Datenschutzerklärung

2.2 Akquise und Geschäftsentwicklung

Soweit wir potenzielle Geschäftskunden direkt ansprechen (zum Beispiel über berufliche Netzwerke wie LinkedIn), erheben und verarbeiten wir personenbezogene Daten potenzieller Geschäftskontakte („Prospects“). Diese Daten werden aus öffentlich zugänglichen Quellen erhoben, nicht direkt von der betroffenen Person.

Bestehende Geschäftskontakte: Kontaktdaten von Personen, mit denen wir in geschäftlichem Austausch stehen oder standen (zum Beispiel Gesprächs- und Verhandlungspartner aus früheren Projekten, Partner sowie Kontakte in beruflichen Netzwerken), bewahren wir auf, solange der geschäftliche Kontakt besteht. Die unten genannte 30-Tage-Frist gilt für Erstansprachen, auf die keine Reaktion folgt.

Datenquellen:

• •Unternehmenswebsites und Impressum-/Pflichtangabenseiten
• •Öffentliche Branchenverzeichnisse
• •Berufliche Netzwerkplattformen (z. B. LinkedIn)
• •Handels- und Gewerberegister

Kategorien der verarbeiteten Daten:

• •Name (Vorname, Nachname)
• •Geschäftliche E-Mail-Adresse
• •Geschäftliche Telefonnummer
• •Firmenname und Rechtsform
• •Berufsbezeichnung oder Funktion
• •Unternehmenswebsite-URL
• •Unternehmensanschrift

Zweck: Kontaktaufnahme mit potenziellen Geschäftskunden zu unseren Leistungen (Go-to-Market und Closing-as-a-Service, Beratung zu Markteintritt und regulatorischer Orientierung, Softwareentwicklung, KI-Beratung, Commercial Due Diligence, Regulatory Intelligence und DACH Market Entry Playbook); Verwaltung unserer Akquise-Pipeline; Pflege der Aufzeichnungen über geschäftliche Kommunikation.

Offenlegung der Datenquelle (Art. 14 DSGVO): Gemäß Artikel 14 Abs. 2 lit. f DSGVO informieren wir jeden Prospect in unserer ersten Kommunikation über die konkrete Quelle, aus der seine personenbezogenen Daten stammen (z. B. „Ihre Unternehmenswebsite“, „Ihr LinkedIn-Profil“).

Speicherdauer:

• •Wenn ein Prospect nicht auf unsere Ansprache reagiert: Daten werden innerhalb von 30 Tagen nach der letzten Kontaktaufnahme gelöscht (maximal 2 Nachfassversuche).
• •Wenn ein Prospect antwortet und ablehnt / Löschung verlangt: Daten werden innerhalb von 14 Tagen nach der Anfrage gelöscht (bis auf den Eintrag in der Sperrliste, siehe Widerspruchsrecht).
• •Wenn ein Prospect zum Kunden wird: Daten werden für die Dauer der Geschäftsbeziehung und danach gemäß den gesetzlichen Aufbewahrungspflichten aufbewahrt (siehe Abschnitt 2.3).

2.3 Kundendaten

Bei Begründung einer Geschäftsbeziehung verarbeiten wir zusätzliche Daten, soweit dies für die Vertragserfüllung erforderlich ist, darunter:

• •Abrechnungs- und Rechnungsdaten
• •Projektbezogene Daten (Briefings, vom Kunden bereitgestellte Inhalte, Korrespondenz)
• •Kommunikationsverlauf

2.4 Regulatory Intelligence Service und Kundenportal

Unser Regulatory Intelligence Service stellt Abonnenten redaktionell geprüfte regulatorische Meldungen in unserem Kundenportal bereit, dem „Regulatory Intelligence Portal“ der Aegiron Capital Group unter portal.aegironcapitalgroup.com. Für Bestellung, Abrechnung und Zugang verarbeiten wir:

• •Name und E-Mail-Adresse Ihres Ansprechpartners für Bestellung, Auftragsbestätigung, Zusendung des Zugangscodes und Rechnungen
• •Firmenname, Anschrift und USt-IdNr. (Unternehmen außerhalb der EU: Handelsregister- oder Steuernummer) für die Rechnungsstellung; für die Prüfung der USt-IdNr. gilt Abschnitt 2.7 entsprechend
• •Abonnementdaten (Beginn, Kündigung, Ende des Zugangs) und die Angaben zu Ihrem Zugangscode (Bezeichnung des Kunden, Ausgabe, Einlösefrist und Einlösung); den Code selbst speichert das Portal nur als Hash
• •Zahlungsdaten zu unseren monatlichen Rechnungen (Zahlungseingang per Überweisung; bei vereinbarter Kartenzahlung wickelt Revolut die Zahlung ab, Abschnitt 3; wir speichern keine Kartendaten)

Im Kundenportal

Wenn Sie sich im Kundenportal registrieren und es nutzen, verarbeitet es die folgenden Daten. Ihren Namen, Ihre Anschrift oder Zahlungsdaten fragt das Portal nicht ab.

• •Konto: Ihre geschäftliche E-Mail-Adresse als Anmeldename, die Rolle, die Sprache der Oberfläche, der helle oder dunkle Lesemodus, der Status, bei einer Sperre deren Zeitpunkt und Grund, das Ende Ihres Zugangs („Zugang bis“), Zeitpunkte (angelegt, aktiviert, zuletzt aktiv) und der Verweis auf den eingelösten Zugangscode
• •Anmeldedaten: Passwort und Wiederherstellungscodes nur als Hash, das Geheimnis für die Zwei-Faktor-Anmeldung nur verschlüsselt
• •Unternehmensprofil: Tätigkeiten, Lizenzen oder Status, Länder, Themen und die Sprache der Zusammenfassungen. Danach wählt das Portal die passenden Meldungen aus. Dazu kommen Lese-Status und Merkliste. Wir werten diese Angaben nicht aus und sehen sie im Verwaltungsbereich nicht
• •Sitzungen: Damit Sie angemeldet bleiben, speichert das Portal je Sitzung einen Hash des Sitzungstokens, Zeitpunkte, die Geräteart (Browser und Betriebssystem, z. B. „Firefox · Windows“) und Ihr Netz. Netz heißt: Ihre IP-Adresse, gekürzt auf die ersten drei Blöcke (IPv4) bzw. die ersten 48 Bit (IPv6); davon speichert das Portal nur einen Hash mit geheimem Schlüssel, nie die IP-Adresse selbst
• •Anmeldeprotokoll: Zeitpunkt und Art von Anmeldungen und sicherheitsrelevanten Vorgängen (z. B. Anmeldung erfolgreich oder fehlgeschlagen, falscher Zwei-Faktor-Code, Passwort geändert, Sitzung durch eine weitere Anmeldung beendet, Konto gesperrt), jeweils mit Geräteart und Netz
• •Schutz gegen Passwort-Raten: Zähler der Fehlversuche je Netz und je eingegebenem Anmeldenamen, beide nur als Hash gespeichert, dazu ein Zähler je Konto unter der internen Kontonummer für die Sperre nach 20 Fehlversuchen in 24 Stunden
• •Verwaltungsprotokoll: unsere Verwaltungsvorgänge zu Ihrem Konto und Ihrem Zugangscode (Anlegen und Widerrufen von Zugangscodes, Sperre mit Begründung und Entsperrung, Beenden von Sitzungen, Ausgabe eines Codes zum Zurücksetzen des Passworts, Zurücksetzen der Zwei-Faktor-Anmeldung, Änderung des Zugangsendes, Löschung)

Ein Zugang ist für eine Person bestimmt (siehe unsere Nutzungsbedingungen). Gleichzeitig sind höchstens zwei Sitzungen möglich; eine weitere Anmeldung beendet die älteste. Aus Sitzungen und Anmeldeprotokoll zeigt uns das Portal Hinweise auf eine gemeinsame Nutzung an, etwa bei mehr als drei verschiedenen Gerätearten (Browser und Betriebssystem) innerhalb von sieben Tagen, bei Anmeldungen aus mehr als zwei Netzen innerhalb von 24 Stunden oder wenn neue Anmeldungen wiederholt laufende Sitzungen beenden. Ein solcher Hinweis führt nicht automatisch zu einer Sperre: Wir prüfen ihn und entscheiden selbst. Nach 20 Fehlversuchen innerhalb von 24 Stunden sperrt das Portal das Konto zu Ihrem Schutz automatisch; wir heben die Sperre auf, sobald wir uns vergewissert haben, dass die Anfrage von Ihnen kommt.

Öffentliche Veröffentlichungen und KI-Dienst

Für die Meldungen ruft das Portal täglich öffentliche Veröffentlichungen von Behörden und amtlichen Stellen der EU, Deutschlands, Österreichs und der Schweiz ab. Titel, Textauszug (höchstens 30.000 Zeichen), Stelle, Adresse und Datum übermitteln wir an Google (Gemini, Abschnitt 3), um sie einordnen und zusammenfassen zu lassen. Daten der Nutzer des Portals übermitteln wir dabei nicht. E-Mail-Adressen und Telefonnummern entfernen wir vorher aus den Texten. Veröffentlichungen, die sich gegen namentlich genannte Personen richten oder sie in den Mittelpunkt stellen, schließen wir über feste Regeln je Quelle aus, die Titel, Adresse, Rubrik oder Kurztext prüfen; das betrifft etwa Warnungen vor unerlaubten Anbietern, Maßnahmen gegen Einzelpersonen und Sanktionslisten, bei mehreren Quellen auch Reden, Interviews und Personalmeldungen. Von ausgeschlossenen Veröffentlichungen speichert das Portal nur einen Hash der Adresse, damit es sie nicht erneut abruft. Erfasst keine Regel eine solche Veröffentlichung, kann sie an den KI-Dienst gehen; im Portal erscheint sie nicht, weil wir jede Meldung vor der Veröffentlichung prüfen und solche Meldungen nicht freigeben. In den übrigen Texten können Namen von Amtsträgern stehen, etwa wenn eine Pressemitteilung die Behördenleitung zitiert. Unsere Zusammenfassungen nennen keine Personen, und jede prüfen wir vor der Veröffentlichung. Rechtsgrundlage für die Verarbeitung solcher Namen ist Artikel 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, amtliche Veröffentlichungen für unsere Abonnenten auszuwerten. Die Namen stammen aus öffentlichen Mitteilungen der Behörden und betreffen die Personen in ihrer amtlichen Funktion. Sie einzeln zu benachrichtigen wäre unverhältnismäßig (Art. 14 Abs. 5 lit. b DSGVO); wir informieren deshalb an dieser Stelle. Textauszüge löschen wir 90 Tage nach der Bearbeitung; Titel und Adresse der Originalveröffentlichung bleiben im Archiv des Portals, solange wir den Dienst anbieten.

Speicherdauer:

• •Konto, Unternehmensprofil, Lese-Status und Merkliste: bis 30 Tage nach dem Ende Ihres Zugangs; auf Ihren Wunsch löschen wir das Konto sofort. Danach bleibt nur ein Eintrag ohne E-Mail-Adresse und ohne Bezeichnung des Kunden (Zeitpunkte, Sprache und technische Angaben wie Rolle und Verweis auf den Zugangscode), damit unsere Verwaltungsvorgänge nachvollziehbar bleiben
• •Bezeichnung eines Zugangscodes (Kunde oder Firma): mit der Löschung des Kontos; bei nie eingelösten oder widerrufenen Codes 12 Monate nach Ablauf der Einlösefrist
• •Registrierungen, bei denen die Zwei-Faktor-Anmeldung nicht fertig eingerichtet wurde: 24 Stunden
• •Sitzungen: Ende nach 12 Stunden ohne Aktivität, spätestens nach 14 Tagen; Anmeldeprotokoll: 90 Tage; Zähler gegen Passwort-Raten: höchstens rund einen Tag; Codes zum Zurücksetzen des Passworts: 7 Tage nach ihrem Ablauf
• •Verwaltungsprotokoll: 365 Tage
• •Sicherungskopien des Portals: tägliche Sicherungen 14 Tage, dazu eine verschlüsselte monatliche Kopie bei uns, von der wir höchstens die letzten drei aufbewahren. Gelöschte Daten können deshalb noch bis zu rund drei Monate in Sicherungen enthalten sein. Sicherungskopien unseres Hosting-Anbieters (Abschnitt 3) löscht dieser nach seinen Routinen
• •Bestell- und Abonnementdaten außerhalb des Portals: Dauer des Abonnements zuzüglich 12 Monaten nach seinem Ende; Rechnungsunterlagen mindestens 6 Jahre (Abschnitt 2.3)

Im Portal ändern Sie Passwort, Zwei-Faktor-Anmeldung, Wiederherstellungscodes, Unternehmensprofil, Sprache und Lesemodus selbst; dort sehen Sie auch Ihre Sitzungen und können andere Sitzungen beenden. Eine Kopie Ihrer Daten (Art. 15 und 20 DSGVO) oder die sofortige Löschung Ihres Kontos erhalten Sie auf Anfrage an legal@aegironcapital.com.

2.5 DACH Expansion Network (Partnervermittlung)

Im Rahmen unseres DACH Expansion Network vermitteln wir Kontakte zwischen unseren Kunden und geeigneten Drittanbietern (einschließlich Rechtsanwaltskanzleien, Steuerberatern, Personaldienstleistern und Banken). Dafür geben wir Kundenkontaktdaten an diese Partner weiter.

Kategorien der an Partner weitergegebenen Daten:

• •Kundenname und Firmenname
• •Geschäftliche E-Mail-Adresse
• •Spezifische Dienstleistungsanforderungen im Zusammenhang mit der Vermittlung

Wichtig: Kundendaten werden erst nach ausdrücklicher Einwilligung des Kunden für jede einzelne Vermittlung an Drittpartner weitergegeben. Kunden können ihre Einwilligung jederzeit widerrufen; danach werden keine weiteren Daten an diesen Partner weitergegeben.

2.6 Mandate: Due Diligence, Closing und Beratung

Im Rahmen unserer Mandate (Commercial Due Diligence, Go-to-Market und Closing-as-a-Service, Beratung, KI-Beratung und Softwareentwicklung) verarbeiten wir vertrauliche Geschäftsdaten. Diese können personenbezogene Daten enthalten, etwa in Unternehmens-, Vertriebs- und Compliance-Unterlagen – auch Daten von Personen, die nicht selbst unsere Vertragspartner sind (z. B. Beschäftigte oder Geschäftsleiter eines Zielunternehmens oder Ansprechpartner bei Zielkunden unserer Auftraggeber). In Go-to-Market- und Closing-Mandaten recherchieren wir außerdem geschäftliche Kontaktdaten von Ansprechpartnern bei Zielkunden aus den in Abschnitt 2.2 genannten Quellen, sprechen diese Personen für unseren Auftraggeber an und geben Kontaktdaten und Gesprächsstand an ihn weiter. Das Widerspruchsrecht aus Abschnitt 2.2 gilt auch hier; einen Widerspruch geben wir an den Auftraggeber weiter. Hat ein Auftraggeber seinen Sitz außerhalb des EWR, übermitteln wir diese Daten nur auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); auf Anfrage nennen wir Ihnen den Empfänger und die Garantie.

• •Vertrauliche Geschäftsdaten gemäß den Anforderungen des Mandats, bei Closing-Mandaten auch geschäftliche Kontaktdaten von Ansprechpartnern bei Zielkunden
• •Unterlagen und Daten aus einem Mandat verarbeiten wir ausschließlich für dieses Mandat; geschäftliche Kontakte, die dabei entstehen, führen wir als eigene Geschäftskontakte weiter (Abschnitt 2.2), soweit die Mandatsvereinbarung nichts anderes bestimmt
• •Strenge Vertraulichkeitsverpflichtungen gelten für alle beteiligten Mitarbeiter
• •Daten werden auf verschlüsselten, zugangsgesicherten Systemen gespeichert

2.7 DACH Market Entry Playbook

Beim Kauf unseres DACH Market Entry Playbooks (digitales Produkt) verarbeiten wir folgende personenbezogene Daten:

• •E-Mail-Adresse (aus Ihrer Bestellung) für die digitale Zustellung des Produkts und der im Kaufpreis enthaltenen Aktualisierungen (24 Monate ab Kaufdatum)
• •Firmenname, Anschrift und USt-IdNr. (Unternehmen außerhalb der EU: Handelsregister- oder Steuernummer) für die Rechnungsstellung und die Lizenzierung des Produkts an Ihr Unternehmen; Sie nennen uns diese Angaben mit Ihrer Bestellung. Die Gültigkeit der USt-IdNr. können wir über das Mehrwertsteuer-Informationsaustauschsystem der Europäischen Kommission (MIAS/VIES) prüfen
• •Zahlungsdaten: den Zahlungseingang zu unserer Rechnung (Kontoinhaber, Betrag, Datum, Verwendungszweck)

Beschwerderecht

Sie haben das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen. Die zuständige Behörde für die Aegiron Capital Group Ltd ist:

Sie können sich auch an die Aufsichtsbehörde an Ihrem Aufenthaltsort, an Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes wenden, zum Beispiel:

• •Deutschland: die Datenschutzaufsichtsbehörde des Bundeslandes, in dem Sie wohnen oder arbeiten
• •Österreich: Datenschutzbehörde (Österreichische DSB)
• •Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Für Einwohner der Schweiz

Soweit auf die Bearbeitung Ihrer Daten das Schweizer Bundesgesetz über den Datenschutz (DSG) anwendbar ist, gelten die Angaben dieser Datenschutzerklärung entsprechend. Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), bei dem Sie eine Anzeige erstatten können. Internationale Datenübermittlungen unter Beteiligung Schweizer Daten sichern wir, soweit erforderlich, durch an die Schweiz angepasste Standardvertragsklauseln ab.