Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO für diese Website und die Anwendung Kordanto ist:

Max Kiel – Kordanto c/o Online-Impressum 11083 Europaring 90 53757 Sankt Augustin

E-Mail: kontakt@kordanto.com Telefon: 015679 594026

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor (keine zehn ständig mit der automatisierten Verarbeitung beschäftigten Personen). Für alle Anliegen zum Datenschutz ist die oben genannte Adresse zuständig.

2. Zwei Rollen: bitte zuerst lesen

Kordanto verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen. Welche Rechte Sie uns gegenüber geltend machen können, hängt davon ab, um welche Daten es geht:

a) Als Verantwortlicher für die Daten der Personen, die ein Nutzerkonto bei Kordanto haben, also der Mitarbeiterinnen und Mitarbeiter unserer Kundenbetriebe, die sich anmelden. Für diese Daten gilt diese Datenschutzerklärung unmittelbar.

b) Als Auftragsverarbeiter für die Daten, die unsere Kundenbetriebe in Kordanto einpflegen, insbesondere Lieferanten und deren Ansprechpartner. Für diese Daten ist der jeweilige Kundenbetrieb der Verantwortliche, nicht wir. Wir verarbeiten sie ausschließlich auf dessen Weisung auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Wenn Sie Ansprechpartner bei einem Lieferanten sind und wissen möchten, warum Ihre Daten in Kordanto gespeichert sind, richten Sie Ihre Anfrage bitte an den Betrieb, der Sie als Lieferanten führt. Erreichen uns solche Anfragen dennoch, leiten wir sie unverzüglich an den verantwortlichen Betrieb weiter und teilen Ihnen mit, an wen.

Sicherung der Verbindung. Sämtliche Kommunikation mit unseren Servern ist durchgehend TLS-verschlüsselt (HTTPS).

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Website (Server-Protokolle)

Beim Aufruf unserer Seiten werden technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browsertyp). Diese Daten fallen bei unserem Hosting-Anbieter an und sind erforderlich, um die Seite auszuliefern und Angriffe abzuwehren.

• Rechtsgrundlage: berechtigtes Interesse an Bereitstellung und Sicherheit, Art. 6 Abs. 1 lit. f DSGVO
• Empfänger: Vercel (Hosting)
• Speicherdauer: 1 Stunde

Begrenzung der Aufrufhäufigkeit. Um Anmeldung, Registrierung, „Passwort vergessen" und das erneute Senden der Bestätigungsmail gegen automatisiertes Durchprobieren und massenhaften Mailversand zu schützen, zählen wir die Zahl der Versuche je IP-Adresse. Dazu speichern wir in unserer eigenen Datenbank einen Zähler zu einem Schlüssel aus Regelname und IP-Adresse. Es findet keine Auswertung und keine Zusammenführung mit anderen Daten statt.

• Rechtsgrundlage: berechtigtes Interesse an der Abwehr missbräuchlicher Zugriffe, Art. 6 Abs. 1 lit. f DSGVO
• Empfänger: Supabase (Datenbank, EU-Region)
• Speicherdauer: wenige Minuten; die Einträge laufen mit dem jeweiligen Zeitfenster aus

3.2 Nutzerkonto und Anmeldung

Für die Registrierung und Nutzung verarbeiten wir Name, E-Mail-Adresse, Ihr Passwort (ausschließlich als kryptografischer Hash), Ihre Firmenzugehörigkeit und Ihre Rolle im Betrieb (Administrator oder Mitarbeiter). Die Passwortverwaltung übernimmt Supabase Auth; ein Klartextpasswort wird zu keinem Zeitpunkt gespeichert oder protokolliert.

• Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
• Empfänger: Supabase (Datenbank und Authentifizierung, EU-Region)
• Speicherdauer: für die Dauer des Kontos, danach siehe Abschnitt 5

3.3 Daten Ihres Betriebs in der Anwendung

Innerhalb Ihres Betriebskontos werden Lieferantenstammdaten, Bewertungen, Bewertungskriterien und Erinnerungsregeln verarbeitet. Soweit darin personenbezogene Daten enthalten sind (Name, E-Mail, Telefonnummer eines Ansprechpartners beim Lieferanten), handeln wir als Auftragsverarbeiter Ihres Betriebs (siehe Abschnitt 2 b).

Die Trennung zwischen den Betrieben wird auf Datenbankebene erzwungen (Row Level Security), nicht allein durch die Anwendungslogik. Ein Betrieb kann die Daten eines anderen Betriebs nicht einsehen.

• Rechtsgrundlage: Weisung des verantwortlichen Betriebs gemäß Auftragsverarbeitungsvertrag
• Empfänger: Supabase (EU-Region)
• Speicherdauer: siehe Abschnitt 5

3.4 Transaktionale E-Mails

Wir versenden Bestätigungs-, Einladungs- und Erinnerungsmails sowie Systembenachrichtigungen (etwa Vorwarnungen vor Ablauf der Testphase, Hinweise auf eine fehlgeschlagene Zahlung oder Vorwarnungen vor der Löschung eines Kontos). Dafür werden Name, E-Mail-Adresse und der Mailinhalt an unseren Versanddienstleister übergeben.

• Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
• Empfänger: Resend (Resend Inc., USA)
• Drittlandtransfer: ja, siehe Abschnitt 4
• Speicherdauer: 30 Tage

Es findet kein Werbe- oder Newsletterversand statt. Alle Mails sind an die Nutzung des Dienstes gebunden.

3.5 Fehlerüberwachung

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Erfasst werden Fehlermeldungen und technische Metadaten. Die Erfassung ist bewusst datenminimierend konfiguriert: Formularinhalte, Datenbank-Abfragewerte und lokale Variablen aus Fehlerberichten werden nicht übertragen; Suchbegriffe aus Adresszeilen und Konfliktwerte aus Datenbankmeldungen werden vor dem Versand entfernt. Die Aufzeichnung von Bildschirminhalten (Session Replay) ist deaktiviert.

• Rechtsgrundlage: berechtigtes Interesse an Systemsicherheit und Fehlerbehebung, Art. 6 Abs. 1 lit. f DSGVO
• Empfänger: Functional Software, Inc. (Sentry); Datenspeicherung in der EU
• Drittlandtransfer: ja, siehe Abschnitt 4
• Speicherdauer: 30 Tage (Developer-Tarif)

3.6 Kontaktaufnahme

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

• Rechtsgrundlage: Vertragsanbahnung oder -erfüllung (Art. 6 Abs. 1 lit. b) bzw. berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f)
• Empfänger: goneo (Mailhosting, Deutschland)
• Speicherdauer: 12 Monate nach abschließender Bearbeitung

3.7 Zahlungsabwicklung

Für den Abschluss und die Verwaltung eines kostenpflichtigen Abonnements setzen wir den Zahlungsdienstleister Stripe ein.

Zahlungsdaten erreichen uns nicht. Die Eingabe von Karten- oder Kontodaten erfolgt ausschließlich auf einer von Stripe betriebenen Seite, auf die wir Sie weiterleiten. Wir sehen und speichern diese Daten zu keinem Zeitpunkt.

An Stripe übermittelt werden die E-Mail-Adresse der Person, die das Abonnement abschließt, sowie eine interne Kennung Ihres Betriebs zur Zuordnung der Zahlung. Bei uns gespeichert werden im Gegenzug nur die Kunden- und Abonnementkennung von Stripe, der Status des Abonnements und das Datum, bis zu dem es bezahlt ist; dazu die Kennungen der von Stripe gemeldeten Ereignisse, damit dieselbe Meldung nicht doppelt verarbeitet wird.

• Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung der Rechnungsdaten zusätzlich rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO
• Empfänger: Stripe Payments Europe, Ltd. (Irland); zur Diensterbringung übermittelt Stripe Daten auch an sein verbundenes Unternehmen Stripe, LLC (USA)
• Drittlandtransfer: ja, siehe Abschnitt 4
• Speicherdauer: Rechnungs- und Abrechnungsdaten 8 Jahre aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten; die übrigen Angaben für die Dauer des Vertragsverhältnisses, danach siehe Abschnitt 5

4. Empfänger und Drittlandtransfer

Mit allen genannten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Eine Weitergabe an andere Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

5. Speicherdauer

Maßgeblich ist unser Löschkonzept. Die wichtigsten Fristen:

• Endet das Vertragsverhältnis eines Betriebs, werden sämtliche Daten dieses Betriebs (Nutzerkonten, Lieferanten, Bewertungen, Erinnerungsregeln und die zugehörigen Anmeldekonten) nach 30 Tagen vollständig gelöscht, nicht nur archiviert. Das gilt unabhängig davon, ob der Betrieb selbst gekündigt hat oder der Vertrag automatisch endet, weil die Testphase abgelaufen ist oder eine Zahlung endgültig ausgeblieben ist. Innerhalb dieser 30 Tage kann ein Administrator die Kündigung selbst zurücknehmen; die Daten sind dann unverändert vorhanden. Vor Ablauf verschicken wir eine Vorwarnung.
• Einzelne Nutzerkonten löscht ein Administrator des Betriebs; die Löschung wirkt sofort und umfasst das Anmeldekonto.
• Einzelne Lieferanten und deren Bewertungen können Nutzer des Betriebs jederzeit selbst löschen.
• Rechnungs- und Abrechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten (8 Jahre). Sie werden für die weitere Verarbeitung gesperrt statt gelöscht.

Hinweis zu Sicherungskopien: Eine Löschung im laufenden System entfernt Daten nicht rückwirkend aus bereits erstellten Datenbanksicherungen. Diese laufen mit der Rotation der Sicherungen aus. Aus einer Sicherung wiederhergestellte, zuvor gelöschte Daten werden erneut gelöscht.

Hinweis zum Löschnachweis: Um die Einhaltung der 30-Tage-Frist belegen zu können, halten wir nach einer Löschung fest, wann gekündigt und wann gelöscht wurde, sowie die Zahl der betroffenen Konten. Dieser Nachweis enthält weder Namen noch Firmenbezeichnung noch sonstige personenbezogene Daten und lässt keinen Rückschluss auf die gelöschten Datensätze zu.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).

Praktisch umgesetzt:

• Auskunft und Datenübertragbarkeit: Angemeldete Nutzer können unter „Mein Konto" jederzeit selbst einen vollständigen, maschinenlesbaren Export ihrer Daten herunterladen. Auf Wunsch stellen wir ihn auch per Mail zu.
• Berichtigung: Name und E-Mail-Adresse sind im Konto selbst änderbar.
• Löschung: siehe Abschnitt 5.

Anfragen richten Sie formlos an kontakt@kordanto.com. Wir antworten innerhalb eines Monats. Betrifft Ihre Anfrage Lieferantendaten, beachten Sie bitte Abschnitt 2 b.

Beschwerderecht: Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

7. Cookies und Tracking

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein und binden keine Analysedienste ein. Es gibt daher keinen Cookie-Banner.

Verwendet werden ausschließlich technisch notwendige Cookies, die für die Anmeldung und die Sitzungsverwaltung erforderlich sind. Ihre Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, sie bedürfen keiner Einwilligung.

Auch die Zahlungsabwicklung ändert daran nichts: Der Abschluss eines Abonnements und die Verwaltung der Zahlungsdaten finden auf einer von Stripe betriebenen Seite statt, auf die wir Sie weiterleiten. Etwaige Cookies, die Stripe dort zur Betrugserkennung setzt, werden auf der Domain von Stripe gesetzt, nicht auf unserer, und unterliegen der Datenschutzerklärung von Stripe. Wir binden keine Skripte von Stripe in unsere eigenen Seiten ein.

8. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Der von Kordanto berechnete Lieferanten-Score ist eine reine Rechenoperation aus den Werten, die Nutzer des Kundenbetriebs selbst eingegeben haben, und dient der Vorbereitung menschlicher Entscheidungen. Er erzeugt keine rechtliche Wirkung gegenüber den bewerteten Personen.

9. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die beschriebene Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.