Datenschutzerklärung

[Name / Firma – im Adminpanel unter Admin-Daten eintragen], Deutschland
E-Mail: [im Adminpanel eintragen]

Ein:e Datenschutzbeauftragte:r ist nicht benannt, da keine gesetzliche Pflicht besteht. Anfragen richtest du an die oben genannte E-Mail-Adresse.

Für diese Website, die Registrierung und die Vertragsabwicklung sind wir Verantwortlicher im Sinne der DSGVO. Die Personaldaten, die Organisationen in Stravira verwalten (Mitarbeitende, Bewerbende, Dokumente), verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO im Auftrag und auf Weisung der jeweiligen Organisation. Für diese Daten ist die Organisation verantwortlich; Betroffene wenden sich mit Anliegen zunächst an sie. Die Einzelheiten regelt der Auftragsverarbeitungsvertrag.

Stravira läuft auf Servern der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, in einem Rechenzentrum in Deutschland. Alle Daten – Datenbank und Dateien – werden ausschließlich in Deutschland gespeichert. Mit dem Hosting-Dienstleister besteht ein Vertrag zur Auftragsverarbeitung.

• Übertragung ausschließlich verschlüsselt per HTTPS (TLS); auch die Verbindung zur Datenbank ist TLS-verschlüsselt.
• Passwörter werden nur als scrypt-Hash, API-Schlüssel nur als SHA-256-Hash gespeichert.
• Strikte Trennung der Organisationen, Rollen mit Geltungsbereich, gesonderte Rechte für Gesundheits- und Vergütungsdaten, Protokollierung sicherheitsrelevanter Vorgänge.

Beim Aufruf verarbeitet der Server technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben), um die Website auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Wir setzen keine Analyse-, Tracking- oder Werbedienste ein und binden keine externen Schriften oder Skripte von Drittanbietern ein.

• stravira_session – technisch notwendiges Sitzungs-Cookie nach der Anmeldung (HttpOnly, maximal 14 Tage). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.
• Im lokalen Speicher deines Browsers merken wir uns nur Darstellungswünsche (helles/dunkles Design, auf- oder zugeklappte Bereiche). Diese Angaben verlassen deinen Browser nicht.

Eine Einwilligung ist dafür nicht erforderlich; ein Cookie-Banner entfällt, weil keine optionalen Cookies verwendet werden.

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort (als Hash), Unternehmensname, Branche und Unternehmensgröße, um das Konto bereitzustellen und den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Anmeldungen und sicherheitsrelevante Aktionen protokollieren wir mit Zeitpunkt und IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Rechnungsrelevante Daten bewahren wir nach den handels- und steuerrechtlichen Fristen (bis zu 10 Jahre) auf.

Über das Formular unter /enterprise verarbeiten wir Name, geschäftliche E-Mail-Adresse, Unternehmen, optional Telefonnummer und Mitarbeiterzahl sowie deine Nachricht, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Telefonnummer und Nachricht werden verschlüsselt gespeichert. Zum Schutz vor Missbrauch speichern wir statt der IP-Adresse nur einen nicht umkehrbaren Hashwert. Die Angaben löschen wir, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten bestehen.

Bezahlte Tarife wickeln wir über Stripe Payments Europe, Ltd. (Dublin, Irland) ab. Bei der Buchung gibst du Zahlungs- und Rechnungsdaten direkt bei Stripe ein; Stravira speichert keine Karten- oder Kontodaten, sondern nur Kunden- und Abo-Kennungen, Tarif, Plätze und Status. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe kann Daten auch in den USA verarbeiten; Grundlage sind die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

Organisationen können Karriereseiten betreiben. Bewerbungen dort werden im Auftrag der jeweiligen Organisation verarbeitet (siehe Ziffer 2). Bewerbende stimmen der Verarbeitung beim Absenden zu; die Daten werden standardmäßig 6 Monate nach Abschluss des Verfahrens zur Löschung vorgemerkt.

Wir geben personenbezogene Daten nur weiter, soweit das für den Betrieb erforderlich ist (Hosting), gesetzlich vorgeschrieben ist oder die Organisation es selbst einrichtet (z. B. Webhooks oder API-Zugriffe an eigene Systeme). Ein Verkauf von Daten findet nicht statt.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Diese Erklärung wird automatisch aktualisiert, wenn sich unsere Angaben oder die eingesetzten Dienste ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung.