1. Verantwortlicher
eniyan GmbH
Hasenhügel 4, 48485 Neuenkirchen, Deutschland
Telefon: 0251 149827-00 · E-Mail: kontakt@eniyan.de
Vertreten durch die Geschäftsführer Holger Siemon und Dennis Hänsdieke
Amtsgericht Steinfurt, HRB 13226 · USt-IdNr. DE341360257
Für alle Fragen zum Datenschutz erreichst Du uns unter kontakt@eniyan.de.
2. Das Wichtigste vorab
Wir verarbeiten personenbezogene Daten nur, soweit es für unsere Websites und Anwendungen, unsere Verträge oder gesetzliche Pflichten erforderlich ist oder Du eingewilligt hast. Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Pflicht) und lit. f DSGVO (berechtigte Interessen).
Unsere Angebote richten sich an Unternehmen. Personen unter 16 Jahren sollen uns keine Daten übermitteln.
3. Besuch unserer Website www.eniyan.de
3.1 Hosting
Unsere Website wird bei Webflow, Inc. (San Francisco, USA) gehostet und über deren Auslieferungsnetz bereitgestellt. Dabei werden technische Daten verarbeitet, insbesondere Deine IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Das ist für den sicheren Betrieb erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer dieser Server-Protokolle legt Webflow fest. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
3.2 Programmbibliotheken und Schriften
Für Funktionen und Darstellung lädt Dein Browser beim Seitenaufruf Dateien von:
- Amazon CloudFront (Amazon Web Services) — Programmbibliothek jQuery, eingebunden von Webflow,
- Cloudflare Pages (Cloudflare, Inc.) — Filterfunktion für Listen (Finsweet CMS Filter).
Dabei wird Deine IP-Adresse an den jeweiligen Anbieter übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen und funktionsfähigen Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA ist dabei nicht ausgeschlossen.
Unsere Schriften und Symbole liefern wir zusammen mit der Website selbst aus. Dabei wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut.
3.3 Cookies und Einwilligung (Clickskeks)
Technisch notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 TDDDG). Alles Übrige setzen und laden wir nur nach Deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
Die Einwilligung verwalten wir mit Clickskeks der Papoo Software & Media GmbH, Auguststraße 4, 53229 Bonn. Gespeichert werden Deine Auswahl, eine Einwilligungskennung, der Zeitpunkt und technische Angaben, damit wir die Einwilligung nachweisen können. Deine Auswahl kannst Du jederzeit über das Cookie-Symbol auf unseren Seiten ändern oder widerrufen.
3.4 Google Analytics 4 (nur mit Einwilligung)
Mit Deiner Einwilligung werten wir die Nutzung unserer Website mit Google Analytics 4 (Google Ireland Limited) statistisch aus. Verarbeitet werden Nutzungsdaten, Geräte- und Browserangaben, eine gekürzte IP-Adresse und Kennungen in Cookies. Ohne Einwilligung bleibt die Messung über den „Consent Mode" von Google gesperrt.
Mit Deiner Einwilligung ist außerdem Google Signals eingeschaltet: Bist Du bei Google angemeldet und hast Du dort personalisierte Werbung erlaubt, verknüpft Google die Messdaten mit Deinem Google-Konto. Wir erhalten daraus nur zusammengefasste Berichte, etwa über die Nutzung auf verschiedenen Geräten, und sehen dabei keine einzelnen Personen. Unser Analytics-Konto ist mit unserem Google-Ads-Konto verknüpft, auch für personalisierte Werbung (3.5).
Die Messdaten bewahren wir in Google Analytics 14 Monate auf; danach löscht Google sie automatisch. Eine Übermittlung an Google LLC in den USA ist nicht ausgeschlossen; sie stützt sich auf das EU-US Data Privacy Framework.
Übergang — Abruf des Google-Tags: Die Programmdatei von Google Analytics lädt Dein Browser derzeit schon beim Seitenaufruf herunter, bevor Du im Einwilligungsfenster entschieden hast, weil er Dateien vorab abruft. Dabei erhält Google Deine IP-Adresse und technische Angaben zum Abruf. Ausgeführt wird die Datei erst nach Deiner Einwilligung; vorher setzt sie keine Cookies und sendet keine Messdaten. Rechtsgrundlage für den Abruf ist unser berechtigtes Interesse an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Wir stellen das so um, dass die Datei über unser Einwilligungswerkzeug (3.3) erst nach Deiner Einwilligung geladen wird; dann entfällt dieser Abruf.
3.5 Google Ads: Conversion-Messung und Remarketing (nur mit Einwilligung)
Mit Deiner Einwilligung nutzen wir Google Ads (Google Ireland Limited) einschließlich Display & Video 360, um den Erfolg unserer Anzeigen zu messen und Besuchern unserer Website später passende Anzeigen zu zeigen. Dafür werden Cookies und Kennungen gesetzt und Nutzungsdaten an Google übermittelt. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework.
Dabei sind die erweiterten Conversions von Google eingeschaltet (automatische Erfassung von Daten, die Nutzer selbst angeben): Gibst Du in ein Formular auf unserer Website Deine E-Mail-Adresse, Telefonnummer oder Anschrift ein, kann der Google-Tag diese Angaben in Deinem Browser in einen Hashwert umwandeln, eine nicht umkehrbare Prüfsumme, und an Google senden. Google gleicht sie mit Google-Konten ab, um Besuche und Anfragen unseren Anzeigen zuzuordnen. Das geschieht nur mit Deiner Einwilligung und gilt ebenso für Google Analytics (3.4).
3.6 Ahrefs Web Analytics (nur mit Einwilligung)
Mit Deiner Einwilligung messen wir die Reichweite unserer Website zusätzlich mit Ahrefs Web Analytics der Ahrefs Pte. Ltd. (Singapur). Verarbeitet werden Seitenaufrufe, Herkunftsseite sowie Geräte- und Browserangaben. Ohne Einwilligung wird das Skript nicht geladen. Für Singapur besteht kein Angemessenheitsbeschluss; die Übermittlung erfolgt auf Grundlage Deiner Einwilligung (Art. 49 Abs. 1 lit. a DSGVO).
3.7 Videos (YouTube, erst nach Klick)
Auf einzelnen Seiten zeigen wir Videos von YouTube (Google Ireland Limited). Solange Du ein Video nicht anklickst, wird keine Verbindung zu YouTube aufgebaut; Du siehst nur ein Vorschaubild von unserem eigenen Server. Erst mit Deinem Klick lädt Dein Browser das Video von YouTube und, soweit wir es über den Einbettungsdienst Embedly einbinden, auch von Embedly. Dabei werden Deine IP-Adresse und technische Daten übermittelt, beim Abspielen weitere Nutzungsdaten an Google. Rechtsgrundlage ist Deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung in die USA ist nicht ausgeschlossen; sie stützt sich auf das EU-US Data Privacy Framework.
3.8 Karten (Google Maps, nur mit Einwilligung)
Auf Veranstaltungsseiten zeigen wir mit Deiner Einwilligung Karten von Google Maps (Google Ireland Limited). Dabei werden Deine IP-Adresse und Nutzungsdaten an Google übermittelt.
3.9 Chat (Superchat, erst nach Klick)
Unser Chatfenster lädt erst, wenn Du den Chat-Knopf anklickst. Dann werden Deine Nachrichten und technischen Daten an Superchat der SuperX GmbH (Berlin) übermittelt und dort für die Bearbeitung Deiner Anfrage verarbeitet (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Die SuperX GmbH arbeitet für uns als Auftragsverarbeiter; einzelne ihrer Dienstleister sitzen in den USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
3.10 Terminbuchung
Für Beratungstermine nutzen wir Microsoft Bookings; Videoberatungen führen wir über Microsoft Teams (beide Microsoft Ireland Operations Ltd., Dublin). Bei der Buchung verarbeiten wir Name, E-Mail-Adresse, Telefonnummer (freiwillig), Termin und Deine Nachricht zur Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO). Eine Übermittlung in die USA ist nicht ausgeschlossen; sie stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
3.11 Meta-Pixel für Facebook- und Instagram-Anzeigen (nur mit Einwilligung)
Für unsere Anzeigen auf Facebook und Instagram setzen wir das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, ein, sobald wir es auf unserer Website eingebaut haben, und dann nur, wenn Du einwilligst. Das Pixel wird erst nach Deiner Einwilligung über unser Einwilligungswerkzeug (3.3) geladen; ohne Einwilligung baut Dein Browser keine Verbindung zu Meta auf.
Mit Deiner Einwilligung messen wir damit die Reichweite unserer Anzeigen und ob nach einer Anzeige eine Bestellung oder Anfrage folgt (Conversion-Messung), zeigen Besuchern unserer Website später passende Anzeigen, bilden Zielgruppen, auch ähnliche Zielgruppen, und optimieren unsere Anzeigen. Verarbeitet werden ein Cookie bzw. eine Browserkennung, Deine IP-Adresse, Geräte- und Browserangaben, die aufgerufenen Seiten und Ereignisse wie der Klick auf „Jetzt bestellen" oder das Abschicken eines Formulars. Bist Du bei Facebook oder Instagram angemeldet, kann Meta diese Daten Deinem Konto zuordnen. Wie lange Meta die Daten speichert, legt Meta fest; das Cookie _fbp bleibt bis zu 90 Tage gespeichert.
Den erweiterten Abgleich, bei dem Kontaktdaten aus Formularen in einen Hashwert umgewandelt und an Meta gesendet werden, und die Übermittlung von Ereignissen von unseren Servern an Meta (Conversions API) nutzen wir nicht. Ändern wir das, geschieht es nur mit Deiner gesonderten Einwilligung und nachdem wir diese Erklärung angepasst haben.
Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Die Einzelheiten regelt die Vereinbarung von Meta über die gemeinsame Verantwortlichkeit (Controller-Addendum, https://www.facebook.com/legal/controller_addendum). Deine Rechte kannst Du bei uns und bei Meta geltend machen. Für die weitere Verarbeitung nach der Übermittlung ist Meta allein verantwortlich; Einzelheiten stehen in der Datenschutzrichtlinie von Meta (https://www.facebook.com/privacy/policy).
Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über das Cookie-Symbol auf unseren Seiten widerrufen (3.3). Meta verarbeitet Daten auch bei der Meta Platforms, Inc. in den USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, nach dem Meta Platforms, Inc. zertifiziert ist, und auf Standardvertragsklauseln.
4. Kontaktaufnahme und Support
Wenn Du uns per Formular, E-Mail, Telefon, Chat oder Messenger kontaktierst, verarbeiten wir Deine Angaben, um Deine Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst lit. f).
- Formulare auf unserer Website nimmt Webflow entgegen und leitet sie an unser Postfach weiter. Zum Schutz vor automatisierten Eingaben kann dabei die Sicherheitsabfrage Cloudflare Turnstile (Cloudflare, Inc., USA) zum Einsatz kommen.
- E-Mail und Kalender betreiben wir mit Microsoft 365 (Microsoft Ireland Operations Ltd.).
- Messenger-Anfragen (zum Beispiel WhatsApp) bearbeiten wir über Superchat (SuperX GmbH, Berlin).
- Anfragen erfassen wir zur Bearbeitung in unserem eigenen, selbst betriebenen Kunden- und Vorgangssystem.
Erledigte Anfragen löschen wir nach 24 Monaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
5. Bestellung über bestellen.eniyan.de
5.1 Welche Daten
Die Angaben aus dem Bestellformular (Vor- und Nachname, Firma, Reisebüro-Kooperation, Umsatzsteuer-Identifikationsnummer, Anschrift, Land, Telefon, Mobilnummer, E-Mail-Adresse, Gutscheincode, Anmerkungen), die bestellten Leistungen und Beträge sowie Deine Bestätigungen mit Zeitpunkt und der bestätigten Fassung unserer Vertragsdokumente. Außerdem speichern wir zu jeder Bestellung eine gekürzte IP-Adresse und die Kennung Deines Browsers (User-Agent). Pflichtfelder sind gekennzeichnet; ohne sie können wir die Bestellung nicht bearbeiten.
Nach dem Absenden schicken wir Dir eine E-Mail mit einem Bestätigungslink. Der Link öffnet eine Seite mit einer Zusammenfassung Deiner Bestellung. Erst mit Deinem Klick auf die Schaltfläche „Jetzt verbindlich bestätigen" auf dieser Seite ist die Bestellung abgegeben; den Zeitpunkt dieses Klicks speichern wir als Nachweis. So stellen wir auch sicher, dass die E-Mail-Adresse Dir gehört und keine automatisierte Eingabe vorliegt. Dasselbe gilt für Buchungen im Kundenportal.
5.2 Wozu und auf welcher Grundlage
- Bearbeitung der Bestellung, Bestätigungsmail und Abschluss des Vertrages: Art. 6 Abs. 1 lit. b DSGVO.
- Schutz vor automatisierten und missbräuchlichen Bestellungen sowie Nachweis der Bestellung (gekürzte IP-Adresse, Browserkennung, Sicherheitsabfrage): Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Abwehr von Betrug und Bots und der Nachweis, wer wann bestellt hat.
- Abgleich mit unserem Kundenbestand anhand von E-Mail-Adresse, USt-IdNr. und Name, damit wir Bestellungen bestehenden Kunden richtig zuordnen: Art. 6 Abs. 1 lit. b und f DSGVO.
- Aufbewahrung nach Handels- und Steuerrecht: Art. 6 Abs. 1 lit. c DSGVO.
5.3 Sicherheitsabfrage (Cloudflare Turnstile)
Vor dem Absenden durchläuft jede Bestellung die Sicherheitsabfrage Turnstile der Cloudflare, Inc. (USA). Dabei verarbeitet Cloudflare Deine IP-Adresse und technische Merkmale Deines Browsers, um automatisierte Bestellungen zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework.
5.4 Hosting und E-Mails
Die Bestellstrecke läuft auf unseren eigenen Systemen in Rechenzentren der Hetzner Online GmbH (Gunzenhausen) in der EU. Eingangsbestätigung und Auftragsbestätigung versenden wir über Mailjet SAS (Paris, Frankreich). Über jede neue Bestellung benachrichtigen wir unser Team intern über Microsoft Teams (Microsoft Ireland Operations Ltd.). Auf der Bestellstrecke setzen wir keine Analyse- oder Werbewerkzeuge ein.
5.5 Wie lange
Nicht bestätigte Bestellungen (kein Klick auf „Jetzt verbindlich bestätigen", solange der Bestätigungslink gilt) löschen wir nach sieben Tagen vollständig. Angenommene Bestellungen bewahren wir als Vertragsunterlagen nach den handels- und steuerrechtlichen Fristen auf (6 bzw. 10 Jahre). Nicht angenommene, abgelehnte, verworfene oder zurückgezogene Bestellungen löschen wir nach sechs Monaten; dabei entfernen wir auch Name, E-Mail-Adresse und Anschrift aus unseren internen Notizen zu dieser Bestellung. Gekürzte IP-Adresse und Browserkennung löschen wir bei jeder Bestellung nach sechs Monaten.
5.6 Übergang: Bestellungen über das bisherige Website-Formular
Solange auf www.eniyan.de noch das bisherige Bestellformular erreichbar ist, werden Bestellungen von dort über den Automatisierungsdienst Zapier (Zapier, Inc., USA) verarbeitet: Die Angaben werden in einer Tabelle bei Google (Google Sheets) abgelegt, über Mailjet bestätigt, als Vorgang in Jira (Atlassian) angelegt und an unser Team in Microsoft Teams gemeldet (Art. 6 Abs. 1 lit. b DSGVO). Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
6. Unser Kundenportal app.eniyan.de
6.1 Welche Daten
- Konto: E-Mail-Adresse, Name, Sprache, Status, Zuordnung zu Deinem Büro bzw. Deiner Firma und Deine Rolle.
- Anmeldung: Passwort nur als Hashwert; Geheimnis der Zwei-Faktor-Anmeldung und Wiederherstellungscodes verschlüsselt; per E-Mail versandte Codes nur als Hashwert.
- Sitzungen: Sitzungskennung, Ablaufzeitpunkt, IP-Adresse und Browserkennung.
- Einladung und Passwort-Links: nur als Hashwert, mit Ablaufzeitpunkt (Einladung 14 Tage, Passwort-Link 24 Stunden).
- Protokoll: Änderungen und sicherheitsrelevante Vorgänge mit Zeitpunkt, handelnder Person und Wert vorher/nachher — ohne IP-Adresse.
- Fehlversuche: Nach fünf Fehlversuchen sperren wir die Kombination aus E-Mail-Adresse und IP-Adresse für 15 Minuten; der Zähler verfällt danach von selbst.
6.2 Wozu und auf welcher Grundlage
Bereitstellung des Portals, Anmeldung und Zuordnung zu Deinem Büro (Art. 6 Abs. 1 lit. b DSGVO gegenüber unserem Kunden, im Übrigen lit. f) · Sicherheit des Zugangs (Art. 6 Abs. 1 lit. c i. V. m. Art. 32 DSGVO, hilfsweise lit. f) · Protokollierung zur Nachvollziehbarkeit und Missbrauchsabwehr (lit. f) · E-Mails rund um das Konto (lit. b bzw. f; keine Werbung).
Die Inhalte, die Dein Büro im Portal pflegt, verarbeiten wir im Auftrag Deines Arbeitgebers bzw. Auftraggebers nach dem Vertrag zur Auftragsverarbeitung.
6.3 Wer Zugriff hat
Die Beschäftigten der eniyan GmbH, die Dein Büro betreuen, sowie Verwaltung und technischer Betrieb. Zur Fehlersuche und Qualitätsprüfung können sie die Ansicht Deines Büros lesend öffnen; jede solche Einsicht wird protokolliert. Das Protokoll ist nur für unsere Beschäftigten einsehbar.
6.4 Wie lange
Dein Konto besteht, solange Dein Büro Kunde ist und Du dazugehörst. Nach Vertragsende oder wenn Dein Büro Deinen Zugang entfernt, deaktivieren wir das Konto und löschen es spätestens nach drei Monaten. Sitzungsdaten löschen wir 90 Tage nach Ablauf der Sitzung, abgelaufene Einladungen und Passwort-Links ebenfalls nach 90 Tagen. Protokolleinträge bewahren wir zum Nachweis bis zu drei Jahre auf.
6.5 Fotos in „Meine Fotos"
Zu jedem Foto, das im Kundenportal hochgeladen wird, speichern wir einen Nachweis: wer es hochgeladen hat (Konto, Name und Rolle zu diesem Zeitpunkt), wann, welche Fassung der Rechte-Bestätigung dabei bestätigt wurde, ob auf dem Foto Personen erkennbar sind und, wenn jemand anderes das Foto gemacht hat, den Namen des Fotografen. Ebenso speichern wir, wann und von wem ein Foto zurückgezogen oder gesperrt wurde. Eine IP-Adresse speichern wir dafür nicht. Orts- und Kameradaten im Foto entfernen wir beim Hochladen.
Fotos und Nachweis verarbeiten wir im Auftrag Deines Büros nach dem Vertrag zur Auftragsverarbeitung (6.2); verantwortlich ist das Büro. Das gilt auch, wenn Du als Mitarbeiter eigene Fotos oder Fotos eines anderen Fotografen hochlädst: Deine Bestätigung beim Hochladen gibst Du Deinem Büro gegenüber ab. Bist Du der Fotograf eines solchen Fotos oder auf einem Foto zu sehen, ist das Büro Dein Ansprechpartner. Wendest Du Dich an uns, leiten wir Deine Anfrage an das Büro weiter.
Fotos, auf denen Personen erkennbar sind, bearbeiten wir nie mit KI und geben sie an keinen KI-Dienst weiter. Fehlt die Angabe, ob Personen erkennbar sind, behandeln wir das Foto so, als wären sie es.
Den Nachweis bewahren wir auf, solange das Foto oder ein Beitrag damit besteht, und danach noch drei Jahre, damit das Büro die Rechte an seinen Beiträgen belegen kann. Endet der Vertrag des Büros mit uns, gelten Rückgabe und Löschung nach dem Vertrag zur Auftragsverarbeitung.
6.6 Auswertung der Nutzung (Kundenportal und SPLASH Studio)
Wenn Du das Kundenportal unter app.eniyan.de nutzt, insbesondere das SPLASH Studio und AirCounter, werten wir aus, welche Funktionen genutzt werden, zum Beispiel: Studio geöffnet, Beitrag erzeugt, bearbeitet oder umgeschrieben, Bild hochgeladen, Beitrag heruntergeladen oder eingeplant, AirCounter geöffnet, eine Frage an AirCounter gestellt. Wir tun das, um unsere Angebote zu verbessern, die Einführung bei unseren Kunden zu begleiten und zu erkennen, an welcher Stelle die Nutzung abbricht.
Dafür speichern wir zu jeder dieser Aktionen die Art der Aktion, den Zeitpunkt, Dein Büro, das gebuchte Paket Deines Büros, eine pseudonyme Kennung statt Deines Namens und eine pseudonyme Kennung Deiner Anmeldesitzung, außerdem wenige feste Merkmale der Aktion (zum Beispiel „Anlass: Angebot“, „Kanal: Instagram“ oder die Dauer in Millisekunden). Die pseudonymen Kennungen bilden wir mit einem geheimen Schlüssel aus Deiner Konto- bzw. Sitzungskennung. Wir speichern keine Inhalte, also keine Texte Deiner Beiträge, keine Fragen an AirCounter und keine Dateinamen, außerdem keine IP-Adresse und keine Geräteangaben. Wir setzen dafür keine Cookies und keine Analyse-Werkzeuge anderer Anbieter ein und speichern nichts zusätzlich auf Deinem Gerät; die Auswertung entsteht ausschließlich auf unseren eigenen Servern aus den Anfragen, die Du für die jeweilige Funktion ohnehin an uns sendest.
Die pseudonymen Kennungen bilden wir alle 90 Tage neu; ältere Kennungen lassen sich danach auch von uns nicht mehr Dir zuordnen. Die Einzeldaten löschen wir nach 90 Tagen. Dauerhaft behalten wir nur Tageszahlen (wie oft eine Aktion vorkam und bei wie vielen Büros), ohne Bezug zu Dir oder Deinem Büro.
Auswertungen sehen bei uns nur die Geschäftsführung und wenige berechtigte Personen. Für die Betreuung unserer Kunden sehen wir dabei auch, wie Dein Büro die Funktionen nutzt, zum Beispiel wie oft es welche Funktion genutzt hat, wann es zuletzt aktiv war und bis zu welchem Schritt es gekommen ist. Einzelne Personen zeigen die Auswertungen nicht; wie viele Personen etwas genutzt haben, zeigen sie erst ab fünf Büros. Wir machen keine Auswertung je Person; hat Dein Büro nur ein Konto, lässt sich die Auswertung Deines Büros aber Dir zuordnen. Wir nutzen die Auswertungen nicht, um zu beurteilen, wie einzelne Personen arbeiten, und geben Deinem Büro keine Auswertung über Dich.
Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).
Du kannst jederzeit widersprechen (Art. 21 DSGVO): im Kundenportal unter „Mein Konto“ mit dem Schalter „Nutzung auswerten“ oder per Nachricht an uns. Danach erfassen wir für Dich nichts mehr und löschen die Einzeldaten, die Dir noch zugeordnet werden können. Auch Dein Büro kann für alle seine Nutzer widersprechen; dann erfassen wir für das ganze Büro nichts mehr und löschen dessen Einzeldaten.
7. Vertragsabwicklung, Rechnung und Zahlung
Kommt ein Vertrag zustande, verarbeiten wir Deine Daten zur Durchführung des Vertrages (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung steuer- und handelsrechtlicher Pflichten (lit. c). Dafür setzen wir ein:
- Haufe-Lexware GmbH & Co. KG (lexoffice/Lexware Office, Freiburg) — Rechnungsstellung und Buchhaltung,
- SEPAHeld — Verbindung zwischen lexoffice und unserem Zahlungsdienstleister,
- GoCardless SAS (Paris, Frankreich) — Einzug per SEPA-Lastschrift sowie Erteilung und Verwaltung des Mandats.
Das Lastschriftmandat erteilst Du unmittelbar bei GoCardless; Deine Kontodaten liegen dort und nicht bei uns.
8. Leistungen für unsere Kunden
Erbringen wir Leistungen für Dein Unternehmen, verarbeiten wir dabei auch Daten, die Ihr uns überlasst. Soweit wir das in Eurem Auftrag tun, gilt der Vertrag zur Auftragsverarbeitung; dort stehen auch die eingesetzten Unterauftragnehmer, darunter die KI-Dienste, mit denen wir Inhalte erstellen, und die technischen Dienstleister von eniyanWAVE. Fotos, auf denen Personen erkennbar sind, geben wir an keinen dieser KI-Dienste weiter (6.5).
Beiträge, die wir für Euch in sozialen Netzwerken veröffentlichen, insbesondere im Google Business Profile, planen und veröffentlichen wir über SocialPilot der SocialPilot Technologies, Inc. (Delaware, USA). SocialPilot verarbeitet dafür Beitragstexte und Bilder sowie die Verknüpfungen mit den Profilen und Konten Eurer Büros, als Unterauftragnehmer nach dem Vertrag zur Auftragsverarbeitung. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln der EU-Kommission. Nach seinem Auftragsverarbeitungsvertrag kann SocialPilot die Daten auch in weiteren Ländern verarbeiten, in denen der Anbieter oder seine Dienstleister tätig sind.
Bei Partnerprodukten und Zusatzmodulen anderer Anbieter (zum Beispiel Superchat als eigenes Produkt oder das CRM-Zusatzmodul mit Numbirds) schließt Dein Unternehmen den Vertrag unmittelbar mit dem Anbieter. Was Ihr dort speichert, verarbeitet der Anbieter für Euch nach seinen eigenen Datenschutzhinweisen, nicht in unserem Auftrag.
9. Newsletter, Kundeninformationen und Werbe-Mails
9.1 Newsletter mit Anmeldung
Meldest Du Dich über ein Anmeldeformular für unseren Newsletter an, schicken wir Dir zuerst eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst nach Deiner Bestätigung bekommst Du den Newsletter (Art. 6 Abs. 1 lit. a DSGVO). Als Nachweis speichern wir Deine E-Mail-Adresse und die Zeitpunkte von Anmeldung und Bestätigung. Diesen Weg gibt es nur dort, wo wir ein Anmeldeformular anbieten. Unsere übrigen Verteiler beruhen nicht auf einer solchen Anmeldung, sondern auf 9.2 oder 9.3.
9.2 Informationen für Kunden ohne gesonderte Anmeldung
Hast Du bei uns als Kunde Leistungen bestellt, schicken wir Dir an die dabei angegebene E-Mail-Adresse auch ohne gesonderte Anmeldung Informationen zu eigenen ähnlichen Leistungen (§ 7 Abs. 3 UWG). Rechtsgrundlage ist unser berechtigtes Interesse an der Werbung gegenüber unseren Kunden (Art. 6 Abs. 1 lit. f DSGVO). Bei Bestellungen über unsere Bestellstrecke weisen wir Dich schon bei der Erhebung Deiner Adresse auf Dein Widerspruchsrecht hin; jede dieser E-Mails enthält einen Link zum Abmelden.
9.3 Werbe-Mails an Reisebüros, die noch nicht unsere Kunden sind
Wir schreiben auch Reisebüros per E-Mail an, die noch nicht unsere Kunden sind und sich nicht bei uns angemeldet haben, um ihnen unsere Leistungen vorzustellen und sie zu Veranstaltungen wie Webinaren einzuladen.
- Welche Daten: Name und Anrede der Ansprechperson, geschäftliche E-Mail-Adresse, Name und Ort des Büros, soweit bekannt die Zugehörigkeit zu einer Reisebüro-Kooperation, dazu die Messdaten nach 9.4.
- Woher wir sie haben: aus vielen verschiedenen Quellen, insbesondere aus persönlichen Begegnungen auf Messen und Veranstaltungen (etwa der ITB), aus Visitenkarten, die uns überreicht wurden, aus Listen und Hinweisen von Reisebüro-Kooperationen und Partnern, mit denen wir zusammenarbeiten, sowie aus öffentlich zugänglichen Quellen wie Websites und Impressen der Reisebüros oder Branchenverzeichnissen. Möchtest Du wissen, woher wir Deine Adresse haben, schreib uns; wir nennen Dir die Quelle, soweit wir sie kennen.
- Rechtsgrundlage: unser berechtigtes Interesse, Reisebüros auf unsere Leistungen für Reisebüros aufmerksam zu machen (Art. 6 Abs. 1 lit. f DSGVO).
- Wie lange: bis Du widersprichst oder wir den Verteiler auflösen; danach bleibt nur der Sperrvermerk nach 9.5.
Dieser Verwendung kannst Du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), über den Link in jeder dieser E-Mails oder mit einer E-Mail an kontakt@eniyan.de.
9.4 Öffnungs- und Klickmessung
In allen E-Mails nach 9.1 bis 9.3 messen wir, ob eine E-Mail geöffnet und welche Links darin angeklickt wurden. Dafür enthalten die E-Mails ein kleines, unsichtbares Bild, und alle Links laufen über einen Server des Versanddienstes, bei rapidmail über die Adresse emailsys1a.net. Beim Laden des Bildes und beim Klick verarbeitet der Versanddienst Deine IP-Adresse. Die Ergebnisse sind Deiner E-Mail-Adresse zugeordnet, mit Zeitpunkt, Art des Endgeräts und ungefährem Ort. Wir nutzen sie, um unsere Inhalte zu verbessern und an den Interessen unserer Leser auszurichten. Rechtsgrundlage ist bei 9.1 Deine Einwilligung bei der Anmeldung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), bei 9.2 und 9.3 unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Meldest Du Dich ab oder widersprichst Du, messen wir ab dann nichts mehr. Bereits erfasste Messdaten löscht der Versanddienst automatisch drei Jahre nach dem Versand der jeweiligen E-Mail. Die Öffnungsmessung kannst Du auch verhindern, indem Dein E-Mail-Programm Bilder nicht automatisch lädt.
9.5 Versanddienste, Abbestellen und Widerspruch
Für den Versand nutzen wir rapidmail der Positive Group Deutschland GmbH (Freiburg); die Adresse emailsys1a.net gehört zu diesem Dienst. Künftig versenden wir diese E-Mails aus unseren eigenen Systemen über Mailjet der Mailjet SAS (Paris), über die wir schon unsere System- und Bestellmails versenden (5.4). Während des Wechsels können beide Dienste nebeneinander im Einsatz sein. Bei Mailjet läuft die Messung nach 9.4 ebenso; die Links laufen dann über Server von Mailjet oder über eine eigene Adresse von eniyan, und die Messdaten löschen wir auch dort spätestens nach drei Jahren. Beide Dienste arbeiten für uns als Auftragsverarbeiter.
Abbestellen bzw. widersprechen kannst Du jederzeit — über den Link in jeder E-Mail oder mit einer E-Mail an kontakt@eniyan.de, ohne dass Dir dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Damit endet auch die Messung nach 9.4. Danach erhältst Du keine E-Mails nach 9.1 bis 9.3 mehr; Deine Adresse behalten wir nur mit einem Sperrvermerk, damit das so bleibt.
10. Bewerbungen
Bewerbungen nehmen wir per E-Mail entgegen und verarbeiten sie für das Bewerbungsverfahren (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO). Zugriff haben nur die am Verfahren beteiligten Personen. Kommt keine Anstellung zustande, löschen wir die Unterlagen sechs Monate nach Abschluss des Verfahrens.
11. Unsere Profile in sozialen Netzwerken
Wir unterhalten Profile bei LinkedIn, Instagram, Facebook, YouTube und X. Für Statistiken zu unseren Seiten (zum Beispiel Facebook- und Instagram-Seiten-Insights) sind wir gemeinsam mit dem jeweiligen Anbieter verantwortlich; im Übrigen verarbeitet der Anbieter Deine Daten in eigener Verantwortung nach seinen Datenschutzhinweisen. Rechtsgrundlage für unseren Auftritt ist Art. 6 Abs. 1 lit. f DSGVO. Deine Rechte kannst Du auch direkt beim Anbieter geltend machen.
12. Empfänger im Überblick
Behörden erhalten Daten nur, soweit wir gesetzlich dazu verpflichtet sind.
13. Übermittlung in Drittländer
Übermittlungen in Länder außerhalb der EU bzw. des EWR, insbesondere in die USA, stützen sich auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework), auf Standardvertragsklauseln der EU-Kommission oder auf Deine Einwilligung. Bei SocialPilot (Abschnitt 8) sind es Standardvertragsklauseln, bei Meta (3.11) das EU-US Data Privacy Framework und Standardvertragsklauseln.
14. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen (insbesondere 6 Jahre nach § 257 HGB und 10 Jahre nach § 147 AO). Die Protokolle unserer eigenen Server mit IP-Adressen löschen wir nach 7 Tagen. Konkrete Fristen stehen bei den einzelnen Abschnitten.
15. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Deine Daten auf Grundlage berechtigter Interessen, kannst Du aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit widersprechen. Gegen Direktwerbung kannst Du jederzeit ohne Angabe von Gründen widersprechen.
Schreib uns dafür an kontakt@eniyan.de.
Du kannst Dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
16. Änderungen
Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.
Fassung 1.5 vom 16.10.2026 · eniyan GmbH