Datenschutzhinweise zur Angebotsanfrage

1. Verantwortliche Stelle und Kontakt

Diese Hinweise betreffen die Angebotsanfrage im Förderkompass und die dabei gesondert abgefragte E-Mail-Einwilligung. Sie ersetzen keine Datenschutzhinweise für andere Angebote des KH-IT Bundesverbandes e. V. oder für eine spätere konkrete Leistungserbringung.

Vor Freigabe ist zu klären, ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt ist beziehungsweise benannt werden muss. Gegebenenfalls sind hier deren Kontaktdaten zu ergänzen. Bis dahin ist die oben genannte Adresse der Kontakt für Datenschutzanliegen.

2. Seitenbesuch und lokaler Entwurf

Beim Aufruf der Website werden technisch bedingt Daten an den Hostinganbieter übermittelt, insbesondere die IP-Adresse, Zeitpunkt, aufgerufener Pfad sowie Angaben zu Browser und Gerät. Das ermöglicht die Auslieferung und den sicheren Betrieb der Seite. Welche Serverprotokolle im tatsächlichen Hostingbetrieb entstehen und wann sie gelöscht werden, muss vor Freigabe verbindlich festgelegt werden.

Der Förderkompass sichert eure aktuelle Auswahl, Profilangaben, Kontaktdaten und ein gegebenenfalls gewähltes Logo im Sitzungsspeicher des aktuellen Browser-Tabs. So bleibt die Zusammenstellung beim Neuladen und beim Besuch des Förderprofils im selben Tab erhalten. Diese Speicherung übermittelt den Entwurf nicht an unser Anfrage-Backend. Neue Entwürfe werden nicht in den dauerhaften lokalen Speicher geschrieben. Nach 24 Stunden ohne Nutzung wird ein gespeicherter Entwurf beim nächsten Aufruf verworfen. Verwerfen, Neubeginn und bestätigter Anfrageeingang entfernen ihn sofort. Normalerweise leert der Browser den Sitzungsspeicher beim Schließen des Tabs; die Wiederherstellungsfunktion des Browsers kann eine Sitzung jedoch erhalten. Ihr könnt die Angaben jederzeit auch über die Website-Daten des Browsers löschen. Aus älteren dauerhaften Entwürfen werden nur bekannte Katalogauswahlen übernommen. Persönliche Angaben, Logos und Freitexte dieser Altentwürfe werden entfernt.

Für den Förderkompass ist kein Benutzerkonto nötig. Die geprüfte Anwendung enthält keine eigene Übertragung von Nutzungsstatistiken, keine Zählpixel und keine eigenen Werbe- oder Analyse-Cookies. Ein lokales Diagnoseereignis enthält keine Eingabetexte und hat keinen eigenen Versand. Zusätzliche Analysefunktionen der eingesetzten Dienste müssen vor Aktivierung geprüft werden.

Für einen laufenden oder unklar beantworteten Versandversuch speichert der aktuelle Browser-Tab zusätzlich eine zufällige Anfragekennung und einen technischen Fingerabdruck des Anfrageinhalts im Sitzungsspeicher. Damit kann nach einem Neuladen dieselbe Anfrage wiedererkannt werden. Dort liegen weder die angekreuzten Bestätigungen noch eine zusätzliche Klartextkopie eurer Kontaktdaten. Nach dem Neuladen müsst ihr die Bestätigungen erneut selbst geben. Bestätigter Eingang, Verwerfen und Neubeginn entfernen die Kennung; normalerweise endet der Sitzungsspeicher mit der Browser-Sitzung.

Die zeitlich begrenzte Sicherung des Tab-Entwurfs umfasst auch Kontaktdaten. Ihre Erforderlichkeit und rechtliche Einordnung des Endgerätezugriffs nach § 25 TDDDG sind noch zu prüfen. Eine erforderliche Einwilligung darf nicht durch die Kenntnisnahme dieser Hinweise ersetzt werden.

3. Angaben in eurer Anfrage

Nach Freischaltung werden beim bewussten Absenden folgende Angaben verarbeitet:

• Unternehmensname, Name der Kontaktperson, E-Mail-Adresse und Telefonnummer für Rückfragen; freiwillig ein hochgeladenes Unternehmenslogo.
• Eure ausgewählten Fördertatbestände, Leistungsfelder, Ziele, Beschreibungen und sonstigen Angaben zum Profil.
• Angefragte KH-IT-Leistungen und Tagungspakete sowie die von euch angegebene bestehende und gewünschte Partnerstufe. Die Leistungsfelder im Förderprofil beschreiben eure eigenen Kompetenzen und erzeugen keine zusätzlichen Anfragepositionen.
• Die vom Server berechnete Zusammenstellung, offene Preise, Anfragekennung, Referenznummer und Eingangszeitpunkt.
• Die getrennten AGB- und Datenschutzbestätigungen, eure Ja-/Nein-Entscheidung zu E-Mail-Informationen sowie die dazugehörigen Texte, Versionen und Nachweise.

Unternehmen, Kontaktperson, E-Mail-Adresse und Telefonnummer für Rückfragen sind für diesen Anfrageweg erforderlich. Ohne diese Angaben kann die Anfrage nicht über das Formular angenommen werden. Logo und ergänzende Profiltexte sind freiwillig. Bitte übermittelt über Freitext oder Dateien keine Patienten- oder Gesundheitsdaten und keine für die Anfrage unnötigen Angaben über andere Personen.

Die Angaben stammen von euch. Eine bestehende Partnerstufe wird als eure Angabe dokumentiert und nicht allein durch die Eingabe als bestätigt behandelt. Das Absenden veröffentlicht weder ein Profil noch eure Kontaktdaten.

4. Zwecke und Rechtsgrundlagen

Anfrage bearbeiten und Angebot vorbereiten

Wir nutzen die Angaben, um eure Anfrage zuzuordnen, Rückfragen zu klären und ein passendes Angebot vorzubereiten. Soweit ihr selbst als natürliche Person mögliche Vertragspartei seid, kommt Art. 6 Abs. 1 Buchst. b DSGVO für die von euch angefragten vorvertraglichen Maßnahmen in Betracht. Für Kontaktpersonen eines Unternehmens stützt sich die Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die sachgerechte Bearbeitung geschäftlicher Anfragen und die Kommunikation mit dem Unternehmen. Die erforderliche Interessenabwägung ist vor Freigabe abzuschließen.

Sicherer Betrieb und Missbrauchsschutz

Technische Bereitstellung, Fehlerbehandlung und die Begrenzung missbräuchlicher Anfragen dienen dem sicheren, verfügbaren Angebot. Vorgesehene Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Zur Mengenbegrenzung verwenden wir die E-Mail-Adresse und einen pseudonymen, aus der Herkunft des Aufrufs abgeleiteten Schlüssel. In der Anfragedatenbank wird dafür keine IP-Adresse im Klartext gespeichert. Die technische Verarbeitung beim Hostinganbieter bleibt davon unberührt.

Einwilligung und Nachweis

Freiwillige E-Mail-Informationen beruhen auf Art. 6 Abs. 1 Buchst. a DSGVO und der gesonderten Erklärung gemäß § 7 Abs. 2 Nr. 2 UWG. Erforderliche Nachweise dienen der Rechenschaft und dem Beleg der Einwilligung, Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO. Eine darüber hinaus erforderliche Sicherung zur Rechtsverteidigung ist gesondert nach Art. 6 Abs. 1 Buchst. f DSGVO zu beurteilen.

Gesetzestexte: Datenschutz-Grundverordnung und § 7 UWG.

Das Datenschutzkästchen bestätigt nur die Kenntnisnahme dieser Hinweise. Es erteilt keine pauschale Einwilligung in die Anfragebearbeitung oder weitere Verarbeitungen.

5. Freiwillige E-Mail-Informationen

Ihr entscheidet gleichwertig mit Ja oder Nein, ob ihr von der KH-IT SERVICE GmbH per E-Mail Informationen zu ihrem Partnerprogramm, ihren Leistungen und Tagungen erhalten möchtet. Keine Antwort ist vorausgewählt. Ein Nein verhindert eure Anfrage nicht; notwendige Nachrichten zu dieser Anfrage bleiben davon unabhängig möglich.

Bei Ja wird zunächst nur eine unbestätigte Einwilligungsanfrage gespeichert. Ihr erhaltet eine sachliche E-Mail mit einem Bestätigungslink. Auf der verlinkten Seite wird der ursprünglich gespeicherte Erklärungstext angezeigt. Erst eure anschließende Bestätigung aktiviert die Einwilligung. Der Bestätigungslink ist 48 Stunden gültig. Ohne Bestätigung wird diese Einwilligung nicht für Werbung genutzt.

Ihr könnt die Einwilligung jederzeit für die Zukunft über den Abmeldelink in der E-Mail widerrufen, ohne euch anzumelden. Ihr könnt euch dafür auch an backoffice@kh-it.gmbh wenden. Der Widerruf lässt die Bearbeitung eurer Angebotsanfrage und die Rechtmäßigkeit der vorherigen Verarbeitung unberührt. Ein Widerruf über den Link erfasst alle zu diesem Zeitpunkt aktiven oder noch unbestätigten Einwilligungen dieser E-Mail-Adresse für diesen Zweck.

Eine neue Anfrage mit Nein erteilt keine weitere Einwilligung. Möchtet ihr eine bereits früher erteilte Einwilligung beenden, verwendet dafür den Widerruf. Das Verfahren umfasst keine Telefonwerbung, Werbung fremder Partner oder individuelle Öffnungs- und Klickmessung. Der vorbereitete Anfragebetrieb enthält selbst noch keinen Versand von Werbekampagnen.

6. Bestätigungen und Nachweise

Die Anfrage wird mit den tatsächlich bestätigten Erklärungstexten und ihren Dokumentversionen gespeichert. Zusätzlich werden Zeitpunkt und Status von Anforderung, Bestätigung, Ablauf und Widerruf der E-Mail-Einwilligung festgehalten. Die Nachweise bleiben mit der jeweiligen Anfrage verknüpft. Eine technische Prüfsumme bindet die Bestätigung an den gespeicherten Nachweis.

Die Zugangswerte in Bestätigungs- und Abmeldelinks werden in der Anfragedatenbank nur als nicht rückrechenbare Prüfsummen abgelegt. Im anwendungseigenen Mailprotokoll werden die lesbaren Werte entfernt. Die tatsächliche E-Mail enthält die Links; der Versanddienst und die am E-Mail-Transport beteiligten Anbieter verarbeiten daher den Nachrichteninhalt. Der Umgang mit Linkparametern in Infrastrukturprotokollen ist vor Aktivierung zu prüfen.

Wir dokumentieren außerdem Empfänger, Betreff, Inhalt und Versandstatus der internen Eingangsmitteilung und der Bestätigungsmail. Eine dauerhaft gespeicherte Anfrage bleibt eingegangen, auch wenn eine Benachrichtigung nicht zugestellt werden konnte. Die Eingangsbestätigung ist keine Auftragsbestätigung.

7. Empfänger und Dienstleister

Für die Bearbeitung sind die zuständigen Personen der KH-IT SERVICE GmbH vorgesehen. Eine interne Eingangsmitteilung mit Kontaktdaten, Referenz und angefragten Positionen geht an backoffice@kh-it.gmbh. Der konkrete berechtigte Empfängerkreis dieses Postfachs ist vor Freigabe zu bestätigen. Anfrage- und Einwilligungsdaten werden über diesen Prozess nicht für andere Partnerkonten freigegeben.

Auch die von Absender und Empfänger genutzten E-Mail-Dienste sind am Transport und an der Postfachspeicherung beteiligt. Für den tatsächlichen Betrieb sind die Dienstleisterverträge, Unterauftragnehmer und Zugriffsberechtigungen zu prüfen. Die verlinkten allgemeinen Anbieterinformationen belegen nicht, dass für dieses Projekt bereits alle erforderlichen Vereinbarungen wirksam vorliegen.

8. Verarbeitung außerhalb der EU

Eine eingestellte europäische Serverregion schließt Zugriffe oder weitere Verarbeitung außerhalb der EU beziehungsweise des EWR nicht automatisch aus. Maßgeblich sind die tatsächlich eingesetzten Dienstleister, Unterauftragnehmer, Supportzugriffe und Vertragsbedingungen.

Für dieses Projekt sind mögliche Drittlandübermittlungen und die dafür gegebenenfalls erforderlichen Garantien nach Art. 44 ff. DSGVO noch nicht abschließend belegt. Vor Freigabe sind Länder, Empfänger, anwendbare Übermittlungsmechanismen und die Möglichkeit, entsprechende Garantien zu erhalten, konkret zu ergänzen. Dieser Entwurf behauptet weder einen ausschließlich europäischen Datenfluss noch bereits abgeschlossene Standardvertragsklauseln oder eine wirksame Zertifizierung.

9. Speicherdauer und Löschung

Daten sollen nur so lange verarbeitet werden, wie der jeweilige Zweck, eine einschlägige gesetzliche Pflicht oder die erforderliche Wahrung von Rechtsansprüchen dies verlangt. Anfragebearbeitung, Vertragsunterlagen, Versandprotokolle und Einwilligungsnachweise sind dabei getrennt zu beurteilen. Eine Anfrage führt nicht automatisch dazu, dass für sämtliche Daten dieselbe gesetzliche Aufbewahrungsfrist gilt.

Nach Widerruf endet die Nutzung der betreffenden Einwilligung für Werbung. Erforderliche Nachweise können von einer Werbenutzung getrennt aufbewahrt werden, soweit dies zum Beleg des Vorgangs oder zur Rechtsverteidigung erforderlich ist. Auch die dafür maßgebliche Dauer und Zugriffsbeschränkung müssen vor Freigabe feststehen.

Technisch ist der DOI-Bestätigungslink auf 48 Stunden begrenzt. Das ist keine Löschfrist für Anfrage- oder Nachweisdaten. Die pseudonymen Herkunftsschlüssel zur Mengenbegrenzung werden bei einer weiteren Registrierung aus mehr als 24 Stunden alten Anfragen entfernt. Ein garantierter zeitgesteuerter Löschlauf ist hierfür noch nicht eingerichtet.

Es ist noch kein vollständiges automatisches Löschverfahren für Anfragen, Einwilligungsereignisse, Mailprotokolle und Sicherungskopien eingerichtet. Konkrete Fristen beziehungsweise überprüfbare Löschkriterien, Zuständigkeiten und Umsetzung sind vor Aktivierung verbindlich festzulegen. Dieser Entwurf verspricht keine unbelegte automatische Löschung und rechtfertigt keine unbegrenzte Speicherung.

10. Eure Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen könnt ihr Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine Einwilligung könnt ihr jederzeit für die Zukunft widerrufen. Anfragen dazu richtet ihr an backoffice@kh-it.gmbh.

Widerspruch: Gegen eine Verarbeitung aufgrund berechtigter Interessen könnt ihr aus Gründen, die sich aus eurer besonderen Situation ergeben, Widerspruch einlegen. Gegen eine Verarbeitung für Direktwerbung könnt ihr jederzeit ohne solche Begründung widersprechen.

Außerdem könnt ihr euch bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort eures Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für die in Dortmund ansässige SERVICE GmbH ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen eine Anlaufstelle.

Rechtsgrundlagen der Betroffenenrechte: Art. 7 Abs. 3 sowie Art. 15 bis 21 und Art. 77 DSGVO.

11. Preisberechnung und Entscheidungen

Die Anwendung ermittelt aus eurer Auswahl und den hinterlegten Preisregeln eine Zusammenstellung. Offene Partnerbeiträge werden dabei als noch zu klären gekennzeichnet. Die Rechnung dient der Vorbereitung einer unverbindlichen Anfrage; sie entscheidet nicht automatisiert über einen Vertragsabschluss, eine Förderbewilligung oder eure Bonität. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO ist im beschriebenen Anfrageweg nicht vorgesehen.

12. Offene Punkte vor der Freigabe

Diese Fassung ist bewusst als Entwurf gekennzeichnet. Vor Freischaltung sind insbesondere folgende Punkte abzuschließen:

• Verantwortlichkeit, Datenschutzkontakt, gegebenenfalls Datenschutzbeauftragte sowie die konkrete Interessenabwägung bestätigen.
• Die erforderlichen Vereinbarungen mit Render, Supabase, Lettermint und gegebenenfalls weiteren Empfängern prüfen; Regionen, Unterauftragnehmer und mögliche Drittlandübermittlungen nachvollziehbar festlegen.
• Speicherdauern, Löschverfahren und Zugriffsschutz für Anfragen, Einwilligungsnachweise, Mail- und Serverprotokolle sowie Sicherungskopien verbindlich umsetzen.
• Lokale Entwurfssicherung und Endgerätezugriffe rechtlich prüfen; anbieterbezogene Öffnungs-, Klick- und sonstige Analysefunktionen sowie die Protokollierung sensibler Linkwerte kontrollieren.
• Den internen Empfängerkreis, Versandkonfiguration, tatsächliche Zustellung, Bestätigung, Ablauf und Widerruf in einer kontrollierten Abnahme prüfen.
• Die vollständigen Texte rechtlich freigeben und anschließend eine eindeutig bezeichnete freigegebene Fassung bereitstellen. Bereits bestätigte historische Texte dürfen nicht nachträglich ausgetauscht werden.

Bis dahin bleibt die neue serverseitige Anfrageannahme abgeschaltet. Die Erreichbarkeit dieser Dokumentseite ist keine Aktivierung des Anfragebetriebs.