Diese Erklärung gilt für die Webanwendung dikroma. Sie ist auf die derzeit tatsächlich eingesetzten Funktionen zugeschnitten und ersetzt keine individuelle Rechtsberatung.
01
Verantwortung und Rollen
Verantwortlich für Kontodaten und den technischen Betrieb von dikroma ist:
unscharf agSeestrasse 1878700 Küsnacht ZHSchweizunscharf.netDatenschutzbeauftragter: André Zeiger. Datenschutzanfragen können an zeiger@unscharf.net gerichtet werden.
Für Kontakt-, Lead- und Kommunikationsdaten, die ein Workspace-Nutzer in dikroma eingibt oder über Instantly übermittelt, ist grundsätzlich der jeweilige Workspace-Betreiber datenschutzrechtlich verantwortlich. Dikroma verarbeitet diese Daten in dessen Auftrag und nach dessen Konfiguration.
02
Welche Daten verarbeitet werden
Name, E-Mail-Adresse, Passwort-Hash, Sitzungskennung sowie Sicherheitsmetadaten wie IP-Adresse und Browserkennung.
Kontaktdaten, Unternehmen, Notizen, Tags, Aufgaben, Opportunities und benutzerdefinierte Felder.
Instantly-Ereignisse, Betreffzeilen, übermittelte Nachrichteninhalte, Öffnungen, Klicks, Antworten und Statusänderungen.
Webhook-Status, Fehler, Wiederholungsversuche, API-Schlüsselnutzung und technische Zeitstempel.
Dikroma ist nicht für die planmässige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO vorgesehen. Solche Daten sollten nicht in Freitextfeldern gespeichert werden.
03
Zwecke und Rechtsgrundlagen
- Bereitstellung des Kontos und CRM-Dienstes: Vertragserfüllung oder vorvertragliche Massnahmen, Art. 6 Abs. 1 lit. b DSGVO.
- Kontakt- und Vertriebsorganisation: die vom Workspace-Betreiber festgelegte Rechtsgrundlage, häufig berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder Einwilligung nach lit. a.
- Sicherheit, Missbrauchsschutz und Fehlerdiagnose: berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
- Gesetzliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO, soweit Aufbewahrungs- oder Nachweispflichten bestehen.
Kontaktdaten stammen vom Workspace-Nutzer, aus dessen zulässigen Quellen oder aus dem verbundenen Instantly-Konto. Werden Daten nicht direkt bei einer Person erhoben, muss der verantwortliche Workspace-Betreiber die Informationspflichten nach Art. 14 DSGVO beachten.
04
Empfänger, Auftragsverarbeiter und Ausland
Hosting, Auslieferung und Serverfunktionen. Je nach Ausführung kann eine Verarbeitung in den USA oder weiteren Ländern stattfinden.
Vercel DPAVerwaltete PostgreSQL-Datenbank und Datenspeicherung.
Neon DPANur bei aktivierter Integration: Übermittlung von Kampagnen- und E-Mail-Ereignissen an dikroma.
Instantly DPABei Übermittlungen ausserhalb der Schweiz, des EWR oder in Länder ohne angemessenes Datenschutzniveau sind angemessene Garantien erforderlich, insbesondere Standardvertragsklauseln und ergänzende Schutzmassnahmen. Workspace-Betreiber müssen die für ihre Anbieter geltenden Auftragsverarbeitungsverträge abschliessen und aktuell halten.
05
Aufbewahrung und Löschung
- Sitzungen laufen regulär nach sieben Tagen ab.
- Webhook- und Aktivitätsdaten werden standardmässig 365 Tage aufbewahrt; Administratoren können zwischen 30 und 3.650 Tagen konfigurieren und Altdaten bereinigen.
- CRM-Daten bleiben bis zur Löschung durch den Workspace-Betreiber, einer berechtigten Betroffenenanfrage oder der Beendigung des Kontos gespeichert, soweit keine gesetzlichen Pflichten entgegenstehen.
- Widerrufene API-Schlüssel bleiben als Sicherheitsnachweis ohne nutzbaren Klartextzugriff protokolliert.
06
Rechte betroffener Personen
Betroffene Personen können – abhängig von den gesetzlichen Voraussetzungen – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen sowie eine Einwilligung mit Wirkung für die Zukunft widerrufen. Gegen Direktwerbung kann jederzeit widersprochen werden.
Anfragen werden grundsätzlich innerhalb eines Monats beantwortet. Zur Vermeidung unbefugter Offenlegung kann ein Identitätsnachweis erforderlich sein. Bei CRM-Kontakten wird die Anfrage an den verantwortlichen Workspace-Betreiber weitergeleitet.
Es besteht zudem ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; im EWR kann die Behörde am Aufenthalts-, Arbeits- oder mutmasslichen Verstossort angerufen werden.
07
Technische und organisatorische Sicherheit
Trotz angemessener Schutzmassnahmen kann kein System absolute Sicherheit garantieren. Datenschutzverletzungen werden dokumentiert und – sofern gesetzlich erforderlich – innerhalb der geltenden Fristen an Behörden und betroffene Personen gemeldet.
09
Pflichten des Workspace-Betreibers
Dikroma unterstützt Datenschutzprozesse technisch, macht die Nutzung aber nicht automatisch rechtskonform. Vor dem produktiven Einsatz mit echten Leads muss der Betreiber insbesondere:
- für jede Datenquelle und Vertriebsansprache eine Rechtsgrundlage dokumentieren;
- Kontakte spätestens bei der ersten Kommunikation beziehungsweise innerhalb eines Monats transparent informieren;
- Widersprüche und Sperrlisten respektieren und nicht erneut importieren;
- ein Verzeichnis der Verarbeitungstätigkeiten und ein Löschkonzept führen;
- Auftragsverarbeitungsverträge mit Dikroma und verbundenen Diensten abschliessen;
- prüfen, ob eine Datenschutz-Folgenabschätzung oder ein Datenschutzbeauftragter erforderlich ist;
- einen Prozess für Betroffenenanfragen und Datenschutzverletzungen festlegen.