Datenschutzerklärung

1. Verantwortlicher

Complass GmbH i. G.
Kölner Tor 31
40625 Düsseldorf
Vertreten durch die Geschäftsführung: Marc Linden
Telefon: +49 (0) 176 723 355 81
E-Mail: info@complass.eu

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur mit Ihrer Einwilligung bzw. auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO.

3. Hosting

Diese Website und der Kundenbereich werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf Servern in Deutschland gehostet. Personenbezogene Daten, die hier erfasst werden, werden auf den Servern des Hosters gespeichert. Der Hoster verarbeitet Daten ausschließlich zum genannten Zweck und in Übereinstimmung mit der DSGVO. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

4. Server-Logfiles

Der Provider erhebt und speichert automatisch Informationen in sogenannten Server-Logfiles, die Ihr Browser automatisch übermittelt: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

5. Schriftarten und externe Inhalte

Die Schriftarten Marcellus und Work Sans sowie alle Bilder und Skripte werden lokal von unserem eigenen Server geladen. Es findet keine Verbindung zu externen Anbietern wie Google Fonts oder Content-Delivery-Netzwerken statt; Ihre IP-Adresse wird beim Laden der Seite nicht an Dritte übermittelt. Einzige Ausnahme ist die Besucherstatistik auf den öffentlichen Seiten (Abschnitt 7).

6. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein. Das Session-Cookie enthält eine zufällige Kennung, schützt Formulare vor Missbrauch (CSRF-Schutz) und hält Sie im Kundenbereich angemeldet. Es wird beim Schließen des Browsers bzw. nach Abmeldung ungültig. Wählen Sie selbst eine Sprache, merkt sich Ihr Browser diese Wahl in einem Sprach-Cookie (nur der Sprachcode, z. B. „en“, ein Jahr gültig), damit Website und Anmeldeseite in Ihrer Sprache erscheinen. Nach der Anmeldung im Kundenbereich setzen wir ein Geräte-Cookie. Es enthält eine zufällige, signierte Kennung und dient allein dazu, Ihren Browser als bekanntes Gerät wiederzuerkennen, damit wir Sie nur bei Anmeldungen von neuen Geräten per E-Mail warnen, auch wenn sich Ihre IP-Adresse ändert (z. B. bei iCloud Privat-Relay, VPN oder Mobilfunk). Bei uns ist nur ein verschlüsselter Kennwert dieser Kennung gespeichert. Das Geräte-Cookie ist ein Jahr gültig, wird bei jeder Anmeldung verlängert und bleibt nach der Abmeldung bestehen. Sie können es jederzeit in Ihrem Browser löschen; Ihr Browser gilt dann bei der nächsten Anmeldung aus einem anderen Netz als neues Gerät. Öffnen Sie einen Link aus einer unserer E-Mails, speichert Ihr Browser den darin enthaltenen Einmal-Schlüssel für wenige Sekunden in einem technisch notwendigen Cookie (höchstens 5 Minuten), damit der Schlüssel nicht in der Adresszeile bleibt. Schließen Sie auf der Startseite einen Hinweisstreifen zu einem Pilotprogramm (Cookie „cx_pilot_bar“) oder zu einer Aktion (Cookie „cx_promo_bar“), merkt sich Ihr Browser das jeweils in einem Cookie, damit der Streifen nicht erneut erscheint: beim Pilotprogramm nur den Wert „0“, bei der Aktion nur die Kennung der geschlossenen Aktion. Beide Cookies sind ein Jahr gültig, enthalten keine Personenkennung und werden nicht an Dritte weitergegeben. Ihre Wahl zwischen hellem und dunklem Design speichert Ihr Browser lokal (Local Storage); diese Information wird nicht an uns übertragen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

7. Besucherstatistik (Plausible Analytics)

Um zu verstehen, wie unsere öffentliche Website genutzt wird, setzen wir den Statistikdienst Plausible Analytics ein (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland). Gemessen werden nur die öffentlichen Seiten von complass.de, nicht der Kundenbereich, nicht die Anmeldung und nicht die Formulare. Wer angemeldet ist, wird nicht gezählt. Plausible arbeitet ohne Cookies, speichert nichts auf Ihrem Gerät und erstellt keine Nutzerprofile. Beim Aufruf einer Seite werden die aufgerufene Adresse (von den Parametern bleiben nur Seiten- und Sprachkennung sowie Kampagnenkennungen wie utm_source), die verweisende Seite (Referrer), Browser, Betriebssystem, Gerätetyp, die Sprache der Seite und das aus der IP-Adresse abgeleitete Land bzw. die Region übermittelt. Die IP-Adresse selbst wird nicht gespeichert: Sie wird zusammen mit der Browserkennung und einem täglich wechselnden Zufallswert in eine nicht rückrechenbare Kennung umgewandelt, die nach 24 Stunden ihren Bezug verliert. Außerdem erfassen wir anonym, ob ein Link zur Demo-, Partner- oder sonstigen Anfrage oder zur Anmeldung, ein E-Mail- oder Telefonlink, ein externer Link oder ein Download angeklickt wird, und ob eine Anfrage über das Formular abgeschickt wurde (nur Ereignis und Art der Anfrage, keine Formularinhalte). Die Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet und nur in zusammengefasster Form ausgewertet. Mit Plausible besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. durch eine Nachricht an info@complass.eu oder durch einen Werbe- bzw. Skriptblocker in Ihrem Browser.

In der Tour unter complass.de/de/tour zählen wir auf unserem eigenen Server, wie oft ein Kapitel gestartet wird, und speichern dabei nur Kapitel, Sprache, Tag und Anzahl, ohne IP-Adresse, Cookie, Browserangabe oder Herkunftsseite. Zum Schutz vor Missbrauch verarbeiten wir dabei wie bei unseren Formularen kurzzeitig einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP) zur Ratenbegrenzung.

Darüber hinaus setzen wir keine Tracking- oder Werbedienste und keine Cookies zu Marketing- oder Statistikzwecken ein. Im Kundenbereich gibt es keine Besucherstatistik.

8. Demo-, Partner- und sonstige Anfragen

Über das Formular auf complass.de können Sie eine Vorführung, eine Partnerschaft oder ein Angebot anfragen oder uns eine sonstige Anfrage stellen. Pflichtangaben sind Name, Unternehmen und E-Mail-Adresse; freiwillig können Sie Ihre Telefonnummer (für einen Rückruf) angeben und auswählen, worum es Ihnen geht (z. B. NIS2, Cyber Resilience Act, ISO 27001, IEC 62443). Kommen Sie aus dem Preiskonfigurator, senden wir Ihre dortige Auswahl mit. Die Angaben werden in einer Datenbank auf Servern in Deutschland gespeichert; eine Kopie geht zur Bearbeitung an unser E-Mail-Postfach. Zum Schutz vor Missbrauch speichern wir zusätzlich einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP). Anfragen über eine frühere, ausführlichere Fassung des Formulars können außerdem Position, Nachricht und weitere freiwillige Angaben enthalten.

Nach dem Absenden können Sie freiwillig „das Gespräch vorbereiten“, jeweils aus vorgegebenen Auswahlwerten: Branche, Unternehmensgröße (Mitarbeitende), Anlass bzw. Frist (z. B. geplantes Audit, Kundennachweis, NIS2, CRA, Maschinenverordnung) und bei Demo-Anfragen den Wunschzeitraum. Dieser Schritt lässt sich überspringen und ist bis 48 Stunden nach dem Absenden bzw. der Bestätigung möglich. Wir nutzen diese Angaben, um die Vorführung und unser Angebot auf Ihr Unternehmen abzustimmen und Anfragen intern zu ordnen; daraus leiten wir intern eine grobe erste Einschätzung ab, welche Regelwerke für Sie in Betracht kommen. Diese Einschätzung ist keine rechtliche Prüfung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Ohne diese Angaben bearbeiten wir Ihre Anfrage genauso. Speicherung, Rechtsgrundlage und Löschung wie bei den übrigen Formularangaben.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, bei Demo-, Partner- und sonstigen Anfragen zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Anfragen bestätigen Sie über einen Link in einer E-Mail (Double-Opt-in); unbestätigte Anfragen löschen wir nach 30 Tagen automatisch. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an info@complass.eu. Wir löschen Ihre Daten nach Ihrem Widerruf, spätestens jedoch zwölf Monate nach dem letzten Kontakt, sofern keine weitergehende Geschäftsbeziehung entsteht.

Früher konnten Sie sich zusätzlich auf eine Warteliste setzen lassen. Diese Angaben verarbeiten wir nur noch, um Sie wie zugesagt zu informieren, und löschen sie nach den genannten Fristen.

8a. Betroffenheitscheck

Der Betroffenheitscheck auf complass.de/betroffenheits-check wertet Ihre Antworten ausschließlich im Arbeitsspeicher unseres Servers aus, um Ihnen sofort ein Ergebnis anzuzeigen. Ihre Antworten werden nirgends gespeichert, nicht in einer Datenbank, nicht in einer Datei und nicht in Ihrer Session, und nicht protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Nur wenn Sie im Ergebnis ausdrücklich auf „Ergebnis mit Demo-Anfrage senden“ klicken, übergeben wir eine kurze, aus Ihren Antworten berechnete Textzusammenfassung an das Anfrageformular. Die Zusammenfassung selbst enthält keine Kontaktdaten; sie wird erst zu personenbezogenen Daten, sobald Sie sie zusammen mit Ihrer Anfrage absenden, und auch dann nur, wenn Sie dort zusätzlich die eigene, nicht vorangekreuzte Einwilligung „Ergebnis meines Betroffenheitschecks mit der Anfrage senden“ ankreuzen. Rechtsgrundlage für diese Übergabe ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, für die Demo-Anfrage selbst, Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) wie unter Abschnitt 8. Ohne diesen Klick und dieses Kästchen entsteht aus dem Check keine Speicherung.

Da das Absenden des Formulars (auswerten oder Ergebnis senden) technisch eine Session Ihres Browsers benötigt, setzt es ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG; reines Lesen der Seite setzt kein Cookie.

Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Klartext-Protokoll der Antworten); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).

8b. CRA-Meldefristen-Rechner

Der CRA-Meldefristen-Rechner auf complass.de/cra-meldefristen berechnet aus Ihren Angaben (Art der Meldung, Zeitpunkt der Kenntnis, Zeitzone und gegebenenfalls weitere Zeitpunkte) die Meldefristen ausschließlich im Arbeitsspeicher unseres Servers. Ihre Angaben werden nirgends gespeichert, nicht in einer Datenbank, nicht in einer Datei und nicht in Ihrer Session, und nicht protokolliert. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Das Ergebnis wird an kein anderes Formular übergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden der Berechnung setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8c. KI-Risikoklassen-Check

Der KI-Risikoklassen-Check auf complass.de/ki-risiko-check ordnet ein KI-System aus Ihren Angaben (Rolle, Einsatzzwecke und Eigenschaften des Systems) ausschließlich im Arbeitsspeicher unseres Servers ein. Ihre Angaben werden nirgends gespeichert, nicht in einer Datenbank, nicht in einer Datei und nicht in Ihrer Session, und nicht protokolliert. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Das Ergebnis wird an kein anderes Formular übergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8d. Whitepaper

Über die Seite complass.de/whitepaper können Sie Whitepaper zu einzelnen Regelwerken (z. B. NIS2, Cyber Resilience Act) als PDF anfordern. Pflichtangabe ist Ihre E-Mail-Adresse; Name und Unternehmen sind freiwillig. Wir speichern die Angaben sowie einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP) in einer Datenbank auf Servern in Deutschland und senden Ihnen per E-Mail einen Download-Link (gültig 7 Tage, höchstens 5 Verwendungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung Ihrer Anfrage, vorvertragliche Maßnahme).

Beim Absenden können Sie zusätzlich und unabhängig voneinander zwei freiwillige, nicht vorausgewählte Einwilligungen erteilen: (a) Information per E-Mail über neue und aktualisierte Whitepaper, und (b) Kontaktaufnahme für ein unverbindliches Gespräch. Der Download des Whitepapers hängt von keiner der beiden Einwilligungen ab. Beide bestätigen Sie über einen separaten Link in derselben E-Mail (Double-Opt-in); ohne Bestätigung werden sie nicht wirksam. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Bestätigen Sie (b), übernehmen wir Ihre Angaben zusätzlich in unsere Interessentenverwaltung (siehe Abschnitt 8) und eine Mitarbeiterin oder ein Mitarbeiter meldet sich persönlich bei Ihnen.

Sie können die Einwilligung (a) jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder weiteren Information oder per E-Mail an info@complass.eu. Löschfristen: Ohne bestätigte Einwilligung löschen wir die Anfrage nach 30 Tagen; mit bestätigter Einwilligung (a) löschen wir spätestens 24 Monate nach der letzten E-Mail an Sie; nach einem Widerruf ohne weitere aktive Einwilligung löschen wir nach weiteren 30 Tagen. Eine bestätigte Kontaktanfrage (b) folgt der Aufbewahrung der Interessentenverwaltung (Abschnitt 8). Eine Weitergabe an Dritte findet nicht statt. Für die Nutzung der Seiten selbst gilt zusätzlich unsere Besucherstatistik (Abschnitt 7): Wir erfassen anonym, dass ein Whitepaper angefragt wurde und welches, ohne Formularinhalte oder E-Mail-Adresse.

Direktversand auf Ihre Bitte: Bitten Sie eine Mitarbeiterin oder einen Mitarbeiter von Complass persönlich um ein Whitepaper, etwa im Gespräch auf einer Messe oder am Telefon, senden wir es Ihnen per E-Mail mit einem Download-Link (gültig 7 Tage, höchstens 5 Verwendungen). Wir speichern Ihre E-Mail-Adresse, Name und Unternehmen (soweit angegeben), Whitepaper und Sprache, Anlass und Datum des Gesprächs, die versendende Person sowie die Zahl der Downloads und vermerken die Anfrage in unserer Interessentenverwaltung, ausdrücklich ohne Werbeeinwilligung. Die E-Mail enthält alle Datenschutzhinweise und keine Werbung. Empfänger ist nur unser Hoster Hetzner (Abschnitt 3: Hosting, E-Mail-Postfach und E-Mail-Versand in Deutschland) als Auftragsverarbeiter; eine Übermittlung in Länder außerhalb der EU findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen für Ihr Unternehmen Art. 6 Abs. 1 lit. f DSGVO; für den Vermerk Art. 6 Abs. 1 lit. f DSGVO (Dokumentation unserer Geschäftskontakte und Nachweis der Zusendung). Sie können jederzeit widersprechen. Werbung und Newsletter senden wir nur mit Ihrer ausdrücklichen Einwilligung. Wir löschen die Angaben 12 Monate nach dem Versand, nach einem Widerspruch sofort.

Partner-Whitepaper: Sprechen wir mit Ihnen oder Ihrem Unternehmen über eine mögliche Partnerschaft, senden Ihnen Vertrieb oder Geschäftsführung von Complass unser vertrauliches Partner-Whitepaper per E-Mail mit einem Download-Link (gültig 7 Tage, höchstens 5 Verwendungen) oder als Anhang. Jede Ausgabe trägt den Namen Ihres Unternehmens und eine Ausgabenummer. Wir speichern Name, Unternehmen und E-Mail-Adresse, Unterlage, Sprache und Version, Ausgabenummer, Datum und versendende Person sowie die Zahl der Downloads, damit wir nachweisen können, wer welche vertrauliche Ausgabe erhalten hat. Eine Aufnahme in unsere Interessentenverwaltung, Werbung oder Newsletter sind damit nicht verbunden. Empfänger ist nur unser Hoster Hetzner (Abschnitt 3) als Auftragsverarbeiter; eine Übermittlung in Länder außerhalb der EU findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme), für den Nachweis Art. 6 Abs. 1 lit. f DSGVO (Nachverfolgbarkeit vertraulicher Unterlagen). Sie können jederzeit widersprechen. Die ausgestellte Datei löschen wir 30 Tage nach Ablauf des Links, den Eintrag 12 Monate nach dem Versand, nach einem Widerspruch sofort.

8e. Warteliste für einzelne Pakete (bestehende Einträge)

Bis zum 10.10.2026 konnten Sie sich auf unseren Seiten für Branchen und Rollen für ein Paket, das noch nicht buchbar war, auf eine Warteliste setzen lassen. Eine neue Eintragung ist nicht mehr möglich. Bestehende Einträge verarbeiten wir nur noch, bis sie nach den folgenden Regeln gelöscht sind. Gespeichert sind Ihre E-Mail-Adresse, freiwillig angegebenes Unternehmen und freiwillig angegebener Name, das gewählte Paket, die Seite, von der Sie kamen (Branche oder Rolle), die Sprache, der Wortlaut Ihrer Einwilligung, der Zeitpunkt und zum Schutz vor Missbrauch ein verschlüsselter Kennwert Ihrer IP-Adresse (keine Klar-IP). Die Daten liegen in einer Datenbank auf Servern in Deutschland.

Zweck ist allein, Sie einmalig per E-Mail zu benachrichtigen, sobald das Paket buchbar ist. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Hatten Sie Ihre Eintragung noch nicht über den Link in unserer E-Mail bestätigt (Double-Opt-in), können Sie das innerhalb der dort genannten Frist noch tun; unbestätigte Einträge löschen wir 30 Tage nach der Eintragung automatisch. Nach der Benachrichtigung löschen wir Ihren Eintrag. Wird das Paket nicht innerhalb von 24 Monaten nach Ihrer Bestätigung buchbar, löschen wir ihn spätestens dann.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail zur Warteliste oder per E-Mail an info@complass.eu. Ihr Eintrag wird dann sofort gelöscht. Eine Weitergabe an Dritte findet nicht statt.

8f. Compliance-Kostenrechner

Der Compliance-Kostenrechner auf complass.de/de/compliance-kostenrechner schätzt aus Ihren Angaben (Regelwerk, Unternehmensgröße, Umfang, Vorkenntnisse, Branche und gegebenenfalls Ihre eigenen Annahmen wie Tagessatz, Kosten einer Arbeitsstunde und Stunden je Woche) Kosten, internen Aufwand und Dauer einer Umsetzung, ausschließlich im Arbeitsspeicher unseres Servers. Ihre Angaben werden nirgends gespeichert, nicht in einer Datenbank, nicht in einer Datei und nicht in Ihrer Session, und nicht protokolliert. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Nur die Vorauswahl einer Branche oder eines Regelwerks über einen Link von unseren Seiten steht in der Adresse. Das Ergebnis wird an kein anderes Formular übergeben. Laden Sie das Ergebnis als PDF herunter, werden Ihre Angaben dafür erneut per POST übertragen und nur zum Erstellen der Datei im Arbeitsspeicher verarbeitet; auch die PDF-Datei wird bei uns nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden der Berechnung setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8f. Bestellung über das Bestellformular

Bestellen Sie ein Paket über unser Bestellformular, verarbeiten wir Ihren Namen, Ihre Position, Ihre E-Mail-Adresse und Telefonnummer, Firma, Rechnungsanschrift, USt-IdNr., eine abweichende E-Mail-Adresse für Rechnungen, Ihre Bestellnummer, Ihre Anmerkungen, die bestellte Auswahl mit den Preisen zum Zeitpunkt der Bestellung, die Sprache sowie Ihre Zustimmung zu den AGB und Ihre Bestätigung, für ein Unternehmen zu bestellen (jeweils mit Zeitpunkt und der Fassung der AGB), und zum Schutz vor Missbrauch einen verschlüsselten Wert aus Ihrer IP-Adresse (nicht die IP-Adresse selbst). Die Daten speichern wir in einer Datenbank auf Servern in Deutschland.

Zweck ist die Bearbeitung Ihrer Bestellung, der Abschluss und die Durchführung des Vertrags sowie die Rechnungsstellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen) und für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten. Bevor wir eine Bestellung bearbeiten, bitten wir Sie, Ihre E-Mail-Adresse über einen Link zu bestätigen. Unbestätigte Bestellungen löschen wir 30 Tage nach dem Absenden automatisch. Bestellungen und den Nachweis Ihrer Zustimmung zu den AGB bewahren wir als Geschäftsunterlagen für die gesetzliche Frist auf (in der Regel sechs Jahre, für Unterlagen mit Bedeutung für die Rechnung zehn Jahre), auch wenn Ihr Unternehmen später seine Daten im Kundenbereich löscht.

Zur Prüfung einer angegebenen USt-IdNr. fragen wir auf Veranlassung unserer Mitarbeitenden beim Mehrwertsteuer-Informationsaustauschsystem (MIAS/VIES) der Europäischen Kommission an, ob die Nummer gültig ist. Dabei übermitteln wir nur Länderkennung und Nummer. Eine Weitergabe an sonstige Dritte findet nicht statt.

9. Kundenbereich

Für die Nutzung des Kundenbereichs verarbeiten wir die Daten Ihres Benutzerkontos (Name, E-Mail-Adresse, Unternehmen, Rolle, Passwort als sicherer Hash, verschlüsselter Schlüssel für die Zwei-Faktor-Anmeldung) sowie ein Protokoll sicherheitsrelevanter Vorgänge wie Anmeldungen und Änderungen mit Zeitpunkt und IP-Adresse. In vertraulichen Bereichen (Vorfälle, Betroffenenanfragen, Schwachstellenmeldungen, Nachweisdateien) protokollieren wir außerdem, wer einen Datensatz angesehen oder heruntergeladen hat, mit einem Verweis auf den Datensatz, nie mit dessen Inhalt; ruft dieselbe Person denselben Datensatz innerhalb von 15 Minuten erneut auf, entsteht kein weiterer Eintrag. Ansehen und Herunterladen im Hinweisgebersystem halten wir nur im Fallverlauf fest, den ausschließlich die Meldestelle Ihres Unternehmens sieht. Das Protokoll ist gegen nachträgliche Änderung geschützt (manipulationserkennbar) und wird verschlüsselt außerhalb des Servers gesichert. Einsehen können es Personen Ihres Unternehmens mit dem Recht „Kundenprotokoll“; es wird nicht zur Leistungs- oder Verhaltenskontrolle ausgewertet. Fehlgeschlagene Anmeldeversuche werden zum Schutz vor Angriffen 24 Stunden gespeichert. Im Protokoll kürzen wir IP-Adressen nach 90 Tagen und löschen Einträge nach 24 Monaten oder nach der von Ihrem Unternehmen gewählten Frist (12 bis 120 Monate). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Systemnachrichten wie Einladungen und Erinnerungen versenden wir per E-Mail.

Sicherheitsprotokoll: Zum Schutz vor Angriffen auf die Anmeldung erfassen wir Sicherheitsereignisse, insbesondere fehlgeschlagene Anmeldungen und Codes, Kontosperren, gesperrte Verbindungen, Anmeldungen von neuen Geräten sowie Zugriffe auf typische Angriffsziele. Gespeichert werden Zeitpunkt, Art des Ereignisses, das betroffene Benutzerkonto und Unternehmen (falls vorhanden), die eingegebene Anmeldeadresse, die vollständige und die gekürzte IP-Adresse, ein verschlüsselter Kennwert der IP-Adresse, der aus der IP-Adresse abgeleitete ungefähre Ort (Land, Region, Stadt) sowie Browserfamilie und Betriebssystem. Gehört die eingegebene Anmeldeadresse zu keinem Konto, speichern wir sie nur gekürzt (die ersten drei Zeichen und die Domain), weil in das Namensfeld gelegentlich versehentlich ein Passwort eingegeben wird. Passwörter und Codes werden nie gespeichert. Den ungefähren Ort ermitteln wir mit einer lokal auf unserem Server gespeicherten Datenbank (DB-IP.com); die IP-Adresse wird dafür nicht an Dritte übermittelt. Für die Erkennung neuer Geräte speichern wir je Konto und Gerät einen Kennwert aus Browserfamilie, Betriebssystem und Netzbereich sowie einen verschlüsselten Kennwert der Kennung aus dem Geräte-Cookie (siehe Abschnitt 6). Zweck ist die Erkennung und Abwehr von Angriffen auf die Anmeldung, z. B. das Sperren angreifender Verbindungen und die Auswertung, woher Angriffe kommen und welche Konten betroffen sind. Die vollständige IP-Adresse kürzen wir nach 30 Tagen, den Kennwert der IP-Adresse entfernen wir nach 90 Tagen, die Ereignisse einschließlich des ungefähren Orts löschen wir nach 90 Tagen, bekannte Geräte nach 365 Tagen ohne Anmeldung. Administratoren Ihres Unternehmens sehen die Ereignisse an den Konten Ihres Unternehmens, nicht aber Anmeldeversuche mit Adressen, die zu keinem Konto gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes, vgl. Art. 32 DSGVO).

Inhalte, die Ihr Unternehmen im Kundenbereich erfasst (z. B. Projekte, Nachweise, Aufgaben), verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des mit Ihrem Unternehmen geschlossenen Vertrags.

KI-Ausfüllhilfe: Die KI-Ausfüllhilfe ist standardmäßig ausgeschaltet. Nur Inhaber und Administratoren eines Unternehmens können sie einschalten; vorher zeigt Complass, welche Daten wohin übertragen werden. Ist sie eingeschaltet und klickt eine Person bei einem Textfeld auf „KI-Vorschlag“, senden wir für dieses Feld den Hilfetext von Complass, die verknüpften Gesetzestexte und den gespeicherten Text des Eintrags (bei Aufgaben Titel und Beschreibung, bei Fragebögen zusätzlich bis zu fünf passende freigegebene Antworten Ihrer Antwortbibliothek) an unseren Unterauftragsverarbeiter Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Dienst Amazon Bedrock), der daraus mit einem Sprachmodell von Anthropic einen Formulierungsvorschlag erzeugt. Bei der Prüfung von Lieferantenantworten sind das zusätzlich die Frage und die Antwort des Lieferanten. Namen der Personen mit Zugang zu Ihrem Konto, den Namen des Unternehmens und seiner Standorte, E-Mail-Adressen, Telefonnummern und IP-Adressen ersetzen wir vor dem Versand durch Platzhalter, auch in eigenen Lieferantenfragen und eigenen Nachweis-Hinweisen; Namen anderer Personen im Text erkennen wir nicht. Dateien und andere Datensätze werden nicht übertragen. Die Verarbeitung erfolgt in Rechenzentren von Amazon Web Services in der EU. Amazon Web Services verwendet die Daten nicht zum Training von Modellen und speichert Anfragen und Vorschläge nicht; der Anbieter des Sprachmodells erhält keinen Zugriff. Amazon Web Services ist eine Tochtergesellschaft eines Unternehmens mit Sitz in den USA; die Verarbeitung in der EU schließt Herausgabeverlangen von US-Behörden nicht vollständig aus. Bei uns speichern wir den Vorschlag, die genannten Quellen und die Entscheidung der Person (übernommen, bearbeitet, verworfen) 12 Monate, die Anfrage selbst nur als Prüfsumme; Einsicht haben nur Inhaber und Administratoren Ihres Unternehmens, nicht unsere Mitarbeitenden. Wird ein Vorschlag gespeichert, vermerken wir am Feld, dass der Text KI-unterstützt formuliert wurde (Modell, Zeitpunkt, Person, Prüfsumme des Textes, kein Text); dieser Vermerk bleibt, solange der Datensatz besteht und der Text nicht von Hand geändert wird; bei der Wiederherstellung aus einem Kundenpaket wird er nicht übernommen. Ein Vorschlag wird nie automatisch übernommen; es entscheidet immer eine Person. Wir verarbeiten diese Daten als Auftragsverarbeiter Ihres Unternehmens nach Art. 28 DSGVO; Amazon Web Services ist in der Liste der Unterauftragsverarbeiter unseres Vertrags zur Auftragsverarbeitung aufgeführt.

Löschung auf Wunsch: Administratoren Ihres Unternehmens können unter „Verwaltung → Unternehmen und Daten löschen“ vorher alle Daten exportieren und anschließend die Löschung aller Daten des Unternehmens beantragen (erneute Anmeldung mit Passwort und Zwei-Faktor-Code, Bestätigung per E-Mail, Wartefrist von 7 Tagen, in der die Löschung abgebrochen werden kann). Danach löschen wir alle Inhalte, Nachweisdateien, Benutzerkonten und das Protokoll des Unternehmens und senden eine Löschbestätigung. Ausgenommen sind Rechnungen und Buchungsbelege, die wir und unser Zahlungsdienstleister Stripe im Rahmen der gesetzlichen Aufbewahrungsfristen aufbewahren; dafür bleiben Abo und Rechnungsanschrift ohne Personenbezug gespeichert. Verschlüsselte Sicherungen (auf dem Server, als Kopie außerhalb des Servers in Deutschland und als monatliche Offline-Kopie) werden nach spätestens 60 Tagen gelöscht oder überschrieben. Da jedes Unternehmen in unseren Sicherungen einen eigenen Schlüssel hat, den wir mit der Löschung vernichten, sind Ihre Daten in den meisten Sicherungen schon sofort unlesbar; die Sicherung des Sicherheitsprotokolls folgt dessen Löschfrist von 90 Tagen. Tickets, die Ihr Unternehmen bereits an uns gesendet hat, bewahren wir ohne Personenbezug (anonymisiert) auf. Sie können die Löschung auch jederzeit per E-Mail an info@complass.eu verlangen.

10. Ihre Rechte

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ein Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Zudem steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO); einer Verarbeitung zur Direktwerbung können Sie ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO).

11. Kontakt für Datenschutzanfragen

Für Fragen zum Datenschutz erreichen Sie uns unter info@complass.eu.

Einen Datenschutzbeauftragten haben wir nicht benannt, da keine gesetzliche Pflicht dazu besteht.