Inleiding zorgvuldige toepassing van het gerechtvaardigd belang
Voor bepaalde verwerkingsactiviteiten baseert CompanySpotter zich op het gerechtvaardigd belang als bedoeld in artikel 6 lid 1 onder f AVG. Deze grondslag mag niet lichtvaardig worden toegepast. De AVG vereist dat per concrete verwerking zorgvuldig wordt beoordeeld en gedocumenteerd of sprake is van een gerechtvaardigd belang, of de verwerking noodzakelijk is om dat belang te realiseren en of de belangen, grondrechten en fundamentele vrijheden van betrokkenen niet zwaarder wegen dan dat belang.
CompanySpotter heeft deze Legitimate Interest Assessment opgesteld aan de hand van een toetsingskader van de Hamburg Commissioner for Data Protection and Freedom of Information, een Europese gegevensbeschermingsautoriteit.
Deze LIA weerspiegelt de feitelijke inrichting van de dienstverlening van CompanySpotter. CompanySpotter onderhoudt een ondernemingsgerichte zoek- en analysedatabase die is opgebouwd uit informatie afkomstig van websites van organisaties. De dienstverlening is gericht op het faciliteren van actuele en betrouwbare zakelijke informatievoorziening ten behoeve van o.a. analyse, transparantie, doelgroepselectie, dataverrijking en B2B-communicatie. De database bevat onder meer organisatiegegevens, websitegegevens, contactkanalen, classificaties, locatiegegevens, online kenmerken en technologiegegevens.
De verwerking is niet gericht op natuurlijke personen als zodanig. CompanySpotter richt zich op organisaties, websites en de zakelijke context waarin deze organisaties online aanwezig zijn. Tegelijkertijd erkent CompanySpotter dat binnen die context in bepaalde gevallen persoonsgegevens kunnen voorkomen, bijvoorbeeld wanneer een organisatie op haar website een persoonsgebonden zakelijk e-mailadres, een direct telefoonnummer of andere tot een natuurlijke persoon herleidbare contactinformatie publiceert. De verwerking daarvan wordt in deze LIA beoordeeld binnen de specifieke zakelijke context waarin deze gegevens op de website van de betreffende organisatie beschikbaar zijn gemaakt en door CompanySpotter worden verwerkt.
Een belangrijk onderdeel van de inrichting van de verwerking is dat CompanySpotter organisaties actief informeert over opname in de database. De kennisgeving licht toe welke gegevens worden verwerkt, met welk doel, op welke grondslag, welke rechten betrokkenen hebben en hoe verwijdering of beperking van de verwerking kan worden geregeld. Ook wordt daarin benadrukt dat de kennisgeving geen reclame is, maar wordt verzonden in het kader van transparantie over de mogelijke verwerking van gegevens.
Dit document is opgesteld in lijn met het Privacy Statement van CompanySpotter, waarin meer informatie te vinden is over verwerking van persoonsgegevens door CompanySpotter. Waar in dit document definities gebruikt worden, komen die overeen met de definities uit het Privacy Statement.
1. Gerechtvaardigd belang
Vraag 1.1: Wat is het belang bij de verwerkingsactiviteit?
Het belang bij de verwerkingsactiviteit is het kunnen aanbieden en onderhouden van een actuele, betrouwbare en gestructureerde ondernemingsgerichte zoek- en analysedatabase waarmee professionele gebruikers voor hen relevante organisaties kunnen vinden, analyseren, vergelijken, segmenteren en benaderen binnen het business-to-business domein.
CompanySpotter heeft er een gerechtvaardigd belang bij om informatie over organisaties, websites en zakelijke contactkanalen te verzamelen, te structureren, te actualiseren en beschikbaar te stellen aan professionele gebruikers. Deze informatie sluit zo veel mogelijk aan op de behoeften van ondernemers en ondersteunt onder meer zakelijke informatievoorziening, marktverkenning, doelgroepselectie, leadgeneratie, concurrentieanalyse, dataverrijking, actualisering van zakelijke bestanden en B2B-communicatie door de gebruikers van de diensten van CompanySpotter.
Daarnaast worden ook de belangen van derden, waaronder de gebruikers van CompanySpotter-diensten, gediend. Zij hebben belang bij toegang tot actuele en bruikbare ondernemingsinformatie voor professionele doeleinden, zoals het identificeren van relevante organisaties, het maken van marktanalyses, het selecteren van doelgroepen, het beter laten aansluiten van hun dienstverlening op de markt, het aanbieden van hun eigen diensten aan genteresseerde ondernemingen, het actualiseren van zakelijke databases en het onderbouwen van commercile en strategische beslissingen.
Ook de belangen van ondernemingen waarvan gegevens via de diensten van CompanySpotter beschikbaar worden gesteld, kunnen met de verwerking worden gediend, doordat hun zakelijke vindbaarheid en zichtbaarheid binnen het business-to-business domein kunnen worden vergroot en verbeterd doordat zij beter kunnen worden gevonden door professionele partijen die op zoek zijn naar relevante producten, diensten, technologien, expertise of samenwerkingsmogelijkheden.=
Deze belangen worden bovendien nagestreefd met inachtneming van de AVG-beginselen, waaronder gegevensminimalisatie, transparantie en juistheid.
Vraag 1.2: Wat is het specifieke doel van de verwerking?
Het specifieke doel van de verwerking is het verzamelen, structureren, analyseren, actualiseren en beschikbaar stellen van ondernemingsgerichte gegevens over organisaties, websites en zakelijke contactkanalen aan professionele gebruikers. Daarmee kunnen gebruikers organisaties identificeren, onderscheiden, analyseren, segmenteren en contacteren binnen het business-to-business domein.
De verwerking is gericht op zakelijke zoekfunctionaliteit, marktanalyse, doelgroepselectie, leadgeneratie, concurrentieanalyse, dataverrijking, actualisering van zakelijke bestanden en gerichte zakelijke communicatie. Daarbij kan onder meer worden gezocht en gefilterd op organisatiekenmerken, websitekenmerken, locatiegegevens, branche- en classificatiegegevens, contactkanalen en technologiegebruik.
CompanySpotter verzamelt gegevens vanaf websites van organisaties. De verwerking is niet gericht op het opbouwen van persoonsprofielen of op het verwerken van gegevens van natuurlijke personen als zelfstandig doel. Namen van natuurlijke personen vormen geen afzonderlijk doel en geen apart databaseveld. CompanySpotter past maatregelen toe om verwerking van namen zoveel mogelijk te beperken.
De verwerking van e-mailadressen en telefoonnummers is primair gericht op algemene zakelijke contactkanalen van organisaties, zoals algemene e-mailadressen en algemene organisatienummers. In uitzonderlijke gevallen kan een persoonsgebonden zakelijk e-mailadres of direct telefoonnummer worden verwerkt wanneer dit door de organisatie zelf op haar website is gepubliceerd, functioneel dient als zakelijk contactkanaal en er geen algemener alternatief beschikbaar is.
Vraag 1.3: Wie streeft het belang na?
Het belang wordt in de eerste plaats nagestreefd door CompanySpotter zelf, als aanbieder van haar diensten in de rol van verwerkingsverantwoordelijke. De verwerking vindt plaats in het kader van haar kernactiviteit: het aanbieden van een ondernemingsgericht zoek-, analyse- en dataplatform voor professionele gebruikers.
Daarnaast worden ook de belangen van derden gediend, namelijk de gebruikers en klanten van CompanySpotter. Zij gebruiken de informatie voor professionele doeleinden, zoals marktverkenning, doelgroepselectie, zakelijke communicatie, data-analyse, dataverrijking, actualisering van zakelijke bestanden en strategische besluitvorming.
Ook de belangen van ondernemingen waarvan gegevens via de diensten van CompanySpotter beschikbaar worden gesteld, kunnen met de verwerking worden gediend.
De verwerking dient daarmee zowel het belang van CompanySpotter bij het kunnen aanbieden en onderhouden van haar dienstverlening, als het belang van professionele gebruikers bij toegang tot actuele, juiste en betrouwbare ondernemingsgerichte informatie over ondernemingen. Daarnaast kan de verwerking bijdragen aan de zakelijke vindbaarheid en bereikbaarheid van de ondernemingen waarop de informatie betrekking heeft.
Vraag 1.4: Is het belang rechtmatig en niet in strijd met toepasselijk recht?
Ja. Het nagestreefde belang is rechtmatig en niet in strijd met toepasselijk Unierecht of nationaal recht.
De verwerking is gericht op het aanbieden en onderhouden van een ondernemingsgericht zoek- en analyseplatform voor professioneel gebruik binnen het business-to-business domein. Voor zover binnen de verwerkte gegevens persoonsgegevens voorkomen, betreft dit gegevens die in een zakelijke context op websites van organisaties beschikbaar zijn gemaakt en die functioneel verband houden met de online aanwezigheid, vindbaarheid of bereikbaarheid van die organisaties.
De verwerking is niet gericht op het verwerken van bijzondere categorien persoonsgegevens in de zin van artikel 9 AVG of gegevens inzake strafrechtelijke veroordelingen en strafbare feiten in de zin van artikel 10 AVG. De verwerking is ook niet gericht op geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare significante gevolgen voor betrokkenen in de zin van artikel 22 AVG.
De verwerkingsactiviteit is zodanig ingericht dat zij primair ziet op organisaties, websites en zakelijke contactkanalen. Algemene contactgegevens van organisaties hebben voorrang boven persoonsgebonden contactgegevens. Organisaties worden actief genformeerd over opname in CompanySpotter voordat gegevens in de publieke database beschikbaar worden gesteld. Daarnaast bestaat een laagdrempelig mechanisme om gegevens in te zien, te beperken of te verwijderen.
Vraag 1.5: Is het belang duidelijk en precies geformuleerd?
Ja. Het gerechtvaardigde belang is duidelijk en precies geformuleerd.
Het belang van CompanySpotter is afgebakend tot het aanbieden en onderhouden van een ondernemingsgerichte zoek- en analysedatabase ten behoeve van professioneel gebruik binnen het business-to-business domein. De verwerking is gericht op organisaties, websites, zakelijke contactkanalen en ondernemingsgerichte kenmerken, en niet op natuurlijke personen als zodanig.
Deze afbakening komt ook tot uitdrukking in de inrichting van de verwerking. CompanySpotter verzamelt gegevens via websites van organisaties en verwerkt deze gegevens met het oog op zakelijke vindbaarheid, analyse, classificatie, segmentatie en communicatie. De verwerking is niet gericht op het creren van persoonsprofielen, het verzamelen van namen als zelfstandig gegeven of het benaderen van natuurlijke personen in hun privhoedanigheid.
Vraag 1.6: Is het belang reel en actueel?
Ja. Het belang is reel, actueel en concreet.
Het belang vloeit rechtstreeks voort uit de bestaande bedrijfsactiviteiten van CompanySpotter: het aanbieden van een ondernemingsgericht zoek-, analyse- en dataplatform waarmee professionele gebruikers relevante organisaties kunnen vinden, analyseren, segmenteren en contacteren op basis van actuele website- en ondernemingsgegevens.
De verwerking vindt doorlopend plaats omdat websites, contactkanalen, technologiegebruik en zakelijke kenmerken van organisaties frequent kunnen wijzigen. Om bruikbare en betrouwbare Diensten te kunnen bieden conform haar strategie, verzamelt en structureert CompanySpotter op deze wijze gegevens opdat de verwerkte gegevens juist en actueel zijn, en gestructureerd beschikbaar kunnen worden gesteld binnen de afgebakende zakelijke context.
2. Noodzakelijkheid
Vraag 2.1: Is de verwerking noodzakelijk om het nagestreefde belang te bereiken?
Ja. Voor het doel zoals omschreven in deze toelichting is de verwerking noodzakelijk. CompanySpotter kan haar ondernemingsgerichte zoek-, analyse- en dataplatform niet aanbieden zonder gegevens over organisaties, websites, zakelijke contactkanalen, locatie, classificatie, online kenmerken en technologiegebruik te verzamelen, te structureren, te actualiseren en beschikbaar te stellen.
Het doel van de verwerking is niet beperkt tot het tonen van een organisatienaam of websiteadres. Het platform maakt ook zakelijke zoekfunctionaliteit, marktanalyses, doelgroepselectie, dataverrijking, actualisering van zakelijke bestanden en inzicht in de online aanwezigheid en technologie van organisaties mogelijk. Daarvoor is een actuele en gestructureerde dataset nodig waarin organisaties kunnen worden gevonden, onderscheiden, vergeleken en geclassificeerd.
Bij de inrichting van de verwerking is gekozen voor minst ingrijpende middelen. CompanySpotter verzamelt gegevens vanaf websites van organisaties en verwerkt en schaft geen aangekochte persoonsdatabestanden aan. De verwerking is primair gericht op organisaties en hun zakelijke online aanwezigheid. Algemene contactgegevens hebben voorrang boven persoonsgebonden contactgegevens en namen van natuurlijke personen vormen geen afzonderlijk databaseveld.
Een alternatief waarbij uitsluitend volledig anonieme of geaggregeerde gegevens worden verwerkt, zou het doel niet op vergelijkbaar effectieve wijze kunnen bereiken. Professionele gebruikers moeten organisaties kunnen identificeren, onderscheiden, analyseren en contacteren. Daarom is gekozen voor een inrichting waarin het ondernemingsgerichte doel kan worden bereikt met een zo beperkt mogelijke verwerking van persoonsgegevens en met aanvullende waarborgen zoals actieve kennisgeving, controle via een unieke link en eenvoudige verwijdering.
Vraag 2.2: Is de te verwerken data beperkt tot wat noodzakelijk is?
Ja. De verwerking is beperkt tot gegevens die noodzakelijk zijn voor het doel van CompanySpotter: het verzamelen, structureren, actualiseren en beschikbaar stellen van ondernemingsgerichte informatie over organisaties en websites voor professioneel gebruik binnen het business-to-business domein.
De dataset bestaat uit gegevenscategorien die functioneel verband houden met de vindbaarheid, identificatie, classificatie, analyse en zakelijke bereikbaarheid van organisaties. Het gaat onder meer om domein- en URL-gegevens, organisatienaam, adres- en locatiegegevens, contactgegevens, website-informatie, sociale mediakanalen van de organisatie, classificatiegegevens, online kenmerken, statusinformatie en technologiegegevens.
De verwerking is organisatiegericht en niet persoonsgericht. Gegevens worden verzameld vanaf websites van organisaties. Algemene zakelijke contactkanalen hebben voorrang boven persoonsgebonden contactgegevens. Voor zover een persoonsgebonden zakelijk e-mailadres of direct telefoonnummer wordt verwerkt, gebeurt dit slechts wanneer dit contactgegeven door de organisatie zelf op haar website beschikbaar is gemaakt, functioneel is voor zakelijke bereikbaarheid en er geen algemener alternatief beschikbaar is.
Gegevens die niet functioneel bijdragen aan identificatie, classificatie, analyse, vindbaarheid of zakelijke bereikbaarheid van organisaties vallen buiten de beoogde verwerkingsscope. CompanySpotter verwerkt geen persoonsgegevens als zelfstandig doel, bouwt geen persoonsprofielen op en verwerkt geen aangekochte persoonsdatabestanden.
Daarnaast respecteert CompanySpotter technische signalen van websites, zoals robots.txt, waarmee websitebeheerders invloed kunnen uitoefenen op het crawlen van hun website.
Vraag 2.3: Is het aantal betrokkenen beperkt tot het minimum dat noodzakelijk is?
Ja. Het aantal betrokkenen is beperkt tot wat noodzakelijk is voor het ondernemingsgerichte doel.
De verwerking ziet primair op organisaties, websites en zakelijke contactkanalen. CompanySpotter verwerkt geen persoonsgegevens als zelfstandig doel en bouwt geen persoonsprofielen op. Namen van natuurlijke personen vormen geen apart databaseveld en worden zoveel mogelijk beperkt of verwijderd.
Voor zover persoonsgegevens binnen de dataset voorkomen, gaat het om gegevens die door een organisatie op haar website in een zakelijke context beschikbaar zijn gemaakt en die functioneel verband houden met de vindbaarheid of bereikbaarheid van die organisatie.
Het aantal betrokkenen wordt verder beperkt doordat algemene contactgegevens prioriteit hebben boven persoonsgebonden contactgegevens. Daarnaast worden organisaties vooraf genformeerd over opname in CompanySpotter. Wanneer de kennisgeving niet kan worden afgeleverd, worden de gegevens niet opgenomen. Ook geldt een wachttijd tussen kennisgeving en opname in de database die via het platform beschikbaar wordt gesteld. Gedurende deze periode kan de organisatie of betrokkene de gegevens inzien, beperken of verwijderen voordat deze via het platform beschikbaar worden gesteld of aan derden worden verstrekt als onderdeel van de Diensten.
Vraag 2.4: Vindt de gegevensverwerking eenmalig plaats of op doorlopende basis?
De verwerking vindt doorlopend plaats.
Het doel van CompanySpotter is het beschikbaar stellen en actueel houden van een bruikbare ondernemingsgerichte zoek- en analysedatabase. De online aanwezigheid van organisaties verandert voortdurend. Websites worden aangepast, contactkanalen wijzigen, technologien worden toegevoegd of verwijderd en organisaties kunnen verhuizen, hun activiteiten wijzigen of stoppen met bestaan.
Een eenmalige verwerking zou onvoldoende zijn om de beoogde doelen te realiseren. De gegevens zullen hiermee snel verouderen en niet meer actueel, volledig en juist zijn. Verouderde gegevens kunnen leiden tot onjuiste analyses, foutieve contactgegevens en verminderde betrouwbaarheid van de gegevens en daarmee (ernstig) afbreuk doen aan de Densten die CompanySpotter kan aanbieden en het nut van de Diensten voor klanten en derden (inclusief betrokkenen).
De doorlopende aard van de verwerking betekent niet dat gegevens onbeperkt worden verwerkt. De verwerking blijft beperkt tot gegevens die beschikbaar zijn op de bronwebsite en noodzakelijk zijn voor het ondernemingsgerichte doel. Daarnaast bestaan processen voor actualisering, verwijdering, opt-out, blokkering van heropname en doorwerking richting klanten.
Vraag 2.5: Zijn alle verwerkingsstappen noodzakelijk?
De verwerking omvat uitsluitend stappen die noodzakelijk zijn om een actuele, bruikbare en gestructureerde ondernemingsgerichte zoek- en analysedatabase aan te bieden.
De noodzakelijke verwerkingsstappen omvatten het crawlen van websites van organisaties, het herkennen en structureren van relevante ondernemingsgerichte gegevens, het toepassen van gegevensminimalisatie, het actualiseren van de dataset, het informeren van organisaties vr opname, het beschikbaar stellen van gegevens aan professionele gebruikers en het uitvoeren van verzoeken tot verwijdering, bezwaar of beperking.
Deze stappen kunnen niet zonder wezenlijk verlies aan functionaliteit worden weggelaten. Zonder crawling en extractie kan geen actuele dataset worden opgebouwd. Zonder structurering en classificatie kunnen organisaties niet effectief worden gevonden, vergeleken of geanalyseerd. Zonder actualisering verliest de dataset haar betrouwbaarheid en juistheid. Zonder minimalisatie, kennisgeving en opt-out zouden de waarborgen voor betrokkenen onvoldoende zijn.
De verwerking is tegelijkertijd zo ingericht dat stappen die niet noodzakelijk zijn voor het ondernemingsgerichte doel achterwege blijven. CompanySpotter verwerkt geen aangekochte persoonsdatabestanden, bouwt geen persoonsprofielen op en is niet gericht op benadering van natuurlijke personen in hun privhoedanigheid.
Vraag 2.6: Is er een verwijderingsconcept en zijn bewaartermijnen vastgelegd?
Ja. Er is een verwijderingsconcept en er zijn bewaartermijnen vastgelegd.
De dataset wordt periodiek geactualiseerd. Gegevens worden verwerkt zolang zij beschikbaar zijn op de bronwebsite en zolang zij noodzakelijk zijn voor het ondernemingsgerichte doel van CompanySpotter. Wanneer gegevens niet langer beschikbaar zijn op de bronwebsite, worden zij uiterlijk 90 dagen daarna verwijderd.
De kwaliteit van gegevens wordt ondersteund door brongebonden verwerking, periodieke actualisering, het proces voor rectificatieverzoeken en verwijderingsverzoeken en de mogelijkheid voor organisaties en betrokkenen, gegevens via de unieke link te controleren, te beperken of te verwijderen zowel voorafgaand aan opname van de gegevens in de Diensten als op enig moment daarna. Daardoor kunnen onjuiste, verouderde of niet langer gewenste gegevens worden gecorrigeerd, beperkt of verwijderd.
Daarnaast kunnen organisaties en betrokkenen actief verwijdering of beperking van de verwerking verzoeken. CompanySpotter biedt daarvoor een laagdrempelig mechanisme. De kennisgeving bevat een unieke link waarmee de ontvanger de betreffende gegevens kan inzien, beperken of verwijderen. Deze link blijft ook na de initile kennisgeving beschikbaar, zodat organisaties en betrokkenen ook later kunnen raadplegen welke gegevens worden verwerkt en daarop kunnen ingrijpen.
Wanneer verwijdering wordt verzocht of bezwaar wordt gehonoreerd, worden de betreffende gegevens geheel of gedeeltelijk verwijderd of beperkt. Bij volledige verwijdering wordt het domein verwijderd uit de dataset en opgenomen op een blokkade- of suppressielijst, zodat heropname wordt voorkomen.
Voor zover gegevens eerder aan klanten beschikbaar zijn gesteld, worden klanten via een ontdubbellijst of vergelijkbaar mechanisme genformeerd, zodat zij deze gegevens in hun eigen omgeving kunnen herkennen en passende maatregelen kunnen nemen binnen hun eigen verantwoordelijkheid.
Vraag 2.7: Is er een overzicht van bestaande en geplande datastromen?
Ja. CompanySpotter heeft inzicht in de datastromen die plaatsvinden in het kader van deze verwerking.
Op hoofdlijnen gaat het om gegevensverzameling vanaf bronwebsites, technische verwerking en analyse, minimalisatie en kwaliteitsbeheer, kennisgeving vr opname, opname in de ondernemingsgerichte database, beschikbaarstelling aan professionele gebruikers, rechtenuitoefening en opt-out, en uitfasering of verwijdering.
Organisaties worden actief genformeerd voordat gegevens in de publieke database worden opgenomen. Via de unieke link uit de kennisgeving kunnen zij ook na de initile kennisgeving raadplegen welke gegevens worden verwerkt en deze geheel of gedeeltelijk verwijderen of beperken.
3. Belangenafweging
Vraag 3.1: Welke grondrechten van betrokkenen worden geraakt?
De verwerking kan met name het grondrecht op bescherming van persoonsgegevens en het daarmee samenhangende recht op eerbiediging van het privleven raken, voor zover binnen de ondernemingsgerichte dataset gegevens voorkomen die als persoonsgegevens kwalificeren.
De verwerking is echter gericht op organisaties, websites en zakelijke online aanwezigheid, en niet op natuurlijke personen als zodanig. Voor zover persoonsgegevens worden verwerkt, gaat het in beginsel om gegevens die door een organisatie zelf op haar website beschikbaar zijn gemaakt in een zakelijke of professionele context en dergelijke verwerking wordt zo veel mogelijk beperkt door CompanySpotter.
De verwerking is niet gericht op bijzondere categorien persoonsgegevens, persoonsprofilering, gedragsmonitoring van natuurlijke personen of besluitvorming over natuurlijke personen.
Vraag 3.2: Worden fundamentele vrijheden geraakt?
De fundamentele vrijheden in de zin van het VWEU, zoals vrijheid van vestiging en vrij verkeer van diensten, goederen, werknemers en kapitaal, worden door deze verwerking niet rechtstreeks beperkt.
De verwerking ziet op het verzamelen, structureren en beschikbaar stellen van ondernemingsgerichte gegevens over organisaties en websites voor professioneel gebruik. Eventuele effecten zijn indirect en gekoppeld aan de zakelijke context waarin de organisatie online aanwezig is.
Vraag 3.3: Worden andere belangen van betrokkenen geraakt?
Ja. Naast privacy en gegevensbescherming kunnen ook andere belangen van betrokkenen relevant zijn. Betrokkenen kunnen belang hebben bij het voorkomen van ongewenste zakelijke benadering, reputatienadeel of onjuiste beeldvorming op basis van onjuiste of verouderde gegevens. Ook kan privacy beleving een rol spelen wanneer zakelijke contactgegevens op een website herleidbaar zijn tot een natuurlijke persoon.
Deze belangen worden meegewogen in de beoordeling van het type gegevens, de redelijke verwachtingen, de mogelijke effecten van de verwerking en de waarborgen die CompanySpotter toepast.
Vraag 3.4: Welk type persoonsgegevens wordt verwerkt en in welke hoedanigheid?
De verwerking betreft primair ondernemingsgerichte gegevens over organisaties, websites en zakelijke online aanwezigheid. Het gaat onder meer om organisatie- en identificatiegegevens, domein- en websitegegevens, locatiegegevens, contactgegevens, websitekenmerken, classificatiegegevens, online kenmerken, sociale mediakanalen van organisaties en technologiegegevens.
Voor zover binnen deze gegevens persoonsgegevens voorkomen, gaat het om gegevens die in een professionele of zakelijke hoedanigheid verband houden met een organisatie. Dit kan bijvoorbeeld het geval zijn bij een persoonsgebonden zakelijk e-mailadres, een telefoonnummer of andere informatie die op de website van een organisatie staat en herleidbaar is tot een natuurlijke persoon.
De verwerking is in dat geval niet gericht op de persoon als privpersoon of consument, maar op de zakelijke context waarin het contactgegeven op de website van de organisatie voorkomt.
Vraag 3.5: Worden bijzondere categorien persoonsgegevens verwerkt?
Nee. De verwerking is niet gericht op het verwerken van bijzondere categorien persoonsgegevens in de zin van artikel 9 AVG.
CompanySpotter verwerkt ondernemingsgerichte gegevens over organisaties, websites, zakelijke contactkanalen en online kenmerken. De verwerking is niet gericht op gevoelige gegevens zoals gezondheidsgegevens, politieke opvattingen, religieuze overtuigingen, biometrische gegevens of gegevens over seksuele gerichtheid.
Vraag 3.6: Heeft de verwerking betrekking op persoonsgegevens van kinderen?
Nee. De verwerking is ondernemingsgericht en vindt plaats binnen een professionele context. CompanySpotter crawlt websites van organisaties en verwerkt gegevens die verband houden met de zakelijke online aanwezigheid van die organisaties.
De verwerking is niet gericht op het verzamelen of verwerken van persoonsgegevens van kinderen.
Vraag 3.7: Heeft de verwerking betrekking op strafrechtelijke persoonsgegevens?
Nee. De verwerking is niet gericht op het verwerken van persoonsgegevens over strafrechtelijke veroordelingen of strafbare feiten in de zin van artikel 10 AVG.
Vraag 3.8: Worden gegevens verwerkt die als bijzonder priv kunnen worden ervaren?
De verwerking is niet gericht op privgegevens van betrokkenen, zoals gegevens over privleven, gezinssituatie, privlocatie, persoonlijke financin of andere informatie die typisch als persoonlijk of intiem wordt ervaren.
Tegelijkertijd kan niet worden uitgesloten dat bepaalde zakelijke gegevens door betrokkenen als privacygevoelig worden ervaren, bijvoorbeeld wanneer een persoonsgebonden zakelijk e-mailadres of direct telefoonnummer op de website van een organisatie staat. Dat gegeven blijft echter ingebed in de professionele context waarin het door de organisatie openbaar beschikbaar is gemaakt.
De impact daarvan wordt beperkt door de organisatiegerichte aard van de verwerking, de focus op zakelijke contactkanalen, het respecteren van technische website-instructies, actieve kennisgeving en het blijvend beschikbare mechanisme om gegevens in te zien, te beperken of te verwijderen.
Vraag 3.9: Waar en wanneer zijn de persoonsgegevens verzameld?
De gegevens worden verzameld vanaf websites van organisaties. CompanySpotter verkrijgt de gegevens door websites te crawlen en relevante ondernemingsgerichte informatie daaruit te herkennen, te structureren en te actualiseren.
De verkrijging vindt doorlopend plaats, omdat websites en online kenmerken van organisaties wijzigen. Voor zover persoonsgegevens voorkomen, betreft dit gegevens die op de website van de betreffende organisatie beschikbaar zijn gemaakt en die verband houden met de zakelijke aanwezigheid, bereikbaarheid of vindbaarheid van die organisatie.
Omdat de gegevens niet rechtstreeks bij individuele betrokkenen worden verzameld maar afkomstig zijn van websites van organisaties, is sprake van indirecte verkrijging voor zover de gegevens als persoonsgegevens kwalificeren.
Vraag 3.10: Hoe zijn de persoonsgegevens verzameld?
CompanySpotter verzamelt gegevens door websites van organisaties te crawlen en daaruit relevante ondernemingsgerichte gegevens te herkennen en te structureren. De gegevens zijn afkomstig van websites van organisaties die online toegankelijk zijn.
Bij het crawlen respecteert CompanySpotter technische website-instructies, zoals robots.txt, waarmee websitebeheerders invloed kunnen uitoefenen op het crawlen van hun website.
Na het ophalen van gegevens kunnen deze geautomatiseerd worden geanalyseerd om aanvullende ondernemingsgerichte datapunten te creren die relevant zijn voor classificatie, analyse en vindbaarheid. Deze verwerking is niet gericht op het nemen van besluiten over natuurlijke personen en niet op het opbouwen van persoonsprofielen.
Vraag 3.11: Hoe wordt de verwerking transparant gemaakt?
CompanySpotter maakt de verwerking transparant door een combinatie van publiek beschikbare informatie, actieve kennisgeving en blijvende controle via een unieke link.
CompanySpotter publiceert relevante informatie op haar website, waaronder een privacyverklaring, informatie over het gerechtvaardigd belang, informatie over uitschrijving en verwijdering en uitleg over het gebruik van robots.txt. Deze informatie beschrijft welke gegevens worden verwerkt, voor welke doeleinden, op welke grondslag, welke rechten betrokkenen hebben en hoe verwijdering of beperking van de verwerking kan worden geregeld.
Daarnaast informeert CompanySpotter iedere opgenomen website of organisatie actief over de verwerking voordat gegevens als onderdeel van haar Diensten in haardatabase worden opgenomen. De kennisgeving vermeldt welke categorien gegevens worden verwerkt, beschrijft het doel van de verwerking, benoemt de grondslag gerechtvaardigd belang en informeert over rechten van betrokkenen.
Wanneer de kennisgeving niet kan worden afgeleverd, worden de gegevens niet opgenomen in de database. Daarnaast geldt een wachttijd tussen kennisgeving en opname in de publieke database, zodat de organisatie of betrokkene voorafgaand aan publicatie gegevens kan inzien, beperken of verwijderen.
De unieke link uit de kennisgeving blijft actief. Via deze link kan de organisatie of betrokkene ook later raadplegen welke gegevens door CompanySpotter worden verwerkt en deze gegevens geheel of gedeeltelijk verwijderen of beperken. Transparantie is daarmee niet beperkt tot een eenmalige kennisgeving, maar blijft gedurende de verwerking praktisch toegankelijk.
Vraag 3.12: Bestaat er een relatie tussen CompanySpotter en betrokkenen?
In beginsel bestaat er geen directe klant- of contractuele relatie tussen CompanySpotter en de natuurlijke personen van wie gegevens in context als persoonsgegevens kunnen kwalificeren. De gegevens worden niet rechtstreeks bij individuele betrokkenen verzameld, maar zijn afkomstig van websites van organisaties.
Er bestaat wel een functionele relatie met de betreffende organisatie of website: CompanySpotter informeert de organisatie actief over opname in de database en biedt via een unieke link de mogelijkheid om gegevens in te zien, te beperken of te verwijderen.
Vraag 3.13: Hoe omvangrijk is de gegevensverzameling?
De verwerking is omvangrijk in die zin dat CompanySpotter een ondernemingsgerichte dataset onderhoudt die betrekking heeft op een groot aantal organisaties en websites en die doorlopend wordt geactualiseerd. Slechts een beperkt deel daarvan zou mogelijk als persoonsgegevens kwalificeren.
De verwerking is primair organisatie- en websitegericht. CompanySpotter verwerkt geen persoonsgegevens als zelfstandig doel en bouwt geen persoonsprofielen op. Voor zover persoonsgegevens voorkomen, betreft dit in de regel gegevens die op de website van een organisatie beschikbaar zijn gemaakt in een zakelijke context.
De feitelijke impact van de omvang wordt beperkt door actieve kennisgeving voorafgaand aan opname, de wachttijd vr publicatie, de blijvend actieve unieke link, het selfservice-verwijdermechanisme, de suppressielijst en de doorwerking richting klanten via ontdubbellijsten.
Vraag 3.14: Wat zijn de mogelijke negatieve effecten?
Mogelijke negatieve effecten zijn ongewenste zakelijke benadering, verlies van controle over zakelijke contactgegevens, hinder doordat een direct of persoonsgebonden contactkanaal wordt gebruikt, onjuiste of verouderde gegevens, reputatie- of contextschade door verkeerde interpretatie van gegevens, of ongeoorloofde verdere verwerking door klanten nadat gegevens via het platform beschikbaar zijn gesteld.
De waarschijnlijkheid en ernst van deze effecten worden beperkt door de inrichting van de verwerking. De verwerking is gericht op organisaties en websites, niet op natuurlijke personen als zodanig. Persoonsgebonden zakelijke e-mailadressen of directe telefoonnummers die mogelijk persoonsgebonden zijn, worden alleen verwerkt wanneer zij op de website van de organisatie beschikbaar zijn gemaakt en er geen algemener alternatief beschikbaar is.
Daarnaast wordt iedere opgenomen website of organisatie actief genformeerd voordat gegevens in de publieke database worden opgenomen. Bij een niet-afleverbare kennisgeving vindt geen opname plaats. De unieke link uit de kennisgeving blijft beschikbaar, zodat gegevens ook later kunnen worden ingezien, beperkt of verwijderd. Bij verwijdering wordt heropname tegengegaan en worden klanten waar relevant genformeerd via ontdubbellijsten.
De mogelijke negatieve effecten zijn daardoor in de regel beperkt en doen zich vooral voor in een professionele context. Negatieve effecten kunnen in individuele gevallen niet volledig worden uitgesloten, met name wanneer een persoonsgebonden contactgegeven als enig zakelijk contactkanaal op een website staat of wanneer klanten gegevens buiten de overeengekomen voorwaarden gebruiken.
Vraag 3.15: Zijn er positieve effecten?
Ja. De verwerking kan positieve effecten hebben voor organisaties en betrokkenen in hun professionele hoedanigheid.
CompanySpotter vergroot de zakelijke vindbaarheid van organisaties en ondersteunt efficintere B2B-interactie. De werkwijze van CompanySpotter zorgt er bovendien voor dat de gegevens actueel en juist blijven. Organisaties kunnen daardoor beter gevonden worden door potentile klanten, partners, leveranciers of andere professionele partijen die op zoek zijn naar relevante producten, diensten, technologien of expertise.
Daarnaast kan de verwerking bijdragen aan betere zakelijke informatievoorziening, actuelere databases, minder miscommunicatie, betere marktanalyses en zorgvuldiger selectie van zakelijke relaties. De verwerking is niet primair bedoeld om een individueel persoonlijk voordeel te realiseren, maar kan wel bijdragen aan de professionele zichtbaarheid, bereikbaarheid en vindbaarheid van de organisatie waarmee de betrokkene verbonden is.
Vraag 3.16: Verliezen betrokkenen controle over het gebruik van hun persoonsgegevens?
Voor zover binnen de ondernemingsgerichte dataset persoonsgegevens voorkomen, kunnen betrokkenen in zekere mate controleverlies ervaren. De gegevens worden immers niet rechtstreeks bij hen verzameld, maar van websites van organisaties opgehaald en vervolgens verwerkt binnen een zakelijke informatieketen.
Dit mogelijke controleverlies wordt beperkt door meerdere waarborgen. De verwerking is organisatiegericht en niet persoonsgericht. Algemene zakelijke contactkanalen krijgen voorrang boven persoonsgebonden contactkanalen. CompanySpotter respecteert technische website-instructies zoals robots.txt. Daarnaast worden organisaties actief genformeerd voordat gegevens in de publieke database worden opgenomen. In de kennisgeving staat een link om aan te geven dat de gegevens niet verwerkt mogen worden als onderdeel van de Dienst van CompanySpotter.
De unieke link uit de kennisgeving blijft actief. Via deze link kunnen organisaties en betrokkenen ook later nog raadplegen welke gegevens worden verwerkt en deze gegevens geheel of gedeeltelijk verwijderen of verwerking beperken. De controle over de verwerking is daardoor niet beperkt tot een eenmalig moment direct na kennisgeving, maar blijft gedurende de verwerking beschikbaar.
Betrokkenen en organisaties kunnen daarnaast hun AVG-rechten uitoefenen, bezwaar maken tegen de verwerking, gegevens laten verwijderen of het crawlen van hun website beperken via technische middelen zoals robots.txt. Wanneer een domein wordt verwijderd, wordt heropname tegengegaan. Voor zover gegevens eerder aan klanten zijn verstrekt, wordt de verwijdering ondersteund door ontdubbellijsten of vergelijkbare mechanismen richting klanten.
Vraag 3.17: Wie verwerkt de gegevens en welke waarborgen bestaan er?
CompanySpotter verwerkt de gegevens als verwerkingsverantwoordelijke. Voor zover noodzakelijk voor de uitvoering van de dienstverlening maakt CompanySpotter gebruik van zorgvuldig geselecteerde dienstverleners, bijvoorbeeld voor hosting, IT, beveiliging, technische verwerking, analyse en ondersteunende bedrijfsprocessen.
Dienstverleners die CompanySpotter inschakelt, verwerken gegevens uitsluitend voor zover dat noodzakelijk is voor hun taak en op basis van passende contractuele afspraken. Voor zover deze dienstverleners als verwerker voor CompanySpotter optreden, worden afspraken gemaakt conform de bepalingen van artikel 28 AVG, waaronder afspraken over instructies, vertrouwelijkheid, beveiliging, ondersteuning bij rechten van betrokkenen en verwijdering of teruggave van gegevens na afloop van de dienstverlening.
Toegang binnen CompanySpotter en bij ingeschakelde dienstverleners is beperkt tot personen die deze toegang nodig hebben voor hun werkzaamheden. Toegang tot het platform door klanten is beperkt tot geautoriseerde gebruikers binnen de organisatie van de klant en vindt plaats op basis van overeenkomst en voorwaarden.
De verwerking is ingericht met technische en organisatorische maatregelen om vertrouwelijkheid, integriteit en toegangsbeperking te waarborgen. Daartoe behoren onder meer rol-gebaseerde toegang, contractuele afspraken met dienstverleners en klanten, beperking van toegang tot geautoriseerde gebruikers, passende controlemechanismen, gegevensminimalisatie en processen voor bezwaar, verwijdering en doorwerking richting klanten.
Voor de verwerking van gegevens die klanten van CompanySpotter verkrijgen en vervolgens zelf gebruiken of exporteren, handelen klanten als zelfstandige verwerkingsverantwoordelijken.
Voor zover persoonsgegevens onder verantwoordelijkheid van CompanySpotter buiten de Europese Economische Ruimte worden doorgegeven, gebeurt dit uitsluitend wanneer daarvoor een geldige grondslag en passende waarborgen bestaan overeenkomstig hoofdstuk V AVG.
Vraag 3.18: Vindt geautomatiseerde besluitvorming plaats?
Nee. In het kader van deze verwerking vindt geen geautomatiseerde besluitvorming plaats die uitsluitend is gebaseerd op geautomatiseerde verwerking en die rechtsgevolgen heeft voor betrokkenen of hen anderszins in aanmerkelijke mate treft in de zin van artikel 22 AVG.
CompanySpotter gebruikt geautomatiseerde technieken om websites te crawlen, gegevens te herkennen, te structureren en te classificeren. Deze processen zijn gericht op organisatie- en websiteanalyse en niet op het nemen van besluiten over natuurlijke personen.
Vraag 3.19: Wordt de belangenafweging toegelicht bij informatieverstrekking?
Ja. CompanySpotter licht het gebruik van gerechtvaardigd belang als grondslag toe in haar informatievoorziening aan betrokkenen en organisaties.
In de algemene informatievoorziening wordt vermeld dat de verwerking, voor zover persoonsgegevens aan de orde zijn, plaatsvindt op basis van artikel 6 lid 1 onder f AVG. Daarbij wordt toegelicht welke belangen CompanySpotter en haar gebruikers nastreven, voor welke doeleinden gegevens worden verwerkt en welke rechten betrokkenen hebben.
Daarnaast wordt in de actieve kennisgeving aan organisaties verwezen naar de grondslag gerechtvaardigd belang, de doeleinden van de verwerking en de rechten van betrokkenen. Het bericht aan de ondernemingen bevat eveneens een link naar de webpagina waarop het privacy statement en deze belangenafweging te vinden is.
Vraag 3.20: Welke mogelijkheden tot bezwaar of interventierechten hebben betrokkenen?
Betrokkenen en organisaties kunnen hun rechten uitoefenen via CompanySpotter, waaronder via de unieke link in de kennisgeving, via de verwijderfunctionaliteit op de website en via het contactkanaal voor privacy verzoeken.
Betrokkenen kunnen bezwaar maken tegen de verwerking op grond van artikel 21 AVG. Wanneer bezwaar wordt gemaakt, beoordeelt CompanySpotter of er dwingende gerechtvaardigde gronden bestaan om de verwerking voort te zetten. Indien dat niet het geval is, wordt de verwerking beindigd of beperkt. In de praktijk functioneert dit als een opt-out mogelijkheid.
Daarnaast kunnen betrokkenen verzoeken om inzage, rectificatie, wissing en beperking van de verwerking. De opt-out is zeer laagdrempelig ingericht. De unieke link blijft actief, zodat organisaties en betrokkenen ook later zelf kunnen raadplegen welke gegevens worden verwerkt en deze geheel of gedeeltelijk kunnen verwijderen of beperken.
Wanneer een domein wordt verwijderd, wordt heropname voorkomen. Waar relevant worden klanten genformeerd via ontdubbellijsten of vergelijkbare mechanismen.
Vraag 3.21: Is er een proces om bezwaar of wissing na te leven?
Ja. Er is een proces om bezwaren en verzoeken tot wissing te ontvangen, te beoordelen en uit te voeren.
Verzoeken kunnen worden ingediend via de unieke link in de kennisgeving, via de verwijderfunctionaliteit op de website of via het privacycontactkanaal van CompanySpotter. Waar nodig vraagt CompanySpotter aanvullende informatie om de verzoeker of het betreffende domein redelijkerwijs te identificeren en om te bepalen op welke gegevens het verzoek betrekking heeft.
Wanneer het verzoek wordt gehonoreerd, worden de betreffende gegevens geheel of gedeeltelijk verwijderd of beperkt. Bij volledige verwijdering wordt het domein verwijderd uit de dataset en wordt heropname voorkomen. Voor zover gegevens eerder aan klanten beschikbaar zijn gesteld, wordt dit via ontdubbellijsten of vergelijkbare mechanismen richting klanten doorgegeven, zodat zij passende maatregelen kunnen nemen binnen hun eigen verantwoordelijkheid.
CompanySpotter legt de behandeling van verzoeken vast voor zover dat nodig is voor haar verantwoordingsplicht.
Vraag 3.22: Is er een proces om rectificatie na te leven?
Ja. Er is een proces om rectificatieverzoeken te ontvangen, te beoordelen en op te volgen.
Rectificatieverzoeken kunnen worden ingediend via de unieke link in de kennisgeving, via de website of via het privacycontactkanaal van CompanySpotter. Wanneer een betrokkene of organisatie stelt dat gegevens onjuist of onvolledig zijn, beoordeelt CompanySpotter het verzoek in het licht van de aard van de gegevens, de bronwebsite, de context van de verwerking en de wijze waarop de gegevens in de ondernemingsgerichte dataset zijn opgenomen.
Voor zover CompanySpotter zelf kan vaststellen dat gegevens onjuist of onvolledig zijn, worden deze binnen een redelijke termijn gecorrigeerd, aangevuld, beperkt of verwijderd. Omdat CompanySpotter gegevens verzamelt vanaf websites van organisaties, kan actualisering mede afhankelijk zijn van aanpassing van de betreffende bronwebsite. Wanneer gegevens op de bronwebsite worden aangepast, worden deze wijzigingen via de reguliere actualiseringscyclus verwerkt.
Waar passend kan CompanySpotter tussentijdse maatregelen nemen, zoals beperking van zichtbaarheid, interne markering of tijdelijke verwijdering.
Eindconclusie belangenafweging
Na afweging van alle relevante factoren wegen de gerechtvaardigde belangen van CompanySpotter en haar professionele gebruikers zwaarder dan de belangen, grondrechten en fundamentele vrijheden van betrokkenen, voor zover binnen de ondernemingsgerichte dataset persoonsgegevens voorkomen.
Deze conclusie steunt op de professionele en ondernemingsgerichte context van de verwerking. De verwerking is gericht op organisaties, websites en zakelijke online aanwezigheid. Persoonsgegevens worden niet als zelfstandig doel verwerkt en natuurlijke personen zijn niet het primaire object van de verwerking. Voor zover persoonsgegevens voorkomen, houden zij functioneel verband met de zakelijke bereikbaarheid, vertegenwoordiging of online aanwezigheid van de organisatie.
De verwerking is beperkt tot wat noodzakelijk is voor de functionaliteit van het platform. Algemene zakelijke contactkanalen hebben voorrang boven persoonsgebonden contactgegevens. De verwerking is niet gericht op bijzondere categorien persoonsgegevens, strafrechtelijke persoonsgegevens of geautomatiseerde besluitvorming met rechtsgevolgen.
De resterende impact voor betrokkenen wordt beperkt door een pakket aan waarborgen, waaronder respect voor technische website-instructies, actieve kennisgeving vr opname, geen opname bij niet-afleverbare kennisgeving, een wachttijd vr publicatie, blijvende inzage en controle via een unieke link, eenvoudige gedeeltelijke of volledige verwijdering, blokkering van heropname na opt-out, processen voor bezwaar, wissing en rectificatie, contractuele afspraken met klanten en doorwerking richting klanten via ontdubbellijsten.
Gelet op deze aard, context, doelbinding, noodzakelijkheid, proportionaliteit en waarborgen is de verwerking op basis van artikel 6 lid 1 onder f AVG gerechtvaardigd.
4. Documentatie en actualisering
Vraag 4.1: Is de beoordeling gedocumenteerd?
Ja. De beoordeling van het gerechtvaardigd belang, de noodzakelijkheid van de verwerking en de belangenafweging is vastgelegd in deze toelichting.
Deze toelichting beschrijft de feitelijke inrichting van de verwerking door CompanySpotter, waaronder het verzamelen van gegevens vanaf websites van organisaties, het structureren en actualiseren van ondernemingsgerichte gegevens, het verwerken van zakelijke contactkanalen en het beschikbaar stellen van gegevens aan professionele gebruikers binnen het business-to-business domein.
Daarnaast beschrijft deze toelichting de relevante waarborgen die CompanySpotter toepast, waaronder de organisatiegerichte aard van de verwerking, gegevensminimalisatie, actieve kennisgeving vr opname, blijvende controle via een unieke link, de mogelijkheid tot beperking of verwijdering, blokkering van heropname na opt-out en doorwerking richting klanten via ontdubbellijsten.
Deze publieke toelichting bevat de belangenafweging op grond van artikel 6 lid 1 onder f AVG. Technische en organisatorische risicos, waaronder risicos voor vertrouwelijkheid, integriteit en beschikbaarheid van gegevens, worden separaat beoordeeld binnen de privacy-, security- en compliance-governance van CompanySpotter.
Vraag 4.2: Is de beoordeling beoordeeld?
Deze beoordeling wordt periodiek beoordeeld binnen de privacy- en compliance-governance van CompanySpotter. Waar nodig is bij deze beoordeling privacyrechtelijke deskundigheid betrokken, waaronder die van de Functionaris Gegevensbescherming van CompanySpotter.
De beoordeling is bedoeld om te toetsen of de gekozen grondslag, de beschrijving van de verwerking, de noodzakelijkheidstoets, de belangenafweging en de beschreven waarborgen blijven aansluiten bij de AVG, actuele richtsnoeren, relevante toezichtpraktijk en de feitelijke inrichting van de dienstverlening.
Daarbij wordt ook beoordeeld of aanvullende documentatie of beoordeling nodig is, bijvoorbeeld in verband met technische en organisatorische risicos, wijzigingen in de verwerking, wijzigingen in gebruikte technologien of andere omstandigheden die relevant kunnen zijn voor de bescherming van betrokkenen.
Vraag 4.3: Wordt de beoordeling periodiek herzien?
Ja. CompanySpotter herziet deze toelichting wanneer de feitelijke verwerking, de gebruikte technologien, de gegevenscategorien, de categorien ontvangers, de bewaartermijnen, de opt-outmechanismen of andere relevante waarborgen materieel wijzigen.
Daarnaast kan herziening plaatsvinden naar aanleiding van wijzigingen in wet- en regelgeving, rechtspraak, richtsnoeren van toezichthouders of signalen uit de praktijk, zoals patronen in bezwaar- of verwijderverzoeken, klachten, incidenten of bevindingen uit interne controles.
Signalen van organisaties en betrokkenen, waaronder verzoeken, bezwaren, klachten en feedback via het verwijder- of contactkanaal, worden betrokken bij periodieke herziening van deze beoordeling. Daarmee wordt niet alleen gekeken naar de formele juridische beoordeling, maar ook naar de werking van de toegepaste waarborgen in de praktijk.
De uitkomst van een herziening wordt gedocumenteerd en waar nodig verwerkt in een aangepaste versie van deze toelichting.
Afsluitende conclusie
CompanySpotter concludeert dat de verwerking van ondernemingsgerichte gegevens en eventuele persoonsgegevens die binnen die context voorkomen, kan worden gebaseerd op het gerechtvaardigd belang als bedoeld in artikel 6 lid 1 onder f AVG.
Deze conclusie berust op de samenhang tussen het concrete zakelijke belang, de noodzakelijkheid van de verwerking voor de dienstverlening en de getroffen waarborgen ter bescherming van betrokkenen. CompanySpotter verwerkt gegevens primair over organisaties, websites en zakelijke online aanwezigheid. Eventuele persoonsgegevens worden slechts verwerkt voor zover zij functioneel samenhangen met die zakelijke context en noodzakelijk zijn voor de ondernemingsgerichte doelen van de dienstverlening.
CompanySpotter past een transparantie- en controlemodel toe waarbij organisaties actief worden genformeerd vr opname in de publieke database en via een blijvend actieve unieke link kunnen raadplegen welke gegevens worden verwerkt en deze geheel of gedeeltelijk kunnen verwijderen of beperken.
In combinatie met gegevensminimalisatie, respect voor technische website-instructies, blokkering van heropname na opt-out, ontdubbellijsten richting klanten, contractuele waarborgen en processen voor bezwaar, wissing en rectificatie, is de resterende mogelijke impact op betrokkenen beperkt en proportioneel. Daarmee prevaleren de gerechtvaardigde belangen van CompanySpotter en haar professionele gebruikers en andere derden boven de (mogelijke inbreuk op) belangen, grondrechten en fundamentele vrijheden van betrokkenen.