Datenschutzerklärung

1. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. In dieser Datenschutzerklärung informieren wir Sie darüber, wie personenbezogene Daten im Rahmen der Nutzung der Web-Applikation „TEAMS DASHBOARD“ verarbeitet werden.

Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Diese Datenschutzerklärung gilt ausschließlich für den Dienst „TEAMS DASHBOARD“ und nicht allgemein für eine Unternehmenswebsite.

Die Web-App richtet sich an Geschäftskunden (B2B).

2. Verantwortliche Stelle

SSIG-IT GmbH
Zum weißen Jura 3
89143 Blaubeuren
Deutschland

Telefon: +49 7335 163310
E-Mail:

3. Datenschutzbeauftragter

Für die SSIG-IT GmbH ist ein externer Datenschutzbeauftragter bestellt.

Sie erreichen den Datenschutzbeauftragten über:

Datenschutz & Informationssicherheit Alb e.K.
E-Mail:
Website: https://www.di-alb.de

4. Beschreibung des Dienstes „TEAMS DASHBOARD“

TEAMS DASHBOARD ist eine webbasierte Anwendung zur Auswertung, Visualisierung und Verwaltung von Microsoft-Teams-bezogenen Informationen und Diensten.

Die Anwendung greift auf Cloud-Dienste von Microsoft zu, insbesondere Microsoft 365 / Microsoft Teams, um Funktionen bereitzustellen.

Die Nutzung erfolgt ausschließlich durch Mitarbeiter, Administratoren oder sonstige berechtigte Nutzer von Kundenunternehmen (B2B).

TEAMS DASHBOARD verarbeitet hierbei Beschäftigtendaten im Auftrag des jeweiligen Unternehmenskunden. Der Unternehmenskunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die SSIG-IT GmbH handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

Doppelrolle: Für die Darstellung der Präsenz-, Profil- und Fotodaten aus Microsoft Graph handelt die SSIG-IT GmbH als Auftragsverarbeiter (Art. 28 DSGVO); diese Daten werden ausschließlich flüchtig im Browser des Nutzers verarbeitet und nicht auf Servern der SSIG-IT GmbH gespeichert. Für die eigene Vertragsdurchführung, Abrechnung, Betriebssicherheit und Kommunikation (u. a. Administrator-Kontaktdaten, Rechnungs- und Zahlungsdaten, Vertriebsanfragen, Server-Logfiles) ist die SSIG-IT GmbH eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

5. Verarbeitung personenbezogener Daten

5.1 Welche Daten werden verarbeitet?

Im Rahmen der Nutzung von TEAMS DASHBOARD können insbesondere folgende Daten verarbeitet werden:

• Benutzer- und Kontoinformationen (z. B. Name, E-Mail-Adresse, Benutzer-ID)
• Organisationsbezogene Daten aus Microsoft Graph API (z. B. Jobtitel, Abteilung, Standort/Büro, Telefonnummern)
• Präsenzstatus und Verfügbarkeitsinformationen aus Microsoft Teams
• Profilfotos der Benutzer
• Technische Nutzungsdaten (z. B. Login-Zeitpunkte, Zugriffszeiten)
• Geräte- und Verbindungsdaten (z. B. IP-Adresse, Browsertyp, Betriebssystem)
• Protokoll- und Fehlerdaten zur Sicherstellung des technischen Betriebs

Die personenbezogenen Daten werden entweder direkt durch den Nutzer bereitgestellt oder aus dem angebundenen Microsoft-365-Tenant des jeweiligen Kunden übernommen (z. B. Entra ID / Microsoft Teams).

5.2 Zweck der Datenverarbeitung

Die Verarbeitung erfolgt zu folgenden Zwecken:

• Bereitstellung und Betrieb der Web-App TEAMS DASHBOARD
• Authentifizierung und Autorisierung von Nutzern
• Sicherstellung von Stabilität, Sicherheit und Performance
• Fehleranalyse und Missbrauchsprävention
• Support- und Administrationszwecke

5.3 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Die Verarbeitung ist erforderlich zur Bereitstellung und Nutzung des Dienstes im Rahmen des bestehenden Vertragsverhältnisses mit dem Unternehmenskunden
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse: Die Verarbeitung dient dem sicheren, stabilen und wirtschaftlichen Betrieb der Web-App sowie der Fehlererkennung und Missbrauchsprävention
• Art. 28 DSGVO – soweit die SSIG-IT GmbH personenbezogene Daten im Auftrag des Unternehmenskunden verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags

5.4 Nachweis des Auftragsverarbeitungsvertrags (AVV)

Schließt die sich als bevollmächtigt erklärende Person eines Kundenunternehmens im Kundenportal den Auftragsverarbeitungsvertrag (Art. 28 DSGVO) elektronisch ab, protokollieren wir diesen Abschluss als Nachweis. Verarbeitet werden dabei die Objekt-ID (oid), der Name und die E-Mail-Adresse der annehmenden Person, die Microsoft-365-Tenant-Kennung, der von dieser Person angegebene Rechtsname und die Anschrift des Unternehmens, die Vertragsversion und die Prüfsumme (SHA-256) des angenommenen Wortlauts, der Zeitpunkt der Annahme sowie die IP-Adresse und die Browser-Kennung (User-Agent) des Zugriffs.

Zweck ist der Nachweis des wirksam und in Textform geschlossenen Auftragsverarbeitungsvertrags (Art. 28 Abs. 9 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung der rechtlichen Verpflichtung aus Art. 28 DSGVO) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem belastbaren, integritätsgeschützten Vertragsnachweis). Der Nachweis wird integritätsgeschützt gespeichert und bis zum Ablauf des sechsten vollen Kalenderjahres nach dem endgültigen Vertragsende aufbewahrt (Aufbewahrung analog § 257 HGB / § 147 AO); danach wird er automatisiert technisch gelöscht, soweit dem kein Legal-Hold (z. B. laufender Rechtsstreit) entgegensteht.

6. Empfänger der Daten

Empfänger personenbezogener Daten sind:

• Interne Stellen der SSIG-IT GmbH (z. B. IT-Betrieb, Administration, Support), soweit dies zur Erfüllung der genannten Zwecke erforderlich ist
• Microsoft Corporation als Auftragsverarbeiter im Rahmen der Nutzung von Microsoft Azure, Microsoft 365 und Microsoft Teams

Für den technischen Betrieb, die Zahlungsabwicklung und die Kommunikation setzen wir zudem sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO ein, die personenbezogene Daten ausschließlich weisungsgebunden verarbeiten:

• Vercel Inc. – Hosting und Auslieferung der Web-App sowie Server-Log-Dateien. Anwendungs-Compute und Datenbank: Frankfurt am Main; CDN und statische Auslieferung über das globale Vercel-Netzwerk. Anbieter mit Sitz in den USA (DPF/SCC).
• Supabase Inc. – Datenbank-Hosting (u. a. Kunden-, Kontakt- und Anfragedaten). Serverstandort Frankfurt am Main (Region eu-central-1).
• Stripe Payments Europe, Ltd. (Irland) – Abwicklung der Zahlungen im Self-Service-Kauf (u. a. Name, E-Mail-Adresse, Rechnungsanschrift); Kartendaten werden ausschließlich durch Stripe verarbeitet
• Resend, Inc. – Versand transaktionaler E-Mails (z. B. Onboarding-, Bestätigungs- und Erinnerungsnachrichten). Anbieter mit Sitz in den USA; die E-Mail-Zustellung erfolgt über EU-Infrastruktur, Konto-, Protokoll- und Metadaten können jedoch in den USA verarbeitet werden. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Cloudflare, Inc. – Schutz der öffentlichen Formulare vor automatisierten Zugriffen (Bot-Schutz „Turnstile“). Dabei wird die IP-Adresse des Anfragenden an Cloudflare übermittelt; eine Speicherung der IP-Adresse in unserer Datenbank erfolgt nicht.

Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Weitergabe an sonstige Dritte erfolgt nicht, sofern keine gesetzliche Verpflichtung besteht.

Soweit einzelne dieser Dienstleister personenbezogene Daten in Drittländer (insbesondere die USA) übermitteln, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, Art. 45 DSGVO) oder geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln.

7. Einsatz von Microsoft Cloud-Diensten

TEAMS DASHBOARD nutzt Cloud-Dienste der Microsoft Corporation, insbesondere:

• Microsoft 365
• Microsoft Teams
• Microsoft Azure

Die Verarbeitung personenbezogener Daten erfolgt dabei auf Servern von Microsoft.

Microsoft verarbeitet Daten ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

Microsoft Corporation ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Eine Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO.

Sofern in Einzelfällen Datenverarbeitungen nicht vom Data Privacy Framework erfasst sind, stützt sich Microsoft ergänzend auf geeignete Garantien gemäß Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln.

8. Server-Log-Dateien

Beim Betrieb der Web-App werden automatisch Informationen in Server-Log-Dateien erfasst:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Die Speicherung erfolgt aus Sicherheits- und Stabilitätsgründen und basiert auf Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: nach den Fristen unseres Hosting-Dienstleisters, längstens jedoch sechs Wochen.

9. Cookies, lokale Speicherung und Webanalyse

9.1 Technisch notwendige Speicherung

Für den Betrieb der Web-App werden ausschließlich technisch notwendige Speichermechanismen (z. B. Session-Informationen, Einwilligungs-Status) eingesetzt, die für den sicheren Betrieb der Anwendung erforderlich sind. Diese setzen keine Einwilligung voraus (§ 25 Abs. 2 Nr. 2 TDDDG).

Darüber hinaus nutzt die Anwendung technisch notwendige lokale Zwischenspeicherung im Browser (IndexedDB) zur Zwischenspeicherung von Profilfotos und Benutzerdaten. Diese Daten werden ausschließlich lokal im Browser des Nutzers gespeichert, dienen der Verbesserung der Ladezeiten und werden nach Ende der Sitzung bzw. bei erneutem Login automatisch aktualisiert. Es erfolgt keine Übermittlung dieser zwischengespeicherten Daten an Dritte.

9.2 Webanalyse und Reichweitenmessung (nur nach Einwilligung)

Auf unseren öffentlichen Marketing- und Informationsseiten setzen wir – ausschließlich nach Ihrer aktiven Einwilligung über den Cookie-Hinweis – die folgenden Dienste ein. Solange Sie nicht zustimmen oder ablehnen, werden diese Dienste nicht geladen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG.

• Umami (selbst gehostet auf einem Server der SSIG-IT GmbH in der EU) – datensparsame, aggregierte Reichweitenmessung ohne seitenübergreifendes Profiling. Es findet keine Übermittlung an Dritte und keine Drittlandübermittlung statt.
• HubSpot (HubSpot, Inc.) – Marketing- und Kontaktmanagement zur Analyse der Websitenutzung und zur Bearbeitung von Anfragen. Anbieter mit Sitz in den USA; die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Microsoft Clarity (Microsoft Corporation) – Analyse der Seitennutzung (u. a. Klick- und Scrollverhalten) zur Verbesserung der Website. Anbieter mit Sitz in den USA; die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Über den Link „Datenschutzeinstellungen“ im Seitenfuß öffnen Sie die Auswahl erneut und wählen „Ablehnen“. Der Widerruf entfernt die geladenen Analyse-Skripte, stoppt weitere Aufrufe (soweit über die Widerrufs-Schnittstellen von HubSpot und Microsoft Clarity möglich) und löscht die zugänglichen Cookies dieser Dienste; für eine vollständige Entfernung bereits im Speicher laufender Skripte laden Sie die Seite anschließend neu. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

10. SSL-/TLS-Verschlüsselung

Die Nutzung von TEAMS DASHBOARD erfolgt ausschließlich über eine SSL- bzw. TLS-verschlüsselte Verbindung.

Dadurch sind übermittelte Daten vor dem Zugriff durch Dritte geschützt.

11. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Angaben zum Zweck der Bearbeitung Ihrer Anfrage verarbeitet.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Die Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten bestehen.

12. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist.

Benutzerkonten und zugehörige Daten werden gelöscht oder anonymisiert, sobald die Nutzung des Dienstes endet, ein Nutzerkonto deaktiviert wird oder der Zweck der Verarbeitung entfällt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Für einzelne Datenbestände gelten konkrete, automatisiert durchgesetzte Löschfristen: Anfragen über das Kontaktformular werden spätestens nach 180 Tagen gelöscht bzw. anonymisiert, E-Mail-Protokolle nach 90 Tagen, Ereignisdaten der Zahlungsabwicklung nach 90 Tagen und das interne Administrations-Protokoll nach zwei Jahren. Der Nachweis über den Abschluss des Auftragsverarbeitungsvertrags (Abschnitt 5.4) wird bis zum Ablauf des sechsten vollen Kalenderjahres nach dem endgültigen Vertragsende aufbewahrt und danach automatisiert technisch gelöscht, soweit kein Legal-Hold entgegensteht. Die eingesetzten technischen und organisatorischen Maßnahmen beschreibt unser TOM (Art. 32 DSGVO).

13. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Anfragen richten Sie bitte an:

14. Widerruf von Einwilligungen

Erteilte Einwilligungen können jederzeit formlos per E-Mail widerrufen werden.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

15. Beschwerderecht

Sie haben das Recht, sich bei dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.