Globale Datenschutzerklärung für Netzwerk und Plattform

Private Community® und KI-Plattform „Combine®“

1. ALLGEMEINER RAHMEN UND VERANTWORTLICHKEIT (ART. 13 UND 14 DSGVO)

Diese Datenschutzerklärung beschreibt, wie die personenbezogenen Daten von Nutzern, angeschlossenen Unternehmen, Mitgliedern und Besuchern („Nutzer“ oder „Mitglieder“) innerhalb des weltweiten Franchisenetzwerks „Private Community®“, der damit verbundenen Websites und mobilen Anwendungen sowie der zugehörigen Plattform für künstliche Intelligenz „Combine®“ (die „Dienste“) erhoben, verwendet, weitergegeben und geschützt werden.

A. Weltweit Verantwortlicher

Powered Community Worldwide Pte Ltd mit Sitz in 22 Sin Ming Lane, #04-82 Midview City, Singapore 573969, Unternehmensidentifikationsnummer (UEN - Unique Entity Number) 202537854Z, ist Inhaberin der exklusiven weltweiten Masterlizenz für die kommerzielle Nutzung und Verwaltung des Franchisesystems und der Plattform Combine® (deren Marken und geistige Eigentumsrechte den jeweiligen Gründern und Lizenzgebern zustehen) - Kontakt-E-Mail für Datenschutz/Recht: privacy@privatecommunity.net

B. Operative Auftragsverarbeiter (lokale Master-Franchisenehmer und regionale Partner)

Für den operativen Betrieb des Netzwerks in den einzelnen Gebieten, die Koordinierung der Leistungsverteilung, die landesspezifische Buchhaltung, das Onboarding und die operative Betreuung der Mitglieder setzt Powered Community Worldwide Pte Ltd (PCW) folgende Stellen ein:

• Lokale Master-Franchisenehmer: unabhängige Rechtsträger, die das Netzwerk in ihrem jeweiligen Staatsgebiet verwalten und im Auftrag von PCW als Auftragsverarbeiter gemäß Artikel 28 DSGVO tätig sind.

• Partner: einzelne Betriebsstätten und lokale Partner des Netzwerks Private Community®, die als Auftragsverarbeiter gemäß Artikel 28 DSGVO bestellt und mit der Aufnahme von Mitgliedern, der lokalen Betreuung, dem direkten Kontakt und der Erbringung lokaler Leistungen für die Mitglieder ihres Gebiets betraut sind.

Transparenzhinweis: Die Firmennamen, Steuerangaben und Datenschutz-Kontaktadressen des zuständigen lokalen Master-Franchisenehmers und der im Land des Nutzers tätigen Partner sind im Webportal abrufbar oder können beim Verantwortlichen angefordert werden.

C. Technischer Unterauftragsverarbeiter und Betreiber der KI-Infrastruktur

Entwicklung, Wartung, Cybersicherheit, Systemadministration und Serververwaltung der KI-Plattform Combine® werden ausschließlich Delfisoft S.r.l. („Delfisoft“) mit Sitz in Agliè (TO), Italien, übertragen. Delfisoft ist als externer Unterauftragsverarbeiter tätig und an besondere vertragliche Weisungen gebunden (Auftragsverarbeitungsvertrag - DPA gemäß Artikel 28 DSGVO).

2. KATEGORIEN ERHOBENER PERSONENBEZOGENER DATEN

Abhängig von den Interaktionen des Nutzers mit den Diensten werden folgende Datenkategorien verarbeitet:

1. Identifikations- und Kontaktdaten: Vorname, Nachname, Firmenname, berufliche Funktion, E-Mail-Adresse, Telefonnummer, Zugangsdaten (Benutzername und Passwort) und Profilbild.

2. Transaktions- und Rechnungsdaten: Daten zur Mitgliedschaft im Netzwerk, Mitgliedsbeiträge, Abonnements, Zahlungshistorie sowie Steuer- und Rechnungsdaten. Je nach der im betreffenden Land oder durch den zuständigen regionalen Partner vorgesehenen Zahlungsart:

Online-/Kartenzahlungen: Diese werden unmittelbar von zugelassenen Zahlungsdienstleistern (Payment Service Providers - PSP) abgewickelt, die im betreffenden Land tätig sind; die Plattform und das Netzwerk speichern keine vollständigen Zahlungskartendaten.

Banküberweisungen und direkte B2B-Zahlungen: Bankdaten werden von Powered und/oder den für Buchhaltung, Zahlungseinzug und Rechnungsstellung zuständigen Auftragsverarbeitern verarbeitet.

3. Technologie- und Nutzungsdaten (Protokolldateien): IP-Adressen, Gerätekennungen, Browsertyp, Betriebssystem, besuchte Seiten, Zugriffszeiten, Absturzdiagnosen und Netzwerkleistung.

4. In die KI-Plattform „Combine®“ eingegebene Daten (Prompts und Eingabedaten): Texte, Dateien, Dokumente, Unternehmensdaten, Prompts oder Fragen, die der Nutzer zur Entwicklung von Unternehmensstrategien in das KI-System eingibt (Elevate to Admiration®-Methode).

5. Besondere Kategorien personenbezogener Daten (sensible Daten gemäß Artikel 9 DSGVO): Die Nutzung der regulären Dienste erfordert keine Angabe sensibler Daten (z. B. Gesundheitsdaten, politische Meinungen oder religiöse Überzeugungen). Entscheidet sich der Nutzer freiwillig, solche Daten in die Plattform oder das KI-System einzugeben, werden sie nur auf Grundlage einer gesonderten ausdrücklichen Einwilligung verarbeitet.

3. ZWECKE UND RECHTSGRUNDLAGEN DER VERARBEITUNG

Die Verarbeitung personenbezogener Daten beruht auf den folgenden Rechtsgrundlagen (Artikel 6 und 9 DSGVO):

4. REGELUNGEN FÜR DIE KÜNSTLICHE INTELLIGENZ „COMBINE®“

Für die Nutzung von Modulen auf Grundlage künstlicher Intelligenz („KI“) gilt:

1. Nutzung von Prompts und Personalisierung des Dienstes (dediziertes Fine-Tuning): Die vom Nutzer hochgeladenen personenbezogenen Daten, vertraulichen Informationen, Texte und Dateien („Prompt/Input“) werden von Combine® ausschließlich verarbeitet und genutzt, um den Dienst bereitzustellen und die Antworten und Funktionen der Plattform an die besonderen Bedürfnisse des jeweiligen Nutzers oder der Organisation anzupassen bzw. darauf zu trainieren. Diese Verarbeitung ist zur Erfüllung des Vertrags und zur Bereitstellung der vom Nutzer angeforderten erweiterten Funktionen des Dienstes erforderlich (Artikel 6 Absatz 1 Buchstabe b DSGVO).

2. Kein Training allgemeiner oder fremder Modelle: Personenbezogene Daten und vertrauliche Informationen, die ein einzelner Nutzer eingibt, werden unter keinen Umständen verwendet, verkauft oder an Dritte weitergegeben, um allgemeine, öffentliche oder im Eigentum Dritter stehende KI-Modelle zu trainieren oder nachzutrainieren (Training/Fine-Tuning), oder um den Nutzer zugunsten anderer Mitglieder oder plattformfremder Personen zu profilieren. Die eingegebenen Daten bleiben in der Umgebung des Nutzers/Unternehmens, das sie bereitgestellt hat, getrennt und vertraulich.

3. Keine ausschließlich automatisierte Entscheidungsfindung: Die Plattform Combine® stellt Instrumente zur strategischen Unterstützung bereit. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für den Nutzer werden nicht ausschließlich auf Grundlage einer automatisierten KI-Verarbeitung ohne menschliches Eingreifen getroffen (gemäß Artikel 22 DSGVO).

5. MITTEILUNG, OFFENLEGUNG UND INTERNATIONALE DATENÜBERMITTLUNG

Für Zwecke im Zusammenhang mit der Erfüllung des Franchisevertrags, der Bereitstellung der Plattform Combine® und der Verwaltung des weltweiten Netzwerks können personenbezogene Daten der Nutzer sowohl innerhalb als auch außerhalb der Europäischen Union an bestimmte Empfänger übermittelt werden.

5.1 Anbieter technologischer Dienste und Cloud-Anbieter (Auftragsverarbeiter/Unterauftragsverarbeiter): Delfisoft S.r.l. (für Entwicklung, technische Verwaltung und Wartung der Plattform Combine®) sowie führende Drittanbieter internationaler Cloud-Server- und Datenbankinfrastruktur (beispielsweise Microsoft Ireland Research / Microsoft Corporation - Azure oder gleichwertige Anbieter), die Hosting- und Datenspeicherdienste bereitstellen.

5.2 Kategorien von Empfängern

Personenbezogene Daten können weitergegeben werden an:

• Konzerngesellschaften, Master-Franchisenehmer und lokale Partner: Zur Verwaltung regionaler Einheiten, zur Organisation von B2B-Veranstaltungen und zur Veröffentlichung von Unternehmensprofilen im Verzeichnis für Mitglieder des Netzwerks.

• Anbieter von Technologie- und Systemdiensten (Auftragsverarbeiter/Unterauftragsverarbeiter): Darunter Delfisoft S.r.l. (für Entwicklung, technische Verwaltung, Support und Wartung der Server der Plattform Combine®) sowie Drittanbieter von Cloud-Hosting, Serverinfrastruktur, Cybersicherheitsdiensten und E-Mail-Versandplattformen.

• Behörden und Aufsichtsstellen: Soweit dies gesetzlich vorgeschrieben oder zur Erfüllung steuerlicher und buchhalterischer Pflichten durch die lokalen Betriebseinheiten erforderlich ist.

5.3 Übermittlungen in Drittländer und Weiterübermittlungen (Kapitel V DSGVO)

Da der weltweit Verantwortliche, Powered Community Worldwide Pte Ltd, seinen Sitz in Singapur hat und als Muttergesellschaft eines weltweiten Franchisesystems tätig ist, werden personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR) in Drittländer außerhalb der Europäischen Union übermittelt. Gemäß Kapitel V DSGVO (Artikel 44 bis 50) erfolgen sämtliche direkten Datenübermittlungen aus der EU nach Singapur sowie etwaige Weiterübermittlungen durch Powered Community Worldwide Pte Ltd an Master-Franchisenehmer, Partner oder externe Technologieanbieter in weiteren Nicht-EU-Ländern auf Grundlage einer der folgenden Garantien:

1. Standardvertragsklauseln (SCC): Anwendung der von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 genehmigten SCC-Module (einschließlich der besonderen Module für Weiterübermittlungen von einem Verantwortlichen/Auftragsverarbeiter außerhalb der EU an einen anderen Verantwortlichen/Auftragsverarbeiter außerhalb der EU), durch die ausländische Empfänger zur Einhaltung derselben Datenschutzstandards wie nach der DSGVO verpflichtet werden.

2. Angemessenheitsbeschlüsse: Übermittlungen in Drittländer, für die die Europäische Kommission offiziell ein angemessenes Schutzniveau für personenbezogene Daten gemäß Artikel 45 DSGVO festgestellt hat.

3. EU-U.S. Data Privacy Framework (DPF): Beschränkt auf Übermittlungen an bzw. die Nutzung von Cloud-/IT-Dienstleistern mit Sitz in den Vereinigten Staaten von Amerika, die ordnungsgemäß in der Liste der nach dem DPF zertifizierten Organisationen eingetragen und aktiv sind.

Der Nutzer kann jederzeit eine Kopie der für die Datenübermittlung getroffenen vertraglichen Garantien anfordern, indem er sich an folgende Adresse wendet: privacy@privatecommunity.net.

6. SICHERHEIT DER VERARBEITUNG, RESILIENZ UND BETRIEBSKONTINUITÄT

6.1 Grundlegende technische und organisatorische Maßnahmen

Gemäß Artikel 32 DSGVO treffen der Verantwortliche (Powered Community Worldwide Pte Ltd) und der technische Unterauftragsverarbeiter (Delfisoft S.r.l.) geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten und personenbezogene Daten und vertrauliche Informationen vor Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder zufälligem bzw. unrechtmäßigem Zugriff zu schützen. Zu diesen Maßnahmen gehören insbesondere:

• Verschlüsselungsprotokolle für Kommunikation und Übertragungskanäle (SSL/TLS);

• Granulare Kontrolle und Profilierung logischer Zugriffe auf Server und Datenbanken;

• Firewall-Systeme, Überwachung des Netzwerkverkehrs und automatisierter Schutz vor Cyberangriffen (einschließlich Mechanismen zur Begrenzung der Anfragerate);

• Trennung und logische Isolierung von Unternehmensdaten und der in die Plattform Combine® eingegebenen Prompts.

6.2 Cloud-Sicherheitsarchitektur und Disaster-Recovery-Dienste

Die Daten der Plattform Combine® werden in hochsicheren Cloud-Umgebungen gespeichert, die von führenden internationalen Infrastrukturanbietern verwaltet werden (z. B. Microsoft oder gleichwertige Anbieter).

• Standardprofil: Umfasst Sicherheits-, Verschlüsselungs- und Backup-Maßnahmen mit standardmäßigen Intervallen und Verfahren.

• Optionales Disaster-Recovery-Modul: Zur Bewältigung komplexer Cyberangriffe oder kritischer Vorfälle steht ein erweitertes Disaster-Recovery-Modul mit häufigen Sicherungsverfahren und priorisierter Wiederherstellung zur Verfügung.

• Technische Grenzen und Zufall / höhere Gewalt: Der Nutzer erkennt an, dass die Aktivierung des Disaster-Recovery-Moduls einen verstärkten Sicherheitsschutz darstellt, jedoch keine absolute Fehlerfreiheit der Datenwiederherstellung bei höherer Gewalt, Zufallsereignissen, Katastrophen, allgemeinen Ausfällen der Telekommunikationsnetze oder unvorhersehbaren und außergewöhnlichen Cyberangriffen (z. B. Zero-Day-Angriffen oder massenhaften Verletzungen, die unmittelbar auf die Infrastruktur eines externen Cloud-Anbieters gerichtet sind) gewährleistet, die außerhalb der angemessenen und unmittelbaren Kontrolle von Powered, den Auftragsverarbeitern und Delfisoft liegen.

6.3 Umgang mit Datenschutzverletzungen und technischen Grenzen

Im Fall einer Verletzung des Schutzes personenbezogener Daten erfüllt der Verantwortliche unverzüglich die Meldepflichten gegenüber der zuständigen Aufsichtsbehörde und informiert gegebenenfalls die betroffenen Personen gemäß Artikel 33 und 34 DSGVO.

Der Nutzer erkennt an, dass ein Verlust oder eine Beschädigung von Daten infolge von Zufallsereignissen, höherer Gewalt, rechtswidrigen Eingriffen Dritter oder Cyberangriffen auf die Infrastruktur eines externen Cloud-Anbieters ein der Nutzung internetverbundener IT-Systeme innewohnendes Risiko darstellt. Haftungsausschlüsse für mittelbare Schäden und operative Freistellungen aufgrund von Hackerangriffen Dritter, höherer Gewalt oder fehlender Datenwiederherstellung - auch bei bestehendem Abonnement des Disaster-Recovery-Dienstes - richten sich nach dem Vertrag und den Allgemeinen Geschäftsbedingungen / B2B-Nutzungsbedingungen.

7. SPEICHERDAUER DER DATEN

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Zwecke, für die sie erhoben wurden, unbedingt erforderlich ist:

• Mitgliedschafts-/Franchisedaten: Speicherung für die gesamte Dauer des Vertragsverhältnisses und für weitere 10 Jahre nach dessen Beendigung zur Erfüllung steuerlicher und gesetzlicher Pflichten.

• Prompts und Protokolle von Combine®: Technische Protokolle und Prompts werden für den Zeitraum gespeichert, der für den Betrieb und die Sicherheit des Dienstes unbedingt erforderlich ist, sofern sie nicht anonymisiert archiviert oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

• Marketingdaten: Speicherung bis zum Widerruf der Einwilligung oder zur Ausübung des Widerspruchsrechts (Opt-out).

8. RECHTE DER BETROFFENEN PERSONEN

Nutzer können jederzeit die durch die DSGVO gewährleisteten Rechte ausüben:

1. Recht auf Auskunft und Berichtigung: Bestätigung über das Vorliegen ihrer Daten verlangen, auf diese zugreifen und deren Berichtigung beantragen.

2. Recht auf Löschung („Recht auf Vergessenwerden“): Die Löschung von Daten verlangen, die nicht mehr erforderlich sind oder unrechtmäßig verarbeitet wurden.

3. Recht auf Einschränkung und Widerspruch: Einer Verarbeitung auf Grundlage berechtigter Interessen oder der Direktwerbung widersprechen.

4. Recht auf Datenübertragbarkeit: Die bereitgestellten Daten in einem strukturierten, gängigen Format erhalten.

5. Recht auf Widerruf der Einwilligung: Die Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung berührt wird.

6. Beschwerde bei einer Aufsichtsbehörde: Beschwerde bei der nationalen Datenschutzbehörde oder der Aufsichtsbehörde des EU-Mitgliedstaats des Wohnsitzes einlegen.

Zur Ausübung ihrer Rechte können Nutzer eine schriftliche Anfrage an folgende E-Mail-Adresse senden: privacy@privatecommunity.net.

PDF herunterladen