Datenschutzerklärung

Auf einen Blick

1. Verantwortlicher und Datenschutzbeauftragter

Pactos GmbH
Pettenkoferstraße 33, 80336 München, Deutschland
info@pactos.ai
Geschäftsführer: Antonio Zill, Philipp Eckert
Amtsgericht München, HRB 284386 · weitere Angaben im Impressum (https://pactos.ai/impressum)

Datenschutzbeauftragter
Dr. Kilian Schmidt, Kertos GmbH, Brienner Straße 41, 80333 München, Deutschland
dsb@kertos.io

Für alle Fragen zum Datenschutz genügt eine formlose Nachricht an eine der beiden Adressen.

2. Besuch unserer Website

2.1 Auslieferung und Sicherheit

Unsere Website wird über Cloudflare Pages ausgeliefert (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA).

Bei jedem Aufruf verarbeitet Cloudflare die Daten, die Ihr Browser technisch bedingt übermittelt: IP-Adresse, Zeitpunkt, aufgerufene Seite, Statuscode, übertragene Datenmenge, Referrer sowie Browser, Sprache und Betriebssystem. Das dient der Auslieferung der Website und der Abwehr von Angriffen und Missbrauch.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
• Speicherdauer: 30 Tage.
• Drittland: USA, siehe Ziffer 6.

2.2 Einwilligungsverwaltung

Ihre Auswahl im Cookie-Dialog verwalten und dokumentieren wir mit Cookiebot (Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark). Gespeichert werden eine zufällige Kennung, Zeitpunkt und Umfang Ihrer Auswahl — in einem Cookie auf Ihrem Endgerät und beim Anbieter.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung); Speicherung auf dem Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG.
• Speicherdauer: 12 Monate.

2.3 Cookies

Unbedingt erforderliche Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); dazu gehört der Einwilligungsnachweis aus 2.2.

Ohne Einwilligung in reCAPTCHA können Sie unsere Formulare nicht absenden. Sie erreichen uns dann unter info@pactos.ai.

Alle anderen Cookies und vergleichbaren Technologien (Local Storage, Pixel) setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die vollständige, laufend aktuelle Liste mit Anbieter, Zweck und Laufzeit finden Sie in den Cookie-Einstellungen.

2.4 Analyse und Werbung — nur mit Einwilligung

Die folgenden Dienste laden erst, wenn Sie eingewilligt haben. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Google und Microsoft können Daten an ihre Muttergesellschaften in den USA übermitteln (Ziffer 6) und sie teilweise in eigener Verantwortung verarbeiten, etwa zur Verbesserung ihrer Dienste und für Werbung. Einstellungen zu personalisierter Werbung bei Google: https://myadcenter.google.com.

2.5 Unsere LinkedIn-Seite

Auf unserer Unternehmensseite bei LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland) verarbeitet LinkedIn Ihre Daten in eigener Verantwortung. Für die Seitenstatistiken („Page Insights") sind wir mit LinkedIn gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung: https://legal.linkedin.com/pages-joint-controller-addendum.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Information über unsere Leistungen und der Austausch mit Interessenten und Bewerbern.
• Ihre Rechte machen Sie am wirksamsten direkt bei LinkedIn geltend; Anfragen an uns leiten wir weiter.

3. Kontakt und Geschäftsbeziehung

3.1 Formulare, E-Mail und CRM

Für Formulare (Demo-Anfragen, Downloads, Veranstaltungen, Newsletter), die Kontaktverwaltung und den E-Mail-Versand nutzen wir HubSpot (HubSpot Ireland Ltd., One Dockland Central, Guild Street, Dublin 1, Irland). Die Daten werden in der EU gespeichert.

Wir verarbeiten Ihre Angaben — in der Regel Name, geschäftliche E-Mail-Adresse, Unternehmen, gegebenenfalls Telefonnummer und Nachricht — um Ihre Anfrage zu bearbeiten. Für E-Mails an uns gilt dasselbe.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt; sonst Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen).
• Speicherdauer: bis zur Erledigung der Anfrage; entsteht eine Geschäftsbeziehung, nach Ziffer 7.
• Drittland: Zugriffe aus den USA sind nicht ausgeschlossen, siehe Ziffer 6.

3.2 Newsletter

Den Newsletter versenden wir nur, wenn Sie Ihre Anmeldung über den Link in unserer Bestätigungs-E-Mail bestätigt haben (Double-Opt-in). Anmeldung und Bestätigung protokollieren wir.

Ob und wann Sie den Newsletter öffnen und welche Links Sie anklicken, werten wir nur aus, wenn Sie dem bei der Anmeldung gesondert zugestimmt haben. Dazu enthalten die E-Mails ein Zählpixel und personalisierte Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Diese Zustimmung können Sie unabhängig vom Newsletter-Bezug jederzeit widerrufen, über die Abonnement-Einstellungen am Ende jeder E-Mail oder an info@pactos.ai. Die Auswertungsdaten löschen wir mit Ihrer Abmeldung oder Ihrem Widerruf.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Protokollierung nach Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO.
• Speicherdauer: bis zur Abmeldung; den Einwilligungsnachweis bewahren wir bis zum Ablauf der Verjährungsfristen auf.
• Abmeldung: über den Link in jeder Ausgabe oder formlos an info@pactos.ai.

3.3 Geschäftskontakte und Direktansprache

Wir verarbeiten geschäftliche Kontaktdaten von Ansprechpartnern bei Unternehmen, die als Kunden oder Partner in Betracht kommen: Name, Funktion, Unternehmen, geschäftliche E-Mail-Adresse und Telefonnummer.

• Herkunft: Ihre eigenen Angaben, öffentlich zugängliche Quellen (Unternehmenswebsites, berufliche Netzwerke) und Anbieter von Geschäftskontaktdaten (z. B. Lusha).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktwerbung gegenüber Unternehmen. Wo das Gesetz für die Ansprache eine Einwilligung verlangt (§ 7 UWG), holen wir sie ein.
• Speicherdauer: 24 Monate nach dem letzten Kontakt, sofern keine Geschäftsbeziehung entsteht.

Sie können dieser Verarbeitung jederzeit ohne Begründung widersprechen (Ziffer 8).

3.4 Termine, Demos und Videokonferenzen

Für Demos, Testzugänge und Onboarding verarbeiten wir Kontaktdaten, Termine, Angaben zu Ihrem Unternehmen und Ihren Anforderungen sowie den Gesprächsverlauf. Online-Termine führen wir über Google Meet oder Microsoft Teams durch.

Mit Ihrer vorherigen Zustimmung zeichnen wir Termine auf und lassen daraus eine Zusammenfassung erstellen. Ohne Zustimmung findet keine Aufzeichnung statt. Dies gilt auch für Telefonate, die ausschließlich zu internen Schulungen genutzt werden.

• Rechtsgrundlage (im Übrigen): Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: nach Ziffer 7; kommt kein Vertrag zustande, 90 Tage nach dem letzten Kontakt.

3.5 Zugänge und Anmeldung

Zugänge zu unseren Produkten richten wir auf Benennung Ihres Unternehmens ein, oder Sie registrieren sich selbst. Wir verarbeiten Name, geschäftliche E-Mail-Adresse, Rolle, Berechtigungen und Anmeldezeitpunkte. Die Anmeldung erfolgt per Passwort oder per einmaligem Anmeldelink an Ihre E-Mail-Adresse; dabei protokollieren wir technische Daten, um Missbrauch zu erkennen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind; sonst Art. 6 Abs. 1 lit. f DSGVO (sichere Zugangsverwaltung).
• Speicherdauer: für die Dauer des Zugangs; Sicherheitsprotokolle 180 Tage.

4. Bewerbungen

Stellenanzeigen und Bewerbungen wickeln wir über JOIN ab (JOIN Solutions AG, Eichenstrasse 2, 8808 Pfäffikon SZ, Schweiz). Wir verarbeiten Ihre Angaben und Unterlagen — in der Regel Name, Kontaktdaten, Lebenslauf, Zeugnisse und Anschreiben. Zugriff haben nur die an der Auswahl beteiligten Personen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Bewerbungsverfahrens). Angaben, die wir nicht erfragt haben, verarbeiten wir nur, soweit sie für das Verfahren von Bedeutung sind. Besondere Kategorien personenbezogener Daten, etwa eine Schwerbehinderung, verarbeiten wir nur, soweit dies zur Erfüllung arbeits- und sozialrechtlicher Pflichten erforderlich ist (Art. 9 Abs. 2 lit. b DSGVO).
• Speicherdauer: sechs Monate nach Abschluss des Verfahrens, um uns gegen Ansprüche nach dem AGG verteidigen zu können (Art. 6 Abs. 1 lit. f DSGVO). Länger nur mit Ihrer Einwilligung, etwa für unseren Bewerberpool.
• Drittland: Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

5. Daten innerhalb unserer Plattform

Grundsatz. Unsere Kunden steuern mit der Plattform ihre Prozesse rund um externes Personal. Für die Daten, die sie dort verarbeiten — auch Daten von Leiharbeitskräften, freien Mitarbeitern und Bewerbern, die unsere Website nie besucht haben — ist das Unternehmen verantwortlich, das die Plattform einsetzt: je nach Konstellation der Kunde, ein Managed Service Provider oder ein angebundener Personaldienstleister. Pactos verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Informationen zu dieser Verarbeitung erhalten Sie von diesem Unternehmen, meist Ihrem Arbeitgeber oder Auftraggeber. Dort machen Sie auch Ihre Rechte geltend. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich weiter.

Wo wir selbst verantwortlich sind. Unabhängig davon verarbeiten wir in eigener Verantwortung:

• Nutzerkonten und Anmeldedaten (Ziffer 3.5),
• Protokolle zur Sicherheit und Missbrauchserkennung der Plattform,
• die Anonymisierung von Plattformdaten zu statistischen Auswertungen und zur Weiterentwicklung unserer Produkte; nach der Anonymisierung ist kein Personenbezug mehr herstellbar.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer Betrieb und die Verbesserung unserer Produkte.

6. Empfänger und Drittländer

Innerhalb von Pactos erhalten nur die Personen Zugriff, die ihn für den jeweiligen Zweck benötigen. Dienstleister setzen wir als Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO ein — neben den oben genannten für E-Mail und Büroanwendungen, interne Kommunikation, Dokumentenablage und elektronische Signatur sowie KI-gestützte Assistenzsysteme zum Entwerfen, Zusammenfassen und Auswerten von Texten. Diese Anbieter verwenden die Daten nicht zum Training ihrer Modelle. An sonstige Dritte geben wir Daten nur weiter, wenn Sie eingewilligt haben, wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich ist.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist (https://www.dataprivacyframework.gov/list), und im Übrigen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

7. Speicherdauer

Wir löschen Daten, sobald der Zweck entfällt. Gesetzliche Aufbewahrungspflichten gehen vor: sechs Jahre insbesondere für Handels- und Geschäftsbriefe (§ 257 HGB, § 147 AO) und acht Jahre insbesondere für Buchungsbelege (§ 257 HGB, § 147 AO). Bis zum Ablauf der jeweiligen Aufbewahrungsfrist beschränken wir die Verarbeitung auf die gesetzlich erforderlichen Zwecke.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose Nachricht an info@pactos.ai oder dsb@kertos.io genügt.

Beschwerderecht. Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Postfach 1349, 91504 Ansbach, https://www.lda.bayern.de.

9. Weitere Hinweise

Bereitstellung. Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne Kontaktdaten können wir jedoch keine Anfrage beantworten, ohne Zugangsdaten keinen Zugang einrichten.

Automatisierte Entscheidungen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet im Rahmen dieser Datenschutzerklärung nicht statt.

Sicherheit. Die Website wird verschlüsselt (TLS) ausgeliefert. Wir schützen Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001 zertifiziert; Geltungsbereich und Gültigkeit des Zertifikats teilen wir auf Anfrage mit.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Leistungen oder die Rechtslage ändern. Maßgeblich ist die hier veröffentlichte Fassung.