Datenschutzerklärung

1. Verantwortlicher

Complass GmbH
Kölner Tor 31
40625 Düsseldorf
Vertreten durch die Geschäftsführung: Marc Linden
Telefon: +49 211 5423 585-0
E-Mail: info@complass.eu

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur mit Ihrer Einwilligung bzw. auf Grundlage von Art. 6 Abs. 1 lit. b, c und f DSGVO.

Empfänger und Übermittlungen in Drittländer: Ihre Daten erhalten innerhalb unseres Unternehmens nur die Personen, die sie für die jeweilige Aufgabe brauchen. Außerhalb unseres Unternehmens erhalten Daten nur die in dieser Erklärung genannten Dienstleister, überwiegend als Auftragsverarbeiter nach Art. 28 DSGVO, sowie Stellen, an die wir gesetzlich übermitteln müssen (zum Beispiel Finanzbehörden). Eine Übermittlung in Länder außerhalb der EU findet nur statt, wo wir sie in dieser Erklärung ausdrücklich nennen, jeweils auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln (Art. 45, 46 DSGVO).

Pflicht zur Bereitstellung: Für den Besuch der Website müssen Sie keine Daten angeben. Für eine Anfrage, eine Bestellung oder ein Benutzerkonto brauchen wir die als Pflichtfeld gekennzeichneten Angaben; ohne sie können wir die Anfrage nicht bearbeiten bzw. den Vertrag nicht schließen. Eine gesetzliche Pflicht zur Angabe besteht nicht.

Keine automatisierte Entscheidung: Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Widerruf: Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@complass.eu. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

3. Hosting

Diese Website und der Kundenbereich laufen auf eigenen Servern, die wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, gemietet haben. Der Server für Website und Kundenbereich steht in einem Rechenzentrum von Hetzner in Nürnberg; die verschlüsselten Sicherungen, die Sicherungskopie der Protokolle und unser Protokollserver liegen in einem Rechenzentrum von Hetzner in Falkenstein (Vogtland). E-Mails aus dem Kundenbereich und zu unseren Formularen versenden wir über den Mailserver von Hetzner. Alle Standorte liegen in Deutschland; eine Übermittlung in Länder außerhalb der EU findet beim Hosting nicht statt. Hetzner verarbeitet die Daten nur in unserem Auftrag; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

E-Mail und Zusammenarbeit: Unsere Postfächer, Microsoft Teams und die E-Mail-Kommunikation mit Ihnen (zum Beispiel zu Anfragen, Angeboten und Support) laufen in unserem Microsoft-365-Konto bei der Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, innerhalb der EU-Datengrenze (EU Data Boundary) von Microsoft. Microsoft verarbeitet die Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO. Microsoft Ireland ist eine Tochtergesellschaft der Microsoft Corporation in den USA; für Übermittlungen in die USA im Einzelfall, etwa für Support oder Sicherheitsdienste, gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), im Übrigen gelten die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Systemnachrichten aus dem Kundenbereich versenden wir weiterhin über den Mailserver von Hetzner. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit wir allgemeine Anfragen beantworten, Art. 6 Abs. 1 lit. f DSGVO.

4. Server-Logfiles

Bei jedem Aufruf protokolliert unser Webserver in sogenannten Server-Logfiles: Zeitpunkt, aufgerufene Adresse, Anfragemethode, Protokoll- und Verschlüsselungsangaben der Verbindung, Statuscode, übertragene Datenmenge, Antwortzeit und Ihre IP-Adresse in gekürzter Form (bei IPv4 ohne das letzte Byte, bei IPv6 nur die ersten 48 Bit). Einmal-Schlüssel und Kennungen aus Links in unseren E-Mails ersetzen wir vor dem Speichern durch einen Platzhalter. Browserangaben, Referrer, Cookies und andere Kopfzeilen der Anfrage speichern wir in den Logfiles nicht; Aufrufe von Hinweisgebersystemen protokolliert der Webserver gar nicht. Zweck ist der sichere und stabile Betrieb, insbesondere das Erkennen von Angriffen und Störungen. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Die Logfiles liegen bis zu 30 Tage auf dem Server und werden zur Auswertung auf unseren Protokollserver in Deutschland übertragen, wo wir sie nach 90 Tagen löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

5. Schriftarten und externe Inhalte

Die Schriftarten Marcellus und Work Sans sowie alle Bilder und Skripte werden lokal von unserem eigenen Server geladen. Es findet keine Verbindung zu externen Anbietern wie Google Fonts oder Content-Delivery-Netzwerken statt; Ihre IP-Adresse wird beim Laden der Seite nicht an Dritte übermittelt. Einzige Ausnahme ist die Besucherstatistik auf den öffentlichen Seiten (Abschnitt 7).

6. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein. Das Session-Cookie enthält eine zufällige Kennung, schützt Formulare vor Missbrauch (CSRF-Schutz) und hält Sie im Kundenbereich angemeldet. Es wird beim Schließen des Browsers bzw. nach Abmeldung ungültig. Wählen Sie selbst eine Sprache, merkt sich Ihr Browser diese Wahl in einem Sprach-Cookie (nur der Sprachcode, z. B. „en“, ein Jahr gültig), damit Website und Anmeldeseite in Ihrer Sprache erscheinen. Nach der Anmeldung im Kundenbereich setzen wir ein Geräte-Cookie. Es enthält eine zufällige, signierte Kennung und dient allein dazu, Ihren Browser als bekanntes Gerät wiederzuerkennen, damit wir Sie nur bei Anmeldungen von neuen Geräten per E-Mail warnen, auch wenn sich Ihre IP-Adresse ändert (z. B. bei iCloud Privat-Relay, VPN oder Mobilfunk). Bei uns ist nur ein verschlüsselter Kennwert dieser Kennung gespeichert. Das Geräte-Cookie ist ein Jahr gültig, wird bei jeder Anmeldung verlängert und bleibt nach der Abmeldung bestehen. Sie können es jederzeit in Ihrem Browser löschen; Ihr Browser gilt dann bei der nächsten Anmeldung aus einem anderen Netz als neues Gerät. Öffnen Sie einen Link aus einer unserer E-Mails, speichert Ihr Browser den darin enthaltenen Einmal-Schlüssel für wenige Sekunden in einem technisch notwendigen Cookie (höchstens 5 Minuten), damit der Schlüssel nicht in der Adresszeile bleibt. Schließen Sie auf der Startseite einen Hinweisstreifen zu einem Pilotprogramm (Cookie „cx_pilot_bar“) oder zu einer Aktion (Cookie „cx_promo_bar“), merkt sich Ihr Browser das jeweils in einem Cookie, damit der Streifen nicht erneut erscheint: beim Pilotprogramm nur den Wert „0“, bei der Aktion nur die Kennung der geschlossenen Aktion. Beide Cookies sind ein Jahr gültig, enthalten keine Personenkennung und werden nicht an Dritte weitergegeben. Ihre Wahl zwischen hellem und dunklem Design speichert Ihr Browser lokal (Local Storage); diese Information wird nicht an uns übertragen. Melden Sie sich im Postfach eines Hinweisgebersystems an, hält ein technisch notwendiges Cookie diese Anmeldung bis zum Schließen des Browsers. Im Kundenbereich speichert Ihr Browser außerdem Bedienungseinstellungen lokal (Local Storage bzw. Session Storage), etwa geöffnete Hilfen, die Reihenfolge von Kommentaren, den Fortschritt einer Seitenführung und Einstellungen für Browser-Benachrichtigungen; einzelne Einstellungen wie die eingeklappte Navigation speichern wir zusätzlich in Ihrem Benutzerkonto. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

7. Besucherstatistik (Plausible Analytics)

Um zu verstehen, wie unsere öffentliche Website genutzt wird, setzen wir den Statistikdienst Plausible Analytics ein (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland). Gemessen werden nur die öffentlichen Seiten von complass.eu, nicht der Kundenbereich, nicht die Anmeldung und nicht die Formulare. Wer angemeldet ist, wird nicht gezählt. Plausible arbeitet ohne Cookies, speichert nichts auf Ihrem Gerät und erstellt keine Nutzerprofile. Beim Aufruf einer Seite werden die aufgerufene Adresse (von den Parametern bleiben nur Seiten- und Sprachkennung sowie Kampagnenkennungen wie utm_source), die verweisende Seite (Referrer), Browser, Betriebssystem, Gerätetyp, die Sprache der Seite und das aus der IP-Adresse abgeleitete Land bzw. die Region übermittelt. Die IP-Adresse selbst wird nicht gespeichert: Sie wird zusammen mit der Browserkennung und einem täglich wechselnden Zufallswert in eine nicht rückrechenbare Kennung umgewandelt, die nach 24 Stunden ihren Bezug verliert. Außerdem erfassen wir anonym, ob ein Link zur Demo-, Partner- oder sonstigen Anfrage oder zur Anmeldung, ein E-Mail- oder Telefonlink, ein externer Link oder ein Download angeklickt wird, und ob eine Anfrage über das Formular abgeschickt wurde (nur Ereignis und Art der Anfrage, keine Formularinhalte). Die Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet und nur in zusammengefasster Form ausgewertet. Mit Plausible besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. durch eine Nachricht an info@complass.eu oder durch einen Werbe- bzw. Skriptblocker in Ihrem Browser.

In der Tour unter complass.eu/de/tour zählen wir auf unserem eigenen Server, wie oft ein Kapitel gestartet wird, und speichern dabei nur Kapitel, Sprache, Tag und Anzahl, ohne IP-Adresse, Cookie, Browserangabe oder Herkunftsseite. Zum Schutz vor Missbrauch verarbeiten wir dabei wie bei unseren Formularen kurzzeitig einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP) zur Ratenbegrenzung.

Darüber hinaus setzen wir keine Tracking- oder Werbedienste und keine Cookies zu Marketing- oder Statistikzwecken ein. Im Kundenbereich gibt es keine Besucherstatistik.

8. Demo-, Partner- und sonstige Anfragen

Über das Formular auf complass.eu können Sie eine Vorführung, eine Partnerschaft oder ein Angebot anfragen oder uns eine sonstige Anfrage stellen. Pflichtangaben sind Name, Unternehmen und E-Mail-Adresse; freiwillig können Sie Ihre Telefonnummer (für einen Rückruf) angeben und auswählen, worum es Ihnen geht (z. B. NIS2, Cyber Resilience Act, ISO 27001, IEC 62443). Kommen Sie aus dem Preiskonfigurator, senden wir Ihre dortige Auswahl mit. Die Angaben werden in einer Datenbank auf Servern in Deutschland gespeichert; eine Kopie geht zur Bearbeitung an unser E-Mail-Postfach. Zum Schutz vor Missbrauch speichern wir zusätzlich einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP). Anfragen über eine frühere, ausführlichere Fassung des Formulars können außerdem Position, Nachricht und weitere freiwillige Angaben enthalten.

Herkunft Ihrer Anfrage: Sind Sie über einen Link zu uns gekommen, der eine Herkunft nennt (Preiskonfigurator, KI-Assistent auf unserer Website oder der persönliche Link einer Person aus unserem Team), speichern wir diese Herkunft zusammen mit Ihrer Anfrage; bei einem Team-Link speichern wir, welche Person aus unserem Team den Link ausgegeben hat. Wir nutzen die Angabe, um auszuwerten, welche Wege zu Anfragen führen, und um eine Anfrage der Person aus unserem Team zuzuordnen, über deren Link sie kam. Rechtsgrundlage ist unser berechtigtes Interesse, unseren Vertrieb zu planen und Vermittlungen aus unserem Team nachvollziehen zu können (Art. 6 Abs. 1 lit. f DSGVO). Dafür setzen wir kein Cookie, und wir zählen nicht, wer einen solchen Link öffnet. Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 Abs. 1 DSGVO, Abschnitt 10); schreiben Sie dafür an info@complass.eu. Die Herkunft löschen wir zusammen mit Ihrer Anfrage (Fristen siehe unten). Partnercodes beschreibt Abschnitt 9a.

Nach dem Absenden können Sie freiwillig „das Gespräch vorbereiten“, jeweils aus vorgegebenen Auswahlwerten: Branche, Unternehmensgröße (Mitarbeitende), Anlass bzw. Frist (z. B. geplantes Audit, Kundennachweis, NIS2, CRA, Maschinenverordnung) und bei Demo-Anfragen den Wunschzeitraum. Dieser Schritt lässt sich überspringen und ist bis 48 Stunden nach dem Absenden bzw. der Bestätigung möglich. Wir nutzen diese Angaben, um die Vorführung und unser Angebot auf Ihr Unternehmen abzustimmen und Anfragen intern zu ordnen; daraus leiten wir intern eine grobe erste Einschätzung ab, welche Regelwerke für Sie in Betracht kommen. Diese Einschätzung ist keine rechtliche Prüfung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Ohne diese Angaben bearbeiten wir Ihre Anfrage genauso. Speicherung, Rechtsgrundlage und Löschung wie bei den übrigen Formularangaben.

Rechtsgrundlage für die Bearbeitung Ihrer Anfrage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen); eine Einwilligung brauchen wir dafür nicht. Anfragen bestätigen Sie über einen Link in einer E-Mail (Double-Opt-in); unbestätigte Anfragen löschen wir nach 30 Tagen automatisch.

Kreuzen Sie im Formular zusätzlich das freiwillige Kästchen an, senden wir Ihnen gelegentlich Informationen zu Complass per E-Mail. Rechtsgrundlage ist dann Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit demselben Link bestätigen. Ohne das Kästchen bearbeiten wir Ihre Anfrage genauso. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder dieser E-Mails oder per E-Mail an info@complass.eu; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Wir löschen Ihre Daten spätestens zwölf Monate nach dem letzten Kontakt, sofern keine weitergehende Geschäftsbeziehung entsteht.

Früher konnten Sie sich zusätzlich auf eine Warteliste setzen lassen. Diese Angaben verarbeiten wir auf Grundlage Ihrer damaligen Einwilligung nur noch, um Sie wie zugesagt zu informieren, und löschen sie nach den genannten Fristen oder nach Ihrem Widerruf.

8a. Betroffenheitscheck

Der Betroffenheitscheck auf complass.eu/de/betroffenheits-check wertet Ihre Antworten ausschließlich im Arbeitsspeicher unseres Servers aus, um Ihnen sofort ein Ergebnis anzuzeigen. Ihre Angaben werden nicht in Ihrer Session, nicht in den Server-Logfiles und nicht zusammen mit Ihrer IP-Adresse oder anderen Angaben zu Ihrer Person gespeichert. Für eine anonyme Bedarfsstatistik speichern wir nach der Auswertung nur, welche der vorgegebenen Antwortmöglichkeiten Sie gewählt haben (keine Freitexte und keine eigenen Zahlenwerte), das Ergebnis, die Sprache der Seite, den Tag (ohne Uhrzeit) sowie das Land und, bei Deutschland, Österreich und der Schweiz, das Bundesland bzw. den Kanton, aus dem die Anfrage kam. Land und Region ermitteln wir auf unserem eigenen Server mit einer lokalen Datenbank (DB-IP) aus Ihrer IP-Adresse; die IP-Adresse wird dafür nur im Arbeitsspeicher verwendet und nicht gespeichert. Die Statistik werten nur Vertrieb und Geschäftsführung von Complass in zusammengefasster Form aus; Werte unter drei werden nicht angezeigt. Wir nutzen sie, um unser Angebot und unsere Werbung am tatsächlichen Bedarf auszurichten, und geben sie nicht an Dritte oder Werbenetzwerke weiter. Einzelne Einträge löschen wir nach 13 Monaten; danach bleiben nur monatliche Summen je Land und Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Möchten Sie nicht gezählt werden, kreuzen Sie im Formular „Meine Antworten nicht für die anonyme Statistik zählen“ an. Ein späterer Widerspruch kann sich nur auf künftige Nutzungen beziehen, weil wir einen gespeicherten Eintrag Ihnen nicht zuordnen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Nur wenn Sie im Ergebnis ausdrücklich auf „Ergebnis mit Demo-Anfrage senden“ klicken, übergeben wir eine kurze, aus Ihren Antworten berechnete Textzusammenfassung an das Anfrageformular. Die Zusammenfassung selbst enthält keine Kontaktdaten; sie wird erst zu personenbezogenen Daten, sobald Sie sie zusammen mit Ihrer Anfrage absenden, und auch dann nur, wenn Sie dort zusätzlich die eigene, nicht vorangekreuzte Einwilligung „Ergebnis meines Betroffenheitschecks mit der Anfrage senden“ ankreuzen. Rechtsgrundlage für diese Übergabe ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, für die Demo-Anfrage selbst, Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) wie unter Abschnitt 8. Ohne diesen Klick und dieses Kästchen entsteht aus dem Check keine Speicherung von Angaben zu Ihrer Person; für die anonyme Bedarfsstatistik gilt der Absatz oben.

Da das Absenden des Formulars (auswerten oder Ergebnis senden) technisch eine Session Ihres Browsers benötigt, setzt es ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG; reines Lesen der Seite setzt kein Cookie.

Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Klartext-Protokoll der Antworten); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).

8b. CRA-Meldefristen-Rechner

Der CRA-Meldefristen-Rechner auf complass.eu/de/cra-meldefristen berechnet aus Ihren Angaben (Art der Meldung, Zeitpunkt der Kenntnis, Zeitzone und gegebenenfalls weitere Zeitpunkte) die Meldefristen ausschließlich im Arbeitsspeicher unseres Servers. Ihre Angaben werden nicht in Ihrer Session, nicht in den Server-Logfiles und nicht zusammen mit Ihrer IP-Adresse oder anderen Angaben zu Ihrer Person gespeichert. Für eine anonyme Bedarfsstatistik speichern wir nach der Auswertung nur, welche der vorgegebenen Antwortmöglichkeiten Sie gewählt haben (Art der Meldung, Zeitzone und ob ein weiterer Zeitpunkt angegeben wurde; keine Zeitpunkte), das Ergebnis, die Sprache der Seite, den Tag (ohne Uhrzeit) sowie das Land und, bei Deutschland, Österreich und der Schweiz, das Bundesland bzw. den Kanton, aus dem die Anfrage kam. Land und Region ermitteln wir auf unserem eigenen Server mit einer lokalen Datenbank (DB-IP) aus Ihrer IP-Adresse; die IP-Adresse wird dafür nur im Arbeitsspeicher verwendet und nicht gespeichert. Die Statistik werten nur Vertrieb und Geschäftsführung von Complass in zusammengefasster Form aus; Werte unter drei werden nicht angezeigt. Wir nutzen sie, um unser Angebot und unsere Werbung am tatsächlichen Bedarf auszurichten, und geben sie nicht an Dritte oder Werbenetzwerke weiter. Einzelne Einträge löschen wir nach 13 Monaten; danach bleiben nur monatliche Summen je Land und Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Möchten Sie nicht gezählt werden, kreuzen Sie im Formular „Meine Antworten nicht für die anonyme Statistik zählen“ an. Ein späterer Widerspruch kann sich nur auf künftige Nutzungen beziehen, weil wir einen gespeicherten Eintrag Ihnen nicht zuordnen können. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Das Ergebnis wird an kein anderes Formular übergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden der Berechnung setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8c. KI-Risikoklassen-Check

Der KI-Risikoklassen-Check auf complass.eu/de/ki-risiko-check ordnet ein KI-System aus Ihren Angaben (Rolle, Einsatzzwecke und Eigenschaften des Systems) ausschließlich im Arbeitsspeicher unseres Servers ein. Ihre Angaben werden nicht in Ihrer Session, nicht in den Server-Logfiles und nicht zusammen mit Ihrer IP-Adresse oder anderen Angaben zu Ihrer Person gespeichert. Für eine anonyme Bedarfsstatistik speichern wir nach der Auswertung nur, welche der vorgegebenen Antwortmöglichkeiten Sie gewählt haben (Rolle, Bereiche nach Anhang III und die Antworten zu Konformitätsbewertung und Profiling; keine Freitexte), das Ergebnis, die Sprache der Seite, den Tag (ohne Uhrzeit) sowie das Land und, bei Deutschland, Österreich und der Schweiz, das Bundesland bzw. den Kanton, aus dem die Anfrage kam. Land und Region ermitteln wir auf unserem eigenen Server mit einer lokalen Datenbank (DB-IP) aus Ihrer IP-Adresse; die IP-Adresse wird dafür nur im Arbeitsspeicher verwendet und nicht gespeichert. Die Statistik werten nur Vertrieb und Geschäftsführung von Complass in zusammengefasster Form aus; Werte unter drei werden nicht angezeigt. Wir nutzen sie, um unser Angebot und unsere Werbung am tatsächlichen Bedarf auszurichten, und geben sie nicht an Dritte oder Werbenetzwerke weiter. Einzelne Einträge löschen wir nach 13 Monaten; danach bleiben nur monatliche Summen je Land und Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Möchten Sie nicht gezählt werden, kreuzen Sie im Formular „Meine Antworten nicht für die anonyme Statistik zählen“ an. Ein späterer Widerspruch kann sich nur auf künftige Nutzungen beziehen, weil wir einen gespeicherten Eintrag Ihnen nicht zuordnen können. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Das Ergebnis wird an kein anderes Formular übergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8d. Whitepaper

Über die Seite complass.eu/de/whitepaper können Sie Whitepaper zu einzelnen Regelwerken (z. B. NIS2, Cyber Resilience Act) als PDF anfordern. Pflichtangabe ist Ihre E-Mail-Adresse; Name und Unternehmen sind freiwillig. Wir speichern die Angaben sowie einen verschlüsselten Kennwert Ihrer IP-Adresse (keine Klar-IP) in einer Datenbank auf Servern in Deutschland und senden Ihnen per E-Mail einen Download-Link (gültig 7 Tage, höchstens 5 Verwendungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung Ihrer Anfrage, vorvertragliche Maßnahme).

Beim Absenden können Sie zusätzlich und unabhängig voneinander zwei freiwillige, nicht vorausgewählte Einwilligungen erteilen: (a) Information per E-Mail über neue und aktualisierte Whitepaper, und (b) Kontaktaufnahme für ein unverbindliches Gespräch. Der Download des Whitepapers hängt von keiner der beiden Einwilligungen ab. Beide bestätigen Sie über einen separaten Link in derselben E-Mail (Double-Opt-in); ohne Bestätigung werden sie nicht wirksam. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Bestätigen Sie (b), übernehmen wir Ihre Angaben zusätzlich in unsere Interessentenverwaltung (siehe Abschnitt 8) und eine Mitarbeiterin oder ein Mitarbeiter meldet sich persönlich bei Ihnen.

Sie können die Einwilligung (a) jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder weiteren Information oder per E-Mail an info@complass.eu. Löschfristen: Ohne bestätigte Einwilligung löschen wir die Anfrage nach 30 Tagen; mit bestätigter Einwilligung (a) löschen wir spätestens 24 Monate nach der letzten E-Mail an Sie; nach einem Widerruf ohne weitere aktive Einwilligung löschen wir nach weiteren 30 Tagen. Eine bestätigte Kontaktanfrage (b) folgt der Aufbewahrung der Interessentenverwaltung (Abschnitt 8). Eine Weitergabe an Dritte findet nicht statt. Für die Nutzung der Seiten selbst gilt zusätzlich unsere Besucherstatistik (Abschnitt 7): Wir erfassen dort anonym, dass ein Whitepaper angefragt wurde und welches, ohne Formularinhalte oder E-Mail-Adresse. Außerdem zählen wir für unsere anonyme Bedarfsstatistik getrennt von Ihrer Anfrage, welches Whitepaper in welcher Sprache angefragt wurde, mit Tag (ohne Uhrzeit), Land und bei Deutschland, Österreich und der Schweiz Bundesland bzw. Kanton (aus der IP-Adresse auf unserem Server ermittelt, die IP-Adresse wird dafür nicht gespeichert), ohne E-Mail-Adresse, Name, Unternehmen oder Formularinhalte; Auswertung, Aufbewahrung und Rechtsgrundlage wie in Abschnitt 8a beschrieben. Möchten Sie nicht gezählt werden, kreuzen Sie im Formular „Meine Anfrage nicht für die anonyme Statistik zählen“ an.

Direktversand auf Ihre Bitte: Bitten Sie eine Mitarbeiterin oder einen Mitarbeiter von Complass persönlich um ein Whitepaper, etwa im Gespräch auf einer Messe oder am Telefon, senden wir es Ihnen per E-Mail mit einem Download-Link (gültig 7 Tage, höchstens 5 Verwendungen). Wir speichern Ihre E-Mail-Adresse, Name und Unternehmen (soweit angegeben), Whitepaper und Sprache, Anlass und Datum des Gesprächs, die versendende Person sowie die Zahl der Downloads und vermerken die Anfrage in unserer Interessentenverwaltung, ausdrücklich ohne Werbeeinwilligung. Die E-Mail enthält alle Datenschutzhinweise und keine Werbung. Empfänger ist nur unser Hoster Hetzner (Abschnitt 3: Hosting, E-Mail-Postfach und E-Mail-Versand in Deutschland) als Auftragsverarbeiter; eine Übermittlung in Länder außerhalb der EU findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen für Ihr Unternehmen Art. 6 Abs. 1 lit. f DSGVO; für den Vermerk Art. 6 Abs. 1 lit. f DSGVO (Dokumentation unserer Geschäftskontakte und Nachweis der Zusendung). Sie können jederzeit widersprechen. Werbung und Newsletter senden wir nur mit Ihrer ausdrücklichen Einwilligung. Wir löschen die Angaben 12 Monate nach dem Versand, nach einem Widerspruch sofort.

Partner-Whitepaper: Sprechen wir mit Ihnen oder Ihrem Unternehmen über eine mögliche Partnerschaft, senden Ihnen Vertrieb oder Geschäftsführung von Complass unser vertrauliches Partner-Whitepaper per E-Mail mit einem Download-Link (gültig 7 Tage, höchstens 5 Verwendungen) oder als Anhang. Jede Ausgabe trägt den Namen Ihres Unternehmens und eine Ausgabenummer. Wir speichern Name, Unternehmen und E-Mail-Adresse, Unterlage, Sprache und Version, Ausgabenummer, Datum und versendende Person sowie die Zahl der Downloads, damit wir nachweisen können, wer welche vertrauliche Ausgabe erhalten hat. Eine Aufnahme in unsere Interessentenverwaltung, Werbung oder Newsletter sind damit nicht verbunden. Empfänger ist nur unser Hoster Hetzner (Abschnitt 3) als Auftragsverarbeiter; eine Übermittlung in Länder außerhalb der EU findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme), für den Nachweis Art. 6 Abs. 1 lit. f DSGVO (Nachverfolgbarkeit vertraulicher Unterlagen). Sie können jederzeit widersprechen. Die ausgestellte Datei löschen wir 30 Tage nach Ablauf des Links, den Eintrag 12 Monate nach dem Versand, nach einem Widerspruch sofort.

8e. Warteliste für einzelne Pakete (bestehende Einträge)

Bis zum 10.10.2026 konnten Sie sich auf unseren Seiten für Branchen und Rollen für ein Paket, das noch nicht buchbar war, auf eine Warteliste setzen lassen. Eine neue Eintragung ist nicht mehr möglich. Bestehende Einträge verarbeiten wir nur noch, bis sie nach den folgenden Regeln gelöscht sind. Gespeichert sind Ihre E-Mail-Adresse, freiwillig angegebenes Unternehmen und freiwillig angegebener Name, das gewählte Paket, die Seite, von der Sie kamen (Branche oder Rolle), die Sprache, der Wortlaut Ihrer Einwilligung, der Zeitpunkt und zum Schutz vor Missbrauch ein verschlüsselter Kennwert Ihrer IP-Adresse (keine Klar-IP). Die Daten liegen in einer Datenbank auf Servern in Deutschland.

Zweck ist allein, Sie einmalig per E-Mail zu benachrichtigen, sobald das Paket buchbar ist. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Hatten Sie Ihre Eintragung noch nicht über den Link in unserer E-Mail bestätigt (Double-Opt-in), können Sie das innerhalb der dort genannten Frist noch tun; unbestätigte Einträge löschen wir 30 Tage nach der Eintragung automatisch. Nach der Benachrichtigung löschen wir Ihren Eintrag. Wird das Paket nicht innerhalb von 24 Monaten nach Ihrer Bestätigung buchbar, löschen wir ihn spätestens dann.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail zur Warteliste oder per E-Mail an info@complass.eu. Ihr Eintrag wird dann sofort gelöscht. Eine Weitergabe an Dritte findet nicht statt.

8f. Compliance-Kostenrechner

Der Compliance-Kostenrechner auf complass.eu/de/compliance-kostenrechner schätzt aus Ihren Angaben (Regelwerk, Unternehmensgröße, Umfang, Vorkenntnisse, Branche und gegebenenfalls Ihre eigenen Annahmen wie Tagessatz, Kosten einer Arbeitsstunde und Stunden je Woche) Kosten, internen Aufwand und Dauer einer Umsetzung, ausschließlich im Arbeitsspeicher unseres Servers. Ihre Angaben werden nicht in Ihrer Session, nicht in den Server-Logfiles und nicht zusammen mit Ihrer IP-Adresse oder anderen Angaben zu Ihrer Person gespeichert. Für eine anonyme Bedarfsstatistik speichern wir nach der Auswertung nur, welche der vorgegebenen Antwortmöglichkeiten Sie gewählt haben (Regelwerk, Größe, Umfang, Vorkenntnisse, Branche, ob eigene Annahmen geändert wurden, ob das PDF heruntergeladen wurde, und eine Spanne des geschätzten Betrags; keine eigenen Annahmen wie Tagessatz oder Stunden), das Ergebnis, die Sprache der Seite, den Tag (ohne Uhrzeit) sowie das Land und, bei Deutschland, Österreich und der Schweiz, das Bundesland bzw. den Kanton, aus dem die Anfrage kam. Land und Region ermitteln wir auf unserem eigenen Server mit einer lokalen Datenbank (DB-IP) aus Ihrer IP-Adresse; die IP-Adresse wird dafür nur im Arbeitsspeicher verwendet und nicht gespeichert. Die Statistik werten nur Vertrieb und Geschäftsführung von Complass in zusammengefasster Form aus; Werte unter drei werden nicht angezeigt. Wir nutzen sie, um unser Angebot und unsere Werbung am tatsächlichen Bedarf auszurichten, und geben sie nicht an Dritte oder Werbenetzwerke weiter. Einzelne Einträge löschen wir nach 13 Monaten; danach bleiben nur monatliche Summen je Land und Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Möchten Sie nicht gezählt werden, kreuzen Sie im Formular „Meine Antworten nicht für die anonyme Statistik zählen“ an. Ein späterer Widerspruch kann sich nur auf künftige Nutzungen beziehen, weil wir einen gespeicherten Eintrag Ihnen nicht zuordnen können. Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Nur die Vorauswahl einer Branche oder eines Regelwerks über einen Link von unseren Seiten steht in der Adresse. Das Ergebnis wird an kein anderes Formular übergeben. Laden Sie das Ergebnis als PDF herunter, werden Ihre Angaben dafür erneut per POST übertragen und nur zum Erstellen der Datei im Arbeitsspeicher verarbeitet; auch die PDF-Datei wird bei uns nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Das reine Lesen der Seite setzt kein Cookie. Das Absenden der Berechnung setzt wie beim Betroffenheitscheck ein technisch notwendiges Session-Cookie, Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG. Zum Schutz vor Missbrauch zählen wir Aufrufe je IP-Adresse (Ratenbegrenzung, kein Protokoll der Angaben); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Fragen Sie über die Links im Ergebnis eine Demo an, gilt Abschnitt 8.

8f. Bestellung über das Bestellformular

Bestellen Sie ein Paket über unser Bestellformular, verarbeiten wir Ihren Namen, Ihre Position, Ihre E-Mail-Adresse und Telefonnummer, Firma, Rechnungsanschrift, USt-IdNr., eine abweichende E-Mail-Adresse für Rechnungen, Ihre Bestellnummer, Ihre Anmerkungen, die bestellte Auswahl mit den Preisen zum Zeitpunkt der Bestellung, die Sprache sowie Ihre Zustimmung zu den AGB und Ihre Bestätigung, für ein Unternehmen zu bestellen (jeweils mit Zeitpunkt und der Fassung der AGB), und zum Schutz vor Missbrauch einen verschlüsselten Wert aus Ihrer IP-Adresse (nicht die IP-Adresse selbst). Die Daten speichern wir in einer Datenbank auf Servern in Deutschland.

Herkunft Ihrer Bestellung: Sind Sie über einen Link zu uns gekommen, der eine Herkunft nennt, speichern wir diese Herkunft zusammen mit Ihrer Bestellung. Zweck, Rechtsgrundlage und Ihr Widerspruchsrecht stehen in Abschnitt 8. Die Herkunft bewahren wir so lange auf wie die Bestellung (Frist siehe unten).

Zweck ist die Bearbeitung Ihrer Bestellung, der Abschluss und die Durchführung des Vertrags sowie die Rechnungsstellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen) und für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten. Bevor wir eine Bestellung bearbeiten, bitten wir Sie, Ihre E-Mail-Adresse über einen Link zu bestätigen. Unbestätigte Bestellungen löschen wir 30 Tage nach dem Absenden automatisch. Bestellungen und den Nachweis Ihrer Zustimmung zu den AGB bewahren wir als Geschäftsunterlagen für die gesetzliche Frist auf (in der Regel sechs Jahre, für Unterlagen mit Bedeutung für die Rechnung zehn Jahre), auch wenn Ihr Unternehmen später seine Daten im Kundenbereich löscht.

Bei Bestellungen von außerhalb der Europäischen Union und bei Hinweisen auf ein Sanktionsrisiko prüfen wir den Namen des Unternehmens und, bei kleinen Unternehmen, die Namen von Geschäftsführung und Inhabern gegen öffentliche Sanktionslisten. Quellen sind Ihre Bestellung, öffentliche Register und die Sanktionslisten selbst. Rechtsgrundlage ist für die Listen der Europäischen Union Art. 6 Abs. 1 lit. c DSGVO (unmittelbar geltende Verbote), für andere Listen und für Personen im Unternehmen Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, keine verbotenen Geschäfte zu schließen). Das Ergebnis speichern wir mit der Bestellung für die Dauer der handelsrechtlichen Aufbewahrung (§ 257 HGB).

Zur Prüfung einer angegebenen USt-IdNr. fragen wir auf Veranlassung unserer Mitarbeitenden beim Mehrwertsteuer-Informationsaustauschsystem (MIAS/VIES) der Europäischen Kommission an, ob die Nummer gültig ist. Dabei übermitteln wir nur Länderkennung und Nummer. Eine Weitergabe an sonstige Dritte findet nicht statt.

8i. Bewerbungen

Bewerbungen nehmen wir per E-Mail entgegen. Welche Daten wir dabei wofür und auf welcher Rechtsgrundlage verarbeiten, wer sie erhält und wie lange wir sie aufbewahren, steht im Datenschutzhinweis für Bewerberinnen und Bewerber auf der Seite Karriere.

8k. Reifegrad-Check

Der Reifegrad-Check auf complass.eu/de/reifegrad-check wertet Ihre Selbsteinschätzung ausschließlich im Arbeitsspeicher unseres Servers aus, um Ihnen sofort ein Ergebnis anzuzeigen. Ihre einzelnen Antworten werden nicht gespeichert, nicht in einer Datenbank, nicht in einer Datei, nicht in Ihrer Session und nicht in den Server-Logfiles. Für eine anonyme Bedarfsstatistik speichern wir nach der Auswertung nur die gewählten Regelwerke, die Ergebnisstufe je Regelwerk (nicht den Prozentwert), die Themen der größten Lücken, die Sprache der Seite, den Tag (ohne Uhrzeit) und das Land, aus dem die Anfrage kam. Bundesland oder Kanton speichern wir bei diesem Werkzeug nicht. Das Land ermitteln wir auf unserem eigenen Server mit einer lokalen Datenbank (DB-IP) aus Ihrer IP-Adresse; die IP-Adresse wird dafür nur im Arbeitsspeicher verwendet und nicht gespeichert. Die Statistik werten nur Vertrieb und Geschäftsführung von Complass in zusammengefasster Form aus; Werte unter drei werden nicht angezeigt. Wir nutzen sie, um unser Angebot und unsere Werbung am tatsächlichen Bedarf auszurichten, und geben sie nicht an Dritte oder Werbenetzwerke weiter. Einzelne Einträge löschen wir nach 13 Monaten; danach bleiben nur monatliche Summen je Land und Ergebnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Sie werden per POST übertragen und erscheinen daher auch nicht in der Adresse oder in den Server-Logfiles. Nur die Vorauswahl eines Regelwerks über einen Link von unseren Seiten steht in der Adresse. Rechtsgrundlage für die Auswertung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ihnen das von Ihnen angefragte Werkzeug bereitzustellen).

Ihr Widerspruchsrecht: Sie können der Verarbeitung für die Bedarfsstatistik nach Art. 21 DSGVO jederzeit widersprechen. Ein Kästchen zum Abwählen gibt es bei diesem Werkzeug nicht. Ein Widerspruch wirkt für künftige Nutzungen, weil wir einen gespeicherten Eintrag Ihnen nicht zuordnen können.

Nur wenn Sie im Ergebnis ausdrücklich auf „Ergebnis mit Demo-Anfrage senden“ klicken, übergeben wir eine kurze Zusammenfassung (Regelwerke, Ergebnisstufen und Themen der größten Lücken, keine einzelnen Antworten) an das Anfrageformular. Gespeichert wird sie nur, wenn Sie die Anfrage absenden und dort zusätzlich die eigene, nicht vorangekreuzte Einwilligung „Ergebnis meines Reifegrad-Checks mit der Anfrage senden“ ankreuzen. Rechtsgrundlage für diese Übergabe ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, für die Demo-Anfrage selbst, Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) wie unter Abschnitt 8.

8j. Kontakt per WhatsApp

Sie können uns über WhatsApp Business unter +49 211 5423 585-0 schreiben. Anbieter des Dienstes ist WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland.

Wenn Sie uns schreiben, verarbeiten wir Ihre Telefonnummer, Ihren Profil-Anzeigenamen, den Inhalt Ihrer Nachricht sowie Zeitpunkt und Verbindungsdaten, ausschließlich um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage unser Angebot oder einen Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine schnelle und einfache Beantwortung. Wir senden über WhatsApp keine Werbung. Wir geben keine Kontakte aus unserem Adressbuch an WhatsApp weiter.

Die Inhalte Ihrer Nachrichten sind zwischen den Geräten Ende-zu-Ende-verschlüsselt. WhatsApp Ireland verarbeitet Verbindungs- und Nutzungsdaten (etwa Telefonnummern, Zeitpunkte, Gerätedaten) in eigener Verantwortung und kann diese an Meta-Gesellschaften in den USA übermitteln. Nach den Angaben von WhatsApp stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission und, soweit eine Zertifizierung besteht, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Einzelheiten finden Sie in den Datenschutzhinweisen von WhatsApp.

Bitte senden Sie uns über WhatsApp keine vertraulichen Unterlagen, Nachweise oder Zugangsdaten; nutzen Sie dafür E-Mail an info@complass.eu oder unser Portal. Wir löschen Chats spätestens 90 Tage nach Erledigung Ihrer Anfrage, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Beschwerde bei einer Aufsichtsbehörde sind in Abschnitt 10 beschrieben. Die Nutzung von WhatsApp ist freiwillig; Sie erreichen uns ebenso telefonisch und per E-Mail.

9. Kundenbereich

Anmeldung zur kostenlosen Testphase: Melden Sie sich für eine Testphase an, verarbeiten wir Firma, Ihren Namen, Ihre E-Mail-Adresse und deren Domain, das gewählte Paket und Ihre Auswahl mit Land, ob Sie Demo-Daten wünschen, die Sprache, Ihre Bestätigung, für ein Unternehmen zu handeln, und zum Schutz vor Missbrauch einen verschlüsselten Wert aus Ihrer IP-Adresse (nicht die IP-Adresse selbst). Bevor wir den Zugang anlegen, bestätigen Sie Ihre E-Mail-Adresse über einen Link. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen). Die Anmeldung löschen wir 24 Monate nach der Bestätigung; bis dahin verhindert sie eine erneute kostenlose Testphase desselben Unternehmens. Abgelehnte Anmeldungen löschen wir nach 30 Tagen, unbestätigte nach Ablauf des Bestätigungslinks.

Herkunft Ihrer Testphase: Sind Sie über einen Link zu uns gekommen, der eine Herkunft nennt, speichern wir diese Herkunft zusammen mit Ihrer Anmeldung zur kostenlosen Testphase. Zweck, Rechtsgrundlage und Ihr Widerspruchsrecht stehen in Abschnitt 8. Die Anmeldung zur Testphase und mit ihr die Herkunft löschen wir 24 Monate nach Ihrer Bestätigung.

Für die Nutzung des Kundenbereichs verarbeiten wir die Daten Ihres Benutzerkontos (Name, E-Mail-Adresse, Unternehmen, Rolle, Passwort als sicherer Hash, verschlüsselter Schlüssel für die Zwei-Faktor-Anmeldung) sowie ein Protokoll sicherheitsrelevanter Vorgänge wie Anmeldungen und Änderungen mit Zeitpunkt und IP-Adresse. In vertraulichen Bereichen (Vorfälle, Betroffenenanfragen, Schwachstellenmeldungen, Nachweisdateien) protokollieren wir außerdem, wer einen Datensatz angesehen oder heruntergeladen hat, mit einem Verweis auf den Datensatz, nie mit dessen Inhalt; ruft dieselbe Person denselben Datensatz innerhalb von 15 Minuten erneut auf, entsteht kein weiterer Eintrag. Ansehen und Herunterladen im Hinweisgebersystem halten wir nur im Fallverlauf fest, den ausschließlich die Meldestelle Ihres Unternehmens sieht. Das Protokoll ist manipulationserkennbar (nachträgliche Änderungen werden sichtbar) und wird verschlüsselt außerhalb des Servers gesichert. Einsehen können es Personen Ihres Unternehmens mit dem Recht „Kundenprotokoll“; es wird nicht zur Leistungs- oder Verhaltenskontrolle ausgewertet. Fehlgeschlagene Anmeldeversuche werden zum Schutz vor Angriffen 24 Stunden gespeichert. Im Protokoll kürzen wir IP-Adressen nach 90 Tagen und löschen Einträge nach 24 Monaten oder nach der von Ihrem Unternehmen gewählten Frist (12 bis 120 Monate). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Systemnachrichten wie Einladungen und Erinnerungen versenden wir per E-Mail.

Sicherheitsprotokoll: Zum Schutz vor Angriffen auf die Anmeldung erfassen wir Sicherheitsereignisse, insbesondere fehlgeschlagene Anmeldungen und Codes, Kontosperren, gesperrte Verbindungen, Anmeldungen von neuen Geräten sowie Zugriffe auf typische Angriffsziele. Gespeichert werden Zeitpunkt, Art des Ereignisses, das betroffene Benutzerkonto und Unternehmen (falls vorhanden), die eingegebene Anmeldeadresse, die vollständige und die gekürzte IP-Adresse, ein verschlüsselter Kennwert der IP-Adresse, der aus der IP-Adresse abgeleitete ungefähre Ort (Land, Region, Stadt) sowie Browserfamilie und Betriebssystem. Gehört die eingegebene Anmeldeadresse zu keinem Konto, speichern wir sie nur gekürzt (die ersten drei Zeichen und die Domain), weil in das Namensfeld gelegentlich versehentlich ein Passwort eingegeben wird. Passwörter und Codes werden nie gespeichert. Den ungefähren Ort ermitteln wir mit einer lokal auf unserem Server gespeicherten Datenbank (DB-IP.com); die IP-Adresse wird dafür nicht an Dritte übermittelt. Für die Erkennung neuer Geräte speichern wir je Konto und Gerät einen Kennwert aus Browserfamilie, Betriebssystem und Netzbereich sowie einen verschlüsselten Kennwert der Kennung aus dem Geräte-Cookie (siehe Abschnitt 6). Zweck ist die Erkennung und Abwehr von Angriffen auf die Anmeldung, z. B. das Sperren angreifender Verbindungen und die Auswertung, woher Angriffe kommen und welche Konten betroffen sind. Die vollständige IP-Adresse kürzen wir nach 30 Tagen, den Kennwert der IP-Adresse entfernen wir nach 90 Tagen, die Ereignisse einschließlich des ungefähren Orts löschen wir nach 90 Tagen, bekannte Geräte nach 365 Tagen ohne Anmeldung. Administratoren Ihres Unternehmens sehen die Ereignisse an den Konten Ihres Unternehmens, nicht aber Anmeldeversuche mit Adressen, die zu keinem Konto gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes, vgl. Art. 32 DSGVO).

Damit wir Sie und die Administratoren Ihres Unternehmens auf eine Anmeldung aus einem neuen Land hinweisen können, speichern wir je Benutzerkonto die Länder, aus denen es sich angemeldet hat, mit dem Zeitpunkt der ersten und der letzten Anmeldung von dort, aber ohne IP-Adresse. Ein Land, aus dem seit 365 Tagen keine Anmeldung kam, löschen wir. Ihr Unternehmen kann diesen Hinweis abschalten. Mitarbeitende von Complass sehen bei Anmelde- und Sicherheitsereignissen von Kundenkonten nur die gekürzte IP-Adresse und das daraus ermittelte Land, nie die vollständige IP-Adresse oder den Ort; sie benötigen diese Angaben, um Angriffe auf die Anmeldung zu erkennen und Rückfragen zum Konto zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).

Inhalte, die Ihr Unternehmen im Kundenbereich erfasst (z. B. Projekte, Nachweise, Aufgaben), verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des mit Ihrem Unternehmen geschlossenen Vertrags.

Domain-Check: Im Kundenbereich können Sie Domains Ihres Unternehmens und Ihrer Lieferanten prüfen lassen. Dazu fragen wir öffentliche Quellen ab: Zertifikatsprotokolle über crt.sh, DNS-Einträge über die Resolver DNS4EU und Quad9, und wir rufen je Host die Startseite einmal per HTTPS auf. Übertragen werden dabei nur Domainnamen. Die Verarbeitung erfolgt im Auftrag Ihres Unternehmens nach Art. 28 DSGVO.

Anbindungen: Richtet Ihr Unternehmen Anbindungen ein, übertragen wir Daten in dem dort eingestellten Umfang. Für Anbindungen an Systeme Ihres Unternehmens (zum Beispiel Slack, Jira, ServiceNow, Microsoft Azure oder Amazon Web Services) sind diese Anbieter Empfänger Ihres Unternehmens; wir greifen nur mit den Berechtigungen zu, die Ihr Unternehmen erteilt hat.

Complass-Assistent auf der Website: Auf unseren Websites können Sie dem KI-Assistenten Fragen zu Complass stellen. Der Assistent öffnet sich nur, wenn Sie ihn anklicken, und das Gespräch bleibt beim Seitenwechsel erhalten. Er setzt keine Cookies. Damit das Gespräch beim Wechsel auf eine andere Seite erhalten bleibt, speichert Ihr Browser den Verlauf (Fragen und Antworten) und den Zustand des Fensters nur für die Dauer des Tabs lokal (Session Storage); aus diesem Speicher wird nichts zusätzlich übertragen, und er ist gelöscht, sobald Sie den Tab schließen oder „Neu beginnen“ wählen. Rechtsgrundlage dafür ist § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung für das von Ihnen gestartete Gespräch erforderlich ist. Stellen Sie eine Frage, senden wir die Frage und die bisherigen Fragen des Gesprächs zusammen mit passenden Abschnitten unserer öffentlichen Seiten an unseren Auftragsverarbeiter Anthropic Ireland, Limited, der daraus mit einem Sprachmodell eine Antwort erzeugt. Die Verarbeitung kann in den USA stattfinden; die Übermittlung stützen wir auf EU-Standardvertragsklauseln. Anthropic verwendet die Daten nicht zum Training von Modellen und löscht sie in der Regel innerhalb von 30 Tagen; bei Verstößen gegen die Nutzungsrichtlinien können sie länger gespeichert werden. E-Mail-Adressen, Telefonnummern, IP-Adressen, IBANs und erkennbare Namen ersetzen wir vor dem Versand durch Platzhalter; andere personenbezogene Angaben erkennen wir nicht. Bitte geben Sie deshalb keine personenbezogenen oder vertraulichen Daten ein. Ihre IP-Adresse nutzen wir nur als täglich wechselnden Hashwert zur Begrenzung der Anfragen; er ist nach spätestens 24 Stunden gelöscht. Die maskierte Frage speichern wir 30 Tage ohne Bezug zu Ihrer Person, und wir werten die Nutzung statistisch aus, um den Assistenten zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Fragen zu unserem Angebot). Kann der Assistent nicht antworten, bietet er an, Ihre Frage an unser Team weiterzuleiten. Nur wenn Sie zustimmen, speichern wir Ihre E-Mail-Adresse, Ihren Namen (freiwillig), die Frage und den Verlauf und löschen sie, sobald die Anfrage erledigt ist, spätestens nach 90 Tagen; Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung können Sie jederzeit widerrufen. Antworten sind KI-generiert und können Fehler enthalten; sie sind keine Rechtsberatung.

Löschung auf Wunsch: Administratoren Ihres Unternehmens können unter „Verwaltung → Unternehmen und Daten löschen“ vorher alle Daten exportieren und anschließend die Löschung aller Daten des Unternehmens beantragen (erneute Anmeldung mit Passwort und Zwei-Faktor-Code, Bestätigung per E-Mail, Wartefrist von 7 Tagen, in der die Löschung abgebrochen werden kann). Danach löschen wir alle Inhalte, Nachweisdateien, Benutzerkonten und das Protokoll des Unternehmens und senden eine Löschbestätigung. Ausgenommen sind Rechnungen und Buchungsbelege, die wir und bei einer Online-Buchung unser Zahlungsdienstleister Stripe im Rahmen der gesetzlichen Aufbewahrungsfristen aufbewahren; dafür bleiben Abo und Rechnungsanschrift ohne Personenbezug gespeichert. Verschlüsselte Sicherungen (auf dem Server, als Kopie außerhalb des Servers in Deutschland und als monatliche Offline-Kopie) werden nach spätestens 60 Tagen gelöscht oder überschrieben. Die Offline-Kopie enthält nur den jeweils neuesten Sicherungsstand, liegt verschlüsselt auf einem externen Datenträger, den unsere Geschäftsführung verwahrt, und wird jeden Monat durch den neuen Stand ersetzt. Da jedes Unternehmen in unseren Sicherungen einen eigenen Schlüssel hat, den wir mit der Löschung vernichten, sind Ihre Daten in den meisten Sicherungen schon sofort unlesbar; die Sicherung des Sicherheitsprotokolls folgt dessen Löschfrist von 90 Tagen. Tickets, die Ihr Unternehmen bereits an uns gesendet hat, bewahren wir ohne Personenbezug (anonymisiert) auf. Sie können die Löschung auch jederzeit per E-Mail an info@complass.eu verlangen.

9a. Partnerportal und Partner

Partnerkonten: Für Personen, die bei einem Partner von Complass arbeiten und ein Konto im Partnerportal haben, verarbeiten wir Name, E-Mail-Adresse, Rolle beim Partner, Anmelde- und Sicherheitsdaten (zum Beispiel den zweiten Faktor) und ein Protokoll ihrer Aktionen. Zweck ist die Bereitstellung des Partnerportals und die Erfüllung des Partnervertrags. Rechtsgrundlage ist gegenüber dem Partner Art. 6 Abs. 1 lit. b DSGVO, für die Personen des Partners unser berechtigtes Interesse an einem sicheren Partnerportal (Art. 6 Abs. 1 lit. f DSGVO). Arbeiten diese Personen in einem Kundenunternehmen, geschieht das über Vertretungskonten dieses Kunden; dafür gilt Abschnitt 9, verantwortlich ist das Kundenunternehmen.

Mitteilung an den Partner: Ist ein Kundenunternehmen einem Partner zugeordnet (Partnercode in der Testphase oder bei der Bestellung, oder der Partner hat das Unternehmenskonto angelegt), teilen wir dem Partner Firmenname, gebuchtes Paket, Vertragsstatus, die gezahlten Beträge und die darauf entfallende Provision mit. Bei Einzelunternehmen können das personenbezogene Daten sein. Rechtsgrundlage ist unser berechtigtes Interesse an der Abrechnung der Provision und an der Betreuung durch den Partner (Art. 6 Abs. 1 lit. f DSGVO). Abrechnungsunterlagen bewahren wir nach den handels- und steuerrechtlichen Fristen auf.

10. Ihre Rechte

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ein Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Zudem steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO); einer Verarbeitung zur Direktwerbung können Sie ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO).

11. Kontakt für Datenschutzanfragen

Für Fragen zum Datenschutz erreichen Sie uns unter info@complass.eu.

Einen Datenschutzbeauftragten haben wir nicht benannt, da keine gesetzliche Pflicht dazu besteht.