Wie wir Daten schützen

Verantwortlicher

AR Artificial Globe UG (haftungsbeschränkt)

Musikantenweg 75

60316 Frankfurt am Main

E-Mail: contact@xoalpha.com

Welche Daten

Beim Besuch dieser Website verarbeiten wir, was für Auslieferung und Sicherheit nötig ist (Server-Protokolle), die Angaben, die Sie uns selbst schicken (Kontaktformular, E-Mail, Status-Benachrichtigungen), und eine eigene Reichweitenmessung ohne Cookies (siehe „Reichweitenmessung“).

Hosting & Logs

Wir betreiben diese Website bei Amazon Web Services (AWS) in Frankfurt am Main (Region eu-central-1). AWS verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf protokolliert unser Server IP-Adresse, Zeitpunkt, Anfragemethode, aufgerufene Adresse samt Parametern, Statuscode, übertragene Datenmenge, Antwortzeit, die Browserkennung und, falls Ihr Browser sie mitsendet, die zuvor besuchte Seite.

Zweck ist, Angriffe und Fehler zu erkennen und den Betrieb zu sichern. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle liegen bei AWS in Frankfurt und werden nach 30 Tagen automatisch gelöscht.

Empfänger & Drittländer

Empfänger sind nur unsere technischen Dienstleister: Amazon Web Services für Hosting, Server-Protokolle und den Versand von E-Mails (Amazon SES, Frankfurt am Main) sowie für unsere Postfächer (Amazon WorkMail, Irland). Die Statusseite status.xoalpha.com liefern wir über Amazon S3 und das Auslieferungsnetz Amazon CloudFront aus; den Aufruf beantwortet ein Server in Ihrer Nähe.

AWS gehört zum US-Konzern Amazon, ein Zugriff aus den USA lässt sich deshalb nicht völlig ausschließen. Amazon Web Services, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Zusätzlich enthalten die Vertragsbedingungen von AWS die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Eine Weitergabe zu Werbezwecken findet nicht statt.

Cookies & Speicher im Browser

Diese Website setzt keine Cookies und nutzt keine Analyse- oder Marketingdienste anderer Anbieter.

Wählen Sie im Menü selbst eine Sprache oder das helle Design, speichern wir nur diese Wahl im lokalen Speicher Ihres Browsers (localStorage), damit sie beim nächsten Besuch gilt: „homepage_locale“ mit dem Sprachkürzel (z. B. „en“) und „homepage_theme“ mit dem Wert „light“. Das erlaubt § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung, weil Sie diese Einstellung ausdrücklich gewählt haben.

Die Einträge werden nicht an uns übertragen. Nur wenn Sie über „Login“ oder einen anderen Link ins Kundenportal wechseln, geben wir im Link mit, welche Sprache und welches Design Sie gerade sehen. So sieht das Portal gleich aus wie die Website und merkt sich beides in Ihrem Browser. Wie jeder Seitenaufruf steht das auch in unseren Server-Protokollen. Die Einträge auf der Website bleiben, bis Sie die Einstellung ändern oder sie in Ihrem Browser löschen; wechseln Sie zurück zum dunklen Design, entfernen wir „homepage_theme“ wieder. Sollten wir später Dienste einsetzen, die Cookies setzen oder Informationen auf Ihrem Gerät speichern oder auslesen, fragen wir Sie vorher um Einwilligung.

Reichweitenmessung

Um zu verstehen, welche Seiten gelesen werden und wie Interessenten zu uns finden, messen wir die Nutzung dieser Website selbst, auf unseren eigenen Servern in Frankfurt am Main. Wir nutzen dafür keinen fremden Analysedienst, setzen keine Cookies und speichern nichts auf Ihrem Gerät.

Bei jedem Seitenaufruf, beim Klick auf „Vertrieb kontaktieren“, bei Klicks auf Links zur Anmeldung, zu Downloads, zu YouTube oder zur Statusseite und beim Absenden des Kontaktformulars schickt die Seite uns: die aufgerufene Seite, die Website, von der Sie kamen (nur deren Adresse, z. B. „google.com“), Kampagnenangaben aus dem Link (utm_source, utm_medium, utm_campaign) und die Sprache der Seite. Bei Klicks und Anfragen kommt die erste Seite hinzu, die Sie bei diesem Besuch geöffnet haben, und woher Sie dabei kamen. Was Sie ins Formular schreiben, gehört nicht dazu.

Aus der Browserkennung, die jeder Browser ohnehin mitsendet, leiten wir Browserfamilie, Betriebssystem und Gerätetyp ab und erkennen Suchmaschinen und automatisierte Zugriffe. Das Land ermitteln wir aus Ihrer IP-Adresse mit einer Datenbank, die auf unserem Server liegt; die Adresse geht dafür an niemanden weiter (IP Geolocation by DB-IP, db-ip.com, Lizenz CC BY 4.0).

Ihre IP-Adresse speichern wir für die Messung nicht. Wir verwenden sie nur für das Land, für einen nicht umkehrbaren Code (zusammen mit der Browserkennung und einem täglich neu erzeugten Zufallswert) und, nur im Arbeitsspeicher und für etwa einen Tag, um Missbrauch zu begrenzen. So zählen wir Besuche eines Tages, ohne Sie zu erkennen. Den Zufallswert löschen wir nach Ablauf des Tages. Danach lässt sich der Code nicht mehr aus IP-Adresse und Browserkennung bilden, auch von uns nicht. Zwei Einschränkungen: Unsere Server-Protokolle (siehe „Hosting & Logs“) halten jeden Aufruf dieser Website, auch die Messaufrufe, 30 Tage lang mit IP-Adresse und Browserkennung fest. Und in den Sicherungen unserer Datenbank, die wir nur zur Wiederherstellung nach Störungen verwenden, bleiben die Messdaten samt Zufallswert und damit auch, wann sie entstanden, bis zu 35 Tage erhalten, in einzelnen Sicherungen vor Wartungsarbeiten auch länger.

Schicken Sie uns über das Kontaktformular eine Anfrage, halten wir für die Statistik fest, an welchem Tag sie einging, von welcher Seite aus, mit welcher Seite Ihr Besuch begann und woher Sie zu uns kamen. Uhrzeit und Inhalt halten wir nicht fest. Weil unser Vertrieb Ihre Anfrage kennt, lassen sich diese Angaben Ihrer Anfrage zuordnen und über sie unter Umständen auch die übrigen Messdaten Ihres Besuchs an diesem Tag.

Sendet Ihr Browser das Signal „Global Privacy Control“ oder „Do Not Track“, messen wir gar nicht.

Rechtsgrundlage ist unser berechtigtes Interesse, unsere Website zu verbessern und zu verstehen, wie Interessenten zu uns finden (Art. 6 Abs. 1 lit. f DSGVO). Die Messdaten löschen wir nach 400 Tagen automatisch, damit wir einen Zeitraum mit demselben Zeitraum im Vorjahr vergleichen können. Sie können der Messung widersprechen (Art. 21 DSGVO). Weil wir Sie nicht wiedererkennen, setzen Sie den Widerspruch über eines der beiden Signale oben oder durch Abschalten von JavaScript für diese Seite um; bei Fragen dazu schreiben Sie uns an contact@xoalpha.com.

Ihre Rechte

Sie können Auskunft über Ihre Daten verlangen, ihre Berichtigung, Löschung oder die Einschränkung der Verarbeitung sowie die Übertragung Ihrer Daten (Art. 15 bis 20 DSGVO). Schreiben Sie uns dazu an contact@xoalpha.com; wir antworten spätestens innerhalb eines Monats.

Eine Einwilligung, etwa für die Status-Benachrichtigungen, können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Was bis zum Widerruf geschehen ist, bleibt rechtmäßig.

Die Angaben im Kontaktformular brauchen Sie uns nicht zu geben; ohne sie können wir Ihre Anfrage aber nicht bearbeiten. Eine gesetzliche oder vertragliche Pflicht zur Angabe besteht nicht. Automatisierte Entscheidungen einschließlich Profiling setzen wir nicht ein (Art. 22 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden (datenschutz.hessen.de).

Widerspruchsrecht

Verarbeiten wir Daten aufgrund berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), etwa die Server-Protokolle, die Reichweitenmessung oder den Missbrauchsschutz des Kontaktformulars, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Schreiben Sie uns dazu an contact@xoalpha.com; wie Sie der Reichweitenmessung widersprechen, steht unter „Reichweitenmessung“.

XoAlpha Staff App

Die XoAlpha Staff App (iOS/Android) ermöglicht Mitarbeitenden den Zugriff auf ihre betrieblichen Daten. Dabei werden folgende personenbezogene Daten verarbeitet:

Profildaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Mitarbeiterstatus.

Zugangs- und Gerätedaten: Login-Kennung, Passwörter und PINs (nur als Hash gespeichert), Session-Tokens, Gerätetyp und App-Version.

Betriebliche Daten: Schichtpläne, Arbeitszeiten, Urlaubs- und Abwesenheitsanträge, zugewiesene Dokumente und Gehaltsabrechnungen.

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der Self-Service-Funktionen für den jeweiligen Arbeitgeber (Mandanten) und basiert auf Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers an der digitalen Betriebsorganisation).

Daten werden nur im Rahmen des jeweiligen Mandanten verarbeitet und sind für andere Mandanten nicht einsehbar.

Kontaktformular und E-Mail

Wenn Sie uns über „Vertrieb kontaktieren“ schreiben, verarbeiten wir Name, E-Mail-Adresse, Betrieb, Land des Betriebs, Anzahl der Standorte, Wunschmodule und Ihre Nachricht sowie freiwillig Ihre Telefonnummer. Wir nutzen sie ausschließlich, um Ihre Anfrage zu beantworten. Außerdem steht in der Anfrage, in welcher Sprache Sie die Seite nutzen und von welcher Seite dieser Website Sie das Formular geöffnet haben.

Fragen Sie für sich oder Ihr Unternehmen ein Angebot an, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags). Schreiben Sie uns für einen Betrieb, bei dem Sie beschäftigt sind, stützen wir uns auf unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Die Website speichert die Angaben nicht. Sie gehen als E-Mail an unser Vertriebspostfach (Amazon WorkMail, Irland), versendet über Amazon Web Services in Frankfurt. Wir löschen die E-Mail, sobald Ihre Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Zum Schutz vor Missbrauch zählen wir Anfragen an das Formular je IP-Adresse, nur im Arbeitsspeicher: im vorgeschalteten Server flüchtig, ohne Speicherung auf Datenträger, in der Website als pseudonymisierten Prüfwert (der Schlüssel liegt nur im Arbeitsspeicher), den wir nach etwa einer Stunde löschen. Für die Server-Protokolle gilt „Hosting & Logs“ (Art. 6 Abs. 1 lit. f DSGVO).

Schreiben Sie uns eine E-Mail (contact@, support@ oder billing@xoalpha.com), verarbeiten wir Ihre Adresse und den Inhalt der Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag mit Ihnen oder Ihrem Unternehmen geht, sonst unser berechtigtes Interesse, Anfragen zu beantworten (lit. f). Die Postfächer liegen bei Amazon WorkMail in Irland. Wir löschen E-Mails, wenn das Anliegen erledigt ist; Geschäftsbriefe und Rechnungsunterlagen bewahren wir auf, solange Handels- und Steuerrecht es verlangen (§ 257 HGB, § 147 AO, je nach Unterlage sechs bis zehn Jahre; Art. 6 Abs. 1 lit. c DSGVO).

Status-Benachrichtigungen

Auf unserer Statusseite können Sie sich freiwillig für Benachrichtigungen zum Systemstatus anmelden. Wir informieren Sie dann per E-Mail über öffentlich gemeldete Störungen, über Aktualisierungen zu laufenden Störungen und deren Behebung sowie über geplante Wartungsarbeiten.

Dafür verarbeiten wir Ihre E-Mail-Adresse sowie Zeitpunkte und Nachweisdaten zur Anmeldung, Bestätigung und Abmeldung. In der Abo-Liste speichern wir keine IP-Adresse. Für die Aufrufe selbst gelten die Server-Protokolle (siehe „Hosting & Logs“).

Die Anmeldung erfolgt im doppelten Bestätigungsverfahren: Nach Eingabe Ihrer E-Mail-Adresse senden wir Ihnen eine Bestätigungs-E-Mail. Erst wenn Sie den darin enthaltenen Link anklicken, ist das Abonnement aktiv. Bis dahin erhalten Sie keine Statusbenachrichtigungen.

Wir stützen diese Verarbeitung auf Ihre freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Anmeldung ist freiwillig und keine Voraussetzung für die Nutzung unserer Leistungen.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Jede Status-E-Mail enthält dafür einen Abmeldelink; eine Anmeldung ist nicht erforderlich. Nach der Abmeldung erhalten Sie keine weiteren Status-E-Mails. Ihre übrigen Rechte gelten unverändert (siehe „Ihre Rechte“).

Wir verwenden diese Daten ausschließlich für Statusbenachrichtigungen. Eine Nutzung für Werbung findet nicht statt, ebenso wenig eine Weitergabe zu Werbezwecken.

Nicht bestätigte Anmeldungen löschen wir automatisch 48 Stunden nach der Anmeldung; der Bestätigungslink ist ebenso lange gültig. Ein aktives Abonnement speichern wir, solange es besteht. Nach einer Abmeldung bewahren wir einen minimalen Nachweis über Einwilligung und Widerruf 3 Jahre lang auf und löschen ihn danach automatisch. Diese 3 Jahre sind eine von uns festgelegte Frist zur Nachweisführung, keine gesetzlich vorgeschriebene Aufbewahrungspflicht.

Speicherdauer & Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Nach Beendigung des Arbeitsverhältnisses werden Mitarbeiterdaten gemäß den gesetzlichen Fristen aufbewahrt und anschließend gelöscht.

Löschanfragen können Sie jederzeit per E-Mail an contact@xoalpha.com stellen; wir antworten spätestens innerhalb eines Monats.

Kontakt für Fragen

Schreiben Sie uns bei jeder Frage zum Datenschutz an contact@xoalpha.com.