Datenschutzerklärung

1. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. In dieser Datenschutzerklärung informieren wir Sie darüber, wie personenbezogene Daten im Rahmen der Nutzung der Web-Applikation „TEAMS DASHBOARD“ verarbeitet werden.

Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Diese Datenschutzerklärung gilt ausschließlich für den Dienst „TEAMS DASHBOARD“ und nicht allgemein für eine Unternehmenswebsite.

Die Web-App richtet sich an Geschäftskunden (B2B).

2. Verantwortliche Stelle

SSIG-IT GmbH
Zum weißen Jura 3
89143 Blaubeuren
Deutschland

Telefon: +49 7335 163310
E-Mail:

3. Datenschutzbeauftragter

Für die SSIG-IT GmbH ist ein externer Datenschutzbeauftragter bestellt.

Sie erreichen den Datenschutzbeauftragten über:

Datenschutz & Informationssicherheit Alb e.K.
E-Mail:
Website: https://www.di-alb.de

4. Beschreibung des Dienstes „TEAMS DASHBOARD“

TEAMS DASHBOARD ist eine webbasierte Anwendung zur Auswertung, Visualisierung und Verwaltung von Microsoft-Teams-bezogenen Informationen und Diensten.

Die Anwendung greift auf Cloud-Dienste von Microsoft zu, insbesondere Microsoft 365 / Microsoft Teams, um Funktionen bereitzustellen.

Die Nutzung erfolgt ausschließlich durch Mitarbeiter, Administratoren oder sonstige berechtigte Nutzer von Kundenunternehmen (B2B).

TEAMS DASHBOARD verarbeitet hierbei Beschäftigtendaten im Auftrag des jeweiligen Unternehmenskunden. Der Unternehmenskunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die SSIG-IT GmbH handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

Doppelrolle: Für die Darstellung der Präsenz-, Profil- und Fotodaten aus Microsoft Graph handelt die SSIG-IT GmbH als Auftragsverarbeiter (Art. 28 DSGVO); diese Daten werden ausschließlich flüchtig im Browser des Nutzers verarbeitet und nicht auf Servern der SSIG-IT GmbH gespeichert. Für die eigene Vertragsdurchführung, Abrechnung, Betriebssicherheit und Kommunikation (u. a. Administrator-Kontaktdaten, Rechnungs- und Zahlungsdaten, Vertriebsanfragen, Server-Logfiles) ist die SSIG-IT GmbH eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

5. Verarbeitung personenbezogener Daten

5.1 Welche Daten werden verarbeitet?

Im Rahmen der Nutzung von TEAMS DASHBOARD werden zwei Arten personenbezogener Daten verarbeitet:

a) Daten aus Microsoft Graph (Auftragsverarbeitung)
Diese Daten stammen aus dem Microsoft-365-Mandanten des jeweiligen Kunden (Entra ID / Microsoft Teams). Sie werden ausschließlich im Browser des angemeldeten Nutzers verarbeitet (Zwischenspeicherung siehe Abschnitt 9) und nicht auf Servern der SSIG-IT GmbH gespeichert. Dazu gehören insbesondere:

• Name, E-Mail-Adresse und Benutzer-ID
• Jobtitel, Abteilung, Standort/Büro und Telefonnummern
• Präsenzstatus und Verfügbarkeitsinformationen
• Profilfoto

b) Daten für Betrieb, Vertrag und Kundenportal (eigene Verantwortlichkeit)
Diese Daten stellt der Nutzer selbst bereit oder sie entstehen bei der Nutzung:

• Administrator- und Vertragskontaktdaten
• Login- und Zugriffsdaten (z. B. Objekt-ID, Name und E-Mail-Adresse aus der Microsoft-Anmeldung, Zeitpunkte)
• Vertrags-, Lizenz- und Abrechnungsdaten
• Fehler- und Protokolldaten zur Sicherstellung des technischen Betriebs
• Geräte- und Verbindungsdaten (z. B. IP-Adresse, Browsertyp, Betriebssystem)

5.2 Zweck der Datenverarbeitung

Die Verarbeitung erfolgt zu folgenden Zwecken:

• Bereitstellung und Betrieb der Web-App TEAMS DASHBOARD
• Authentifizierung und Autorisierung von Nutzern
• Sicherstellung von Stabilität, Sicherheit und Performance
• Fehleranalyse und Missbrauchsprävention
• Support- und Administrationszwecke

5.3 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Die Verarbeitung ist erforderlich zur Bereitstellung und Nutzung des Dienstes im Rahmen des bestehenden Vertragsverhältnisses mit dem Unternehmenskunden
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse: Die Verarbeitung dient dem sicheren, stabilen und wirtschaftlichen Betrieb der Web-App sowie der Fehlererkennung und Missbrauchsprävention

Soweit personenbezogene Daten im Auftrag des Unternehmenskunden verarbeitet werden, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

5.4 Nachweis des Auftragsverarbeitungsvertrags (AVV)

Schließt die sich als bevollmächtigt erklärende Person eines Kundenunternehmens im Kundenportal den Auftragsverarbeitungsvertrag (Art. 28 DSGVO) elektronisch ab, protokollieren wir diesen Abschluss als Nachweis. Verarbeitet werden dabei die Objekt-ID (oid), der Name und die E-Mail-Adresse der annehmenden Person, die Microsoft-365-Tenant-Kennung, der von dieser Person angegebene Rechtsname und die Anschrift des Unternehmens, die Vertragsversion und die Prüfsumme (SHA-256) des angenommenen Wortlauts, der Zeitpunkt der Annahme sowie die IP-Adresse und die Browser-Kennung (User-Agent) des Zugriffs.

Zweck ist der Nachweis des wirksam und in Textform geschlossenen Auftragsverarbeitungsvertrags (Art. 28 Abs. 9 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung der rechtlichen Verpflichtung aus Art. 28 DSGVO) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem belastbaren, integritätsgeschützten Vertragsnachweis). Der Nachweis wird integritätsgeschützt gespeichert und bis zum Ablauf des sechsten vollen Kalenderjahres nach dem endgültigen Vertragsende aufbewahrt (Aufbewahrung analog § 257 HGB / § 147 AO); danach wird er automatisiert technisch gelöscht, soweit dem kein Legal-Hold (z. B. laufender Rechtsstreit) entgegensteht.

5.5 Zugänge zum Kundenportal

Das Kundenportal einer Organisation verwalten deren Admins. Für diese Zugangssteuerung speichern wir zu jeder Person, die im Kundenportal Admin wird oder den Zugang anfragt, die Objekt-ID (oid), den Namen und die E-Mail-Adresse aus der Microsoft-Anmeldung, die Microsoft-365-Tenant-Kennung, den Status (Admin, angefragt, abgelehnt), die Zeitpunkte von Anfrage und Entscheidung sowie, wer entschieden hat. Name und E-Mail-Adresse der Admins sehen die übrigen angemeldeten Personen derselben Organisation, damit sie wissen, an wen sie sich wenden können. Admins erhalten bei einer neuen Anfrage eine E-Mail, die anfragende Person bei der Entscheidung.

Zweck ist die sichere Steuerung, wer Einstellungen, Vertrag und Abrechnung der Organisation verwalten darf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Zugriffssteuerung). Die Daten einer Person werden gelöscht, wenn ein Admin sie im Kundenportal entfernt, spätestens aber mit der Löschung der Organisation 90 Tage nach Vertragsende (Abschnitt 12).

6. Empfänger der Daten

Empfänger personenbezogener Daten sind:

• Interne Stellen der SSIG-IT GmbH (z. B. IT-Betrieb, Administration, Support), soweit dies zur Erfüllung der genannten Zwecke erforderlich ist

Microsoft verarbeitet die Daten des Kunden im Rahmen des zwischen dem Kunden und Microsoft bestehenden Vertragsverhältnisses. Die SSIG-IT GmbH greift ausschließlich auf Grundlage der vom Kunden erteilten Berechtigungen auf Microsoft-Dienste zu.

Für den technischen Betrieb, die Zahlungsabwicklung und die Kommunikation setzen wir zudem sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO ein, die personenbezogene Daten ausschließlich weisungsgebunden verarbeiten:

• Vercel Inc. – Hosting und Auslieferung der Web-App sowie Server-Log-Dateien. Anwendungs-Compute und Datenbank: Frankfurt am Main; CDN und statische Auslieferung über das globale Vercel-Netzwerk. Anbieter mit Sitz in den USA (DPF/SCC).
• Supabase Inc. – Datenbank-Hosting (u. a. Kunden-, Kontakt- und Anfragedaten). Serverstandort Frankfurt am Main (Region eu-central-1).
• Stripe Payments Europe, Ltd. (Irland) – Abwicklung der Zahlungen im Self-Service-Kauf (u. a. Name, E-Mail-Adresse, Rechnungsanschrift); Kartendaten werden ausschließlich durch Stripe verarbeitet
• Resend, Inc. – Versand transaktionaler E-Mails (z. B. Onboarding-, Bestätigungs- und Erinnerungsnachrichten). Anbieter mit Sitz in den USA; die E-Mail-Zustellung erfolgt über EU-Infrastruktur, Konto-, Protokoll- und Metadaten können jedoch in den USA verarbeitet werden. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Cloudflare, Inc. – Schutz der öffentlichen Formulare vor automatisierten Zugriffen (Bot-Schutz „Turnstile“). Dabei wird die IP-Adresse des Anfragenden an Cloudflare übermittelt; eine Speicherung der IP-Adresse in unserer Datenbank erfolgt nicht.
• Functional Software, Inc. (Sentry) – Fehlerüberwachung der Web-App, des Kundenportals und der Server. Übermittelt werden technische Fehlerdaten (Fehlermeldung, Programmstelle, Browser- und Betriebssystemversion, aufgerufene Seite ohne Parameter). E-Mail-Adressen, IP-Adressen und Kennungen werden vor dem Versand aus den Fehlertexten entfernt; die IP-Adresse der Verbindung speichert Sentry nicht. Datenregion EU (Deutschland). Anbieter mit Sitz in den USA; die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO).

Im öffentlichen Demo-Modus (/demo) zeigt das Dashboard erfundene Personen mit Beispielfotos des Dienstes randomuser.me. Diese Bilder lädt Ihr Browser direkt von dort; dabei erhält der Anbieter Ihre IP-Adresse und Browserkennung. Im Dashboard Ihrer Organisation werden keine Inhalte von randomuser.me geladen.

Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Weitergabe an sonstige Dritte erfolgt nicht, sofern keine gesetzliche Verpflichtung besteht.

Soweit einzelne dieser Dienstleister personenbezogene Daten in Drittländer (insbesondere die USA) übermitteln, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, Art. 45 DSGVO) oder geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln.

7. Einsatz von Microsoft Cloud-Diensten

TEAMS DASHBOARD nutzt Cloud-Dienste der Microsoft Corporation, insbesondere:

• Microsoft 365
• Microsoft Teams
• Microsoft Azure

Die Verarbeitung personenbezogener Daten erfolgt dabei auf Servern von Microsoft.

Die Microsoft-Dienste werden vom jeweiligen Kunden auf Grundlage seines eigenen Vertragsverhältnisses mit Microsoft genutzt.

Microsoft Corporation ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Eine Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO.

Sofern in Einzelfällen Datenverarbeitungen nicht vom Data Privacy Framework erfasst sind, stützt sich Microsoft ergänzend auf geeignete Garantien gemäß Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln.

8. Server-Log-Dateien

Beim Betrieb der Web-App werden automatisch Informationen in Server-Log-Dateien erfasst:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Die Speicherung erfolgt aus Sicherheits- und Stabilitätsgründen und basiert auf Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: nach den Fristen unseres Hosting-Dienstleisters, längstens jedoch sechs Wochen.

9. Cookies, lokale Speicherung und Reichweitenmessung

Für den Betrieb der Web-App werden ausschließlich technisch notwendige Speichermechanismen eingesetzt (z. B. Anmeldestatus, Sprach- und Darstellungseinstellungen). Diese setzen keine Einwilligung voraus (§ 25 Abs. 2 Nr. 2 TDDDG).

Die Anmeldung über Microsoft (MSAL) legt die Anmeldetoken ausschließlich im Browser ab, nicht auf unseren Servern: im Kundenportal im Sitzungsspeicher (gelöscht beim Schließen des Tabs), im Dashboard außerhalb von Microsoft Teams im lokalen Speicher. Das Aktualisierungstoken (offline_access) ist dort höchstens 24 Stunden gültig und wird bei Vertragsende verworfen. Innerhalb von Microsoft Teams verwaltet der Teams-Client die Anmeldung.

Darüber hinaus nutzt die Anwendung technisch notwendige lokale Zwischenspeicherung im Browser (IndexedDB) zur Zwischenspeicherung von Profilfotos und Benutzerdaten. Diese Daten werden ausschließlich lokal im Browser des Nutzers gespeichert, dienen der Verbesserung der Ladezeiten und werden nach Ende der Sitzung bzw. bei erneutem Login automatisch aktualisiert. Es erfolgt keine Übermittlung dieser zwischengespeicherten Daten an Dritte.

Reichweitenmessung mit Umami: Auf unseren Webseiten einschließlich Kundenportal (nicht im Dashboard) messen wir die Nutzung mit Umami. Umami ist selbst gehostet auf einem von der SSIG-IT GmbH betriebenen Server in Deutschland; die Daten werden nicht an Dritte übermittelt. Umami setzt keine Cookies und speichert keine Kennung in Ihrem Browser. Erfasst werden die aufgerufene Seite (ohne Parameter), die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und das aus der IP-Adresse abgeleitete Land. Die IP-Adresse selbst wird nicht gespeichert; ausgewertet werden nur zusammengefasste Zahlen, kein Profil einzelner Personen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung zur Verbesserung des Angebots). Ist in Ihrem Browser „Do Not Track“ aktiviert, findet keine Messung statt; im Übrigen können Sie der Verarbeitung jederzeit per E-Mail widersprechen (Abschnitt 13).

10. SSL-/TLS-Verschlüsselung

Die Nutzung von TEAMS DASHBOARD erfolgt ausschließlich über eine SSL- bzw. TLS-verschlüsselte Verbindung.

Dadurch sind übermittelte Daten vor dem Zugriff durch Dritte geschützt.

11. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Angaben zum Zweck der Bearbeitung Ihrer Anfrage verarbeitet.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Die Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten bestehen.

12. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist.

Mandanten- und Konfigurationsdaten (Kundendatensatz, Einstellungen, Branding einschließlich Logos sowie die Zugänge zum Kundenportal) werden nach Vertragsende zunächst für 90 Tage vorgehalten, um eine Wiederaufnahme des Dienstes ohne Neuinitialisierung zu ermöglichen. Nach Ablauf dieser Frist werden sie automatisiert gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Vertragsende ist das Ende des letzten bezahlten bzw. vereinbarten Leistungszeitraums.

Für einzelne Datenbestände gelten konkrete, automatisiert durchgesetzte Löschfristen: Anfragen über das Kontaktformular werden spätestens nach 180 Tagen gelöscht bzw. anonymisiert, E-Mail-Protokolle nach 90 Tagen, Ereignisdaten der Zahlungsabwicklung nach 90 Tagen und das interne Administrations-Protokoll nach zwei Jahren. Der Nachweis über den Abschluss des Auftragsverarbeitungsvertrags (Abschnitt 5.4) wird bis zum Ablauf des sechsten vollen Kalenderjahres nach dem endgültigen Vertragsende aufbewahrt und danach automatisiert technisch gelöscht, soweit kein Legal-Hold entgegensteht. Die eingesetzten technischen und organisatorischen Maßnahmen beschreibt unser TOM (Art. 32 DSGVO).

13. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Anfragen richten Sie bitte an:

14. Widerruf von Einwilligungen

Erteilte Einwilligungen können jederzeit formlos per E-Mail widerrufen werden.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

15. Beschwerderecht

Sie haben das Recht, sich bei dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.