1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

TD Production Inh. Tim Dittmann Kaiserbachstraße 49 76829 Landau in der Pfalz E-Mail: support@winnet.app Web: winnet.app

Bei Fragen zum Datenschutz wenden Sie sich bitte jederzeit an: support@winnet.app

2. Überblick über die Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Basis der nachfolgend genannten Rechtsgrundlagen. Wir erheben keine Daten, die über den beschriebenen Zweck hinausgehen.

Diese Datenschutzerklärung gilt für: • registrierte Partner (Empfehlungsgeber) • registrierte Unternehmer (Dienstleister, Handwerksbetriebe, Arbeitgeber) • Kontaktpersonen (empfohlene Dritte, die eine Einladungs-E-Mail erhalten) • Bewerber (Personen, die sich auf Stellenanzeigen bewerben) • Interessenten, die über winnet.app/zugang einen Unternehmenszugang anfragen • Besucher der Webseite winnet.app

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen: • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): z. B. für Push-Benachrichtigungen, Profilbild-Upload, Verarbeitung der Kontaktdaten einer Kontaktperson nach deren Bestätigung im Zwei-Schritt-Empfehlungsprozess • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): z. B. für Registrierung, Empfehlungs- und Provisionssystem, Mitarbeitervermittlung, Auszahlungen, Vertragsanbahnung zwischen Kontaktperson/Bewerber und Unternehmer • Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): z. B. für steuerliche Meldepflichten nach PStTG/DAC7, handels- und steuerrechtliche Aufbewahrungspflichten • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): z. B. für Betrugsprävention, Plattformsicherheit, Versand der Einladungs-E-Mail im ersten Schritt des Empfehlungsprozesses, Analyse zur Verbesserung der App

4. Registrierung und Nutzerkonto

Bei der Registrierung in unserer App erheben wir folgende Daten: • Vorname und Nachname • E-Mail-Adresse • Passwort bei E-Mail-/Passwort-Anmeldung (als bcrypt-Hash gespeichert, nicht im Klartext) • Telefonnummer (verpflichtend bei Partnern und Unternehmern) • Gewählte Rolle (Partner oder Unternehmer) • Einladungscode (sofern vorhanden) • Profilbild (optional, vom Nutzer selbst hochgeladen)

Das Profilbild wird zur Darstellung Ihres Profils verwendet. Der Zugriff auf die Fotobibliothek Ihres Geräts erfolgt über die von Ihnen freigegebene Bildauswahl. Das hochgeladene Bild wird bei Cloudflare, Inc. (USA) gespeichert und ist über eine öffentliche Medienadresse auch ohne Anmeldung abrufbar. Das Bild selbst kann eine Person erkennbar machen. Laden Sie deshalb keine vertraulichen Dokumente oder Bilder anderer Personen ohne Berechtigung als Profilbild hoch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können diese Einwilligung durch Entfernen des Profilbilds in den Profileinstellungen widerrufen; dabei wird auch die Löschung der bisherigen Datei veranlasst.

Diese Daten werden zur Erstellung und Verwaltung Ihres Nutzerkontos sowie zur Abwicklung des Empfehlungs-, Cashback- und Vermittlungssystems benötigt. Ein Unternehmer kann zusätzlich die Partnerfunktion desselben Kontos aktivieren. Dabei bleiben beide Rollen mit derselben Nutzeridentität verknüpft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zum Nachweis Ihrer ausdrücklichen Vertragsannahme speichern wir die interne Nutzerkennung, die angenommene AGB-Version, einen Prüfwert der zugehörigen Textfassung (SHA-256), den Zeitpunkt und die bezeichnete Annahmehandlung. Bei einer Annahme im Zahlungsablauf wird ein gesonderter Beleg mit der Checkout-Kennung statt der Nutzerkennung gespeichert. Ein solcher Zahlungsbeleg ersetzt nicht die persönliche AGB-Annahme des Nutzerkontos. Diese Annahmenachweise enthalten keine zusätzlichen IP-Adressen oder Browserkennungen; das gesonderte Zugriffsprotokoll ist in Ziffer 14 beschrieben. Die Annahme der AGB ist keine Einwilligung in Werbung oder in die Weitergabe einer konkreten Empfehlung.

Zweck ist die Zuordnung der tatsächlich vereinbarten Bedingungen und der Nachweis bei Vertragsfragen oder Rechtsansprüchen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung und Art. 6 Abs. 1 lit. f DSGVO für das berechtigte Interesse an einem nachvollziehbaren Vertragsnachweis. Die notwendige Dauer richtet sich nach dem betroffenen Vertragsverhältnis und den noch geltenden Ansprüchen sowie einschlägigen Verjährungs- oder gesetzlichen Aufbewahrungsfristen. Ein Nachweis kann daher über die Kontolöschung hinaus erforderlich sein, rechtfertigt aber nicht die weitere Speicherung des gesamten Profils. Es gilt hierfür keine pauschale unbegrenzte Speicherung; Notwendigkeit und Umfang sind zweckbezogen zu prüfen. Die Dreijahresregel für Empfehlungs-Einwilligungsnachweise in Ziffer 6 gilt nicht für diese gesonderten AGB-Annahmenachweise.

Speicherdauer: Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Nach Löschung des Kontos werden die Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Für die getrennten Vertragsannahmenachweise gelten die vorstehend beschriebenen engen Zweck- und Fristkriterien.

4b. Unternehmensprofil-Medien

Unternehmer können ihr Unternehmensprofil mit Fotos (Galerie-Bilder) und Video-Links von YouTube oder Vimeo anreichern.

Galerie-Fotos und Unternehmenslogos werden bei Cloudflare, Inc. (USA) mit Cloudflare R2 gespeichert und sind über öffentliche Medienadressen auch ohne Anmeldung abrufbar. Die Bilder selbst können personenbezogene Informationen enthalten. Unternehmer dürfen nur zur Veröffentlichung bestimmte Bilder mit den erforderlichen Nutzungsrechten hochladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bilder können im Profil entfernt werden; beim Entfernen oder bei der Kontolöschung wird auch die Löschung der zugehörigen Dateien veranlasst. Von Dritten bereits angefertigte Kopien können hierdurch nicht zurückgerufen werden.

Eingebettete Videos werden zunächst ohne Verbindung Ihres Geräts zum Videoanbieter angezeigt. Für YouTube-Videos kann WinNet ein Vorschaubild über den eigenen Server bereitstellen. Hierzu ruft unser Server die öffentlichen Videometadaten und das Vorschaubild bei YouTube ab und speichert es für höchstens sechs Stunden zwischen. Ihre IP-Adresse, Cookies und Anmeldedaten werden bei diesem Abruf nicht an YouTube weitergereicht. Ist kein Vorschaubild verfügbar, wird ein lokaler Platzhalter angezeigt. Erst wenn Sie „Video laden“ auswählen, stellt Ihr Gerät eine Verbindung zum jeweiligen Anbieter her. Dieser erhält dabei insbesondere Ihre IP-Adresse und technische Browser-/Gerätedaten und kann Cookies oder vergleichbare Technologien einsetzen. Rechtsgrundlage für diese freiwillige Aktivierung ist Art. 6 Abs. 1 lit. a DSGVO. Mit „Schließen“ entfernen Sie den Player wieder; bereits übertragene Daten werden dadurch beim Anbieter nicht rückwirkend gelöscht. Die übrigen Profilfunktionen können Sie ohne Aktivierung des Videos nutzen. Weitere Informationen zu YouTube (Google Ireland Limited): https://policies.google.com/privacy; zu Vimeo: https://vimeo.com/privacy. Eine Verarbeitung außerhalb der EU ist abhängig vom Videoanbieter möglich.

5. Verifizierung von Unternehmern

Im Rahmen der Verifizierung von Unternehmern erheben und verarbeiten wir folgende Verifizierungsdaten: • Kopie/Foto des Personalausweises oder Reisepasses (Vorder- und Rückseite) • Gewerbeanmeldung oder vergleichbarer Nachweis der gewerblichen Tätigkeit • Firmenname, Firmenadresse und Branche • ggf. Handelsregisternummer • ggf. weitere Nachweise wie Referenzen, Leistungsnachweise oder Zertifikate

Diese Daten werden ausschließlich zur Identitätsprüfung und Verifizierung der gewerblichen Tätigkeit verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betrugsprävention und Plattformintegrität).

Speicherfristen: • Verifizierungsdokumente (Personalausweis, Rückseite und Gewerbeanmeldung): max. 6 Monate nach Abschluss der Verifizierung Nach Ablauf der Frist werden sowohl die Datei im Speicher als auch der zugehörige Nachweis-Datensatz endgültig und unwiderruflich gelöscht.

6. Empfehlungen, Cashback und Provisionen

Im Rahmen unseres Empfehlungs- und Cashback-Systems verarbeiten wir folgende Datenkategorien:

a) Nutzungsdaten: • abgegebene Empfehlungen und Eigenanfragen • Auftragsstatus und Auftragsvolumen • Zeitstempel und Verlauf der Empfehlungsaktivitäten

b) Vergütungsdaten: • Provisionshöhe und Cashback-Beträge • Netzwerk-Pool-Gutschriften • Wallet-Guthaben und Auszahlungshistorie

c) Daten im Zwei-Schritt-Empfehlungsprozess: Im ersten Schritt verarbeiten wir die vom Partner eingegebene E-Mail-Adresse oder die zur eingegebenen WinNet-ID gehörende hinterlegte E-Mail-Adresse sowie einen einmaligen, kryptografisch gesicherten Bestätigungstoken. Bei einer WinNet-ID speichern wir außerdem die interne Empfängerkennung, damit nur dieses Konto die Anfrage über seine App-Benachrichtigung öffnen kann. Die E-Mail-Adresse wird dem Empfehler bei diesem Weg nicht angezeigt. Diese Daten dienen der Bestätigungsanfrage. Eine bestehende Mitgliedschaft ersetzt die Zustimmung zur konkreten Empfehlung nicht. Im zweiten Schritt – nach freiwilliger Bestätigung durch die Kontaktperson – verarbeiten wir: • Name und Telefonnummer der Kontaktperson (selbst eingegeben) • bestätigter Einwilligungsstatus und Zeitstempel der Bestätigung

Rechtsgrundlage für die Verarbeitung der E-Mail-Adresse und des Tokens im ersten Schritt ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Kontaktperson wird in der Einladungs-E-Mail gemäß Art. 14 DSGVO über die Quelle ihrer Daten und den Zweck der Verarbeitung informiert. Rechtsgrundlage für die Verarbeitung der Daten im zweiten Schritt ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

Speicherfristen: • E-Mail-Adresse und Token (unbestätigt): automatische Löschung nach 14 Tagen • Kontaktdaten nach Bestätigung (ohne Auftragsabschluss): Löschung nach 90 Tagen • Kontaktdaten bei Auftragsabschluss: nur soweit für die weitere Abwicklung oder einen aufzubewahrenden Beleg erforderlich; die Belegfristen gelten nicht pauschal für sämtliche Kontaktdaten • Nachweis der Empfehlungs-Einwilligung: Löschung nach 3 Jahren ab Bestätigung bei abgeschlossenen oder nicht mehr aktiven Vorgängen, sofern der Nachweis nicht mehr erforderlich ist; begrenzte Ausnahmen siehe folgenden Absatz • Nutzungsdaten (Empfehlungen, Zeitstempel): Dauer des Nutzungsverhältnisses, danach Löschung innerhalb von 30 Tagen • Vergütungsdaten (Provisionen, Cashback, Wallet, Auszahlungen): Aufbewahrung der erforderlichen Abrechnungsunterlagen nach der jeweiligen Unterlagenart; Einzelheiten in Ziffer 16

Die Dreijahresfrist ist unsere Regel für den gesonderten Empfehlungsnachweis, keine allgemeine gesetzliche Löschfrist. Solange eine Verarbeitung auf der Einwilligung beruht, muss diese nachweisbar bleiben (Art. 7 Abs. 1 DSGVO). Ein weiterhin benötigter Nachweis, etwa für die laufende Abwicklung oder konkrete Rechtsansprüche, wird nur im erforderlichen Umfang aufbewahrt. Dafür werden der konkrete Zweck, die betroffenen Daten und der nächste Prüftermin dokumentiert; die Ausnahme wird spätestens nach 30 Tagen erneut geprüft. Diese Wiedervorlage ist keine automatische Löschfrist für benötigte Beweise. Rechtsgrundlagen der erforderlichen weiteren Nachweisverarbeitung sind je nach Zweck Art. 6 Abs. 1 lit. b, c oder f DSGVO.

Der technische Auftragsstatus wird vom gespeicherten Einwilligungsnachweis getrennt behandelt. Die Bereinigung des Nachweises löscht nicht den Auftrag oder das Nutzerkonto und erzwingt keine erneute Zustimmung allein wegen des Fristablaufs. Sie erlaubt auch keine neue oder weitergehende Nutzung der Daten. Ein Widerruf und andere Betroffenenrechte bleiben wirksam; sie dürfen nicht durch einen fortbestehenden Auftragsstatus umgangen werden. Für Kontaktdaten und Abrechnungsbelege gelten ihre jeweils eigenen Zwecke und Fristen, nicht automatisch dieselbe Dreijahresfrist.

7. Mitarbeitervermittlung und Bewerberdaten

Im Rahmen der Mitarbeitervermittlung verarbeiten wir folgende Daten:

a) Daten des Bewerbers (bei Selbstbewerbung): • Name, E-Mail-Adresse, Telefonnummer • Anschreiben (sofern eingereicht) • Lebenslauf (sofern hochgeladen, als Dateianhang) • Gewählte Stelle und Zeitstempel der Bewerbung

b) Daten des empfohlenen Kandidaten (bei Empfehlung durch Partner): • E-Mail-Adresse (im ersten Schritt, vor Bestätigung) • Name und Telefonnummer (nach freiwilliger Bestätigung durch den Kandidaten) • bestätigter Einwilligungsstatus und Zeitstempel der Bestätigung • Anschreiben und Lebenslauf, sofern der Kandidat diese freiwillig bei der Bestätigung beifügt

c) Stellenanzeigen-Daten: • Stellenbezeichnung, Beschäftigungsart, Arbeitsort • Tätigkeitsbeschreibung und Anforderungen • Probezeitdauer und Vermittlungsprovision

Rechtsgrundlage für die Verarbeitung der Bewerberdaten ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) sowie § 26 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses). Für empfohlene Kandidaten gilt im ersten Schritt Art. 6 Abs. 1 lit. f DSGVO, nach Bestätigung Art. 6 Abs. 1 lit. a und b DSGVO.

Speicherfristen: • Bewerberdaten bei Ablehnung: Löschung nach 6 Kalendermonaten ab dokumentierter Ablehnung der Bewerbung, nicht ab einer beliebigen späteren Statusänderung • Bewerberdaten bei erfolgreicher Vermittlung: Löschung der nicht mehr benötigten Bewerber-Kontaktdaten und Anschreiben nach 90 Tagen ab Bestätigung des Probezeitendes, sofern die Vermittlung abgeschlossen ist. Die Frist beginnt nicht bereits mit der Einstellung. Eine Personalakte führt gegebenenfalls das einstellende Unternehmen in eigener Verantwortung, nicht WinNet. • Lebenslauf-Anhänge im Bewerbungsversand: keine Archivierung im WinNet-Dokumentenspeicher; für E-Mail-Kopien gelten die gesonderten Zweck- und Löschregeln im folgenden Absatz • Vermittlungsprovisionsdaten: Aufbewahrung der erforderlichen Abrechnungsunterlagen nach der jeweiligen Unterlagenart; Einzelheiten in Ziffer 16

Berechtigte frühere Löschanfragen und ein früherer Wegfall des Verarbeitungszwecks werden unabhängig von diesen Regelfristen geprüft. Eine vorhandene Zahlung allein rechtfertigt nicht, sämtliche Bewerberdaten weiter aufzubewahren. Auftragsstatus, Provisionsberechnung und erforderliche Abrechnungsbelege werden getrennt von nicht mehr benötigten Bewerberdaten behandelt. Bei noch laufender Abwicklung oder konkreten Rechtsansprüchen bleiben nur die dafür tatsächlich erforderlichen Daten geschützt. Ein berechtigter Admin dokumentiert Grund, betroffene Daten und nächsten Prüftermin; spätestens nach 30 Tagen erfolgt eine erneute Prüfung. Die 30 Tage sind eine interne Wiedervorlage, keine gesetzliche Aufbewahrungsfrist und keine automatische Löschung von Beweisen. Sobald der Grund entfällt, werden nicht mehr benötigte Daten bereinigt. Für diese begrenzte weitere Verarbeitung gelten je nach Zweck Art. 6 Abs. 1 lit. b, c oder f DSGVO.

Weitergabe an Unternehmer: Bewerberdaten werden an das Unternehmen weitergegeben, auf dessen Stellenanzeige sich der Bewerber beworben hat oder für das die Empfehlung ausgesprochen wurde. Bewerbungsnachrichten und freiwillig beigefügte Lebensläufe werden über unseren E-Mail-Dienst Resend an die hinterlegte E-Mail-Adresse des Unternehmensinhabers versendet. Dabei erhalten auch der Versanddienst und der E-Mail-Dienst des Empfängers die zur Zustellung erforderlichen Inhalte. Eine Weitergabe an andere Unternehmen erfolgt in diesem Ablauf nicht. Das empfangende Unternehmen ist für die weitere Verarbeitung und Aufbewahrung in seinem Postfach verantwortlich; eine Bereinigung des WinNet-Datensatzes löscht dortige E-Mail-Kopien nicht automatisch.

Lebenslauf-Dateien werden in diesem Bewerbungsablauf zur E-Mail-Zustellung verarbeitet, aber nicht als abrufbare Dokumentdatei im WinNet-Konto oder im WinNet-Dokumentenspeicher archiviert. Dies ist keine Zusage einer automatischen Fernlöschung im Postfach des Unternehmens. Löschanfragen können Sie an support@winnet.app und an das empfangende Unternehmen richten. Die Prüfung muss neben dem WinNet-Datensatz auch die jeweiligen E-Mail-Kopien berücksichtigen; das Entfernen eines Datensatzes oder das Ablaufen eines Downloadlinks bestätigt deren Löschung nicht. Für eigene Versandkopien veranlasst WinNet die erforderliche Bereinigung beim Versanddienst. Das Unternehmen prüft für seine Kopien eigenständig Zweck, Rechtsgrundlage und Speicherdauer, beispielsweise bei einer notwendigen Personalakte. Ohne weiteren rechtmäßigen Zweck sind nicht mehr benötigte Kopien zu löschen; eine pauschale Aufbewahrung allein wegen der Plattformnutzung ist nicht zulässig.

Empfängermitteilungen: Bei Berichtigungen, Löschungen nach Art. 17 Abs. 1 DSGVO oder Einschränkungen der Verarbeitung informieren wir die betroffenen Empfänger gemäß Art. 19 DSGVO, soweit dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist. Dies gilt nicht nur bei einer ausdrücklichen Nutzeranfrage, sondern gegebenenfalls auch bei einer Löschung wegen Fristablaufs. Ein berechtigter Admin prüft den Empfänger und versendet den Hinweis manuell ohne unnötige Verzögerung. Versand, Bearbeitungsstand und Rückmeldung beziehungsweise begründete Ausnahme werden mit den notwendigen Angaben dokumentiert; nicht erneut benötigte Lebensläufe werden dafür nicht mitgesendet. Für die Bearbeitung ist eine interne Wiedervorlage nach 14 Tagen vorgesehen. Sie ist keine gesetzliche Löschfrist für das Unternehmen und verlängert keine Frist für Betroffenenanfragen. Die Firma bearbeitet ihre Kopien selbst und teilt die Erledigung oder einen konkreten rechtmäßigen Aufbewahrungsgrund mit. Auf Anfrage informieren wir die betroffene Person über die Empfänger. WinNets eigene Datenschutzpflichten bleiben von den Pflichten des Unternehmens unberührt.

8. Steuerliche Daten und Meldepflichten (PStTG/DAC7)

Zur Erfüllung unserer gesetzlichen Pflichten nach dem Plattformen-Steuertransparenzgesetz (PStTG), das die EU-Richtlinie DAC7 (Richtlinie 2021/514/EU) in deutsches Recht umsetzt, erheben und verarbeiten wir bei meldepflichtigen Partnern zusätzlich: • Steueridentifikationsnummer (Steuer-ID) • Gewerbeanmeldung oder Nachweis des Kleinunternehmerstatus (ab 2.000,00 € Jahresprovision) • Transaktionsanzahl und Gesamtvergütung pro Kalenderjahr • Wohnsitzland (für grenzüberschreitende Meldungen)

Ob eine Meldepflicht besteht, richtet sich nach der Einordnung des Plattformbetriebs, der jeweiligen Tätigkeit und den Voraussetzungen des PStTG. Die Freistellung bei weniger als 30 Tätigkeiten und insgesamt weniger als 2.000,00 € Vergütung im Kalenderjahr betrifft den Verkauf von Waren und ist keine allgemeine Freigrenze für Dienstleistungen oder Empfehlungen. Soweit eine gesetzliche Meldepflicht besteht, verarbeiten und übermitteln wir die erforderlichen Daten gemäß Art. 6 Abs. 1 lit. c DSGVO an das Bundeszentralamt für Steuern (BZSt).

Betroffene Partner werden über die bevorstehende Meldung vorab informiert und erhalten eine Kopie der übermittelten Daten auf Anfrage.

Speicherdauer: Soweit wir Aufzeichnungen nach § 24 PStTG führen müssen, gilt hierfür eine Aufbewahrungsfrist von 10 Jahren ab Ablauf des Kalenderjahres ihrer Erstellung. Für die personenbezogenen Aufzeichnungen nach § 24 Abs. 1 Nr. 2 bis 5 PStTG sieht das Gesetz anschließend eine Löschung vor. Diese besondere Frist gilt nicht pauschal für sämtliche im Nutzerprofil gespeicherten Steuerdaten.

9. Zahlungsabwicklung (Stripe)

Für die Abwicklung von Zahlungen (Verifizierungsgebühr, Provisionsabgaben durch Unternehmer) nutzen wir den Zahlungsdienstleister Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA.

Bei der Nutzung von Stripe werden folgende personenbezogene Daten an Stripe übermittelt: • Name/Firma des Zahlungspflichtigen, gegebenenfalls Inhabername • E-Mail-Adresse • Rechnungsanschrift und Land • Umsatzsteuer-Identifikationsnummer (USt-IdNr.), sofern vorhanden • Zahlungsinformationen (z. B. Kreditkartendaten, IBAN) • Rechnungsbetrag und Transaktionsdaten • IP-Adresse und Geräteinformationen (zur Betrugsprävention)

Für Provisionszahlungen speichern wir bei Stripe zur korrekten Zahlungszuordnung und Rechnungserstellung außerdem die zum Zahlungszeitpunkt maßgeblichen Rechnungsempfänger- und Umsatzsteuerdaten als zahlungsbezogene Metadaten. Dieser Rechnungsdaten-Snapshot umfasst Name/Firma, gegebenenfalls Inhabername, E-Mail-Adresse, Rechnungsanschrift und Land, gegebenenfalls USt-IdNr. sowie Steuersatz und steuerliche Behandlung. Die Aufbewahrung richtet sich nach dem jeweiligen Nachweiszweck und den in Ziffer 16 beschriebenen Kriterien.

Rechtsgrundlage für die Datenübermittlung an Stripe ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe verarbeitet diese Daten als eigenverantwortliche Stelle gemäß Art. 4 Nr. 7 DSGVO.

Da Stripe seinen Sitz in den USA hat, erfolgt eine Übermittlung personenbezogener Daten in ein Drittland. Stripe hat sich zur Einhaltung des EU-US Data Privacy Framework verpflichtet und verwendet zusätzlich Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO als Garantie für ein angemessenes Datenschutzniveau.

Weitere Informationen zum Datenschutz bei Stripe: https://stripe.com/de/privacy

10. Auszahlungen per SEPA-Überweisung (Revolut)

Provisionen und Cashback-Beträge werden per SEPA-Banküberweisung an Partner ausgezahlt. Für die Abwicklung dieser Überweisungen nutzen wir das Geschäftskonto des Anbieters bei Revolut Bank UAB, Konstitucijos ave. 21B, 08130 Vilnius, Litauen.

Dabei werden folgende Daten an Revolut übermittelt: • Name des Kontoinhabers • IBAN • Auszahlungsbetrag und Verwendungszweck

Die von Ihnen hinterlegten Auszahlungsdaten (IBAN und Kontoinhaber) werden zur Durchführung der von Ihnen beantragten Auszahlung gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Revolut hat seinen Sitz innerhalb der EU (Litauen). Weitere Informationen: https://www.revolut.com/legal/privacy/

10b. Rechnungserstellung (Lexware Office / lexoffice)

Für die Erstellung und Verwaltung von Rechnungen und Belegen (Verifizierungsgebühr, Provisionsabrechnungen der Unternehmer, Auszahlungsbelege) nutzen wir den Buchhaltungsdienst Lexware Office (Haufe-Lexware Office GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland).

Dabei werden die für die Rechnung erforderlichen Daten übermittelt, insbesondere: • Firmenname und Name des Inhabers • Rechnungs-/Firmenanschrift • ggf. Umsatzsteuer-Identifikationsnummer • E-Mail-Adresse • Rechnungspositionen und -beträge

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungs- und Rechnungspflichten). Der Anbieter hat mit Lexware Office einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Der Server-Standort liegt in Deutschland. Weitere Informationen: https://www.lexware.de/datenschutz/

10c. Anmeldung mit Google oder Apple

Sie können sich optional mit Ihrem Google- oder Apple-Konto registrieren und anmelden („Single Sign-On"). Nutzen Sie diese Möglichkeit, übermittelt der jeweilige Anbieter an uns die für die Kontoerstellung erforderlichen Daten: • Name • E-Mail-Adresse (bei Apple ggf. eine anonymisierte Weiterleitungsadresse) • eine eindeutige Nutzerkennung des Anbieters (zur Verknüpfung Ihres Kontos)

Anbieter sind Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) bzw. Apple Inc. (One Apple Park Way, Cupertino, CA 95014, USA). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Nutzung des jeweiligen Login-Dienstes. Bei Apple kann eine Übermittlung in die USA erfolgen (Standardvertragsklauseln). Weitere Informationen: https://policies.google.com/privacy und https://www.apple.com/legal/privacy/

10d. Reichweitenmessung & Marketing (Meta-Pixel) – nur mit Einwilligung

Auf unserer Webseite setzen wir – ausschließlich nach Ihrer aktiven Einwilligung – das Meta-Pixel sowie die Conversions-API des Anbieters Meta Platforms Ireland Limited (4 Grand Canal Square, Dublin 2, Irland) ein. Das Meta-Pixel wird erst geladen, nachdem Sie im Einwilligungs-Banner „Akzeptieren" gewählt haben; ohne Einwilligung findet keine Übertragung an Meta statt.

Mit Ihrer Einwilligung werden verarbeitet bzw. an Meta übermittelt: • Interaktionen mit der Seite (z. B. Seitenaufruf, Registrierung) • Cookies (u. a. _fbp, _fbc) und die Kennung fbclid • IP-Adresse und Browser-/Geräteinformationen • bei bestimmten Ereignissen: E-Mail-Adresse, Telefonnummer, Name (an Meta nur in gehashter Form)

Zweck ist die Messung und Optimierung von Werbekampagnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (über die Cookie-Einstellungen auf der Webseite). Es erfolgt eine Übermittlung in die USA; Meta stützt sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Für die Erhebung der Daten über das Pixel sind der Anbieter und Meta gemeinsam Verantwortliche (Art. 26 DSGVO). Weitere Informationen: https://www.facebook.com/privacy/policy

10e. Webinare (Zoom)

Für die Durchführung von Online-Webinaren nutzen wir den Dienst Zoom (Zoom Communications, Inc., 55 Almaden Boulevard, 6th Floor, San Jose, CA 95113, USA). Wenn Sie an einem Webinar teilnehmen, verarbeitet Zoom die von Ihnen bei der Anmeldung angegebenen Daten (z. B. Name, E-Mail-Adresse) sowie technische Teilnahmedaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit der Anmeldung). Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln. Weitere Informationen: https://explore.zoom.us/de/privacy/

Die bei WinNet gespeicherten Webinar-Anmeldedaten werden bis 90 Tage nach dem gebuchten Webinar-Termin aufbewahrt und anschließend automatisch gelöscht, sofern keine gesetzlichen Pflichten entgegenstehen.

10e.1. Zugangsanfragen über /zugang

Wenn Sie über winnet.app/zugang einen Unternehmenszugang anfragen, verarbeiten wir Name, Unternehmen, E-Mail-Adresse und Telefonnummer als Pflichtangaben sowie Branche und Ort, sofern angegeben. Ohne die Pflichtangaben kann das Formular nicht abgesendet werden. Wir speichern die Anfrage zunächst in unserer Datenbank, senden eine Eingangsbestätigung per E-Mail und bearbeiten die Anfrage einschließlich der gewünschten Rückmeldung per Telefon oder E-Mail. Das Absenden legt noch kein Nutzerkonto an und ist keine Einwilligung in Werbung.

Rechtsgrundlage für die angefragte Vertragsanbahnung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Sie als Kontaktperson für ein Unternehmen handeln, beruht die Bearbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung und Organisation der von Ihnen veranlassten Unternehmensanfrage. Für die interne Zustellung und Fehlerbehandlung speichern wir außerdem Eingangs- und Änderungszeitpunkte, Weiterleitungsstatus, Zustellversuche, Fehlerhinweise, die zurückgemeldete James-Leadkennung und den Status der Bestätigungs-E-Mail.

Die Kontaktdaten werden zusammen mit Unternehmen, Branche und Ort sowie der Quelle „winnet_zugang“ an das angebundene interne CRM-System James unter fullfilment.tim-dittmann.de weitergegeben. Bei Übertragungsfehlern bleibt die Anfrage zur erneuten Zustellung in der lokalen Warteschlange. Unabhängig davon erhält die Plattformleitung eine E-Mail über Resend mit diesen Angaben und einen Hinweis mit den Anfragedaten im Admin-Bereich. Zum E-Mail-Dienst und zu James siehe Ziffern 12 und 10f. Die CRM-Bearbeitung ist auch ohne Marketingeinwilligung möglich.

Nur mit Ihrer gesonderten Marketingeinwilligung werden zusätzlich die aufgerufene Landingpage und verweisende Seite (bereinigt um nicht benötigte URL-Parameter), Kampagnenangaben (UTM), Werbeklick-Kennungen (fbclid, gclid, ttclid), Meta-Cookie-Kennungen (_fbp, _fbc) und eine Ereigniskennung zur Werbezuordnung gespeichert und an James übermittelt. James erhält auch den Marketingeinwilligungsstatus. Kampagnenquelle und Kampagnenname können dann im internen Betreiberhinweis enthalten sein. Zweck ist die Messung und Zuordnung von Werbekampagnen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, für den Zugriff auf nicht notwendige Endgeräteinformationen zusätzlich § 25 Abs. 1 TDDDG. Ohne diese Einwilligung werden die genannten Marketingdaten nicht gespeichert oder weitergeleitet. Den Widerruf über die Cookie-Einstellungen und die Verarbeitung durch Meta erläutert Ziffer 10d.

Speicherdauer: Zugangsanfragen in der lokalen Lead-Tabelle werden nach 6 Monaten ab Eingang gelöscht. Das ist eine zweckbezogene Aufbewahrungsregel, keine gesetzliche Sechsmonatsfrist. Berechtigte frühere Löschanfragen bleiben möglich. Die Frist beginnt nicht mit jeder Weiterleitung erneut. Eine Löschung dieser lokalen Zeile löscht nicht zugleich die CRM-Kopie bei James, den Admin-Hinweis, E-Mail-Kopien bei Resend oder im Betreiberpostfach. Diese Kopien müssen gesondert nach ihrem jeweiligen Bearbeitungszweck geprüft und gelöscht werden, sobald sie nicht mehr erforderlich sind; nur konkret erforderliche Vertrags- oder Rechtsnachweise bleiben nach den Kriterien in Ziffer 16 erhalten. Für Rechteanfragen, auch zu diesen Kopien, wenden Sie sich an support@winnet.app. Die lokale Frist ist keine Zusage einer automatischen Fernlöschung oder einer bereits aktivierten neuen systemübergreifenden Bereinigung.

10f. Angebundene Benachrichtigungs- und Abwicklungssysteme

Zur internen Organisation setzt der Anbieter das angebundene System James ein. An dieses System werden bei bestimmten Ereignissen Daten übermittelt: • bei Zugangsanfragen über /zugang: Kontakt- und Unternehmensangaben, Quelle und Marketingeinwilligungsstatus; zusätzliche Werbezuordnungsdaten nur mit Einwilligung (siehe Ziffer 10e.1) • bei einer neuen Registrierung: Name und E-Mail-Adresse sowie Angaben zur Registrierung • bei neuen Support-Anfragen: Name, E-Mail-Adresse, Ticketkennung, Betreff, Kategorie und eine Vorschau des Nachrichtentexts von bis zu 600 Zeichen • bei Webinar-Anmeldungen: Name, E-Mail-Adresse und Termin; für die Zuordnung außerdem eine mit geheimem Schlüssel abgeleitete E-Mail-Kennung sowie gegebenenfalls Firmenname und Ort • beim Mitgliederabgleich: interne Mitglieds-/Firmenkennungen, Rolle, Firmenname und Ort, Registrierungs-, Änderungs-, Sperr- und Löschstatus, Zuordnung zum Inhaber sowie eine mit geheimem Schlüssel abgeleitete E-Mail-Kennung • zur Betriebsübersicht und Betreuung: mitgliedsbezogene Aktivitätskennzahlen zu Anmeldungen, Empfehlungen, Aufträgen und Zahlungen sowie Umsatz- und Provisionskennzahlen

Diese Verarbeitung dient der Benachrichtigung des Anbieters, der Auftrags-/Anfragebearbeitung, dem Abgleich zugehöriger Mitglieder und der betrieblichen Betreuung. Die abgeleiteten Kennungen ermöglichen einen Abgleich und sind nicht mit anonymen Daten gleichzusetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/-anbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zeitnahen Bearbeitung und nachvollziehbaren Betriebsorganisation).

Bei aktivierter Betreiberbenachrichtigung über James werden Hinweise über die Bot-Schnittstelle des Messengerdienstes Telegram an den privaten Betreiberchat versendet. Telegram erhält dabei den Nachrichtentext beziehungsweise die erzeugte Sprachnachricht und die zur Zustellung erforderlichen technischen Daten. Supporthinweise einschließlich der beschriebenen Vorschau werden als Text behandelt. Registrierungs- und Webinarhinweise können bei eingerichteter Sprachausgabe über den Dienst ElevenLabs in eine Sprachnachricht umgewandelt werden; dafür erhält ElevenLabs den Meldungstext mit Namen, E-Mail-Adresse und gegebenenfalls Webinar-Termin. Diese Weiterleitungen sind keine Nachrichten an andere WinNet-Kunden. Eine Verarbeitung außerhalb der EU beziehungsweise des EWR ist möglich. Weitere Informationen: https://telegram.org/privacy und https://elevenlabs.io/privacy-policy

Die Übermittlung erzeugt zusätzliche Ereignis- und Nachrichtenkopien. Ein als zugestellt oder angenommen markiertes Ereignis ist damit noch nicht gelöscht. Bei einer Löschung sind die lokalen Warteschlangen und die Kopien im angebundenen System gesondert zu berücksichtigen; für Support gilt die manuelle Prüfung nach Ziffer 10g.

10g. Eingehende Nachrichten (Support-Postfach)

Wenn Sie uns eine E-Mail an unser Support-Postfach senden, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (sofern angegeben) und den Inhalt Ihrer Nachricht einschließlich etwaiger Anhänge, um Ihre Anfrage zu bearbeiten. Aus eingehenden Nachrichten wird ein internes Support-Ticket erstellt.

Der Empfang und Versand dieser E-Mails erfolgt über den Dienst Resend (siehe Ziffer 12). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage im Rahmen des Nutzungsverhältnisses) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Nach Abschluss der Bearbeitung prüfen wir, ob die Daten noch benötigt werden. Erledigte Tickets werden nicht allein aufgrund ihres Status automatisch gelöscht. Eine weitere Aufbewahrung wird mit einem konkreten Grund und einem nächsten Prüftermin dokumentiert. Ohne fortbestehenden Zweck oder einschlägige Aufbewahrungspflicht werden die nicht mehr benötigten Daten gelöscht.

Notwendige Rechnungs-, Zahlungs- oder Rechtsnachweise sind gesondert zu beurteilen; ihre Aufbewahrung rechtfertigt nicht automatisch die Speicherung des gesamten Tickets. Die lokale Löschung berücksichtigt Ticket, Kommentare, Anhang-Metadaten und zugeordnete verarbeitete Nachrichtenkopien. Kopien beim E-Mail-Dienst, in verbundenen Benachrichtigungssystemen und in Empfängerpostfächern sowie Sicherungskopien werden gesondert nach ihrem Zweck und den jeweils anwendbaren Fristen behandelt. Eine lokale Ticketlöschung allein ist kein Nachweis, dass auch diese externen Kopien gelöscht wurden.

10h. Malware-Prüfung von Bild-Uploads

Zum Schutz vor Schadsoftware werden hochgeladene Bilddateien (Profilbilder, Unternehmenslogos, Galerie-Fotos) automatisiert auf Schadsoftware geprüft. Hierfür kann die Datei an den Dienst VirusTotal (Google Ireland Limited / Google LLC, USA) übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform).

Sensible Verifizierungsdokumente (Personalausweis, Gewerbeanmeldung, Lebenslauf) werden ausdrücklich NICHT an VirusTotal oder einen anderen externen Scan-Dienst übermittelt; sie werden nur durch interne technische Prüfungen (Dateityp, Dateigröße) kontrolliert.

11. Push-Benachrichtigungen

Mit Ihrer Einwilligung senden wir Ihnen Push-Benachrichtigungen über neue Empfehlungen, Bewerbungen, Auftragsbestätigungen, Provisionen und relevante Updates. Sie können Push-Benachrichtigungen jederzeit in den Geräteeinstellungen oder in den App-Einstellungen deaktivieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Für den Versand von Push-Benachrichtigungen nutzen wir den Dienst Expo Push Notifications (Expo, Inc., 140 2nd Street, 4th Floor, San Francisco, CA 94105, USA). Dabei werden folgende Daten an die Server von Expo in den USA übermittelt: • ein gerätespezifisches Push-Token (ein Online-Kennzeichen, das Ihrem Gerät zugeordnet ist) • den Inhalt der Benachrichtigung (Titel und Nachrichtentext) • technische Metadaten (Plattform, Priorität)

Die Datenübermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Expo verarbeitet die Daten ausschließlich zur Zustellung der Benachrichtigung und speichert sie nicht dauerhaft. Weitere Informationen: https://expo.dev/privacy

12. E-Mail-Kommunikation

Für den Versand von transaktionalen E-Mails (z. B. Bestätigungslinks, Einladungen, Statusbenachrichtigungen, Passwort-Zurücksetzung) nutzen wir den Dienst Resend, betrieben von Plus Five Five, Inc. (USA).

Dabei werden folgende Daten an Resend übermittelt: • E-Mail-Adresse des Empfängers • Name des Empfängers (sofern im E-Mail-Inhalt enthalten) • Inhalt der E-Mail, einschließlich freiwillig beigefügter Bewerbungsanhänge bei Bewerbungsnachrichten • Zeitstempel des Versands

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für transaktionale E-Mails sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Sicherheits- und Systembenachrichtigungen. Die Datenübermittlung in die USA erfolgt auf Grundlage von SCC gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: https://resend.com/privacy

E-Mail-Versandprotokoll (email_logs): Für Zustellnachweise und Fehlersuche speichern wir die Empfängeradresse und den Betreff sowie Nachrichtentyp, Versandstatus, Zeitpunkt, gegebenenfalls die Nachrichtenkennung bei Resend und eine zugehörige Nutzerkennung. Dieses Protokoll enthält keinen vollständigen Nachrichtentext und keine Anhänge; der Betreff kann jedoch personenbezogene Angaben enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren und zuverlässigen Zustellung). Die Protokolleinträge werden nach 90 Tagen ab ihrer Erstellung gelöscht. Dieses Versandprotokoll ist vom Zugriffsprotokoll in Ziffer 14 getrennt. Seine Löschung entfernt keine E-Mails aus Empfängerpostfächern oder beim E-Mail-Dienst; diese Kopien sind nach ihrem eigenen Zweck und den jeweiligen Fristen zu behandeln.

13. Hosting und technische Infrastruktur

Unsere App und die zugehörigen Dienste werden auf Servern von Railway (Railway Corporation, 548 Market Street, Suite 45767, San Francisco, CA 94104, USA) gehostet. Folgende Daten werden auf Railway-Servern verarbeitet: • API-Anfragen und -Antworten (einschließlich IP-Adressen) • Anwendungslogs und Fehlermeldungen • serverseitige Geschäftslogik (Provisions- und Empfehlungsverarbeitung)

Die Server von Railway, auf denen unsere Anwendung und unsere Datenbank betrieben werden, befinden sich in den USA. Die damit verbundene Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, zu dessen Einhaltung sich Railway verpflichtet hat, sowie ergänzend auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Die Verbindung zwischen App beziehungsweise Browser und unseren Servern ist durch HTTPS/TLS geschützt. Die interne Verbindung zur Datenbank läuft über das private, verschlüsselte Netzwerk des Hostinganbieters; sie ist nicht mit einer zusätzlichen MySQL-TLS-Verbindung gleichzusetzen. Unsere anwendungseigenen Datenbanksicherungen werden zusätzlich AES-256-verschlüsselt und getrennt vom Produktivsystem aufbewahrt. Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen.

14. Betrugsprävention und Plattformsicherheit

Zur Sicherung der Plattformintegrität und zur Verhinderung von Betrug und Manipulation verarbeiten wir folgende Daten: • IP-Adressen und Geräteinformationen • Nutzungsmuster und Transaktionsverhalten • Zeitstempel von Aktionen in der App • Abweichungen zwischen geschätztem und tatsächlichem Auftragsvolumen

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betrugsprävention und Plattformsicherheit). Diese Daten werden für maximal 12 Monate gespeichert, sofern kein konkreter Verdachtsfall vorliegt. Bei einem konkreten Verdachtsfall können die Daten bis zur abschließenden Klärung aufbewahrt werden.

Zugriffsprotokoll: Zusätzlich protokollieren wir sicherheitsrelevante Zugriffe auf unsere Programmierschnittstelle. Erfasst werden ausschließlich Zeitpunkt, Name der aufgerufenen Funktion, Ihre Nutzerkennung, Ihre IP-Adresse, die Bearbeitungsdauer sowie ob der Aufruf erfolgreich war. Inhalte werden dabei nicht gespeichert, also weder Ihre Eingaben noch die abgerufenen Daten.

Zweck ist die Erkennung und Aufklärung unbefugter Zugriffe. Ohne ein solches Protokoll ließe sich nach einem Sicherheitsvorfall nicht feststellen, ob Daten tatsächlich betroffen waren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme und dem Schutz Ihrer Daten). Die Einträge werden nach 90 Tagen automatisch gelöscht.

14a. Technische Protokolle von Aufbewahrungs- und Löschprüfungen

Für die vorbereitete Ausführung von Aufbewahrungs- und Löschprüfungen ist eine gesonderte Laufprotokollierung vorgesehen. Sie dient dem Nachweis des Prüflaufs, der Fehleranalyse und der sicheren Fortsetzung nach Unterbrechungen. Die Laufübersicht (retention_runs) enthält eine Laufkennung, Vorschau- oder Ausführungsmodus, Regel- und Softwareversion, Status, Zeitpunkte, einen kategorisierten Fehlercode und zusammengefasste Zählergebnisse. Die zugehörigen Einzelpositionen (retention_run_items) enthalten die Laufkennung, eine interne Vorgangskennung (dealId), die Prüfart, den Status und einen kategorisierten Grund. Kontaktdaten, Nachrichten, Dokumentinhalte oder Freitext-Begründungen werden in diese Laufprotokolle nicht übernommen. Interne Vorgangskennungen können über andere Daten zu Personen zurückführen; sie sind pseudonym, nicht anonym.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Rechenschafts- und Datenschutzpflichten, insbesondere Art. 5 Abs. 2, Art. 17 und Art. 24 DSGVO, soweit der Nachweis hierfür erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an Fehleranalyse und verlässlicher Verarbeitung. Laufübersichten und Einzelpositionen werden nach 90 Tagen ab Abschluss des Laufs gelöscht. Dies gilt für erfolgreiche, fehlgeschlagene und nach Abgleich als unterbrochen abgeschlossene Läufe. Noch ungeklärte laufende Vorgänge (RUNNING) werden nicht allein wegen ihres Alters entfernt, sondern bis zum erforderlichen Abgleich und Abschluss aufbewahrt; anschließend gilt dieselbe 90-Tage-Frist. Diese Ausnahme dient der Klärung, nicht einer unbegrenzten Aufbewahrung.

Einzelne Nachweise einer tatsächlich vorgenommenen Bereinigung (retention_receipts) sind von diesen technischen Laufprotokollen getrennt. Sie werden nicht allein wegen des Ablaufs der 90-Tage-Frist für Laufprotokolle gelöscht. Ihre weitere Aufbewahrung ist eigenständig auf den erforderlichen Nachweis der Datenschutzpflichten oder konkrete Rechtsansprüche zu begrenzen und bei Wegfall des Zwecks zu beenden; sie rechtfertigt keine weitere Speicherung der gelöschten Kontakt- oder Bewerbungsinhalte. Die Beschreibung der vorbereiteten Laufprotokollierung bestätigt keine Aktivierung einer neuen automatischen Bereinigung und ändert die übrigen Löschfristen nicht.

15. Übersicht der Datenempfänger und Drittlandübermittlungen

Folgende Dritte können im Rahmen der beschriebenen Zwecke Zugang zu personenbezogenen Daten erhalten:

• Stripe, Inc. (USA) – Zahlungsabwicklung; Rechtsgrundlage: SCC + EU-US DPF • PayPal (Europe) S.à r.l. et Cie (Luxemburg) – Zahlungsmethode im Checkout, eingebunden über Stripe; Rechtsgrundlage: Vertragserfüllung • Railway Corporation (USA) – Hosting der App-Server; Rechtsgrundlage: SCC + EU-US DPF • Expo, Inc. (USA) – Push-Benachrichtigungen; Rechtsgrundlage: SCC • Plus Five Five, Inc. (Resend, USA) – E-Mail-Versand; Rechtsgrundlage: SCC • Bundeszentralamt für Steuern (BZSt) – Meldepflicht nach PStTG/DAC7; Rechtsgrundlage: rechtliche Verpflichtung • Cloudflare, Inc. (USA) – Dateispeicherung mit Cloudflare R2: öffentlich abrufbare Profilbilder, Unternehmenslogos und Galerie-Fotos sowie getrennte private Speicherung von Verifizierungsdokumenten und anwendungseigenen verschlüsselten Datenbanksicherungen. Private Dateien sind nicht über die öffentliche Medienadresse abrufbar. Cloudflare beschreibt im veröffentlichten Data Processing Addendum das EU-US Data Privacy Framework und Standardvertragsklauseln für die jeweils erfassten Drittlandübermittlungen; weitere Informationen: https://www.cloudflare.com/cloudflare-customer-dpa/ und https://www.cloudflare.com/privacypolicy/ • YouTube (Google Ireland Limited) und Vimeo – Einbettung von Unternehmensvideos erst nach freiwilliger Aktivierung; Übermittlung von IP-Adresse und technischen Verbindungsdaten, mögliche Verarbeitung außerhalb der EU; Rechtsgrundlage: Einwilligung. Weitere Informationen: https://policies.google.com/privacy und https://vimeo.com/privacy • Revolut Bank UAB (Litauen, EU) – SEPA-Auszahlungen; Rechtsgrundlage: Vertragserfüllung • Haufe-Lexware Office GmbH & Co. KG (Deutschland) – Rechnungs-/Belegerstellung; Auftragsverarbeitung (Art. 28 DSGVO) • Google Ireland Limited (Irland) / Apple Inc. (USA) – Anmeldung mit Google bzw. Apple; Rechtsgrundlage: Vertragserfüllung/Einwilligung; bei Apple SCC • Meta Platforms Ireland Limited (Irland) / Meta (USA) – Reichweitenmessung & Marketing (Meta-Pixel), NUR mit Einwilligung; gemeinsame Verantwortung (Art. 26 DSGVO); Rechtsgrundlage: Einwilligung; SCC + EU-US DPF • Zoom Communications, Inc. (USA) – Durchführung von Webinaren; Rechtsgrundlage: Vertragserfüllung/Einwilligung; SCC • Telegram: Zustellung interner Betreiberhinweise über James, einschließlich Nachrichtentext oder erzeugter Sprachnachricht; siehe Ziffer 10f und https://telegram.org/privacy • ElevenLabs: bei eingerichteter Sprachausgabe Umwandlung von Registrierungs- und Webinarhinweisen in Sprache; siehe Ziffer 10f und https://elevenlabs.io/privacy-policy • VirusTotal (Google Ireland Limited / Google LLC, USA) – Malware-Prüfung von Bild-Uploads (NICHT von Verifizierungsdokumenten); Rechtsgrundlage: berechtigtes Interesse; SCC • Registrierte Unternehmer – Empfangsberechtigte für Empfehlungen und Bewerbungen; nur die für den jeweiligen Deal relevanten Daten werden übermittelt

Die Verarbeitung von Zugangsanfragen im angebundenen internen CRM-System James erläutert Ziffer 10e.1; den zusätzlichen Datenabgleich und weitere dort verarbeitete Datenkategorien erläutert Ziffer 10f. James wird hier nicht allein wegen der technischen Anbindung als eigenständiger externer Vertragspartner eingeordnet.

Diese Übersicht ist gemeinsam mit den beschriebenen Verarbeitungsabläufen und dort genannten angeschlossenen Diensten zu lesen. Gesetzlich erforderliche Offenlegungen und ausdrücklich gewünschte weitere Übermittlungen werden nach der jeweils einschlägigen Rechtsgrundlage behandelt. Eine zusätzliche Weiterleitung oder Speicherung bei einem angeschlossenen Dienst wird nicht allein durch das Löschen des ursprünglichen WinNet-Datensatzes beendet.

16. Speicherfristen im Überblick

Kontodaten: Dauer des Nutzungsverhältnisses, danach Löschung innerhalb von 30 Tagen; zu getrennten erforderlichen Nachweisen siehe Ziffer 4 und die folgenden Angaben Vertragsannahmenachweise: erforderliche Nutzer- beziehungsweise Checkout-Zuordnung, AGB-Version, Text-Prüfwert, Annahmezeitpunkt und Annahmehandlung; Aufbewahrung nur solange für Vertragsabwicklung, konkrete Rechtsansprüche oder einschlägige gesetzliche Pflichten erforderlich, nach den Kriterien in Ziffer 4. Kein pauschaler Rückschluss auf die Aufbewahrung sämtlicher Kontodaten. Profilbild (Partner): Bis zur Löschung durch den Nutzer oder Kontolöschung; bei Kontolöschung automatische Entfernung aus Cloudflare R2 Unternehmenslogo: Bis zur Löschung durch den Unternehmer oder Kontolöschung; bei Kontolöschung automatische Entfernung aus Cloudflare R2 Unternehmensprofil-Fotos (Galerie): Bis zur Löschung einzelner Fotos durch den Unternehmer oder vollständiger Kontolöschung; bei Kontolöschung werden alle Galerie-Fotos automatisch aus Cloudflare R2 entfernt Verifizierungsdokumente (Personalausweis, Rückseite und Gewerbeanmeldung): max. 6 Monate nach Abschluss der Verifizierung Provisions- und Transaktionsdaten: Erforderliche Buchungsbelege, insbesondere Rechnungen, unterliegen grundsätzlich einer Frist von 8 Jahren; Bücher, Aufzeichnungen und Jahresabschlüsse grundsätzlich 10 Jahren; Handels- und Geschäftsbriefe sowie sonstige steuerrelevante Unterlagen grundsätzlich 6 Jahren, soweit §§ 147 AO bzw. 257 HGB anwendbar sind. Die Frist beginnt grundsätzlich mit Ablauf des maßgeblichen Kalenderjahres. Gesetzliche Verlängerungstatbestände und für konkrete Rechtsansprüche erforderliche Nachweise sind gesondert zu prüfen. Daraus folgt keine pauschale Aufbewahrung sämtlicher Kontakt-, Bewerbungs- oder Supportdaten. Gesetzlich erforderliche PStTG-Aufzeichnungen: 10 Jahre ab Ablauf des Kalenderjahres der Erstellung nach § 24 Abs. 3 PStTG; siehe Ziffer 8 Betrugspräventionsdaten: max. 12 Monate (bei Verdachtsfall länger) Zugriffsprotokoll der Programmierschnittstelle (Zeitpunkt, Funktionsname, Nutzerkennung, IP-Adresse; ohne Inhalte): automatische Löschung nach 90 Tagen E-Mail-Versandprotokoll (email_logs): Empfängeradresse, Betreff und Versandmetadaten; Löschung nach 90 Tagen ab Erstellung, getrennt vom Zugriffsprotokoll. Keine automatische Löschung der Nachrichten in externen Postfächern hierdurch (siehe Ziffer 12). Zugangsanfragen über /zugang: Löschung aus der lokalen Lead-Tabelle nach 6 Monaten ab Eingang; CRM-, Admin- und E-Mail-Kopien werden gesondert nach ihrem Zweck geprüft und bereinigt. Keine automatische Fernlöschung durch die lokale Lead-Löschung (siehe Ziffer 10e.1). Technische Laufprotokolle der vorbereiteten Aufbewahrungs- und Löschprüfung (retention_runs, retention_run_items): 90 Tage ab Abschluss; ungeklärte laufende Vorgänge erst abgleichen und abschließen. Interne Vorgangskennungen sind pseudonym, nicht anonym; Einzelheiten und Aktivierungsgrenze siehe Ziffer 14a. Einzelne Bereinigungsnachweise (retention_receipts): getrennt von den technischen Laufprotokollen, nur solange für den Nachweis der Datenschutzpflichten oder konkrete Rechtsansprüche erforderlich; keine pauschale Anwendung der 90-Tage-Frist für Laufprotokolle (siehe Ziffer 14a). E-Mail-Adresse und Token (unbestätigter Empfehlungslink): automatische Löschung nach 14 Tagen Technischer Wiederempfehlungsschutz: getrennter, mit einem geheimen Schlüssel abgeleiteter Sperrwert für 30 Tage ab Empfehlung bzw. Adresskorrektur; keine E-Mail-Adresse im Sperrdatensatz. Dieser Wert verhindert eine Umgehung der Wiederholungssperre durch Löschen oder Ersetzen der Kontaktadresse und wird nach Ablauf bereinigt. Kontaktdaten empfohlener Dritter nach Bestätigung (ohne Auftragsabschluss): Löschung nach 90 Tagen Nachweis der Empfehlungs-Einwilligung: Löschung nach 3 Jahren ab Bestätigung bei abgeschlossenen oder nicht mehr aktiven Vorgängen, sofern der Nachweis nicht mehr erforderlich ist. Eng begründete Ausnahmen mit dokumentiertem Zweck und erneuter Prüfung spätestens nach 30 Tagen siehe Ziffer 6. Der technische Auftragsstatus bleibt davon getrennt; keine erneute Zustimmung allein wegen Fristablaufs. Für die gesonderten AGB-Annahmenachweise gelten stattdessen die Kriterien in Ziffer 4. Bewerberdaten bei Ablehnung: Löschung nach 6 Kalendermonaten ab dokumentierter Ablehnung der Bewerbung Bewerberdaten bei erfolgreicher Vermittlung: Löschung der nicht mehr benötigten Bewerber-Kontaktdaten und Anschreiben nach 90 Tagen ab Bestätigung des Probezeitendes, sofern die Vermittlung abgeschlossen ist. Eine Zahlung allein verhindert die Bereinigung nicht. Berechtigte frühere Löschanfragen sowie begrenzte Ausnahmen und deren Prüfung spätestens nach 30 Tagen siehe Ziffer 7. Lebenslauf-Anhänge im Bewerbungsversand: keine Archivierung im WinNet-Dokumentenspeicher und keine automatische Fernlöschung im Unternehmenspostfach durch den WinNet-Cleanup. Eigene Versandkopien und eigenverantwortlich verarbeitete Unternehmenskopien sind gesondert nach ihrem Zweck zu bereinigen (siehe Ziffer 7). Empfängermitteilungen werden manuell bearbeitet, mit interner Wiedervorlage nach 14 Tagen; dies ist keine gesetzliche Löschfrist. Support-Tickets: bis zum Abschluss der Bearbeitung; danach regelmäßige manuelle Prüfung, Löschung nicht mehr benötigter Daten oder dokumentierte weitere Aufbewahrung mit konkretem Grund und nächstem Prüftermin (siehe Ziffer 10g). Keine pauschale unbegrenzte Aufbewahrung. Technische Datenbank-Sicherungskopien: verschlüsselte, private Aufbewahrung für maximal 30 Tage

17. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO) – Sie können jederzeit Auskunft über die von uns gespeicherten personenbezogenen Daten verlangen, einschließlich Empfänger, Zweck und Speicherdauer. • Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen. • Recht auf Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Sie können verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird. • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen. • Recht auf Widerspruch (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen. • Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) – Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. • Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) – Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@winnet.app Für Anträge zu Ihren Betroffenenrechten gilt Art. 12 Abs. 3 DSGVO: Sie erhalten ohne unnötige Verzögerung, spätestens einen Monat nach Eingang, Informationen über die ergriffenen Maßnahmen. Soweit wegen der Komplexität oder Anzahl der Anträge erforderlich, kann die Frist um bis zu zwei weitere Monate verlängert werden; über eine Verlängerung und deren Gründe informieren wir Sie innerhalb des ersten Monats.

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz Hintere Bleiche 34, 55116 Mainz Web: https://www.datenschutz.rlp.de

18. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre personenbezogenen Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

Zu unseren Sicherheitsmaßnahmen gehören insbesondere: • HTTPS/TLS für App- und Browserzugriffe sowie ein privates, verschlüsseltes Netzwerk für interne Datenbankverbindungen • Nicht umkehrbare Passwort-Hashes mit bcrypt bei E-Mail-/Passwort-Anmeldung • Zugriffsbeschränkungen auf personenbezogene Daten (Need-to-know-Prinzip) • Rate Limiting und Account-Lockout-Mechanismen zum Schutz vor Brute-Force-Angriffen • Getrennte private Speicherung sensibler Dokumente und serverseitige Berechtigungsprüfungen für deren Abruf

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder über die App mindestens 30 Tage vor Inkrafttreten. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

20. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich bitte an: TD Production Inh. Tim Dittmann Kaiserbachstraße 49 76829 Landau in der Pfalz E-Mail: support@winnet.app