Datenschutzerklärung

1. Wer sind wir?

Die Website https://enrow.io und der Dienst ENROW (nachfolgend der „Dienst“) werden betrieben von:

SCHRUTE FARMS, eine französische Gesellschaft mit beschränkter Haftung (SARL) mit einem Stammkapital von 500 €, mit Sitz in 123 Rue De Rome, 75017 Paris, Frankreich, eingetragen im Handels- und Gesellschaftsregister Paris (RCS Paris) unter der Nummer 981 316 300, innergemeinschaftliche USt-IdNr. FR76981316300.

Mitgeschäftsführer: Thomas LUCY und Louis CONGARD.

Datenschutzbeauftragter (DPO): Louis CONGARD — dpo@enrow.io.

ENROW ist ein Dienst zur Anreicherung professioneller Daten, der ausschließlich für die geschäftliche Ansprache zwischen Unternehmen (B2B) bestimmt ist. Der Dienst ermöglicht es seinen Kunden, professionelle E-Mail-Adressen, Telefonnummern, LinkedIn-Profile und Unternehmensinformationen zu recherchieren.

2. Welche Daten erheben wir?

Wir erheben je nach Ihrer Beziehung zu ENROW unterschiedliche Kategorien von Daten.

3. Woher stammen die Anreicherungsdaten?

Die in der Anreicherungsdatenbank von ENROW gespeicherten Daten stammen aus folgenden Quellen:

• Öffentlich zugängliche Quellen im Internet: Unternehmenswebsites (Seiten „Team“, „Kontakt“, „Über uns“), Online-Branchenverzeichnisse, Pressemitteilungen, Artikel der Wirtschaftspresse, Veröffentlichungen in beruflichen sozialen Netzwerken;
• Berufliche soziale Netzwerke: Informationen, die von Nutzern in ihren beruflichen Profilen öffentlich zugänglich gemacht wurden (LinkedIn und andere gleichwertige Plattformen);
• Amtliche öffentliche Register: Handelsregister (Infogreffe, Companies House usw.), rechtliche und aufsichtsrechtliche Datenbanken;
• Suchmaschinen: von öffentlichen Suchmaschinen indexierte Informationen;
• Drittanbieter professioneller Daten: ENROW greift auf spezialisierte Anbieter von beruflichen Kontaktdaten, firmografischen Daten und Geschäftssignalen zurück. Diese Anbieter sind ENROW vertraglich durch Verpflichtungen zur DSGVO-Konformität gebunden;
• Proprietäre Technologien von ENROW: intern von ENROW entwickelte Algorithmen zur Recherche, Ableitung und Verifizierung.

ENROW erhebt keine Daten aus Datenschutzverletzungen, gestohlenen Datenbanken oder sonstigen unrechtmäßigen Quellen.

4. Information der betroffenen Personen (Artikel 14 DSGVO)

Die in der Anreicherungsdatenbank von ENROW gespeicherten Daten wurden nicht unmittelbar bei den betroffenen Personen erhoben. Artikel 14 DSGVO verpflichtet den Verantwortlichen, Personen, deren Daten verarbeitet werden, ohne unmittelbar bei ihnen erhoben worden zu sein, bestimmte Informationen bereitzustellen.

5. Warum und auf welcher Rechtsgrundlage verarbeiten wir Ihre Daten?

6. Mit wem teilen wir Ihre Daten?

Ihre personenbezogenen Daten können unter strikter Beachtung des Grundsatzes der Datenminimierung an folgende Kategorien von Empfängern weitergegeben werden:

7. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Sämtliche Daten des Dienstes werden innerhalb der Europäischen Union gehostet (AWS Paris, eu-west-3). Die überwiegende Mehrheit unserer Unterauftragsverarbeiter agiert ausschließlich innerhalb des EWR.

Bestimmte Verarbeitungen können eine Übermittlung in die Vereinigten Staaten umfassen, die durch die folgenden Mechanismen geregelt wird:

• Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF): Beschluss der Europäischen Kommission vom 10. Juli 2023, mit dem für zertifizierte Unternehmen in den Vereinigten Staaten ein angemessenes Schutzniveau anerkannt wird;
• Standardvertragsklauseln (SCC): von der Europäischen Kommission erlassen (Durchführungsbeschluss 2021/914), erforderlichenfalls durch zusätzliche technische Maßnahmen ergänzt.

Dienste, die eine Übermittlung außerhalb des EWR umfassen:

• Anthropic (Claude.ai): DPF + SCC. Keine Daten für das Modelltraining verwendet. Punktuelle Verarbeitung ohne Speicherung;
• Google Ads, Meta, LinkedIn, Google Fonts, YouTube: DPF. Vorbehaltlich Ihrer vorherigen Einwilligung (Cookies).

Die vollständigen Angaben zu den Übermittlungsmechanismen für jeden Unterauftragsverarbeiter sind in Anlage 3 des DPA aufgeführt, die auf Anfrage verfügbar ist.

8. Wie lange speichern wir Ihre Daten?

ENROW wendet den Grundsatz der Speicherbegrenzung an (Artikel 5 Abs. 1 Buchst. e DSGVO) und speichert Ihre Daten nur für den zur Erreichung der oben beschriebenen Zwecke unbedingt erforderlichen Zeitraum.

Nach Ablauf der angegebenen Fristen werden die Daten automatisch und endgültig gelöscht oder, soweit technisch möglich, unwiderruflich anonymisiert.

9. Welche Rechte haben Sie?

Gemäß der DSGVO (Artikel 15 bis 22) und dem französischen Datenschutzgesetz (Loi Informatique et Libertés) haben Sie die folgenden Rechte:

• Auskunftsrecht (Artikel 15): Sie können eine Bestätigung darüber verlangen, ob Sie betreffende personenbezogene Daten von ENROW verarbeitet werden, und eine Kopie davon erhalten. Sie können zudem Informationen über die Verarbeitungszwecke, die Datenkategorien, die Empfänger, die Speicherdauer und die Herkunft der Daten erhalten.
• Recht auf Berichtigung (Artikel 16): Sie können die Berichtigung unrichtiger Daten oder die Vervollständigung unvollständiger Daten verlangen. Wenn sich Ihre Position, Telefonnummer oder Ihr Unternehmen geändert hat, kontaktieren Sie uns, um Ihre Angaben zu aktualisieren.
• Recht auf Löschung (Artikel 17): Sie können die Löschung Ihrer Daten verlangen. ENROW nimmt die Löschung vor und trägt Sie binnen 24 Geschäftsstunden in die dauerhafte Ausschlussliste ein. Dieses Recht ist eingeschränkt, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
• Widerspruchsrecht (Artikel 21): Sie können der auf dem berechtigten Interesse von ENROW beruhenden Verarbeitung Ihrer Daten jederzeit widersprechen, auch zu Zwecken der Direktwerbung. Im Falle eines Widerspruchs stellt ENROW die Verarbeitung ein und trägt die betroffene Person in seine dauerhafte Ausschlussliste ein.
• Recht auf Einschränkung der Verarbeitung (Artikel 18): Sie können die vorübergehende Aussetzung der Verarbeitung Ihrer Daten verlangen, insbesondere während der Überprüfung der Richtigkeit der Daten oder der Prüfung Ihres Widerspruchs.
• Recht auf Datenübertragbarkeit (Artikel 20): Dieses Recht gilt, wenn die Verarbeitung auf einer Einwilligung oder der Erfüllung eines Vertrags beruht. Da die Verarbeitung durch ENROW überwiegend auf dem berechtigten Interesse beruht, ist das Recht auf Datenübertragbarkeit nicht von Rechts wegen anwendbar. Ungeachtet dessen bemüht sich ENROW nach vernünftigem Ermessen, jedem angemessenen Antrag in einem strukturierten, maschinenlesbaren Format zu entsprechen.
• Recht auf Widerruf der Einwilligung: Bei Verarbeitungen auf Grundlage einer Einwilligung (Cookies, Marketing) können Sie Ihre Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Recht, keiner automatisierten Entscheidungsfindung unterworfen zu werden (Artikel 22): ENROW trifft keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die rechtliche Wirkung entfaltet oder betroffene Personen erheblich beeinträchtigt. Die Algorithmen von ENROW dienen ausschließlich der Suche und Verifizierung beruflicher Daten.
• Recht auf Festlegung von Anweisungen für den Todesfall (Artikel 85 Loi Informatique et Libertés): Sie können Anweisungen zur Speicherung, Löschung und Übermittlung Ihrer Daten nach Ihrem Tod festlegen.

10. So üben Sie Ihre Rechte aus

11. Wie schützen wir Ihre Daten?

ENROW setzt technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um, die der Art, dem Umfang und den Risiken der Verarbeitung angemessen sind:

• Verschlüsselung: ruhende Daten mit AES-256 verschlüsselt. Daten während der Übertragung durch TLS 1.2 oder höher geschützt. Passwörter mit bcrypt und individuellem Salting gehasht;
• Zugriffskontrolle: Multi-Faktor-Authentifizierung (MFA) für alle kritischen Zugriffe. Produktionszugriff auf die beiden Mitgeschäftsführer beschränkt. RBAC-Modell (Role-Based Access Control) für Nutzer des Dienstes;
• Netzwerkisolierung: Datenbanken und interne Dienste in einer AWS-VPC ohne öffentlichen Zugang isoliert. Nur die Anwendung kann darauf zugreifen;
• Überwachung: umfassende Protokollierung der Aktivitäten (verschlüsselte Logs, über SigNoz). Automatische Benachrichtigung bei Anomalien;
• Backups: automatische tägliche Backups, verschlüsselt, getestet und validiert;
• Penetrationstests: jährlicher Penetrationstest durch einen unabhängigen Drittanbieter;
• Sichere Entwicklung: systematisches Code-Review (Pull Requests), automatische Erkennung von Schwachstellen in Abhängigkeiten (Dependabot);
• Hosting: ausschließlich innerhalb der Europäischen Union (AWS Paris, eu-west-3). AWS verfügt über die Zertifizierungen ISO 27001, SOC 1/2/3.

Die vollständigen Details unserer technischen und organisatorischen Maßnahmen sind im DPA (Anlage 2) festgelegt. Die Informationssicherheitsrichtlinie und der Notfallplan zur Betriebskontinuität werden aktuell gehalten und sind auf Anfrage unter NDA verfügbar.

12. Was geschieht bei einer Datenschutzverletzung?

Bei einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für Ihre Rechte und Freiheiten mit sich bringen kann, verpflichtet sich ENROW:

• die CNIL innerhalb von zweiundsiebzig (72) Stunden zu benachrichtigen (Artikel 33 DSGVO);
• die betroffenen Kunden innerhalb von zweiundsiebzig (72) Stunden zu informieren;
• Sie unmittelbar zu informieren, sofern die Verletzung ein hohes Risiko für Ihre Rechte und Freiheiten darstellt (Artikel 34 DSGVO);
• die Verletzung in einem internen Register zu dokumentieren und die erforderlichen Abhilfemaßnahmen zu ergreifen.

13. Automatisierte Entscheidungen und Profiling

ENROW nutzt proprietäre Algorithmen, um berufliche Daten zu suchen, abzuleiten und zu verifizieren. Diese Algorithmen dienen ausschließlich der Bereitstellung des Anreicherungsdienstes (Finden einer E-Mail, Verifizieren einer Telefonnummer usw.).

ENROW trifft keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die rechtliche Wirkung entfalten oder betroffene Personen im Sinne von Artikel 22 DSGVO erheblich beeinträchtigen würde. Anreicherungsdaten werden nicht für Scoring, Profiling zu diskriminierenden Zwecken, Kreditbewertung, Einstellungsentscheidungen oder sonstige Entscheidungen mit rechtlicher oder erheblicher Auswirkung auf Personen verwendet.

14. Minderjährige

Der Dienst ist natürlichen Personen ab achtzehn (18) Jahren vorbehalten, die zu beruflichen Zwecken handeln. ENROW erhebt nicht wissentlich Daten über Minderjährige. Die Anreicherungsdatenbank enthält ausschließlich berufliche B2B-Daten und richtet sich nicht an Minderjährige. Sollten wir Kenntnis davon erlangen, dass Daten eines Minderjährigen erhoben wurden, löschen wir diese unverzüglich.

15. Cookies

ENROW verwendet Cookies und ähnliche Technologien auf seiner Website und innerhalb des Dienstes. Die vollständigen Details zu den verwendeten Cookies, ihren Zwecken, Laufzeiten und den Möglichkeiten ihrer Verwaltung sind in unserer Cookie-Richtlinie festgelegt, die auf der Website https://enrow.io zugänglich ist. Ihre Einwilligung wird bei Ihrem ersten Besuch über das Cookiebot-Banner eingeholt und kann jederzeit geändert werden.

16. Hinweise für Einwohner Kaliforniens (CCPA/CPRA)

Dieser Abschnitt enthält ergänzende Informationen für Einwohner des US-Bundesstaates Kalifornien gemäß dem California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung.

17. Internationale Konformität

Diese Richtlinie gilt nach Maßgabe der folgenden Vorschriften, je nach Ihrem Standort:

• Europäische Union: Verordnung (EU) 2016/679 (DSGVO) und Loi n°78-17 vom 6. Januar 1978 in geänderter Fassung (Loi Informatique et Libertés);
• Vereinigtes Königreich: UK GDPR (European Union (Withdrawal) Act 2018) und Data Protection Act 2018;
• Schweiz: das neue Schweizer Datenschutzgesetz (nDSG), in Kraft seit dem 1. September 2023;
• Kalifornien (USA): CCPA in der durch den CPRA geänderten Fassung (siehe Abschnitt 16 oben).

Verweise auf die DSGVO in dieser Richtlinie gelten als Verweise auf die entsprechenden Bestimmungen der vorgenannten Vorschriften, soweit diese anwendbar sind.

18. Änderungen dieser Richtlinie

ENROW behält sich das Recht vor, diese Richtlinie jederzeit zu ändern, um Änderungen seiner Praktiken oder der geltenden Vorschriften abzubilden. Das Datum der letzten Aktualisierung ist am Anfang dieses Dokuments angegeben.

Bei einer wesentlichen Änderung, die die Art der Verarbeitung Ihrer Daten betrifft, benachrichtigt ENROW Sie per E-Mail oder über den Dienst mindestens dreißig (30) Tage vor Inkrafttreten der neuen Fassung. Die fortgesetzte Nutzung des Dienstes nach der Benachrichtigung gilt als Zustimmung. Für Personen, deren Daten in der Anreicherungsdatenbank gespeichert sind, wird die aktualisierte Richtlinie auf der Website veröffentlicht.

19. Kontakt

Für jede Anfrage zu dieser Richtlinie, zum Schutz Ihrer Daten oder zur Ausübung Ihrer Rechte:

• Datenschutzbeauftragter: Louis CONGARD
• E-Mail: dpo@enrow.io
• Postanschrift: SCHRUTE FARMS / ENROW — DPO — 123 Rue De Rome, 75017 Paris, Frankreich