Datenschutz und Datenverarbeitung

Verantwortlicher und Verarbeitung nach Kundenweisung

Der Produktbetreiber ist Verantwortlicher für Kundenkontakte, Bestellungen, Dienstsicherheit und Support. Verarbeitet Workspace personenbezogene Daten im Auftrag einer Organisation, bestimmt diese die Zwecke; ihre Weisungen müssen durch Auftragsverarbeitungsbedingungen abgedeckt sein. Laden Sie nur Daten hoch, zu deren Verarbeitung Sie berechtigt sind. Der im Checkout genannte Zahlungsdienst oder Merchant of Record hat eigene Datenschutzhinweise und Verantwortlichkeiten.

Zwecke und Rechtsgrundlagen

Kontakt- und Bestelldaten dienen der Bereitstellung, Zugangsverwaltung und Unterstützung. Grundlage ist gegebenenfalls Vertragserfüllung oder das berechtigte Interesse an der Betreuung geschäftlicher Kontakte und der Dienstsicherheit. Gesetzlich erforderliche Unterlagen beruhen auf der jeweiligen rechtlichen Verpflichtung. Optionales Marketing und optionale Analytik beruhen auf der erforderlichen Einwilligung; ihr Widerruf berührt nicht die vorherige rechtmäßige Verarbeitung. Optionale Marketingeinwilligung ist keine Zugangsvoraussetzung.

Erhobene und erforderliche Daten

Käufe erfassen E-Mail, Organisation, Angebot, Betrag, Währung, Akzeptanz der Bedingungen und Zahlungskennungen. Diese Angaben sind für die Bereitstellung erforderlich; CRACompliance speichert keine Kartendaten. Assessment-Antworten betreffen Prozessbereitschaft: Geben Sie keine Schwachstellen-, Vorfalls-, Quellcode- oder SBOM-Daten ein. Workspace speichert berechtigt eingegebene Kundendatensätze, Nachweise und Prüfprotokolle. Automatisierte Bewertungsergebnisse werden nicht für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber Personen eingesetzt.

Empfänger und internationale Übermittlungen

Hetzner stellt Hosting, Brevo Transaktions-E-Mails und Stripe/Link die konfigurierten Zahlungsdienste bereit. E-Mail-Versand verarbeitet Empfängeradressen, Nachrichteninhalte und Zustellmetadaten; vermeiden Sie vertrauliche Anhänge in Support-E-Mails. Brevos AVV ist Bestandteil seiner Bedingungen. EU-Speicherung schließt Zugriffe aus Drittländern nicht aus: Die Bedingungen sehen internationale Verarbeitung mit anwendbaren Garantien wie Standardvertragsklauseln und, soweit gültig und anwendbar, dem EU-US Data Privacy Framework vor. Anbieterrollen und Garantien müssen für die genutzten Dienste dokumentiert werden; Informationen oder Kopien einschlägiger Garantien erhalten Sie beim Betreiber.

Aufbewahrung und Export

Nach der akzeptierten Aufbewahrungsregelung bleiben Workspace-Daten während der Dienstlaufzeit erhalten; nach endgültiger Beendigung folgt ein 30-tägiges Exportfenster für Administratoren. Deaktivierte Verlängerung oder vorübergehende Zahlungsprobleme lösen allein keine Löschung aus. Dokumentierte rechtliche Sperren, Nachweisaufbewahrung oder ungeklärte regulatorische Vorgänge blockieren die Löschung. Bestehende Organisationen müssen die Regelung akzeptieren; historische Datensätze werden nicht stillschweigend einbezogen. Der mandantengebundene Selbstbedienungsexport enthält JSON/GZIP, Anhänge und Prüfsummen. Geschützte Datensätze oder Exporte über 64 MiB erfordern vor Fristablauf eine betreiberunterstützte Prüfung.

Weitere Fristen und Sicherungskopien

Assessment-Antworten und Berichte bleiben bis zum Ende des gekauften Zugangs plus 30 Tage gespeichert. Bestätigt geschlossene unbezahlte Bestellungen werden nach 30 Tagen gelöscht; ungeklärte Zahlungszustände werden stattdessen geprüft. Der Betreiber prüft gewöhnliche Supportkorrespondenz zwölf Monate nach Fallabschluss auf Löschung, soweit keine dokumentierte gesetzliche Aufbewahrung greift; dies ist eine manuelle Supportkontrolle, keine automatische Postfachlöschung. Technische Protokolle sind für höchstens 30 Tage, gesonderte Sicherheitsprotokolle für höchstens 90 Tage konfiguriert. Erforderliche Abrechnungs- und Streitunterlagen folgen ihrer anwendbaren gesetzlichen Frist. Brevo-Zustellprotokolle sind auf einen Monat begrenzt, neue Nachrichtenvorschauen sind deaktiviert. Rotierende Dienstsicherungen laufen innerhalb von 30 Tagen nach primärer Löschung ab. Vor Freigabe wiederhergestellter Daten werden das aktuelle unabhängige Löschregister und die Aufbewahrungsregeln erneut angewandt. Dokumentierte rechtliche Sperren und ungeklärte Aufbewahrung erfordern Betreiberprüfung statt einer unbegrenzten automatisierten Aufbewahrungsentscheidung. Der Workspace-Auftragsverarbeitungsvertrag dokumentiert gesondert Kundenweisungen und Annahme.

Cookies und Rechte

Erforderliche Zugangs- und Sitzungscookies sowie eine ausdrücklich gewählte Sprache unterstützen den Dienst. Dieser EN-/DE-Auftritt lädt weder GA4 noch Clarity. Soweit anwendbar können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit verlangen, einer Verarbeitung aufgrund berechtigter Interessen widersprechen oder Einwilligungen widerrufen. Gesetzliche Aufbewahrung kann die Löschung beschränken. Kontaktieren Sie den Betreiber; Beschwerden bei der polnischen Aufsichtsbehörde UODO oder einer anderen zuständigen Behörde bleiben möglich. Daten werden weder verkauft noch ohne die gesonderte anwendbare Erlaubnis an Vermittlungspartner weitergegeben.

Konfigurierter Produktbetreiber

Bartosz Kowalczyk · ul. Gieysztora 4/161, 02-999 Warszawa · kontakt@cracompliance.pl

Nächste Schritte

Offizielle Quellen und Prüfungskontext

Regulation (EU) 2024/2847 · European Commission · ENISA SRP

CRA-I18N-RETENTION-2026-10-16-REVIEW-2