Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitungen auf dieser Website und im Rahmen der Vertragsabwicklung ist: Spektrion GmbH, Parkallee 3, 16727 Velten, Deutschland, E-Mail: kontakt@spektrion.de.

Ein Datenschutzbeauftragter ist derzeit nicht benannt; die Prüfung, ob eine Benennungspflicht besteht (Art. 37 DSGVO, § 38 BDSG), ist noch nicht abgeschlossen. Wird ein Datenschutzbeauftragter benannt, werden seine Kontaktdaten an dieser Stelle veröffentlicht. Bis dahin richten Sie datenschutzrechtliche Anliegen bitte an die vorstehende Anschrift oder an kontakt@spektrion.de.

2. Verantwortlichkeiten: Betreiber und Mandanten

Es ist zwischen zwei Rollen zu unterscheiden: Für die öffentliche Website, für Konten von Mandanten und Trainerinnen und Trainern sowie für die Vertrags- und Rechnungsabwicklung ist der Betreiber selbst Verantwortlicher.

Für die im Testverfahren verarbeiteten Daten der Teilnehmenden ist dagegen der jeweilige Mandant (das einladende Unternehmen bzw. die einladende Trainerin oder der einladende Trainer) Verantwortlicher. Der Betreiber verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

Nimmt eine Person auf Einladung des Betreibers selbst teil, etwa bei Vorführungen oder Pilotläufen ohne einladendes Unternehmen (eigene Läufe des Betreibers), ist der Betreiber für diese Daten Verantwortlicher; Abschnitt 8 gilt entsprechend.

Praktischer Wegweiser für Teilnehmende: Auskunfts-, Berichtigungs- und Löschanfragen zu einem Testdurchlauf richten Sie an den Mandanten, der Sie eingeladen hat; der Betreiber unterstützt ihn dabei technisch. Hat der Betreiber Sie selbst eingeladen oder haben Sie Fragen zur Website, wenden Sie sich unmittelbar an den Betreiber.

3. Hosting auf eigener Infrastruktur in Deutschland

Die Plattform wird vom Betreiber selbst verwaltet und auf Servern in einem deutschen Rechenzentrum betrieben (Hosting-Infrastruktur: IONOS SE, Deutschland). Beim Aufruf der Seiten werden technisch notwendige Server-Protokolle verarbeitet (IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Ressource, Referrer, User-Agent), um den Betrieb sicherzustellen, Fehler zu analysieren und Angriffe abzuwehren. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Analyse-, Statistik- oder Marketing-Dienste Dritter werden nicht eingesetzt; es findet kein Tracking zu Werbezwecken statt.

4. Cloudflare (CDN, DNS-Proxy, Tunnel und Datensicherungen)

Sämtlicher Datenverkehr dieser Website wird über das Content-Delivery-Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, geleitet (DNS-Proxy). Cloudflare entschlüsselt die Verbindungen dabei in seinem Netz und leitet sie über einen verschlüsselten Tunnel an die Server des Betreibers weiter; technisch sind Cloudflare dadurch neben den Verbindungsdaten (insbesondere IP-Adresse und Anfrage-Metadaten) auch die übertragenen Inhalte zugänglich, einschließlich der Eingaben im Testverfahren. Cloudflare wird dabei als Auftragsverarbeiter tätig, um Inhalte auszuliefern, die Website vor Angriffen — etwa DDoS-Attacken — zu schützen und die Verfügbarkeit sicherzustellen. Rechtsgrundlage ist das berechtigte Interesse an Sicherheit und Verfügbarkeit der Website (Art. 6 Abs. 1 lit. f DSGVO).

Zusätzlich speichert Cloudflare die verschlüsselten Datensicherungen der Plattform im Objektspeicher Cloudflare R2 (Region Westeuropa); den Schlüssel hat nur der Betreiber.

Dabei kann eine Übermittlung in die USA nicht ausgeschlossen werden. Die Übermittlung ist über die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert; Cloudflare ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

5. Cookies — ausschließlich technisch notwendig

Die öffentlichen Seiten setzen keine Cookies. Im geschlossenen Bereich werden ausschließlich technisch notwendige Cookies verwendet: ein Session-Cookie für den Login von Trainerinnen, Trainern und Mandanten sowie eine signierte Session für Teilnehmende während des Testdurchlaufs.

Diese Zugriffe sind für die ausdrücklich angeforderte Funktion zwingend erforderlich und daher einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG). Werbe- oder Tracking-Cookies werden nicht gesetzt; ein Cookie-Banner ist deshalb nicht erforderlich.

6. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail an kontakt@spektrion.de werden die mitgeteilten Daten (Absenderadresse, Inhalt der Nachricht) zur Bearbeitung des Anliegens verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt, im Übrigen das berechtigte Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Zusätzlich stellt der Betreiber auf seiner Website ein Kontaktformular bereit. Die dort angegebenen Daten (Firma, Ansprechperson, E-Mail-Adresse, Inhalt der Nachricht) werden ausschließlich zur Bearbeitung des Anliegens verarbeitet: Die Anfrage wird als E-Mail an das Postfach kontakt@spektrion.de übermittelt und nicht in einer Datenbank der Plattform gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt, im Übrigen das berechtigte Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO); zur Abwehr automatisierter Massenanfragen wird zudem die IP-Adresse kurzzeitig zur Begrenzung der Anfragehäufigkeit verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Die Angabe der Daten ist weder gesetzlich noch vertraglich vorgeschrieben (Art. 13 Abs. 2 lit. e DSGVO); ohne sie kann die Anfrage über das Formular allerdings nicht übermittelt werden — alternativ bleibt jederzeit der Weg per E-Mail. Auch diese Daten werden gelöscht, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Kundenkonten, Vertrags- und Rechnungsabwicklung

Für Mandanten- und Trainer-Konten verarbeitet der Betreiber Bestands- und Vertragsdaten (Name, Firmenangaben, E-Mail-Adresse, Login-Daten, Kontingent- und Rechnungsdaten). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für Rechnungs- und Buchhaltungsdaten zusätzlich die rechtliche Verpflichtung zur Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 14b UStG).

Die Bereitstellung dieser Daten ist für den Vertragsschluss erforderlich (Art. 13 Abs. 2 lit. e DSGVO); ohne sie können Konto und Leistungen nicht bereitgestellt werden.

Transaktionale E-Mails (etwa Einladungen, Erinnerungen, Rechnungsversand) werden über einen Mailserver des Betreibers auf Servern der netcup GmbH in Deutschland versendet und über den E-Mail-Versanddienst Amazon Simple Email Service (Amazon SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, an die Empfänger zugestellt — Absendeadresse no-reply@spektrion.de (nur ausgehend); Antworten und Anfragen laufen über kontakt@spektrion.de (Postfach des Betreibers auf demselben Mailserver).

Die Amazon Web Services EMEA SARL wird dabei als Auftragsverarbeiter tätig. Eine Übermittlung in die USA kann nicht ausgeschlossen werden; sie ist über die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert, und die Amazon Web Services, Inc. ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

8. Testverfahren: Daten der Teilnehmenden

Die Teilnahme am Testverfahren ist für Teilnehmende kostenfrei und erfolgt auf Einladung des jeweiligen Mandanten; ein Vertragsverhältnis mit dem Betreiber entsteht nicht. Voraussetzung ist ein Mindestalter von 18 Jahren, das vor Beginn abgefragt wird. Vor dem Test durchlaufen Teilnehmende einen eigenen Einwilligungs-Schritt: Sie willigen ausdrücklich in die Datenverarbeitung ein und bestätigen die Kenntnisnahme des Verfahrens. Rechtsgrundlage der Verarbeitung ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Verantwortlicher hierfür ist der Mandant bzw. bei eigenen Läufen der Betreiber (siehe Abschnitt 2).

Verarbeitet werden: die Testantworten, das Geburtsjahr, Vor- und Nachname (in der Datenbank AES-256-GCM-verschlüsselt gespeichert; in den erzeugten Ergebnis-Reports im Klartext enthalten), eine optional angegebene E-Mail-Adresse (für Einladung, Erinnerung, die Zustellung des eigenen Ergebnis-Reports als PDF, den Ergebnis-Abruf per Einmal-Code und eine einmalige Erinnerung rund vier Wochen nach Abschluss mit der Bitte um Rückmeldung) sowie die Bearbeitungszeiten je Frage (ausschließlich zur Qualitätssicherung des Verfahrens). Aus den Antworten werden Ergebnis-Reports (PDF) erzeugt.

Erstellt die Plattform für den Mandanten zusätzlich einen Abgleich mit dem Anforderungsprofil (Fit-Report), können Teilnehmende Auskunft darüber und eine Kopie dieses Abgleichs verlangen (Art. 15 DSGVO); die Anfrage richten sie an die Stelle, die sie eingeladen hat (siehe Abschnitt 2).

Weder eine gesetzliche noch eine vertragliche Pflicht zur Bereitstellung dieser Daten besteht (Art. 13 Abs. 2 lit. e DSGVO). Ohne Einwilligung, Geburtsjahr und Namensangaben ist eine Teilnahme jedoch technisch nicht möglich; die Angabe der E-Mail-Adresse ist freiwillig.

9. Keine automatisierte Letztentscheidung (Art. 22 DSGVO)

Die Analyse ist eine Orientierungshilfe und kein klinisches oder diagnostisches Verfahren. Die Plattform trifft keine Entscheidung über Teilnehmende und berechnet weder einen Gesamtwert noch eine Auswahlempfehlung. Entscheidungen über Folgeschritte trifft der einladende Mandant; er ist vertraglich verpflichtet, sie selbst zu treffen und zu dokumentieren. Der Fit-Report enthält dafür ein Feld zum Ausdrucken; einen Erfassungsschritt auf der Plattform gibt es nicht. Bei eigenen Läufen des Betreibers (Abschnitt 2) dient die Analyse als Gesprächs- und Entwicklungsgrundlage; der Betreiber trifft auf ihrer Grundlage keine Auswahlentscheidung über Teilnehmende.

10. Speicher- und Löschfristen

Daten aus dem Testverfahren (Antworten, Ergebnisse, Reports) werden nach mandantenspezifisch vereinbarten Fristen gelöscht; die Standardfrist beträgt 6 Monate nach Abschluss des Verfahrens. Wird ein Verfahren nicht abgeschlossen, werden die bis dahin gespeicherten Angaben 6 Monate nach seinem Beginn gelöscht; wurde ein Zugangs-Code eingelöst, aber kein Verfahren begonnen, werden die dazu gespeicherten Angaben 6 Monate nach der Einlösung gelöscht.

Rechnungs- und Buchhaltungsdaten werden entsprechend den gesetzlichen Aufbewahrungspflichten 10 Jahre aufbewahrt (§ 147 AO, § 14b UStG) und anschließend gelöscht.

Server-Protokolle werden nur so lange gespeichert, wie es für Betriebssicherheit und Fehleranalyse erforderlich ist.

11. Empfänger und Auftragsverarbeiter

Der Betreiber setzt als Auftragsverarbeiter ein: die IONOS SE (Hosting-/Rechenzentrums-Infrastruktur, Serverstandort Deutschland), die Cloudflare, Inc. (CDN, DNS-Proxy und Tunnel sowie Objektspeicher R2 für die verschlüsselten Datensicherungen, siehe Abschnitt 4), die netcup GmbH (Server-Infrastruktur des Mailservers des Betreibers in Deutschland für die Übergabe transaktionaler E-Mails an den Versanddienst und den Empfang von Antworten, siehe Abschnitt 7) sowie die Amazon Web Services EMEA SARL (E-Mail-Versanddienst Amazon SES für die Zustellung ausgehender E-Mails, siehe Abschnitt 7).

Innerhalb des Testverfahrens erhalten der einladende Mandant — bei eigenen Läufen der Betreiber — und die von ihm benannten Trainerinnen und Trainer Zugriff auf Ergebnisse und Reports; Teilnehmende erhalten ihren eigenen Ergebnis-Report.

12. Rechte der Betroffenen

Betroffene haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Unbeschadet anderweitiger Rechtsbehelfe besteht das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständige Aufsichtsbehörde am Sitz des Betreibers ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow.

13. Änderungen dieser Erklärung

Diese Erklärung wird versioniert. Maßgeblich ist die jeweils hier veröffentlichte Fassung; der Stand ist im Kopf der Seite ausgewiesen.