Datenschutzerklärung
Diese Mitteilung ist seit dem 16. November 2021 in Kraft · Version: 1.0
Das Unternehmen SOOMA.COM – WEB SERVICES, LDA. verarbeitet Ihre personenbezogenen Daten respektvoll, transparent und im Einklang mit der Datenschutz-Grundverordnung (DSGVO). Ihre Daten werden auf Servern in Portugal verarbeitet und gespeichert, Backups werden in Berlin, Deutschland, aufbewahrt, stets innerhalb der Europäischen Union.
1. Verantwortlicher
SOOMA.COM – WEB SERVICES, LDA.
Rua Dom João I, 99
4450-143 Matosinhos
Portugal (EU)
Unternehmensnummer (NIPC): 515 060 445
Telefon: 210 205 164 oder 220 280 335
Email: hello@sooma.com
Website: sooma.com
Kontakt: Fernando Costa
Datenschutzbeauftragter: dpo@sooma.com
Ein Datenschutzbeauftragter wurde förmlich benannt.
2. Personenbezogene Daten, die wir erheben
2.1. Daten, die Sie uns direkt mitteilen
- Identifikationsdaten: Name, Funktion, Unternehmen
- Kontaktdaten: E-Mail-Adresse, Telefonnummer
- Kontodaten: Zugangsdaten für den Dienst und die Verwaltungsoberfläche
- Abrechnungsdaten: Rechnungsadresse, Steuernummer (NIF/NIPC), Zahlungsdaten
- Kommunikation: Nachrichten über die Kontaktformulare und den Support
2.2. Daten, die im Rahmen des E-Mail-Dienstes verarbeitet werden
Als E-Mail-Dienstanbieter speichert und übermittelt Sooma im Auftrag des Kunden den Inhalt von Nachrichten, Anhängen, Kontakten und Kalendern in den Postfächern. Diese Daten:
- werden ausschließlich zur Erbringung des beauftragten Dienstes verarbeitet;
- werden nicht zu kommerziellen Zwecken, zu Werbezwecken oder zur Profilbildung analysiert;
- unterliegen von Gesetzes wegen dem Kommunikationsgeheimnis.
Im Verhältnis zu Geschäftskunden handelt Sooma hinsichtlich der in den Postfächern enthaltenen personenbezogenen Daten als Auftragsverarbeiter (Art. 28 DSGVO), während der Kunde Verantwortlicher ist. Ein Auftragsverarbeitungsvertrag (AVV) steht als Anlage zum Dienstleistungsvertrag zur Verfügung und wird auf Anfrage bereitgestellt.
2.3. Automatisch erhobene Daten
- Nutzungsdaten der Website: besuchte Seiten, Sitzungsdauer
- Technische Daten und Protokolle: IP-Adresse, Browsertyp, Verbindungs- und Zustellprotokolle (Metadaten), erforderlich für Betrieb, Sicherheit und Missbrauchsbekämpfung
- Cookies und ähnliche Technologien: gemäß unserer Cookie-Richtlinie
3. Zwecke und Rechtsgrundlagen der Verarbeitung
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung der E-Mail-, Kalender- und Kontaktdienste | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Ausstellung und Aufbewahrung der Nachweise des E-Mail-Einschreibens (Dienst für die Zustellung elektronischer Einschreiben, Artikel 43 eIDAS) | Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO); berechtigtes Interesse an der Aufbewahrung der Nachweise (Art. 6 Abs. 1 lit. f DSGVO) |
| Abrechnung und Finanzverwaltung | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
| Technischer Support und Kundenservice | Vertragserfüllung / berechtigtes Interesse |
| Netz- und Informationssicherheit, Verhinderung von Missbrauch und Betrug | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO; Erwägungsgrund 49); Erfüllung von Cybersicherheitspflichten (Richtlinie (EU) 2022/2555, NIS2) |
| Marketingkommunikation (Newsletter) | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) |
| Erfüllung gesetzlicher Pflichten und behördlicher Anordnungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
4. Speicherdauer
Wir bewahren jede Datenkategorie nur so lange auf, wie es für den Zweck, der ihre Verarbeitung rechtfertigt, erforderlich oder gesetzlich vorgeschrieben ist.
4.1. Konto-, Vertrags- und Abrechnungsdaten
| Daten | Zweck | Aufbewahrung | Zugriff |
|---|---|---|---|
| Name, E-Mail-Adresse, Kontakt- und Kontodaten | Vertragserfüllung und Kundensupport | Für die Vertragslaufzeit und bis zu 10 Jahre nach Vertragsende | Systemadministration, Kundensupport, Geschäftsleitung |
| Abrechnungs- und Zahlungsdaten | Erfüllung steuerlicher Pflichten | 10 Jahre | Buchhaltung, Geschäftsleitung |
| Kommunikation mit dem Kundensupport | Nachweis und Nachverfolgung der Anfrage | 2 Jahre nach Abschluss der Anfrage | Kundensupport, Systemadministration |
4.2. Inhalte des Dienstes
| Daten | Zweck | Aufbewahrung | Zugriff |
|---|---|---|---|
| Inhalte von Postfächern, Kalendern und Kontakten | Bereitstellung des Dienstes | Laufzeit des Dienstes; Löschung 60 Tage nach Beendigung | Kein Zugriff, außer soweit zur Erbringung des Dienstes zwingend erforderlich oder auf Wunsch des Kunden |
| Nachweise des E-Mail-Einschreibens (Versand- und Zustellzertifikate mit qualifiziertem Zeitstempel) | Nachweis des Versands, der Zustellung und des Inhalts (Dienst für die Zustellung elektronischer Einschreiben, Artikel 43 eIDAS) | 7 Jahre ab Ausstellung, gemäß den Allgemeinen Geschäftsbedingungen; dem Kunden in einem eigenen Ordner seines Postfachs bereitgestellt | Systemadministration |
4.3. Technische Protokolle
Wir speichern keine Verkehrsdaten zu Zwecken der Strafverfolgung. Die nachstehenden Protokolle dienen ausschließlich dazu, den Betrieb des Dienstes sicherzustellen, Missbrauch zu verhindern und auf Sicherheitsvorfälle zu reagieren.
| System | Protokollierte Daten | Zweck | Aufbewahrung | Zugriff |
|---|---|---|---|---|
| Webmail und Verwaltungsoberfläche | Datum, Uhrzeit und IP-Adresse des Zugriffs | Erkennung unbefugter Zugriffe | 14 Tage | Systemadministration, Kundensupport |
| SMTP-Server und Anti-Spam-Filter | Absender, Empfänger, Nachrichtenkennung und Größe. Weder Inhalt noch Betreff werden protokolliert | Nachweis der Zustellung oder des Empfangs bei Beschwerden; Verhinderung von Missbrauch | 14 Tage | Systemadministration, Kundensupport |
| IMAP- und POP3-Server | Konto, Datum, Uhrzeit und IP-Adresse der Verbindung | Prüfung auf unbefugte Zugriffe | 14 Tage | Systemadministration, Kundensupport |
| Website sooma.com | Zugriffsdaten des Webservers | Sicherheit und Betrieb der Website | 14 Tage | Systemadministration |
Nach Ablauf dieser Fristen werden die Protokolle gelöscht oder anonymisiert, es sei denn, sie müssen zur Untersuchung eines konkreten Sicherheitsvorfalls oder zur Erfüllung einer rechtmäßigen Anordnung einer zuständigen Behörde zu bestimmten Daten aufbewahrt werden.
4.4. Sonstiges
| Daten | Aufbewahrung |
|---|---|
| Marketingkommunikation | Bis zum Widerruf der Einwilligung |
| Bewerbungen | Siehe Abschnitt 9 |
5. Weitergabe von Daten an Dritte
Sooma verkauft, vermietet oder tauscht keine personenbezogenen Daten. Daten können weitergegeben werden an:
- Qualifizierte Zertifizierungsstellen (Asseco, Multicert): zur Ausstellung von eIDAS-Zertifikaten, nur die unbedingt erforderlichen Daten
- Zahlungsinstitute: die zur Abwicklung von Zahlungen unbedingt erforderlichen Daten werden an in der Europäischen Union niedergelassene Partnerbanken und bankähnliche Partnerinstitute weitergegeben
- Behörden: wenn gesetzlich vorgeschrieben oder aufgrund einer gültigen gerichtlichen Anordnung einer nach portugiesischem oder europäischem Recht zuständigen Stelle
Die Server von Sooma stehen in Rechenzentren in Portugal, im Rahmen eines Housing-Vertrags (Colocation). Der Betreiber der Einrichtung stellt lediglich Fläche, Strom, Kühlung und physische Sicherheit bereit und hat keinen Zugriff auf die Geräte oder die darauf gespeicherten Daten. Backups werden verschlüsselt in einem Rechenzentrum in Berlin, Deutschland, innerhalb der Europäischen Union aufbewahrt.
5.1. Was wir nicht tun
Zur Klarstellung erklären wir ausdrücklich, dass Sooma:
- keine personenbezogenen Daten an Dritte verkauft, vermietet oder überträgt;
- den Inhalt der Kommunikation nicht zu kommerziellen Zwecken oder Werbezwecken analysiert;
- aus den verarbeiteten Daten keine Nutzerprofile erstellt (Profiling);
- keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber betroffenen Personen trifft;
- Daten nicht für verhaltensbezogene Werbung verwendet, weder eigene noch die Dritter.
6. Internationale Datenübermittlungen
Personenbezogene Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet und gespeichert: in Portugal und, für Backups, in Berlin, Deutschland. Wir übermitteln keine personenbezogenen Daten in Drittländer. Sooma unterliegt keinen extraterritorialen Zugriffsgesetzen von Drittländern (wie dem US CLOUD Act).
7. Ihre Rechte
Nach der DSGVO: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie jederzeitiger Widerruf der Einwilligung.
Datenübertragbarkeit in der Praxis: Die Inhalte von Postfächern, Kalendern und Kontakten können vom Kunden jederzeit selbst über die offenen Protokolle IMAP, CalDAV und CardDAV in gängigen, maschinenlesbaren Formaten exportiert werden, ohne vorherigen Antrag. Für alle übrigen Daten genügt eine Anfrage an den Datenschutzbeauftragten.
Zur Ausübung Ihrer Rechte: dpo@sooma.com. Wir antworten innerhalb von höchstens 30 Tagen. Sie haben außerdem das Recht, eine Beschwerde bei der portugiesischen Datenschutzbehörde CNPD (Comissão Nacional de Proteção de Dados,cnpd.pt).
8. Datensicherheit
Sooma hat geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) umgesetzt, darunter:
- TLS-1.3-Verschlüsselung bei der Übertragung und AES-256-Verschlüsselung im Ruhezustand
- Nach FIPS 140-2 Level 3 zertifizierte Hardware-Sicherheitsmodule (HSM) zur Versiegelung der Nachweise des E-Mail-Einschreibens
- Rollenbasierte Zugriffskontrolle und Protokollierung der Zugriffe
- Regelmäßige Backups und redundante Infrastruktur
- Kontinuierliche Sicherheitsüberwachung
Sooma befindet sich derzeit in der Einführung und Zertifizierung eines ISMS nach ISO/IEC 27001 und in der Ausrichtung auf die Anforderungen der Richtlinie (EU) 2022/2555 (NIS2).
Im Fall einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für die betroffenen Personen zur Folge hat, meldet Sooma dies innerhalb von 72 Stunden an die CNPD (Art. 33 DSGVO) und benachrichtigt die betroffenen Personen, soweit gesetzlich vorgeschrieben (Art. 34).
9. Bewerbungen
- Personenbezogene Daten, die Bewerberinnen und Bewerber initiativ oder auf eine Stellenanzeige hin übermitteln, werden ausschließlich für die Zwecke des Auswahlverfahrens verarbeitet, auf Grundlage vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person.
- Kommt ein Arbeitsvertrag zustande, werden die Daten gemäß dem geltenden Arbeitsrecht aufbewahrt.
- Kommt kein Vertrag zustande, werden die Daten innerhalb von 6 Monaten nach Mitteilung der Entscheidung gelöscht, es sei denn, die Bewerberin oder der Bewerber willigt ausdrücklich in die Aufbewahrung für künftige Gelegenheiten ein.
10. Zugehörige Dokumente
Diese Richtlinie ist zusammen mit den Allgemeinen Nutzungsbedingungen, der Anti-Spam-Richtlinie und der Cookie-Richtlinie zu lesen, die unter sooma.com verfügbar sind. Im Verhältnis zu Geschäftskunden und öffentlichen Einrichtungen gilt zusätzlich der dem Dienstleistungsvertrag beigefügte Auftragsverarbeitungsvertrag (AVV).
11. Änderungen dieser Richtlinie
Diese Richtlinie kann aktualisiert werden. Die geltende Fassung ist stets unter sooma.com verfügbar, mit Angabe des Datums der letzten Aktualisierung. Wesentliche Änderungen werden den Kunden mitgeteilt.