Datenschutz- erklärung

Höflichkeitsübersetzung. Im Falle von Abweichungen ist die englische Fassung maßgeblich.

Altovar S.r.l. (P.IVA IT03086750993) („Altovar“, „wir“, „uns“ bzw. „unser“) ist der für die Verarbeitung personenbezogener Daten Verantwortliche, die über unsere Websites, Softwareprodukte, APIs und Dienste (zusammen die „Dienste“) erhoben werden.

Eingetragener Sitz: Italien (Europäische Union)
Datenschutzanfragen: [email protected]
Allgemeiner Kontakt: [email protected]

Als ein in der EU gegründetes und tätiges Unternehmen unterliegen wir in vollem Umfang der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). Unsere Aufsichtsbehörde ist der Garante per la protezione dei dati personali (Italien).

Altovar hat angesichts der Art und des Umfangs seiner Datenverarbeitungstätigkeiten gemäß Art. 37 DSGVO einen Datenschutzbeauftragten (DSB) bestellt.

Kontakt des DSB: [email protected]

Der DSB handelt unabhängig und ist zuständig für:
— Überwachung der Einhaltung der DSGVO und des anwendbaren nationalen Datenschutzrechts
— Beratung zu Datenschutz-Folgenabschätzungen (DSFA) nach Art. 35
— Fungieren als Anlaufstelle für die Aufsichtsbehörde
— Bearbeitung von Anfragen betroffener Personen und Rechteanträgen

Sie können sich für alle Angelegenheiten im Zusammenhang mit der Verarbeitung Ihrer personenbezogenen Daten direkt an den DSB wenden. Alle Mitteilungen werden vertraulich behandelt und innerhalb von 30 Kalendertagen beantwortet.

Wir erheben nur die personenbezogenen Daten, die für die in dieser Richtlinie beschriebenen Zwecke erforderlich sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

Konto- und Identitätsdaten: Name, E-Mail-Adresse, Benutzername, Name der Organisation, Berufsbezeichnung, USt-IdNr./Steuernummer für die Rechnungsstellung sowie alle Informationen, die Sie freiwillig zu Ihrem Profil hinzufügen.

Nutzungs- und Interaktionsdaten: Genutzte Funktionen, besuchte Seiten, Klicks, Sitzungsdauer, Suchanfragen innerhalb des Produkts und Fehlerereignisse. Diese Daten werden, soweit möglich, aggregiert erhoben und bereits bei der Erfassung pseudonymisiert.

Technische Daten und Gerätedaten: IP-Adresse (gekürzt auf das /24-Präfix und innerhalb von 24 Stunden anonymisiert), Browsertyp und -version, Betriebssystem, Gerätetyp, Bildschirmauflösung, verweisende URL sowie von unserer Infrastruktur zugewiesene Sitzungskennungen.

Kommunikationsdaten: Inhalt der Nachrichten, die Sie uns per E-Mail, Kontaktformular oder Support-Ticket senden; Metadaten zu dieser Kommunikation (Zeitstempel, Betreffzeilen).

Zahlungs- und Rechnungsdaten: Rechnungsname, -adresse und USt-IdNr./Steuernummer. Kartennummern und Zahlungsdaten werden ausschließlich von unserem nach PCI-DSS Level 1 zertifizierten Zahlungsdienstleister (Stripe, EU-gehostet) verarbeitet und niemals von Systemen von Altovar gespeichert oder verarbeitet.

Vertrags- und Servicedaten: Abonnementstufe, Servicekonfiguration, Nutzungskontingente, API-Schlüssel (gehasht) sowie alle Daten, die Sie beim Gebrauch der Dienste hochladen oder erstellen.

Wir erheben keine Daten von Datenhändlern Dritter, Social-Media-Plattformen oder Werbenetzwerken. Wir erstellen keine Werbeprofile.

Unsere Dienste sind nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO zu erheben oder zu verarbeiten — einschließlich Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer Person.

Wir raten dringend davon ab, besondere Kategorien personenbezogener Daten über unsere Dienste hochzuladen oder zu verarbeiten, es sei denn, Sie haben geeignete Garantien umgesetzt und verfügen über eine gültige Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO.

Sollten wir versehentlich besondere Kategorien personenbezogener Daten erhalten (zum Beispiel über ein Support-Ticket), löschen wir diese sicher und benachrichtigen den Absender. Wenn Sie im Rahmen einer bestimmten Unternehmensvereinbarung besondere Kategorien personenbezogener Daten verarbeiten müssen, wenden Sie sich bitte an [email protected], um geeignete vertragliche und technische Garantien zu besprechen.

Wir verarbeiten personenbezogene Daten nur, wenn eine gültige Rechtsgrundlage nach Art. 6 DSGVO besteht. Die anwendbare Rechtsgrundlage hängt von der jeweiligen Verarbeitungstätigkeit ab:

Vertragserfüllung (Art. 6 Abs. 1 lit. b): Bereitstellung der von Ihnen abonnierten Dienste, Verwaltung Ihres Kontos, Zahlungsabwicklung, Rechnungsstellung und Erfüllung aller vertraglichen Pflichten. Dies ist die primäre Rechtsgrundlage für die meisten Verarbeitungen im Zusammenhang mit aktiven Konten.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Einhaltung des geltenden Rechts — einschließlich steuerlicher und buchhalterischer Pflichten nach italienischem Recht (D.P.R. 633/1972, D.P.R. 600/1973), Anforderungen zur Geldwäschebekämpfung sowie die Beantwortung rechtmäßiger Anfragen zuständiger Behörden (Gerichte, Regulierungsbehörden).

Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Sicherheitsüberwachung, Missbrauchsprävention, Betrugserkennung, Analysen zur Produktverbesserung sowie Direktmarketing gegenüber Bestandskunden für im Wesentlichen ähnliche Leistungen. Wir haben für jeden dieser Zwecke eine Interessenabwägung (Legitimate Interests Assessment, LIA) durchgeführt und festgestellt, dass unsere Interessen Ihre Grundrechte und Grundfreiheiten nicht überwiegen.

Einwilligung (Art. 6 Abs. 1 lit. a): Optionale Analyse- und Leistungs-Cookies, Marketingmitteilungen an Nichtkunden sowie jede Verarbeitungstätigkeit, für die wir ausdrücklich Ihre vorherige Einwilligung eingeholt haben. Sie können Ihre Einwilligung jederzeit widerrufen — der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Siehe Abschnitt 9 zum Widerruf der Einwilligung.

Wir speichern personenbezogene Daten nur so lange, wie es für den genannten Zweck erforderlich ist und im Einklang mit den geltenden rechtlichen Pflichten steht (Grundsatz der Speicherbegrenzung).


Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten nach branchenüblichen Methoden sicher gelöscht oder unumkehrbar anonymisiert, sodass sie keiner identifizierten oder identifizierbaren natürlichen Person mehr zugeordnet werden können.

Wir setzen vertrauenswürdige Auftragsverarbeiter Dritter („Unterauftragsverarbeiter“) auf der Grundlage verbindlicher Auftragsverarbeitungsverträge ein, die Art. 28 DSGVO entsprechen. Wir sind für die DSGVO-Konformität unserer Unterauftragsverarbeiter verantwortlich und führen regelmäßige Sorgfaltsprüfungen durch.


Wir verkaufen, vermieten oder handeln nicht mit Ihren personenbezogenen Daten an Dritte. Wir geben keine Daten an Werbenetzwerke oder Datenhändler weiter. Wir geben Daten an Behörden nur weiter, wenn dies gesetzlich vorgeschrieben ist oder im Rahmen eines gültigen rechtlichen Verfahrens erforderlich ist, und benachrichtigen betroffene Nutzer, soweit rechtlich zulässig.

Eine aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage unter [email protected] erhältlich. Über die Aufnahme neuer Unterauftragsverarbeiter informieren wir mit 30 Tagen Vorlauf.

Verpflichtung zur EU-Datenresidenz: Die gesamte primäre Datenspeicherung und -verarbeitung erfolgt auf Infrastruktur innerhalb des Europäischen Wirtschaftsraums (EWR). Altovar übermittelt personenbezogene Daten nicht standardmäßig an Drittländer.

In den begrenzten Fällen, in denen ein Unterauftragsverarbeiter Infrastruktur oder Supportfunktionen außerhalb des EWR betreibt (zum Beispiel globale CDN-Edge-Knoten oder Support-Personal), stellen wir vor jeder Übermittlung sicher, dass geeignete Garantien nach Kapitel V der DSGVO vorliegen:

— Angemessenheitsbeschlüsse (Art. 45): Sofern die Europäische Kommission das Zielland als ein Land mit angemessenem Schutzniveau anerkannt hat (z. B. UK IDTA, Angemessenheitsbeschluss für die Schweiz).
— Standardvertragsklauseln (Art. 46 Abs. 2 lit. c): Die 2021 durch den Durchführungsbeschluss (EU) 2021/914 der Kommission genehmigten EU-Standardvertragsklauseln sind in alle relevanten Verträge mit Unterauftragsverarbeitern eingebunden.
— Technische Garantien: Bei der Datenübertragung wird eine Ende-zu-Ende-Verschlüsselung angewendet, sodass kein aussagekräftiger Zugriff auf personenbezogene Daten durch Infrastrukturpersonal der Unterauftragsverarbeiter besteht.

Wir beobachten die Entscheidungen des Europäischen Datenschutzausschusses (EDSA) und der italienischen Garante und aktualisieren unsere Übermittlungsmechanismen bei Bedarf. Für jede Drittlandübermittlung wurde eine Transfer-Folgenabschätzung (TIA) durchgeführt.

Als betroffene Person haben Sie die folgenden Rechte nach der DSGVO, die Sie kostenlos und ohne unangemessene Einschränkung ausüben können:

Auskunftsrecht (Art. 15): Sie können eine Bestätigung darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie dieser Daten zusammen mit ergänzenden Informationen erhalten (Zwecke, Kategorien, Empfänger, Aufbewahrungsfristen, Garantien für etwaige Drittlandübermittlungen).

Recht auf Berichtigung (Art. 16): Sie können unverzüglich die Berichtigung unrichtiger personenbezogener Daten und die Vervollständigung unvollständiger Daten verlangen.

Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, wenn diese für den ursprünglichen Zweck nicht mehr erforderlich sind, wenn die Einwilligung widerrufen wurde, wenn Sie der Verarbeitung widersprechen, wenn die Verarbeitung unrechtmäßig ist oder wenn die Löschung nach Unionsrecht oder dem Recht der Mitgliedstaaten vorgeschrieben ist — vorbehaltlich vorrangiger berechtigter Gründe (z. B. gesetzlicher Aufbewahrungspflichten).

Recht auf Einschränkung der Verarbeitung (Art. 18): Sie können verlangen, dass wir die Verarbeitung auf die bloße Speicherung beschränken, solange ein Streit über die Richtigkeit, die Rechtmäßigkeit oder ein Widerspruch wegen berechtigter Interessen ungeklärt ist.

Recht auf Datenübertragbarkeit (Art. 20): Beruht die Verarbeitung auf einer Einwilligung oder einem Vertrag und erfolgt sie mithilfe automatisierter Verfahren, können Sie Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON oder CSV) erhalten und einem anderen Verantwortlichen übermitteln.

Widerspruchsrecht (Art. 21): Sie können der auf berechtigten Interessen beruhenden Verarbeitung (Art. 6 Abs. 1 lit. f), einschließlich Profiling, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verarbeitung zu Zwecken der Direktwerbung können Sie uneingeschränkt widersprechen — eine solche Verarbeitung stellen wir dann unverzüglich ein.

Rechte im Zusammenhang mit automatisierten Entscheidungen (Art. 22): Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Jede automatisierte Risikobewertung oder Filterung, die in unseren Diensten eingesetzt wird, wird vor folgenreichen Entscheidungen von menschlichen Bearbeitern überprüft.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen. Siehe Abschnitt 10 zu den Methoden des Widerrufs.

So stellen Sie eine Anfrage: Senden Sie eine E-Mail an [email protected] mit dem Betreff „Antrag einer betroffenen Person — [Art des Rechts]“ (z. B. „Antrag einer betroffenen Person — Auskunft“). Sie können Anfragen auch über die Kontoeinstellungen unserer Plattform stellen, sofern Self-Service-Optionen verfügbar sind.

Identitätsprüfung: Zum Schutz Ihrer Daten bitten wir Sie, vor der Bearbeitung der Anfrage Ihre Identität nachzuweisen. Die Prüfung erfolgt über Ihre registrierte E-Mail-Adresse oder, falls erforderlich, über zusätzliche Nachweisdokumente.

Bearbeitungsfristen: Wir beantworten alle Anfragen innerhalb von 30 Kalendertagen nach Eingang. Bei komplexen oder mehreren Anfragen kann diese Frist um weitere 2 Monate verlängert werden — wir informieren Sie innerhalb der ursprünglichen 30 Tage, falls eine Verlängerung erforderlich ist, zusammen mit den Gründen für die Verlängerung.

Widerruf der Einwilligung: Um die Einwilligung für Analyse-Cookies zu widerrufen, nutzen Sie den über die Fußzeile zugänglichen Cookie-Einstellungsmanager. Um die Einwilligung für Marketingmitteilungen zu widerrufen, klicken Sie auf „Abbestellen“ in einer beliebigen Marketing-E-Mail oder senden Sie eine E-Mail an [email protected].

Keine Kosten: Alle Anträge betroffener Personen werden kostenlos bearbeitet. Sind Anträge offenkundig unbegründet oder exzessiv oder werden sie wiederholt gestellt, können wir eine angemessene Verwaltungsgebühr verlangen oder die Bearbeitung ablehnen — wir werden unsere Gründe hierfür erläutern.

Recht auf Beschwerde: Wenn Sie der Ansicht sind, dass Altovar Ihre Rechte nach der DSGVO verletzt hat, haben Sie das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen:

— Garante per la protezione dei dati personali (Italien) — garanteprivacy.it
— Die Aufsichtsbehörde Ihres EU-Mitgliedstaats des gewöhnlichen Aufenthalts oder Arbeitsortes
— Die Aufsichtsbehörde des Mitgliedstaats, in dem der mutmaßliche Verstoß erfolgt ist

Wir verwenden Cookies und ähnliche Technologien (Web Storage, Pixel-Tags), um unsere Websites zu betreiben und Ihre Nutzererfahrung zu verbessern. Unsere Verwendung von Cookies richtet sich nach der ePrivacy-Richtlinie (2002/58/EG in der geänderten Fassung), umgesetzt in Italien durch D.lgs. 69/2012, sowie den Leitlinien der Garante vom Juli 2021.

Essenzielle Cookies sind für die Sicherheit, Authentifizierung und den Betrieb der Dienste unbedingt erforderlich. Sie werden ohne Einwilligung auf der Grundlage von Art. 5 Abs. 3 der ePrivacy-Richtlinie eingesetzt, da sie für einen von Ihnen ausdrücklich angeforderten Dienst technisch erforderlich sind. Sie können diese Cookies nicht ablehnen, ohne die Funktionalität des Dienstes zu beeinträchtigen.

Analyse-Cookies von Tools Dritter werden nur mit Ihrer vorherigen, freiwillig erteilten, spezifischen, informierten und unmissverständlichen Einwilligung gesetzt. Wir verwenden kein Google Analytics.

Unsere eigene Webanalyse (Plausible Analytics, selbst gehostet auf unseren Servern in Deutschland) setzt keine Cookies und liest oder speichert nichts auf Ihrem Gerät. Sie erfasst Seitenaufrufe, verweisende Websites, Browser, Betriebssystem, Gerätetyp und Land in aggregierter Form; Ihre IP-Adresse wird nur vorübergehend verwendet, um eine anonyme, sich täglich ändernde Kennung abzuleiten, und wird niemals gespeichert. Da nichts von Ihrem Gerät gelesen oder darauf geschrieben wird, läuft diese Messung unabhängig vom Cookie-Banner, gestützt auf unser berechtigtes Interesse daran zu verstehen, wie unsere Websites genutzt werden (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen, indem Sie an [email protected] schreiben.

Eine Messung, die nicht von uns betrieben wird. Das Auslieferungsnetzwerk vor unseren Websites fügt in jede von ihm ausgelieferte HTML-Seite ein eigenes Messskript ein. Es wird geladen, bevor Sie eine Wahl im Cookie-Banner treffen, und unabhängig davon, und es setzt keine Cookies auf Ihrem Gerät; es stammt nicht von uns und wird nicht von uns gesteuert. Der Anbieter ist in der obigen Tabelle der Unterauftragsverarbeiter aufgeführt.

Marketing-Cookies werden derzeit nicht auf unserer Marketing-Website gesetzt. Sollte sich dies ändern, holen wir eine gesonderte, granulare Einwilligung ein.

Für die vollständige Liste der verwendeten Cookies, ihre Namen, Zwecke, Laufzeiten und Anbieter sowie zur Verwaltung Ihrer Cookie-Einstellungen lesen Sie bitte unsere Cookie-Richtlinie →

Wir setzen geeignete technische und organisatorische Maßnahmen (TOM) um, um gemäß Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Unser Sicherheitsprogramm umfasst:

— Verschlüsselung: Alle Daten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt. Daten im Ruhezustand werden mit AES-256 verschlüsselt. Datenbank-Backups werden Ende-zu-Ende verschlüsselt.
— Zugriffskontrollen: Rollenbasierte Zugriffskontrolle (RBAC), das Prinzip der geringsten Rechte, Multi-Faktor-Authentifizierung (MFA) für alle internen Systeme sowie privilegiertes Zugriffsmanagement (PAM) für den Zugriff auf die Infrastruktur.
— Netzwerksicherheit: Netzwerksegmentierung, Web Application Firewall (WAF), DDoS-Abwehr sowie Systeme zur Erkennung und Verhinderung von Eindringversuchen (IDS/IPS).
— Schwachstellenmanagement: Regelmäßige Penetrationstests, automatisiertes SAST-/DAST-Scanning, Überwachung von Schwachstellen in Abhängigkeiten sowie ein Programm zur verantwortungsvollen Offenlegung (Responsible Disclosure).
— Datenschutz-Folgenabschätzungen (DSFA): Wir führen DSFA für neue Verarbeitungstätigkeiten durch, die voraussichtlich ein hohes Risiko für Einzelpersonen zur Folge haben, wie nach Art. 35 DSGVO vorgeschrieben.
— Mitarbeiterschulung: Alle Mitarbeiter mit Zugriff auf personenbezogene Daten absolvieren beim Onboarding sowie danach jährlich verpflichtende Schulungen zur DSGVO und zur Informationssicherheit.

Verletzungen des Schutzes personenbezogener Daten: Im Falle einer Verletzung, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, benachrichtigen wir die Garante innerhalb von 72 Stunden nach Kenntniserlangung (Art. 33). Ist voraussichtlich mit einem hohen Risiko zu rechnen, benachrichtigen wir Sie unverzüglich direkt (Art. 34), einschließlich der Art der Verletzung, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen.

Unsere Dienste sind professionell und geschäftlich ausgerichtet und richten sich nicht an Personen unter 16 Jahren (oder dem in bestimmten EU-Mitgliedstaaten geltenden höheren digitalen Einwilligungsalter, wie z. B. 13 Jahren in Finnland oder 16 Jahren in den Niederlanden und Irland) und sind nicht für deren Nutzung bestimmt.

Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Bei der Kontoregistrierung müssen Nutzer bestätigen, dass sie das erforderliche Alter erreicht haben. Sollten wir feststellen, dass wir versehentlich personenbezogene Daten eines Minderjährigen erhoben haben, löschen wir diese Daten unverzüglich und schließen das zugehörige Konto.

Wenn Sie glauben, dass ein Minderjähriger ein Konto erstellt oder uns personenbezogene Daten mitgeteilt hat, wenden Sie sich bitte mit den entsprechenden Angaben an [email protected]. Wir werden den Sachverhalt innerhalb von 5 Werktagen untersuchen und Abhilfemaßnahmen ergreifen.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Datenverarbeitungstätigkeiten, Änderungen des geltenden Rechts oder die Einführung neuer Produkte und Dienste widerzuspiegeln. Alle Aktualisierungen werden vor der Veröffentlichung von unserem DSB geprüft.

Wesentliche Änderungen — solche, die Ihre Rechte oder die Art, wie wir Ihre Daten nutzen, maßgeblich beeinflussen — werden Ihnen wie folgt mitgeteilt:
— Benachrichtigung per E-Mail an Ihre registrierte Adresse (für Kontoinhaber), mit einer Vorlaufzeit von mindestens 30 Tagen vor Inkrafttreten der Änderung
— Ein deutlich sichtbarer Hinweis auf unserer Website für denselben Zeitraum von 30 Tagen
— Eine In-Produkt-Benachrichtigung bei Änderungen, die die Plattform betreffen

Geringfügige Änderungen (Korrekturen, Formatierungen, Klarstellungen, die den Inhalt nicht verändern) können ohne vorherige Ankündigung vorgenommen werden. Das Datum „Zuletzt aktualisiert“ am Anfang dieser Richtlinie gibt stets den Zeitpunkt der letzten Überarbeitung an.

Die fortgesetzte Nutzung unserer Dienste nach Inkrafttreten wesentlicher Änderungen gilt als Annahme der überarbeiteten Richtlinie. Wenn Sie die überarbeitete Richtlinie nicht akzeptieren, müssen Sie die Nutzung der betroffenen Dienste einstellen und können nach Abschnitt 09 die Löschung Ihrer Daten verlangen.