Einleitung - sorgfältige Anwendung des berechtigten Interesses
Für bestimmte Verarbeitungstätigkeiten stützt sich CompanySpotter auf das berechtigte Interesse im Sinne von Artikel 6 Abs. 1 lit. f DSGVO. Diese Rechtsgrundlage darf nicht leichtfertig angewendet werden. Die DSGVO verlangt, dass für jede konkrete Verarbeitung sorgfältig geprüft und dokumentiert wird, ob ein berechtigtes Interesse besteht, ob die Verarbeitung zur Verwirklichung dieses Interesses erforderlich ist und ob die Interessen, Grundrechte und Grundfreiheiten der betroffenen Personen dieses Interesse nicht überwiegen.
CompanySpotter hat diese Legitimate Interest Assessment anhand eines Prüfrasters des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, einer europäischen Datenschutzaufsichtsbehörde, erstellt.
Diese LIA spiegelt die tatsächliche Ausgestaltung der Dienste von CompanySpotter wider. CompanySpotter betreibt eine unternehmensbezogene Such- und Analysedatenbank, die aus Informationen von Websites von Organisationen aufgebaut ist. Die Dienste sind darauf ausgerichtet, eine aktuelle und verlässliche geschäftliche Informationsversorgung unter anderem für Analyse, Transparenz, Zielgruppenauswahl, Datenanreicherung und B2B-Kommunikation zu erleichtern. Die Datenbank enthält unter anderem Organisationsdaten, Website-Daten, Kontaktkanäle, Klassifizierungen, Standortdaten, Online-Merkmale und Technologiedaten.
Die Verarbeitung richtet sich nicht auf natürliche Personen als solche. CompanySpotter richtet sich auf Organisationen, Websites und den geschäftlichen Kontext, in dem diese Organisationen online präsent sind. Gleichzeitig erkennt CompanySpotter an, dass in diesem Kontext in bestimmten Fällen personenbezogene Daten vorkommen können, etwa wenn eine Organisation auf ihrer Website eine personenbezogene geschäftliche E-Mail-Adresse, eine direkte Telefonnummer oder andere einer natürlichen Person zuordenbare Kontaktinformationen veröffentlicht. Deren Verarbeitung wird in dieser LIA innerhalb des spezifischen geschäftlichen Kontexts bewertet, in dem diese Daten auf der Website der betreffenden Organisation verfügbar gemacht wurden und von CompanySpotter verarbeitet werden.
Ein wichtiger Bestandteil der Ausgestaltung der Verarbeitung besteht darin, dass CompanySpotter Organisationen aktiv über die Aufnahme in die Datenbank informiert. Die Benachrichtigung erläutert, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, welche Rechte betroffene Personen haben und wie eine Löschung oder Einschränkung der Verarbeitung veranlasst werden kann. Darin wird auch hervorgehoben, dass die Benachrichtigung keine Werbung ist, sondern im Rahmen der Transparenz über die mögliche Verarbeitung von Daten versendet wird.
Dieses Dokument wurde im Einklang mit dem Privacy Statement von CompanySpotter erstellt, in dem weitere Informationen zur Verarbeitung personenbezogener Daten durch CompanySpotter zu finden sind. Soweit in diesem Dokument Definitionen verwendet werden, entsprechen diese den Definitionen aus dem Privacy Statement.
1. Berechtigtes Interesse
Frage 1.1: Worin besteht das Interesse an der Verarbeitungstätigkeit?
Das Interesse an der Verarbeitungstätigkeit besteht darin, eine aktuelle, verlässliche und strukturierte unternehmensbezogene Such- und Analysedatenbank anbieten und pflegen zu können, mit der professionelle Nutzer für sie relevante Organisationen im Business-to-Business-Bereich finden, analysieren, vergleichen, segmentieren und kontaktieren können.
CompanySpotter hat ein berechtigtes Interesse daran, Informationen über Organisationen, Websites und geschäftliche Kontaktkanäle zu erheben, zu strukturieren, zu aktualisieren und professionellen Nutzern bereitzustellen. Diese Informationen entsprechen so weit wie möglich den Bedürfnissen von Unternehmern und unterstützen unter anderem die geschäftliche Informationsversorgung, Markterkundung, Zielgruppenauswahl, Leadgenerierung, Wettbewerbsanalyse, Datenanreicherung, Aktualisierung geschäftlicher Dateien und B2B-Kommunikation durch die Nutzer der Dienste von CompanySpotter.
Darüber hinaus werden auch die Interessen Dritter, darunter der Nutzer der CompanySpotter-Dienste, bedient. Sie haben ein Interesse am Zugang zu aktuellen und brauchbaren Unternehmensinformationen für professionelle Zwecke, etwa zur Identifizierung relevanter Organisationen, zur Durchführung von Marktanalysen, zur Auswahl von Zielgruppen, zur besseren Ausrichtung ihrer Dienste auf den Markt, zum Angebot ihrer eigenen Dienste an interessierte Unternehmen, zur Aktualisierung geschäftlicher Datenbanken und zur Untermauerung geschäftlicher und strategischer Entscheidungen.
Auch die Interessen der Unternehmen, deren Daten über die Dienste von CompanySpotter bereitgestellt werden, können durch die Verarbeitung bedient werden, indem ihre geschäftliche Auffindbarkeit und Sichtbarkeit im Business-to-Business-Bereich vergrößert und verbessert werden können, weil sie von professionellen Parteien, die nach relevanten Produkten, Diensten, Technologien, Expertise oder Kooperationsmöglichkeiten suchen, besser gefunden werden können.
Diese Interessen werden zudem unter Beachtung der DSGVO-Grundsätze verfolgt, darunter Datenminimierung, Transparenz und Richtigkeit.
Frage 1.2: Was ist der spezifische Zweck der Verarbeitung?
Der spezifische Zweck der Verarbeitung besteht in der Erhebung, Strukturierung, Analyse, Aktualisierung und Bereitstellung unternehmensbezogener Daten über Organisationen, Websites und geschäftliche Kontaktkanäle für professionelle Nutzer. Dadurch können Nutzer Organisationen im Business-to-Business-Bereich identifizieren, unterscheiden, analysieren, segmentieren und kontaktieren.
Die Verarbeitung ist auf geschäftliche Suchfunktionalität, Marktanalyse, Zielgruppenauswahl, Leadgenerierung, Wettbewerbsanalyse, Datenanreicherung, Aktualisierung geschäftlicher Dateien und gezielte geschäftliche Kommunikation ausgerichtet. Dabei kann unter anderem nach Organisationsmerkmalen, Website-Merkmalen, Standortdaten, Branchen- und Klassifizierungsdaten, Kontaktkanälen und Technologienutzung gesucht und gefiltert werden.
CompanySpotter erhebt Daten von Websites von Organisationen. Die Verarbeitung ist nicht auf den Aufbau von Personenprofilen oder auf die Verarbeitung von Daten natürlicher Personen als eigenständigen Zweck ausgerichtet. Namen natürlicher Personen bilden keinen gesonderten Zweck und kein separates Datenbankfeld. CompanySpotter ergreift Maßnahmen, um die Verarbeitung von Namen so weit wie möglich zu beschränken.
Die Verarbeitung von E-Mail-Adressen und Telefonnummern ist in erster Linie auf allgemeine geschäftliche Kontaktkanäle von Organisationen ausgerichtet, wie allgemeine E-Mail-Adressen und allgemeine Organisationsnummern. In Ausnahmefällen kann eine personenbezogene geschäftliche E-Mail-Adresse oder direkte Telefonnummer verarbeitet werden, wenn diese von der Organisation selbst auf ihrer Website veröffentlicht wurde, funktional als geschäftlicher Kontaktkanal dient und keine allgemeinere Alternative verfügbar ist.
Frage 1.3: Wer verfolgt das Interesse?
Das Interesse wird in erster Linie von CompanySpotter selbst verfolgt, als Anbieterin ihrer Dienste in der Rolle des Verantwortlichen. Die Verarbeitung erfolgt im Rahmen ihrer Kerntätigkeit: dem Angebot einer unternehmensbezogenen Such-, Analyse- und Datenplattform für professionelle Nutzer.
Daneben werden auch die Interessen Dritter bedient, nämlich der Nutzer und Kunden von CompanySpotter. Sie verwenden die Informationen für professionelle Zwecke, wie Markterkundung, Zielgruppenauswahl, geschäftliche Kommunikation, Datenanalyse, Datenanreicherung, Aktualisierung geschäftlicher Dateien und strategische Entscheidungsfindung.
Auch die Interessen der Unternehmen, deren Daten über die Dienste von CompanySpotter bereitgestellt werden, können durch die Verarbeitung bedient werden.
Die Verarbeitung dient damit sowohl dem Interesse von CompanySpotter, ihre Dienste anbieten und pflegen zu können, als auch dem Interesse professioneller Nutzer am Zugang zu aktuellen, richtigen und verlässlichen unternehmensbezogenen Informationen über Unternehmen. Darüber hinaus kann die Verarbeitung zur geschäftlichen Auffindbarkeit und Erreichbarkeit der Unternehmen beitragen, auf die sich die Informationen beziehen.
Frage 1.4: Ist das Interesse rechtmäßig und steht es nicht im Widerspruch zu anwendbarem Recht?
Ja. Das verfolgte Interesse ist rechtmäßig und steht nicht im Widerspruch zum anwendbaren Unionsrecht oder nationalen Recht.
Die Verarbeitung ist auf das Anbieten und Pflegen einer unternehmensbezogenen Such- und Analyseplattform für die professionelle Nutzung im Business-to-Business-Bereich ausgerichtet. Soweit in den verarbeiteten Daten personenbezogene Daten vorkommen, handelt es sich um Daten, die in einem geschäftlichen Kontext auf Websites von Organisationen verfügbar gemacht wurden und funktional mit der Online-Präsenz, Auffindbarkeit oder Erreichbarkeit dieser Organisationen zusammenhängen.
Die Verarbeitung ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Artikel 10 DSGVO ausgerichtet. Die Verarbeitung ist auch nicht auf automatisierte Entscheidungen mit Rechtswirkungen oder vergleichbaren erheblichen Auswirkungen für betroffene Personen im Sinne von Artikel 22 DSGVO ausgerichtet.
Die Verarbeitungstätigkeit ist so ausgestaltet, dass sie sich primär auf Organisationen, Websites und geschäftliche Kontaktkanäle bezieht. Allgemeine Kontaktdaten von Organisationen haben Vorrang vor personenbezogenen Kontaktdaten. Organisationen werden aktiv über die Aufnahme in CompanySpotter informiert, bevor Daten in der öffentlichen Datenbank bereitgestellt werden. Außerdem besteht ein niedrigschwelliger Mechanismus, um Daten einzusehen, einzuschränken oder zu löschen.
Frage 1.5: Ist das Interesse klar und präzise formuliert?
Ja. Das berechtigte Interesse ist klar und präzise formuliert.
Das Interesse von CompanySpotter ist auf das Anbieten und Pflegen einer unternehmensbezogenen Such- und Analysedatenbank für die professionelle Nutzung im Business-to-Business-Bereich abgegrenzt. Die Verarbeitung ist auf Organisationen, Websites, geschäftliche Kontaktkanäle und unternehmensbezogene Merkmale ausgerichtet und nicht auf natürliche Personen als solche.
Diese Abgrenzung kommt auch in der Ausgestaltung der Verarbeitung zum Ausdruck. CompanySpotter erhebt Daten über Websites von Organisationen und verarbeitet diese Daten im Hinblick auf geschäftliche Auffindbarkeit, Analyse, Klassifizierung, Segmentierung und Kommunikation. Die Verarbeitung ist nicht auf die Erstellung von Personenprofilen, die Erhebung von Namen als eigenständiges Datum oder die Ansprache natürlicher Personen in ihrer privaten Eigenschaft ausgerichtet.
Frage 1.6: Ist das Interesse real und aktuell?
Ja. Das Interesse ist real, aktuell und konkret.
Das Interesse ergibt sich unmittelbar aus den bestehenden Geschäftstätigkeiten von CompanySpotter: dem Angebot einer unternehmensbezogenen Such-, Analyse- und Datenplattform, mit der professionelle Nutzer relevante Organisationen auf der Grundlage aktueller Website- und Unternehmensdaten finden, analysieren, segmentieren und kontaktieren können.
Die Verarbeitung erfolgt fortlaufend, weil Websites, Kontaktkanäle, Technologienutzung und geschäftliche Merkmale von Organisationen häufig Änderungen unterliegen können. Um gemäß ihrer Strategie brauchbare und verlässliche Dienste anbieten zu können, erhebt und strukturiert CompanySpotter Daten auf diese Weise, damit die verarbeiteten Daten richtig und aktuell sind und innerhalb des abgegrenzten geschäftlichen Kontexts strukturiert bereitgestellt werden können.
2. Erforderlichkeit
Frage 2.1: Ist die Verarbeitung erforderlich, um das verfolgte Interesse zu erreichen?
Ja. Für den in dieser Erläuterung beschriebenen Zweck ist die Verarbeitung erforderlich. CompanySpotter kann ihre unternehmensbezogene Such-, Analyse- und Datenplattform nicht anbieten, ohne Daten über Organisationen, Websites, geschäftliche Kontaktkanäle, Standort, Klassifizierung, Online-Merkmale und Technologienutzung zu erheben, zu strukturieren, zu aktualisieren und bereitzustellen.
Der Zweck der Verarbeitung beschränkt sich nicht auf die Anzeige eines Organisationsnamens oder einer Website-Adresse. Die Plattform ermöglicht auch geschäftliche Suchfunktionalität, Marktanalysen, Zielgruppenauswahl, Datenanreicherung, Aktualisierung geschäftlicher Dateien und Einblicke in die Online-Präsenz und Technologie von Organisationen. Dafür ist ein aktueller und strukturierter Datenbestand erforderlich, in dem Organisationen gefunden, unterschieden, verglichen und klassifiziert werden können.
Bei der Ausgestaltung der Verarbeitung wurde das mildeste Mittel gewählt. CompanySpotter erhebt Daten von Websites von Organisationen und verarbeitet und erwirbt keine zugekauften Personendatenbestände. Die Verarbeitung ist primär auf Organisationen und ihre geschäftliche Online-Präsenz ausgerichtet. Allgemeine Kontaktdaten haben Vorrang vor personenbezogenen Kontaktdaten, und Namen natürlicher Personen bilden kein separates Datenbankfeld.
Eine Alternative, bei der ausschließlich vollständig anonyme oder aggregierte Daten verarbeitet würden, könnte den Zweck nicht in vergleichbar wirksamer Weise erreichen. Professionelle Nutzer müssen Organisationen identifizieren, unterscheiden, analysieren und kontaktieren können. Daher wurde eine Ausgestaltung gewählt, bei der der unternehmensbezogene Zweck mit einer möglichst beschränkten Verarbeitung personenbezogener Daten und mit zusätzlichen Garantien wie aktiver Benachrichtigung, Kontrolle über einen eindeutigen Link und einfacher Löschung erreicht werden kann.
Frage 2.2: Sind die zu verarbeitenden Daten auf das Erforderliche beschränkt?
Ja. Die Verarbeitung ist auf Daten beschränkt, die für den Zweck von CompanySpotter erforderlich sind: das Erheben, Strukturieren, Aktualisieren und Bereitstellen unternehmensbezogener Informationen über Organisationen und Websites für die professionelle Nutzung im Business-to-Business-Bereich.
Der Datenbestand besteht aus Datenkategorien, die funktional mit der Auffindbarkeit, Identifizierung, Klassifizierung, Analyse und geschäftlichen Erreichbarkeit von Organisationen zusammenhängen. Dazu gehören unter anderem Domain- und URL-Daten, Organisationsname, Adress- und Standortdaten, Kontaktdaten, Website-Informationen, Social-Media-Kanäle der Organisation, Klassifizierungsdaten, Online-Merkmale, Statusinformationen und Technologiedaten.
Die Verarbeitung ist organisationsbezogen und nicht personenbezogen. Daten werden von Websites von Organisationen erhoben. Allgemeine geschäftliche Kontaktkanäle haben Vorrang vor personenbezogenen Kontaktdaten. Soweit eine personenbezogene geschäftliche E-Mail-Adresse oder direkte Telefonnummer verarbeitet wird, geschieht dies nur, wenn dieses Kontaktdatum von der Organisation selbst auf ihrer Website verfügbar gemacht wurde, für die geschäftliche Erreichbarkeit funktional ist und keine allgemeinere Alternative verfügbar ist.
Daten, die nicht funktional zur Identifizierung, Klassifizierung, Analyse, Auffindbarkeit oder geschäftlichen Erreichbarkeit von Organisationen beitragen, fallen außerhalb des beabsichtigten Verarbeitungsumfangs. CompanySpotter verarbeitet personenbezogene Daten nicht als eigenständigen Zweck, baut keine Personenprofile auf und verarbeitet keine zugekauften Personendatenbestände.
Darüber hinaus respektiert CompanySpotter technische Signale von Websites, wie robots.txt, mit denen Website-Betreiber Einfluss auf das Crawlen ihrer Website nehmen können.
Frage 2.3: Ist die Zahl der betroffenen Personen auf das erforderliche Mindestmaß beschränkt?
Ja. Die Zahl der betroffenen Personen ist auf das beschränkt, was für den unternehmensbezogenen Zweck erforderlich ist.
Die Verarbeitung bezieht sich primär auf Organisationen, Websites und geschäftliche Kontaktkanäle. CompanySpotter verarbeitet personenbezogene Daten nicht als eigenständigen Zweck und baut keine Personenprofile auf. Namen natürlicher Personen bilden kein separates Datenbankfeld und werden so weit wie möglich beschränkt oder entfernt.
Soweit personenbezogene Daten innerhalb des Datenbestands vorkommen, handelt es sich um Daten, die von einer Organisation auf ihrer Website in einem geschäftlichen Kontext verfügbar gemacht wurden und funktional mit der Auffindbarkeit oder Erreichbarkeit dieser Organisation zusammenhängen.
Die Zahl der betroffenen Personen wird ferner dadurch beschränkt, dass allgemeine Kontaktdaten Vorrang vor personenbezogenen Kontaktdaten haben. Darüber hinaus werden Organisationen vorab über die Aufnahme in CompanySpotter informiert. Wenn die Benachrichtigung nicht zugestellt werden kann, werden die Daten nicht aufgenommen. Außerdem gilt eine Wartefrist zwischen der Benachrichtigung und der Aufnahme in die Datenbank, die über die Plattform bereitgestellt wird. Während dieses Zeitraums kann die Organisation oder betroffene Person die Daten einsehen, einschränken oder löschen, bevor sie über die Plattform bereitgestellt oder als Teil der Dienste an Dritte übermittelt werden.
Frage 2.4: Findet die Datenverarbeitung einmalig oder fortlaufend statt?
Die Verarbeitung findet fortlaufend statt.
Zweck von CompanySpotter ist es, eine brauchbare unternehmensbezogene Such- und Analysedatenbank bereitzustellen und aktuell zu halten. Die Online-Präsenz von Organisationen verändert sich fortlaufend. Websites werden angepasst, Kontaktkanäle ändern sich, Technologien werden hinzugefügt oder entfernt, und Organisationen können umziehen, ihre Tätigkeiten ändern oder aufhören zu bestehen.
Eine einmalige Verarbeitung wäre unzureichend, um die beabsichtigten Zwecke zu verwirklichen. Die Daten würden dadurch schnell veralten und nicht mehr aktuell, vollständig und richtig sein. Veraltete Daten können zu unrichtigen Analysen, fehlerhaften Kontaktdaten und einer verminderten Zuverlässigkeit der Daten führen und damit die Dienste, die CompanySpotter anbieten kann, sowie den Nutzen der Dienste für Kunden und Dritte (einschließlich betroffener Personen) (erheblich) beeinträchtigen.
Der fortlaufende Charakter der Verarbeitung bedeutet nicht, dass Daten unbegrenzt verarbeitet werden. Die Verarbeitung bleibt auf Daten beschränkt, die auf der Quellwebsite verfügbar und für den unternehmensbezogenen Zweck erforderlich sind. Darüber hinaus bestehen Prozesse zur Aktualisierung, Löschung, zum Opt-out, zur Sperrung einer Wiederaufnahme und zur Weiterwirkung gegenüber Kunden.
Frage 2.5: Sind alle Verarbeitungsschritte erforderlich?
Die Verarbeitung umfasst ausschließlich Schritte, die erforderlich sind, um eine aktuelle, brauchbare und strukturierte unternehmensbezogene Such- und Analysedatenbank anzubieten.
Die erforderlichen Verarbeitungsschritte umfassen das Crawlen von Websites von Organisationen, das Erkennen und Strukturieren relevanter unternehmensbezogener Daten, die Anwendung der Datenminimierung, die Aktualisierung des Datenbestands, die Information von Organisationen vor der Aufnahme, die Bereitstellung von Daten an professionelle Nutzer und die Bearbeitung von Anträgen auf Löschung, Widerspruch oder Einschränkung.
Diese Schritte können nicht ohne wesentlichen Funktionsverlust weggelassen werden. Ohne Crawling und Extraktion kann kein aktueller Datenbestand aufgebaut werden. Ohne Strukturierung und Klassifizierung können Organisationen nicht effektiv gefunden, verglichen oder analysiert werden. Ohne Aktualisierung verliert der Datenbestand seine Zuverlässigkeit und Richtigkeit. Ohne Minimierung, Benachrichtigung und Opt-out wären die Garantien für betroffene Personen unzureichend.
Die Verarbeitung ist zugleich so ausgestaltet, dass Schritte, die für den unternehmensbezogenen Zweck nicht erforderlich sind, unterbleiben. CompanySpotter verarbeitet keine zugekauften Personendatenbestände, baut keine Personenprofile auf und ist nicht auf die Ansprache natürlicher Personen in ihrer privaten Eigenschaft ausgerichtet.
Frage 2.6: Gibt es ein Löschkonzept und sind Aufbewahrungsfristen festgelegt?
Ja. Es gibt ein Löschkonzept und Aufbewahrungsfristen sind festgelegt.
Der Datenbestand wird regelmäßig aktualisiert. Daten werden verarbeitet, solange sie auf der Quellwebsite verfügbar sind und solange sie für den unternehmensbezogenen Zweck von CompanySpotter erforderlich sind. Wenn Daten nicht länger auf der Quellwebsite verfügbar sind, werden sie spätestens 90 Tage danach gelöscht.
Die Datenqualität wird durch quellenbezogene Verarbeitung, regelmäßige Aktualisierung, den Prozess für Berichtigungs- und Löschanträge sowie die Möglichkeit für Organisationen und betroffene Personen unterstützt, Daten über den eindeutigen Link zu kontrollieren, einzuschränken oder zu löschen, und zwar sowohl vor der Aufnahme der Daten in die Dienste als auch zu jedem Zeitpunkt danach. Dadurch können unrichtige, veraltete oder nicht länger gewünschte Daten berichtigt, eingeschränkt oder gelöscht werden.
Darüber hinaus können Organisationen und betroffene Personen aktiv die Löschung oder Einschränkung der Verarbeitung beantragen. CompanySpotter bietet hierfür einen niedrigschwelligen Mechanismus. Die Benachrichtigung enthält einen eindeutigen Link, über den der Empfänger die betreffenden Daten einsehen, einschränken oder löschen kann. Dieser Link bleibt auch nach der ersten Benachrichtigung verfügbar, sodass Organisationen und betroffene Personen auch später abrufen können, welche Daten verarbeitet werden, und darauf einwirken können.
Wenn Löschung beantragt oder einem Widerspruch stattgegeben wird, werden die betreffenden Daten ganz oder teilweise gelöscht oder eingeschränkt. Bei vollständiger Löschung wird die Domain aus dem Datenbestand entfernt und in eine Sperr- oder Suppressionsliste aufgenommen, sodass eine Wiederaufnahme verhindert wird.
Soweit Daten zuvor Kunden bereitgestellt wurden, werden Kunden über eine Deduplizierungsliste oder einen vergleichbaren Mechanismus informiert, damit sie diese Daten in ihrer eigenen Umgebung erkennen und innerhalb ihrer eigenen Verantwortung geeignete Maßnahmen ergreifen können.
Frage 2.7: Gibt es eine Übersicht über bestehende und geplante Datenflüsse?
Ja. CompanySpotter hat Einblick in die Datenflüsse, die im Rahmen dieser Verarbeitung stattfinden.
Auf hoher Ebene geht es um die Datenerhebung von Quellwebsites, technische Verarbeitung und Analyse, Minimierung und Qualitätsmanagement, Benachrichtigung vor Aufnahme, Aufnahme in die unternehmensbezogene Datenbank, Bereitstellung an professionelle Nutzer, Ausübung von Rechten und Opt-out sowie Ausphasung oder Löschung.
Organisationen werden aktiv informiert, bevor Daten in die öffentliche Datenbank aufgenommen werden. Über den eindeutigen Link aus der Benachrichtigung können sie auch nach der ersten Benachrichtigung abrufen, welche Daten verarbeitet werden, und diese ganz oder teilweise löschen oder einschränken.
3. Interessenabwägung
Frage 3.1: Welche Grundrechte betroffener Personen werden berührt?
Die Verarbeitung kann insbesondere das Grundrecht auf Schutz personenbezogener Daten und das damit zusammenhängende Recht auf Achtung des Privatlebens berühren, soweit innerhalb des unternehmensbezogenen Datenbestands Daten vorkommen, die als personenbezogene Daten qualifizieren.
Die Verarbeitung ist jedoch auf Organisationen, Websites und geschäftliche Online-Präsenz ausgerichtet und nicht auf natürliche Personen als solche. Soweit personenbezogene Daten verarbeitet werden, handelt es sich grundsätzlich um Daten, die von einer Organisation selbst auf ihrer Website in einem geschäftlichen oder professionellen Kontext verfügbar gemacht wurden, wobei eine solche Verarbeitung durch CompanySpotter so weit wie möglich beschränkt wird.
Die Verarbeitung ist nicht auf besondere Kategorien personenbezogener Daten, Personenprofiling, Verhaltensbeobachtung natürlicher Personen oder Entscheidungen über natürliche Personen ausgerichtet.
Frage 3.2: Werden Grundfreiheiten berührt?
Die Grundfreiheiten im Sinne des AEUV, wie Niederlassungsfreiheit und freier Verkehr von Dienstleistungen, Waren, Arbeitnehmern und Kapital, werden durch diese Verarbeitung nicht unmittelbar beschränkt.
Die Verarbeitung bezieht sich auf das Erheben, Strukturieren und Bereitstellen unternehmensbezogener Daten über Organisationen und Websites für die professionelle Nutzung. Etwaige Auswirkungen sind indirekt und an den geschäftlichen Kontext gekoppelt, in dem die Organisation online präsent ist.
Frage 3.3: Werden andere Interessen betroffener Personen berührt?
Ja. Neben Privatsphäre und Datenschutz können auch andere Interessen betroffener Personen relevant sein. Betroffene Personen können ein Interesse daran haben, unerwünschte geschäftliche Ansprache, Reputationsnachteile oder eine unrichtige Darstellung auf Grundlage unrichtiger oder veralteter Daten zu vermeiden. Auch das Datenschutzempfinden kann eine Rolle spielen, wenn geschäftliche Kontaktdaten auf einer Website einer natürlichen Person zugeordnet werden können.
Diese Interessen werden bei der Bewertung der Art der Daten, der vernünftigen Erwartungen, der möglichen Auswirkungen der Verarbeitung und der von CompanySpotter angewendeten Garantien berücksichtigt.
Frage 3.4: Welche Art personenbezogener Daten wird verarbeitet und in welcher Eigenschaft?
Die Verarbeitung betrifft primär unternehmensbezogene Daten über Organisationen, Websites und geschäftliche Online-Präsenz. Dazu gehören unter anderem Organisations- und Identifikationsdaten, Domain- und Website-Daten, Standortdaten, Kontaktdaten, Website-Merkmale, Klassifizierungsdaten, Online-Merkmale, Social-Media-Kanäle von Organisationen und Technologiedaten.
Soweit innerhalb dieser Daten personenbezogene Daten vorkommen, handelt es sich um Daten, die in einer professionellen oder geschäftlichen Eigenschaft mit einer Organisation zusammenhängen. Dies kann beispielsweise bei einer personenbezogenen geschäftlichen E-Mail-Adresse, einer Telefonnummer oder anderen Informationen der Fall sein, die auf der Website einer Organisation stehen und einer natürlichen Person zugeordnet werden können.
Die Verarbeitung ist in diesem Fall nicht auf die Person als Privatperson oder Verbraucher gerichtet, sondern auf den geschäftlichen Kontext, in dem das Kontaktdatum auf der Website der Organisation vorkommt.
Frage 3.5: Werden besondere Kategorien personenbezogener Daten verarbeitet?
Nein. Die Verarbeitung ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO ausgerichtet.
CompanySpotter verarbeitet unternehmensbezogene Daten über Organisationen, Websites, geschäftliche Kontaktkanäle und Online-Merkmale. Die Verarbeitung ist nicht auf sensible Daten wie Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen, biometrische Daten oder Daten über die sexuelle Orientierung ausgerichtet.
Frage 3.6: Bezieht sich die Verarbeitung auf personenbezogene Daten von Kindern?
Nein. Die Verarbeitung ist unternehmensbezogen und findet in einem professionellen Kontext statt. CompanySpotter crawlt Websites von Organisationen und verarbeitet Daten, die mit der geschäftlichen Online-Präsenz dieser Organisationen zusammenhängen.
Die Verarbeitung ist nicht auf die Erhebung oder Verarbeitung personenbezogener Daten von Kindern ausgerichtet.
Frage 3.7: Bezieht sich die Verarbeitung auf strafrechtliche personenbezogene Daten?
Nein. Die Verarbeitung ist nicht auf die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen oder Straftaten im Sinne von Artikel 10 DSGVO ausgerichtet.
Frage 3.8: Werden Daten verarbeitet, die als besonders privat empfunden werden können?
Die Verarbeitung ist nicht auf private Daten betroffener Personen ausgerichtet, wie Daten über Privatleben, Familiensituation, privaten Standort, persönliche Finanzen oder andere Informationen, die typischerweise als persönlich oder intim empfunden werden.
Gleichzeitig kann nicht ausgeschlossen werden, dass bestimmte geschäftliche Daten von betroffenen Personen als datenschutzsensibel empfunden werden, beispielsweise wenn eine personenbezogene geschäftliche E-Mail-Adresse oder eine direkte Telefonnummer auf der Website einer Organisation steht. Dieses Datum bleibt jedoch in den professionellen Kontext eingebettet, in dem es von der Organisation öffentlich verfügbar gemacht wurde.
Die Auswirkungen dessen werden durch den organisationsbezogenen Charakter der Verarbeitung, den Fokus auf geschäftliche Kontaktkanäle, die Beachtung technischer Website-Anweisungen, aktive Benachrichtigung und den dauerhaft verfügbaren Mechanismus zur Einsicht, Einschränkung oder Löschung von Daten beschränkt.
Frage 3.9: Wo und wann wurden die personenbezogenen Daten erhoben?
Die Daten werden von Websites von Organisationen erhoben. CompanySpotter erhält die Daten durch das Crawlen von Websites und dadurch, dass relevante unternehmensbezogene Informationen daraus erkannt, strukturiert und aktualisiert werden.
Die Erhebung erfolgt fortlaufend, weil Websites und Online-Merkmale von Organisationen Änderungen unterliegen. Soweit personenbezogene Daten vorkommen, handelt es sich um Daten, die auf der Website der betreffenden Organisation verfügbar gemacht wurden und mit der geschäftlichen Präsenz, Erreichbarkeit oder Auffindbarkeit dieser Organisation zusammenhängen.
Da die Daten nicht unmittelbar bei einzelnen betroffenen Personen erhoben werden, sondern von Websites von Organisationen stammen, liegt eine indirekte Erhebung vor, soweit die Daten als personenbezogene Daten qualifizieren.
Frage 3.10: Wie wurden die personenbezogenen Daten erhoben?
CompanySpotter erhebt Daten, indem Websites von Organisationen gecrawlt und daraus relevante unternehmensbezogene Daten erkannt und strukturiert werden. Die Daten stammen von Websites von Organisationen, die online zugänglich sind.
Beim Crawlen respektiert CompanySpotter technische Website-Anweisungen wie robots.txt, mit denen Website-Betreiber Einfluss auf das Crawlen ihrer Website nehmen können.
Nach dem Abrufen von Daten können diese automatisiert analysiert werden, um zusätzliche unternehmensbezogene Datenpunkte zu erstellen, die für Klassifizierung, Analyse und Auffindbarkeit relevant sind. Diese Verarbeitung ist nicht auf das Treffen von Entscheidungen über natürliche Personen und nicht auf den Aufbau von Personenprofilen ausgerichtet.
Frage 3.11: Wie wird die Verarbeitung transparent gemacht?
CompanySpotter macht die Verarbeitung durch eine Kombination aus öffentlich verfügbaren Informationen, aktiver Benachrichtigung und dauerhafter Kontrolle über einen eindeutigen Link transparent.
CompanySpotter veröffentlicht relevante Informationen auf ihrer Website, darunter eine Datenschutzerklärung, Informationen zum berechtigten Interesse, Informationen zur Abmeldung und Löschung sowie Erläuterungen zur Nutzung von robots.txt. Diese Informationen beschreiben, welche Daten verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage, welche Rechte betroffene Personen haben und wie Löschung oder Einschränkung der Verarbeitung veranlasst werden kann.
Darüber hinaus informiert CompanySpotter jede aufgenommene Website oder Organisation aktiv über die Verarbeitung, bevor Daten als Teil ihrer Dienste in ihre Datenbank aufgenommen werden. Die Benachrichtigung nennt die Kategorien der verarbeiteten Daten, beschreibt den Zweck der Verarbeitung, benennt die Rechtsgrundlage des berechtigten Interesses und informiert über die Rechte betroffener Personen.
Wenn die Benachrichtigung nicht zugestellt werden kann, werden die Daten nicht in die Datenbank aufgenommen. Außerdem gilt eine Wartefrist zwischen der Benachrichtigung und der Aufnahme in die öffentliche Datenbank, sodass die Organisation oder betroffene Person vor Veröffentlichung Daten einsehen, einschränken oder löschen kann.
Der eindeutige Link aus der Benachrichtigung bleibt aktiv. Über diesen Link kann die Organisation oder betroffene Person auch später abrufen, welche Daten von CompanySpotter verarbeitet werden, und diese Daten ganz oder teilweise löschen oder einschränken. Transparenz ist damit nicht auf eine einmalige Benachrichtigung beschränkt, sondern bleibt während der Verarbeitung praktisch zugänglich.
Frage 3.12: Besteht eine Beziehung zwischen CompanySpotter und betroffenen Personen?
Grundsätzlich besteht keine unmittelbare Kunden- oder Vertragsbeziehung zwischen CompanySpotter und den natürlichen Personen, deren Daten im Kontext als personenbezogene Daten qualifizieren können. Die Daten werden nicht unmittelbar bei einzelnen betroffenen Personen erhoben, sondern stammen von Websites von Organisationen.
Es besteht jedoch eine funktionale Beziehung zur betreffenden Organisation oder Website: CompanySpotter informiert die Organisation aktiv über die Aufnahme in die Datenbank und bietet über einen eindeutigen Link die Möglichkeit, Daten einzusehen, einzuschränken oder zu löschen.
Frage 3.13: Wie umfangreich ist die Datenerhebung?
Die Verarbeitung ist in dem Sinne umfangreich, dass CompanySpotter einen unternehmensbezogenen Datenbestand pflegt, der sich auf eine große Zahl von Organisationen und Websites bezieht und fortlaufend aktualisiert wird. Nur ein beschränkter Teil davon könnte möglicherweise als personenbezogene Daten qualifizieren.
Die Verarbeitung ist primär organisations- und websitebezogen. CompanySpotter verarbeitet personenbezogene Daten nicht als eigenständigen Zweck und baut keine Personenprofile auf. Soweit personenbezogene Daten vorkommen, handelt es sich in der Regel um Daten, die auf der Website einer Organisation in einem geschäftlichen Kontext verfügbar gemacht wurden.
Die tatsächlichen Auswirkungen des Umfangs werden durch aktive Benachrichtigung vor der Aufnahme, die Wartefrist vor Veröffentlichung, den dauerhaft aktiven eindeutigen Link, den Selfservice-Löschmechanismus, die Suppressionsliste und die Weiterwirkung gegenüber Kunden über Deduplizierungslisten beschränkt.
Frage 3.14: Was sind die möglichen negativen Auswirkungen?
Mögliche negative Auswirkungen sind unerwünschte geschäftliche Ansprache, Kontrollverlust über geschäftliche Kontaktdaten, Belästigung dadurch, dass ein direkter oder personenbezogener Kontaktkanal genutzt wird, unrichtige oder veraltete Daten, Reputations- oder Kontextschäden durch Fehlinterpretation von Daten oder unzulässige Weiterverarbeitung durch Kunden, nachdem Daten über die Plattform bereitgestellt wurden.
Die Wahrscheinlichkeit und Schwere dieser Auswirkungen werden durch die Ausgestaltung der Verarbeitung beschränkt. Die Verarbeitung ist auf Organisationen und Websites ausgerichtet, nicht auf natürliche Personen als solche. Personenbezogene geschäftliche E-Mail-Adressen oder direkte Telefonnummern, die möglicherweise personenbezogen sind, werden nur verarbeitet, wenn sie auf der Website der Organisation verfügbar gemacht wurden und keine allgemeinere Alternative verfügbar ist.
Darüber hinaus wird jede aufgenommene Website oder Organisation aktiv informiert, bevor Daten in die öffentliche Datenbank aufgenommen werden. Bei einer nicht zustellbaren Benachrichtigung erfolgt keine Aufnahme. Der eindeutige Link aus der Benachrichtigung bleibt verfügbar, sodass Daten auch später eingesehen, eingeschränkt oder gelöscht werden können. Bei Löschung wird einer Wiederaufnahme entgegengewirkt, und Kunden werden, soweit relevant, über Deduplizierungslisten informiert.
Die möglichen negativen Auswirkungen sind dadurch in der Regel beschränkt und treten vor allem in einem professionellen Kontext auf. Negative Auswirkungen können in Einzelfällen nicht vollständig ausgeschlossen werden, insbesondere wenn ein personenbezogenes Kontaktdatum als einziger geschäftlicher Kontaktkanal auf einer Website steht oder wenn Kunden Daten außerhalb der vereinbarten Bedingungen verwenden.
Frage 3.15: Gibt es positive Auswirkungen?
Ja. Die Verarbeitung kann positive Auswirkungen für Organisationen und betroffene Personen in ihrer professionellen Eigenschaft haben.
CompanySpotter vergrößert die geschäftliche Auffindbarkeit von Organisationen und unterstützt effizientere B2B-Interaktion. Die Arbeitsweise von CompanySpotter sorgt außerdem dafür, dass die Daten aktuell und richtig bleiben. Organisationen können dadurch besser von potenziellen Kunden, Partnern, Lieferanten oder anderen professionellen Parteien gefunden werden, die nach relevanten Produkten, Diensten, Technologien oder Expertise suchen.
Darüber hinaus kann die Verarbeitung zu besserer geschäftlicher Informationsversorgung, aktuelleren Datenbanken, weniger Fehlkommunikation, besseren Marktanalysen und sorgfältigerer Auswahl geschäftlicher Beziehungen beitragen. Die Verarbeitung ist nicht primär dazu bestimmt, einen individuellen persönlichen Vorteil zu verwirklichen, kann aber zur professionellen Sichtbarkeit, Erreichbarkeit und Auffindbarkeit der Organisation beitragen, mit der die betroffene Person verbunden ist.
Frage 3.16: Verlieren betroffene Personen die Kontrolle über die Nutzung ihrer personenbezogenen Daten?
Soweit innerhalb des unternehmensbezogenen Datenbestands personenbezogene Daten vorkommen, können betroffene Personen in gewissem Maße einen Kontrollverlust erfahren. Die Daten werden nämlich nicht unmittelbar bei ihnen erhoben, sondern von Websites von Organisationen abgerufen und anschließend innerhalb einer geschäftlichen Informationskette verarbeitet.
Dieser mögliche Kontrollverlust wird durch mehrere Garantien beschränkt. Die Verarbeitung ist organisationsbezogen und nicht personenbezogen. Allgemeine geschäftliche Kontaktkanäle haben Vorrang vor personenbezogenen Kontaktkanälen. CompanySpotter respektiert technische Website-Anweisungen wie robots.txt. Darüber hinaus werden Organisationen aktiv informiert, bevor Daten in die öffentliche Datenbank aufgenommen werden. In der Benachrichtigung befindet sich ein Link, über den angegeben werden kann, dass die Daten nicht als Teil des Dienstes von CompanySpotter verarbeitet werden dürfen.
Der eindeutige Link aus der Benachrichtigung bleibt aktiv. Über diesen Link können Organisationen und betroffene Personen auch später noch abrufen, welche Daten verarbeitet werden, und diese Daten ganz oder teilweise löschen oder die Verarbeitung einschränken. Die Kontrolle über die Verarbeitung ist dadurch nicht auf einen einmaligen Zeitpunkt unmittelbar nach der Benachrichtigung beschränkt, sondern bleibt während der Verarbeitung verfügbar.
Betroffene Personen und Organisationen können außerdem ihre DSGVO-Rechte ausüben, Widerspruch gegen die Verarbeitung einlegen, Daten löschen lassen oder das Crawlen ihrer Website durch technische Mittel wie robots.txt beschränken. Wenn eine Domain gelöscht wird, wird einer Wiederaufnahme entgegengewirkt. Soweit Daten zuvor Kunden übermittelt wurden, wird die Löschung durch Deduplizierungslisten oder vergleichbare Mechanismen gegenüber Kunden unterstützt.
Frage 3.17: Wer verarbeitet die Daten und welche Garantien bestehen?
CompanySpotter verarbeitet die Daten als Verantwortlicher. Soweit dies für die Erbringung der Dienste erforderlich ist, setzt CompanySpotter sorgfältig ausgewählte Dienstleister ein, beispielsweise für Hosting, IT, Sicherheit, technische Verarbeitung, Analyse und unterstützende Geschäftsprozesse.
Von CompanySpotter eingeschaltete Dienstleister verarbeiten Daten ausschließlich, soweit dies für ihre Aufgabe erforderlich ist, und auf Grundlage geeigneter vertraglicher Vereinbarungen. Soweit diese Dienstleister als Auftragsverarbeiter für CompanySpotter auftreten, werden Vereinbarungen gemäß den Bestimmungen von Artikel 28 DSGVO getroffen, darunter Vereinbarungen über Weisungen, Vertraulichkeit, Sicherheit, Unterstützung bei Rechten betroffener Personen sowie Löschung oder Rückgabe von Daten nach Abschluss der Dienstleistung.
Der Zugriff innerhalb von CompanySpotter und bei eingeschalteten Dienstleistern ist auf Personen beschränkt, die diesen Zugriff für ihre Tätigkeiten benötigen. Der Zugriff auf die Plattform durch Kunden ist auf autorisierte Nutzer innerhalb der Organisation des Kunden beschränkt und erfolgt auf Grundlage eines Vertrags und von Bedingungen.
Die Verarbeitung ist mit technischen und organisatorischen Maßnahmen ausgestaltet, um Vertraulichkeit, Integrität und Zugriffsbeschränkung zu gewährleisten. Dazu gehören unter anderem rollenbasierter Zugriff, vertragliche Vereinbarungen mit Dienstleistern und Kunden, Beschränkung des Zugriffs auf autorisierte Nutzer, geeignete Kontrollmechanismen, Datenminimierung und Prozesse für Widerspruch, Löschung und Weiterwirkung gegenüber Kunden.
Für die Verarbeitung von Daten, die Kunden von CompanySpotter erhalten und anschließend selbst verwenden oder exportieren, handeln die Kunden als eigenständige Verantwortliche.
Soweit personenbezogene Daten unter Verantwortung von CompanySpotter außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies ausschließlich, wenn hierfür eine gültige Grundlage und geeignete Garantien gemäß Kapitel V DSGVO bestehen.
Frage 3.18: Findet automatisierte Entscheidungsfindung statt?
Nein. Im Rahmen dieser Verarbeitung findet keine automatisierte Entscheidungsfindung statt, die ausschließlich auf automatisierter Verarbeitung beruht und für betroffene Personen Rechtswirkungen entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt im Sinne von Artikel 22 DSGVO.
CompanySpotter verwendet automatisierte Techniken, um Websites zu crawlen, Daten zu erkennen, zu strukturieren und zu klassifizieren. Diese Prozesse sind auf Organisations- und Website-Analyse ausgerichtet und nicht darauf, Entscheidungen über natürliche Personen zu treffen.
Frage 3.19: Wird die Interessenabwägung bei der Informationserteilung erläutert?
Ja. CompanySpotter erläutert in ihrer Informationsbereitstellung für betroffene Personen und Organisationen die Nutzung des berechtigten Interesses als Rechtsgrundlage.
In der allgemeinen Informationsbereitstellung wird angegeben, dass die Verarbeitung, soweit personenbezogene Daten betroffen sind, auf Grundlage von Artikel 6 Abs. 1 lit. f DSGVO erfolgt. Dabei wird erläutert, welche Interessen CompanySpotter und ihre Nutzer verfolgen, zu welchen Zwecken Daten verarbeitet werden und welche Rechte betroffene Personen haben.
Darüber hinaus wird in der aktiven Benachrichtigung an Organisationen auf die Rechtsgrundlage des berechtigten Interesses, die Zwecke der Verarbeitung und die Rechte betroffener Personen verwiesen. Die Nachricht an die Unternehmen enthält ebenfalls einen Link zu der Webseite, auf der das Privacy Statement und diese Interessenabwägung zu finden sind.
Frage 3.20: Welche Widerspruchs- oder Interventionsrechte haben betroffene Personen?
Betroffene Personen und Organisationen können ihre Rechte gegenüber CompanySpotter ausüben, unter anderem über den eindeutigen Link in der Benachrichtigung, über die Löschfunktionalität auf der Website und über den Kontaktkanal für Datenschutzanfragen.
Betroffene Personen können gemäß Artikel 21 DSGVO Widerspruch gegen die Verarbeitung einlegen. Wird Widerspruch eingelegt, beurteilt CompanySpotter, ob zwingende berechtigte Gründe bestehen, die Verarbeitung fortzusetzen. Ist dies nicht der Fall, wird die Verarbeitung beendet oder eingeschränkt. In der Praxis funktioniert dies als Opt-out-Möglichkeit.
Darüber hinaus können betroffene Personen Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung verlangen. Das Opt-out ist sehr niedrigschwellig ausgestaltet. Der eindeutige Link bleibt aktiv, sodass Organisationen und betroffene Personen auch später selbst abrufen können, welche Daten verarbeitet werden, und diese ganz oder teilweise löschen oder einschränken können.
Wenn eine Domain gelöscht wird, wird eine Wiederaufnahme verhindert. Soweit relevant, werden Kunden über Deduplizierungslisten oder vergleichbare Mechanismen informiert.
Frage 3.21: Gibt es einen Prozess zur Befolgung von Widerspruch oder Löschung?
Ja. Es gibt einen Prozess, um Widersprüche und Löschanträge entgegenzunehmen, zu beurteilen und umzusetzen.
Anträge können über den eindeutigen Link in der Benachrichtigung, über die Löschfunktionalität auf der Website oder über den Datenschutzkontaktkanal von CompanySpotter eingereicht werden. Soweit erforderlich, fordert CompanySpotter zusätzliche Informationen an, um den Antragsteller oder die betreffende Domain in angemessener Weise zu identifizieren und festzustellen, auf welche Daten sich der Antrag bezieht.
Wenn dem Antrag stattgegeben wird, werden die betreffenden Daten ganz oder teilweise gelöscht oder eingeschränkt. Bei vollständiger Löschung wird die Domain aus dem Datenbestand entfernt, und eine Wiederaufnahme wird verhindert. Soweit Daten zuvor Kunden bereitgestellt wurden, wird dies über Deduplizierungslisten oder vergleichbare Mechanismen an Kunden weitergegeben, damit sie innerhalb ihrer eigenen Verantwortung geeignete Maßnahmen ergreifen können.
CompanySpotter dokumentiert die Bearbeitung von Anträgen, soweit dies für ihre Rechenschaftspflicht erforderlich ist.
Frage 3.22: Gibt es einen Prozess zur Befolgung der Berichtigung?
Ja. Es gibt einen Prozess, um Berichtigungsanträge entgegenzunehmen, zu beurteilen und weiterzuverfolgen.
Berichtigungsanträge können über den eindeutigen Link in der Benachrichtigung, über die Website oder über den Datenschutzkontaktkanal von CompanySpotter eingereicht werden. Wenn eine betroffene Person oder Organisation geltend macht, dass Daten unrichtig oder unvollständig sind, beurteilt CompanySpotter den Antrag im Lichte der Art der Daten, der Quellwebsite, des Kontexts der Verarbeitung und der Art und Weise, wie die Daten in den unternehmensbezogenen Datenbestand aufgenommen wurden.
Soweit CompanySpotter selbst feststellen kann, dass Daten unrichtig oder unvollständig sind, werden diese innerhalb einer angemessenen Frist berichtigt, ergänzt, eingeschränkt oder gelöscht. Da CompanySpotter Daten von Websites von Organisationen erhebt, kann die Aktualisierung auch von einer Anpassung der betreffenden Quellwebsite abhängen. Wenn Daten auf der Quellwebsite angepasst werden, werden diese Änderungen über den regulären Aktualisierungszyklus verarbeitet.
Soweit angemessen, kann CompanySpotter zwischenzeitliche Maßnahmen ergreifen, wie die Einschränkung der Sichtbarkeit, eine interne Kennzeichnung oder eine vorübergehende Löschung.
Schlussfolgerung der Interessenabwägung
Nach Abwägung aller relevanten Faktoren überwiegen die berechtigten Interessen von CompanySpotter und ihren professionellen Nutzern die Interessen, Grundrechte und Grundfreiheiten der betroffenen Personen, soweit innerhalb des unternehmensbezogenen Datenbestands personenbezogene Daten vorkommen.
Diese Schlussfolgerung stützt sich auf den professionellen und unternehmensbezogenen Kontext der Verarbeitung. Die Verarbeitung ist auf Organisationen, Websites und geschäftliche Online-Präsenz ausgerichtet. Personenbezogene Daten werden nicht als eigenständiger Zweck verarbeitet, und natürliche Personen sind nicht das primäre Objekt der Verarbeitung. Soweit personenbezogene Daten vorkommen, hängen sie funktional mit der geschäftlichen Erreichbarkeit, Vertretung oder Online-Präsenz der Organisation zusammen.
Die Verarbeitung ist auf das beschränkt, was für die Funktionalität der Plattform erforderlich ist. Allgemeine geschäftliche Kontaktkanäle haben Vorrang vor personenbezogenen Kontaktdaten. Die Verarbeitung ist nicht auf besondere Kategorien personenbezogener Daten, strafrechtliche personenbezogene Daten oder automatisierte Entscheidungsfindung mit Rechtswirkungen ausgerichtet.
Die verbleibenden Auswirkungen für betroffene Personen werden durch ein Bündel von Garantien beschränkt, darunter die Beachtung technischer Website-Anweisungen, aktive Benachrichtigung vor Aufnahme, keine Aufnahme bei nicht zustellbarer Benachrichtigung, eine Wartefrist vor Veröffentlichung, fortdauernde Einsicht und Kontrolle über einen eindeutigen Link, einfache teilweise oder vollständige Löschung, Sperrung der Wiederaufnahme nach Opt-out, Prozesse für Widerspruch, Löschung und Berichtigung, vertragliche Vereinbarungen mit Kunden und Weiterwirkung gegenüber Kunden über Deduplizierungslisten.
Angesichts dieser Art, dieses Kontexts, der Zweckbindung, Erforderlichkeit, Verhältnismäßigkeit und Garantien ist die Verarbeitung auf Grundlage von Artikel 6 Abs. 1 lit. f DSGVO gerechtfertigt.
4. Dokumentation und Aktualisierung
Frage 4.1: Ist die Bewertung dokumentiert?
Ja. Die Bewertung des berechtigten Interesses, der Erforderlichkeit der Verarbeitung und der Interessenabwägung ist in dieser Erläuterung festgehalten.
Diese Erläuterung beschreibt die tatsächliche Ausgestaltung der Verarbeitung durch CompanySpotter, darunter das Erheben von Daten von Websites von Organisationen, das Strukturieren und Aktualisieren unternehmensbezogener Daten, die Verarbeitung geschäftlicher Kontaktkanäle und die Bereitstellung von Daten an professionelle Nutzer im Business-to-Business-Bereich.
Darüber hinaus beschreibt diese Erläuterung die relevanten Garantien, die CompanySpotter anwendet, darunter den organisationsbezogenen Charakter der Verarbeitung, Datenminimierung, aktive Benachrichtigung vor Aufnahme, fortdauernde Kontrolle über einen eindeutigen Link, die Möglichkeit zur Einschränkung oder Löschung, die Sperrung der Wiederaufnahme nach Opt-out und die Weiterwirkung gegenüber Kunden über Deduplizierungslisten.
Diese öffentliche Erläuterung enthält die Interessenabwägung auf Grundlage von Artikel 6 Abs. 1 lit. f DSGVO. Technische und organisatorische Risiken, darunter Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Daten, werden gesondert innerhalb der Privacy-, Security- und Compliance-Governance von CompanySpotter beurteilt.
Frage 4.2: Wurde die Bewertung überprüft?
Diese Bewertung wird regelmäßig innerhalb der Privacy- und Compliance-Governance von CompanySpotter überprüft. Soweit erforderlich, wird bei dieser Bewertung datenschutzrechtliche Expertise einbezogen, darunter die des Datenschutzbeauftragten von CompanySpotter.
Die Bewertung dient dazu zu prüfen, ob die gewählte Rechtsgrundlage, die Beschreibung der Verarbeitung, die Erforderlichkeitsprüfung, die Interessenabwägung und die beschriebenen Garantien weiterhin mit der DSGVO, aktuellen Leitlinien, einschlägiger Aufsichtspraxis und der tatsächlichen Ausgestaltung der Dienste übereinstimmen.
Dabei wird auch beurteilt, ob zusätzliche Dokumentation oder Bewertung erforderlich ist, beispielsweise im Zusammenhang mit technischen und organisatorischen Risiken, Änderungen der Verarbeitung, Änderungen der verwendeten Technologien oder anderen Umständen, die für den Schutz betroffener Personen relevant sein können.
Frage 4.3: Wird die Bewertung regelmäßig überarbeitet?
Ja. CompanySpotter überarbeitet diese Erläuterung, wenn sich die tatsächliche Verarbeitung, die verwendeten Technologien, die Datenkategorien, die Kategorien von Empfängern, die Aufbewahrungsfristen, die Opt-out-Mechanismen oder andere relevante Garantien wesentlich ändern.
Darüber hinaus kann eine Überarbeitung aufgrund von Änderungen der Rechts- und Verwaltungsvorschriften, der Rechtsprechung, von Leitlinien der Aufsichtsbehörden oder von Signalen aus der Praxis erfolgen, wie etwa Muster bei Widerspruchs- oder Löschanträgen, Beschwerden, Vorfälle oder Feststellungen aus internen Kontrollen.
Signale von Organisationen und betroffenen Personen, darunter Anträge, Widersprüche, Beschwerden und Feedback über den Lösch- oder Kontaktkanal, werden bei der regelmäßigen Überarbeitung dieser Bewertung berücksichtigt. Damit wird nicht nur die formale rechtliche Bewertung betrachtet, sondern auch die praktische Wirksamkeit der angewendeten Garantien.
Das Ergebnis einer Überarbeitung wird dokumentiert und, soweit erforderlich, in eine angepasste Fassung dieser Erläuterung eingearbeitet.
Abschließende Schlussfolgerung
CompanySpotter kommt zu dem Schluss, dass die Verarbeitung unternehmensbezogener Daten und etwaiger personenbezogener Daten, die in diesem Kontext vorkommen, auf das berechtigte Interesse im Sinne von Artikel 6 Abs. 1 lit. f DSGVO gestützt werden kann.
Diese Schlussfolgerung beruht auf dem Zusammenhang zwischen dem konkreten geschäftlichen Interesse, der Erforderlichkeit der Verarbeitung für die Dienste und den getroffenen Garantien zum Schutz betroffener Personen. CompanySpotter verarbeitet Daten primär über Organisationen, Websites und geschäftliche Online-Präsenz. Etwaige personenbezogene Daten werden nur verarbeitet, soweit sie funktional mit diesem geschäftlichen Kontext zusammenhängen und für die unternehmensbezogenen Zwecke der Dienste erforderlich sind.
CompanySpotter wendet ein Transparenz- und Kontrollmodell an, bei dem Organisationen vor der Aufnahme in die öffentliche Datenbank aktiv informiert werden und über einen dauerhaft aktiven eindeutigen Link abrufen können, welche Daten verarbeitet werden, und diese ganz oder teilweise löschen oder einschränken können.
In Kombination mit Datenminimierung, der Beachtung technischer Website-Anweisungen, der Sperrung der Wiederaufnahme nach Opt-out, Deduplizierungslisten gegenüber Kunden, vertraglichen Garantien und Prozessen für Widerspruch, Löschung und Berichtigung sind die verbleibenden möglichen Auswirkungen auf betroffene Personen beschränkt und verhältnismäßig. Damit überwiegen die berechtigten Interessen von CompanySpotter und ihren professionellen Nutzern sowie anderen Dritten die Interessen, Grundrechte und Grundfreiheiten betroffener Personen und den möglichen Eingriff in diese.