Entwurf – vor Veröffentlichung anwaltlich prüfen

Datenschutzhinweise

Maßgebliche Sprache. Dieser deutsche Text ist eine unverbindliche Übersetzung, die nur der Information dient. Verbindlich ist allein die englische Fassung („Privacy Notice“); bei Abweichungen geht die englische Fassung vor.

Informationen nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) für die Website https://unafortis.com und die Lizenzplattform https://licensing.unafortis.com

1. Verantwortlicher

UnaFortis OÜ
Kotkapoja tn 2a-10, 10615 Tallinn, Estland
Registrierungsnummer: 17624383
E-Mail: privacy@unafortis.com · Telefon: ⟦TELEFON⟧

Datenschutzbeauftragter: ⟦DATENSCHUTZBEAUFTRAGTER – falls benannt; sonst Abschnitt streichen (Frage P-01)⟧

2. Worum es in diesen Hinweisen geht – und worum nicht

Wir, UnaFortis OÜ („UnaFortis“, „wir“), stellen die Software Mitigate her und vertreiben Lizenzen dafür direkt und über Partner. Diese Hinweise beschreiben, welche personenbezogenen Daten wir auf unserer Website und in unserer Lizenzplattform verarbeiten und im Rahmen unserer Geschäftsbeziehungen (Partner, Direktkunden, Interessenten).

Die Software Mitigate selbst übermittelt uns keine Daten. Mitigate läuft vollständig in der Umgebung des Kunden – einschließlich des mitgelieferten KI-Sprachmodells und des Kontributor-Portals im internen Netz des Kunden. Mitigate enthält keine Telemetrie, keine Nutzungsstatistik, keinen Lizenzserver und keine Update-Abfrage, die etwas an uns meldet; die Lizenzprüfung erfolgt offline anhand einer signierten Datei. Fall-, Hinweis- und Beweisdaten, die ein Kunde mit Mitigate verarbeitet, erreichen uns daher nicht, und unsere Lizenzplattform hat kein Feld, in dem sie gespeichert werden könnten. Für diese Daten ist allein der Kunde verantwortlich (bzw. ein vom Kunden beauftragter Dienstleister).

3. Lizenzplattform (licensing.unafortis.com)

Die Lizenzplattform ist ein geschlossenes Portal für unsere Mitarbeiter und für die Mitarbeiter unserer Partner. Es gibt keine öffentliche Registrierung; Konten werden ausschließlich per Einladung angelegt. Endkunden haben kein Konto.

3.1 Benutzerkonten und Anmeldung

3.2 Sitzungen, IP-Adressen und Protokolle

• Sitzungen: Bei der Anmeldung speichern wir eine Sitzung mit IP-Adresse, einem Hash der Browserkennung (User-Agent) und Zeitstempeln. Eine Sitzung endet nach 8 Stunden Inaktivität, spätestens nach 12 Stunden; der Datensatz wird 7 Tage nach Ablauf gelöscht.
• Rate-Limiting: Zum Schutz vor Passwort-Rateangriffen werden Zähler je IP-Adresse bzw. Organisation kurzzeitig gespeichert und nach Ablauf des jeweiligen Zeitfensters gelöscht.
• Audit-Protokoll: Sicherheits- und geschäftsrelevante Vorgänge (z. B. An- und Abmeldung, Einladungen, Lizenzausstellung, Kaufbestätigungen, Änderungen an Firmendaten) werden mit Zeitpunkt, handelndem Konto, dessen E-Mail-Adresse, Organisation und IP-Adresse protokolliert. Das Protokoll ist technisch unveränderlich. Speicherdauer: ⟦AUFBEWAHRUNGSFRIST AUDIT-LOG⟧ (siehe Frage P-04 – der Code sieht derzeit keine Löschung vor).
• Zugriffsprotokoll des Webservers: Unser Webserver (Caddy) protokolliert je Anfrage IP-Adresse, Zeitpunkt, Methode, aufgerufenen Pfad (ohne Parameter; Einladungs-Token werden unkenntlich gemacht), Statuscode, Datenmenge und technische Anfrage-Header wie die Browserkennung. Die Protokolle werden in Dateien bis 20 MB rotiert und nach höchstens 14 Rotationen, spätestens nach 90 Tagen gelöscht.
• Fehlerprotokolle: Bei unerwarteten Fehlern protokolliert die Anwendung die interne Konto-ID, Methode und Pfad der Anfrage.

Zweck: Betrieb, Sicherheit und Nachvollziehbarkeit der Lizenzausstellung (jede Lizenz berechtigt zur Nutzung kostenpflichtiger Software und kann nachträglich nicht geändert werden). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr von Angriffen und dem Nachweis, wer welche Lizenz ausgestellt hat.

3.3 Cookies

Die Lizenzplattform setzt ausschließlich zwei Cookies und bindet keine Skripte, Schriftarten, Tracking- oder Analysedienste Dritter ein:

Beide Cookies sind HttpOnly, Secure und SameSite=Lax. Rechtsgrundlage für das Speichern auf Ihrem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG bzw. die entsprechende estnische Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie (unbedingt erforderlich für einen von Ihnen gewünschten Dienst); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO. (Frage P-05: Einordnung von uf_locale als „unbedingt erforderlich“ bestätigen.)

3.4 Firmen- und Kontaktdaten von Partnern und Kunden

Für jede Organisation, mit der wir oder unsere Partner Lizenzgeschäfte abwickeln, speichert die Plattform: Firmenname, ggf. Handelsname, Land, Anschrift, Ansprechpartner (Name, E-Mail, Telefon), USt-IdNr., bei Partnern zusätzlich Rechnungs-E-Mail und Rechnungsanschrift, Partnerrabatt, Status (z. B. freigegeben, ausgesetzt) mit Datum, Begründung und handelnder Person.

• Daten unserer Partner und Direktkunden verarbeiten wir als Verantwortlicher zur Vertragsanbahnung und -durchführung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (lit. c) und zur Prüfung neuer Partner vor der Freigabe – Handelsregister, USt-IdNr., Website (lit. f).
• Daten der Kunden unserer Partner gibt der jeweilige Partner in die Plattform ein. Insoweit verarbeiten wir sie im Auftrag des Partners auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO); verantwortlich ist der Partner. (Frage P-06: Rollenverteilung bestätigen.)

3.5 Lizenzen

Eine Lizenzdatei enthält: Lizenznummer, den Firmennamen des Endkunden, Anzahl der Plätze, Ausstellungs- und Ablaufdatum, einen Zufallswert, die interne Kennung der ausstellenden Organisation und – bei Verkauf über einen Partner – dessen Firmennamen. Personenbezogen sind diese Angaben nur, soweit der Firmenname eine natürliche Person bezeichnet (z. B. Einzelunternehmer). Die Datei ist digital signiert und kann nachträglich nicht geändert werden; die Plattform bewahrt sie mit Angabe der ausstellenden Person auf.

3.6 E-Mails aus der Plattform

Die Plattform versendet fünf Arten von Nachrichten: Einladungslinks, Passwort-Zurücksetzungslinks, die Lizenzdatei an die hinterlegte Kontaktadresse des Kunden, Ablauf-Erinnerungen (30 und 7 Tage vor Ablauf) an diese Kontaktadresse und an die Administratoren der ausstellenden Organisation sowie Benachrichtigungen an die eigenen Administratoren von UnaFortis, wenn ein Partner einen Kauf anfragt, wenn dessen erste Zahlung eingeht und wenn eine Monatszahlung fehlschlägt. Absender ist licensing@unafortis.com. Zu jedem Versandversuch speichern wir Art, Empfängeradresse, Betreff, Bezug (Konto- oder Lizenznummer), Ergebnis und Zeitpunkt – niemals den Inhalt oder den Link. Speicherdauer dieses Versandprotokolls: ⟦AUFBEWAHRUNGSFRIST MAIL-LOG⟧ (Frage P-04). Kopien der gesendeten Nachrichten verbleiben im Ordner „Gesendete Elemente“ des Postfachs bei Microsoft 365: ⟦AUFBEWAHRUNGSFRIST POSTFACH⟧. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

3.7 Käufe und Zahlungen (Stripe)

Kaufanfragen von Partnern (Anzahl der Plätze, Laufzeit, Preis, Status, bestätigende Person) speichern wir in der Plattform. Ein Kauf wird monatlich über ein Abonnement bei Stripe (⟦STRIPE-VERTRAGSPARTNER⟧) bezahlt; Stripe übernimmt auch die Rechnungsstellung, die Umsatzsteuerermittlung (Stripe Tax) und die Prüfung von USt-IdNrn. Hierzu übermitteln wir die Rechnungs-E-Mail-Adresse (oder, wenn keine hinterlegt ist, die E-Mail-Adresse der kaufenden Person), unsere internen Kennungen des Kaufs und der Firma, die Anzahl der Plätze und den Preis. Rechnungsanschrift und USt-IdNr. gibt die kaufende Person direkt im Checkout von Stripe ein, ebenso die Zahlungsdaten (Kartendaten, IBAN/SEPA-Mandat); die Zahlungsdaten erhalten wir nicht. Von Stripe erhalten und speichern wir den Status der Zahlung, des Abonnements und jeder Monatsrechnung (Nettobetrag, Umsatzsteuer, Gesamtbetrag, Zeitraum) sowie Land und USt-IdNr. der kaufenden Firma. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Stripe verarbeitet bestimmte Daten zusätzlich als eigener Verantwortlicher (z. B. zur Betrugsprävention und zur Erfüllung finanzaufsichtsrechtlicher Pflichten); hierfür gilt die Datenschutzerklärung von Stripe. (Frage P-07.)

4. Website (unafortis.com)

⟦WEBSITE-ABSCHNITT – bitte liefern: Hosting-Anbieter der Website, ob Server-Logfiles geführt werden und wie lange, ob Cookies, Analyse-, Karten-, Video-, Schrift- oder Formulardienste eingebunden sind, ob es ein Kontaktformular oder einen Newsletter gibt. Die Repositories enthalten die Website nicht; ohne diese Angaben kann dieser Abschnitt nicht wahrheitsgemäß geschrieben werden (Frage P-02).⟧

5. Kontaktaufnahme, Support und Geschäftskorrespondenz

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. aufgrund unseres berechtigten Interesses an der Beantwortung (lit. f). Bitte senden Sie uns im Support keine Fall- oder Hinweisinhalte aus Mitigate; die Diagnoseausgaben der Software sind so gestaltet, dass sie keine enthalten.

6. Empfänger und Auftragsverarbeiter

Mit den Auftragsverarbeitern bestehen bzw. werden Verträge nach Art. 28 DSGVO geschlossen. Soweit Daten in ein Drittland ohne Angemessenheitsbeschluss übermittelt werden, erfolgt dies auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder einer Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO). (Frage P-03: je Anbieter bestätigen.)

7. Speicherdauer

Wir speichern personenbezogene Daten, solange es für den jeweiligen Zweck erforderlich ist. Konkret:

• Sitzungen: bis 7 Tage nach Ablauf (Ablauf spätestens 12 Stunden nach Anmeldung).
• Webserver-Zugriffsprotokolle: höchstens 90 Tage.
• Sicherungskopien: 14 Tage.
• Benutzerkonten: für die Dauer der Zusammenarbeit; nicht angenommene Einladungen können zurückgezogen werden und werden dann gelöscht. ⟦LÖSCHKONZEPT KONTEN nach Vertragsende – Frage P-04⟧
• Audit-Protokoll: ⟦AUFBEWAHRUNGSFRIST AUDIT-LOG⟧; E-Mail-Versandprotokoll: ⟦AUFBEWAHRUNGSFRIST MAIL-LOG⟧.
• Geschäftsunterlagen (Käufe, Rechnungen, ausgestellte Lizenzen): gemäß den gesetzlichen Aufbewahrungspflichten, in Estland in der Regel sieben Jahre.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Wenden Sie sich dazu an privacy@unafortis.com. Betrifft Ihr Anliegen Daten, die ein Partner über seine Kunden in die Plattform eingegeben hat, leiten wir es an den Partner weiter, der dafür verantwortlich ist.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die estnische Datenschutzaufsicht (Andmekaitse Inspektsioon).

9. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angabe der Konto- und Firmendaten ist für die Nutzung der Plattform und den Vertragsschluss erforderlich; ohne sie können wir kein Konto einrichten und keine Lizenz ausstellen. Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt; jeder Kauf wird von einer Person bei UnaFortis bestätigt, jeder neue Partner von einer Person freigegeben.

10. Datensicherheit

Die Plattform ist ausschließlich per TLS erreichbar (HSTS). Die Anwendung selbst hat keinen Zugang zum Internet; E-Mails werden über einen getrennten Dienst versandt, der Lizenz-Signaturschlüssel liegt in einem weiteren, nicht aus dem Internet erreichbaren Prozess. Passwörter, Einladungs- und Wiederherstellungscodes werden nur als Hash gespeichert, Zwei-Faktor-Geheimnisse verschlüsselt, Sicherungen verschlüsselt.

Stand: ⟦STAND-DATUM⟧