Datenschutzerklärung

Verantwortlicher und Zuständigkeiten

SIA EBL Consulting, Registernummer 50203595801, Kaļķu iela 7, Rīga, LV-1050, Lettland, ist als Verantwortlicher für diejenigen Verarbeitungstätigkeiten personenbezogener Daten zuständig, deren Zwecke und wesentliche Mittel es festlegt, einschließlich der Verwaltung seiner Website, institutioneller Beziehungen und Benutzerkonten.

Kontakt: mail@exanteon.com

Bei Verarbeitungen, die von teilnehmenden Institutionen übermittelte Governance-Aufzeichnungen betreffen, richtet sich die Verteilung der Verantwortlichkeiten zwischen Exanteon und diesen Institutionen nach den Zwecken und Mitteln der jeweiligen Tätigkeit.

Exanteon kann je nach Fall als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter handeln. Diese Verantwortlichkeiten sind durch die entsprechenden vertraglichen Vereinbarungen und Vereinbarungen zur Datenverarbeitung festzulegen.

Soweit Exanteon als Auftragsverarbeiter tätig ist, werden personenbezogene Daten auf dokumentierte Weisung des zuständigen Verantwortlichen und nach Maßgabe des anwendbaren Rechts verarbeitet.

Kategorien und Herkunft der Daten

Exanteon verarbeitet in erster Linie Informationen über juristische Personen und institutionelle Verpflichtungen.

Soweit personenbezogene Daten betroffen sind, können die maßgeblichen Kategorien Folgendes umfassen:

• Berufliche Identifikations- und Kontaktdaten von Vertretern, Administratoren und autorisierten Nutzern.
• Institutionelle Zugehörigkeit, berufliche Funktion, Meldebefugnis und Zugriffsberechtigungen.
• Authentifizierungsdaten des Kontos, technische Kennungen, Zugriffsprotokolle und sicherheitsbezogene Metadaten.
• Kommunikation, Informationen aus dem institutionellen Onboarding und Nachweise über die Annahme von Verträgen.
• Personenbezogene Informationen, die beiläufig in autorisierten institutionellen Erklärungen, in Korrespondenz oder in Governance-Dokumentation enthalten sind.

Informationen können direkt bei den betroffenen Personen erhoben, von teilnehmenden Institutionen übermittelt, durch die Nutzung der Exanteon-Dienste erzeugt oder aus rechtmäßigen institutionellen Identitäts- und Verifizierungsquellen bezogen werden.

Von den Mitgliedern wird erwartet, dass sie nur Informationen übermitteln, die nach dem anwendbaren Protokoll zulässig und für dessen festgelegten Zweck erforderlich sind.

Die Infrastruktur ist nicht dafür bestimmt, besondere Kategorien personenbezogener Daten, individuelle Verbraucherprofile oder persönliche Verhaltensbewertungen zu erfassen. Solche Informationen dürfen nur übermittelt werden, wenn dies ausdrücklich gestattet, rechtlich begründet und durch geeignete Garantien abgesichert ist.

Zwecke der Verarbeitung

Personenbezogene Daten können zu folgenden Zwecken verarbeitet werden:

• Institutionelle Identifikation, Prüfung der Teilnahmeberechtigung und Verwaltung der Mitgliedschaft.
• Authentifizierung autorisierter Vertreter und Verwaltung von Zugriffsberechtigungen.
• Betrieb und Sicherheit der anwendbaren Governance-Protokolle.
• Zurechnung von Übermittlungen, technische Beurkundung und Aufbewahrung autorisierter Aufzeichnungen.
• Verwaltung von Vertragsbeziehungen, Abrechnung und Erfüllung einschlägiger rechtlicher Pflichten.
• Verhinderung, Untersuchung und Bewältigung von unbefugtem Zugriff, Missbrauch und technischen Sicherheitsvorfällen.
• Institutionelle Kommunikation, Anfragen und dienstbezogene Benachrichtigungen.
• Bearbeitung von Anträgen betroffener Personen, Berichtigungen, Widersprüchen und Streitfällen, soweit anwendbar.

Informationen werden nur für festgelegte, legitime Zwecke und auf der jeweils anwendbaren Rechtsgrundlage verarbeitet.

Rechtsgrundlagen der Verarbeitung

Die Rechtsgrundlage hängt von der konkreten Verarbeitungstätigkeit und der jeweiligen Beziehung ab.

Rechtliche Verpflichtungen – Art. 6 Abs. 1 lit. c DSGVO

Verarbeitung, die zur Erfüllung anwendbarer gesetzlicher Pflichten erforderlich ist, einschließlich einschlägiger buchhalterischer, rechtlicher und regulatorischer Anforderungen.

Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO

Verarbeitung, die für legitime Zwecke wie institutionelle Verwaltung, berufliche Kommunikation, Kontosicherheit, Schutz der Integrität der Infrastruktur und Verhinderung von Missbrauch erforderlich ist, sofern nicht die Rechte und Freiheiten der betroffenen Personen überwiegen.

Vertragliche Erforderlichkeit – Art. 6 Abs. 1 lit. b DSGVO

Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage erforderlich ist, soweit diese Rechtsgrundlage greift.

Ein mit einer juristischen Person geschlossener Vertrag macht die vertragliche Erforderlichkeit nicht automatisch zur geeigneten Rechtsgrundlage für die Verarbeitung personenbezogener Daten aller ihrer Vertreter.

Einwilligung – Art. 6 Abs. 1 lit. a DSGVO

Verarbeitung auf Grundlage einer wirksamen Einwilligung, soweit erforderlich, einschließlich bestimmter optionaler Mitteilungen oder nicht notwendiger Tracking-Technologien.

Die Einwilligung kann jederzeit widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Soweit Exanteon personenbezogene Daten im Auftrag eines anderen Verantwortlichen verarbeitet, bleibt dieser Verantwortliche dafür zuständig, eine geeignete Rechtsgrundlage für diese Verarbeitung sicherzustellen.

Organisationsbezogene Indikatoren und Profiling

Exanteon ist dafür konzipiert, institutionelle Verpflichtungen und deren anschließend gemeldete Entwicklung zu erfassen, nicht das Verhalten einzelner Verbraucher zu bewerten.

Bestimmte Governance-Protokolle können aus zurechenbaren Erklärungen und gemeldeten Ereignissen definierte organisationsbezogene Indikatoren erzeugen.

Diese Indikatoren beziehen sich auf den jeweiligen institutionellen Meldungsrahmen und stellen keine unabhängige Überprüfung oder Zertifizierung von Verhalten dar.

Exanteon ist nicht dafür konzipiert, ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungen zu treffen, die gegenüber natürlichen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

Soweit eine Verarbeitung ein Profiling im Sinne der DSGVO darstellt, gelten die einschlägigen Anforderungen an Transparenz, Rechtsgrundlage und Datenschutz.

Die Verwendung organisationsbezogener Indikatoren hebt den Schutz der DSGVO nicht auf, soweit Informationen identifizierbaren natürlichen Personen zugeordnet werden können.

Technische Beurkundung und Tokenisierung

Exanteon nutzt technische Erfassungs- und Beurkundungsmechanismen, um Nachweise über übermittelte Informationen, ihre zugeordnete Quelle, ihre Integrität und den Zeitpunkt ihrer Erfassung zu sichern.

Kryptografische Referenzen, Hashwerte, Token oder andere technische Kennungen können verwendet werden, soweit die jeweilige Implementierung dies unterstützt.

Die technische Beurkundung betrifft die Aufzeichnung. Sie belegt nicht unabhängig die Wahrheit, Richtigkeit oder Rechtsgültigkeit der zugrunde liegenden Erklärung.

Tokenisierung, Hashing oder Pseudonymisierung machen Informationen nicht zwingend anonym. Solange eine Person identifizierbar bleibt, werden die betreffenden Informationen weiterhin als personenbezogene Daten behandelt.

Die technischen Nachweismechanismen von Exanteon sind nicht dazu bestimmt, handelbare Finanzinstrumente zu schaffen oder eine rechtliche Zertifizierung des zugrunde liegenden institutionellen Verhaltens zu verleihen.

Empfänger, Dienstleister und Verbindung zu heyData

Personenbezogene Daten können, soweit erforderlich und rechtlich zulässig, zugänglich sein für:

• Autorisierte Mitarbeitende von Exanteon und Dienstadministratoren.
• Beauftragte Anbieter für Hosting, Infrastruktur, Authentifizierung, Sicherheit und technische Dienstleistungen.
• Zahlungs-, Buchhaltungs-, Rechts- und sonstige professionelle Dienstleister, soweit relevant.
• Autorisierte teilnehmende Institutionen oder andere Empfänger im Rahmen festgelegter Protokoll-Zugriffsregelungen.
• Zuständige Behörden, soweit eine Offenlegung gesetzlich vorgeschrieben oder anderweitig rechtmäßig gestattet ist.

Dienstleister, die personenbezogene Daten im Auftrag von Exanteon verarbeiten, unterliegen angemessenen vertraglichen und datenschutzrechtlichen Pflichten.

Soweit teilnehmende Institutionen Informationen für eigene Zwecke erhalten, können sie eigene datenschutzrechtliche Verantwortlichkeiten haben.

Verbindung zu heyData

SIA EBL Consulting unterhält eine Affiliate- oder Partnerbeziehung mit heyData, einem Anbieter von Datenschutz- und Compliance-Dienstleistungen.

Diese Verbindung stellt für sich genommen weder eine DSGVO-Zertifizierung noch eine Benennung von heyData als Datenschutzbeauftragten von Exanteon noch eine Befugnis zur Weitergabe von Informationen über Exanteon-Mitglieder an heyData dar.

Etwaige gesonderte Verarbeitungs-, Beratungs- oder Datenschutzdienstleistungen unter Beteiligung von heyData unterliegen den jeweiligen vertraglichen Vereinbarungen und den anwendbaren gesetzlichen Anforderungen.

Übermittlungen in Drittländer

Werden personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt, wendet Exanteon die Anforderungen von Kapitel V DSGVO an.

Je nach Empfänger und Bestimmungsland können als rechtmäßige Übermittlungsmechanismen insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission, genehmigte Standardvertragsklauseln oder andere anwendbare Garantien in Betracht kommen.

Zusätzliche Maßnahmen werden geprüft, soweit die Umstände der Übermittlung dies erfordern.

Informationen über die anwendbaren Garantien für Übermittlungen können über den Datenschutzkontakt von Exanteon angefordert werden.

Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Verarbeitungszweck erforderlich ist, vorbehaltlich anwendbarer gesetzlicher Pflichten und begründeter Aufbewahrungsanforderungen.

Die Speicherdauer richtet sich nach der Kategorie der Informationen und ihrem Zweck.

Konto- und Mitgliedschaftsdaten werden für die Dauer der jeweiligen institutionellen Beziehung und, soweit begründet, für anschließende vertragliche, rechtliche oder administrative Anforderungen gespeichert.

Abrechnungs- und Buchhaltungsdaten werden entsprechend den anwendbaren gesetzlichen Pflichten aufbewahrt.

Authentifizierungs- und Sicherheitsprotokolle werden für festgelegte Zeiträume gespeichert, die in angemessenem Verhältnis zu den Anforderungen der Betriebssicherheit und der Untersuchung von Vorfällen stehen.

Governance-bezogene personenbezogene Daten werden nach Maßgabe der anwendbaren Protokollbedingungen, berechtigter Nachweiszwecke, vertraglicher Verantwortlichkeiten und datenschutzrechtlicher Anforderungen gespeichert.

Der dauerhafte Charakter einer Exanteon-Governance-Aufzeichnung setzt zwingende Betroffenenrechte und rechtmäßige Speicherbegrenzungen nicht außer Kraft.

Soweit eine Berichtigung, Einschränkung oder Löschung erforderlich ist, wendet Exanteon die einschlägigen Verfahren entsprechend seiner rechtlichen Rolle und den anwendbaren Verarbeitungsvereinbarungen an.

Grundsätze zur Kommerzialisierung und Offenlegung von Daten

SIA EBL Consulting betreibt Exanteon weder als Marktplatz für personenbezogene Daten noch als kommerziellen Datenhandelsdienst.

Die Infrastruktur ist darauf ausgelegt, Dienste zur Governance-Aufzeichnung, technischen Beurkundung und kontrollierten Beobachtbarkeit bereitzustellen.

Personenbezogene Daten und institutionelle Governance-Informationen werden nicht als kommerzielle Datensätze an unbeteiligte Dritte verkauft oder vermietet.

Der Zugang zu Governance-Aufzeichnungen richtet sich nach den anwendbaren Protokollbedingungen, Autorisierungsregelungen, Vertraulichkeitspflichten und gesetzlichen Anforderungen.

Je nach den Umständen kann der Zugang auf wirksamen vertraglichen Berechtigungen, einer geeigneten Rechtsgrundlage, einer anwendbaren Einwilligung oder einem anderen rechtmäßigen Offenlegungsmechanismus beruhen.

Eine institutionelle Autorisierung ersetzt nicht die gesetzlichen Rechte identifizierbarer natürlicher Personen.

Kein Protokoll gewährt allein aufgrund der Teilnahme uneingeschränkten öffentlichen Zugang zu allen erfassten Informationen.

Cookies und Website-Technologien

Die Exanteon-Website und die authentifizierte Plattform können Technologien verwenden, die für Funktionalität, Authentifizierung, Sicherheit und Nutzereinstellungen erforderlich sind.

Optionale Analysewerkzeuge, Integrationen Dritter oder andere nicht notwendige Tracking-Technologien unterliegen den anwendbaren Transparenz- und Einwilligungsanforderungen.

Soweit eine Einwilligung erforderlich ist, dürfen nicht notwendige Technologien erst aktiviert werden, nachdem eine wirksame Einwilligung eingeholt wurde.

Nutzer müssen ihre Einwilligung über einen leicht zugänglichen Mechanismus widerrufen können.

Informationen über die tatsächlich eingesetzten Cookies und ähnlichen Technologien, deren Anbieter, Zwecke und Speicherdauer werden über die jeweiligen Cookie-Informationen und Einstellungsmöglichkeiten bereitgestellt.

Sicherheit und Datenschutz durch Technikgestaltung

Die Governance-Architektur von Exanteon beruht auf institutioneller Zurechenbarkeit, festgelegten Zugriffsberechtigungen, Datenminimierung und der Trennung der Erfassungsfunktionen von nachgelagerten Entscheidungen.

Angemessene technische und organisatorische Maßnahmen müssen der Art der verarbeiteten Informationen und den damit verbundenen Risiken Rechnung tragen.

Dazu können je nach den implementierten Systemen Authentifizierung, beschränkter Zugriff, Audit-Protokollierung, Integritätsschutz, sichere Kommunikation und Verfahren zur Reaktion auf Vorfälle gehören.

Die unabhängige Erfassungsinfrastruktur von Exanteon bedeutet keine uneingeschränkte Offenlegung von Daten.

Sicherheitsvorkehrungen und datenschutzrechtliche Verantwortlichkeiten können in anwendbaren vertraglichen Unterlagen oder in Unterlagen zur institutionellen Due-Diligence-Prüfung näher dokumentiert werden.

Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO Rechte, vorbehaltlich der jeweils geltenden Voraussetzungen und Einschränkungen.

Dazu gehören das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und gegebenenfalls Datenübertragbarkeit.

Betroffene Personen können ihre Einwilligung widerrufen, soweit die Verarbeitung auf einer Einwilligung beruht, und ihre Rechte im Zusammenhang mit maßgeblichen automatisierten Entscheidungen ausüben.

Anfragen können gerichtet werden an:

mail@exanteon.com

Exanteon prüft Anfragen entsprechend seiner Rolle bei der jeweiligen Verarbeitungstätigkeit.

Ist eine andere teilnehmende Institution der zuständige Verantwortliche, kann Exanteon die Anfrage im Einklang mit den anwendbaren vertraglichen und gesetzlichen Pflichten weiterleiten oder bei ihrer Bearbeitung unterstützen.

Anfragen werden innerhalb der nach der DSGVO geltenden Fristen bearbeitet. Eine Identitätsprüfung kann verlangt werden, soweit dies erforderlich und verhältnismäßig ist.

Beschwerden

Personen, die der Auffassung sind, dass ihre personenbezogenen Daten rechtswidrig verarbeitet wurden, können sich unter der oben angegebenen Adresse an Exanteon wenden.

Sie haben zudem das Recht, Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde einzulegen.

Für Verarbeitungen, die der Aufsicht in Lettland unterliegen, ist die zuständige Behörde:

Datu valsts inspekcija — Staatliche Datenschutzinspektion Lettlands

Website: https://www.dvi.gov.lv/en

Betroffene Personen können sich gegebenenfalls auch an die zuständige Aufsichtsbehörde in einem anderen Mitgliedstaat der EU oder des EWR wenden.

Weiterführende Dokumentation

Weitere Informationen zur vertraglichen Teilnahme, zum institutionellen Zugang und zu operativen Verantwortlichkeiten enthalten die Nutzungsbedingungen, der Rechtliche Hinweis und das Impressum von Exanteon sowie die anwendbaren Mitgliedschafts- oder Protokollvereinbarungen.