Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung in diesem CRM-System im Sinne von Art. 4 Nr. 7 DSGVO ist:

Whisky Manufaktur Dresden
Altmarkt 1, 01067 Dresden
Vertreten durch: [Bitte in den Einstellungen ergänzen]
Telefon: [Bitte in den Einstellungen ergänzen]
E-Mail für Datenschutzanfragen: vertrieb@whisky-dresden.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO i. V. m. § 38 BDSG (insbesondere: mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt) nicht vorliegen.

2. Was dieses System ist

Das WMD CRM ist das interne Kundenmanagement-System der Whisky Manufaktur Dresden. Es verarbeitet personenbezogene Daten von (a) Mitarbeiterinnen und Mitarbeitern, die das System nutzen, und (b) Geschäftskunden und deren Ansprechpartnern (B2B-Kontakte). Öffentlich erreichbar sind nur die Anmeldeseite, die Newsletter-Abmeldeseite, die Newsletter-Bestätigungsseite (Double-Opt-in) sowie diese Rechtsseiten.

3. Hosting

Das System wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland betrieben. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb Deutschlands. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Zwecke und Rechtsgrundlagen je Funktionsbereich

4.1 Kunden- und Kontaktverwaltung (Stammdaten)

Wir speichern Firmendaten unserer Geschäftskunden sowie geschäftliche Kontaktdaten der dortigen Ansprechpartner (Name, Funktion, geschäftliche Telefonnummer/E-Mail, Kommunikationspräferenzen, Interessen, Notizen). Zweck ist die Pflege und Abwicklung der Geschäftsbeziehung (Vertrieb, Betreuung, Auftragsabwicklung). Rechtsgrundlage ist unser berechtigtes Interesse an der Verwaltung von B2B-Geschäftskontakten (Art. 6 Abs. 1 lit. f DSGVO, vgl. Erwägungsgrund 47); soweit die Verarbeitung der Vertragsanbahnung oder -erfüllung dient, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Geburtstage von Ansprechpartnern erfassen wir nur, wenn sie uns freiwillig mitgeteilt wurden.

4.2 Newsletter und Event-Einladungen

Newsletter versenden wir nur an Empfänger, die eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Die Einwilligung wird im Double-Opt-in-Verfahren eingeholt: Erst nach Bestätigung über einen per E-Mail zugesandten Link wird die Adresse für den Versand freigeschaltet. Wir protokollieren Zeitpunkt der Anmeldung und Bestätigung als Nachweis der Einwilligung. Jede E-Mail enthält einen Abmeldelink; die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO), außerdem formlos per E-Mail an die oben genannte Adresse. Zum Versand erfassen wir, ob eine E-Mail zugestellt werden konnte.

4.3 Besuchsberichte und Kommunikationshistorie

Außendienst-Besuche bei Kunden werden mit Datum, Gesprächsnotizen, ggf. Fotos (z. B. Regalplatzierungen) und Folgeaufgaben dokumentiert; ebenso wird relevante Kommunikation (Telefonate, E-Mails) protokolliert. Zweck ist die Nachvollziehbarkeit der Kundenbetreuung und die interne Vertriebssteuerung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an strukturierter Kundenbetreuung) bzw. Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Vorgängen.

4.4 KI-Funktionen (Anthropic Claude API)

Für optionale Assistenzfunktionen (Zusammenfassung von Besuchsberichten, Entwürfe für Follow-up-E-Mails, Visitenkarten-Erkennung, Umsatzprognosen) übermitteln wir die jeweils eingegebenen Inhalte an die Anthropic PBC (USA) zur Verarbeitung über deren API. Dabei können personenbezogene Daten enthalten sein (z. B. Namen von Ansprechpartnern in Gesprächsnotizen oder auf Visitenkarten). Es gilt die interne Vorgabe, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO — etwa Gesundheitsdaten, religiöse oder politische Angaben) in KI-Funktionen einzugeben. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag; der Drittlandtransfer in die USA ist durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Nach Anbieterangaben werden API-Eingaben nicht zum Training von KI-Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Vertriebsunterstützung). KI-Ergebnisse sind stets Entwürfe und werden vor Verwendung von Mitarbeitenden geprüft; es finden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO statt.

4.5 Push-Benachrichtigungen (Web-Push)

Angemeldete Nutzer können auf ihren Geräten Push-Benachrichtigungen aktivieren (z. B. Termin-Erinnerungen). Dazu wird ein gerätebezogenes Push-Abonnement gespeichert und über den Push-Dienst des jeweiligen Browser-Anbieters zugestellt. Die Aktivierung erfolgt nur nach ausdrücklicher Zustimmung im Browser (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG) und kann jederzeit im Profil oder in den Browser-Einstellungen deaktiviert werden.

4.6 Arbeitszeiterfassung und Standortdaten Außendienst

Mitarbeitende im Außendienst können ihre Arbeitszeit im CRM starten und stoppen (Beginn, Ende, Dauer). Nur während einer aktiv gestarteten Arbeitszeit überträgt das Gerät in Intervallen den aktuellen Standort (GPS-Koordinaten, Genauigkeit, Zeitpunkt) an das CRM; die Übertragung endet automatisch mit dem Stoppen der Arbeitszeit. Die Standortdaten sind ausschließlich für Geschäftsführung und Innendienst sichtbar und dienen der Tourenkoordination, der Erreichbarkeit im Außendienst und der Arbeitszeiterfassung — nicht einer permanenten Verhaltens- oder Leistungskontrolle. Vor der ersten Übertragung wird auf jedem Gerät ein ausdrücklicher Hinweis angezeigt; die Standortfreigabe des Geräts kann jederzeit widerrufen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses, § 26 BDSG) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Außendienststeuerung). Standortdaten werden nach 30 Tagen automatisch gelöscht. Arbeitszeit-Einträge (ohne Standort) bleiben für die arbeitszeitrechtliche Dokumentation (§ 16 Abs. 2 ArbZG) länger gespeichert.

4.7 Nutzerkonten und Server-Logs

Für Mitarbeiterkonten verarbeiten wir Name, dienstliche E-Mail-Adresse, Rolle und Passwort (nur als Hash gespeichert) zur Zugriffskontrolle (Art. 6 Abs. 1 lit. b DSGVO — Beschäftigungs- bzw. Nutzungsverhältnis). Aktionen im System werden in einem Aktivitätsprotokoll festgehalten (Nachvollziehbarkeit, Datensicherheit — Art. 6 Abs. 1 lit. f DSGVO). Beim Aufruf der Anwendung verarbeitet der Webserver technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene URL und User-Agent in Server-Logs; diese dienen der Betriebssicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO) und werden kurzfristig automatisch gelöscht.

5. Cookies

Dieses System verwendet ausschließlich ein technisch notwendiges Session-Cookie zur Anmeldung (Login-Sitzung). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt und keine Inhalte von Drittanbietern in den Seiten eingebunden. Das Speichern des Session-Cookies ist unbedingt erforderlich, um den vom Nutzer ausdrücklich gewünschten Dienst (die Anmeldung am CRM) bereitzustellen — eine Einwilligung ist daher nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Aus diesem Grund wird kein Cookie-Banner angezeigt. Das Cookie wird beim Abmelden bzw. nach Ablauf der Sitzung gelöscht.

6. Empfänger der Daten

• Hetzner Online GmbH (Hosting, Auftragsverarbeiter, Deutschland)
• Anthropic PBC (KI-Funktionen, Auftragsverarbeiter, USA — abgesichert durch Standardvertragsklauseln)
• E-Mail-Versanddienst (SMTP-Provider) für Newsletter und System-E-Mails (Auftragsverarbeiter)
• Browser-Push-Dienste (Google, Apple, Mozilla) bei aktivierten Push-Benachrichtigungen

Eine darüber hinausgehende Weitergabe an Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gilt:

• Auftrags- und buchungsrelevante Daten: 8 Jahre (Buchungsbelege, § 147 AO in der seit 1.1.2025 geltenden Fassung), Geschäftsbriefe 6 Jahre.
• Kontakt- und Besuchsdaten: Löschung bzw. Anonymisierung nach Ende der Geschäftsbeziehung zuzüglich einer Karenzzeit von ca. 3 Jahren.
• Newsletter-Einwilligungsnachweise: solange das Abonnement besteht, danach bis zu 3 Jahre als Nachweis.
• Standortdaten des Außendienstes (GPS-Pings): automatische Löschung nach 30 Tagen.
• Arbeitszeit-Einträge (Beginn/Ende/Dauer, ohne Standort): 2 Jahre (§ 16 Abs. 2 ArbZG).
• Server-Logs: kurzfristige automatische Löschung (Tage bis wenige Wochen).

Die Einzelheiten sind in einem internen Löschkonzept je Datenkategorie festgelegt.

8. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO); gegen Direktwerbung jederzeit ohne Angabe von Gründen
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an vertrieb@whisky-dresden.de. Wir antworten innerhalb eines Monats.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden, www.datenschutz.sachsen.de.

9. Pflicht zur Bereitstellung / automatisierte Entscheidungen

Die Bereitstellung von Kontaktdaten durch Geschäftspartner ist weder gesetzlich noch vertraglich vorgeschrieben; ohne Kontaktdaten ist eine Betreuung der Geschäftsbeziehung jedoch praktisch nicht möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen des Systems oder rechtliche Anforderungen ändern. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.
Stand: 11. Juni 2026