Präambel

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten (kurz „Daten") wir zu welchen Zwecken und in welchem Umfang verarbeiten. Sie gilt für die Erbringung unserer Leistungen, für unsere Website trulyxd.com und für unsere Profile in sozialen Netzwerken (zusammen „Onlineangebot").

Die verwendeten Begriffe sind nicht geschlechtsspezifisch.

Stand: 21. Oktober 2026

Jennifer Moss, Truly XD Studio B 7, 2 68159 Mannheim Deutschland

E-Mail: sayhello@trulyxd.com

Impressum: trulyxd.com/impressum

Eine Datenschutzbeauftragte ist nicht bestellt, da keine gesetzliche Pflicht dazu besteht. Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.

Die folgende Übersicht fasst die Arten der verarbeiteten Daten, die betroffenen Personen und die Zwecke zusammen. Einzelheiten stehen in den jeweiligen Abschnitten.

Arten der verarbeiteten Daten: Bestandsdaten; Kontaktdaten; Inhaltsdaten; Vertragsdaten; Zahlungsdaten; Nutzungsdaten; Meta-, Kommunikations- und Verfahrensdaten; Protokolldaten; Bild-, Video- und Tonaufnahmen.

Kategorien betroffener Personen: Auftraggeber:innen und Leistungsempfänger:innen sowie deren Ansprechpersonen; Interessent:innen; Kommunikationspartner:innen; Geschäfts- und Vertragspartner:innen; Teilnehmende an Research-Studien, Umfragen und Videokonferenzen; Nutzer:innen unseres Onlineangebots.

Zwecke der Verarbeitung: Anbahnung, Erbringung und Abrechnung unserer Leistungen; Durchführung von UX-Research; Kommunikation und Terminvereinbarung; Büro-, Organisations- und Verwaltungsverfahren; Buchhaltung und Erfüllung gesetzlicher Pflichten; Bereitstellung und Sicherheit unseres Onlineangebots; Reichweitenmessung; Umfragen und Feedback; Öffentlichkeitsarbeit.

Automatisierte Entscheidungen: Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein.

Wir stützen die Verarbeitung auf die folgenden Rechtsgrundlagen der DSGVO. Welche im Einzelfall gilt, steht beim jeweiligen Abschnitt.

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO): Die betroffene Person hat in die Verarbeitung für einen oder mehrere bestimmte Zwecke eingewilligt.
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf ihre Anfrage erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c) DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen oder der eines Dritten erforderlich, sofern die Interessen und Grundrechte der betroffenen Person nicht überwiegen.

Nationale Regelungen in Deutschland: Ergänzend gelten das Bundesdatenschutzgesetz (BDSG) sowie das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), insbesondere § 25 TDDDG zum Speichern von und Zugreifen auf Informationen in Endgeräten.

Schweizer Datenschutzgesetz: Für Personen in der Schweiz bearbeiten wir Personendaten zusätzlich nach dem Bundesgesetz über den Datenschutz („Schweizer DSG"). Personendaten werden rechtmäßig, nach Treu und Glauben und verhältnismäßig bearbeitet (Art. 6 Abs. 1 und 2 DSG) und nur zu einem bestimmten, für die betroffene Person erkennbaren Zweck beschafft (Art. 6 Abs. 3 DSG). Diese Erklärung verwendet die Begriffe der DSGVO („Verarbeitung", „personenbezogene Daten", „berechtigtes Interesse", „besondere Kategorien von Daten"). Im Anwendungsbereich des Schweizer DSG bestimmt sich ihre Bedeutung nach dem Schweizer DSG.

Wir treffen nach Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind. Dabei berücksichtigen wir den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Dazu gehören insbesondere die Kontrolle des Zugangs zu Daten und Geräten, verschlüsselte Datenübertragung, Datensicherungen und Verfahren zur Wahrnehmung von Betroffenenrechten und zur Löschung. Datenschutz berücksichtigen wir bereits bei der Auswahl von Software und Diensten.

TLS-Verschlüsselung: Unsere Website wird ausschließlich verschlüsselt über HTTPS (TLS) ausgeliefert. Das erkennen Sie am Präfix „https://" in der Adresszeile Ihres Browsers.

Wir geben Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Empfänger sind vor allem die in dieser Erklärung genannten Dienstleister sowie unsere Steuerberatung. Mit Dienstleistern, die Daten in unserem Auftrag verarbeiten, schließen wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Drittländer: Einige Dienstleister haben ihren Sitz außerhalb der EU bzw. des EWR. Eine Übermittlung dorthin erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind:
• Schweiz: Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.
• USA: Für Unternehmen, die nach dem EU-US Data Privacy Framework (DPF) zertifiziert sind, gilt der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023. Die Liste der zertifizierten Unternehmen finden Sie unter dataprivacyframework.gov. Bei nicht zertifizierten Anbietern stützen wir die Übermittlung auf Standardvertragsklauseln der EU-Kommission.

Beim jeweiligen Dienst geben wir an, welche Grundlage gilt. Allgemeine Informationen bietet die EU-Kommission.

• Proton AG, Schweiz, Angemessenheitsbeschluss (Schweiz)
• hundertzehn GmbH (Moco), Schweiz, Angemessenheitsbeschluss (Schweiz)
• Figma, Inc., USA, Data Privacy Framework
• Umami Software, Inc., USA, Standardvertragsklauseln (Modul 2, Bestandteil des Auftragsverarbeitungsvertrags)
• LinkedIn Ireland Unlimited Company, Irland, Weiterübermittlung in die USA, Data Privacy Framework, Standardvertragsklauseln

Bekanntgabe ins Ausland nach Schweizer DSG: Personendaten von Personen in der Schweiz geben wir nur ins Ausland bekannt, wenn ein angemessener Schutz gewährleistet ist (Art. 16 DSG). Die Staaten der EU und des EWR sind vom Schweizer Bundesrat als angemessen anerkannt (Liste). Für die USA gilt für zertifizierte Unternehmen das Swiss-US Data Privacy Framework, anerkannt seit dem 15. September 2024. Andernfalls verwenden wir vom EDÖB anerkannte Standarddatenschutzklauseln.

Wir löschen Daten, sobald der Zweck entfällt, eine Einwilligung widerrufen wird oder keine andere Rechtsgrundlage mehr besteht. Ausgenommen sind Daten, die wir aus gesetzlichen Gründen aufbewahren oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. Diese Daten verarbeiten wir nur noch für diesen Zweck. Gelten für dieselben Daten mehrere Fristen, ist die längste maßgeblich. Abweichende Fristen nennen wir beim jeweiligen Abschnitt.

Fristen nach deutschem Recht:

• 10 Jahre: Bücher und Aufzeichnungen, Jahresabschlüsse, Inventare, Lageberichte, Eröffnungsbilanz und zugehörige Arbeitsanweisungen
• 8 Jahre: Buchungsbelege, z. B. Rechnungen und Kostenbelege
• 6 Jahre: Empfangene und abgesandte Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen
• 3 Jahre: Daten zur Abwehr oder Geltendmachung vertraglicher Ansprüche (regelmäßige Verjährung)

Fristen nach Schweizer Recht:

• 10 Jahre: Geschäftsbücher, Buchungsbelege, Rechnungen sowie zugehörige Organisationsunterlagen
• 10 Jahre (in bestimmten Fällen 5 Jahre): Daten zur Abwehr oder Geltendmachung vertraglicher Ansprüche

Fristbeginn: Fristen von mindestens einem Jahr beginnen mit Ablauf des Kalenderjahres, in dem das auslösende Ereignis eingetreten ist. Bei laufenden Verträgen ist das die Beendigung des Vertrags.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung Ihrer Daten einzulegen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht. Dies gilt auch für darauf gestütztes Profiling. Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Eine formlose Nachricht an sayhello@trulyxd.com genügt.

Rechte nach der DSGVO (Art. 15 bis 21 DSGVO):

• Widerruf von Einwilligungen: Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen.
• Auskunft: Sie können Bestätigung verlangen, ob wir Daten über Sie verarbeiten, und Auskunft über diese Daten sowie eine Kopie erhalten.
• Berichtigung: Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Löschung und Einschränkung: Sie können nach Maßgabe der gesetzlichen Vorgaben die Löschung Ihrer Daten oder die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit: Sie können Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder an andere Verantwortliche übermitteln lassen.
• Beschwerde: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Rechte nach dem Schweizer DSG: Sie haben das Recht auf Auskunft, auf Herausgabe oder Übertragung Ihrer Personendaten in einem gängigen elektronischen Format, auf Berichtigung sowie auf Widerspruch, Löschung und Vernichtung Ihrer Personendaten. Sie können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Pflicht zur Bereitstellung: Die Bereitstellung Ihrer Daten ist gesetzlich nicht vorgeschrieben. Ohne die für einen Vertrag oder eine Anfrage nötigen Angaben können wir die Anfrage jedoch nicht bearbeiten oder den Vertrag nicht schließen.

Wir verarbeiten die Daten unserer Auftraggeber:innen, Interessent:innen und ihrer Ansprechpersonen, um unsere Leistungen anzubahnen, zu erbringen und abzurechnen. Zu unseren Leistungen gehören UX-Strategie und -Beratung, Experience Design, barrierefreies Design, UX-Research, Workshops und laufende Begleitung.

• Verarbeitete Datenarten: Bestandsdaten, Kontaktdaten, Vertragsdaten, Inhaltsdaten aus der Zusammenarbeit (z. B. Briefings, Feedback, Projektunterlagen), Zahlungsdaten, Kommunikationsdaten.
• Betroffene Personen: Auftraggeber:innen und deren Ansprechpersonen, Interessent:innen, Geschäfts- und Vertragspartner:innen.
• Zwecke: Angebotserstellung, Vertragsdurchführung, Projektorganisation, Zeiterfassung, Rechnungsstellung, Buchhaltung, Erfüllung gesetzlicher Pflichten.
• Empfänger: die unter „Cloud-, Organisations- und Buchhaltungsdienste" genannten Dienstleister sowie unsere Steuerberatung.
• Rechtsgrundlagen: Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO), soweit die betroffene Person selbst Vertragspartei ist; berechtigte Interessen an der Kommunikation mit Ansprechpersonen unserer Auftraggeber:innen (lit. f); gesetzliche Aufbewahrungspflichten (lit. c).
• Speicherdauer: Vertrags- und Projektdaten speichern wir bis zum Ablauf der Verjährungsfristen, Buchungsbelege und Geschäftsbriefe bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (siehe „Speicherung und Löschung").

Verarbeitung im Auftrag: Verarbeiten wir personenbezogene Daten im Auftrag unserer Auftraggeber:innen, etwa Daten ihrer Kund:innen, Nutzer:innen oder Research-Teilnehmenden, handeln wir als Auftragsverarbeiterin nach Art. 28 DSGVO. Verantwortlich ist dann die jeweilige Auftraggeberin. Es gelten deren Datenschutzhinweise.

Im Rahmen von UX-Research führen wir Interviews, Usability-Tests, Befragungen und vergleichbare Studien durch. Dabei verarbeiten wir die Angaben der Teilnehmenden und, soweit vorher vereinbart, Bild-, Ton- und Bildschirmaufnahmen.

Research im Auftrag: Führen wir Studien für Auftraggeber:innen durch, ist die Auftraggeberin Verantwortliche. Wir handeln als Auftragsverarbeiterin auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die Teilnehmenden erhalten vor der Studie gesonderte Datenschutzhinweise, in der Regel im Namen der Auftraggeberin. Aufnahmen speichern wir nur vorübergehend lokal auf unseren Geräten, um sie zu transkribieren. Danach übergeben wir Aufnahmen und Transkripte an die Auftraggeberin und löschen sie bei uns.

Eigene Research-Studien: Führen wir Studien für eigene Zwecke durch, sind wir Verantwortliche.

• Verarbeitete Datenarten: Bestandsdaten, Kontaktdaten, Inhaltsdaten (Antworten, Beobachtungen, Notizen), Bild-, Video- und Tonaufnahmen, Meta- und Kommunikationsdaten.
• Betroffene Personen: Teilnehmende an Research-Studien.
• Zwecke: Durchführung und Auswertung der Studie, Organisation der Termine.
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO), die jederzeit mit Wirkung für die Zukunft widerrufen werden kann.
• Speicherdauer: Aufnahmen löschen wir nach Abschluss der Auswertung. Ausgewertete Ergebnisse verwenden wir nur in anonymisierter Form weiter.
• Eingesetzte Dienste: Proton Meet, Typeform, Proton Drive (Beschreibung jeweils unten).

Unsere Website läuft auf dem Content-Management-System Wagtail, das wir selbst auf Servern der manitu GmbH betreiben. Daten an den Hersteller des CMS werden dabei nicht übermittelt.

Server-Logfiles: Beim Aufruf der Website speichert der Server automatisch Zugriffsdaten: aufgerufene Seite oder Datei, Datum und Uhrzeit, übertragene Datenmenge, Statusmeldung, Browsertyp und -version, Betriebssystem, Referrer-URL und IP-Adresse. Wir nutzen diese Daten, um die Website auszuliefern, ihre Stabilität sicherzustellen und Angriffe abzuwehren. Logfiles werden nach ca. 21 Tagen gelöscht oder anonymisiert. Daten, die zur Aufklärung eines Sicherheitsvorfalls nötig sind, bewahren wir bis zu dessen Klärung auf.

Cookies und Endgerätezugriff: Für Besucher:innen setzt unsere Website keine Cookies und greift nicht auf Informationen in Ihrem Endgerät zu, die für den Betrieb nicht unbedingt erforderlich sind (§ 25 Abs. 2 TDDDG).

Schriftarten: Alle Schriftarten liegen auf unserem eigenen Server. Beim Seitenaufruf wird keine Verbindung zu externen Schriftanbietern aufgebaut.

Versionierung und Datensicherung: Den Code und die Inhalte der Website versionieren und sichern wir auf Servern der Hetzner Online GmbH.

E-Mail: Unsere E-Mail-Postfächer werden von der manitu GmbH betrieben. Wenn Sie uns schreiben, verarbeitet manitu Inhalt, Absender, Empfänger und Zeitpunkt Ihrer Nachricht in unserem Auftrag.

• Verarbeitete Datenarten: Nutzungsdaten, Meta-, Kommunikations- und Verfahrensdaten, Protokolldaten; bei E-Mails zusätzlich Kontakt- und Inhaltsdaten.
• Betroffene Personen: Nutzer:innen der Website, Kommunikationspartner:innen.
• Zwecke: Bereitstellung, Stabilität und Sicherheit der Website; Datensicherung; E-Mail-Kommunikation.
• Rechtsgrundlage: berechtigte Interessen an einem sicheren und funktionsfähigen Onlineangebot und an der E-Mail-Kommunikation (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Eingesetzte Dienste:

• manitu: Webhosting und E-Mail-Hosting; Anbieter: manitu GmbH, Welvertstraße 2, 66606 St. Wendel, Deutschland; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag: wird vom Anbieter bereitgestellt.
• Hetzner: Server für Versionierung und Datensicherung; Anbieter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Website; Datenschutzerklärung und Auftragsverarbeitungsvertrag: Datenschutz bei Hetzner.

Um zu verstehen, welche Inhalte unserer Website genutzt werden, setzen wir den Analysedienst umami Cloud ein. umami arbeitet ohne Cookies und ohne vergleichbare dauerhafte Kennungen in Ihrem Endgerät. Es bildet keine Nutzerprofile und verfolgt Sie nicht über andere Websites hinweg.

Für die Zählung von Besuchen bildet umami aus IP-Adresse, Browserkennung und Domain zusammen mit einem täglich wechselnden Zufallswert einen Hashwert. Dieser lässt keinen Rückschluss auf Ihre Person zu und ermöglicht keine Wiedererkennung über den Tag hinaus. Die IP-Adresse selbst wird nicht gespeichert. Gespeichert werden nur zusammengefasste Angaben wie aufgerufene Seiten, Verweildauer, Referrer, Gerätetyp, Browser, Betriebssystem und Land.

• Verarbeitete Datenarten: Nutzungsdaten, Meta- und Verfahrensdaten (IP-Adresse nur kurzzeitig zur Hash-Bildung).
• Betroffene Personen: Nutzer:innen der Website.
• Zweck: Reichweitenmessung und Verbesserung unseres Onlineangebots.
• Rechtsgrundlage: berechtigte Interessen an einer datensparsamen Auswertung der Nutzung unserer Website (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).
• Widerspruch: Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe „Ihre Rechte").

Eingesetzter Dienst: umami Cloud; Anbieter: Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, CA, USA; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag; Grundlage Drittlandtransfers: EU/EWR – Standardvertragsklauseln (Modul 2), Schweiz – Standardvertragsklauseln mit Anpassungen für das Schweizer DSG; beide sind Bestandteil des Auftragsverarbeitungsvertrags.

Kontaktaufnahme: Wenn Sie uns per E-Mail, Telefon, Post oder über soziale Netzwerke kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten.

Terminbuchung: Über unsere Buchungsseite bei Proton Calendar können Sie ein Kennenlerngespräch vereinbaren. Dabei verarbeiten wir die Angaben, die Sie bei der Buchung machen (in der Regel Name, E-Mail-Adresse und Wunschtermin), um den Termin zu organisieren.

Videokonferenzen: Gespräche, Workshops und Research-Sessions führen wir über Proton Meet durch. Dabei werden Anzeigename, Bild- und Tonübertragung, Chatnachrichten, Bildschirmfreigaben sowie technische Verbindungsdaten verarbeitet. Audio, Video, Chat und Bildschirmfreigaben sind nach Angaben des Anbieters Ende-zu-Ende verschlüsselt und werden nach dem Gespräch nicht beim Anbieter gespeichert. Eine Aufzeichnung erfolgt nur, wenn wir dies vorher ankündigen und Sie einwilligen.

Bitte achten Sie in Videokonferenzen auf den Schutz Ihres Hintergrunds und geben Sie Zugangslinks nicht an unberechtigte Dritte weiter.

• Verarbeitete Datenarten: Bestandsdaten, Kontaktdaten, Inhaltsdaten, Meta-, Kommunikations- und Verfahrensdaten; bei Videokonferenzen zusätzlich Bild- und Tonübertragungen.
• Betroffene Personen: Kommunikationspartner:innen, Interessent:innen, Auftraggeber:innen und deren Ansprechpersonen, Teilnehmende.
• Zwecke: Beantwortung von Anfragen, Terminorganisation, Durchführung von Gesprächen und Workshops.
• Rechtsgrundlagen: vorvertragliche Maßnahmen und Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO); berechtigte Interessen an effizienter Kommunikation, insbesondere mit Ansprechpersonen von Organisationen (lit. f); Einwilligung bei Aufzeichnungen (lit. a).
• Speicherdauer: Anfragen löschen wir, wenn sie abschließend bearbeitet sind und kein Vertrag zustande kommt, spätestens nach 12 Monaten. Geschäftsbriefe bewahren wir im Rahmen der gesetzlichen Fristen auf.

Eingesetzte Dienste:

• Proton Calendar: Kalender- und Terminbuchung, Einladungen, Erinnerungen; Anbieter: Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag; Grundlage Drittlandtransfers: Angemessenheitsbeschluss der EU-Kommission (Schweiz).
• Proton Meet: verschlüsselte Videokonferenzen; Anbieter: Proton AG (siehe oben); Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag; Grundlage Drittlandtransfers: Angemessenheitsbeschluss der EU-Kommission (Schweiz).

Für Umfragen, Feedback-Abfragen und Research-Fragebögen nutzen wir Typeform. Je nach Umfrage werden die Antworten anonym oder personenbezogen erhoben. Vor Beginn jeder Umfrage informieren wir, ob und welche personenbezogenen Daten abgefragt werden.

• Verarbeitete Datenarten: Inhaltsdaten (Antworten), Nutzungs- und Metadaten; bei personenbezogenen Umfragen zusätzlich Bestands- und Kontaktdaten.
• Betroffene Personen: Teilnehmende an Umfragen und Research-Studien.
• Zwecke: Feedback, Umfragen, UX-Research.
• Rechtsgrundlagen: Einwilligung bei personenbezogenen Umfragen und Research-Fragebögen (Art. 6 Abs. 1 S. 1 lit. a) DSGVO); berechtigte Interessen bei anonymen Umfragen, soweit für die technische Durchführung Daten wie die IP-Adresse verarbeitet werden (lit. f). Bei Research im Auftrag gilt der Abschnitt „UX-Research".
• Speicherdauer: Personenbezogene Antworten löschen wir nach Abschluss der Auswertung bzw. nach Übergabe an die Auftraggeberin.

Eingesetzter Dienst: Typeform; Anbieter: TYPEFORM SL, Carrer Bac de Roda, 163, local, 08018 Barcelona, Spanien; Website; Datenschutzerklärung; Auftragsverarbeitung: geregelt in Abschnitt 4 der Datenschutzerklärung von Typeform; Grundlage Drittlandtransfers: Standardvertragsklauseln, soweit Unterauftragsverarbeiter außerhalb der EU eingesetzt werden.

Für die Ablage von Dateien, die gemeinsame Arbeit an Designs, die Zeiterfassung, die Rechnungsstellung und die Buchhaltung nutzen wir die folgenden Dienste. Die Anbieter verarbeiten die Daten in unserem Auftrag.

• Verarbeitete Datenarten: Bestandsdaten, Kontaktdaten, Inhaltsdaten (Dokumente, Designs, Kommentare), Vertragsdaten, Zahlungsdaten, Nutzungs- und Metadaten; bei Research-Projekten in Proton Drive vorübergehend auch Bild- und Tonaufnahmen.
• Betroffene Personen: Auftraggeber:innen und deren Ansprechpersonen, Interessent:innen, Geschäfts- und Vertragspartner:innen, Teilnehmende an Research-Studien.
• Zwecke: Projektorganisation und Zusammenarbeit, Zeiterfassung, Rechnungsstellung, Buchhaltung, Zusammenarbeit mit der Steuerberatung.
• Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO); berechtigte Interessen an einer effizienten Büroorganisation (lit. f); gesetzliche Aufbewahrungspflichten für Buchhaltungsdaten (lit. c).
• Speicherdauer: entsprechend den Angaben unter „Erbringung unserer Leistungen" und „Speicherung und Löschung".

Eingesetzte Dienste:

• Proton Drive: verschlüsselte Speicherung und Freigabe von Dateien; Anbieter: Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag; Grundlage Drittlandtransfers: Angemessenheitsbeschluss der EU-Kommission (Schweiz).
• Figma: Design, Prototyping und gemeinsame Bearbeitung mit Kommentar- und Versionsfunktionen; Anbieter: Figma, Inc., 760 Market St FL 10, San Francisco, CA 94102, USA; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag: wird vom Anbieter bereitgestellt; Grundlage Drittlandtransfers: EU/EWR und Schweiz – Data Privacy Framework.
• Moco: Projektverwaltung, Zeiterfassung, Angebote und Rechnungen; Anbieter: hundertzehn GmbH, Aeschstrasse 131F, 8123 Ebmatingen, Schweiz; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag; Grundlage Drittlandtransfers: Angemessenheitsbeschluss der EU-Kommission (Schweiz).
• DATEV: Buchhaltung, Belegaustausch und Zusammenarbeit mit der Steuerberatung; Anbieter: DATEV eG, Paumgartnerstr. 6–14, 90429 Nürnberg, Deutschland; Website; Datenschutzerklärung; Auftragsverarbeitungsvertrag: wird vom Anbieter bereitgestellt.

Wir nutzen den KI-Assistenten Claude als Werkzeug, etwa zum Strukturieren, Formulieren und Prüfen eigener Texte und Konzepte. Die Ergebnisse prüfen wir immer selbst, bevor wir sie verwenden.

In Claude geben wir keine personenbezogenen Daten unserer Auftraggeber:innen, ihrer Ansprechpersonen, von Research-Teilnehmenden oder sonstiger Dritter ein. Ebenso geben wir keine vertraulichen Informationen unserer Auftraggeber:innen ein. Eine Verarbeitung Ihrer personenbezogenen Daten durch den KI-Dienst findet daher nicht statt.

Eingesetzter Dienst: Claude; Anbieter: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA; Website; Datenschutzerklärung.

Wir unterhalten Profile in sozialen Netzwerken, um dort mit Interessierten zu kommunizieren und über unsere Arbeit zu informieren. Dabei können Daten außerhalb der EU verarbeitet werden, was die Durchsetzung Ihrer Rechte erschweren kann. Die Betreiber der Netzwerke verarbeiten Nutzungsdaten in der Regel auch für Werbe- und Marktforschungszwecke und setzen dafür Cookies ein. Einzelheiten und Widerspruchsmöglichkeiten finden Sie in den Datenschutzhinweisen der jeweiligen Betreiber.

Auskunfts- und andere Betroffenenrechte machen Sie am wirksamsten direkt beim Betreiber geltend, da nur dieser Zugriff auf die Nutzerdaten hat. Gerne unterstützen wir Sie dabei.

• Verarbeitete Datenarten: Kontaktdaten, Inhaltsdaten, Nutzungsdaten, Meta- und Kommunikationsdaten.
• Betroffene Personen: Nutzer:innen der Netzwerke.
• Zwecke: Kommunikation, Feedback, Öffentlichkeitsarbeit.
• Rechtsgrundlage: berechtigte Interessen an der Kommunikation über soziale Netzwerke (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Genutzte Netzwerke:

• LinkedIn: Für die Erhebung der Daten, aus denen LinkedIn Statistiken zu unserer Seite („Page Insights") erstellt, sind wir gemeinsam mit LinkedIn verantwortlich (Art. 26 DSGVO). Dazu gehören Angaben zu angesehenen Inhalten und Interaktionen, Gerätedaten wie IP-Adresse, Browser und Spracheinstellungen sowie Profilangaben wie Berufsfunktion, Branche und Unternehmensgröße. LinkedIn hat sich in einer Vereinbarung zur gemeinsamen Verantwortlichkeit verpflichtet, die Betroffenenrechte zu erfüllen. Ihre Rechte werden dadurch nicht eingeschränkt. Die weitere Verarbeitung, auch die Übermittlung an die LinkedIn Corporation in den USA, liegt allein bei LinkedIn. Anbieter: LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irland; Website; Datenschutzerklärung; Widerspruch (Opt-out); Grundlage Drittlandtransfers: Data Privacy Framework, Standardvertragsklauseln.
• Bluesky: dezentrales soziales Netzwerk; Anbieter: Bluesky, PBLLC, Seattle, USA; Website; Datenschutzerklärung.
• Xing: berufliches Netzwerk; Anbieter: New Work SE, Am Strandkai 1, 20457 Hamburg, Deutschland; Website; Datenschutzerklärung.

Wir passen diese Datenschutzerklärung an, sobald Änderungen unserer Datenverarbeitung dies erforderlich machen. Wird dadurch eine Mitwirkung Ihrerseits nötig, etwa eine Einwilligung, informieren wir Sie gesondert. Adressen und Kontaktdaten genannter Anbieter können sich ändern. Bitte prüfen Sie diese vor einer Kontaktaufnahme.

• Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, etwa über einen Namen, eine Kennnummer, Standortdaten oder eine Online-Kennung.
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Speichern, Auswerten, Übermitteln oder Löschen.
• Verantwortliche: die Person oder Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeitung: die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag und nach Weisung der Verantwortlichen.
• Bestandsdaten: Angaben zur Identifikation und Verwaltung von Vertragspartner:innen, etwa Name, Anschrift und Kundennummer.
• Kontaktdaten: Angaben, die die Kommunikation ermöglichen, etwa E-Mail-Adresse, Telefonnummer oder Postanschrift.
• Inhaltsdaten: Inhalte, die bei der Kommunikation oder Zusammenarbeit entstehen, etwa Texte, Dokumente, Bilder sowie zugehörige Angaben wie Autorenschaft und Zeitpunkt.
• Vertragsdaten: Angaben zum Vertrag, etwa Vertragsgegenstand, Laufzeit, Preise und Zahlungsbedingungen.
• Zahlungsdaten: Bankverbindungen, Rechnungen und Zahlungshistorie.
• Nutzungsdaten: Angaben zur Nutzung unseres Onlineangebots, etwa aufgerufene Seiten, Verweildauer, Gerätetyp und Betriebssystem.
• Meta-, Kommunikations- und Verfahrensdaten: Angaben über die Umstände einer Verarbeitung, etwa IP-Adressen, Zeitstempel und beteiligte Personen.
• Protokolldaten: automatisch erfasste Ereignisse in Systemen, etwa Zugriffszeiten und Fehlermeldungen in Server-Logfiles.
• Reichweitenmessung: die Auswertung, wie viele Besuche ein Onlineangebot erhält und welche Inhalte genutzt werden.