Datenschutzerklärung

Vorbemerkung: zwei Verantwortliche, ein Text

Diese Datenschutzerklärung deckt zwei Zusammenhänge ab, die datenschutzrechtlich getrennt zu betrachten sind:

1. Diese Website (kentarion.com). Hier ist die Bräunig UG (haftungsbeschränkt) selbst Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. → Abschnitt A.
2. Die Anwendung Kentarion (app.kentarion.com). Die Software, mit der Franchise- und Filialsysteme ihr Netz verwalten. Hier ist der jeweilige Systemgeber (unser Kunde) der Verantwortliche; Kentarion ist sein Auftragsverarbeiter nach Art. 28 DSGVO. → Abschnitt B.

Ihre Rechte, die Empfänger Ihrer Daten und mögliche Drittlandübermittlungen sind übergreifend in Abschnitt C beschrieben.

Verantwortlicher für diese Website

Bräunig UG (haftungsbeschränkt)
Bahnstraße 2
16727 Velten
Vertreten durch: Leon Bräunig
E-Mail: info@kentarion.com
Kontaktformular: kentarion.com

Anfragen über diese beiden Wege beantworten wir in der Regel innerhalb eines Werktags.

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen: Unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. b und c DSGVO). Auch die Schwelle des § 38 Abs. 1 BDSG ist nicht erreicht, da bei uns nicht ständig mindestens zwanzig Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

In allen Datenschutzangelegenheiten erreichen Sie uns unter info@kentarion.com.

A.1 Bereitstellung der Website und Server-Logfiles

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Daten, die unser Webserver in einem Zugriffsprotokoll speichert:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• angeforderte URL beziehungsweise Name der abgerufenen Datei,
• übertragene Datenmenge und Meldung über den erfolgreichen Abruf (HTTP-Statuscode),
• Referrer-URL (die zuvor besuchte Seite),
• Browsertyp und -version sowie Betriebssystem.

Zweck. Auslieferung der Website, Gewährleistung eines störungsfreien Betriebs sowie der Systemsicherheit (Erkennung und Abwehr von Angriffen).

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website.

Speicherdauer. Sieben Tage. Danach werden die Einträge automatisch gelöscht. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Hosting. Wir betreiben den Webserver selbst auf angemieteter Infrastruktur der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland; das Zugriffsprotokoll liegt dort auf unserem Server. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ein Drittlandtransfer findet dabei nicht statt.

A.2 Kontaktaufnahme und Anfrage eines Erstgesprächs

Über das Formular auf dieser Website können Sie ein unverbindliches Erstgespräch anfragen. Dabei verarbeiten wir die von Ihnen gemachten Angaben: Name, geschäftliche E-Mail-Adresse, Unternehmen beziehungsweise Name Ihres Systems, ungefähre Anzahl der Standorte und — sofern angegeben — Ihre Nachricht. Dasselbe gilt, wenn Sie uns per E-Mail oder telefonisch kontaktieren.

Zweck. Bearbeitung Ihrer Anfrage, Terminvereinbarung und Anbahnung eines möglichen Vertragsverhältnisses.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Übermittlung. Die Formularangaben werden nicht in einer Datenbank dieser Website gespeichert, sondern unmittelbar als E-Mail an unser Postfach zugestellt. Für den Versand setzen wir Mailgun (EU-Region) ein — siehe Abschnitt C.2.

Schutz vor Missbrauch. Das Formular enthält ein für Sie unsichtbares Zusatzfeld, das automatisierte Einsendungen erkennt („Honeypot“); wird es ausgefüllt, verwerfen wir die Anfrage, ohne sie weiterzuverarbeiten. Zusätzlich zählen wir die Zahl der Absendungen je IP-Adresse eine Stunde lang im Arbeitsspeicher des Servers mit, um Massenanfragen zu bremsen. Eine darüber hinausgehende Speicherung dieser Zählung findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Formular).

Speicherdauer. Wir speichern die Daten, bis Ihre Anfrage abschließend bearbeitet ist, längstens jedoch zwölf Monate nach dem letzten Kontakt; danach löschen wir sie, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Frist trägt dem Umstand Rechnung, dass sich die Entscheidung über die Einführung einer Software für ein Franchise-Netz typischerweise über mehrere Monate zieht und Anfragen aus dieser Zeit wieder aufgegriffen werden.

A.3 Cookies, Analyse und Schriftarten

• Diese Website setzt keine Cookies zu Analyse-, Tracking- oder Marketingzwecken und bindet keine Werbe- oder Statistikdienste ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich.
• Verwendete Schriftarten werden vom eigenen Server ausgeliefert. Es besteht keine Verbindung zu externen Schriftarten-Diensten.
• In der Anwendung (app.kentarion.com) werden technisch notwendige Cookies für Anmeldung und Sitzungsverwaltung gesetzt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

B.1 Rollenverteilung: Systemgeber verantwortlich, Kentarion Auftragsverarbeiter

Kentarion stellt Franchise- und Filialsystemen eine Software zur Verwaltung ihres Netzes bereit. Welche personenbezogenen Daten dort verarbeitet werden — etwa Konten von Mitarbeitenden, Partnerinnen und Partnern, Standortleitungen sowie Bewerberinnen und Bewerbern — bestimmt und verantwortet der jeweilige Systemgeber als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

Die Bräunig UG (haftungsbeschränkt) handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet diese Daten ausschließlich weisungsgebunden. Grundlage ist ein Auftragsverarbeitungsvertrag zwischen dem Systemgeber und Kentarion.

Hinweis für Nutzerinnen und Nutzer der Anwendung: Für Auskunft, Löschung und die übrigen Betroffenenrechte hinsichtlich der in der Anwendung verarbeiteten Daten ist Ihr Systemgeber beziehungsweise Arbeitgeber der richtige Ansprechpartner. Kentarion unterstützt ihn dabei technisch.

Die folgenden Abschnitte beschreiben zur Transparenz, welche Verarbeitungen technisch stattfinden. Verantwortlicher bleibt der Systemgeber.

B.2 Anmeldung und Identitätsverwaltung

Die Anmeldung erfolgt über das Identitäts- und Zugriffsmanagement Zitadel, das von uns selbst in Deutschland betrieben wird — mit einer eigenen, von der Anwendungsdatenbank getrennten Datenbank. Zum Einsatz kommen die Standards OIDC und OAuth 2 mit PKCE; Mehr-Faktor-Authentifizierung und Single Sign-on werden unterstützt.

Verarbeitet werden die zur Anmeldung erforderlichen Daten, insbesondere Benutzername beziehungsweise E-Mail-Adresse, verschlüsselte Authentifizierungsmerkmale, gegebenenfalls MFA-Faktoren sowie Anmelde- und Sitzungsinformationen.

Zweck. Sichere Authentifizierung und Autorisierung, Schutz der Konten.

B.3 In der Anwendung verarbeitete Daten

Abhängig von der Ausgestaltung durch den Systemgeber werden insbesondere verarbeitet:

• Konto- und Profildaten der Nutzerinnen und Nutzer (Name, E-Mail, zugewiesene Rolle und Berechtigungen je Bereich — Region, Partner, Standort),
• fachliche Inhalte, die im Rahmen der Nutzung entstehen, etwa Standort- und Netzdaten, Dokumente, Formulareinreichungen, Finanzberichte und Handbuchinhalte,
• Protokolldaten (Audit-Log) über fachliche Ereignisse — zum Beispiel Einreichungen, Hochladen und Löschen von Dokumenten, Finanzberichte, Handbuch-Korrekturen — zu Zwecken der Nachvollziehbarkeit und Rechenschaft nach Art. 5 Abs. 2 DSGVO.

Die Trennung der Daten verschiedener Systeme (Mandanten) wird technisch durchgesetzt: Zugriffsrechte gelten nach dem Prinzip „deny by default“, zusätzlich greift eine zeilenbasierte Absicherung in der Datenbank.

B.4 KI-Funktionen (Verarbeitung von Freitext)

Die Anwendung enthält KI-gestützte Funktionen. Dabei können von Nutzerinnen und Nutzern eingegebene Freitexte sowie ausgewählte Kennzahlen an einen KI-Dienst übermittelt werden. Je nach Konfiguration des Mandanten kommt zum Einsatz:

• Mistral AI (Rechenzentren in der EU) als datenschutzfreundlicher Standard, oder
• Anthropic (Verarbeitung in den USA) — nur auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln und Datenverarbeitungszusatz), siehe Abschnitt C.3.

Zur Abrechnung wird lediglich eine Kostenspur geführt, etwa der Umfang der Anfrage — ohne den Inhalt der Anfrage oder der Antwort zu speichern. Die übermittelten Inhalte werden nicht zum Training fremder Modelle verwendet.

Bitte beachten Sie: Geben Sie in KI-gestützte Freitextfelder keine personenbezogenen oder vertraulichen Daten ein, die dort nicht erforderlich sind.

B.5 Geokodierung von Standortadressen

Zur Darstellung von Standorten und Gebieten auf einer Karte werden Anschriften von Standorten in Geokoordinaten umgerechnet. Optional wird dafür der Dienst der OpenCage GmbH (Deutschland) eingesetzt; ist kein Zugang konfiguriert, verwendet das System den geografischen Mittelpunkt der Postleitzahl.

• Übermittelt wird ausschließlich die Standort-Anschrift — keine Namen, Nutzer- oder Mandantenkennungen.
• Die Anfrage erfolgt so, dass der Dienst sie nicht speichert (no_record).
• Die Kartendarstellung nutzt keinen externen Kartendienst, damit keine Kartenanfragen den betrachteten Ausschnitt an Dritte verraten.

B.6 Öffentlich zugängliche Seiten der Anwendung

Systemgeber können einzelne Inhalte ohne Anmeldung freigeben, insbesondere Bewerbungsseiten für Partnerinnen und Partner, Umfrage-Formulare per Link oder QR-Code sowie Prüfer-Zugänge auf Eigenkontroll-Ordner. Verantwortlicher für die dort erhobenen Daten ist der jeweilige Systemgeber; Kentarion verarbeitet sie weisungsgebunden nach Art. 28 DSGVO. Bewerber- und Interessentendaten werden in der Anwendung vollständig gelöscht, Nutzerkonten bei Löschung anonymisiert, sodass der Prüfpfad integer bleibt.

C.1 Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO); richtet sich die Verarbeitung auf Direktwerbung, können Sie dieser jederzeit ohne Angabe von Gründen widersprechen,
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt,
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zuständigkeit. Betreffen Ihre Rechte diese Website (Abschnitt A), wenden Sie sich an info@kentarion.com. Betreffen sie die in der Anwendung verarbeiteten Daten (Abschnitt B), ist der jeweilige Systemgeber als Verantwortlicher Ihr Ansprechpartner; wir leiten Ihr Anliegen erforderlichenfalls weiter und unterstützen technisch.

Zuständige Aufsichtsbehörde für die Bräunig UG (haftungsbeschränkt): Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, Telefon +49 33203 356-0, Poststelle@LDA.Brandenburg.de. Zuständig ist sie, weil die Bräunig UG (haftungsbeschränkt) ihren Sitz in Brandenburg hat. Unabhängig davon können Sie sich nach Art. 77 DSGVO an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden.

C.2 Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils die datenschutzrechtlich erforderlichen Verträge bestehen. Die vollständige und aktuelle Liste der Unterauftragsverarbeiter stellen wir unseren Kunden als Anlage zum Auftragsverarbeitungsvertrag bereit. Wesentliche Empfänger sind:

C.3 Datenübermittlung in Drittländer

Grundsätzlich werden Ihre Daten innerhalb der EU beziehungsweise des EWR verarbeitet.

Eine Übermittlung in ein Drittland findet nur dann statt, wenn für die KI-Funktionen (Abschnitt B.4) Anthropic (USA) eingesetzt wird. In diesem Fall erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 sowie ergänzender Schutzmaßnahmen. Wird ausschließlich Mistral AI (EU) genutzt, findet kein Drittlandtransfer statt.

C.4 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-Funktionen dienen der Unterstützung; Entscheidungen treffen Menschen.

C.5 Pflicht zur Bereitstellung von Daten

Die Bereitstellung von Daten ist teils zur Durchführung eines Vertrages beziehungsweise zur Nutzung der Anwendung erforderlich, etwa Anmeldedaten. Ohne diese Angaben kann der jeweilige Dienst nicht oder nur eingeschränkt erbracht werden. Bei freiwilligen Angaben weisen wir gesondert darauf hin.

C.6 Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere Transportverschlüsselung (TLS) für alle Verbindungen, abgestufte Zugriffskontrollen sowie eine technisch erzwungene Trennung der Mandanten. Die vollständige Beschreibung der technischen und organisatorischen Maßnahmen stellen wir Kunden und Interessenten auf Anfrage bereit.

C.7 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt die jeweils auf dieser Website veröffentlichte Fassung.