Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Gravning GmbH
Lutterothstraße 50
20255 Hamburg
E-Mail: office@gravning.de

Wir haben einen externen Datenschutzbeauftragten bestellt:

DataCo GmbH
Sandstrasse 33
80335 München

Sie können den Datenschutzbeauftragten auch über die oben genannten Kontaktdaten des Verantwortlichen mit dem Zusatz „z. Hd. Datenschutzbeauftragter“ erreichen.

Diese Erklärung gilt ausschließlich für die öffentlich erreichbaren Seiten der Gravning Suite. Dazu gehören die Anmeldeseite und die öffentlich bereitgestellten Umfragen und Quickchecks („Gravning Surveys“). Sie beschreibt die Datenverarbeitung, die durch den Aufruf oder die Nutzung dieser Seiten ausgelöst wird.

Nicht Gegenstand dieser Erklärung sind Datenverarbeitungen im zugangsbeschränkten internen Arbeitsbereich, insbesondere die Nutzung interner Module einschließlich des CRM. Beschäftigte und beauftragte Personen erhalten hierzu eine gesonderte interne Datenschutzinformation. Personen, deren Daten im CRM verarbeitet werden, erhalten eine gesonderte Datenschutzinformation nach Art. 13 oder Art. 14 DSGVO bei der Erhebung ihrer Daten beziehungsweise im Rahmen der ersten Kontaktaufnahme.

Die Anwendung wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) in einem Rechenzentrum innerhalb der Europäischen Union betrieben. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf der Anwendung werden automatisch Informationen verarbeitet, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp/-version und Betriebssystem. Diese Daten sind technisch erforderlich, um die Anwendung auszuliefern und ihre Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb der Anwendung (Art. 6 Abs. 1 lit. f DSGVO). Server-Logfiles werden nach kurzer Zeit automatisch gelöscht.

Wir setzen Funktionscookies ein, aber keine websiteübergreifenden Tracking- oder Marketing-Cookies. Soweit ein Cookie unbedingt erforderlich ist, um eine ausdrücklich gewünschte Funktion bereitzustellen, ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich.

Konkret verwenden wir ein Sitzungs-Cookie zur Anmeldung interner Nutzer (qc_admin_session) sowie — nur während eines laufenden Microsoft-Anmeldevorgangs — ein kurzlebiges Cookie zur Absicherung des Anmeldeablaufs (qc_entra_flow). Rechtsgrundlage ist die Erforderlichkeit zur Bereitstellung des jeweils genutzten Dienstes (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Wenn eine Umfrage die Begrenzung auf eine Teilnahme pro Browser aktiviert, wird zusätzlich ein technisch notwendiges Cookie (qc_participation_…) für 180 Tage und ausschließlich für diesen Fragebogen gesetzt. Der zugehörige Wert wird serverseitig nur als Hash gespeichert. Andere Browser, Geräte, der Privatmodus oder gelöschte Cookies können diese weiche Begrenzung umgehen.

Das Cookie qc_campaign_attribution wird bei Kampagnenlinks höchstens 10 Minuten ausschließlich im engen Start-API-Pfad verwendet und nach erfolgreichem Start gelöscht. Es ordnet eine Teilnahme einem Kampagnenlink zu und verfolgt Personen nicht websiteübergreifend.

Die öffentlich erreichbare Anmeldeseite führt zu einem zugangsbeschränkten Bereich, der ausschließlich Beschäftigten und beauftragten Personen der Gravning GmbH offensteht. Diese Erklärung erfasst nur die Datenverarbeitung beim Aufruf und bei der Durchführung der Anmeldung. Über die weitere Verarbeitung im internen Arbeitsbereich informieren wir die berechtigten Nutzer gesondert.

Bei der Anmeldung verarbeiten wir E-Mail-Adresse, Passwort (ausschließlich als kryptographischer Hash gespeichert), Sitzungsdaten sowie sicherheitsrelevante Protokolldaten. Rechtsgrundlage ist die Durchführung des Beschäftigungs- bzw. Auftragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Absicherung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Interne Nutzer können sich zusätzlich über Microsoft Entra ID (Single Sign-on) anmelden. Dabei erhält Microsoft Ireland Operations Ltd. (One Microsoft Place, Dublin, Irland) die für den Anmeldevorgang erforderlichen Daten. Eine Übermittlung in die USA an die Microsoft Corporation kann dabei nicht ausgeschlossen werden; sie ist durch die Zertifizierung von Microsoft unter dem EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert. Diese Anmeldemöglichkeit steht ausschließlich Angehörigen unseres Unternehmens zur Verfügung — Teilnehmerinnen und Teilnehmer öffentlicher Umfragen melden sich nicht an, und ihre Daten werden nicht an Microsoft übermittelt.

Bei der Teilnahme an einer öffentlichen Umfrage oder einem Quickcheck verarbeiten wir Ihre Antworten auf die gestellten Fragen sowie — bei bewerteten Quickchecks — die daraus berechneten Auswertungsergebnisse. Die Teilnahme ist grundsätzlich ohne Angabe Ihres Namens möglich.

Sofern Sie am Ende freiwillig Kontaktdaten (z. B. Ihre E-Mail-Adresse) angeben — etwa um einen Ergebnisbericht als PDF zu erhalten oder um kontaktiert zu werden — verarbeiten wir diese Angaben auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie sich an die unter Ziffer 1 genannten Kontaktdaten wenden. Die Verarbeitung der Antworten selbst stützt sich auf unser berechtigtes Interesse an der Durchführung und Auswertung der jeweiligen Erhebung (Art. 6 Abs. 1 lit. f DSGVO).

Optional erfassen wir beim Start einer Umfrage eine grobe Geräteklasse (Mobil, Tablet oder Desktop) und eine Betriebssystemgruppe. Im Teilnahme-Datensatz speichern wir dafür weder User-Agent-Rohdaten noch IP-Adresse, Modell, Browserkennung oder Fingerprint; technische Server-Logfiles können unabhängig davon nach Ziffer 4 verarbeitet werden.

Innerhalb der Gravning GmbH erhalten nur die Stellen Zugriff auf Ihre Daten, die diese zur Aufgabenerfüllung benötigen. Externe Empfänger sind ausschließlich unser Hosting-Anbieter (Ziffer 4) sowie — nur für die Anmeldung interner Nutzer — Microsoft (Ziffer 6). Eine Weitergabe zu Werbezwecken findet nicht statt.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Umfrage- und Quickcheck-Daten werden gelöscht oder anonymisiert, sobald sie für die Auswertung nicht mehr benötigt werden; Sitzungs- und Protokolldaten werden nach Ablauf der jeweiligen technischen Fristen gelöscht.

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.