Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlich für die Datenverarbeitung im Partnerhub ist:

amberra GmbHÜberseeallee 120457 HamburgE-Mail: datenschutz@amberra.de

Vertreten durch den Geschäftsführer Björn Schmuck, eingetragen beim Amtsgericht Hamburg unter HRB 190618. Das vollständige Impressum finden Sie auf amberra.de.

Unser Datenschutzbeauftragter:

ARTANA Digital GmbHProf. Dr. Christian RaudaAlstertwiete 320099 HamburgE-Mail: privacy@artana.lawTelefon: +49 40 537981260

2. Für wen das Portal ist und welche Daten grundsätzlich betroffen sind

Der Partnerhub ist ein geschlossenes Portal für Mitarbeitende von Genossenschaftsbanken und von Unternehmen der genossenschaftlichen FinanzGruppe. Verarbeitet werden ausschließlich Daten dieser Nutzerinnen und Nutzer in ihrer beruflichen Rolle. Daten von Bankkundinnen und Bankkunden verarbeitet das Portal nicht.

Die Stammdaten der Banken (Name, Ort, E-Mail-Domain, Bilanzsumme) sind Unternehmensdaten und keine personenbezogenen Daten. Woher sie stammen, beschreibt Abschnitt 9.

3. Anmeldung per Anmeldelink

Die Anmeldung erfolgt ohne Passwort. Sie geben Ihre dienstliche E-Mail-Adresse ein und erhalten einen Anmeldelink per E-Mail.

• Domain-Prüfung: Anhand der Domain Ihrer E-Mail-Adresse stellt das Portal fest, zu welcher Bank oder welchem Verbundunternehmen Sie gehören. Ist die Domain noch nicht bekannt, fragt das Portal sie einmalig im CRM-System von amberra (HubSpot, siehe Abschnitt 10) ab. Übermittelt wird dabei nur die Domain, nicht Ihre vollständige Adresse.
• Unbekannte Domains: Gehört die Domain zu keiner bekannten Organisation, erhalten Sie keinen Zugang. Ihre E-Mail-Adresse und die Domain werden mit Zeitstempel gespeichert, damit amberra den Fall prüfen und die Domain gegebenenfalls freischalten kann.
• Anmeldelink: Der Link ist fünf Minuten gültig und kann nur einmal verwendet werden. Der zugehörige Schlüssel wird ausschließlich gehasht gespeichert. Der Versand erfolgt von info@vrmobilfunk.de über den E-Mail-Dienst von united-domains (Abschnitt 10).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Portals im Rahmen der Partnerschaft Ihrer Bank mit amberra) sowie Art. 6 Abs. 1 lit. f DSGVO für die Zugangskontrolle; unser berechtigtes Interesse liegt darin, das Portal nur berechtigten Organisationen zugänglich zu machen.

4. Nutzerkonto und Profil

Bei der ersten Anmeldung legt das Portal ein Nutzerkonto an und bittet Sie um Vorname, Nachname und Position. Gespeichert werden:

• E-Mail-Adresse, Vorname, Nachname, Position
• Zuordnung zu Ihrer Bank beziehungsweise Ihrem Verbundunternehmen
• Ihre Rolle innerhalb der Bank (Nutzer, Beraterin oder Berater, Bank-Admin); jede Rolle gilt nur innerhalb Ihrer eigenen Bank
• Zeitpunkt der Anlage und der letzten Änderung

Name und Position sehen die Kolleginnen und Kollegen Ihrer eigenen Bank in der Teamübersicht auf der Startseite sowie das Mobilfunk-Team von amberra in seiner internen Ansicht. Mitarbeitende anderer Banken sehen Ihre Daten nie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Sitzung und Cookies

Das Portal setzt ausschließlich technisch notwendige Cookies. Es gibt kein Tracking, keine Analyse- oder Werbedienste und keine Cookies Dritter durch das Portal selbst. Die Schriftarten werden von unserem eigenen Server geladen.

• Sitzungs-Cookie (better-auth.session_token): hält Sie nach der Anmeldung eingeloggt. Nur über HTTPS und für Skripte nicht auslesbar. Die Sitzung ist sieben Tage gültig und verlängert sich bei Nutzung. Zu jeder Sitzung speichern wir die IP-Adresse und die Browserkennung, mit der sie begonnen wurde, um Missbrauch erkennen zu können.
• Einstellungs-Cookie (partnerhub-sidebar-collapsed): merkt sich, ob Sie die Seitenleiste eingeklappt haben. Enthält nur diesen Wert, gilt zwölf Monate.

Diese Cookies sind für den Betrieb des Portals erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

6. Erstgespräch buchen (HubSpot Meetings)

Banken, die noch nicht teilnehmen, können aus dem Angebot heraus ein Erstgespräch mit dem Mobilfunk-Team buchen. Erst wenn Sie auf „Erstgespräch buchen“ klicken, lädt das Portal die Terminbuchung von HubSpot in einem eingebetteten Fenster. Dabei werden Ihr Vorname, Nachname und Ihre E-Mail-Adresse an HubSpot übermittelt, damit das Buchungsformular vorausgefüllt ist. Innerhalb des eingebetteten Fensters kann HubSpot eigene Cookies setzen; es gilt dort die Datenschutzerklärung von HubSpot.

Gebuchte Termine spiegelt das Portal aus HubSpot zurück: Titel, Zeitpunkt, Status und die E-Mail-Adresse der buchenden Person werden gespeichert und Ihrem Team sowie dem Mobilfunk-Team angezeigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung der Teilnahme Ihrer Bank).

7. Teilnahmeanfrage

Mit der Teilnahmeanfrage teilt Ihre Bank amberra mit, dass sie am Mobilfunkangebot teilnehmen möchte. Gespeichert werden der Entscheidungsstand, das gewünschte Startfenster, Ihre optionale Nachricht sowie Ihr Name, Ihre E-Mail-Adresse und Position als Ansprechperson. Das Mobilfunk-Team erhält eine Benachrichtigung per E-Mail an info@vrmobilfunk.de und bearbeitet die Anfrage in seiner internen Ansicht (Status offen, in Bearbeitung, abgeschlossen, mit interner Notiz). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Vorstandsvorlage

Sie können eine Beschlussvorlage für den Vorstand Ihrer Bank als PowerPoint-Datei erzeugen. Dafür geben Sie drei Kennzahlen Ihrer Bank ein (Kundinnen und Kunden, Mitglieder, Mitarbeitende) und optional die Nutzungsquote der VR Banking App. Das Portal speichert diese Kennzahlen zusammen mit dem Zeitpunkt und der erzeugenden Person, damit die Eingaben beim nächsten Mal vorausgefüllt sind und das Mobilfunk-Team sieht, dass eine Vorlage erstellt wurde. Die erzeugte Datei enthält Ihren Namen und Ihre Position als erstellende Person sowie das Logo Ihrer Bank. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Stammdaten der Banken

Name, Ort, E-Mail-Domain und Bilanzsumme aller Genossenschaftsbanken übernimmt das Portal täglich aus dem CRM-System von amberra (HubSpot). Das Logo Ihrer Bank ruft das Portal einmalig von der öffentlichen Website Ihrer Bank ab. Das sind Unternehmensdaten; personenbezogene Daten werden dabei nicht übertragen.

10. Hosting und Dienstleister

Für den Betrieb setzen wir folgende Dienstleister ein, die in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

• Google Cloud (Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland): Betrieb der Anwendung auf Cloud Run in der Region europe-west1 (Belgien). Bei jedem Aufruf entstehen Server-Protokolle mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, Statuscode und Browserkennung. Sie dienen der Betriebssicherheit und der Fehlersuche und werden nach 30 Tagen gelöscht.
• Neon (Neon, Inc., 2128 Sand Hill Road, Menlo Park, CA 94025, USA): Datenbank, betrieben in der AWS-Region eu-central-1 (Frankfurt am Main). Hier liegen alle in dieser Erklärung genannten Daten.
• united-domains (united-domains AG, Gautinger Straße 10, 82319 Starnberg): Versand der Anmeldelinks und der Benachrichtigungen an das Mobilfunk-Team von info@vrmobilfunk.de.
• HubSpot (HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, USA; für Europa HubSpot Ireland Ltd., 1 Sir John Rogerson's Quay, Dublin 2, Irland): CRM-System von amberra und Terminbuchung (Abschnitt 6), Datenhaltung im EU-Rechenzentrum.

Soweit Daten bei diesen Anbietern in die USA gelangen können, stützen wir die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework beziehungsweise auf die Standardvertragsklauseln der EU-Kommission.

11. Empfänger der Daten

• Das Mobilfunk-Team von amberra, das die Banken betreut (interne Ansicht über alle Banken).
• Die Mitarbeitenden Ihrer eigenen Bank (Teamübersicht, gebuchte Termine, Stand der Teilnahmeanfrage).
• Die in Abschnitt 10 genannten Dienstleister.

Eine Weitergabe an andere Banken, an Dritte zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

12. Speicherdauer

• Nutzerkonto und Profil: solange Sie das Portal für Ihre Bank nutzen. Scheiden Sie aus oder verlangen Sie die Löschung, wird das Konto gelöscht.
• Sitzungen: sieben Tage nach der letzten Nutzung.
• Anmeldelinks: fünf Minuten.
• Einträge zu unbekannten Domains: bis amberra die Domain geprüft hat, längstens zwölf Monate.
• Termine, Teilnahmeanfragen und Vorstandsvorlagen: für die Dauer der Zusammenarbeit mit Ihrer Bank als Teil ihrer Historie.
• Server-Protokolle: 30 Tage.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21). Wenden Sie sich dafür an datenschutz@amberra.de. Ihren Vornamen, Nachnamen und Ihre Position können Sie jederzeit selbst im Profil ändern.

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für amberra zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

14. Keine automatisierten Entscheidungen

Das Portal trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellt keine Profile. Für die Anmeldung ist allein Ihre dienstliche E-Mail-Adresse erforderlich; die Zuordnung zu Ihrer Bank ergibt sich aus deren Domain.

15. Änderungen

Wir passen diese Erklärung an, wenn sich das Portal oder die eingesetzten Dienste ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum oben zeigt den Stand.