Datenschutzinformationen für Personen, die mit der Verantwortlichen per WhatsApp kommunizieren

Begriffe

Für die Zwecke der nachfolgenden Datenschutzinformationen gelten die folgenden Begriffe, wobei sich alle Personenbezeichnungen auf alle Geschlechter und die damit verbundenen Sprachformen beziehen und stets mit dem Zusatz “m/w/d” zu verstehen sind:

Verantwortliche. Verantwortliche für die Datenverarbeitung ist die Institut für Persönlichkeit – B&A GmbH, Bayenthalgürtel 40, 50968 Köln, T +49 (0)221 66 99 99 22, F +49 (0)221 66 99 99 23, E info@institut-fuer-persoenlichkeit.de, vertreten durch die Geschäftsführer Markus Brand und Frauke Munson-Ion.
Betroffene. Betroffene sind alle natürliche Personen, die Kunden der Verantwortlichen sind, einschließlich potentieller, aktueller und ehemaliger Kunden.
Personenbezogene Daten. Das sind alle Informationen, die mittelbar oder unmittelbar Rückschlüsse auf natürliche Personen, mithin menschliche Wesen zulassen.
Verarbeitung personenbezogener Daten. Das ist jedweder aktive oder passive Umgang mit personenbezogenen Daten, von der Erhebung über die Kernverarbeitung bis zur Löschung.
Einwilligung. Das ist eine nachweisbare Willenserklärung, mit der die Betroffenen einer konkreten Datenverarbeitung freiwillig und vorab zustimmen.

Hinweise an die Betroffenen

(1) Die Betroffenen haben mit Blick auf die zu ihrer Person gespeicherten Daten folgende Rechte: Das Recht auf Auskunft, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung von Daten, für die es keinen Aufbewahrungsgrund mehr gibt, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Ferner haben sie das Recht, sich bei der für die Verantwortliche zuständigen Aufsichtsbehörde zu beschweren.

(2) Beruht die Verarbeitung auf einer Einwilligung, können die Betroffenen ihre Einwilligung jederzeit und mit Wirkung für die Zukunft widerrufen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (vgl. Begriffe / Verantwortliche).

(3) Beruht die Verarbeitung auf einem berechtigten Interesse, mithin auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, können die Betroffenen der Verarbeitung jederzeit widersprechen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (vgl. Begriffe / Verantwortliche). Falls der Widerspruch begründet ist, wird die Verarbeitung beendet. Sofern das berechtigte Interesse im Direktmarketing liegt; ist der Widerspruch stets begründet.

(4) Eine automatisierte Entscheidungsfindung, einschl. Profiling, findet nicht statt.

(5) Eine rechtliche Verpflichtung zur Verarbeitung besteht nur, sofern nachfolgend auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO Bezug genommen wird.

(6) Sofern nachfolgend eine Datenverarbeitung beschrieben wird, heißt das nicht, dass die Betroffenen einen irgendwie gearteten Anspruch auf die damit verbundenen Handlungen haben (z.B. Medienaufnahmen, Bewertungen). Die Ansprüche des Betroffenen ergeben sich aus den Absätzen 1 bis 3 dieses Abschnitts. Die nachfolgend dargestellten Datenverarbeitungen beschreiben nur mögliche Handlungsweisen, die aber nicht auf alle Betroffenen zutreffen.

(7) Sofern personenbezogene Daten an Stellen außerhalb der Europäischen Union übermittelt (Drittland) werden, muss die Verantwortliche ergänzende Schutzgarantien nach Artikel 44 ff. DSGVO mitteilen. Beruft sich die Verantwortliche auf

· Artikel 45 DSGVO, bedeutet dies, dass die empfangende Stelle in einem Land, Gebiet oder spezifischen Sektor sitzt, zu dem die EU-Kommission beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet.

· Artikel 46 DSGVO i.V.m. EU-Standardvertragsklauseln beruft, bedeutet dies, dass sich die empfangende Stelle vertraglich dazu verpflichtet hat, die Grundsätze des EU-Datenschutzrechts zu achten und dies auf Grundlage eines Mustervertrages der EU-Kommission.

· Artikel 47 DSGVO beruft, bedeutet dies, dass die empfangende Stelle sich verbindlichen, internen Datenschutzvorschriften unterworfen hat, die von einer in der EU sitzenden Aufsichtsbehörde genehmigt wurden.

· Artikel 49 Absatz 1 lit. a DSGVO beruft, bedeutet dies, dass die Betroffenen in Kenntnis aller Risiken der Datenübermittlung in ein Drittland zugestimmt hat.

Erwartbare Standarddatenverarbeitung

Anbahnung des Vertrages

Die Betroffenen und die Verantwortliche treten in Erstkontakt. Hierbei verarbeitet die Verantwortliche alle Daten, die die Betroffenen freiwillig zur Verfügung stellen. Das sind häufig die Kontaktdaten (Name, Kontaktdaten wie E-Mail-Adresse, Anschrift, Telefonnummer) sowie die Kommunikationsdaten (Schilderung des Inhalts, Gesprächsnotizen, Formulareinträge). Die Verantwortliche erstellt auf dieser Grundlage ein Angebot und speichert diese Daten. Zweck ist die Anbahnung bzw. Begründung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Durchführung des Vertrages

Beide Seiten erfüllen den Vertrag, soweit er zustandekommt. Hierbei erhebt die Verantwortliche die weiteren Kommunikations- und Abrechnungsdaten (Auslieferung Leistung, Beantwortung Nachfragen, Rechnungsdaten), um den Vertrag zu erfüllen. Zweck ist die Durchführung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Veränderungen bei der Datenverarbeitung

Sofern die Verantwortliche die Art und Weise der Datenverarbeitung verändert, insbesondere neue Empfänger einsetzt, wird sie die Betroffenen per E-Mail über die Veränderung informieren; dies, indem sie die aktualisierten Datenschutzinformationen übermittelt. Zweck ist die Erfüllung der Transparenzpflichten nach der DSGVO (Artikel 12 bis 14 DSGVO). Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO.

Ansprüche, Rechte und Konflikte im Vertragsverhältnis

(1) Sofern die Betroffenen ihre Rechte nach der DSGVO oder anderen rechtlichen Vorschriften (einschl. vertragliche Ansprüche) geltend machen, verarbeitet die Verantwortliche die Daten, um diese Ansprüche zu prüfen und ggf. zu erfüllen. Zweck ist die Prüfung von bzw. die Reaktion auf die Ansprüche, einschließlich der Erfüllung oder Zurückweisung der Ansprüche. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz lit. f DSGVO, wobei das berechtigte Interesse aus der Natur des jeweils geltend gemachten Rechts folgt.

(2) Im Fall eines rechtlichen Konflikts zwischen den Betroffenen und der Verantwortlichen werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben (z.B. Geltendmachung von Forderungen) und ggf., um einen externen Rechtsrat einzuholen. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, sämtliche Vorgänge, die im Zusammenhang mit dem rechtlichen Konflikt stehen. Die Verarbeitung dient Wahrnehmung externer, rechtlicher Beratung/Betreuung sowie Ausübung eigener Rechte der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus den vorgenannten Zwecken folgt.

Löschung, soweit keine Aufbewahrungsgründe bestehen

(1) Sobald die Daten den hier jeweils beschriebenen Zweck erfüllt haben, werden sie gelöscht. Die Löschung bezweckt die Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 1 litt. a, e DSGVO.

(2) Abweichend von Absatz 1 unterbleibt die Löschung in den gesetzlich vorgeschriebenen Fällen der Aufbewahrungspflichten.

Außergewöhnliche Datenverarbeitung

Kontaktaufnahme

(1) Die Verantwortliche hat an unterschiedlichen Eintrittspunkten (beispielsweise: Internetseite, Social-Media-Profile, QR-Codes usw.) die Möglichkeit eröffnet, per WhatsApp mit ihr in Kontakt zu treten.

(2) Verfügen die Betroffenen über einen WhatsApp-Account auf dem betroffenen mobilen Endgerät, wird ein Chat zwischen dem WhatsApp-Account der Betroffenen und dem WhatsApp-Account der Verantwortlichen geöffnet.

Hierbei wird die Telefonnummer und ggf. weitere, vom Betroffenen eingegebene Profildaten verarbeitet. Zweck ist die Anbahnung eines Vertragsverhältnisses. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

(3) Nur wenn die Betroffenen dann die Kommunikation aufnehmen, indem sie aktiv eine Nachricht übermitteln, wird ein externes Automations-Tool eingesetzt und kommuniziert automatisiert mit den Betroffenen; dies nach den Vorgaben der Verantwortlichen. Zweck ist die Anbahnung und Durchführung von Vertragsverhältnissen. Rechtsgrundlage ist grundsätzlich Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Werbliche Ansprache per E-Mail / WhatsApp (berechtigtes Interesse)

Die Verantwortliche nutzt die E-Mail-Adressen und WhatsApp-Kontaktdaten der Betroffenen, um diese werblich anzusprechen. Hierbei verarbeitet sie die folgenden Daten: Name, E-Mail-Adresse, WhatsApp-Kontaktdaten, Status Vertragsbeziehung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem Vertragsstatus und ErwG 47 DSGVO folgt.

Empfänger

Behörden der Finanzverwaltung

Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogene Daten der Betroffenen erhalten.

Gerichte

Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogene Daten der Betroffenen erhalten.

Stella

Es wird das Tool Messenger-Automations-Tool „Stella“ der Inextyn Consultancy EOOD (EU – Bulgarien) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Stella hat ihrerseits die Clare.AI Limited (Volksrepublik China, Sonderverwaltungszone: Hong-Kong) als Unterauftragsverarbeiterin mit der automatisierten Messenger-Kommunikation nach Artikel 28 DSGVO beauftragt. Diese Unterauftragsverarbeiterin erbringt Leistungen im Bereich automatisierten Kommunikation bei WhatsApp und ist ein Kooperationspartner der Anbieterin von WhatsApp. Die Unterauftragsverarbeiterin hat sich vertraglich verpflichtet, die Daten ausschließlich auf Servern innerhalb der EU zu verarbeiten. Nur vorsorglich und ergänzend wurde sie gemäß den Standardvertragsklauseln i.S.v. Artikel 46 DSGVO verpflichtet.

Zoho / Brevo

Es werden Anwendungen der Zoho Corporation sowie der Brevo (Sendinblue GmbH, Deutschland) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurden.

Eine nicht auszuschließende Übermittlung von Daten in ein Drittland kann gemäß Artikel 46 DSGVO durch den Abschluss von EU-Standardvertragsklauseln gerechtfertigt sein.

Folgende Anwendungen werden eingesetzt: