Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie personenbezogene Daten über die mobile Anwendung und Web-Plattform Linkly (die „Plattform"), bereitgestellt von SORAIA S.R.L., sowie über die Website linkly.events (die „Website") verarbeitet werden.

Dieses Dokument wird gemäß der Verordnung (EU) 2016/679 („DSGVO"), dem italienischen Gesetzesdekret 196/2003 in der geltenden Fassung („Datenschutzkodex"), der Entscheidung der italienischen Datenschutzbehörde (Garante) Nr. 231/2021 zu Cookies sowie den anwendbaren Leitlinien des EDSA erlassen.

SORAIA S.R.L. trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), um sicherzustellen, dass personenbezogene Daten unter Einhaltung der Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit verarbeitet werden (Art. 5 DSGVO).

1. Verantwortlicher

Für Verarbeitungstätigkeiten, die unmittelbar von SORAIA S.R.L. als eigenständiger Verantwortlicher durchgeführt werden, ist der Verantwortliche:

• SORAIA S.R.L.
• Sitz: Via Losana 13, 13900 Biella (BI), Italien
• USt-IdNr.: IT02820060024 · REA: BI-319659
• Datenschutz-E-Mail: privacy@soraia.io
• Zertifizierte E-Mail (PEC): soraia@mypec.eu

Für Verarbeitungen, die im Auftrag von Kundenunternehmen durchgeführt werden, die Linkly zur Verwaltung ihrer geschäftlichen Kontakte nutzen, handelt SORAIA als Auftragsverarbeiter gemäß Art. 28 DSGVO, in Übereinstimmung mit dem mit jedem Kunden abgeschlossenen Auftragsverarbeitungsvertrag (AVV).

2. Rollen und Verantwortlichkeiten im Datenschutz

2.1 Kundenunternehmen als eigenständige Verantwortliche

Unternehmen, die Linkly nutzen, um während Messen, Veranstaltungen und B2B-Networking-Aktivitäten erfasste Kontakte zu sammeln, zu qualifizieren und zu verwalten, handeln als eigenständige Verantwortliche gemäß Art. 4 Nr. 7 DSGVO.

Die Kundenunternehmen bestimmen eigenständig:

• Zwecke und Mittel der Verarbeitung
• Inhalt und Logik der konfigurierten Qualifizierungsfragen
• Kriterien für das kommerzielle Profiling
• Follow-up-, Kommunikations- und Marketingaktivitäten
• Drittsysteme, die die Daten erhalten (CRM, Marketing-Automation, ERP)
• Rechtsgrundlage für die Verarbeitung der Daten von Interessenten (in der Regel berechtigtes Interesse im B2B-Bereich gemäß Art. 6 Abs. 1 lit. f DSGVO, bewertet mittels LIA, Legitimate Interest Assessment, in eigener Verantwortung)

Die Kundenunternehmen sind für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen verantwortlich (Art. 13 und 14 DSGVO), einschließlich der Bereitstellung oder Verfügbarkeit einer spezifischen Datenschutzinformation zum Zeitpunkt der Datenerhebung (z. B. am Messestand).

2.2 SORAIA S.R.L., Doppelrolle

a) Auftragsverarbeiter (Art. 28 DSGVO)

Im Auftrag der Kundenunternehmen, beschränkt auf die folgenden Tätigkeiten:

• Scannen, Erfassen und Digitalisieren von Kontakten (Visitenkarten, Badges, QR-Codes) mittels OCR
• Speicherung und technische Verwaltung der Daten
• Datenanreicherung über öffentliche Quellen und Drittanbieter
• Strukturierung, Normalisierung und KI-gestützte Qualifizierung
• Erstellung von geschäftlichen Follow-ups (auf Grundlage von Vorlagen und Weisungen des Kunden)
• technische Integration mit den CRM-, ERP- und Marketingsystemen des Kunden
• Reporting nach der Veranstaltung

b) Eigenständiger Verantwortlicher

Für Tätigkeiten, die erforderlich sind, um:

• die Sicherheit der Plattform zu gewährleisten (Art. 32, 33, 34 DSGVO)
• die Betriebskontinuität sicherzustellen
• Missbrauch und rechtswidrige Nutzung zu verhindern
• gesetzlichen Verpflichtungen nachzukommen (Steuer, Vertrag, Geldwäschebekämpfung)
• die Rechnungsstellung und das Vertragsverhältnis mit dem Kunden zu verwalten (Verwaltungsdaten)

Das Verhältnis zwischen SORAIA und jedem Kunden wird durch einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geregelt, der integraler Bestandteil des Liefervertrags ist.

3. Kategorien der verarbeiteten personenbezogenen Daten

3.1 Technische Daten und Nutzungsdaten (Verantwortlicher: SORAIA)

• IP-Adresse (nach 30 Tagen anonymisiert oder pseudonymisiert)
• Zugriffs- und Aktivitätsprotokolle
• Gerätekennungen (User Agent, Betriebssystem, App-Version)
• Informationen zu Browser, Betriebssystem und Anwendungsversion
• Sitzungsdaten (Authentifizierungs-Token)

3.2 Daten der geschäftlichen Nutzer (Verantwortlicher: SORAIA für die Authentifizierung; Verantwortlicher: Kundenunternehmen für die operative Nutzung)

• Vor- und Nachname
• geschäftliche E-Mail-Adresse
• berufliche Telefonnummer (optional)
• Rolle und Teamzugehörigkeit
• Authentifizierungsdaten (verschlüsseltes Passwort, bcrypt-Hash)
• Nutzungsdaten der Plattform
• vom Administrator des Kunden festgelegte Berechtigungen und Konfigurationen

3.3 Erfasste Kontaktdaten, Leads (Verantwortlicher: Kundenunternehmen)

Personenbezogene Daten Dritter, die von Kundenunternehmen während B2B-Veranstaltungen erfasst werden:

• Identifikations- und Berufsdaten (Vorname, Nachname, Rolle)
• Unternehmensinformationen (Firmenname, Branche, Größe)
• berufliche Kontaktdaten (geschäftliche E-Mail-Adresse, berufliche Telefonnummer)
• öffentliche Profile (z. B. öffentliche LinkedIn-URL)
• Antworten auf die vom Kunden konfigurierten Qualifizierungsfragen
• von den Nutzern des Kunden eingegebene Notizen und kommerzielle Bewertungen
• Erfassungsquelle (Veranstaltung, Datum, Kanal)

Die Daten können erhoben werden durch:

• Scannen von Visitenkarten (OCR)
• Scannen von Veranstaltungs-Badges (OCR)
• Auslesen von QR-Codes
• manuelle Eingabe
• vom Kunden konfigurierte benutzerdefinierte Formulare

SORAIA verarbeitet keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO). Der Kunde verpflichtet sich durch den AVV, keine Daten dieser Kategorien in die Plattform einzugeben.

3.4 Verwaltungs- und Abrechnungsdaten (Verantwortlicher: SORAIA)

• Firmenname, USt-IdNr., Steuernummer, Anschrift des Kunden
• Daten des gesetzlichen Vertreters oder der administrativen Kontaktperson
• Rechnungs- und Zahlungshistorie

4. Zwecke der Verarbeitung und Rechtsgrundlagen

4.1 Bereitstellung der Plattform und Vertragsverwaltung

Verarbeitung der Daten der geschäftlichen Nutzer und der Verwaltungsdaten, die erforderlich sind, um die Nutzung der Plattform zu ermöglichen, den Dienst zu erbringen, den Vertrag, die Rechnungsstellung und den technischen Support zu verwalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen im Bereich Steuern und Buchhaltung).

4.2 Lead-Erfassung, Qualifizierung und B2B-Follow-up-Aktivitäten (im Auftrag der Kunden)

Verarbeitung der erfassten Kontaktdaten zu den vom verantwortlichen Kunden festgelegten Zwecken:

• Digitalisierung und Strukturierung der Kontakte
• kommerzielle Qualifizierung
• Anreicherung der Informationen
• Aktivierung im Unternehmens-CRM
• Versand von geschäftlichen Follow-ups

Rechtsgrundlage (obliegt dem verantwortlichen Kunden): in der Regel Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am beruflichen Networking und an der Fortsetzung eines im Messekontext begonnenen geschäftlichen B2B-Gesprächs). Das Kundenunternehmen muss seine eigene Abwägungsprüfung (LIA) durchführen und sicherstellen, dass die betroffenen Personen informiert werden und ihre Rechte gewährt werden.

4.3 Sicherheit der Plattform, Missbrauchsprävention, Audit

Verarbeitung technischer Daten und Protokolldaten zur Gewährleistung der IT-Sicherheit, zur Betrugsprävention, zur Analyse von Vorfällen, für interne Audits und zur Erfüllung behördlicher Anfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse von SORAIA an der Sicherheit und Integrität des Dienstes); Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen).

4.4 Bearbeitung von Anfragen betroffener Personen und Einhaltung der DSGVO

Verarbeitung, die erforderlich ist, um Anträge auf Ausübung von Rechten (Art. 15-22 DSGVO) zu bearbeiten, Beschwerden zu verwalten, Datenschutz-Folgenabschätzungen (DSFA) durchzuführen oder Konsultationen mit der Aufsichtsbehörde vorzunehmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen).

5. Technologien der künstlichen Intelligenz (KI)

5.1 Wie KI eingesetzt wird

Die Plattform nutzt Technologien der künstlichen Intelligenz, die von Drittanbietern bereitgestellt werden (siehe Abschnitt 6), zu den folgenden technischen Zwecken:

• Optische Zeichenerkennung (OCR): Lesen und Digitalisieren von Visitenkarten und Veranstaltungs-Badges
• Strukturierung und Normalisierung: Parsen der extrahierten Daten in strukturierte Felder
• Zusammenfassung und Klassifizierung: automatische Kategorisierung des Kontakts zur Unterstützung der Qualifizierung
• Erstellung von Follow-up-Vorlagen: Verfassen personalisierter E-Mail-Entwürfe auf Grundlage der vom Kunden bereitgestellten Weisungen und Vorlagen

5.2 Ausdrückliche Ausschlüsse

Der Einsatz von KI auf der Plattform umfasst NICHT:

• die autonome Erzeugung neuer personenbezogener Daten, die nicht aus bereits verfügbaren Quellen abgeleitet sind
• ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person gemäß Art. 22 DSGVO
• automatisiertes Profiling zu Zwecken verhaltensbasierter Werbung
• das Training der KI-Modelle von Drittanbietern mit Kundendaten (siehe Abschnitt 6 für die vertraglichen Einzelheiten)

5.3 Datenanreicherung, operative Modalitäten

Die Anreicherung der Kontaktdaten (z. B. geschäftliche E-Mail-Adresse, Telefonnummer, LinkedIn-Profil) erfolgt über spezialisierte externe Anbieter und unterliegt den folgenden Regeln:

• die Anreicherung erfolgt nur, sofern diese Informationen im erfassten Kontakt nicht bereits vorhanden sind
• sofern Daten bereits bereitgestellt wurden (z. B. über eine Visitenkarte), werden für diese Felder keine Anfragen an externe Anbieter gestellt
• das System kann öffentlich zugängliche Quellen (Suchmaschinenergebnisse, öffentliche Berufsprofile) heranziehen, um bereits öffentlich verfügbare Informationen abzurufen
• dieser Vorgang bildet die manuelle Recherche nach, die üblicherweise im beruflichen Kontext durchgeführt wird; er umfasst keinen Zugriff auf private Datenbanken; er verwendet keine unbefugten Massen-Scraping-Techniken

6. Empfänger und Unterauftragsverarbeiter

Personenbezogene Daten können von den folgenden Empfängern verarbeitet werden, die jeweils durch vertragliche Verpflichtungen zur Vertraulichkeit und zum Datenschutz gebunden sind, die denen von SORAIA gleichwertig sind:

• autorisiertes Personal von SORAIA S.R.L., geschult gemäß Art. 29 DSGVO
• Anbieter von IT-Infrastruktur, Cloud-Computing und Backend-Plattformen
• Anbieter von KI-Diensten für OCR, Strukturierung und Textgenerierung
• Anbieter von B2B-Datenanreicherungsdiensten
• Dienste für Workflow-Automatisierung und -Orchestrierung
• Dienste für die Recherche in öffentlichen Quellen
• technische, rechtliche und administrative Berater
• Behörden, sofern gesetzlich vorgeschrieben

Für jede Kategorie wählt SORAIA Anbieter aus, die angemessene Sicherheitsmaßnahmen treffen, und schließt mit jedem von ihnen einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ab. Für Unterauftragsverarbeiter mit Sitz außerhalb der EU schließt SORAIA die von der EU-Kommission genehmigten Standardvertragsklauseln (SCC) (Durchführungsbeschluss 2021/914) ab und überprüft gegebenenfalls die Zugehörigkeit zum EU-US Data Privacy Framework (DPF).

Die spezifische und aktualisierte Liste der Unterauftragsverarbeiter wird den Vertragskunden mitgeteilt und ist auf begründete schriftliche Anfrage der DPO der Kunden per E-Mail an privacy@soraia.io verfügbar.

7. Übermittlung von Daten außerhalb der EU

Personenbezogene Daten werden vorrangig auf Infrastruktur verarbeitet, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) befindet. Sofern Übermittlungen in Drittländer erforderlich werden, erfolgen diese in Übereinstimmung mit Art. 44 ff. DSGVO.

Verwendete Übermittlungsinstrumente

• Angemessenheitsbeschluss (Art. 45 DSGVO): für Länder, die von der EU-Kommission als Länder mit einem angemessenen Schutzniveau anerkannt sind (z. B. Vereinigtes Königreich, Schweiz, Japan, Südkorea)
• EU-US Data Privacy Framework (EU-US-Angemessenheitsbeschluss vom 10. Juli 2023): für US-Unterauftragsverarbeiter, die dem DPF beigetreten sind
• Standardvertragsklauseln (SCC), von der EU-Kommission mit Beschluss 2021/914 genehmigt: Modul 2 (Verantwortlicher–Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter–Unterauftragsverarbeiter) je nach Beziehung
• Zusätzliche technische und organisatorische Maßnahmen, sofern nach der Schrems-II-Rechtsprechung erforderlich (z. B. Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, vertragliche Kontrollen des behördlichen Zugriffs)

Transfer Impact Assessment (TIA)

Für jede Übermittlung außerhalb der EU hat SORAIA eine Transfer Impact Assessment (TIA) durchgeführt, die Folgendes berücksichtigt: die Art der Daten, das Risiko eines Zugriffs durch Behörden von Drittländern, die den betroffenen Personen zur Verfügung stehenden rechtlichen Schutzmaßnahmen sowie die getroffenen technischen und organisatorischen Maßnahmen.

8. Speicherdauer

Die angewandten Speicherfristen sind wie folgt:

• Erfasste Kontaktdaten (Leads): für die Dauer des Vertragsverhältnisses zwischen SORAIA und dem verantwortlichen Kunden. Bei Beendigung werden die Daten 30 Tage lang zum Download bereitgestellt; danach werden sie gemäß den Weisungen des Kunden gelöscht oder anonymisiert.
• Daten der geschäftlichen Nutzer: für die Dauer des Kontos sowie weitere 12 Monate nach der Deaktivierung (zur Bearbeitung von Anfragen nach Beendigung).
• Zugriffsprotokolle und technische Daten: 12 Monate zu Zwecken der Sicherheit und der Missbrauchsprävention (in Übereinstimmung mit der Entscheidung der italienischen Datenschutzbehörde zu den Protokollen von Systemadministratoren).
• Verwaltungs- und Abrechnungsdaten: 10 Jahre ab dem Ende des Verhältnisses, in Übereinstimmung mit Art. 2220 des italienischen Zivilgesetzbuchs und der Steuergesetzgebung.
• E-Mail- und PEC-Kommunikation: 5 Jahre, vorbehaltlich spezifischer Aufbewahrungserfordernisse zu Beweiszwecken.
• Daten für Direktmarketing (Newsletter, geschäftliche Follow-ups von SORAIA an Interessenten): bis zum Widerruf der Einwilligung oder zum Widerspruch der betroffenen Person; höchstens 24 Monate ab dem letzten aktiven Kontakt.

Für Daten, die als Auftragsverarbeiter verarbeitet werden, werden die tatsächlichen Speicherfristen vom verantwortlichen Kunden in seinem Verzeichnis von Verarbeitungstätigkeiten und in den im AVV dokumentierten Weisungen festgelegt.

9. Betroffenenrechte

Gemäß Art. 15-22 DSGVO haben betroffene Personen das Recht auf:

• Auskunft (Art. 15), Bestätigung der Verarbeitung und eine Kopie der Daten zu erhalten
• Berichtigung (Art. 16), unrichtige oder unvollständige Daten zu korrigieren
• Löschung (Art. 17), das „Recht auf Vergessenwerden" in den vorgesehenen Fällen
• Einschränkung (Art. 18), die Verarbeitung in bestimmten Fällen auszusetzen
• Datenübertragbarkeit (Art. 20), ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten
• Widerspruch (Art. 21), der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen, insbesondere zu Marketingzwecken
• keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die eine erhebliche Wirkung entfaltet (Art. 22): auf der Plattform werden keine derartigen Entscheidungen getroffen
• Widerruf der Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der zuvor erfolgten Verarbeitung berührt wird

Ausübung der Rechte

Anträge sind per E-Mail an privacy@soraia.io zu richten und müssen Folgendes angeben:

• die Identität des Antragstellers (erforderlichenfalls mit einer Kopie eines Ausweisdokuments zur Überprüfung)
• das Recht, das ausgeübt werden soll
• gegebenenfalls die zugrunde liegenden Tatsachen und Gründe

SORAIA antwortet innerhalb von 30 Tagen nach Eingang des Antrags (Art. 12 DSGVO); bei komplexen Anträgen kann diese Frist mit begründeter Mitteilung auf 60 Tage verlängert werden.

Übt die betroffene Person ein Recht in Bezug auf Daten aus, die von SORAIA als Auftragsverarbeiter verarbeitet werden (z. B. über Linkly im Auftrag eines Kunden erfasste Leads), so leitet SORAIA den Antrag unverzüglich an den verantwortlichen Kunden weiter und leistet diesem die erforderliche Unterstützung (Art. 28 Abs. 3 lit. e DSGVO).

Beschwerde bei der Aufsichtsbehörde

Das Recht, gemäß Art. 77 DSGVO Beschwerde bei der italienischen Datenschutzbehörde (Garante) (garanteprivacy.it) einzulegen, bleibt unberührt, ebenso wie das Recht, sich an eine andere zuständige Aufsichtsbehörde je nach Wohnort oder gewöhnlichem Arbeitsplatz der betroffenen Person zu wenden.

10. Sicherheitsmaßnahmen

Gemäß Art. 32 DSGVO trifft SORAIA dem Risiko angemessene technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung der Daten bei der Übertragung mittels TLS 1.2+ mit modernen Cipher Suites
• Verschlüsselung der ruhenden Daten in den Datenbanken (AES-256)
• Zugriffskontrollen auf Grundlage individueller Zugangsdaten und des Least-Privilege-Prinzips
• Obligatorische Multi-Faktor-Authentifizierung für administrative Konten
• Passwort-Hashing mit branchenüblichen Algorithmen (bcrypt)
• Logische Trennung zwischen Umgebungen (Entwicklung, Staging, Produktion) und zwischen Kundendaten
• Protokollierung und Überwachung administrativer Zugriffe (Aufbewahrung 12 Monate)
• Tägliche automatische Backups mit getesteten Disaster-Recovery-Verfahren
• Incident-Management mit einem internen Verfahren, das die Meldung an die italienische Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) und an die betroffenen Kunden unverzüglich vorsieht
• Regelmäßige Überprüfung der Zugriffe (vierteljährliche Überprüfung)
• Schulung des Personals gemäß Art. 29 DSGVO (jährlich)
• Penetrationstests in regelmäßigen Abständen an kritischen Komponenten
• Zeitnahes Patch-Management für bekannte Schwachstellen

11. Cookies und Tracking-Technologien

Die Website verwendet ausschließlich technische Cookies, die für den Betrieb erforderlich sind, gemäß Art. 122 des italienischen Gesetzesdekrets 196/2003 (für die keine vorherige Einwilligung erforderlich ist).

Einzelheiten zu den verwendeten Cookies, ihren Zwecken, ihrer Dauer und ihrer Verwaltung finden Sie in der eigenen Cookie-Richtlinie.

12. Verarbeitung von Daten Minderjähriger

Die Linkly-Plattform ist ein B2B-Werkzeug, das ausschließlich für volljährige berufliche Nutzer bestimmt ist. SORAIA erhebt nicht wissentlich Daten Minderjähriger. Sollte ein verantwortlicher Kunde versehentlich Daten Minderjähriger eingeben, muss er dies unverzüglich an privacy@soraia.io zur Löschung melden.

Kontakte für den Datenschutz

Für jede Frage zur Verarbeitung personenbezogener Daten, zur Ausübung der Betroffenenrechte nach der DSGVO oder um eine Kopie des Data Processing Agreement zu erhalten, wenden Sie sich bitte an:

• Datenschutz-E-Mail: privacy@soraia.io
• Zertifizierte E-Mail (PEC): soraia@mypec.eu
• Anschrift: SORAIA S.R.L., Via Losana 13, 13900 Biella (BI), Italia

Datenschutzbeauftragter (DPO): nicht benannt. SORAIA S.R.L. unterliegt nicht der Pflicht zur Benennung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO (die Voraussetzungen nach Abs. 1 lit. b und c sind nicht erfüllt). Anfragen von betroffenen Personen und von den Datenschutzbeauftragten der Kunden werden direkt von der betrieblichen Datenschutzfunktion über die oben genannten Kontakte bearbeitet.

Beschwerden: unbeschadet des Rechts, sich direkt an den Verantwortlichen/Auftragsverarbeiter zu wenden, haben betroffene Personen das Recht, bei der italienischen Datenschutzbehörde (Garante) (garanteprivacy.it) oder bei einer anderen zuständigen Aufsichtsbehörde je nach ihrem Wohnort Beschwerde einzulegen.

Änderungen des Dokuments

SORAIA S.R.L. behält sich das Recht vor, dieses Dokument aus regulatorischen Gründen oder aufgrund der Weiterentwicklung des Dienstes zu aktualisieren. Wesentliche Änderungen werden aktiven Kunden per E-Mail mitgeteilt und auf dieser Seite mit Aktualisierung des Datums der letzten Änderung veröffentlicht.