Datenschutzerklärung zur digitalen Zusammenarbeit über Microsoft 365

Verantwortliche Stelle ist:

Cimbergy GmbH & Co. KG

Industriestr. 14

25813 Husum

Telefon: +49 (0)4841 9813 0

E-Mail: info@cimbergy.com

Unseren externen Datenschutzbeauftragten erreichst du unter:

Thomas Holst

Datensicherheit Nord GmbH

Siemensstr. 28

25813 Husum

E-Mail: ds@datensicherheit-nord.de

Datenquellen und Datenarten

Wir verarbeiten personenbezogene Daten, die wir im Rahmen der digitalen Zusammenarbeit von dir oder deinem Unternehmen erhalten oder die bei der Nutzung der bereitgestellten Microsoft-365-Dienste entstehen.

Zwecke und Rechtsgrundlagen

Wir stellen der Kundschaft, geschäftlichen Kontakten, Lieferunternehmen sowie sonstigen berechtigten externen Personen digitale Dienste auf Basis von Microsoft 365 zur Verfügung. Zweck der Verarbeitung ist die sichere, strukturierte und nachvollziehbare digitale Zusammenarbeit.

Hierzu zählen insbesondere die gemeinsame Bearbeitung und Bereitstellung von Dokumenten, die Zusammenarbeit in Projekten, Kommunikation und Terminabstimmung sowie die sichere Verwaltung von Zugriffsberechtigungen über Microsoft SharePoint Online, Microsoft Teams, Microsoft OneDrive und Microsoft Entra ID.

Wir verarbeiten personenbezogene Daten im Einklang mit den Bestimmungen der Europäischen Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG):

Aufgrund deiner Einwilligung (Art. 6 Abs. 1 a DSGVO)

Soweit du uns eine Einwilligung zur Verarbeitung von personenbezogenen Daten für bestimmte Zwecke (z. B. Weitergabe von Daten an andere Unternehmen) erteilt hast, ist die Rechtmäßigkeit dieser Verarbeitung auf Basis deiner Einwilligung gegeben.

Zur Erfüllung vertraglicher Pflichten (Art. 6 Abs. 1 b DSGVO)

Die Verarbeitung erfolgt, soweit sie für die Anbahnung, Durchführung oder Abwicklung einer Geschäftsbeziehung, eines Projekts, eines Auftrags oder einer sonstigen vertraglichen Zusammenarbeit erforderlich ist, auf Grundlage von Art. 6 Abs. 1 b DSGVO.

Berechtigtes Interesse (Art. 6 Abs. 1 f DSGVO)

Die Verarbeitung personenbezogener Daten (Art. 4 Abs. 2 DSGVO) liegt im  berechtigten Interesse in einer effizienten, sicheren und nachvollziehbaren digitalen Zusammenarbeit sowie in der Gewährleistung der IT-Sicherheit und der ordnungsgemäßen Verwaltung von Zugriffsberechtigungen.

Empfänger der Daten

Innerhalb des Unternehmens erhalten nur diejenigen Stellen Zugriff auf personenbezogene Daten, die diese zur Durchführung der digitalen Zusammenarbeit, zur Administration der bereitgestellten Dienste oder zur Erfüllung vertraglicher, gesetzlicher oder sicherheitsbezogener Pflichten benötigen.

Für den technischen Betrieb der Microsoft-365-Dienste setzen wir insbesondere Microsoft Ireland Operations Limited als Auftragsverarbeiter ein. Die Verarbeitung erfolgt auf Grundlage der mit Microsoft abgeschlossenen Datenschutz- und Auftragsverarbeitungsvereinbarungen.

• Microsoft Ireland Operations Limited und verbundene Unternehmen, soweit sie im Rahmen der Microsoft-365-Dienste eingebunden sind.
• Von uns eingesetzte IT-Dienstleistende und Administrierende, soweit dies für Betrieb, Support, Sicherheit oder Fehlerbehebung erforderlich ist.
• Projekt- oder geschäftliche Kontakte, soweit innerhalb freigegebener Arbeitsbereiche eine gemeinsame Zusammenarbeit vorgesehen ist.
• Öffentliche Stellen oder Behörden, sofern eine gesetzliche Verpflichtung zur Übermittlung besteht.

Drittlandübermittlung

Im Rahmen der Nutzung von Microsoft 365 kann eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden. Microsoft stellt für solche Übermittlungen nach eigenen Angaben geeignete Garantien bereit, insbesondere die EU-Standardvertragsklauseln. Zudem stellt Microsoft Informationen zur EU Data Boundary bereit, mit der die Verarbeitung und Speicherung von Kundendaten in der EU bzw. EFTA gestärkt werden soll. Eine vollständige Beschränkung sämtlicher Datenflüsse auf die EU kann hierdurch jedoch nicht in jedem Fall zugesichert werden.

Erforderlichkeit der Bereitstellung

Die Bereitstellung der für die digitale Zusammenarbeit erforderlichen personenbezogenen Daten ist notwendig, damit ein externes Nutzungskonto eingerichtet, Berechtigungen vergeben und die bereitgestellten Microsoft-365-Dienste genutzt werden können. Ohne diese Daten ist eine Nutzung der bereitgestellten digitalen Arbeitsbereiche in der Regel nicht möglich.

Speicherdauer

Wir speichern personenbezogene Daten grundsätzlich nur solange, wie dies für die jeweilige digitale Zusammenarbeit, die Verwaltung des Nutzungskontos, die Nachvollziehbarkeit von Freigaben und Änderungen oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

Nach Wegfall des Zwecks werden externe Nutzungskonten deaktiviert oder gelöscht und personenbezogene Daten entsprechend den festgelegten Aufbewahrungs- und Löschfristen entfernt, sofern keine gesetzlichen Aufbewahrungs-, Dokumentations- oder Nachweispflichten entgegenstehen.

Für Dokumente, Kommunikationsinhalte und Protokolldaten können je nach Zweck unterschiedliche Speicher- und Aufbewahrungsfristen gelten. Maßgeblich sind insbesondere vertragliche Anforderungen, gesetzliche Pflichten sowie interne Lösch- und Berechtigungskonzepte.

Deine Datenschutzrechte

Als betroffene Person hast Du folgende Datenschutzrechte. Zur Ausübung deiner Rechte kannst du uns oder unseren Datenschutzbeauftragten jederzeit unter den in Ziff. 1 genannten Kontaktdaten kontaktieren:

• Auskunft über die gespeicherten Daten und deren Verarbeitung (Art. 15 DSGVO).
• Berichtigung unrichtiger personenbezogener Daten (Art. 16 DSGVO).
• Löschung gespeicherter Daten (Art. 17 DSGVO).
• Das Recht auf Löschung ist eingeschränkt, sofern die Verarbeitung erforderlich ist:
  • zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem wir unterliegen, erfordert.
  • zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Einschränkung der Datenverarbeitung, sofern Daten aufgrund gesetzlicher Pflichten noch nicht gelöscht werden dürfen (Art. 18 DSGVO).
• WIDERSPRUCH gegen die Verarbeitung der Daten (Art. 21 DSGVO).
• Datenübertragbarkeit, sofern in die Datenverarbeitung eingewilligt wurde oder ein Vertrag abgeschlossen wurde (Art. 20 DSGVO).
• Einwilligungen zur Verarbeitung, die erteilt wurden, können jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).