Datenschutzerklärung

Der vorliegende deutsche Text ist eine Übersetzung des spanischen Originals aus Gefälligkeit, damit das Dokument auf Deutsch gelesen werden kann. Bei Abweichungen zwischen den beiden Fassungen ist die spanische Fassung maßgeblich; nur sie entfaltet Rechtswirkung. Das spanische Original ist unter blastack.com/es/privacidad veröffentlicht.

Bei einer Plattform für interne Kommunikation verarbeitet dasselbe Unternehmen personenbezogene Daten in zwei Rollen, die die Verordnung (EU) 2016/679 (DSGVO) klar und mit unterschiedlichen Pflichten voneinander trennt. Diese beiden Rollen auseinanderzuhalten ist das Erste, was man an diesem Dokument verstehen muss.

Blastack als Verantwortlicher

Für die Daten derjenigen, die blastack.com besuchen, an die Kontaktadresse schreiben, ein Testkonto anlegen oder den Dienst beauftragen. Hier entscheiden wir, wozu und wie diese Daten verarbeitet werden, und dafür stehen wir ein. Das ist es, was in den Abschnitten 3, 8 und 9 im Einzelnen dargestellt wird.

Blastack als Auftragsverarbeiter

Für die Daten, die das Kundenunternehmen über die eigene Belegschaft in die Plattform einstellt. Hier ist das Kundenunternehmen der Verantwortliche: Es entscheidet, welche Daten es aufnimmt, wozu, wer darauf zugreift und wie lange sie gespeichert werden. Wir verarbeiten sie ausschließlich nach seinen Weisungen, auf Grundlage des Auftragsverarbeitungsvertrags nach Artikel 28 DSGVO. Das ist es, was in den Abschnitten 4 und 5 im Einzelnen dargestellt wird.

Praktisch bedeutet das etwas ganz Einfaches: Wenn Sie bei einem Unternehmen beschäftigt sind, das Blastack nutzt, ist für Ihre Daten Ihr Unternehmen verantwortlich und nicht wir. Im Abschnitt über die Rechte steht, an wen Sie sich wenden und was wir tun, wenn Sie an uns schreiben.

Verantwortlicher

APRENDIZAJES DEL FUTURO, S.L.

Steuerliche Identifikationsnummer (NIF)

B23853310

Geschäftssitz

Passatge Domènech 3, 08470 Sant Celoni (Barcelona), Spanien

E-Mail-Adresse

info@blastack.com

Datenschutzbeauftragter

Es wurde kein Datenschutzbeauftragter benannt, da keiner der in Artikel 37 DSGVO genannten Fälle vorliegt.

Jede Frage zum Datenschutz, einschließlich der Ausübung von Rechten, kann an info@blastack.com oder schriftlich an den angegebenen Geschäftssitz gerichtet werden.

Dies sind die Verarbeitungen, über die wir selbst entscheiden, mit ihrem Zweck, ihrer Rechtsgrundlage und ihrer Speicherfrist.

Wir erstellen keine Profile und treffen keine automatisierten Entscheidungen, die gegenüber Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

Beauftragt ein Unternehmen Blastack, stellt es Daten der eigenen Belegschaft in die Plattform ein. Diese Daten bleiben Daten des Kundenunternehmens, das der Verantwortliche ist. Wir speichern und verarbeiten sie in seinem Auftrag. Je nachdem, welche Funktionen das Unternehmen nutzen möchte, können dazu gehören:

• Identifikation und Kontakt: Vor- und Nachname, E-Mail-Adresse und Telefonnummer.
• Organisationsdaten: Position, Abteilung, Standort und Rolle innerhalb der Plattform.
• Profilbild, sofern die Person es hochlädt.
• Geburtstag und Eintrittsdatum, sofern das Unternehmen die Funktionen für Glückwünsche und Jubiläen aktiviert.
• Erzeugte Inhalte: Beiträge, Kommentare, Reaktionen, interne Nachrichten, hochgeladene Dokumente und Anerkennungen unter Kolleginnen und Kollegen.
• Für den Dienst erforderliche Aktivitätsdaten: gelesene Beiträge, Lesebestätigungen zu Dokumenten, Zusagen zu Veranstaltungen und Antworten auf Umfragen.
• Technische Zugriffsdaten: IP-Adresse, Browser und Anmeldezeitpunkte sowie das Protokoll der wesentlichen administrativen Vorgänge.

Wir nutzen keines dieser Daten für eigene Zwecke: weder für Werbung noch zur Profilbildung noch zum Trainieren automatischer Systeme, und wir geben sie an niemanden weiter. Ein Zugriff erfolgt nur, wenn er für die Betreuung oder die Behebung einer Störung unerlässlich ist, und diese Zugriffe werden protokolliert.

Kennzeichnet das Kundenunternehmen eine Umfrage als anonym, wird die Antwort ohne Verknüpfung mit der Person gespeichert, die sie abgegeben hat. Das ist kein Versprechen der Oberfläche: Die Angabe, wer was geantwortet hat, entsteht in der Datenbank gar nicht erst, sodass weder ein Administrator des Unternehmens noch wir sie rekonstruieren können.

Es ist Sache des Kundenunternehmens, zu entscheiden, welche Daten es aufnimmt, über eine Rechtsgrundlage für ihre Verarbeitung zu verfügen, seine Belegschaft nach den Artikeln 13 und 14 DSGVO zu unterrichten und die jeweils anwendbare arbeitsrechtliche Regelung einzuhalten, einschließlich der Anhörung der gesetzlichen Arbeitnehmervertretung, soweit sie vorgesehen ist.

Das Verhältnis zwischen dem Kundenunternehmen als Verantwortlichem und Blastack als Auftragsverarbeiter wird in einem Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO dokumentiert, der Bestandteil der Allgemeinen Geschäftsbedingungen ist und mit dem Vertragsschluss angenommen wird. Auf Wunsch des Kunden kann er gesondert unterzeichnet bereitgestellt werden. Auf dieser Grundlage verpflichten wir uns:

• Die Daten ausschließlich nach den dokumentierten Weisungen des Verantwortlichen zu verarbeiten und ihn zu unterrichten, wenn wir der Auffassung sind, dass eine Weisung gegen das Datenschutzrecht verstößt.
• Die Vertraulichkeit zu wahren, auch nach dem Ende der Beziehung, und dieselbe Verpflichtung von jeder Person zu verlangen, die Zugang zu den Daten haben kann.
• Die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO zu ergreifen, die im Abschnitt über die Sicherheit zusammengefasst sind.
• Keinen weiteren Auftragsverarbeiter ohne Genehmigung des Verantwortlichen hinzuzuziehen. Die derzeitigen Unterauftragsverarbeiter sind im Abschnitt über die Empfänger aufgeführt, und jede Änderung wird so rechtzeitig mitgeteilt, dass der Kunde ihr widersprechen kann.
• Den Verantwortlichen dabei zu unterstützen, die Anträge auf Ausübung von Rechten zu bearbeiten, die ihn aus seiner Belegschaft erreichen.
• Ihm bei der Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO zu helfen, einschließlich der Datenschutz-Folgenabschätzungen, soweit sie erforderlich sind.
• Ihm jede Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich zu melden, mit den Angaben, die er benötigt, um seine eigenen Meldepflichten zu erfüllen.
• Die Daten nach dem Ende der Leistung nach seiner Wahl zurückzugeben oder zu löschen, nach Maßgabe des Abschnitts über die Speicherfristen.
• Ihm die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung erforderlich sind, und Überprüfungen einschließlich Inspektionen mit angemessener Vorankündigung zu ermöglichen.

Der Dienst wird von eigenen Servern in der Europäischen Union erbracht, in einem Rechenzentrum in Frankreich, das von Hostinger International Limited betrieben wird. Die Sicherungskopien verbleiben im selben Rechtsraum.

Es finden keine internationalen Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums statt. Weder das Hosting noch die Sicherungskopien noch die Betreuung noch die Verwaltungsarbeiten werden von außerhalb des EWR erbracht, sodass weder Standardvertragsklauseln noch andere Garantien nach Kapitel V DSGVO erforderlich sind.

Die Dateien, die in die Plattform hochgeladen werden, liegen auf der Festplatte des Servers selbst, in einem Ordner je Unternehmen, und sind nicht über eine direkte Adresse abrufbar: Bei jedem Herunterladen werden die Sitzung und die Zugehörigkeit zum Unternehmen erneut geprüft. Die Datenbank ist nur vom Server selbst aus zugänglich und nicht aus dem Internet erreichbar.

Die Schriften und die übrigen Ressourcen der Website werden von unserem eigenen Server ausgeliefert. Beim Laden einer Seite von blastack.com stellt der Browser keine einzige Anfrage an Dritte, sodass kein Dritter allein dadurch, dass Sie uns besuchen, Ihre IP-Adresse erhält.

Wir geben keine personenbezogenen Daten an Dritte weiter. Eine Übermittlung erfolgt nur, wenn eine gesetzliche Pflicht besteht — an die Finanzverwaltung, an die Polizei- und Sicherheitsbehörden oder an die Gerichte — oder wenn sie erforderlich ist, um Ansprüche geltend zu machen oder abzuwehren.

• Hostinger International Limited, als Anbieter der Infrastruktur, in der die Server stehen. Der Anbieter handelt als Auftragsverarbeiter, hat den entsprechenden Vertrag geschlossen und greift nicht auf die Inhalte zu.
• Die externen Berater, die Leistungen der Buchhaltung, der Steuerberatung oder der Rechtsberatung erbringen, beschränkt auf die Rechnungsdaten und der beruflichen Verschwiegenheit unterliegend.

Wir setzen keine Dienste für Webanalyse, für Werbung oder für die Steuerung von Kampagnen und keine Social-Media-Plug-ins ein, sodass keines dieser Unternehmen Daten derjenigen erhält, die die Website besuchen oder die Plattform nutzen.

Die Vertriebsseite blastack.com verwendet keine Cookies. Es gibt keine Analyse, keine Messung von Kampagnen, keine Werbung und keine Schaltflächen sozialer Netzwerke. Das ist der Grund, warum Sie keinen Hinweis sehen, der Sie um Einwilligung bittet: Es gibt nichts, worin einzuwilligen wäre.

Die Plattform app.blastack.com verwendet ein einziges eigenes und unbedingt erforderliches Cookie, um die Sitzung angemeldet zu halten:

Es ist nach Artikel 22 Absatz 2 LSSI-CE von der Einwilligungspflicht ausgenommen, weil es für die Erbringung eines ausdrücklich angeforderten Dienstes unerlässlich ist. Es lässt sich im Browser blockieren, dann ist eine Anmeldung an der Plattform allerdings nicht möglich.

Als Verantwortlicher speichern wir jede Datenkategorie für die Dauer, die in ihrer Übersicht in Abschnitt 3 angegeben ist. Nach Ablauf dieser Frist werden die Daten gesperrt, solange rechtliche Verantwortlichkeiten fortbestehen, und danach gelöscht.

Als Auftragsverarbeiter speichern wir die Daten der Plattform, solange der Vertrag mit dem Kundenunternehmen läuft. Endet er, hat das Unternehmen 30 Kalendertage Zeit, um seine Informationen zu exportieren. Nach Ablauf dieser Frist werden die Daten und die Dateien innerhalb von höchstens 30 weiteren Tagen endgültig gelöscht, einschließlich der Sicherungskopien, mit Ausnahme dessen, was wir aufgrund einer gesetzlichen Pflicht aufbewahren müssen und was sich auf die Rechnungsdaten beschränkt.

Testkonten, aus denen kein Vertrag entsteht, werden nach Ablauf der 15 Tage geschlossen und ihre Daten nach demselben Maßstab gelöscht.

Wir treffen die dem Risiko angemessenen technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Unter anderem:

• Passwörter werden nicht gespeichert: Gespeichert wird ein mit scrypt gebildeter Ableitungswert mit einem eigenen Salt je Nutzer.
• Die Sitzungskennung wird verschlüsselt gespeichert, sodass ein Auszug der Tabelle es nicht erlaubt, sich für jemanden auszugeben.
• Die Abschottung zwischen den Unternehmen wird bei jeder Datenbankabfrage geprüft, nicht nur auf der Oberfläche.
• Die Datenbank ist nicht aus dem Internet erreichbar und nur vom Server selbst aus zugänglich.
• Die Kommunikation läuft verschlüsselt, und Dateien werden nur ausgeliefert, nachdem bei jedem Herunterladen Sitzung und Zugehörigkeit geprüft wurden.
• Vorübergehende Sperre des Zugangs nach mehreren Fehlversuchen und Beendigung der offenen Sitzungen bei einer Passwortänderung.
• Protokollierung von Anlage, Entzug, Rollenwechsel und Freigabe von Inhalten.
• Regelmäßige Sicherungskopien innerhalb desselben Rechtsraums.

Wie das im Einzelnen gebaut ist, einschließlich dessen, was wir noch nicht bieten, steht auf der Seite zur Sicherheit.

Die DSGVO gewährt den Personen die folgenden Rechte an ihren Daten:

Auskunft

Zu erfahren, ob wir Ihre Daten verarbeiten, und eine Kopie davon zu erhalten.

Berichtigung

Unrichtige Daten berichtigen und unvollständige vervollständigen zu lassen.

Löschung

Die Löschung zu verlangen, wenn die Daten nicht mehr erforderlich sind oder die Verarbeitung nicht gerechtfertigt ist.

Widerspruch

Der auf ein berechtigtes Interesse gestützten Verarbeitung aus Gründen zu widersprechen, die sich aus Ihrer besonderen Situation ergeben.

Einschränkung

Zu verlangen, dass die Daten aufbewahrt, aber nicht verwendet werden, solange eine Beanstandung geprüft wird.

Datenübertragbarkeit

Die Daten, die Sie uns bereitgestellt haben, in einem strukturierten und gängigen Format zu erhalten.

Widerruf der Einwilligung

Beruht die Verarbeitung auf Ihrer Einwilligung, diese jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der vorherigen Verarbeitung berührt wird.

Zur Ausübung genügt eine Nachricht an info@blastack.com oder ein Schreiben an den in Abschnitt 2 angegebenen Geschäftssitz, in dem Sie angeben, welches Recht Sie ausüben, und eine Kopie eines Ausweisdokuments beifügen. Wir antworten innerhalb eines Monats; bei besonders komplexen Anträgen verlängert sich diese Frist um bis zu zwei weitere Monate, was wir Ihnen dann mitteilen. Die Ausübung dieser Rechte ist unentgeltlich.

Sind Sie bei einem Unternehmen beschäftigt, das Blastack nutzt, und betrifft Ihr Antrag die Daten, die in der Plattform liegen, dann hat Ihr Unternehmen ihn zu bearbeiten, weil es der Verantwortliche ist. Schreiben Sie an uns, teilen wir Ihnen das mit und leiten den Antrag unverzüglich an Ihr Unternehmen weiter, damit er nicht auf dem Weg verloren geht.

Wenn Sie der Auffassung sind, dass wir Ihren Antrag nicht ordnungsgemäß bearbeitet haben, können Sie Beschwerde bei der spanischen Datenschutzbehörde erheben (Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es); sie ist die für diesen Verantwortlichen zuständige Aufsichtsbehörde. Nach Artikel 77 DSGVO können Sie sich außerdem an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden — in Deutschland ist das die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Sie müssen sich nicht zuerst bei uns beschweren, auch wenn wir die Gelegenheit schätzen, die Sache zunächst selbst in Ordnung zu bringen.

Der Dienst richtet sich an Unternehmen und an die Personen, die dort arbeiten. Er ist nicht für Personen unter 16 Jahren gedacht, und wir erheben deren Daten nicht bewusst. Stellt ein Kundenunternehmen Daten von Personen unter diesem Alter ein, hat es selbst über die entsprechende Rechtsgrundlage zu verfügen.

Diese Erklärung kann aufgrund von Rechtsänderungen, aufgrund von Empfehlungen der Aufsichtsbehörden oder aufgrund der Entwicklung des Dienstes aktualisiert werden. Maßgeblich ist immer die auf dieser Seite veröffentlichte Fassung, mit dem Datum der Aktualisierung, das am Anfang angegeben ist.

Ist die Änderung wesentlich, werden die Kunden per E-Mail oder innerhalb der Plattform mit angemessenem Vorlauf vor dem Inkrafttreten unterrichtet.