Datenschutzerklärung

Welche Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, an wen sie übermittelt werden, wie lange und wie Sie Ihre Rechte ausüben, gemäß der DSGVO (Verordnung (EU) 2016/679) und dem spanischen Organgesetz 3/2018 über den Schutz personenbezogener Daten (LOPDGDD).

Dieser Text ist eine deutsche Übersetzung, die zu Ihrer Erleichterung bereitgestellt wird. Maßgeblich ist allein die spanische Fassung; bei Abweichungen geht sie vor.

Vorab: zwei verschiedene Rollen

Sourevo verarbeitet personenbezogene Daten in zwei Rollen, und es lohnt sich, sie zu unterscheiden, weil die Rechte gegenüber der jeweils zuständigen Stelle ausgeübt werden:

Als Verantwortlicher verarbeiten wir die Daten von Besuchern der Website, von Nutzerinnen und Nutzern der Kundenkonten und von Lieferanten, die im Portal ein eigenes Konto anlegen. Darum geht es in dieser Erklärung.
Als Auftragsverarbeiter verarbeiten wir die Daten, die jede Kundenorganisation (Importeur, Marktteilnehmer oder Spediteur) in ihren Bereich lädt oder dort nutzt: ihre Lieferanten, Parzellen und Nachweise, die Daten des Marktteilnehmers für TRACES NT und den Inhalt der Erklärungen, die sie einreicht. Verantwortlicher ist dort diese Organisation, und wir folgen nur ihren Weisungen gemäß dem Auftragsverarbeitungsvertrag.

Wenn ein Lieferant beschließt, eine Parzelle mit einem Kunden zu teilen, nutzt dieser Kunde sie für seine eigene Sorgfaltspflicht und ist für diese Nutzung selbst Verantwortlicher.

Wenn Sie Lieferant oder Erzeuger sind und ein Kunde von Sourevo Ihre Daten hochgeladen hat, ist dieser Kunde Ihr Ansprechpartner. Wenn Sie nicht wissen, welcher es ist, schreiben Sie uns, und wir helfen Ihnen, sich an ihn zu wenden.

1. Verantwortlicher

Verantwortlicher: Juan Cantón Rodríguez, Selbstständiger, tätig unter der Marke «Francodesystems».
NIF (spanische Steuernummer): 45492167F
Anschrift: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
E-Mail: juan.canton@sourevo.com

Wir haben keinen Datenschutzbeauftragten benannt, da die Tätigkeit nicht unter die Fälle von Art. 37 DSGVO und Art. 34 LOPDGDD fällt. Für alle Datenschutzfragen nutzen Sie bitte die angegebene E-Mail-Adresse.

2. Welche Daten wir als Verantwortlicher verarbeiten

Nutzerinnen und Nutzer der Kundenkonten: Name, E-Mail-Adresse, Passwort (nur als argon2id-Hash gespeichert, nie im Klartext), Organisation, der sie angehören (Firmenname und Steuer- oder USt-Identifikationsnummer), und ihre Rolle darin.
Lieferanten mit eigenem Konto im Portal: Name, E-Mail-Adresse, Passwort (nur Hash), bevorzugte Sprache, Bestätigung der E-Mail-Adresse, angegebene Steuer-Identifikation (Art, Nummer und Land), das Ergebnis ihrer Validierung und die daraus folgende Vertrauensstufe.
Daten, die der Lieferant in seinem Portal angibt: Daten des Lieferanten (Name, Land, E-Mail-Adresse, Telefon), seine Parzellen (Name, Land, Fläche und Geolokalisierung als Punkt oder Polygon), die beigefügten Nachweise und mit welchen Kunden er jede Parzelle teilen möchte. Die Geolokalisierung der Parzelle eines Kleinerzeugers kann ein personenbezogenes Datum sein.
Sicherheit und Nachvollziehbarkeit: Audit-Protokoll der Aktionen (was getan wurde, woran, wann und von welcher Art von Benutzer), Einmalcodes zur Bestätigung der E-Mail-Adresse oder zum Zurücksetzen des Passworts (wir speichern nur ihren Hash), die IP-Adresse, die für einige Minuten im Arbeitsspeicher verwendet wird, um Anmeldeversuche zu begrenzen (sie wird nicht in der Datenbank gespeichert), und die technischen Protokolle des Servers.
Support und Kontakt: was Sie uns per E-Mail oder WhatsApp mitteilen.

Wir fragen keine besonderen Kategorien personenbezogener Daten ab (Art. 9 DSGVO). Wir verwenden keine Analyse-, Werbe- oder Tracking-Dienste Dritter.

Woher die Daten stammen. Fast alle Daten geben Sie uns selbst. Es gibt drei Ausnahmen: Wenn der Administrator Ihrer Organisation Sie einlädt, gibt er uns Ihren Namen und Ihre E-Mail-Adresse; wenn ein Kunde Sie als Lieferanten einlädt, gibt er uns Ihren Namen und Ihre E-Mail-Adresse, um Ihnen die Einladung zu senden (dabei handeln wir als sein Auftragsverarbeiter), und das Ergebnis der Validierung Ihrer Steuer-Identifikation stammt aus dem abgefragten öffentlichen Register (VIES oder CNPJ).

3. Zwecke und Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage
Ihr Konto erstellen und führen, Sie identifizieren und den gebuchten oder angefragten Dienst erbringen	Kunden- oder Lieferantenkonto, Organisation	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie das Konto als Beschäftigte oder Beschäftigter eines Kundenunternehmens nutzen, das berechtigte Interesse an der Pflege der Beziehung zu diesem Unternehmen (Art. 6 Abs. 1 lit. f DSGVO und Art. 19 LOPDGDD)
Die von Ihnen als Lieferant angegebenen Parzellen den von Ihnen gewählten Kunden zur Verfügung stellen	Lieferantendaten, Parzellen, Nachweise	Erfüllung des Vertrags mit dem Lieferanten (Art. 6 Abs. 1 lit. b DSGVO)
Die Steuer-Identifikation des Lieferanten in öffentlichen Registern validieren und seine Vertrauensstufe berechnen	Steuer-Identifikation und Ergebnis der Validierung	Berechtigtes Interesse an der Verlässlichkeit der Informationen in der Lieferkette, das der Lieferant selbst mit ihrer Angabe verfolgt (Art. 6 Abs. 1 lit. f DSGVO)
E-Mails des Dienstes senden: Bestätigung, Einladungen, Zurücksetzen des Passworts, Kontohinweise	Name, E-Mail-Adresse, Sprache	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Sicherheit, Missbrauchsvermeidung und Audit-Protokoll	Audit- und technische Protokolle, IP im Arbeitsspeicher	Berechtigtes Interesse am Schutz des Dienstes und am Nachweis, wer welche Änderung vorgenommen hat (Art. 6 Abs. 1 lit. f DSGVO)
Gesetzliche Pflichten erfüllen: steuerliche und buchhalterische Pflichten, sobald Rechnungen gestellt werden, und Anfragen von Behörden beantworten	Rechnungsdaten und die jeweils angeforderten Daten	Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
Anfragen und Support bearbeiten	Was Sie uns mitteilen	Vertragserfüllung oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und, bei allgemeinen Anfragen, berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen (siehe Punkt 8). Derzeit versenden wir keine Newsletter oder Werbemitteilungen. Die Vertrauensstufe des Lieferanten ist ein Indikator auf Grundlage objektiver Prüfungen; sie ist keine automatisierte Entscheidung mit rechtlicher Wirkung Ihnen gegenüber (Art. 22 DSGVO): Die Entscheidung, mit einem Lieferanten zu arbeiten oder nicht, trifft jeder Kunde selbst.

Die in den Formularen als Pflichtfelder gekennzeichneten Daten sind für die Erbringung des Dienstes erforderlich; ohne sie können wir das Konto nicht erstellen oder den Vorgang nicht ausführen.

Die Vorbereitung, Übermittlung, Änderung oder Rücknahme von Erklärungen in TRACES NT erscheint nicht in dieser Tabelle, weil wir dies als Auftragsverarbeiter auf Weisung der Kundenorganisation tun: Zweck und Rechtsgrundlage legt diese fest.

4. An wen die Daten übermittelt werden

Europäische Kommission (TRACES NT): Wenn eine Kundenorganisation oder ihr bevollmächtigter Vertreter die Übermittlung einer DDS anweist, werden die Daten der Erklärung (Marktteilnehmer, Erzeugnisse, Mengen, Geolokalisierung der Parzellen und Referenzen) an das EUDR-Informationssystem gesendet, das die Europäische Kommission betreibt. Wir tun dies als Auftragsverarbeiter dieses Kunden. Von dort sind die Daten für die zuständigen Behörden der Mitgliedstaaten und für den Zoll zugänglich. Die Kommission verarbeitet sie gemäß ihren eigenen Datenschutzvorschriften (Verordnung (EU) 2018/1725).
Öffentliche Steuerregister: Um die Steuer-Identifikation eines Lieferanten zu validieren, fragen wir den VIES-Dienst der Europäischen Kommission (USt-Identifikationsnummern der EU) oder das öffentliche CNPJ-Register Brasiliens ab. Wir senden nur die Nummer und das Land.
Kunden von Sourevo: die Parzellen und Daten, die ein Lieferant mit einem bestimmten Kunden teilen möchte, und nur mit diesem. Dieser Kunde nutzt sie als Verantwortlicher für seine eigene Sorgfaltspflicht.
Dienstleister (Auftragsverarbeiter): die unter Punkt 5 genannten, mit einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Behörden und Gerichte, wenn ein Gesetz uns dazu verpflichtet.

Wir verkaufen keine Daten und geben sie nicht zu kommerziellen Zwecken weiter.

5. Anbieter, die uns bei der Erbringung des Dienstes unterstützen

Hetzner Online GmbH (Deutschland): Hosting des Servers, der sich in ihrem Rechenzentrum in Finnland (Europäische Union) befindet, mit Datenbank und Dateien. Die Bereitstellungsplattform (Coolify) betreiben wir selbst auf diesem Server; sie ist kein Dritter.
Resend, Inc. (Vereinigte Staaten): Versand der E-Mails des Dienstes. Erhält die Empfängeradresse, den Namen und den Inhalt der E-Mail und speichert sie in den Vereinigten Staaten.
Mollie B.V. (Niederlande): Kartenzahlungen und SEPA-Lastschriften. Erhält die Rechnungsdaten, den Namen des Kontoinhabers und die IBAN oder die Kartendaten, die wir nicht speichern. Für Zahlungsdaten ist Mollie zugleich Verantwortlicher nach seiner eigenen Datenschutzerklärung.
Holded Technologies S.L. (Spanien): Rechnungsprogramm. Erhält die Rechnungsdaten zahlender Kunden (Firmenname, Steuernummer, Anschrift und E-Mail) und die berechneten Beträge.
Google Cloud EMEA Limited (Irland), mit Google Workspace: das Postfach von juan.canton@sourevo.com. Erhält, was Sie uns per E-Mail schreiben.
Cloudflare, Inc. (Vereinigte Staaten): nur DNS-Auflösung der Domain sourevo.com. Der Datenverkehr der Website läuft nicht über Cloudflare (ohne Proxy), daher erhält Cloudflare weder den Inhalt Ihrer Besuche noch Ihre Daten.

Wenn Sie uns über WhatsApp schreiben, wird dieser Dienst von WhatsApp Ireland Limited nach eigenen Bedingungen und eigener Datenschutzerklärung erbracht. Nutzen Sie ihn nicht, um uns Daten Dritter zu senden; verwenden Sie dafür die E-Mail.

6. Internationale Datenübermittlungen

Die Daten des Dienstes werden in der Europäischen Union gehostet. Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums findet in folgenden Fällen statt:

Resend, Inc. (USA): gestützt auf die Standardvertragsklauseln der Europäischen Kommission in ihrem Auftragsverarbeitungsvertrag und zusätzlich auf den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (Data Privacy Framework), unter dem Resend zertifiziert ist.
Google (Workspace): Der Vertrag besteht mit einem irischen Unternehmen, Google kann Daten jedoch in anderen Ländern verarbeiten, auch in den USA. Diese Übermittlungen stützen sich auf die Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag und auf den EU-US-Datenschutzrahmen.
Cloudflare, Inc. (USA): beschränkt auf technische Daten der DNS-Auflösung, gestützt auf denselben Datenschutzrahmen und auf Standardvertragsklauseln.
CNPJ-Register Brasiliens: Es wird eine brasilianische Unternehmensidentifikationsnummer abgefragt, um die Identität zu validieren, die der Lieferant selbst angegeben hat.

Weitere Informationen zu diesen Garantien erhalten Sie unter juan.canton@sourevo.com.

7. Wie lange wir die Daten speichern

Konto: solange es aktiv ist. Nach der Kündigung werden die Daten gesperrt (Art. 32 LOPDGDD), solange Ansprüche geltend gemacht werden können (in der Regel 5 Jahre für vertragliche Ansprüche und bis zu 6 Jahre für Buchhaltungs- und Steuerunterlagen), und danach gelöscht.
Erklärungen (DDS) und von einem Kunden hochgeladene Daten: Wir speichern sie als Auftragsverarbeiter gemäß den Weisungen des Kunden und den Regelungen im Auftragsverarbeitungsvertrag. Standardmäßig wird das Erklärungsarchiv ab jeder Übermittlung 5 Jahre lang gesperrt aufbewahrt; das ist die Mindestfrist, die die EUDR dem Marktteilnehmer auferlegt.
Audit-Protokoll: solange das Datum existiert, auf das es sich bezieht, und höchstens 5 Jahre.
Einmalcodes: bis sie ablaufen oder verwendet werden.
IP zur Begrenzung von Anmeldeversuchen: nur im Arbeitsspeicher, während des Kontrollzeitfensters (Minuten).
Technische Protokolle des Servers: so lange, wie für Sicherheit und Fehlerbehebung unbedingt erforderlich, höchstens 30 Tage.
Testkonten ohne anschließende Buchung: werden innerhalb einer angemessenen Frist nach Ende der Testphase nach vorheriger Ankündigung gelöscht.
Support-Anfragen: für die Dauer der Anfrage und bis zu einem Jahr danach.

8. Ihre Rechte

Sie können Ihre Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, ausüben, indem Sie an juan.canton@sourevo.com schreiben. Einen Identitätsnachweis verlangen wir nur bei begründeten Zweifeln. Wir antworten innerhalb eines Monats; in komplexen Fällen kann sich diese Frist um zwei weitere Monate verlängern (wir würden Sie darüber informieren).

Wenn Sie der Ansicht sind, dass wir Ihr Anliegen nicht ordnungsgemäß bearbeitet haben, können Sie Beschwerde bei der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD) (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) oder bei der Aufsichtsbehörde des Landes einlegen, in dem Sie wohnen oder arbeiten.

Wenn ein Kunde von Sourevo Ihre Daten hochgeladen hat, wenden Sie sich an ihn; erreicht uns Ihr Anliegen, leiten wir es an ihn weiter.

9. Sicherheit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen: verschlüsselte Verbindungen (HTTPS), Passwörter mit argon2id-Hash, mit AES-256-GCM verschlüsselte TRACES-NT-Zugangsdaten, signierte Sitzungs-Cookies mit HttpOnly und Secure, Trennung der Daten jeder Organisation bei jeder Abfrage, vom Lieferanten gesteuerte Sichtbarkeit der Parzellen, ein nur erweiterbarer Erklärungsverlauf, Begrenzung der Anmeldeversuche und Zugriff nur im unbedingt erforderlichen Umfang. Außerdem verpflichten wir uns, Sicherungskopien der Datenbank innerhalb der Europäischen Union aufzubewahren.

Kein System ist unfehlbar. Erleiden wir eine Verletzung der Sicherheit, die Ihre Daten betrifft, melden wir sie in den Fällen und Fristen des Art. 33 DSGVO der AEPD und benachrichtigen Sie, wenn sie voraussichtlich ein hohes Risiko für Sie zur Folge hat (Art. 34 DSGVO).

10. Minderjährige

Sourevo ist ein professioneller Dienst und richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen; stellen wir fest, dass ein Konto für eine minderjährige Person erstellt wurde, löschen wir es.

11. Änderungen dieser Erklärung

Wenn wir diese Erklärung wesentlich ändern (zum Beispiel ein neuer Anbieter oder ein neuer Zweck), informieren wir Sie per E-Mail oder in der Anwendung, bevor die Änderung gilt. Das Datum der letzten Aktualisierung ist oben angegeben.