Datenschutzerklärung für das Kundenportal

1. Verantwortlicher und Rollen

Verantwortlicher für den Betrieb und die eigenen Verwaltungsdaten dieses Portals ist Manuel Börgers, MBA Media, Am Tabakquartier 62, 28197 Bremen, Telefon +49 176 822 340 74, E-Mail info@mba-media.de.

Für Lead- und Interessentendaten entscheidet grundsätzlich der jeweils im Portal bezeichnete MBA-Media-Kunde über Zweck und Mittel der Verarbeitung. MBA Media verarbeitet diese Daten im Rahmen der vereinbarten Leistungen als Auftragsverarbeiter. Die konkrete Rollenverteilung und Weisungen werden im Vertrag beziehungsweise Auftragsverarbeitungsvertrag festgelegt.

2. Verarbeitete Daten

Verarbeitet werden Kontodaten wie Name, Login-E-Mail, Rollen- und Mandantenzuordnung sowie technische Sitzungs-, Sicherheits- und Protokolldaten. Bei Leads können insbesondere Name, E-Mail-Adresse, Telefonnummer, Ort, gewünschte Leistung, Kampagne, Formularantworten, Notizen, Status, Quelle und Zeitstempel gespeichert werden. Integrationen speichern Konfigurationen, pseudonyme Schlüsselprüfwerte und verschlüsselte Zugangsdaten.

3. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Bereitstellung des Kundenportals, der Zuordnung und Bearbeitung von Anfragen, dem Import aus freigegebenen Quellen, der Zugriffskontrolle, Fehlererkennung, Nachvollziehbarkeit und Vertragserfüllung. Für die eigenen Vertrags- und Kontodaten stützt sich MBA Media insbesondere auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Rechtsgrundlage für Lead-Daten bestimmt der jeweilige verantwortliche Kunde, etwa Einwilligung, Vertragsanbahnung oder ein berechtigtes Interesse.

4. Herkunft der Lead-Daten und Integrationen

Lead-Daten können manuell erfasst oder über vom Administrator beziehungsweise Kunden eingerichtete Quellen importiert werden. Dazu zählen insbesondere Meta Lead Ads, Websites, Landingpages, Funnels und andere Systeme, die über einen API- oder Webhook-Zugang verbunden werden. Welche Formularantworten übernommen werden, richtet sich nach der jeweiligen Kampagne und Feldzuordnung. Nicht zugeordnete Antworten können als zusätzliche Angaben oder Notizen gespeichert werden.

5. Empfänger, Hosting und Versanddienste

Das Portal und seine Datenbank werden über Cloudflare-Dienste bereitgestellt. Dabei können Verbindungs-, Konto-, Sicherheits- und Anwendungsdaten verarbeitet werden. E-Mails zum Zurücksetzen eines Passworts werden über den STRATO-Webspace und das Postfach crm@mba-media.de versendet. Bei aktivierten Integrationen können Daten außerdem an den vom Administrator ausgewählten Anbieter übermittelt oder von dort abgerufen werden, beispielsweise Meta Platforms Ireland Limited. Lead-Daten werden innerhalb des Portals ausschließlich dem zugeordneten Kunden und berechtigten MBA-Media-Administratoren angezeigt.

Soweit eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfindet, erfolgt sie nur unter Beachtung der gesetzlichen Voraussetzungen, etwa auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien.

6. Cookies und Sitzungen

LeadFlow verwendet ausschließlich technisch erforderliche Cookies für Anmeldung und Zugriffskontrolle. Das Login-Cookie wird als HttpOnly- und SameSite-Cookie sowie bei HTTPS mit der Secure-Eigenschaft gesetzt. Ohne „Angemeldet bleiben“ läuft die Sitzung nach zwölf Stunden ab, andernfalls spätestens nach 30 Tagen. Beim Abmelden wird die aktuelle Sitzung serverseitig beendet und das Cookie gelöscht. Analyse-, Marketing- oder Werbe-Cookies werden im Kundenportal nicht eingesetzt.

7. Protokoll- und Sicherheitsdaten

Beim Aufruf können technisch erforderliche Angaben wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserinformationen und Antwortstatus verarbeitet werden. Zusätzlich protokolliert das Portal sicherheits- und verwaltungsrelevante Aktionen, etwa Anmeldungen, Änderungen an Leads, Konten und Integrationen. Die Verarbeitung dient dem sicheren Betrieb, der Fehleranalyse und der Nachvollziehbarkeit.

7a. Freiwillige Push-Benachrichtigungen

Push-Meldungen werden nur nach Aktivierung auf dem jeweiligen Gerät und Freigabe im Browser versendet. Dabei werden die technische Push-Adresse und Geräteschlüssel verschlüsselt gespeichert und einer Anmeldung sowie einem Kundenbereich zugeordnet. Je nach Browser erfolgt die Zustellung über Google FCM, Mozilla Push, Apple Web Push oder Microsoft WNS. Diese Dienste erhalten technisch notwendige Verbindungs- und Zustelldaten; der Nachrichteninhalt wird nach dem Web-Push-Standard verschlüsselt übertragen. Die Meldung enthält keine Kunden- oder Lead-Namen, Kontaktdaten oder Formularantworten, sondern nur einen allgemeinen Hinweis auf einen neuen Lead oder eine angeforderte Testmeldung. Beim Antippen bleibt die CRM-Anmeldung erforderlich. Die Funktion lässt sich jederzeit unter „Benachrichtigungen“ für das Gerät deaktivieren. Bei Abmeldung wird die Gerätezuordnung entfernt; nach Sitzungsablauf werden keine neuen Meldungen mehr versendet. Bereits vom Push-Dienst angenommene Meldungen können noch zugestellt werden.

8. Speicherdauer und Löschung

Lead-Daten werden nach der für den jeweiligen Kunden im Administrationsbereich festgelegten Frist behandelt. Gelöschte Leads gelangen zunächst für die konfigurierte Frist in einen Wiederherstellungsbereich und werden danach endgültig entfernt. Konten, Protokolle und Sicherungen werden nur so lange aufbewahrt, wie dies für Vertrag, Sicherheit, Nachweis oder gesetzliche Pflichten erforderlich ist. Details stehen im Lösch- und Aufbewahrungskonzept.

9. Sicherheit

Zum Schutz der Daten werden Mandantentrennung, rollenbasierte Zugriffe, verschlüsselte Übertragung, gehashte Passwörter und API-Token, verschlüsselte Integrationsgeheimnisse, Ratenbegrenzungen, Sicherheitsheader, Protokollierung und regelmäßige Sicherungen eingesetzt.

10. Rechte betroffener Personen

Betroffene Personen haben im gesetzlichen Umfang Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung mit Wirkung für die Zukunft zu widerrufen. Anfragen zu Lead-Daten sind vorrangig an den im jeweiligen Formular oder Angebot genannten verantwortlichen Kunden zu richten. Beschwerden können bei einer zuständigen Datenschutzaufsichtsbehörde eingereicht werden.

11. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Kontodaten sind für die Bereitstellung eines Portalzugangs erforderlich. Welche Lead-Daten für eine Anfrage benötigt werden, bestimmt der jeweilige verantwortliche Kunde im vorgeschalteten Formular. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung findet im Kundenportal nicht statt.

12. Änderungen und Kontakt

Diese Erklärung wird angepasst, wenn sich Funktionen, Empfänger oder die Rechtslage ändern. Fragen zum Datenschutz können an info@mba-media.de gerichtet werden. Rechtliche Angaben finden sich im Impressum.