Datenschutzerklärung

1. Verantwortlicher

Ryvelia UG (haftungsbeschränkt) Wasserturmstraße 3 04442 Zwenkau Deutschland

Vertreten durch den Geschäftsführer Kimon Neuhoff Telefon +491631955793 E-Mail [email protected]

Sofern nachfolgend von „wir“, „uns“ oder „EntgeltPlus“ die Rede ist, ist die Ryvelia UG (haftungsbeschränkt) gemeint.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Datenschutzanfragen können an [email protected] gerichtet werden. Wir prüfen laufend, ob nach Art. 37 DSGVO oder den anwendbaren nationalen Vorschriften eine Benennungspflicht besteht.

3. Rollenverteilung bei Lizenzkunden- und Nutzerdaten

Wenn Lizenzkunden, insbesondere Beratungsunternehmen, Vermittlerunternehmen oder Unternehmen mit eigenen Beratern, personenbezogene Daten von Beschäftigten, Ansprechpartnern, betreuten Arbeitgeber- oder Unternehmenskunden oder sonstigen Dritten in EntgeltPlus einbringen oder durch berechtigte Nutzer einbringen lassen, sind diese Lizenzkunden regelmäßig selbst Verantwortliche im Sinne der DSGVO. In diesen Fällen verarbeiten wir die Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage einer Vereinbarung zur Auftragsverarbeitung und nach Weisung des Lizenzkunden.

Für eigene Zwecke, etwa Verwaltung von Lizenzverträgen, Freischaltung und Verwaltung von Nutzerkonten, Abrechnung, Sicherheit, Support, Fehleranalyse, Produktbetrieb und gesetzliche Nachweise, handeln wir als eigenständig Verantwortlicher. Soweit im Einzelfall eine gemeinsame Verantwortlichkeit entstehen sollte, regeln wir die jeweiligen Pflichten gesondert.

4. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn hierfür eine Rechtsgrundlage besteht. Maßgebliche Rechtsgrundlagen sind insbesondere die folgenden.

• Art. 6 Abs. 1 lit. b DSGVO für Vertragserfüllung, vorvertragliche Maßnahmen, Lizenzverträge, Nutzerkonten, Support, Berechnungen, Dokumentenerzeugung und vereinbarte Plattformfunktionen.
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, insbesondere handels-, steuer-, buchhaltungs- und nachweisbezogene Pflichten.
• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse, Produktverbesserung, Nachweisführung und Rechtsverteidigung.
• Art. 6 Abs. 1 lit. a DSGVO für Einwilligungen, insbesondere für nicht notwendige Analyse- oder Marketingtechnologien.
• Art. 9 DSGVO, soweit besondere Kategorien personenbezogener Daten betroffen sind. Werden solche Daten im Auftrag eines Lizenzkunden verarbeitet, ist der Lizenzkunde für die hierfür erforderliche Rechtsgrundlage verantwortlich. Eigene Verarbeitungen besonderer Kategorien erfolgen nur, soweit eine zusätzliche Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht, etwa für arbeits-, sozial- oder versicherungsrechtliche Zwecke, ausdrückliche Einwilligungen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

5. Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist für die Nutzung der Website, den Abschluss und die Durchführung von Lizenzverträgen, die Freischaltung und Verwaltung von Nutzerkonten, die Arbeit in Organisationen, die Berechnung und Dokumentenerzeugung sowie die Kommunikation erforderlich. Ohne diese Daten können wir die jeweiligen Funktionen oder Leistungen ganz oder teilweise nicht bereitstellen.

Soweit Lizenzkunden oder berechtigte Nutzer Daten von Beschäftigten oder Dritten einbringen, müssen sie sicherstellen, dass die Daten rechtmäßig erhoben, bereitgestellt und verarbeitet werden dürfen und dass erforderliche Informationspflichten erfüllt werden.

6. Verarbeitungstätigkeiten

Die wichtigsten Verarbeitungsvorgänge sind nachfolgend zusammengefasst. Je nach freigeschaltetem Leistungsumfang werden nicht alle Vorgänge bei jedem Lizenzkunden oder Nutzer relevant.

Wir verarbeiten technische Zugriffsdaten wie IP-Adresse, Zeitpunkt, URL, Referrer, Browser, Betriebssystem, HTTP-Status, Fehler- und Protokolldaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Empfänger sind Hosting-, Infrastruktur-, Sicherheits- und Supportdienstleister. Die Speicherung erfolgt nur solange, wie Betrieb, Sicherheit, Fehleranalyse und Nachweise dies erfordern; länger nur bei rechtlicher Pflicht oder Sicherheitsvorfall.

Für den Betrieb der Plattform verarbeiten wir Konto-, Organisations-, Rollen-, Berechtigungs-, Nutzungs-, Import-, Berechnungs-, Dokument- und Protokolldaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO sowie bei Auftragsverarbeitung Art. 28 DSGVO. Empfänger sind insbesondere Hetzner, Datenbank- und GraphQL-Infrastruktur, Celestial-/Auth-Komponenten und technische Dienstleister. Die Speicherung erfolgt für die Dauer des Lizenz- oder Nutzungsverhältnisses und danach nach gesetzlichen Pflichten, AVV, berechtigtem Interesse oder Löschkonzept.

Für Nutzerkonten verarbeiten wir Name, E-Mail-Adresse, Authentifizierungsdaten, Benutzer-ID, Rollen, Organisationszuordnung, Lizenzkundenbezug, Einladungsstatus, Telefonnummer, Beraternummer, IHK-Registrierungsnummer und Profilbild. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Empfänger sind Authentifizierungs-, E-Mail-, Hosting- und Datenbankdienstleister. Die Speicherung erfolgt für die Dauer des Nutzerkontos; sicherheitsrelevante Protokolle können je nach Bedarf kürzer oder länger gespeichert werden.

Für Organisationsverwaltung, Rollen und Zugriffe verarbeiten wir Organisationsdaten, Lizenzkundendaten, Mitgliedschaften, Rechte, Einladungen, administrative Einstellungen sowie Aktivitäts- und Statusdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Empfänger sind berechtigte Organisationsmitglieder sowie Hosting-, Datenbank- und Auth-Dienstleister. Die Speicherung erfolgt für die Dauer der Organisations-, Lizenz- oder Nutzungsbeziehung; Nachweise können länger aufbewahrt werden.

Für fachliche Plattformfunktionen verarbeiten wir Daten betreuter Arbeitgeber- oder Unternehmenskunden, Ansprechpartnerdaten, Mitarbeiterstammdaten, Kontakt- und Beschäftigtendaten, Gehaltsdaten, Steuer- und Sozialversicherungsangaben, Benefit- und bAV-Daten, Tarif-, Versicherungs- und Gesellschaftsdaten, Berechnungsergebnisse, Beratungsprotokolle, PDF-/DOCX-Dokumente und Speicherstände. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO, Art. 9 DSGVO soweit einschlägig und bei Kundendaten regelmäßig Art. 28 DSGVO. Empfänger sind berechtigte Lizenzkunden und Nutzer, Berater, Vermittler, betreute Arbeitgeber- oder Unternehmenskunden, Versorgungsträger, Versicherer, Dienstleister sowie Datenbank- und Dokumentenerzeugungsdienste. Die Speicherung erfolgt solange, wie dies für Vorgang, Vertrag, Nachweis, Aufbewahrung oder Rechtsverteidigung erforderlich ist; Löschung erfolgt nach Kundenweisung oder Löschkonzept.

Bei Importen, Exporten und Schnittstellen verarbeiten wir Importdaten, externe IDs, interne Benutzerzuordnungen, E-Mail-Adressen, Importstatus, Zeitpunkte, Fehlerdaten, Exportinhalte, Dokumente sowie API- und Zugriffsdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO sowie bei Kundendaten Art. 28 DSGVO. Empfänger sind berechtigte Kundensysteme, Integrationspartner, Hosting-, Datenbank- und Schnittstellendienstleister. Die Speicherung erfolgt solange, wie Import, Export, Nachvollziehbarkeit, Fehleranalyse und Vertragserfüllung dies erfordern.

Für digitale Signaturen verarbeiten wir Signaturbild, Status, Zeitpunkt, Gerätekennung, Ort, Nutzer-, Unternehmens- und Dokumentbezug, Signatur-Link und Ablaufzeit. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO sowie bei Kundendaten Art. 28 DSGVO. Empfänger sind berechtigte Lizenzkunden und Nutzer, Dokumentenempfänger, Hosting-, Datenbank- und Dokumentenerzeugungsdienste. Temporäre Signaturanfragen werden nach Abschluss oder Abbruch gelöscht, soweit sie nicht bewusst gespeichert werden; gespeicherte Signaturen bleiben solange erhalten, wie Dokumentation, Vertrag oder Nachweis dies erfordern.

Bei Uploads verarbeiten wir hochgeladene Bilddateien, Profil- oder Organisationsbilder, Dateiname, Dateityp, Dateigröße, URL sowie Speicher- und Zugriffsdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Empfänger sind Hosting-, Speicher-, CDN- und Sicherheitsdienstleister sowie berechtigte Nutzer. Die Speicherung erfolgt solange, wie das zugehörige Konto, Profil, die Organisation oder der Zweck besteht; eine frühere Löschung ist bei Löschung durch Berechtigte möglich.

Für transaktionale E-Mails und Webhooks verarbeiten wir E-Mail-Adresse, Name, Betreff, Inhalt, Versandzeitpunkt, Zustellstatus, Fehlerstatus, Einladungs- und Systemnachrichten, Anhänge und Webhook-Ereignisse. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO; bei Werbung Art. 6 Abs. 1 lit. a DSGVO oder eine gesetzliche Erlaubnis. Empfänger sind Resend, E-Mail-Infrastruktur und berechtigte Empfänger. Versand- und Nachweisdaten werden solange gespeichert, wie Zustellung, Fehleranalyse, Sicherheit, Vertrag und Nachweise dies erfordern.

Bei Support- und Kontaktanfragen verarbeiten wir Kontaktangaben, Nachrichteninhalt, Metadaten, Anliegen, Vertrags- und Organisationsbezug sowie Anhänge. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Empfänger sind E-Mail-, Support-, Hosting- und Kommunikationsdienstleister. Die Speicherung erfolgt solange, wie Bearbeitung, Vertrag, Nachweise und Rechtsverteidigung dies erfordern.

Soweit Zahlungs-, Rechnungs- oder Abofunktionen aktiviert sind, verarbeiten wir Name, E-Mail-Adresse, Rechnungsadresse, Plan, Tarif, Nutzungskontingente, Rechnungsdaten, Steuerdaten, Zahlungsstatus, Kundennummer und Transaktionsreferenzen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO. Empfänger sind Stripe, Autumn, Banken, Steuerberater, Buchhaltung sowie Zahlungs- und Abodienstleister. Vertrags- und Rechnungsdaten werden nach gesetzlichen Aufbewahrungsfristen regelmäßig bis zu zehn Jahre gespeichert.

Für Produkt- und Fehleranalyse verarbeiten wir Nutzungsereignisse, Seitenaufrufe, Klicks, technische Ereignisse, Geräte- und Browserdaten, pseudonyme Kennungen und Fehlerdaten. Für technisch notwendige Analyse ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich; für nicht notwendige Analyse Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Empfänger sind PostHog oder vergleichbare Analyse- und Fehleranalysedienste, soweit aktiviert. Nicht notwendige Analyse erfolgt nur solange eine Einwilligung besteht oder bis zum Widerruf.

Zur Sicherheit verarbeiten wir Login- und Sitzungsdaten, IP-Adressen, Geräteinformationen, Rollen, Zugriffszeiten, Fehler- und Auditdaten sowie API-Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Empfänger sind Hosting-, Auth-, Sicherheits-, Datenbank- und Supportdienstleister. Die Speicherung erfolgt solange, wie Sicherheit, Missbrauchserkennung, Nachweise und Rechtsverteidigung dies erfordern.

7. Website mit Framer

Für die öffentliche Website können wir Framer einsetzen. Framer dient der Gestaltung, Veröffentlichung und Auslieferung von Webseiten. Dabei können technische Daten verarbeitet werden, die für Betrieb und Darstellung erforderlich sind, insbesondere IP-Adresse, Browser- und Geräteinformationen, Zeitpunkt des Seitenaufrufs und aufgerufene Inhalte.

Soweit auf der Framer-Website Kontaktformulare, Demo-Anfragen, Analysefunktionen oder vergleichbare Funktionen eingesetzt werden, verarbeiten wir die dort eingegebenen oder technisch anfallenden Daten nach den in dieser Datenschutzerklärung genannten Zwecken und Rechtsgrundlagen. Nicht notwendige Analyse- oder Marketingtechnologien dürfen erst nach wirksamer Einwilligung eingesetzt werden.

8. Cookies und lokale Speichertechnologien

Wir verwenden Cookies, Local Storage, Session Storage und vergleichbare Technologien, um Website und App bereitzustellen, Logins zu ermöglichen, Sitzungen abzusichern, Formularzustände zu speichern, Berechnungen fortzuführen und Funktionen nutzbar zu machen.

Technisch notwendige Speicherzugriffe erfolgen auf Grundlage von § 25 Abs. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Zweck auf Grundlage von Art. 6 Abs. 1 lit. b oder f DSGVO.

Nicht notwendige Cookies oder vergleichbare Technologien, insbesondere für Analyse, Marketing oder Tracking, setzen wir nur mit vorheriger Einwilligung ein. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

In der App werden insbesondere Session-Cookies für Authentifizierung und Session-Storage-Einträge für laufende bAV-, Benefit-, Gutachten- oder Dokumentenvorgänge verwendet. Dadurch können Eingaben während der Nutzung erhalten bleiben und Berechnungen oder Dokumentenerzeugung technisch durchgeführt werden.

9. Eingesetzte und vorgesehene Dienstleister

Je nach aktivierter Funktion setzen wir insbesondere folgende Dienstleister oder Systeme ein oder sehen deren Einsatz vor.

• Hetzner für Hosting, Server- und Speicherinfrastruktur.
• Celestial und Better Auth für Authentifizierung, Benutzer-, Organisations- und Plattformfunktionen.
• Hasura, PostgreSQL und damit verbundene Datenbank- oder GraphQL-Infrastruktur für Speicherung, Abfragen, Rollen- und Berechtigungslogik.
• Resend für transaktionale E-Mails, Einladungen, Systemnachrichten, Versandstatus und Webhooks.
• Framer für öffentliche Website und Webseitenauslieferung.
• PostHog für Produktanalyse und Fehleranalyse, soweit aktiviert und bei nicht notwendiger Nutzung nur nach Einwilligung.
• Stripe für Zahlungsabwicklung, Rechnungsstellung und Betrugsprävention, soweit kostenpflichtige Zahlungsfunktionen aktiviert werden.
• Autumn für Plan-, Abo-, Kontingent- und Berechtigungsverwaltung, soweit entsprechende Abofunktionen aktiviert werden.
• Steuerberater, Rechtsberater, Banken, Versicherungs- und Versorgungspartner, Vermittler, betreute Arbeitgeber- oder Unternehmenskunden und Behörden, soweit dies für Vertrag, Dokumentation, Zahlung, Aufbewahrung, Rechtsverteidigung oder gesetzliche Pflichten erforderlich ist.

Mit Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit dies erforderlich ist.

10. Drittlandübermittlungen

Wir bevorzugen Verarbeitung innerhalb der EU oder des EWR, soweit dies für den jeweiligen Dienst verfügbar und vertraglich vereinbart ist. Dennoch können einzelne Anbieter, Unterauftragnehmer oder Supportvorgänge eine Verarbeitung außerhalb der EU oder des EWR vorsehen.

Eine Drittlandübermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie EU-Standardvertragsklauseln oder einer gesetzlichen Ausnahme. Informationen zu konkreten Garantien können unter [email protected] angefragt werden, soweit sie nicht bereits in Anbieterunterlagen bereitgestellt werden.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist. Kontodaten werden grundsätzlich für die Dauer des Nutzer-, Lizenz- oder Vertragsverhältnisses gespeichert. Vertrags-, Rechnungs-, Buchhaltungs- und steuerlich relevante Daten werden nach den gesetzlichen Aufbewahrungsfristen gespeichert, regelmäßig bis zu zehn Jahre.

Beratungs-, Versicherungs-, Signatur-, Nachweis- und Dokumentationsdaten können länger gespeichert werden, soweit dies zur Vertragserfüllung, zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist. Importdaten, Speicherstände, Berechnungsergebnisse und Dokumente werden gelöscht, sobald sie für den jeweiligen Zweck nicht mehr benötigt werden und keine gesetzlichen Pflichten, Kundenweisungen oder berechtigten Interessen entgegenstehen.

12. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Missbrauch, unbefugten Zugriff, Veränderung und Offenlegung zu schützen. Dazu gehören insbesondere verschlüsselte Verbindungen, Zugriffsbeschränkungen, Rollen- und Berechtigungskonzepte, Protokollierung sicherheitsrelevanter Vorgänge, Schutz von API-Tokens und eine datensparsame Systemkonfiguration.

13. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruhen. Soweit eine Verarbeitung auf Einwilligung beruht, kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung dieser Rechte genügt eine Nachricht an [email protected]. Wenn wir personenbezogene Daten ausschließlich im Auftrag eines Lizenzkunden verarbeiten, stimmen wir die Bearbeitung einer Anfrage mit dem jeweiligen Verantwortlichen ab oder leiten die Anfrage entsprechend weiter.

14. Beschwerderecht bei einer Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig kann insbesondere die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Datenschutzverstoßes sein. Für die Ryvelia UG (haftungsbeschränkt) kommt insbesondere die Sächsische Datenschutz- und Transparenzbeauftragte als zuständige Aufsichtsbehörde in Betracht.

15. Automatisierte Entscheidungen

EntgeltPlus stellt Berechnungen, Modellvergleiche und Dokumente bereit. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung gegenüber betroffenen Personen findet nach derzeitiger Konzeption nicht statt. Ergebnisse sind Entscheidungs-, Beratungs- und Dokumentationshilfen und müssen im konkreten Einzelfall fachlich geprüft werden.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Datenverarbeitungen, eingesetzte Dienste oder Funktionen ändern. Die jeweils aktuelle Fassung wird auf der Website oder in der App bereitgestellt.