Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten nach dieser Datenschutzerklärung ist:

GEFIM UG (haftungsbeschränkt)
Neckarstraße 7
38120 Braunschweig
Deutschland

Vertreten durch die Geschäftsführer Marcel Hofmann und Martin Solarczek
Telefon: +49 531 18054080
E-Mail: info@gefim.de
Amtsgericht Braunschweig, HRB 211852
Umsatzsteuer-Identifikationsnummer: DE449952428

Für welche Angebote diese Erklärung gilt

Diese Datenschutzerklärung gilt für die Website nis2-berater.de. Außerdem gilt sie für unsere Anfrageformulare in LinkedIn-Anzeigen und unsere Unternehmensseite bei LinkedIn (Ziffer 16), für Anzeigen, die wir bei Facebook oder Instagram schalten (Ziffer 17), sowie für die Abwicklung und Abrechnung von Verträgen über unsere Schulungsplattform (Ziffer 11). Für unsere Unternehmenswebsite gefim.de und für die Lernplattform mit dem Teilnehmerzugang gelten eigene Datenschutzinformationen (zur Lernplattform siehe Ziffer 11). Wenn Sie einem Link von dieser Website zu einem fremden Angebot folgen, ist für dieses Angebot dessen Anbieter verantwortlich, nicht wir.

2. Begriffe in je einem Satz

Damit Sie den Rest ohne Nachschlagen lesen können:

• Personenbezogene Daten sind alle Angaben, die sich auf Sie als bestimmte oder bestimmbare Person beziehen – zum Beispiel Ihr Name, Ihre E-Mail-Adresse oder Ihre IP-Adresse.
• Verarbeitung ist jeder Umgang mit diesen Daten, also auch das bloße Erheben, Speichern, Ansehen, Weitergeben oder Löschen.
• Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – das sind wir (Ziffer 1).
• Auftragsverarbeiter ist ein Dienstleister, der Daten nur nach unserer Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO verarbeitet, etwa unser Hoster.
• Gemeinsam Verantwortliche sind zwei oder mehr Stellen, die Zweck und Mittel einer Verarbeitung zusammen festlegen (Art. 26 DSGVO) – bei uns betrifft das vor allem die Statistiken unserer LinkedIn-Unternehmensseite (Ziffer 16.7).
• Einwilligung ist Ihre freiwillige, vorherige Zustimmung zu einer bestimmten Verarbeitung, die Sie jederzeit für die Zukunft widerrufen können.
• Berechtigtes Interesse ist eine Rechtsgrundlage, bei der wir unsere Interessen gegen Ihre abwägen müssen und Ihnen ein Widerspruchsrecht zusteht (Ziffer 3).

3. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte. Die Ausübung ist für Sie kostenlos. Wenden Sie sich dafür formlos an info@gefim.de oder an die Anschrift in Ziffer 1. Wir antworten innerhalb eines Monats; ist Ihr Anliegen umfangreich, informieren wir Sie über eine Verlängerung.

• Auskunft darüber, ob und welche Daten wir über Sie verarbeiten, und über alle näheren Umstände dieser Verarbeitung (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten und Vervollständigung unvollständiger Daten (Art. 16 DSGVO).
• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO).
• Einschränkung der Verarbeitung, wenn Sie die Richtigkeit bestreiten oder wir die Daten nicht mehr benötigen, Sie sie aber für Rechtsansprüche brauchen (Art. 18 DSGVO).
• Datenübertragbarkeit: Herausgabe der Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt haben, in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen – siehe den gesondert hervorgehobenen Hinweis unmittelbar im Anschluss (Art. 21 DSGVO).

Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Sie können sich dafür an die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden – oder an die für uns zuständige Behörde:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Postanschrift: Postfach 221, 30002 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
www.lfd.niedersachsen.de
Beschwerdeformular: www.lfd.niedersachsen.de/beschwerde

4. Aufruf der Website: Server-Logfiles

Wenn Sie eine Seite von nis2-berater.de aufrufen, übermittelt Ihr Browser technisch notwendige Daten an den Server. Dieser hält den Vorgang in Protokolldateien fest, den sogenannten Logfiles. Das geschieht bei jedem Aufruf und lässt sich technisch nicht abschalten, ohne die Seite unbrauchbar zu machen.

Diese Daten werden dabei erfasst:

• die IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• die angeforderte Adresse (URL) und der Name der abgerufenen Datei,
• die übertragene Datenmenge,
• die Meldung, ob der Abruf erfolgreich war (HTTP-Statuscode),
• der verwendete Browser einschließlich Version und das Betriebssystem,
• die zuvor besuchte Seite (Referrer), sofern Ihr Browser sie übermittelt.

Zweck. Wir nutzen diese Daten, um die Seiten auszuliefern, technische Störungen zu erkennen und zu beheben und Angriffe auf unsere Systeme zu erkennen und abzuwehren. Zusätzlich entsteht daraus die einfache Zugriffsstatistik nach Ziffer 5. Wir werten die Protokolldateien nicht aus, um Sie zu identifizieren, und führen sie nicht mit anderen Datenquellen zusammen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb dieser Website und die Erfüllung unserer Pflichten aus Art. 32 DSGVO. Erwägungsgrund 49 der DSGVO erkennt die Gewährleistung der Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse an. Ohne Protokollierung ließe sich ein Angriff weder bemerken noch aufklären. Wir beschränken die Protokollierung auf das technisch notwendige Maß und auf eine kurze Dauer; sie dient nicht dazu, Nutzungsprofile zu bilden.

Speicherdauer. Die Protokolldateien werden nach 30 Tagen gelöscht. Benötigen wir einzelne Einträge zur Aufklärung eines konkreten sicherheitsrelevanten Vorfalls, bewahren wir nur diese Einträge bis zur abschließenden Klärung des Vorfalls auf.

Die IP-Adresse wird anonymisiert. Die IP-Adressen in den Protokolldateien werden anonymisiert gespeichert; ein Rückschluss auf einzelne Personen ist uns damit grundsätzlich nicht möglich. Eine Ausnahme ist der Aufruf des Bestätigungslinks für die NIS2-Checkliste: Dieser Link enthält Ihre E-Mail-Adresse in kodierter, nicht verschlüsselter Form und steht deshalb bis zu 30 Tage im Protokoll (Ziffer 9.2).

Hoster als Auftragsverarbeiter. Diese Website wird betrieben bei:

ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich
Hauptstraße 68
02742 Friedersdorf
Datenschutzinformationen: all-inkl.com/datenschutz

Der Anbieter stellt Speicherplatz und Rechenleistung bereit, liefert die Seiten aus, betreibt die Skripte, die unsere Formulare entgegennehmen, und versendet die daraus entstehenden E-Mails. Er verarbeitet die genannten Daten ausschließlich nach unserer Weisung. Die Verarbeitung findet ausschließlich in einem Rechenzentrum in Deutschland statt. Mit dem Anbieter haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Aus denselben Protokolldateien entsteht zusätzlich eine einfache Zugriffsstatistik. Was das genau ist, beschreibt die nächste Ziffer.

5. Einfache Zugriffsstatistik (Webalizer)

Wir möchten wissen, welche Seiten gelesen werden und ob technisch alles funktioniert. Dafür wertet unser Hoster die Protokolldateien aus Ziffer 4 mit dem Programm Webalizer aus. Webalizer ist beim Hoster vorinstalliert und läuft auf dessen Server in Deutschland. Es ist kein Zusatzdienst, den wir eingebunden hätten, und es entsteht dadurch keine Verbindung Ihres Browsers zu einem Dritten.

Datenquelle. Ausgewertet werden ausschließlich die bereits in Ziffer 4 beschriebenen Protokolldateien – also genau die Daten, die beim Abruf einer Seite ohnehin anfallen. Es werden dafür keine zusätzlichen Daten erhoben. Die IP-Adressen sind darin anonymisiert (Ziffer 4).

Was die Auswertung zeigt:

• wie oft eine Seite abgerufen wurde und wie viele Anfragen der Server insgesamt beantwortet hat,
• welche Adresse auf uns verwiesen hat (Referrer), soweit Ihr Browser sie übermittelt,
• welche Browser und Betriebssysteme dabei zum Einsatz kamen,
• zu welchen Zeiten zugegriffen wurde und welche Datenmengen übertragen wurden.

Was die Auswertung nicht kann. Weil die IP-Adressen in den Protokolldateien anonymisiert sind, lässt sich aus dieser Statistik keine einzelne Person wiedererkennen und kein Verlauf über mehrere Besuche zusammensetzen. Es entstehen keine Nutzerprofile. Wir setzen dafür keine Cookies und speichern nichts in Ihrem Browser (Ziffer 6); die Statistik entsteht ausschließlich aus Daten, die der Server beim Ausliefern der Seiten ohnehin festhält. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Steht in einer aufgerufenen Adresse eine Klick-Kennung aus einer Anzeige (Ziffer 6), kann sie in der Statistik erscheinen; wir werten sie dort nicht aus und gleichen sie mit nichts ab.

Keine Weitergabe. Die Auswertung verlässt den Server unseres Hosters nicht. Sie ist passwortgeschützt und nur uns zugänglich; ein Aufruf ohne Zugangsdaten wird abgewiesen. An Dritte übermitteln wir weder die Protokolldateien noch die daraus erzeugten Berichte.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die Reichweite unserer Inhalte zu verstehen und die Website technisch zu verbessern – etwa zu erkennen, welche Seiten gefunden werden und wo Abrufe ins Leere laufen. Ihre Interessen überwiegen nicht, weil keine zusätzlichen Daten erhoben werden, die Auswertung wegen der anonymisierten IP-Adressen keinen Personenbezug herstellt und sie unser Haus nicht verlässt.

Speicherdauer. Die zugrunde liegenden Protokolldateien werden nach 30 Tagen gelöscht (Ziffer 4). Die daraus erzeugten Monatsberichte bewahren wir auf, solange wir sie für den Vergleich über die Zeit benötigen, längstens 24 Monate; danach werden sie gelöscht.

Widerspruch. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen – siehe den hervorgehobenen Hinweis in Ziffer 3.

6. Keine Cookies, keine Tracking-Skripte, keine Inhalte Dritter

Wir setzen keine Cookies. Diese Website speichert keine Cookies auf Ihrem Gerät und liest keine Cookies aus.

Wir speichern auch sonst nichts in Ihrem Browser. Es werden keine Informationen im lokalen Speicher Ihres Browsers abgelegt – weder im Local Storage oder Session Storage noch in einer IndexedDB, einem eigenen Zwischenspeicher oder über einen Hintergrunddienst (Service Worker). Es wird auch nicht auf dort bereits gespeicherte Informationen zugegriffen.

Warum es hier kein Einwilligungsbanner gibt. Eine Einwilligung nach § 25 Abs. 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) ist nur erforderlich, wenn Informationen in Ihrer Endeinrichtung gespeichert werden oder auf dort gespeicherte Informationen zugegriffen wird. Beides findet hier nicht statt. Ein Einwilligungsbanner wäre deshalb gegenstandslos: Es würde Ihnen eine Entscheidung abverlangen, die es gar nicht zu treffen gibt.

Eine Ausnahme müssen wir der Vollständigkeit halber nennen: Ihr Browser legt die von uns ausgelieferten Dateien – Schriften, Bilder, Stylesheets – in seinem eigenen Zwischenspeicher ab. Das ist eine Funktion Ihres Browsers. Sie ist unbedingt erforderlich, um die von Ihnen angeforderte Seite anzuzeigen, und deshalb auch ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir greifen auf diesen Zwischenspeicher nicht zu.

Keine Tracking-Skripte, keine Werbung auf dieser Website. Es gibt hier kein Analyseprogramm im Browser, keine Zählpixel (weder das „Insight Tag“ von LinkedIn noch das Pixel von Meta), keine Profilbildung, keine Wiedererkennung über Geräteeigenschaften (Fingerprinting), keine Werbeeinblendungen und kein Retargeting. Ihr Verhalten über mehrere Besuche oder über mehrere Websites hinweg wird nicht verfolgt.

Davon zu unterscheiden ist die Zugriffsstatistik aus den Server-Protokolldateien (Ziffer 5): Sie entsteht ohne Cookies und ohne Skript in Ihrem Browser, allein aus den Daten, die der Server beim Ausliefern der Seiten ohnehin festhält – und weil die IP-Adressen darin anonymisiert sind, erlaubt sie kein Wiedererkennen einzelner Personen. Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich, weil weder etwas in Ihrer Endeinrichtung gespeichert noch auf dort Gespeichertes zugegriffen wird.

Anzeigen ohne Rückmeldung an die Werbeanbieter. Wir werben auf LinkedIn (Ziffer 16); werben wir bei Facebook oder Instagram, gilt dasselbe (Ziffer 17). Kommen Sie über eine Anzeige auf diese Website, melden wir das nicht an LinkedIn oder Meta zurück: Hier läuft kein Skript dieser Anbieter, und es wird kein Cookie gesetzt. Herkunftsangaben und Klick-Kennungen, die Werbeanbieter an die Adresse anhängen – etwa fbclid von Meta oder gclid von Google –, übernehmen wir nicht in unsere Formulare (Ziffer 8). Wie jede aufgerufene Adresse stehen sie in den Server-Logfiles (Ziffer 4).

Keine Inhalte fremder Anbieter. Alle Bestandteile dieser Seiten liegen auf unserem eigenen Server:

• Schriften werden von unserem Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schriftdienst.
• Bilder, Logos und Symbole liegen ebenfalls bei uns.
• Hörproben werden mit dem eingebauten Audio-Player Ihres Browsers von unserem Server abgespielt. Es gibt keinen Dienst eines Dritten dahinter, keinen automatischen Start und keine Messung, ob oder wie lange Sie zuhören.
• Die Checkliste als PDF liegt auf unserem Server.

Es sind keine Karten, keine Videoplattformen, kein Terminbuchungstool, keine Schaltflächen oder Zählpixel sozialer Netzwerke und kein Captcha eingebunden. Beim Aufruf dieser Seiten stellt Ihr Browser deshalb ausschließlich Verbindungen zu unserem eigenen Server her. Sie können das jederzeit mit den Entwicklerwerkzeugen Ihres Browsers nachprüfen. Technisch abgesichert ist es zusätzlich durch eine strikte Content-Security-Policy, die das Nachladen fremder Inhalte unterbindet (Ziffer 14).

Links auf fremde Websites. Wir verweisen an vielen Stellen auf Gesetzestexte, auf Seiten des Bundesamts für Sicherheit in der Informationstechnik und auf andere fachliche Quellen. Diese Inhalte werden nicht eingebettet, sondern nur verlinkt: Eine Verbindung zum fremden Anbieter entsteht erst, wenn Sie den Link anklicken. Ab diesem Zeitpunkt gilt die Datenschutzerklärung des jeweiligen Anbieters. Wir geben dabei bewusst so wenig wie möglich preis: Unsere Seite ist so eingestellt, dass dem Ziel nur unsere Domain als Herkunft übermittelt wird, nicht die konkrete Unterseite, auf der Sie den Link angeklickt haben.

7. NIS2-Check

Mit dem NIS2-Check können Sie in wenigen Schritten einschätzen, ob Ihr Unternehmen von der NIS2-Richtlinie beziehungsweise dem deutschen Umsetzungsgesetz erfasst sein könnte. Abgefragt werden ausschließlich Angaben zum Unternehmen – etwa Branche, Beschäftigtenzahl und Umsatzband. Nach Ihrem Namen oder Ihren Kontaktdaten fragen wir im Check nicht.

Ihre Antworten werden nicht gespeichert. Die Auswertung läuft vollständig in Ihrem Browser. Das Ergebnis wird der Ergebnisseite über den Teil der Adresse nach dem Rautezeichen (#) übergeben. Dieser Teil einer Internetadresse wird von Browsern grundsätzlich nicht an den Server übertragen. Ihre Antworten erreichen uns in dieser Variante also zu keinem Zeitpunkt.

Wenn JavaScript in Ihrem Browser abgeschaltet ist, funktioniert der Check trotzdem. Ihre Antworten werden dann einmalig an unseren Server gesendet, dort ausschließlich im Arbeitsspeicher ausgewertet und sofort verworfen. Sie werden nicht gespeichert, nicht in eine Datei geschrieben, nicht per E-Mail versendet und nicht protokolliert. Es entsteht lediglich der übliche Logfile-Eintrag nach Ziffer 4, der – wie bei jedem Seitenaufruf – die IP-Adresse und den Zeitpunkt enthält, nicht aber den Inhalt Ihrer Antworten. Rechtsgrundlage für diesen Verarbeitungsschritt ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, die von Ihnen angeforderte Funktion auch ohne JavaScript bereitzustellen.

Wenn Sie im Anschluss an den Check ein Formular aufrufen, übernimmt das Formular aus dem Link den Ergebnistyp des Checks – zum Beispiel „wesentliche Einrichtung“ –, damit Sie ihn nicht erneut eintippen müssen. Der Wert steht sichtbar in der Adresszeile Ihres Browsers und wird in einem technischen Feld des Formulars mitgeführt, das auf der Seite nicht angezeigt wird. Beim Absenden geht er mit an uns. Übernommen werden ausschließlich Werte aus einer festen Liste zulässiger Angaben; alles andere verwerfen wir. Personenbezogene Daten werden auf diesem Weg nicht übergeben. Möchten Sie den Wert nicht mitsenden, rufen Sie das Formular einfach über die Navigation auf statt über den Link aus dem Ergebnis.

Das Ergebnis des Checks ist eine unverbindliche Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.

8. Kontakt- und Anfrageformular

Über unsere Formulare können Sie eine Demo anfragen, ein Erstgespräch vereinbaren, ein Paket anfragen oder uns eine allgemeine Nachricht senden.

Pflichtangaben: Ihr Anliegen, Ihr Name, Ihr Unternehmen, Ihre E-Mail-Adresse und die Bestätigung, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Bei einer Paketanfrage kommt die Bestätigung hinzu, dass Sie als Unternehmer im Sinne des § 14 BGB handeln.

Freiwillige Angaben: Telefonnummer, Rückrufwunsch mit Wunsch-Zeitfenster, Anzahl der Teilnehmenden, gewähltes Paket, Ihre Nachricht an uns (bis zu 4.000 Zeichen) und die Angabe, wie Sie auf uns aufmerksam geworden sind.

Technisch zusätzlich: der Zeitpunkt des Absendens und die Seite, von der aus Sie das Formular abgeschickt haben. Haben Sie das Formular über einen Link aus dem NIS2-Check oder von einer Leistungsseite geöffnet, kommen bis zu drei Werte aus diesem Link hinzu: der Ergebnistyp des Checks, die dort angefragte Leistung und die Rolle, für die die Seite geschrieben ist. Diese Werte stammen aus einer festen Liste zulässiger Angaben (siehe Ziffer 7) und enthalten keine Angaben zu Ihrer Person. Darüber hinaus nutzt das Formular die Adresse nur, um Anliegen und Paket in den sichtbaren Auswahlfeldern vorzubelegen. Kampagnennamen (etwa utm_campaign) und Klick-Kennungen von Werbeanbietern wie gclid (Google) oder fbclid (Meta) übernimmt es nicht. Als Seite des Absendens geht nur der Pfad der Seite mit, ohne den Teil der Adresse nach dem Fragezeichen.

Die Bestätigung ist keine Einwilligung. Mit dem Pflicht-Häkchen bestätigen Sie nur, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Die Verarbeitung Ihrer Anfrage stützen wir nicht auf eine Einwilligung, sondern auf die folgenden Rechtsgrundlagen.

Zwecke und Rechtsgrundlagen.

• Zielt Ihre Anfrage auf ein Angebot, eine Demo, ein Erstgespräch oder einen Vertrag, verarbeiten wir Ihre Daten zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin – Art. 6 Abs. 1 lit. b DSGVO.
• Bei allgemeinen Anfragen ohne Vertragsbezug stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, an uns gerichtete geschäftliche Anfragen zu beantworten.

Keine Speicherung auf dem Webserver. Ihre Angaben werden auf unserem Webserver weder in einer Datenbank noch in einer Datei gespeichert. Sie werden unmittelbar als E-Mail an unser Postfach info@gefim.de weitergeleitet und dort bearbeitet (zu den Empfängern siehe Ziffern 10 und 11). Als Absender dieser E-Mail tragen wir eine eigene Adresse ein. Als Antwortadresse setzen wir Ihre E-Mail-Adresse, damit wir Ihnen direkt antworten können.

Pflicht zur Bereitstellung. Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten zu übermitteln. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir Ihre Anfrage jedoch nicht bearbeiten. Weitere Nachteile entstehen Ihnen nicht.

Keine Zweckänderung. Wir verwenden Ihre Anfragedaten ausschließlich zur Bearbeitung Ihres Anliegens. Wir tragen Sie insbesondere nicht in einen Werbeverteiler ein – einen solchen gibt es bei uns nicht (Ziffer 9).

Speicherdauer. Siehe Ziffer 15.

Schutz unserer Formulare vor Missbrauch

Damit unsere Formulare nicht für automatisierte Massenzusendungen missbraucht werden, setzen wir Maßnahmen ein, die ohne Cookies und ohne Auswertung Ihres Verhaltens auskommen:

• ein für Sie unsichtbares Zusatzfeld, das nur automatisierte Programme ausfüllen (Honeypot);
• eine Prüfung, ob zwischen dem Aufruf des Formulars und dem Absenden eine plausible Zeitspanne von mindestens drei Sekunden liegt;
• eine Prüfung, ob die Absendung tatsächlich von einer Seite dieser Website stammt;
• eine Begrenzung auf fünf Absendungen je Absender innerhalb von 15 Minuten. Dafür berechnen wir aus Ihrer IP-Adresse und einem geheimen Zusatzwert einen nicht umkehrbaren Prüfwert nach dem Verfahren SHA-256. Ihre IP-Adresse selbst wird dabei nicht gespeichert, sondern nur dieser Prüfwert zusammen mit dem Zeitpunkt der Absendung.
• eine Obergrenze für die Zahl der Absendungen je Formular und Tag über alle Absender hinweg. Dafür zählen wir nur die Absendungen selbst; über Sie wird dabei nichts gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Unser berechtigtes Interesse besteht darin, unsere Formulare, unser Postfach und die Verfügbarkeit dieser Website vor missbräuchlicher Nutzung zu schützen. Nach 15 Minuten hat ein Prüfwert für die Zählung keine Bedeutung mehr. Gelöscht wird er automatisch bei einer späteren Nutzung unserer Formulare: Das Aufräumen läuft dabei stichprobenartig mit und in jedem Fall bei der ersten Nutzung eines neuen Tages. Werden die Formulare länger nicht genutzt, bleibt ein Prüfwert entsprechend länger liegen. Zuordnen lässt er sich dann trotzdem nicht mehr: Der geheime Zusatzwert wechselt täglich, deshalb gehört ein Prüfwert aus einem Vortag zu keiner Absenderin und keinem Absender mehr.

Sicherheit der Übertragung

Ihre Eingaben werden verschlüsselt an unseren Server übertragen (TLS, erkennbar am Schloss-Symbol Ihres Browsers). Die anschließende Zustellung an unser Postfach erfolgt per E-Mail. Der Transport zwischen Mailservern ist heute regelmäßig verschlüsselt; eine durchgehende Verschlüsselung von Ihrem Gerät bis zu unserem Postfach (Ende-zu-Ende-Verschlüsselung) besteht dabei jedoch nicht.

Bitte senden Sie uns daher keine Angaben zu konkreten Sicherheitsvorfällen, Schwachstellen oder Zugangsdaten über das Formular und schicken Sie uns vertrauliche Unterlagen nicht unaufgefordert per E-Mail. Rufen Sie uns in solchen Fällen bitte zuerst an (Ziffer 1).

9. NIS2-Checkliste per E-Mail

Wir bieten Ihnen die „NIS2-Checkliste für Geschäftsführer“ als PDF an. Sie fordern sie über ein kurzes Formular an und erhalten sie per E-Mail. Mehr passiert nicht – es sei denn, Sie setzen zusätzlich das freiwillige Häkchen für die Kontaktaufnahme (Ziffer 9.5). Es gibt keinen Newsletter und keinen Werbeverteiler. Ihre Adresse geben wir nicht an Dritte weiter, und ein externer Versanddienstleister ist nicht beteiligt – den Versand übernimmt derselbe Server, der auch diese Website ausliefert (Ziffer 4).

9.1 Der Ablauf in zwei Schritten (Double-Opt-in)

Damit niemand eine fremde E-Mail-Adresse eintragen kann, liefern wir die Checkliste erst nach einer Bestätigung aus:

1. Sie senden das Formular ab. Wir schicken Ihnen daraufhin eine kurze Bestätigungs-E-Mail mit einem Link. Sie enthält keine Werbung, keine Bilder und keinen Download. Wenn Sie das nicht waren, ignorieren Sie diese E-Mail einfach – es passiert nichts weiter.
2. Sie öffnen den Link und bestätigen auf der folgenden Seite mit einem Klick. Erst damit ist belegt, dass die Adresse Ihnen gehört. Wir senden Ihnen dann eine weitere E-Mail mit dem Download-Link und zeigen Ihnen den Link zusätzlich sofort im Browser an.

Das bloße Öffnen des Links löst noch nichts aus. So kann auch ein Programm, das Links in eingehenden E-Mails automatisch prüft, nichts in Ihrem Namen bestätigen. Der Bestätigungslink ist sieben Tage gültig. Bestätigen Sie nicht, läuft er ab, und wir senden Ihnen nichts weiter.

9.2 Welche Daten wir verarbeiten

Sie geben an: Ihre E-Mail-Adresse als Pflichtangabe; Vorname und Unternehmen sind freiwillig. Dazu kommt das Pflicht-Häkchen, mit dem Sie die Zusendung anfordern und bestätigen, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben.

Technisch kommen hinzu: Zeitpunkt und Seite des Absendens, Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent) – jeweils beim Absenden des Formulars und bei Ihrer Bestätigung. Diese Angaben brauchen wir als Nachweis (Ziffer 9.4). Herkunftsangaben und Klick-Kennungen aus der Adresse übernimmt auch dieses Formular nicht (Ziffer 8).

Was auf dem Webserver nicht gespeichert wird. Auf dem Webserver entsteht keine Liste angeforderter oder unbestätigter Adressen – weder in einer Datenbank noch in einer Datei. Alles, was zur Prüfung Ihres Bestätigungslinks nötig ist, steht in dem Link selbst und ist mit einem geheimen Schlüssel signiert (Verfahren HMAC mit SHA-256). Deshalb kann niemand einen solchen Link für eine fremde Adresse erzeugen. Bereits beim Absenden des Formulars erhalten wir allerdings eine interne Protokoll-E-Mail mit Ihrer E-Mail-Adresse, Vorname und Unternehmen (falls angegeben), Zeitpunkt, IP-Adresse und Browserkennung – auch dann, wenn Sie später nicht bestätigen (Ziffer 9.4).

Der Bestätigungslink enthält Ihre E-Mail-Adresse in kodierter, aber nicht verschlüsselter Form; wer den Link kennt, kann die Adresse daraus lesen. Wir senden ihn ausschließlich an Ihr Postfach. Beim Öffnen erscheint er – wie jede aufgerufene Adresse – im Protokoll unseres Servers und bleibt dort bis zu 30 Tage gespeichert (Ziffer 4). Wir werten diese Protokolle nicht aus, um Personen zu bestimmen.

9.3 Zwecke und Rechtsgrundlagen

• Zusendung der Checkliste – Art. 6 Abs. 1 lit. b DSGVO: Wir erfüllen damit genau das, was Sie bei uns angefordert haben. Soweit man die Anforderung nicht als vorvertragliche Maßnahme ansieht, stützen wir die Zusendung zusätzlich auf Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit dem Häkchen und Ihrer Bestätigung erteilen.
• Bestätigungsverfahren (Double-Opt-in) – Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, fremde Adressen vor unerwünschten Zusendungen über unser Formular zu schützen. Dazu gehört die interne Protokoll-E-Mail über eine noch nicht bestätigte Anforderung: Mit ihr können wir nachvollziehen, wann und von wo eine Adresse eingetragen wurde, wenn sich jemand über eine unerwünschte Bestätigungs-E-Mail beschwert.
• Nachweis Ihrer Bestätigung – Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unserer Nachweispflicht aus Art. 7 Abs. 1 DSGVO, daneben Art. 6 Abs. 1 lit. f DSGVO: Wir müssen belegen können, dass und worin Sie eingewilligt haben.
• Missbrauchsschutz des Formulars – wie in Ziffer 8 beschrieben. Zusätzlich lassen wir je E-Mail-Adresse höchstens eine Anforderung in 15 Minuten zu, damit unser Formular kein fremdes Postfach fluten kann. Dafür wird aus der Adresse ein nicht umkehrbarer Prüfwert gebildet; die Adresse selbst wird dabei nicht gespeichert.

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – formlos an info@gefim.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Haben Sie nur die Checkliste angefordert, senden wir Ihnen ohnehin keine weiteren E-Mails; ein Widerruf hat dann keine weiteren praktischen Folgen. Zum Widerruf der freiwilligen Kontakt-Einwilligung siehe Ziffer 9.5. Den Nachweis Ihrer Einwilligung bewahren wir bis zum Ende der Frist in Ziffer 9.4 auf.

Pflicht zur Bereitstellung. Ohne Ihre E-Mail-Adresse können wir Ihnen die Checkliste nicht zusenden. Vorname und Unternehmen dürfen Sie weglassen; das hat für Sie keine Folgen. Eine gesetzliche oder vertragliche Pflicht, uns diese Daten zu geben, besteht nicht. Sie können die Checkliste auch einfach telefonisch anfordern (Ziffer 1).

9.4 Nachweis und Speicherdauer

Über jeden der beiden Schritte erzeugt unser Server eine interne Protokoll-E-Mail an info@gefim.de; sie landet in unserem Postfach bei Microsoft 365 (Ziffer 10). Die erste entsteht schon beim Absenden des Formulars, also auch dann, wenn Sie nie bestätigen. Beide tragen dieselbe Vorgangskennung und enthalten zusammen: Ihre E-Mail-Adresse, Vorname und Unternehmen (falls angegeben), Zeitpunkt, Seite und IP-Adresse der Anforderung, Zeitpunkt und IP-Adresse der Bestätigung, die Browserkennung beider Schritte sowie den Wortlaut der Einwilligung mit seinem Fassungsdatum. Der Wortlaut wird versioniert geführt, damit später erkennbar bleibt, worin genau Sie eingewilligt haben; das Fassungsdatum steht sichtbar am Häkchen des Formulars.

Speicherdauer. Bestätigen Sie, bewahren wir beide Protokoll-E-Mails als Nachweis drei Jahre nach Ablauf des Jahres auf, in dem Sie bestätigt haben. Das entspricht der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB); danach können aus der Zusendung keine Ansprüche mehr hergeleitet werden, und wir löschen sie. Bestätigen Sie nicht, löschen wir die erste Protokoll-E-Mail 30 Tage nach Ablauf des Bestätigungslinks, also spätestens 37 Tage nach Ihrer Anforderung. Ihre Angaben aus dem Formular verwenden wir für nichts anderes – es sei denn, Sie haben zusätzlich in die Kontaktaufnahme eingewilligt und diese bestätigt (Ziffer 9.5).

Keine Erfolgsmessung. Unsere E-Mails enthalten keine Zählpixel und keine nachverfolgten Links. Wir messen nicht, ob und wann Sie eine E-Mail öffnen. Die Checkliste selbst liegt als PDF auf unserem eigenen Server (Ziffer 6).

Auch der Missbrauchsschutz aus Ziffer 8 gilt für dieses Formular.

9.5 Freiwillige Einwilligung in die Kontaktaufnahme

Unter dem Pflicht-Häkchen steht ein zweites, freiwilliges Häkchen. Setzen Sie es, dürfen wir Sie per E-Mail zu unserer NIS2-Schulung und NIS2-Beratung ansprechen. Das Häkchen ist nicht vorausgewählt, und die Checkliste erhalten Sie genauso ohne es. Wirksam wird die Einwilligung erst, wenn Sie die Anforderung wie in Ziffer 9.1 bestätigen; der Bestätigungslink enthält dafür signiert die Angabe, dass Sie das Häkchen gesetzt haben.

• Rechtsgrundlage – Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für werbliche E-Mails zugleich die Einwilligung nach § 7 Abs. 2 Nr. 2 UWG.
• Daten – dieselben wie in Ziffer 9.2 (E-Mail-Adresse, Vorname und Unternehmen, falls angegeben) sowie der Wortlaut dieser Einwilligung mit Fassungsdatum. Der Nachweis steht in den Protokoll-E-Mails aus Ziffer 9.4.
• Empfänger – niemand außerhalb der GEFIM; die E-Mails liegen in unserem Postfach bei Microsoft 365 (Ziffer 10 und 11). Wir nutzen kein Newsletter-Werkzeug, keine Zählpixel und bilden keine Profile.
• Speicherdauer – bis zu Ihrem Widerruf. Den Nachweis der Einwilligung und des Widerrufs bewahren wir danach drei Jahre nach Ablauf des Jahres des Widerrufs auf (§§ 195, 199 BGB).
• Widerruf – jederzeit mit Wirkung für die Zukunft, formlos an info@gefim.de. Danach schreiben wir Sie nicht mehr an; die Checkliste behalten Sie selbstverständlich.

10. Kontaktaufnahme per E-Mail, Telefon und Videokonferenz

E-Mail und Telefon. Wenn Sie uns unmittelbar per E-Mail schreiben oder anrufen, verarbeiten wir Ihre Angaben ausschließlich zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Vertragsanbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung geschäftlicher Kommunikation. Für die Speicherdauer gilt Ziffer 15.

Unser E-Mail-Postfach. Sämtliche Nachrichten aus unseren Formularen und alle E-Mails an info@gefim.de laufen in unserem Postfach zusammen. Wir betreiben dieses Postfach über Microsoft 365 (Exchange Online). Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit dem Anbieter besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO (Microsoft Data Protection Addendum). Unser Mandant (Tenant) liegt in Europa; die Verarbeitung findet im Rahmen der EU-Datengrenze (EU Data Boundary) von Microsoft innerhalb der Europäischen Union statt – Einzelheiten in Ziffer 12.

Live-Demo und Erstgespräch per Videokonferenz. Führen wir auf Ihren Wunsch eine Online-Demonstration oder ein Erstgespräch durch, findet dieses in der Regel per Microsoft Teams statt. Anbieter ist ebenfalls die Microsoft Ireland Operations Limited (Anschrift oben). Teams läuft über denselben Mandanten und denselben Auftragsverarbeitungsvertrag wie unser Postfach; es gilt daher auch dieselbe Aussage zur EU-Datengrenze. Verarbeitet werden dabei Ihr Name beziehungsweise Anzeigename, Ihre Verbindungsdaten und die von Ihnen übermittelten Bild- und Tonsignale. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Wir zeichnen diese Gespräche nicht auf.

Umsetzungs-Workshop und Umsetzungsberatung. Die Termine, die Kunden der Pakete Silber und Gold nach unseren Nutzungsbedingungen zustehen, finden ebenfalls per Microsoft Teams statt, über denselben Mandanten und denselben Auftragsverarbeitungsvertrag. Verarbeitet werden Name beziehungsweise Anzeigename, Verbindungsdaten, Bild- und Tonsignale sowie die Angaben, die Teilnehmende zu ihren Vorhaben vorab in Textform einreichen. Im Workshop sehen andere Teilnehmende Ihren Anzeigenamen und, wenn Sie sie einschalten, Ihr Bild; teilen Sie dort keine vertraulichen Einzelheiten zu Schwachstellen oder Vorfällen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit Ihrem Unternehmen) bzw. Art. 6 Abs. 1 lit. f DSGVO für Teilnehmende, die nicht selbst Vertragspartner sind (berechtigtes Interesse an der Durchführung der vereinbarten Termine). Eingereichte Vorhaben löschen wir spätestens mit Ablauf des Vertragsjahres, in dem der Termin stattfand. Wir zeichnen auch diese Termine nicht auf.

11. Empfänger und Auftragsverarbeiter im Überblick

Wir geben Ihre Daten nur weiter, soweit das für die in dieser Erklärung genannten Zwecke erforderlich ist. Einen Verkauf Ihrer Daten gibt es nicht, ebenso wenig eine Weitergabe zu Werbezwecken Dritter.

ALL-INKL.COM, Microsoft und DATEV sind für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig, an unsere Weisungen gebunden und zur Vertraulichkeit verpflichtet. LinkedIn ist kein Auftragsverarbeiter: LinkedIn verarbeitet die Angaben aus unseren Anfrageformularen in eigener Verantwortung und ist für die Statistiken unserer Unternehmensseite gemeinsam mit uns verantwortlich (Ziffer 16). Darüber hinaus geben wir Ihre Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind – etwa gegenüber Finanz-, Strafverfolgungs- oder Aufsichtsbehörden – oder wenn es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. In Einzelfällen können außerdem unsere Steuerberatung und unser Rechtsbeistand Empfänger sein, jeweils im Rahmen ihrer gesetzlichen Verschwiegenheitspflichten.

Auf dieser Website nicht beteiligt sind insbesondere: gesonderte Anbieter von Reichweitenmessung oder Webanalyse, Werbenetzwerke, soziale Netzwerke, Captcha-Dienste, Kartendienste, Videoplattformen, Terminbuchungsdienste und Anbieter von Einwilligungsbannern. Wir binden keinen dieser Dienste auf nis2-berater.de ein. Die Zugriffsstatistik nach Ziffer 5 erstellt unser Hoster mit einem auf seinem eigenen Server vorinstallierten Programm; ein zusätzlicher Dienstleister kommt dafür nicht hinzu. LinkedIn erscheint in der Übersicht oben nur wegen unserer Anzeigen und unserer Unternehmensseite auf LinkedIn selbst (Ziffer 16). Meta (Facebook, Instagram) erhält von uns keine Daten und steht deshalb nicht in der Übersicht; was bei Anzeigen dort geschieht, steht in Ziffer 17.

Verträge, Rechnungen und Buchhaltung

Schließen Sie mit uns einen Vertrag, etwa über ein Paket unserer Schulungsplattform, verarbeiten wir die Angaben aus Angebot, Auftragsbestätigung und Vertragsdurchführung: Firma und Anschrift, Namen und Kontaktdaten Ihrer Ansprechpersonen, das gebuchte Paket, Rechnungen und Zahlungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Abschluss und Erfüllung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO (handels- und steuerrechtliche Aufbewahrungspflichten). Angebote, Verträge und Schriftverkehr liegen in unserem Postfach und unserer Ablage in Microsoft 365 (Ziffern 10 und 12).

Zur Vertragsdurchführung gehören in den Paketen Silber und Gold auch der Umsetzungs-Workshop und die Umsetzungsberatung. Dafür verarbeiten wir die Namen und Kontaktdaten der Personen, die Ihr Unternehmen für einen Termin benennt, und die Vorhaben, die sie vorab einreichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist es, den Vertrag mit Ihrem Unternehmen durchzuführen. Die Termine finden online statt und werden nicht aufgezeichnet.

Unsere Rechnungen und unsere Buchhaltung führen wir mit DATEV Unternehmen online der DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg. Die DATEV eG ist dafür unser Auftragsverarbeiter nach Art. 28 DSGVO; nach ihren Angaben liegen die Daten im DATEV-Rechenzentrum in Deutschland. Wie lange wir Rechnungen und Buchungsbelege aufbewahren, steht in Ziffer 15.

Lernplattform: nur ein Link, keine Verarbeitung auf dieser Website

Unsere Schulungen für die Geschäftsleitung laufen auf einer eigenen Lernplattform. Im Kopfbereich dieser Website – auf kleinen Bildschirmen im Menü – finden Sie dafür den Link „Login“. Er führt zu gefim.learningsuite.io.

Auf nis2-berater.de findet dabei keine Verarbeitung durch den Plattformanbieter statt. Wir binden weder ein Anmeldefenster noch ein Skript, ein Bild oder einen Zählpixel der Plattform ein. Solange Sie den Link nicht anklicken, entsteht keine Verbindung dorthin – so wie bei jedem anderen externen Link (Ziffer 6). Erst mit Ihrem Klick verlassen Sie diese Website; ab diesem Zeitpunkt gelten die Datenschutzinformationen der Plattform, nicht diese hier.

Damit Sie wissen, worauf Sie sich einlassen, nennen wir den Anbieter trotzdem. Betreiberin der Plattform „LearningSuite“ ist:

LearningSuite FlexCo
Alte Poststraße 156
8020 Graz, Österreich
Firmenbuch FN 556105 b, Landesgericht für Zivilrechtssachen Graz
Datenschutzerklärung: learningsuite.io/legal/datenschutz
Impressum: learningsuite.io/legal/impressum

Für die Nutzung der Plattform selbst – also für Zugangsdaten, Lernfortschritt und Teilnahmebescheinigungen – ist bei einem Vertrag über ein Paket das Unternehmen verantwortlich, das die Zugänge gebucht hat. Wir verarbeiten diese Daten in seinem Auftrag nach Art. 28 DSGVO; Grundlage ist der Vertrag zur Auftragsverarbeitung in Anlage 2 unserer Nutzungsbedingungen. Beim kostenlosen Testzugang sind wir selbst verantwortlich. Die Anbieterin der Plattform ist in beiden Fällen unser Auftragsverarbeiter; Grundlage ist ihr Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dessen Wortlaut unter learningsuite.io/legal/avv veröffentlicht ist. Nach Angaben der Anbieterin liegen die Inhalte auf Servern in Frankfurt am Main. Als Unterauftragsverarbeiter nennt die Anbieterin dort die Google Ireland Limited (Serverinfrastruktur, Irland), die BunnyWay d.o.o. (Slowenien), die Cloudflare Germany GmbH (Deutschland), die Functional Software, Inc. (USA) und die OpenAI Ireland Limited (Irland); über den US-Dienstleister ist eine Übermittlung in die Vereinigten Staaten nicht ausgeschlossen. Die Datenschutzinformationen für die Plattform erhalten Sie vor der ersten Freischaltung.

12. Übermittlung in Länder außerhalb der EU

Eine Übermittlung Ihrer Daten durch uns in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nicht beabsichtigt. Hosting, Zugriffsstatistik und E-Mail-Versand dieser Website finden ausschließlich in Deutschland statt.

Postfach und Videokonferenzen. Unser Microsoft-365-Mandant liegt in Europa. Microsoft verarbeitet und speichert die Daten aus unserem Postfach, unserer Ablage und aus Microsoft Teams deshalb im Rahmen der EU-Datengrenze (EU Data Boundary) innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland findet außerhalb der vom Anbieter dokumentierten Ausnahmen nicht statt; solche Ausnahmen betrifft insbesondere der technische Support, wenn eine Störung von außerhalb der EU bearbeitet werden muss. Für diese Fälle stützt sich Microsoft auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter info@gefim.de; die Unterlagen sind außerdem beim Anbieter veröffentlicht.

LinkedIn. Ihre Angaben in unseren LinkedIn-Formularen und die Daten für die Statistiken unserer Unternehmensseite verarbeitet LinkedIn. Nach eigenen Angaben teilt LinkedIn die Daten seiner Mitglieder mit der LinkedIn Corporation in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework und auf Standardvertragsklauseln. Für diese Übermittlung ist LinkedIn verantwortlich; wir selbst übermitteln Ihre Formularangaben nicht in ein Land außerhalb der EU. Einzelheiten in Ziffer 16.4.

Facebook und Instagram. Werben wir dort, verarbeitet Meta die Daten für die Ausspielung unserer Anzeigen. Nach eigenen Angaben überträgt Meta Daten an die Meta Platforms, Inc. in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln. Für diese Übermittlung ist Meta verantwortlich; wir selbst übermitteln keine Daten an Meta (Ziffer 17).

Die Lernplattform ist davon nicht berührt: Auf dieser Website wird nur auf sie verlinkt (Ziffer 11). Welche Empfänger dort beteiligt sind, steht in den Datenschutzinformationen für die Plattform.

13. Keine automatisierte Entscheidungsfindung, kein Profiling

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 und 4 DSGVO ein. Insbesondere trifft der NIS2-Check keine Entscheidung über Sie oder Ihr Unternehmen. Er zeigt Ihnen lediglich eine unverbindliche Einschätzung an, die Sie selbst bewerten und die keine rechtliche Wirkung entfaltet. Wir bilden aus Ihren Angaben auch keine Bewertungen oder Vorhersagen zu Ihrer Person. Wem LinkedIn unsere Anzeigen zeigt, entscheidet LinkedIn (Ziffer 16.2), wem Meta unsere Anzeigen bei Facebook oder Instagram zeigt, entscheidet Meta (Ziffer 17).

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Auf dieser Website konkret:

• Verschlüsselte Übertragung. Die Seiten werden ausschließlich über HTTPS ausgeliefert. Aufrufe über unverschlüsseltes HTTP werden automatisch auf HTTPS umgeleitet. Zusätzlich weisen wir Ihren Browser über den Strict-Transport-Security-Header an, unsere Seiten künftig nur noch verschlüsselt aufzurufen.
• Strikte Content-Security-Policy. Der Browser darf Inhalte nur von unserem eigenen Server laden. Das Nachladen fremder Skripte, Schriften, Bilder oder eingebetteter Fenster ist technisch unterbunden – nicht nur eine Absichtserklärung.
• Weitere Schutzvorgaben an den Browser: Die Seiten dürfen nicht in fremde Seiten eingebettet werden, Dateitypen werden nicht erraten, sensible Browserfunktionen wie Kamera, Mikrofon und Standortbestimmung sind für diese Seite ausdrücklich abgeschaltet, und beim Klick auf externe Links wird nur unsere Domain als Herkunft übermittelt.
• Zugriffsschutz auf dem Server. Verzeichnisse lassen sich nicht auflisten. Konfigurations- und Zugangsdateien sind nicht abrufbar. Die Zugriffsstatistik aus Ziffer 5 liegt hinter einem Passwortschutz und ist ohne Zugangsdaten nicht abrufbar. Die Skripte, die unsere Formulare entgegennehmen, nehmen Eingaben nur per POST entgegen, begrenzen die Größe jeder Anfrage und prüfen jede Eingabe gegen feste Vorgaben. Der Bestätigungslink der Checkliste zeigt nur eine Seite an; bestätigt wird auch dort erst per POST (Ziffer 9.1).
• Datensparsamkeit als Schutzmaßnahme. Was nicht gespeichert wird, kann nicht abfließen: Auf dem Webserver entsteht keine Datenbank mit Anfragen, und Fehlermeldungen in den technischen Protokollen enthalten keine Namen, Adressen oder Nachrichteninhalte. Im Zugriffsprotokoll steht eine E-Mail-Adresse nur in einem Fall, und dann in kodierter Form: beim Aufruf des Bestätigungslinks der Checkliste (Ziffer 9.2).
• Interner Zugriff. Auf die eingehenden Anfragen greifen nur die Personen zu, die sie bearbeiten müssen.

15. Aufbewahrung und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wie gesetzliche Aufbewahrungspflichten es verlangen.

Die handels- und steuerrechtlichen Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). Während dieser Zeit ist die Verarbeitung auf die Aufbewahrung beschränkt; die Daten werden nicht mehr für andere Zwecke genutzt. Das gilt auch für die Daten in DATEV Unternehmen online; nach Ablauf der Fristen löschen wir sie dort.

16. Anfragen über LinkedIn und unsere LinkedIn-Unternehmensseite

Wir werben auf LinkedIn für unsere Angebote rund um NIS2. Einige dieser Anzeigen enthalten ein Formular, das Sie direkt auf LinkedIn ausfüllen; LinkedIn nennt diese Formulare „Lead Gen Forms“. Außerdem betreiben wir auf LinkedIn die Unternehmensseite „GEFIM – Informationssicherheit im Mittelstand“. Diese Ziffer erklärt, was dabei mit Ihren Daten geschieht.

Auf nis2-berater.de ist LinkedIn nicht eingebunden. Diese Website enthält kein Skript, keinen Zählpixel (auch nicht das „Insight Tag“ von LinkedIn) und keine Schaltfläche von LinkedIn, und sie setzt keine Cookies (Ziffer 6). Über diese Website erhält LinkedIn keine Daten von Ihnen. Alles, was in dieser Ziffer beschrieben ist, geschieht auf LinkedIn selbst und bei uns, nachdem wir Ihre Angaben dort abgerufen haben.

16.1 Unsere Formulare in LinkedIn-Anzeigen

Wir setzen zwei Formulare ein:

• „NIS2-Checkliste“ – Vorname, Nachname und E-Mail-Adresse. Nach dem Absenden zeigt LinkedIn Ihnen einen Link zur „NIS2-Checkliste für Geschäftsführer“. Die Checkliste liegt als PDF auf unserem Server (Ziffer 6); eine E-Mail schicken wir Ihnen dafür nicht.
• „NIS2-Schulung Angebot“ – Vorname, Nachname, E-Mail-Adresse, Firmenname und Berufsbezeichnung, dazu freiwillig Ihre Telefonnummer und Ihre Antwort auf die Frage „Welches Paket interessiert Sie?“. Damit fordern Sie ein Angebot für unsere NIS2-Schulung an.

LinkedIn füllt die Felder mit Angaben aus Ihrem LinkedIn-Profil vor. Uns erreichen die Angaben erst, wenn Sie das Formular absenden. Jedes Formular übermittelt zusätzlich ein technisches Feld, das nur angibt, aus welchem der beiden Formulare die Anfrage stammt („linkedin-checkliste“ oder „linkedin-schulung“); es enthält keine Angaben zu Ihrer Person. Außerdem stellt LinkedIn uns zu jeder Anfrage bereit, wann Sie das Formular abgesendet haben, über welche Kampagne und Anzeige es geöffnet wurde und ob Sie das Häkchen zur Einwilligung gesetzt haben.

In beiden Formularen gibt es ein freiwilliges Häkchen für die Einwilligung in eine weitere Kontaktaufnahme (Ziffer 16.3). Es ist nicht vorausgewählt. Die Checkliste und das Angebot erhalten Sie genauso ohne dieses Häkchen.

Die abgesendeten Angaben liegen zunächst bei LinkedIn. Wir rufen sie in der Werbeverwaltung von LinkedIn (Campaign Manager) ab und laden sie dort als Datei herunter. Was wir danach damit tun und wie lange wir sie aufbewahren, steht in den Ziffern 16.3 bis 16.5; schreiben wir Ihnen, läuft das über unser Postfach bei Microsoft 365 (Ziffer 10).

Folgen Sie nach dem Absenden dem Link zur Checkliste, rufen Sie eine Datei von unserem Server ab. Dabei entsteht nur der übliche Logfile-Eintrag nach Ziffer 4; mit Ihren Formularangaben führen wir ihn nicht zusammen.

16.2 Wer wofür verantwortlich ist

Wir legen fest, welche Angaben unsere Formulare abfragen und wofür wir sie verwenden. Für die Erhebung über unsere Formulare und für alles, was wir nach dem Abruf mit Ihren Angaben tun, sind wir verantwortlich (Ziffer 1).

LinkedIn betreibt die Plattform, zeigt die Anzeigen und Formulare an, füllt die Formulare aus Ihrem Profil vor und speichert die abgesendeten Angaben. Für Mitglieder in der Europäischen Union ist das die:

LinkedIn Ireland Unlimited Company
Wilton Plaza, Wilton Place
Dublin 2, Irland
Datenschutzerklärung: linkedin.com/legal/privacy-policy
Ergänzende Hinweise für die EU: linkedin.com/legal/privacy/eu
Kontakt zum Datenschutzbeauftragten von LinkedIn: linkedin.com/help/linkedin/ask/TSO-DPO

LinkedIn ist dabei nicht unser Auftragsverarbeiter. Nach seiner Datenschutzerklärung ist LinkedIn für die Daten seiner Mitglieder, die im Zusammenhang mit seinen Diensten verarbeitet werden, selbst Verantwortlicher – also auch für Ihre Angaben im Formular, solange sie bei LinkedIn liegen. Nach seinen ergänzenden Hinweisen für die EU nutzt LinkedIn diese Angaben auch für eigene Zwecke, etwa um Anzeigen zuzuschneiden, ihre Wirkung zu messen und sie zu verbessern. Auch die Werbebedingungen von LinkedIn sehen für Lead Gen Forms keine Auftragsverarbeitung vor, sondern eine eigene Verantwortlichkeit von LinkedIn (LinkedIn Independent Controller Addendum, Fassung vom 17. September 2025). Welche Daten LinkedIn verwendet und auf welcher Rechtsgrundlage, beschreibt LinkedIn in seiner Datenschutzerklärung und den Hinweisen für die EU.

Wem LinkedIn unsere Anzeigen zeigt, entscheidet LinkedIn anhand der Zielgruppe, die wir für eine Kampagne auswählen, und der Daten, die LinkedIn über seine Mitglieder hat. Wir erfahren dabei nicht, wem eine Anzeige gezeigt wurde. Zu den Anzeigen erhalten wir von LinkedIn nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Angaben zu Ihrer Person erhalten wir nur über ein Formular, das Sie selbst absenden. Ausnahme: Kommentare, Reaktionen und geteilte Beiträge zu einer Anzeige sind – wie bei jedem Beitrag auf LinkedIn – mit Ihrem Namen für uns und andere sichtbar. In Ihren LinkedIn-Einstellungen können Sie bestimmen, welche Ihrer Daten LinkedIn für Werbung nutzt.

16.3 Zwecke und Rechtsgrundlagen

• Checkliste – Art. 6 Abs. 1 lit. b DSGVO: Sie fordern die Checkliste mit dem Formular an, und wir stellen sie Ihnen über den Link nach dem Absenden bereit.
• Abruf und kurze Aufbewahrung ohne Einwilligung (Checkliste) – Art. 6 Abs. 1 lit. f DSGVO. LinkedIn stellt uns jede abgesendete Anfrage vollständig bereit. Unser berechtigtes Interesse besteht darin festzustellen, ob Sie in eine Kontaktaufnahme eingewilligt haben, Ihre Anforderung nachvollziehen zu können und Anliegen zu Ihren Daten zu bearbeiten. Ohne Ihre Einwilligung nehmen wir keinen Kontakt zu Ihnen auf, schicken Ihnen keine Werbung und tragen Sie in keinen Verteiler ein.
• Angebotsanfrage – Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage): Wir erstellen Ihnen das Angebot und melden uns dazu per E-Mail oder, wenn Sie sie angegeben haben, unter Ihrer Telefonnummer.
• Freiwillige Einwilligung in die Kontaktaufnahme – Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für werbliche E-Mails zugleich die Einwilligung nach § 7 Abs. 2 Nr. 2 UWG. Setzen Sie das Häkchen, dürfen wir Sie per E-Mail zu unserer NIS2-Schulung und NIS2-Beratung ansprechen, auch über den Anlass des Formulars hinaus. Maßgeblich ist der Wortlaut am Häkchen. Wirksam wird die Einwilligung mit dem Absenden des Formulars.
• Nachweis Ihrer Einwilligung – Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unserer Nachweispflicht aus Art. 7 Abs. 1 DSGVO, daneben Art. 6 Abs. 1 lit. f DSGVO. Dafür bewahren wir Ihre Angaben aus dem Formular zusammen mit Ihrer Angabe zum Häkchen und dem Wortlaut der Einwilligung auf.
• Auswahl der Zielgruppe für unsere Anzeigen – soweit wir dafür neben LinkedIn mitverantwortlich sind, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, unsere Anzeigen den Fachleuten und Unternehmen zu zeigen, für die unsere Angebote gedacht sind. Wem eine Anzeige gezeigt wird, erfahren wir nicht (Ziffer 16.2).

Keine anderen Zwecke. Wir verwenden Ihre Angaben aus den LinkedIn-Formularen ausschließlich für die hier genannten Zwecke. Wir verkaufen sie nicht und geben sie nicht zu Werbezwecken an Dritte weiter.

Pflicht zur Bereitstellung. Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten zu übermitteln. Ohne die Angaben, die ein Formular verlangt, lässt es sich nicht absenden; weitere Nachteile entstehen Ihnen nicht. Die Checkliste erhalten Sie auch über unsere Website (Ziffer 9), ein Angebot auch über unser Anfrageformular (Ziffer 8) – oder Sie rufen uns einfach an (Ziffer 1).

16.4 Empfänger und Übermittlung in die USA

Ihre Angaben aus den Formularen liegen bei LinkedIn und nach dem Abruf bei uns. Bei uns sehen sie nur die Personen, die die Anfragen bearbeiten. Für E-Mails nutzen wir unser Postfach bei Microsoft 365 (Ziffern 10 und 11). Andere Stellen erhalten Ihre Angaben von uns nur in den Ausnahmefällen, die in Ziffer 11 genannt sind, etwa wenn wir gesetzlich dazu verpflichtet sind.

Übermittlung in die USA durch LinkedIn. Nach eigenen Angaben teilt die LinkedIn Ireland Unlimited Company personenbezogene Daten ihrer Mitglieder mit der LinkedIn Corporation in den USA, die sie in ihren Rechenzentren verarbeitet und speichert. LinkedIn stützt sich dafür auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), unter dem LinkedIn nach eigenen Angaben zertifiziert ist, und für bestimmte Übermittlungen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für diese Übermittlungen ist LinkedIn verantwortlich. Wir selbst übermitteln Ihre Formularangaben nicht in ein Land außerhalb der EU; für unser Postfach gilt Ziffer 12.

16.5 Speicherdauer

• Bei LinkedIn – Nach den Angaben von LinkedIn stehen uns die Formularangaben in der Werbeverwaltung bis zu ein Jahr lang zum Abruf zur Verfügung. Wie lange LinkedIn sie für eigene Zwecke speichert, regelt die Datenschutzerklärung von LinkedIn.
• Checkliste ohne Einwilligung – Wir löschen Ihre Angaben in unseren Unterlagen spätestens 30 Tage nach dem Absenden des Formulars.
• Angebotsanfrage – wie eine Anfrage über unsere Website (Ziffer 15): Führt sie zu keiner Geschäftsbeziehung, löschen wir sie, sobald sie abschließend bearbeitet ist und nichts dafür spricht, dass Sie darauf zurückkommen – in der Regel spätestens sechs Monate nach dem letzten Kontakt. Sonst gelten die Fristen für Geschäftsbeziehungen.
• Einwilligung in die Kontaktaufnahme – bis zu Ihrem Widerruf. Den Nachweis der Einwilligung und des Widerrufs bewahren wir danach drei Jahre nach Ablauf des Jahres des Widerrufs auf (§§ 195, 199 BGB).

16.6 Ihre Rechte, Widerruf und Widerspruch

Ihre Rechte aus Ziffer 3 können Sie uns gegenüber formlos geltend machen, etwa per E-Mail an info@gefim.de. Für die Verarbeitung bei LinkedIn wenden Sie sich an LinkedIn (Kontakt in Ziffer 16.2); vieles können Sie auch direkt in Ihren LinkedIn-Einstellungen regeln.

Widerruf. Ihre Einwilligung in die Kontaktaufnahme können Sie jederzeit mit Wirkung für die Zukunft widerrufen, formlos an info@gefim.de. Danach schreiben wir Sie nicht mehr an; die Checkliste behalten Sie selbstverständlich. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Widerspruch. Dem Abruf und der Aufbewahrung Ihrer Angaben ohne Einwilligung, der Auswahl der Zielgruppe für unsere Anzeigen (Ziffer 16.3) und unserer Unternehmensseite mit ihren Statistiken (Ziffer 16.7) können Sie nach Art. 21 Abs. 1 DSGVO widersprechen, der Werbung jederzeit und ohne Begründung nach Art. 21 Abs. 2 DSGVO – siehe den hervorgehobenen Hinweis in Ziffer 3.

16.7 Unsere Unternehmensseite auf LinkedIn

Auf LinkedIn betreiben wir die Unternehmensseite „GEFIM – Informationssicherheit im Mittelstand“. Wenn Sie die Seite besuchen, ihr folgen oder mit ihr interagieren, verarbeitet LinkedIn personenbezogene Daten, um uns daraus Statistiken zu unserer Seite bereitzustellen („Page Insights“). Dafür nutzt LinkedIn nach eigenen Angaben Daten aus Ihrem Profil wie Funktion, Land, Branche, Karrierestufe, Unternehmensgröße und Beschäftigungsstatus sowie Daten dazu, wie Sie mit unserer Seite interagiert haben, etwa ob Sie ihr folgen.

Gemeinsame Verantwortung. Für diese Statistiken sind wir und die LinkedIn Ireland Unlimited Company gemeinsam verantwortlich (Art. 26 DSGVO). Das entspricht der Rechtsprechung des Gerichtshofs der Europäischen Union zu Unternehmensseiten in sozialen Netzwerken (Urteil vom 5. Juni 2018 – C-210/16, Wirtschaftsakademie Schleswig-Holstein). Die Aufteilung regelt die Vereinbarung von LinkedIn über die gemeinsame Verantwortlichkeit („Page Insights Joint Controller Addendum“): legal.linkedin.com/pages-joint-controller-addendum. Das Wesentliche daraus:

• LinkedIn übernimmt die Verantwortung nach der DSGVO für die Bereitstellung der Statistiken, insbesondere für die Pflichten aus Art. 12 bis 22 und Art. 32 bis 34 DSGVO – also für Ihre Information, Ihre Rechte und die Sicherheit der Verarbeitung.
• Wir erhalten die Statistiken nur zusammengefasst. LinkedIn gibt uns dazu keine personenbezogenen Daten einzelner Mitglieder heraus und ermöglicht uns nicht, die Statistiken einzelnen Personen zuzuordnen.
• LinkedIn verarbeitet und speichert die Daten für die Statistiken nach seiner Nutzervereinbarung und seiner Datenschutzerklärung; dort ist auch geregelt, wie lange.
• Ihre Rechte zu diesen Statistiken können Sie in Ihren LinkedIn-Einstellungen oder direkt gegenüber LinkedIn geltend machen. Sie können sich auch an uns wenden; wir leiten Ihr Anliegen dann an LinkedIn weiter.
• Federführende Aufsichtsbehörde für diese Verarbeitung ist die irische Datenschutzbehörde (Data Protection Commission). Ihr Beschwerderecht nach Ziffer 3 bleibt davon unberührt.

Was wir außerdem sehen. Unabhängig von den Statistiken zeigt LinkedIn uns als Betreiber der Seite, wer ihr derzeit folgt: Folgen Sie unserer Seite, sehen wir Ihren Namen, Ihren aktuellen Arbeitgeber und seit wann Sie folgen. Folgen Sie ihr nicht mehr, erscheinen Sie in dieser Liste nicht mehr. Reaktionen, Kommentare und geteilte Beiträge sind wie überall auf LinkedIn mit Ihrem Namen für uns und andere sichtbar.

Zweck und Rechtsgrundlage. Wir nutzen die Unternehmensseite, um unser Unternehmen und unsere Leistungen vorzustellen, und die Statistiken, um zu verstehen, wie unsere Beiträge ankommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, Fachleute und Unternehmen auf LinkedIn zu erreichen. Sie können dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3).

Nachrichten und Kommentare. Schreiben Sie uns auf LinkedIn eine Nachricht oder kommentieren Sie einen unserer Beiträge, verarbeiten wir Ihre Angaben, um Ihnen zu antworten – Rechtsgrundlage und Speicherdauer wie bei einer E-Mail (Ziffern 10 und 15). Kommentare sind öffentlich sichtbar, bis Sie oder wir sie löschen. Gespeichert werden Nachrichten und Kommentare bei LinkedIn nach dessen Datenschutzerklärung.

17. Anzeigen bei Facebook und Instagram

Auf nis2-berater.de sind Facebook und Instagram nicht eingebunden – kein Skript, kein Pixel (auch nicht das „Meta-Pixel“), keine Schaltfläche, und diese Website setzt keine Cookies (Ziffer 6). Über diese Website erhält Meta keine Daten von Ihnen. Was in dieser Ziffer beschrieben ist, geschieht auf Facebook und Instagram selbst.

Anzeigen. Werben wir bei Facebook oder Instagram für unsere Angebote, entscheidet Meta anhand der Zielgruppe, die wir für eine Kampagne wählen, und der Daten, die Meta über seine Nutzerinnen und Nutzer hat, wem die Anzeigen gezeigt werden. Wir erfahren nicht, wem sie gezeigt wurden, und erhalten nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Klicken Sie auf eine Anzeige, öffnet sich unsere Website wie bei jedem anderen Link; ein Pixel oder Skript von Meta gibt es hier nicht. Meta hängt dabei meist eine eigene Klick-Kennung (fbclid) an die Adresse. Wir übernehmen sie nicht in unsere Formulare (Ziffer 8); sie steht aber wie jede aufgerufene Adresse in den Server-Logfiles (Ziffer 4). Öffnen Sie den Link in der App von Facebook oder Instagram, nutzen Sie deren eingebauten Browser; dafür gilt die Datenschutzrichtlinie von Meta. Reaktionen und Kommentare unter einer Anzeige sind wie unter jedem anderen Beitrag mit Ihrem Namen für uns und andere sichtbar.

Keine eigene Seite für nis2-berater.de. Für nis2-berater.de betreiben wir bei Facebook und Instagram keine eigene Seite und kein eigenes Profil. Erscheinen unsere Anzeigen unter dem Auftritt der GEFIM bei Facebook oder Instagram, gilt für diesen Auftritt und die Statistiken, die Meta uns dazu bereitstellt, die Datenschutzerklärung von gefim.de.

Wer wofür verantwortlich ist. Meta betreibt Facebook und Instagram, spielt die Anzeigen aus und misst ihre Wirkung. Welche Daten Meta dafür verwendet und auf welcher Rechtsgrundlage, beschreibt Meta in seiner Datenschutzrichtlinie. Wir legen fest, wofür wir werben und welche Zielgruppe wir für eine Kampagne wählen. Wir laden keine Daten zu Ihrer Person bei Meta hoch, etwa keine Kundenlisten, und melden keine Besuche oder Anfragen an Meta zurück.

Zweck und Rechtsgrundlage. Mit Anzeigen bei Facebook und Instagram machen wir Unternehmen und Geschäftsleitungen auf unsere Angebote rund um NIS2 aufmerksam. Soweit wir für die Auswahl der Zielgruppe neben Meta mitverantwortlich sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, unsere Anzeigen den Unternehmen und Fachleuten zu zeigen, für die unsere Angebote gedacht sind. Sie können dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Welche Werbung Meta Ihnen zeigt, können Sie außerdem in den Werbeeinstellungen Ihres Kontos bei Facebook bzw. Instagram beeinflussen. Zur Übermittlung in die USA durch Meta siehe Ziffer 12.

Ihre Rechte. Ihre Rechte aus Ziffer 3 können Sie uns gegenüber formlos geltend machen, etwa per E-Mail an info@gefim.de. Für die Verarbeitung bei Meta wenden Sie sich an Meta; Anbieter für Nutzerinnen und Nutzer in der EU ist die:

Meta Platforms Ireland Limited
Merrion Road
Dublin 4, D04 X2K5, Irland
Datenschutzrichtlinie (für Facebook und Instagram): facebook.com/privacy/policy
Kontakt zum Datenschutzbeauftragten von Meta: facebook.com/help/contact/540977946302970

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die beschriebenen Verarbeitungen oder die rechtlichen Anforderungen ändern. Maßgeblich ist jeweils die auf dieser Seite veröffentlichte Fassung mit dem oben angegebenen Stand. Frühere Fassungen bewahren wir mit Gültigkeitszeitraum auf; auf Anfrage teilen wir Ihnen mit, welche Fassung zu einem bestimmten Zeitpunkt galt.

Eine Änderung dieser Erklärung erneuert keine Einwilligung. Wird für eine neue Verarbeitung eine Einwilligung benötigt, holen wir sie gesondert bei Ihnen ein.

Stand: 19. Oktober 2026