Anlage 1 – Beschreibung der Verarbeitung (Betroffene/Daten)
Stand: 01/2026
A) Art/Kategorie der Verarbeitungstätigkeiten
- Erfassen/Erheben
- Organisieren/Ordnen
- Speichern
- Auslesen/Abfragen
- Verwenden
- Übermitteln/offenlegen (nur auf Weisung des Auftraggebers, z. B. Versand/Schnittstellen)
- Löschen/Vernichten
B) Gegenstand und Zweck der Verarbeitung
Bereitstellung der SaaS-Anwendung „Vertriebskraftwerk“ zur digitalen Erhebung, Strukturierung, Dokumentation und Auswertung von Formularantworten sowie zur Administration, Sicherheit, Protokollierung und Support.
C) Kategorien betroffener Personen
- Interessent:innen / Kund:innen / Enduser des Auftraggebers
- Mitarbeitende / Vertreter:innen des Auftraggebers (Nutzerkonten)
D) Kategorien personenbezogener Daten (Standardumfang; abhängig von Formular-/Mandantenkonfiguration)
1) Enduser-/Formulardaten (vom Auftraggeber gestaltet)
- Stammdaten/Kontaktdaten (z. B. Name, E-Mail, Telefonnummer, Adresse – sofern vom Auftraggeber vorgesehen)
- Beratungs-/Bedarfsangaben (z. B. Ziele, Bedarf, Risikofragen, Freitextangaben, soweit abgefragt)
- Vertragsnahe Angaben (z. B. Bestandsinformationen, gewünschte Absicherungen)
Hinweis: Der Auftraggeber ist verpflichtet, die Erhebung auf das erforderliche Maß zu beschränken (Datenminimierung).
2) Finanz-/Einkommensdaten (vertrauliche Daten, keine Art. 9 Daten)
- Strukturierte Einkommensangaben (z. B. Brutto/Netto, variable Bestandteile, Beschäftigungsstatus)
- Optional: Nachweisdokumente (z. B. geschwärzte Gehaltsabrechnungen) nur soweit vom Auftraggeber erforderlich und mit Datenminimierung/Schwärzung nicht erforderlicher Angaben (z. B. Steuer-ID, IBAN, Hinweise auf Art.-9-Aspekte wie Kirchensteuer/Gewerkschaft).
3) Mandantendaten (Account/Vertrag)
- Nutzerkonto-/Login-Daten (Benutzerkennung, Rollen/Berechtigungen, ggf. 2FA-Informationen)
- Kontaktdaten, Vertrags- und Abrechnungsdaten
- Nutzungs-/Protokolldaten (z. B. Zeitstempel, IP-Adresse, Geräte-/Browserdaten, Event-Logs)
E) Besondere Kategorien (Art. 9 DSGVO) – ausgeschlossen
Besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO sind im Standardumfang ausgeschlossen und dürfen nicht verarbeitet werden.
Ausnahmen nur nach gesonderter schriftlicher Vereinbarung + DSFA (Art. 35 DSGVO) + Festlegung spezieller Rechtsgrundlage (Art. 9 Abs. 2 DSGVO) und zusätzlicher Schutzmaßnahmen.
