Datenschutz | QReportly

01

Einleitung und Anwendungsbereich

QReportly („die Plattform“ oder „der Anbieter“) misst dem Schutz personenbezogener Daten und der Vertraulichkeit der Personen, die seine Dienste nutzen, grundlegende Bedeutung bei.

Diese Datenschutzbestimmungen gelten für: (i) Verarbeitungen durch den Anbieter als Verantwortlicher für eigene Tätigkeiten (Administratorkonten, Abrechnung, Support); (ii) Verarbeitungen durch den Anbieter als Auftragsverarbeiter im Namen der Kunden für Daten, die in Meldungen und Vorgängen des internen Meldekanals enthalten sind.

Für den öffentlichen Meldekanal, der meldenden Personen zugänglich ist, wendet der Anbieter fortgeschrittene technische und organisatorische Maßnahmen zur Datenminimierung an, die in den nachstehenden Abschnitten erläutert werden.

02

In Bezug auf personenbezogene Daten, die in über den internen Kanal übermittelten Meldungen, Berichten, Nachrichten, Anhängen und operativen Metadaten zur Fallbearbeitung enthalten sind, handelt der Kunde — die registrierte juristische Person — als Verantwortlicher (Data Controller).

QReportly handelt ausschließlich als Auftragsverarbeiter (Data Processor / technischer Anbieter) und verarbeitet Daten nur auf Grundlage dokumentierter Weisungen des Kunden, zum Zweck der Erbringung der vertraglich vereinbarten Leistungen und innerhalb der Grenzen dieser Bestimmungen und der Nutzungsvereinbarung.

Für eigene Daten von Administratorkonten, Abrechnungsdaten und kaufmännische Kommunikation handelt der Anbieter als eigenständiger Verantwortlicher und ist verpflichtet, betroffenen Personen die nach DSGVO erforderlichen Informationen bereitzustellen.

Verhältnis Verantwortlicher — Auftragsverarbeiter

Der Anbieter nutzt den Inhalt von Meldungen nicht für eigene Marketing-, Profiling- oder kommerzielle Analysezwecke. Der Zugriff von Personal des Anbieters auf Kundendaten ist streng auf autorisiertes Personal zu Wartungs-, technischem Support-, Sicherheits- und Compliance-Zwecken beschränkt und unterliegt Vertraulichkeitspflichten.

Der Kunde ist verantwortlich für die Rechtmäßigkeit der Verarbeitung, die Information betroffener Personen, die Beantwortung von Betroffenenanfragen im Zusammenhang mit Meldungen sowie gegebenenfalls die Benachrichtigung von Aufsichtsbehörden.

03

Kategorien verarbeiteter Daten

Abhängig von der Art der Nutzung der Plattform können folgende Datenkategorien verarbeitet werden:

Identifikationsdaten von Kundenadministratoren: Name, E-Mail-Adresse, Funktion, Spracheinstellungen;
Organisationsdaten: Workspace-Bezeichnung, Registrierungsland, Compliance-Konfigurationen, Tarifplan;
Abrechnungs- und Zahlungsdaten: werden vorrangig durch den integrierten Zahlungsdienstleister verarbeitet; der Anbieter kann Transaktionsreferenzen speichern, jedoch keine vollständigen Kartendaten;
Inhalte von Meldungen: Text, Kategorien, Dateianhänge, Nachrichten aus dem gesicherten Chat, Verfahrensstatus, Zeitstempel;
Begrenzte technische Daten aus Administrationssitzungen: Sicherheitsprotokolle, Sitzungskennungen, Authentifizierungsereignisse;
Von meldenden Personen freiwillig bereitgestellte Daten: Name, Kontakt oder sonstige Angaben, ausschließlich wenn die meldende Person eine identifizierte Meldung wählt.

04

Anonymitätsarchitektur (Zero Knowledge)

Die Plattform ist strukturell so konzipiert, dass IP-Adressen, Geolokalisierungsdaten oder digitale Fingerabdrücke (Browser-Fingerprinting) von Hinweisgebern, die auf den öffentlichen Meldekanal zugreifen, nicht erhoben, protokolliert oder gespeichert werden.

Diese Minimierungsarchitektur soll das Risiko der Reidentifizierung meldender Personen, die sich für eine anonyme Meldung entscheiden, reduzieren und den Kunden bei der Erfüllung seiner gesetzlichen Vertraulichkeitspflichten unterstützen.

Der Anbieter setzt innerhalb des Meldeflusses für meldende Personen keine verhaltensbezogenen Tracking-Technologien, kein Werbe-Profiling und keine invasive Analyse ein. Etwaige Analyseinstrumente auf der öffentlichen Präsentationswebsite sind vom gesicherten Meldekanal technisch getrennt.

Namentliche Meldung

Entscheidet sich eine meldende Person ausdrücklich für eine identifizierte Meldung, sind die freiwillig bereitgestellten Daten für die Benannte Person des Kunden zugänglich und durch technische Maßnahmen der Verschlüsselung sowie Zugriffskontrolle geschützt. Der Kunde bleibt Verantwortlicher für die Verarbeitung dieser Daten.

05

Metadaten, Anhänge und Bereinigung

Alle Dateianhänge zu Meldungen (PDF-, DOCX-Dokumente, PNG-/JPG-/JPEG-Bilder) werden beim Upload einem automatisierten kryptografischen Metadaten-Bereinigungsprozess unterzogen, einschließlich, jedoch nicht beschränkt auf: EXIF-Daten in Bildern, Informationen über den Dokumentenautor, eingebettete Eigenschaften, Bearbeitungszeitstempel und sonstige Elemente, die eine unbeabsichtigte Reidentifizierung erleichtern könnten.

Der Bereinigungsprozess erfolgt vor der endgültigen Speicherung der Dateien in der Infrastruktur der Plattform. Der Kunde ist dafür verantwortlich zu bewerten, ob die im sichtbaren Dokumenteninhalt verbleibenden Informationen für den Untersuchungszweck angemessen sind.

Dateien, die nicht sicher verarbeitet werden können oder die festgelegten technischen Grenzen überschreiten, können ohne Speicherung des Originalinhalts automatisch zurückgewiesen werden.

06

Aufbewahrung und automatische Löschung von Daten

Der Anbieter wendet strikte Richtlinien zur Aufbewahrung und automatisierten Löschung an, die darauf ausgelegt sind, die Datenexposition über die für die Leistungserbringung und rechtliche Compliance erforderlichen Zeiträume hinaus zu begrenzen.

Mediendateien und Nachweisdokumente

Mediendateien und als Beweise hochgeladene Dokumente werden 6 Monate (180 Kalendertage) nach Markierung des Falls als „Geschlossen“ in der Plattform endgültig und unwiderruflich von den Servern gelöscht. Die Löschung erfolgt automatisiert durch geplante Verfahren ohne manuelles Eingreifen.

Textverlauf und Register

Der Textverlauf des gesicherten Chats, Verfahrensaufzeichnungen und dem offiziellen Register zugeordnete Daten werden für den im Workspace des Kunden konfigurierten gesetzlichen Standardzeitraum gespeichert: 5 (fünf) Jahre als Standarddauer bzw. 3 (drei) Jahre für Jurisdiktionen mit entsprechender Vorgabe — wie in Deutschland — und anschließend automatisch mittels Hard Delete (irreversible physische Löschung aus aktiven Produktionssystemen) entfernt.

Der Kunde kann die Aufbewahrungsdauer innerhalb der für seine Organisation geltenden gesetzlichen Grenzen konfigurieren. Der Anbieter gewährleistet keine Speicherung über die konfigurierten Fristen oder über das Vertragsende hinaus, außer soweit zwingende gesetzliche Verpflichtungen des Anbieters bestehen.

07

Rechtsgrundlagen der Verarbeitung

Als Auftragsverarbeiter verarbeitet der Anbieter Meldedaten auf Grundlage des mit dem Kunden geschlossenen Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie anwendbarer gesetzlicher Pflichten für Cloud-Dienstleister (Art. 6 Abs. 1 lit. c DSGVO, soweit einschlägig).

Als Verantwortlicher für Administrationskonten umfassen die Rechtsgrundlagen: Vertragserfüllung, berechtigtes Interesse an Plattform-Sicherheit und Betrugsprävention, gesetzliche buchhalterische und steuerliche Pflichten sowie Einwilligung, sofern ausdrücklich eingeholt (z. B. für Marketingkommunikation — sofern aktiviert).

08

Rechte betroffener Personen

Betroffene Personen haben die in der DSGVO vorgesehenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, jeweils im gesetzlichen Rahmen.

Für Daten aus Meldungen sind Anträge auf Ausübung von Betroffenenrechten primär an den Kunden als Verantwortlichen zu richten. Der Anbieter unterstützt den Kunden im angemessenen Umfang und gemäß Vertrag bei der Bearbeitung solcher Anträge.

Für Daten, die der Anbieter als Verantwortlicher verarbeitet (Administratorkonten, Abrechnung), können Anfragen an die am Ende dieses Dokuments angegebene Kontaktadresse gerichtet werden. Der Anbieter antwortet innerhalb der in der DSGVO vorgesehenen Fristen.

Betroffene Personen haben das Recht, bei der zuständigen Aufsichtsbehörde des Mitgliedstaats ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes Beschwerde einzulegen.

09

Sicherheitsmaßnahmen

Der Anbieter implementiert geeignete technische und organisatorische Maßnahmen zum Schutz von Daten, einschließlich: Verschlüsselung bei der Übertragung (TLS), rollenbasierte Zugriffskontrollen, logische Trennung zwischen Workspaces, Sicherheitsüberwachung, Verfahren zur Reaktion auf Vorfälle und verschlüsselte Backups in einer in der Europäischen Union gehosteten Infrastruktur.

Kein System kann absolute Sicherheit gewährleisten. Bei einem Sicherheitsvorfall, der Kundendaten betrifft, informiert der Anbieter den Kunden ohne unangemessene Verzögerung gemäß den anwendbaren vertraglichen und gesetzlichen Verpflichtungen.

10

Unterauftragsverarbeiter und internationale Übermittlungen

Der Anbieter kann Unterauftragsverarbeiter für Hosting, Zahlungsabwicklung, E-Mail-Zustellung oder Sicherheit einsetzen und ist verpflichtet, diesen vertragliche Garantien aufzuerlegen, die den Anforderungen der DSGVO entsprechen.

Daten werden überwiegend in der Europäischen Union gehostet. Soweit bestimmte Drittservices Übermittlungen außerhalb des EWR erfordern, nutzt der Anbieter anerkannte Übermittlungsmechanismen (Standardvertragsklauseln, Angemessenheitsbeschlüsse oder andere nach DSGVO zulässige Garantien).

11

Änderungen der Datenschutzbestimmungen

Der Anbieter kann diese Bestimmungen aktualisieren, um rechtliche, technische oder operative Entwicklungen abzubilden. Die jeweils aktuelle Fassung wird auf der Plattform mit Aktualisierungsdatum veröffentlicht.

Bei wesentlichen Änderungen wird der Kunde über angemessene Kanäle informiert (Benachrichtigung im Dashboard oder per E-Mail). Die fortgesetzte Nutzung der Dienste nach Inkrafttreten gilt im gesetzlich zulässigen Umfang als Annahme der Aktualisierungen.