Datenschutzerklärung

Vevja AS, org. nr. 938 295 735, Sagrønningen 1, 3271 Larvik, Norwegen ("wir", "uns" oder "unser") ist der Verantwortliche für personenbezogene Daten, die über unsere Plattform und unseren Authentifizierungsdienst erhoben werden, gemäß der EU-Datenschutz-Grundverordnung (DSGVO) und dem norwegischen Personendatengesetz (Personopplysningsloven). Für personenbezogene Daten, die im Auftrag unserer Mandanten (Website-Betreiber, die Vevja nutzen) verarbeitet werden, handelt Vevja als Auftragsverarbeiter und der Mandant als Verantwortlicher. Diese Verarbeitung wird durch unseren Auftragsverarbeitungsvertrag geregelt, verfügbar unter https://login.vevja.no/dpa. Kontakt: support@vevja.no

Wir erheben die folgenden Kategorien personenbezogener Daten: Kontoinformationen: - Vorname und Nachname - E-Mail-Adresse - Telefonnummer (per SMS bei der Registrierung verifiziert) - Sicher gehashtes Passwort (niemals im Klartext gespeichert) - Kontorolle und Berechtigungen Authentifizierungs- und Sicherheitsdaten: - Geräteverifizierungsdaten, einschließlich eines Geräte-Fingerprints zur Wiedererkennung vertrauenswürdiger Geräte (für die Zwei-Faktor-Authentifizierung) - IP-Adresse (für Analysen gehasht, nicht im Klartext gespeichert) - Authentifizierungsdatensätze und Zeitstempel - Anmeldeverlauf und 2FA-Verifizierungsdatensätze Nutzungsdaten: - Innerhalb des Admin-Bereichs besuchte Seiten - Muster der Funktionsnutzung - Browsertyp und Betriebssystem (für Analysen) Shop-Daten (falls zutreffend): - Bestellhistorie und Transaktionsdatensätze - Angaben zum Versandempfänger (Name, Adresse, Telefonnummer) - Kennungen der Zahlungsmethode (verarbeitet durch unsere Zahlungsdienstleister, nicht von uns gespeichert) Domainregistrierungsdaten (wenn Sie über den Dienst eine Domain registrieren): - Kontaktdaten des Registranten (Name, Adresse, E-Mail, Telefon), die von Domain-Registrierungsstellen verlangt werden Mobil-App-Daten (wenn Sie die Vevja-Mitarbeiter-App installieren): - Push-Benachrichtigungs-Token des Geräts (zur Zustellung von Benachrichtigungen an Ihr Gerät) Mitarbeiterdaten (Zeiterfassungsmodul, falls zutreffend — verarbeitet im Auftrag Ihres Arbeitgebers, der der Verantwortliche ist; siehe Abschnitt 13): - Zeitstempel für Ein-/Ausstempeln - Pausenaufzeichnungen - Schichtpläne und Tauschverlauf - Urlaubs- und Abwesenheitsaufzeichnungen - Vergütungsgrundlage und Einstellungen zu Arbeitszeitvereinbarungen - Geburtsdatum (soweit für Arbeitszeitregeln erforderlich) - Über die Mobil-App gesendete Eins-zu-eins-Mitarbeiter-Chatnachrichten

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage der folgenden Rechtsgrundlagen nach Art. 6 DSGVO: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): - Verarbeitung von Kontodaten zur Bereitstellung des Dienstes - Verarbeitung von Zahlungs- und Bestelldaten für Shop-Transaktionen - Verarbeitung von Registrantendaten zur Registrierung von Domains in Ihrem Auftrag - Verwaltung Ihres Abonnements und der Abrechnung Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): - Datenschutzfreundliche Analysen zur Verbesserung des Dienstes - Sicherheitsüberwachung und Betrugsprävention - Geräteverifizierung für die Zwei-Faktor-Authentifizierung Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): - Marketingkommunikation (nur mit Opt-in) - Nicht notwendige Cookies (falls vorhanden) Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): - Steuer- und Buchhaltungsunterlagen für Shop-Transaktionen - Einhaltung der norwegischen Buchführungsvorschriften (Bokføringsloven, norwegisches Buchführungsgesetz)

Wir verwenden Ihre personenbezogenen Daten, um: - Den Dienst bereitzustellen, zu pflegen und zu verbessern. - Ihre Identität zu authentifizieren und Ihr Konto abzusichern. - Transaktionen über den Webshop abzuwickeln. - Transaktionale E-Mails und SMS-Nachrichten zu versenden (Kontoverifizierung, Passwort-Zurücksetzung, 2FA-Links, Bestellbestätigungen). - Push-Benachrichtigungen an Ihr Mobilgerät zu senden, wenn Sie die Mitarbeiter-App installieren und Benachrichtigungen aktivieren (zum Beispiel bei Schichtänderungen und Mitarbeiter-Chatnachrichten; Chat-Benachrichtigungen enthalten den Namen des Absenders und eine kurze Vorschau der Nachricht). - Datenschutzfreundliche Analysen zu erstellen (mit gehashten IPs, ohne Tracking-Cookies). - KI-gestützte Inhaltsübersetzung und Bildersuche bereitzustellen (siehe Abschnitt 5). - Die Sicherheit des Dienstes zu überwachen und zu gewährleisten. - Rechtlichen Verpflichtungen nachzukommen. Wir verkaufen Ihre personenbezogenen Daten nicht. Wir verwenden Ihre Daten nicht für Profiling oder automatisierte Entscheidungsfindung mit rechtlicher Wirkung.

Wir setzen künstliche Intelligenz für die folgenden Funktionen ein: Inhaltsübersetzung: Wir nutzen Mistral AI (ein französisches Unternehmen mit Verarbeitung in der EU), um Website-Inhalte in unterstützte Sprachen zu übersetzen. Die zur Übersetzung übermittelten Inhalte werden unverändert gesendet; enthält eine Seite personenbezogene Daten (zum Beispiel einen auf der Seite veröffentlichten Namen oder Kontaktdaten), sind diese Daten in den zur Übersetzung gesendeten Inhalten enthalten. Bildersuche: Wir nutzen KI-Dienste, um hochgeladene Bilder zu analysieren und durchsuchbare Beschreibungen zu erstellen. Bildanalysedaten werden lokal in Ihrem Konto gespeichert. An KI-Anbieter übermittelte Inhalte werden ausschließlich zur Bereitstellung dieser Funktionen verwendet und sind durch einen Auftragsverarbeitungsvertrag abgedeckt. Wir senden keine Kontodaten, Kundendatensätze oder andere gespeicherte personenbezogene Daten an KI-Anbieter — nur die Inhalte, die Sie zur Übersetzung auswählen, oder die Bilder, die Sie zur Analyse hochladen.

Wir geben personenbezogene Daten nur an die folgenden Kategorien von Empfängern weiter, und nur soweit erforderlich: Zahlungsdienstleister: - Vipps MobilePay (Norwegen) — Zahlungsabwicklung und, sofern aktiviert, Vipps Login für die Kundenanmeldung - Stripe (Verarbeitung in EU/EWR über Stripe Payments Europe) - Klarna (Schweden) Diese Anbieter verarbeiten Zahlungsdaten gemäß ihren eigenen Datenschutzerklärungen. Kommunikation: - Bird — versendet unsere transaktionalen E-Mails und SMS-Nachrichten (erhält E-Mail-Adressen, Telefonnummern und Nachrichteninhalte) - Expo (USA) — stellt mobile Push-Benachrichtigungen für die Mitarbeiter-App zu (erhält Push-Token der Geräte und Benachrichtigungsinhalte, einschließlich Absendername und einer kurzen Nachrichtenvorschau bei Chat-Benachrichtigungen). Je nach Gerät werden Benachrichtigungen zusätzlich über den Apple Push Notification Service oder Google Firebase Cloud Messaging geleitet. Infrastrukturanbieter: - Bunny.net — Content-Delivery-Netzwerk und DNS - Server-Hosting- und Cloud-Speicheranbieter (für den Betrieb des Dienstes und die Speicherung verschlüsselter Datenbank-Backups) Geolokalisierung: - ipinfo.io — ungefähre IP-basierte Geolokalisierung für Sicherheits- und Regionalfunktionen Domainregistrierung: - Akkreditierte Domain-Registrare und Registrierungsstellen (erhalten Kontaktdaten des Registranten, wenn Sie eine Domain registrieren) KI-Dienste: - Mistral AI (Inhaltsübersetzung und Bildanalyse, wie in Abschnitt 5 beschrieben) Bildersuche: - Unsplash (erhält Suchbegriffe nur, wenn Sie deren Bildbibliothek aus dem Admin-Bereich durchsuchen) Von Ihnen aktivierte Integrationen (Daten werden nur weitergegeben, wenn der Website-Betreiber sie verbindet): - Buchhaltungs- und Lohnsysteme: Fiken, PowerOffice, Tripletex, Conta, Finago, Visma (erhalten Kundennamen, Kontaktdaten und Bestelldaten für Rechnungsstellung und Buchführung; ist die Lohnintegration aktiviert, erhalten sie außerdem Lohndaten von Mitarbeitenden wie geleistete Arbeitsstunden und Lohngrundlagenzeilen) - Versanddienstleister: Bring/Posten, PostNord, Helthjem (erhalten Empfängername, Adresse und Telefonnummer für Versandetiketten, Tarife und Sendungsverfolgung) Wir geben Ihre personenbezogenen Daten nicht an Werbetreibende, Datenhändler oder sonstige Dritte zu Marketingzwecken weiter. Alle Drittauftragsverarbeiter sind durch Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO gebunden. Die aktuelle Liste der Unterauftragsverarbeiter ist auch in unserem Auftragsverarbeitungsvertrag unter https://login.vevja.no/dpa enthalten.

Ihre Daten werden hauptsächlich auf Servern in Europa verarbeitet und gespeichert, mit verschlüsselten Backups in der EU (Deutschland). Einige Dienste sind mit Übermittlungen in die Vereinigten Staaten verbunden — insbesondere die Zustellung mobiler Push-Benachrichtigungen (Expo, Apple, Google). Werden Daten außerhalb des EWR übermittelt (zum Beispiel wenn ein Drittanbieter Daten im Ausland verarbeitet), stellen wir geeignete Garantien sicher, darunter: - EU-Standardvertragsklauseln (SCCs) - Angemessenheitsbeschlüsse der Europäischen Kommission, einschließlich des EU-U.S. Data Privacy Framework für zertifizierte US-Anbieter - Zusätzliche technische Maßnahmen wie Verschlüsselung Datenbank-Backups sind verschlüsselt und werden mit auf autorisiertes Personal beschränktem Zugriff gespeichert.

Wir bewahren Ihre personenbezogenen Daten nur so lange auf, wie es für die in dieser Erklärung beschriebenen Zwecke erforderlich ist: - Kontodaten: Aufbewahrt, solange Ihr Konto aktiv ist, plus 30 Tage nach der Löschung. - Authentifizierungsprotokolle: 90 Tage aus Sicherheitsgründen aufbewahrt. - Administrative Audit-Protokolle: 90 Tage aufbewahrt. - Analysedaten: Aggregiert und anonymisiert; Rohdaten werden 12 Monate aufbewahrt. - Shop-Transaktionsdaten: 5 Jahre aufbewahrt gemäß dem Bokføringsloven (norwegisches Buchführungsgesetz). - Zeiterfassungsdaten: Aufbewahrt für die nach norwegischem Arbeitsrecht erforderliche Dauer. Nach Ablauf der Aufbewahrungsfrist werden die Daten sicher gelöscht oder anonymisiert.

Vevja verfolgt beim Tracking einen datenschutzfreundlichen Ansatz: - Wir verwenden keine Tracking-Cookies von Dritten. - Wir verwenden keine Werbe-Cookies. - Unser Analysesystem verwendet gehashte IP-Adressen und ist nicht auf Cookies angewiesen. - Wir verwenden notwendige Sitzungs-Cookies ausschließlich zu Authentifizierungszwecken. Notwendige Cookies können nicht deaktiviert werden, da sie für das Funktionieren des Dienstes erforderlich sind. Dazu gehören: - Sitzungs-Cookies zur Aufrechterhaltung Ihres Anmeldestatus. - Sicherheits-Cookies zur Anfragenverifizierung.

Als betroffene Person haben Sie die folgenden Rechte nach der DSGVO und dem norwegischen Datenschutzrecht: Auskunftsrecht (Art. 15 DSGVO): Sie können eine Kopie aller personenbezogenen Daten anfordern, die wir über Sie gespeichert haben. Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger personenbezogener Daten verlangen. Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen ("Recht auf Vergessenwerden"), vorbehaltlich gesetzlicher Aufbewahrungspflichten. Sie können die Kontolöschung auch direkt in Ihren Kontoeinstellungen beantragen. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken. Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern. Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigten Interesses widersprechen. Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen. Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter support@vevja.no. Wir werden ohne unangemessene Verzögerung und spätestens innerhalb eines Monats antworten, wie von der DSGVO vorgeschrieben.

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten um, darunter: - Passwörter werden sicher gehasht (niemals im Klartext gespeichert). - Zwei-Faktor-Authentifizierung mit Geräteverifizierung. - Sichere tokenbasierte Authentifizierung mit kurzlebigen Sitzungen. - Verschlüsselte Backups mit automatisierten Aufbewahrungsrichtlinien. - Rollenbasierte Zugriffskontrolle mit granularen Berechtigungen. - Datenisolierung zur Gewährleistung der Trennung zwischen Kunden. - Regelmäßige Sicherheitsüberwachung und Reaktion auf Vorfälle. Trotz dieser Maßnahmen ist kein System vollständig sicher. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, benachrichtigen wir die norwegische Datenschutzbehörde (Datatilsynet) innerhalb von 72 Stunden, wie in Art. 33 DSGVO vorgeschrieben, und benachrichtigen Sie ohne unangemessene Verzögerung, wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte zur Folge hat, wie in Art. 34 DSGVO vorgeschrieben.

Nutzer müssen mindestens 15 Jahre alt sein, um eigenständig ein Konto zu erstellen; Nutzer zwischen 13 und 15 Jahren benötigen die Zustimmung eines Elternteils oder Erziehungsberechtigten. Diese Altersanforderung ist unsere eigene Richtlinie und strenger als das Mindestalter von 13 Jahren, ab dem Kinder nach dem norwegischen Personendatengesetz (Personopplysningsloven §5) in die Verarbeitung ihrer personenbezogenen Daten im Zusammenhang mit Diensten der Informationsgesellschaft einwilligen können. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Erfahren wir, dass wir ohne elterliche Zustimmung personenbezogene Daten eines Kindes unter 13 Jahren erhoben haben, löschen wir diese Daten umgehend.

Jeder Kunde auf der Vevja-Plattform verfügt über eine isolierte Umgebung: - Kundendaten werden getrennt und sicher gespeichert. - Kunden können nicht auf die Daten anderer Kunden zugreifen. - Wenn ein Kunde Daten von seinen Website-Besuchern erhebt, ist der Kunde der Verantwortliche und Vevja der Auftragsverarbeiter, wie in unserem Auftragsverarbeitungsvertrag (https://login.vevja.no/dpa) festgelegt. - Kunden sind für ihre eigenen Datenschutzerklärungen und die DSGVO-Konformität der Daten verantwortlich, die sie von ihren Besuchern erheben.

Wenn Sie der Ansicht sind, dass Ihre Datenschutzrechte verletzt wurden, haben Sie das Recht, eine Beschwerde bei der norwegischen Datenschutzbehörde einzureichen: Datatilsynet Postboks 458 Sentrum 0105 Oslo, Norway Website: www.datatilsynet.no Email: postkasse@datatilsynet.no Sie haben außerdem das Recht, eine Beschwerde bei der Aufsichtsbehörde des EU-/EWR-Mitgliedstaats Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes einzureichen.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken, der Technologie oder rechtlicher Anforderungen zu berücksichtigen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder über den Dienst mindestens 30 Tage vor deren Inkrafttreten. Die aktuelle Fassung dieser Datenschutzerklärung ist stets auf dieser Seite verfügbar.

Wenn Sie Fragen zu dieser Datenschutzerklärung haben oder Ihre Datenschutzrechte ausüben möchten, kontaktieren Sie uns bitte: Vevja AS, org. nr. 938 295 735 Sagrønningen 1, 3271 Larvik, Norwegen E-Mail: support@vevja.no Website: https://vevja.no Für Datenschutzanfragen können Sie sich auch direkt an unser Datenschutzteam unter privacy@vevja.no wenden.