Trust Center

Die Anwendung läuft in Frankfurt, die Datenbank in Irland. Beides innerhalb der EU.

Einzelne Verarbeitungsschritte laufen bei Dienstleistern mit Sitz außerhalb der EU — welche das sind und was sie jeweils zu sehen bekommen, steht vollständig im Abschnitt „Dienstleister". Für diese Übermittlungen gelten Standardvertragsklauseln.

Ja, für einen Teil der Verarbeitung. Wir halten das für ehrlicher, als mit „EU-Hosting" zu werben und die Ausnahmen im Kleingedruckten zu lassen.

Betroffen sind vor allem die Recherche- und Auswertungsläufe sowie der Abgleich angebundener Postfächer. Die eingesetzten Sprachmodelle laufen über Vertragspartner mit Sitz in Irland. Für jede Übermittlung in ein Drittland ist im Verzeichnis der Verarbeitungstätigkeiten die Garantie benannt.

Wenn Sie eine Verarbeitung ausschließlich in der EU benötigen, sprechen Sie uns an — das ist eine Anforderung, die wir kennen und auf der Liste haben.

Kundendaten für die Dauer des Vertrags, danach Löschung binnen 90 Tagen. Recherchierte Kontaktdaten 24 Monate nach der letzten menschlichen Befassung.

Wichtig dabei: Maßgeblich ist die letzte Befassung durch einen Menschen, nicht die letzte technische Änderung. Automatische Läufe setzen die Frist nicht zurück — sonst würde ein Datensatz allein dadurch ewig leben, dass eine Maschine ihn regelmäßig anfasst.

Die vollständige Aufstellung je Datenart steht im Löschkonzept, das wir auf Anfrage bereitstellen.

Sie können Ihren gesamten Bestand jederzeit selbst exportieren, auch vor der Kündigung. Dafür brauchen Sie uns nicht.

Nach Vertragsende löschen wir Ihre Daten innerhalb von 90 Tagen. Auf Wunsch früher.

Ja, jederzeit und ohne Rückfrage bei uns — als Datei aus der Anwendung heraus.

Zusätzlich gibt es eine Schnittstelle, über die Sie programmgesteuert auf Ihren Bestand zugreifen können.

Aus zwei Arten von Quellen: von Datenanbietern, mit denen wir vertragliche Beziehungen unterhalten, und aus öffentlich zugänglichen Quellen — Handelsregister, Unternehmenswebsites einschließlich Impressum, berufliche Netzwerke, Bewertungsportale und Stellenanzeigen.

Welcher Anbieter welche Rolle hat, steht im Abschnitt „Datenlieferanten". Wir verarbeiten ausschließlich berufliche Angaben im geschäftlichen Umfeld.

Beides, für unterschiedliche Teile. Das ist die ehrliche Antwort, und sie unterscheidet sich von dem, was in unserem Markt üblicherweise behauptet wird.

Für Daten, die Sie bei uns hochladen oder aus Ihrem Postfach und Ihrem CRM-System einbringen, sind wir Auftragsverarbeiter — Sie sind Verantwortlicher, wir handeln auf Ihre Weisung.

Für die Unternehmens- und Kontaktdaten, die wir selbst recherchieren und anreichern, sind wir eigenständig Verantwortlicher. Denn wir wählen die Quellen und bestimmen, was ausgewertet wird. Wer darüber entscheidet, ist Verantwortlicher — daran ändert kein Vertrag etwas.

Für die Entscheidung, wen Sie ansprechen und mit welchem Inhalt, sind Sie verantwortlich. Diese Aufteilung steht in § 11 unserer Allgemeinen Geschäftsbedingungen.

Das entscheiden und verantworten Sie. Wir stellen die Daten und die Werkzeuge bereit, treffen aber keine Aussage darüber, ob die Ansprache einer bestimmten Person zulässig ist.

Zur Einordnung: In Deutschland ist Werbung per E-Mail ohne vorherige Einwilligung nach § 7 UWG grundsätzlich unzulässig, auch zwischen Unternehmen. Beim Telefon gelten für den geschäftlichen Bereich andere, mildere Maßstäbe. Wer das anders darstellt, verkauft Ihnen ein Risiko mit.

Jede über uns versendete Nachricht enthält einen Abmeldelink, und ein Widerspruch wirkt sofort und dauerhaft über eine Sperrliste. Diese Funktionen zu nutzen ist vertragliche Pflicht.

Anfragen an datenschutz@onvero.de werden innerhalb der gesetzlichen Frist von einem Monat bearbeitet.

Betrifft die Anfrage Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir sie unverzüglich an diesen weiter und unterstützen ihn bei der Beantwortung. Betrifft sie unsere eigene Recherche, beantworten wir sie selbst.

Nein. Die eingesetzten Anbieter dürfen unsere und Ihre Daten vertraglich nicht zum Training ihrer Modelle verwenden.

Das ist keine Selbstverständlichkeit — bei kostenlosen und verbrauchernahen Zugängen derselben Anbieter gilt oft das Gegenteil. Wir nutzen ausschließlich die geschäftlichen Zugänge, bei denen der Ausschluss vertraglich gilt.

Nein. Bewertet wird, wie gut ein Unternehmen zu Ihrem Angebot passt — die Bewertung bezieht sich auf das Unternehmen, nicht auf die Kreditwürdigkeit oder Eignung einer Person.

Ob jemand kontaktiert wird, entscheidet immer ein Mensch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die einer natürlichen Person gegenüber rechtliche Wirkung entfaltet, findet nicht statt.

Der Vollständigkeit halber: Bei der Vorbereitung eines Gesprächs erstellen wir auch Einschätzungen zu einzelnen Ansprechpartnern — etwa zum Kommunikationsstil. Das ist eine Arbeitshilfe für den Vertrieb, keine Entscheidung über die Person.

Es ist kein Hochrisiko-System nach Anhang III der KI-Verordnung. Bewertet werden juristische Personen, und es handelt sich nicht um eine Bonitätsbewertung oder eine Entscheidung über Beschäftigung.

Die Transparenzpflichten für KI-erzeugte Inhalte nehmen wir ernst: Textvorschläge sind in der Anwendung als solche gekennzeichnet und gehen nur nach ausdrücklicher Freigabe durch einen Menschen hinaus.

Jede Datenabfrage ist nach Mandant getrennt; Kunden sehen ausschließlich ihre eigenen Daten.

Auf unserer Seite hat nur ein enger Kreis administrativen Zugriff, und nur soweit es für Betrieb und Fehlerbehebung erforderlich ist. Zugangsdaten zu Ihren Postfächern und CRM-Systemen sind ausschließlich verschlüsselt gespeichert (AES-256-GCM) und werden nur zur Laufzeit entschlüsselt.

Nein, derzeit nicht.

Wir halten es für redlicher, das offen zu sagen, als eine Zertifizierung „in Vorbereitung" zu nennen, die niemand begonnen hat. Wir zertifizieren, sobald es für unsere Kunden konkret erforderlich wird.

Was wir stattdessen anbieten: eine vollständige Beschreibung der technischen und organisatorischen Maßnahmen, die vollständige Liste aller Dienstleister mit Verarbeitungsort, und das Verzeichnis der Verarbeitungstätigkeiten. Das ist nachprüfbarer als ein Siegel.

Betroffene Kunden werden unverzüglich informiert, damit sie ihrer eigenen Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden nachkommen können.

Hinweise auf Sicherheitslücken nehmen wir unter security@onvero.de entgegen. Wir bestätigen den Eingang und melden uns mit einer Einschätzung zurück.

Ja, die Datenbank wird automatisch gesichert. Die Sicherungen liegen innerhalb der EU.

Eine Löschung wirkt sich auf bestehende Sicherungen erst mit deren regulärem Ablauf aus — das ist bei jedem Anbieter so und der Grund, warum eine Löschung nie sofort in allen Kopien ankommt.

Ja. Schreiben Sie an datenschutz@onvero.de, dann schicken wir ihn zu.

Er deckt die Daten ab, die Sie bei uns einbringen — Listen, Postfach- und Meetingdaten. Für die von uns selbst recherchierten Daten ist kein Auftragsverarbeitungsvertrag die richtige Grundlage, weil wir dort Verantwortlicher sind.

Ja, und ja — bevor es passiert. Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus an; innerhalb von 14 Tagen nach der Ankündigung können Sie widersprechen.

Wir benachrichtigen aktiv per E-Mail. Eine stille Änderung dieser Seite genügt der Informationspflicht nach Art. 28 DSGVO ausdrücklich nicht.

Die Liste im Abschnitt „Dienstleister" wird aus dem Quellcode der Anwendung erzeugt und bei jedem Build gegen die tatsächlich eingesetzten Dienste geprüft. Sie kann deshalb nicht unbemerkt veralten.

Datenschutzanfragen erreichen uns unter datenschutz@onvero.de und werden dort verbindlich bearbeitet.

Die Bestellung eines Datenschutzbeauftragten ist eingeleitet.

Ja. Das Prüfrecht nach Art. 28 Abs. 3 lit. h DSGVO ist Teil des Auftragsverarbeitungsvertrags.

In der Praxis lässt sich das meiste ohne Vor-Ort-Termin klären: Wir stellen die Beschreibung der technischen und organisatorischen Maßnahmen, das Verarbeitungsverzeichnis und die Nachweise unserer Dienstleister bereit. Reicht Ihnen das nicht, finden wir einen Termin.