Datenschutzerklärung — expitalk.de

1. Verantwortlicher

2BS Management GmbH
Hauptstraße 32 a
91334 Hemhofen, Deutschland
E-Mail: info@expitalk.de

Vertreten durch die Geschäftsführerin Mandy Schneider.

Datenschutzbeauftragter: TODO — Entscheidung ausstehend (kein DSB / externer DSB / interner DSB nach DSGVO-Pflichtprüfung, Art. 37 DSGVO, § 38 BDSG).

2. Allgemeine Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO besteht — insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter),
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen (z. B. Mitgliedskonto, Zugangs-/Legitimierungsprüfung, Nutzungsverhältnis Mitgliederbereich),
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z. B. technischer Betrieb, Sicherheit, Missbrauchsabwehr).

Eine Übermittlung in Drittländer findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (siehe Abschnitt 5).

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Website (Server-Logs)

Beim Besuch von expitalk.de verarbeitet unser Webserver (Nginx) automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, User-Agent, HTTP-Statuscode und übertragene Datenmenge.

• Zweck: technischer Betrieb, Stabilität, Fehleranalyse, Abwehr von Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: 7 Tage, danach automatische Löschung.

3.2 Newsletter „Branchenradar" (Double-Opt-In)

Bei Anmeldung zum Branchenradar verarbeiten wir: E-Mail-Adresse, optional Name, Firma und Funktion, sowie zum Nachweis der Anmeldung IP-Adresse, User-Agent und Zeitstempel von Anmeldung und Bestätigung (Double-Opt-In).

• Zweck: Zusendung des Branchen-Newsletters; Nachweis der Einwilligung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); der DOI-Nachweis stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
• Widerruf: jederzeit über den Abmeldelink in jeder Ausgabe oder per E-Mail an info@expitalk.de.
• Speicherdauer: Für die Dauer des Abonnements. Nach Abmeldung speichern wir den DOI-Nachweis (E-Mail, Zeitstempel, IP) für 3 Jahre zu Nachweiszwecken (Verjährung, § 195 BGB) und löschen anschließend.
• Versand: über Microsoft 365 (siehe Abschnitt 4) und teilweise über CleverReach (siehe Abschnitt 4).

3.3 Registrierung Mitgliederbereich (geplant)

Bei Registrierung für den geschützten Mitgliederbereich verarbeiten wir: E-Mail-Adresse, Passwort (ausschließlich als argon2id-Hash, niemals im Klartext), Firma, Position, Zeitpunkt der Registrierung sowie die Consent-Protokolle (siehe 3.4).

• Zweck: Bereitstellung des Mitgliedskontos und des Mitgliederbereichs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung des Kontos; danach Anonymisierung. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

3.4 Session-Management und Login-Sicherheit

Für angemeldete Nutzer setzen wir ein Session-Cookie (HttpOnly, Secure, SameSite=Lax). Serverseitig speichern wir zur Session: einen Hash der Session-ID, IP-Adresse, User-Agent und Zeitstempel. Sicherheitsrelevante Vorgänge (Login, Passwort-Änderung, Admin-Aktionen) werden in einem Audit-Log mit Zeitstempel und IP protokolliert.

• Zweck: Authentifizierung, Kontosicherheit, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge, Missbrauchsabwehr (Rate-Limiting).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).
• Cookies: Das Session-Cookie ist für den Login-Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) — eine Einwilligung ist hierfür nicht erforderlich. Wir setzen keine Tracking- oder Marketing-Cookies im Mitgliederbereich.
• Speicherdauer: Sessions max. 90 Tage (absolute Obergrenze), bei Inaktivität früher; Audit-Log: TODO Aufbewahrungsdauer festlegen (Vorschlag: 12 Monate).

3.5 KI-gestützte Legitimierungsprüfung

expitalk.de richtet sich an Beschäftigte der Reisebranche. Zur Prüfung der Branchenzugehörigkeit („Legitimierung") gleichen wir die bei der Registrierung angegebenen Daten (Firma, Position, Firmen-Website, E-Mail-Domain) automatisiert mit externen Quellen ab:

1. OpenCorporates (OpenCorporates Ltd., Vereinigtes Königreich): Abgleich, ob die angegebene Firma in öffentlichen Handelsregistern existiert.
2. Anthropic (Anthropic PBC, USA): KI-gestützte Klassifikation, ob die angegebene Firmen-Website der Reisebranche zuzuordnen ist und ob die Angaben plausibel zusammenpassen.

Das Ergebnis der Prüfung ist entweder eine automatische Freischaltung, eine manuelle Prüfung durch unser Team oder eine Ablehnung.

• Zweck: Sicherstellung, dass der Mitgliederbereich Branchenteilnehmern vorbehalten bleibt; Schutz der Community vor Fremdzugriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Prüfung der Branchenzugehörigkeit ist Voraussetzung und Bestandteil des Nutzungsverhältnisses über den geschlossenen Mitgliederbereich (vorvertragliche Maßnahme auf Anfrage des Betroffenen). Über die Prüfung wird im Registrierungsformular transparent informiert.

• Automatisierte Entscheidung (Art. 22 DSGVO): Eine automatische ABLEHNUNG erfolgt nicht ohne menschliche Prüfung; abgelehnte und unklare Fälle werden von einem Menschen geprüft. Nutzer können der Entscheidung widersprechen und eine erneute Prüfung verlangen (info@expitalk.de).

• Speicherdauer: Prüfergebnis für die Dauer der Mitgliedschaft; Rohdaten der Prüfung (abgerufene Webseiten-Inhalte, API-Antworten) werden nach Abschluss der Prüfung gelöscht, spätestens nach TODO Tagen.

3.6 Kontakt-Datenbank (geplant)

TODO: Dieser Abschnitt beschreibt eine geplante Funktion und wird vor deren Livegang finalisiert.

Im Mitgliederbereich ist eine Kontakt-Datenbank mit Ansprechpartnern der Reisebranche geplant (berufliche Kontaktdaten: Name, Firma, Funktion, geschäftliche E-Mail/Telefon).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am B2B-Branchenverzeichnis).

• Zweckbindung: Nutzung nur zur eigenen geschäftlichen Kontaktaufnahme; Massen-Export und Weitergabe sind untersagt (siehe Nutzungsbedingungen).

3.7 Community-Verifikation (Upload-Service)

Für die Verifizierungen „Expi Only" und „Chefsache" können Nachweise (z. B. Nachweis der Branchenzugehörigkeit) hochgeladen werden. Die Dateien werden auf unserem Server nur temporär zwischengespeichert, per E-Mail an unser internes Postfach übermittelt und unmittelbar danach vom Server gelöscht.

• Zweck: Prüfung der Verifizierungs-Voraussetzungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der beantragten Verifizierung).
• Speicherdauer: temporäre Kopie auf dem Server: nur für die Dauer der Übermittlung (Minuten); die per E-Mail übermittelten Nachweise: TODO — Aufbewahrungs- und Löschkonzept für das Postfach festlegen.

3.8 Ausgehende E-Mails

Transaktions- und Newsletter-E-Mails versenden wir über Microsoft 365 (Absender info@expitalk.de). Microsoft verarbeitet dabei die für den E-Mail-Versand erforderlichen Daten als Auftragsverarbeiter im Rahmen der Microsoft-Produktbedingungen inkl. EU-Standardvertragsklauseln und EU-Data-Boundary.

4. Empfänger und Auftragsverarbeiter

5. Drittlandübermittlung

Übermittlungen in die USA (Microsoft, Anthropic) stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist, sowie ergänzend auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit zusätzlichen technischen Maßnahmen (Transportverschlüsselung, Pseudonymisierung soweit möglich). Für das Vereinigte Königreich (OpenCorporates) besteht ein Angemessenheitsbeschluss der EU-Kommission.

6. Speicherdauern (Übersicht)

7. Betroffenenrechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) — für Ihr Mitgliedskonto steht ein maschinenlesbarer Datenexport direkt im Konto zur Verfügung,
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Anfragen richten Sie an: info@expitalk.de

8. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

9. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a.: TLS-Verschlüsselung auf allen Verbindungen, Passwort-Speicherung ausschließlich als argon2id-Hash, gehashte Session- und Einmal-Token, rollenbasierte Zugriffe, Audit-Protokollierung sicherheitsrelevanter Vorgänge, gehärtete Systemdienste, Intrusion-Prevention (Fail2ban), SSH-Key-only-Zugang sowie verschlüsselte Backups. Details im Verarbeitungsverzeichnis (intern).

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, die Website oder die Datenverarbeitung ändert. Für erneute Besuche gilt die jeweils aktuelle Fassung. Über wesentliche Änderungen, die Ihr Mitgliedskonto betreffen, informieren wir Sie beim nächsten Login.