Datenschutzerklärung

Verantwortlicher

Michael Engwicht Grasewegskamp 5, 31188 Holle Telefon: +49 175 96 58 110 E-Mail: info@michael-engwicht.de

Teil A — Wenn du diese Website besuchst

Was diese Website nicht tut

Der Vollständigkeit halber zuerst, was hier nicht passiert:

• Keine Cookies. Diese Website setzt keine.
• Keine Reichweitenmessung, keine Analyse, kein Tracking. Ich weiß nicht, wer wie lange auf welcher Seite war.
• Keine externen Schriften. Die verwendeten Schriften liegen auf dem Server dieser Website. Es wird keine Verbindung zu Google aufgebaut.
• Keine Werbenetzwerke, keine Social-Media-Bausteine, keine Karten-Einbindung.

Deshalb gibt es hier auch keinen Einwilligungsbanner. Es gibt nichts einzuwilligen.

Server-Logdateien

Beim Aufruf dieser Website übermittelt dein Browser technisch notwendige Angaben an den Server. Der Anbieter des Hostings speichert sie in Protokolldateien:

• IP-Adresse
• Datum und Uhrzeit des Abrufs
• aufgerufene Seite
• übertragene Datenmenge
• Browsertyp und Betriebssystem
• die zuvor besuchte Seite, sofern der Browser sie mitsendet

Zweck: Betrieb und Sicherheit der Website — etwa das Erkennen von Angriffsversuchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Speicherdauer: Die Server-Logdateien werden bei IONOS acht Wochen aufbewahrt und danach automatisch gelöscht.

Auftragsverarbeiter: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Die Server stehen in Deutschland. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht; er ist Bestandteil der Allgemeinen Geschäftsbedingungen.

Terminbuchung

Für die Terminbuchung nutze ich Acuity Scheduling. Anbieter für Kunden in Europa ist die Squarespace Ireland Limited, Le Pole House, Ship Street Great, Dublin 8, Irland. Konzernmutter ist die Squarespace, Inc. mit Sitz in den USA — dorthin gelangen die Daten ebenfalls.

Der Kalender wird nicht automatisch geladen. Auf den Terminseiten siehst du zunächst nur einen Hinweis und eine Schaltfläche. Erst wenn du sie anklickst, wird der Kalender eingebunden und eine Verbindung zu Acuity hergestellt. Bis dahin fließen keine Daten dorthin.

Beim Laden und beim Buchen werden übermittelt:

• IP-Adresse und technische Angaben deines Geräts
• die von dir eingegebenen Daten: Name, E-Mail-Adresse, Telefonnummer
• die gewählte Terminart und der Inhalt der Formularfelder

Zweck: Vereinbarung und Verwaltung von Terminen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie deine Einwilligung in das Laden des Kalenders nach Art. 6 Abs. 1 lit. a DSGVO.

Übermittlung in die USA: Squarespace, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Zertifizierung ist aktiv und umfasst die hier betroffenen Daten. Damit besteht eine Übermittlungsgrundlage nach Art. 45 DSGVO. Ergänzend stützt Squarespace die Übermittlung auf die Standardvertragsklauseln der EU-Kommission. Den Eintrag im Data Privacy Framework findest du unter dataprivacyframework.gov, die Angaben von Squarespace zur DSGVO unter support.squarespace.com. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen.

Speicherdauer bei Acuity: Termindaten werden dort nicht automatisch gelöscht. Der Grund ist ein praktischer: Die Angaben aus dem Buchungsformular liegen vollständig nur in Acuity vor, während in meiner Kundenverwaltung nur ein Auszug ankommt. Ich behalte sie, um Vorgänge später nachvollziehen zu können. Rechtsgrundlage ist mein berechtigtes Interesse an der Nachvollziehbarkeit meiner Vorgänge (Art. 6 Abs. 1 lit. f DSGVO) — keine gesetzliche Aufbewahrungspflicht.

Daraus folgt für dich: Du kannst dieser Speicherung nach Art. 21 DSGVO widersprechen und ihre Löschung verlangen. Ich prüfe dann im Einzelfall, ob dem etwas entgegensteht, und antworte dir begründet.

Bitte gib im Freitextfeld der Terminbuchung keine Gesundheitsangaben ein. Sie werden dort nicht benötigt. Alles Medizinische besprechen wir im Termin selbst.

Wenn du mich anschreibst oder anrufst

Schreibst du eine E-Mail oder rufst an, verarbeite ich die dabei anfallenden Daten, um deine Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen und vorvertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis dein Anliegen erledigt ist, danach nach den gesetzlichen Aufbewahrungsfristen.

Schick mir keine Gesundheitsdaten per E-Mail. Eine gewöhnliche E-Mail ist zwar üblicherweise auf dem Transportweg verschlüsselt, aber nicht Ende-zu-Ende — auf den beteiligten Servern liegt sie lesbar. Für solche Angaben nenne ich dir einen gesicherten Weg.

Verschlüsselte Übertragung

Diese Website wird ausschließlich verschlüsselt ausgeliefert (SSL/TLS). Du erkennst das am https:// in der Adresszeile und am Schlosssymbol des Browsers. Wer die Seite über http:// aufruft, wird automatisch auf die verschlüsselte Fassung geleitet. Solange diese Verschlüsselung aktiv ist, können Dritte die übertragenen Daten nicht mitlesen.

Widerspruch gegen Werbe-E-Mails

Der Nutzung der im Impressum veröffentlichten Kontaktdaten zur Übersendung nicht ausdrücklich angeforderter Werbung wird hiermit widersprochen. Ich behalte mir ausdrücklich rechtliche Schritte vor, falls mir unverlangt Werbung zugesandt wird.

Teil B — Wenn ich dich berate

Welche Daten ich verarbeite

• Stammdaten: Name, Anschrift, Geburtsdatum, Kontaktdaten
• Vertrags- und Vermögensdaten: bestehende Verträge, Einkommen, berufliche Situation
• Gesundheitsdaten: Diagnosen, Behandlungen, Arztberichte, Befunde — überall dort, wo eine Risikoprüfung stattfindet

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und genießen besonderen Schutz. Ich verarbeite sie nur, soweit sie für die Beratung und die Antragstellung erforderlich sind.

Woher die Daten stammen

In der Regel von dir selbst. Daneben können sie stammen:

• von Ärzten und Kliniken, wenn du uns Unterlagen zuleitest oder eine Auskunft veranlasst hast
• von Versicherungsunternehmen im Rahmen von Anfragen und Anträgen
• von Vertriebspartnern, wenn ein anderer Vermittler dich an mich verwiesen hat

Wozu und auf welcher Grundlage

Die Einwilligung in die Verarbeitung von Gesundheitsdaten ist freiwillig und jederzeit widerrufbar. Ohne sie ist eine Risikoprüfung allerdings nicht möglich — und damit keine Vermittlung einer Kranken- oder Berufsunfähigkeitsversicherung.

Gemeinsam mit der tecis verantwortlich

Ich bin selbstständiger Vertriebspartner der tecis Finanzdienstleistungen AG, Alter Teichweg 17, 22081 Hamburg. Für die Beratung und die Vermittlung von Verträgen sind die tecis und ich gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

Was das für dich bedeutet:

• Deine Daten erreichen die tecis erst, wenn ein Konzept für dich erstellt wird — nicht schon beim Erstgespräch. Bis dahin liegen sie ausschließlich bei mir.
• Grundlage ist deine Einwilligung, die du gesondert erteilst (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO für Gesundheitsangaben). Du kannst sie jederzeit für die Zukunft widerrufen.
• Wer welche Pflichten aus der DSGVO übernimmt, ist zwischen der tecis und ihren Vertriebspartnern vertraglich geregelt. Die wesentlichen Inhalte dieser Vereinbarung sind veröffentlicht unter tecis.de/gemeinsame-verantwortung.html.
• Welche weiteren Empfänger die tecis einsetzt, steht unter tecis.de/datenempfaenger.html und in der Vertragspartnerinformation, die du von mir erhältst.
• Deine Rechte kannst du bei mir oder bei der tecis geltend machen. Datenschutzanfragen an die tecis: Datenschutz@tecis.de.

Die Dienste, die ich darüber hinaus in meiner eigenen Arbeit einsetze, stehen im nächsten Abschnitt. Für sie bin ich allein verantwortlich.

Wer die Daten erhält

Versicherungsunternehmen und Produktanbieter, soweit das für Anfrage, Angebot oder Antrag erforderlich ist. Bei anonymen Risikovoranfragen wird dein Name nicht übermittelt.

Daneben setze ich technische Dienstleister ein. Sie handeln als Auftragsverarbeiter nach Art. 28 DSGVO auf meine Weisung.

Daneben nutze ich Programme, die ausschließlich auf meinen Geräten laufen und keine Kundendaten an ihre Anbieter übertragen — darunter PDF Expert von Readdle und Chatmate zum Lesen von WhatsApp-Nachrichten am Rechner. Diese Anbieter sind keine Auftragsverarbeiter. Die iCloud-Synchronisierung ist abgeschaltet; Kundenunterlagen und Kontakte werden nicht zu Apple übertragen.

Video- und Telefonberatung

Beratungsgespräche führe ich auf Wunsch auch als Video- oder Telefonkonferenz. Dabei verarbeiten der jeweilige Anbieter und ich:

• die Angaben, mit denen du am Gespräch teilnimmst — E-Mail-Adresse oder Telefonnummer
• Beginn, Ende und Dauer der Teilnahme sowie die Zahl der Teilnehmer
• technische Angaben, die die Verbindung braucht: IP-Adresse, Gerätetyp, Betriebssystem, Art der Verbindung
• alles, was im Gespräch geteilt wird, etwa Dateien oder Chatnachrichten

Zweck und Rechtsgrundlage: Das Gespräch dient der Beratung und der Anbahnung oder Durchführung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO). Daneben vereinfacht es die Verständigung, wenn ein persönliches Treffen nicht möglich ist (Art. 6 Abs. 1 lit. f DSGVO). Werden dabei Gesundheitsangaben besprochen, gilt zusätzlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Auf die Speicherdauer beim Anbieter habe ich keinen Einfluss. Was ich selbst aus einem Gespräch festhalte, richtet sich nach den Fristen weiter unten.

Ich setze diese beiden Werkzeuge ein:

• Microsoft Teams, angeboten von der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Ein Auftragsverarbeitungsvertrag liegt vor. Microsoft ist unter dem EU-U.S. Data Privacy Framework gelistet (Eintrag). Einzelheiten in der Datenschutzerklärung von Microsoft.
• Zoom, angeboten von der Zoom Communications, Inc., 55 Almaden Boulevard, 6th Floor, San Jose, CA 95113, USA. Ein Auftragsverarbeitungsvertrag liegt vor. Die Übermittlung in die USA stützt Zoom auf die Standardvertragsklauseln der EU-Kommission; das Unternehmen ist zudem unter dem EU-U.S. Data Privacy Framework gelistet (Eintrag). Einzelheiten in der Datenschutzerklärung von Zoom.

Ablage von Unterlagen in OneDrive

Unterlagen aus der Beratung lege ich teilweise in OneDrive ab, dem Speicherdienst der Microsoft Ireland Operations Limited. Es handelt sich um dieselbe Geschäftsumgebung wie bei Word, Excel und Teams; der Speicherort meines Kontos ist Deutschland, einzelne Dienste liegen im Raum EU/EFTA.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Gesundheitsangaben zusätzlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ein Auftragsverarbeitungsvertrag besteht über den Datenschutznachtrag von Microsoft.

Auf dieser Website gibt es keinen Uploadbereich. Du lädst hier nichts hoch, und beim Besuch der Seite wird keine Verbindung zu OneDrive aufgebaut.

Kommunikation über WhatsApp

Auf Wunsch kommuniziere ich mit dir auch über WhatsApp. Anbieter ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, ein Unternehmen der Meta-Gruppe. Ich nutze die Variante WhatsApp Business. Für das Lesen und Beantworten am Rechner nutze ich die Anwendung Chatmate — sie zeigt die Nachrichten dort an, erhält sie aber nicht selbst.

Von meiner Seite gehen über diesen Kanal keine Gesundheitsangaben und keine Unterlagen hinaus. WhatsApp nutze ich für Terminabsprachen, Rückfragen und Organisatorisches.

Was du dazu wissen solltest:

• Die Inhalte von WhatsApp-Nachrichten sind Ende-zu-Ende-verschlüsselt.
• Die Verbindungsdaten sind es nicht. Meta erfährt, wer wann und wie häufig mit mir schreibt. Bei einer Beratung, in der es um Gesundheit geht, ist bereits diese Information nicht belanglos.
• WhatsApp ist auf meinem Telefon mit Zugriff auf das Adressbuch eingerichtet. Dort gespeicherte Rufnummern werden dadurch an Meta übermittelt, auch ohne dass je eine Nachricht geschrieben wurde.
• WhatsApp teilt nach eigener Aussage Daten mit der US-Konzernmutter Meta. Die Übermittlung in die USA stützt WhatsApp auf die Standardvertragsklauseln der EU-Kommission; das Unternehmen ist zudem unter dem EU-U.S. Data Privacy Framework gelistet (Eintrag).
• Für WhatsApp Business besteht ein Auftragsverarbeitungsvertrag. Er regelt, was der Anbieter mit den Daten tun darf — an den Verbindungsdaten und am Adressbuchzugriff ändert er nichts. Das ist der Grund für die Bitte, die jetzt kommt.

Bitte schick mir über WhatsApp keine Gesundheitsangaben und keine Dokumente.

Es kommt regelmäßig vor, dass Kunden das dennoch tun — verständlich, weil es der bequemste Weg ist. Für Befunde, Arztberichte und alles Medizinische nutzen wir aber einen gesicherten Weg, den ich dir nenne.

Was passiert, wenn du es trotzdem tust: Eine bereits gesendete Nachricht lässt sich nicht ungeschehen machen — auch von mir nicht. Was für die Beratung gebraucht wird, überführe ich in den gesicherten Vorgang. Für alles, was im Chatverlauf verbleibt, gelten die Bedingungen von WhatsApp, nicht meine.

Deshalb steht die Bitte oben so deutlich da: Bei diesem Kanal ist der beste Schutz, ihn für Sensibles gar nicht erst zu benutzen.

Übermittlung in Drittländer

Kanada — Marketcircle Inc. (Daylite). Die aktiven Daten liegen in Toronto, die verschlüsselten Sicherungskopien in einem Rechenzentrum in Deutschland. Marketcircle unterliegt PIPEDA und fällt damit unter den Angemessenheitsbeschluss der EU-Kommission für Kanada; die Übermittlung ist nach Art. 45 DSGVO zulässig.

USA — Squarespace, Inc. (Acuity Scheduling), zertifiziert unter dem EU-U.S. Data Privacy Framework, Art. 45 DSGVO.

Irland und Deutschland — Microsoft Ireland Operations Ltd. (Word, Excel, OneDrive, Teams). Der Speicherort meines Geschäftskontos ist Deutschland; einzelne Dienste liegen im Raum EU/EFTA. Grundlage ist der Datenschutznachtrag von Microsoft. Microsoft ist zusätzlich unter dem EU-U.S. Data Privacy Framework gelistet.

USA — Zoom Communications, Inc. (Video- und Telefonberatung). Die Übermittlung beruht auf den Standardvertragsklauseln der EU-Kommission, das Unternehmen ist zusätzlich unter dem EU-U.S. Data Privacy Framework gelistet.

Irland und USA — WhatsApp Ireland Ltd. (Meta). Die Übermittlung beruht auf den Standardvertragsklauseln der EU-Kommission, das Unternehmen ist zusätzlich unter dem EU-U.S. Data Privacy Framework gelistet. Siehe eigener Abschnitt oben.

Apple erscheint hier nicht mehr: Die genutzten Geräte stammen von Apple, Kundenunterlagen werden aber nicht in die iCloud übertragen.

Wie ich die Daten schütze

Daylite ist ein Programm auf meinen Geräten, kein reiner Onlinedienst. Eine vollständige Kopie der Kundendaten liegt deshalb auch örtlich auf Mac, iPhone und iPad. Der Schutz dieser Geräte ist damit keine Nebensache, sondern die wichtigste technische Maßnahme überhaupt — deshalb steht hier, was konkret gilt:

• Alle Geräte sind vollständig verschlüsselt. Ohne Entsperrung sind die Daten darauf nicht lesbar, auch bei Verlust oder Diebstahl nicht.
• Jedes Gerät ist mit einem Kennwort von mindestens sieben Stellen gesichert, numerisch oder alphanumerisch.
• Beides ist verbindliche Vorgabe meines Vertriebspartners, der tecis Finanzdienstleistungen AG, und gilt ausnahmslos für jedes Gerät, auf dem ich arbeite.
• Die Übertragung zu und von allen genannten Diensten erfolgt verschlüsselt.

Das sind technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO.

Wie lange ich die Daten aufbewahre

Wo in dieser Erklärung keine genauere Frist steht, gilt: Deine Daten bleiben bei mir, bis der Zweck der Verarbeitung entfällt. Verlangst du die Löschung oder widerrufst du eine Einwilligung, lösche ich sie — es sei denn, eine gesetzliche Aufbewahrungspflicht steht entgegen. Dann wird nach deren Ablauf gelöscht.

Solange es für die Beratung und Betreuung erforderlich ist, danach nach den gesetzlichen Aufbewahrungsfristen — im Wesentlichen den handels- und steuerrechtlichen Fristen von sechs beziehungsweise zehn Jahren sowie den Nachweispflichten aus der Versicherungsvermittlung.

Für Vertrags- und Beratungsunterlagen gelten die Aufbewahrungs- und Löschfristen, die zwischen mir und der tecis vereinbart sind: Gelöscht wird unter Berücksichtigung der Nachweis- und Aufbewahrungsfristen, sobald die Daten für Beratung, Vermittlung und Betreuung nicht mehr erforderlich sind.

Deine Rechte

Du hast das Recht,

• Auskunft darüber zu verlangen, welche Daten ich über dich verarbeite (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO),
• Löschung zu verlangen, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO),
• die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO),
• deine Daten in einem übertragbaren Format zu erhalten (Art. 20 DSGVO),
• der Verarbeitung zu widersprechen, soweit sie auf berechtigten Interessen beruht (Art. 21 DSGVO),
• und eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt für die Zukunft.

Wende dich dafür einfach an info@michael-engwicht.de.

Widerspruch nach Art. 21 DSGVO

Verarbeite ich Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung jederzeit widersprechen — aus Gründen, die sich aus deiner besonderen Situation ergeben. Das gilt auch für ein darauf gestütztes Profiling. Nach einem Widerspruch verarbeite ich die betroffenen Daten nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient dazu, Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen (Art. 21 Abs. 1 DSGVO).

Werden deine Daten für Direktwerbung verarbeitet, kannst du dem jederzeit widersprechen, ohne Begründung. Danach werden sie für diesen Zweck nicht mehr verwendet (Art. 21 Abs. 2 DSGVO).

Worauf eine Verarbeitung jeweils beruht, steht bei dem betreffenden Abschnitt. Auf dieser Website betrifft der Widerspruch vor allem die Server-Logdateien und die Aufbewahrung der Termindaten bei Acuity.

Wann du die Verarbeitung einschränken lassen kannst

Das Recht auf Einschränkung nach Art. 18 DSGVO besteht in vier Fällen:

• Du bestreitest die Richtigkeit deiner Daten — dann ruht die Verarbeitung, bis das geprüft ist.
• Die Verarbeitung war unrechtmäßig, und du verlangst statt der Löschung die Einschränkung.
• Ich brauche die Daten nicht mehr, du aber, um Rechtsansprüche geltend zu machen oder abzuwehren.
• Du hast nach Art. 21 DSGVO widersprochen, und die Abwägung zwischen deinen und meinen Interessen läuft noch.

Eingeschränkte Daten werden — abgesehen von ihrer Speicherung — nur noch mit deiner Einwilligung verarbeitet, oder um Rechtsansprüche zu verfolgen, die Rechte anderer zu schützen oder aus Gründen eines wichtigen öffentlichen Interesses.

Beschwerderecht

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für mich zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen Prinzenstraße 5, 30159 Hannover www.lfd.niedersachsen.de

Stand

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert.