drafters, nachdem Sie sie über den Link in der E-Mail bestätigt haben, damit Sie angemeldet bleiben).

Alle diese Angaben sind für die jeweils angeforderte Funktion erforderlich; keine davon dient der Wiedererkennung über Websites hinweg.

Mit jedem Ereignis der Messung, etwa einem Seitenaufruf oder dem Erreichen einer Lesetiefe, schickt Ihr Browser die Sitzungskennung und, wenn Sie über eine Anzeige gekommen sind, deren Klick-Kennungen an unser Mess-System, dazu die aufgerufene Adresse und die Adresse der Seite, von der Sie kamen; bei fremden Websites übermittelt Ihr Browser davon meist nur deren Namen. Senden Sie ein Formular ab, mit dem Sie uns anfragen oder etwas anfordern oder bestellen, etwa das Kontaktformular, die Anforderung eines E-Books oder die Bestellung des Testzugangs zum privacyRouter, schickt Ihr Browser außerdem Ihre E-Mail-Adresse und die Bewertung Ihres Besuchs an das Mess-System. Was wir mit der Klick-Kennung einer Anzeige von Google Ads an Google übermitteln, steht unter „Conversion-Messung für Werbekampagnen (Google Ads)“ in Abschnitt 4. Der gesammelte Seitenverlauf verlässt Ihr Gerät nur mit einer Anfrage: Er geht mit, wenn Sie ein Formular absenden. Er enthält die Seiten in der Reihenfolge Ihres Besuchs mit Verweildauer und Lesetiefe, Herkunft, Geräteklasse und die Bewertung Ihres Besuchs, die Beschriftung angeklickter Knöpfe und Verweise, die Namen von Formularfeldern, an denen eine Eingabe beanstandet wurde, und Ergebnisse, die Sie in unseren Rechnern und Assessments erzielt haben, etwa die errechnete Ersparnis oder die erreichte Punktzahl.

Zweck: Marketing-Analytics - Session-basierte Auswertung von Nutzerverhalten (Scroll-Tiefe, CTA-Sichtbarkeit, Formular-Interaktion) ohne personenbezogene Profilbildung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenbasierten Ausspielung unserer Marketing-Inhalte; für den Verlauf, der mit einer Anfrage zu uns kommt, daran, Anfragen einzuordnen, Spam auszusortieren und passend zu beantworten).

Datenkategorien:

• Sitzungskennung: eine im Browser erzeugte Zufallsfolge, die beim Schließen des Tabs verfällt. Sie enthält nichts über Sie und wird nicht aus Ihren Daten abgeleitet, ist aber auch kein Hash. Innerhalb einer Sitzung verbindet sie Ihre Seitenaufrufe; über den Tab hinaus verbindet sie nichts.
• Intent-Label (grobe Kategorisierung der Besuchsintention)
• Herkunft: die Adresse der Seite, von der Sie kamen (bei fremden Websites übermittelt Ihr Browser meist nur deren Namen), und UTM-Parameter, wenn vorhanden
• Klick-Kennungen einer Anzeige (etwa gclid bei Google Ads), wenn Sie über eine Anzeige gekommen sind
• Seiten-Pfad und Scroll-Ereignisse
• Angefasste Bedienelemente und Formularfelder (nur deren Namen; von Ihren Eingaben allein die E-Mail-Adresse, wenn Sie eine Anfrage absenden)
• Browser-Familie und Hauptversion, Betriebssystem, Anzeigebreite
• Ungefährer Ort auf Stadtebene, Zeitzone, Browsersprache und der Name des Netzbetreibers, dem Ihr Internetanschluss zugeordnet ist - bei Privatanschlüssen also Ihr Internetanbieter, bei Unternehmen mit eigenem Netz das Unternehmen

Ausdrücklich NICHT verarbeitet: Cookies setzen wir keine, und wir erkennen Sie weder über andere Websites hinweg noch beim nächsten Besuch wieder.

Woher die groben Angaben stammen: Die Angaben zu Browser, Betriebssystem, Ort, Zeitzone und Netzbetreiber leiten wir aus der Browserkennung und der Netzverbindung Ihres Aufrufs ab. Die Browserkennung selbst speichern wir nicht, nur das grobe Ergebnis (etwa „Chrome 140, Windows”). Aus der IP-Adresse ermitteln wir Stadt und Netzbetreiber, die Adresse selbst wird verworfen: Ihre IP-Adresse speichert das Mess-System nicht. Diese Angaben sind bewusst grob gehalten: Sie sollen uns sagen, aus welchem Umfeld eine Anfrage kommt, nicht wer Sie sind. Ein Wiedererkennungsmerkmal entsteht daraus nicht.

Speicherdauer: 30 Tage. Nach Ablauf dieser Frist werden alle Rohdaten automatisch gelöscht, nur aggregierte Auswertungen bleiben erhalten.

Widerspruchsrecht (Art. 21 DSGVO): Sie können der Messung gemäß Art. 21 DSGVO jederzeit widersprechen. Nutzen Sie dazu den Knopf „Tracking deaktivieren“ im Seitenfuß dieser Seite. Der Widerspruch wird in Ihrem Browser lokal gespeichert und gilt ab dem nächsten Seitenaufruf, auch bei späteren Besuchen.

Was mit dem Seitenverlauf geschieht, wenn Sie ein Formular absenden: Fordern Sie ein Dokument an oder schreiben Sie uns, übermitteln wir zusammen mit Ihrer Anfrage den Verlauf Ihrer laufenden Sitzung mit den oben genannten Inhalten - darunter, welche Seiten Sie besucht haben, wie lange und wie weit Sie gelesen haben. Diese Angaben gehen in unser internes Postfach, damit wir erkennen, wer uns schreibt, Spam aussortieren und Ihre Anfrage passend beantworten können. Sie werden dort drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, bewahren wir die Korrespondenz so lange auf, wie es die gesetzlichen Aufbewahrungsfristen verlangen. Die oben genannte Löschfrist von 30 Tagen, die für die Reichweitenmessung gilt, greift für sie nicht. Nach dem Absenden setzen wir diesen Verlauf für die Dauer Ihrer laufenden Sitzung fort: Welche Seiten Sie danach noch aufrufen, halten wir zwischengespeichert fest und schicken es, sobald zwanzig Minuten lang nichts mehr eingegangen ist, mit dem nächsten Lauf unseres Servers, also nach 20 bis 25 Minuten, als abschließende Nachricht in dasselbe interne Postfach. Der Zwischenspeicher wird mit dem Versand gelöscht, spätestens 24 Stunden nach dem letzten Eintrag. Er entsteht ausschließlich für Sitzungen, in denen Sie ein Formular abgesendet haben - wer nur liest, wird davon nicht erfasst. Nach einer Anmeldung zum Newsletter ohne E-Book und nach der Bestellung des Testzugangs zum privacyRouter entsteht keine abschließende Nachricht. Der Knopf „Tracking deaktivieren“ im Seitenfuß löscht den Verlauf in Ihrem Browser und beendet die Messung ab dem nächsten Seitenaufruf. Haben Sie in dieser Sitzung bereits ein Formular abgesendet, geht die abschließende Nachricht dennoch an unser internes Postfach; widersprechen Sie per E-Mail an web26 [at] gosign.de, löschen wir sie dort.

Was mit Ihrer Anfrage geschieht: Senden Sie ein Formular ab oder bestätigen Sie eine Anmeldung, übernehmen wir Ihre Angaben in unser eigenes System für Anfragen und Kundenbetreuung. Dazu übergeben wir Ihre E-Mail-Adresse und Ihren Namen, wenn Sie ihn angegeben haben, mit den Angaben, die das jeweilige Formular erfasst. Das gilt für das Kontaktformular, die Anfrage auf der Landingpage zur Reisekostenabrechnung, die Anfrage zum privacyRouter und die Bestellung seines Testzugangs, die Anmeldung zum Newsletter und die Anforderung des Reports zum 203-Readiness-Check, der 203-Prüfliste, der Bezugsweg-Matrix und der Lieferantenkette. Übernommen werden in jedem Fall Ihre E-Mail-Adresse, die Sitzungskennung und die Seite, auf der Sie das Formular abgesendet haben. Aus dem Kontaktformular kommen Ihr Name, Ihr Unternehmen, Ihre Nachricht, die Sprache der Seite und, wenn Sie eine Zeit für ein Erstgespräch gewählt haben, Ihr Terminwunsch hinzu, dazu die Art des Formulars, eine Kennung des Vorgangs, der Zeitpunkt des Eingangs und ein Vermerk, wenn sich die Herkunft der Absendung nicht prüfen ließ. Aus der Anfrage zum privacyRouter und der Bestellung seines Testzugangs kommen Ihr Name, Ihr Unternehmen, wofür Sie ihn nutzen möchten, die Modelle, die Sie interessieren, die Fassung der Seite, die Sie gesehen haben, und die Klick-Kennungen einer Anzeige hinzu, über die Sie gekommen sind; bei der Bestellung außerdem der Testbetrag, die Rechnungsnummer, an wen die Rechnung geht, der Ausgang der Bestellung und ihre Kennung. Rechnungsanschrift, USt-IdNr. und die Angaben zu der Kanzlei, für die Sie bestellen, übernehmen wir nicht. Bei der Anmeldung zum Newsletter sind es das E-Book oder Thema Ihrer Anmeldung, die Sprache und das Land, bei der Anforderung des Reports zum 203-Readiness-Check Ihre Berufsgruppe und die empfohlene Stufe, bei allen Dokumenten für Berufsgeheimnisträger außerdem das angeforderte Dokument, das Land und, falls übermittelt, die Sprache.

Fragen Sie für sich selbst an oder bestellen Sie in eigenem Namen, ist Rechtsgrundlage der Übernahme die Bearbeitung Ihrer Anfrage oder Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Fragen Sie für ein Unternehmen oder eine Kanzlei an, ist es unser berechtigtes Interesse, Ihre Anfrage zu bearbeiten und eine Geschäftsbeziehung mit Ihrem Unternehmen oder Ihrer Kanzlei anzubahnen (Art. 6 Abs. 1 lit. f DSGVO). Bei einer bestätigten Anmeldung zum Newsletter ist es unser berechtigtes Interesse, Anmeldungen einzuordnen (siehe Abschnitt 6), bei einer bestätigten Anforderung eines Dokuments für Berufsgeheimnisträger unser berechtigtes Interesse, bei Ihnen nachzufassen (siehe Abschnitt 7), jeweils nach Art. 6 Abs. 1 lit. f DSGVO. Im System wird Ihre Anfrage außerdem mit dem Seitenverlauf Ihrer Sitzung, der Sitzungskennung, der Seite des Formulars und der Klick-Kennung einer Anzeige zusammengeführt. Für die Bearbeitung ist das nicht erforderlich; es beruht auf unserem berechtigten Interesse zu erkennen, woher Anfragen kommen und welche Inhalte zu ihnen geführt haben (Art. 6 Abs. 1 lit. f DSGVO). Allem, was auf unserem berechtigten Interesse beruht, können Sie jederzeit widersprechen (Art. 21 DSGVO), etwa per E-Mail an web26 [at] gosign.de. Diese Angaben unterliegen nicht der oben genannten Frist von 30 Tagen, sondern werden drei Jahre nach dem letzten Kontakt gelöscht; kommt ein Auftrag zustande, gilt für die Korrespondenz die gesetzliche Aufbewahrung. Auf Ihren Wunsch löschen wir sie früher. Wo das System sie speichert, steht unter „Datenverarbeiter“.

Datenverarbeiter: Die Daten nimmt ein Cloudflare Worker (Cloudflare Inc.) entgegen. Sie und die Einträge unseres eigenen Systems für Anfragen und Kundenbetreuung liegen in einer Datenbank auf einem Server, den wir bei der Hetzner Online GmbH in einem Rechenzentrum in Finnland gemietet haben; die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, handelt dabei als unser Auftragsverarbeiter. Mit Cloudflare und mit Hetzner besteht jeweils ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Zur möglichen Übermittlung in Drittländer bei Cloudflare siehe Abschnitt 5, „Verträge zur Auftragsverarbeitung (AVV) und Drittlandtransfer“.