Datenschutzerklärung für Kerniva

1. Verantwortlicher

CurveDesign GmbH Mettendorfer Weg 24 91171 Greding Deutschland

Ein Datenschutzbeauftragter ist derzeit nicht benannt.

2. Rollenverteilung bei Kerniva

Als eigener Verantwortlicher verarbeitet CurveDesign insbesondere Daten für Websitebetrieb, Interessenten- und Kundenkommunikation, Accountanlage, Vertragsabschluss, Billing, Steuer- und Buchhaltungspflichten, Missbrauchsprävention und IT-Sicherheit.

Als Auftragsverarbeiter des Kunden verarbeitet CurveDesign Daten, die ein Kunde in Kerniva für Beschäftigte, Mitglieder, eingeladene Nutzer, Aufgaben, Freigaben, Abwesenheiten, Zeiterfassung, Intranet oder Dokumente verarbeitet. Zweck und Rechtsgrundlage dieser fachlichen Mandantenverarbeitung bestimmt grundsätzlich der Kunde.

Betroffene Beschäftigte wenden sich bei Fragen zur fachlichen Verwendung ihrer Arbeitgeberdaten grundsätzlich an ihren Arbeitgeber. CurveDesign unterstützt den Kunden im Rahmen der AVV.

3. Website-, App- und Serverprotokolle

Beim Aufruf von kerniva.io, app.kerniva.io und produktiven Kerniva-Hosts fallen technisch erforderliche Verbindungs- und Protokolldaten an. Dazu können insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, HTTP-Status, technische Request- und Response-Metadaten sowie Browser- oder User-Agent-Informationen gehören.

Zwecke sind Bereitstellung, Fehleranalyse, Stabilität, IT-Sicherheit sowie Missbrauchs- und Angriffserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; soweit unmittelbar zur Vertragsdurchführung erforderlich zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Die Regelaufbewahrung beträgt bis zu 90 Tage, sofern kein konkreter Sicherheitsvorfall, Rechtsanspruch oder gesetzlicher Grund eine zweckgebundene längere Aufbewahrung erfordert.

4. Hosting und Mail – IONOS

Die Kerniva-Produktivumgebung wird auf IONOS-Infrastruktur in Deutschland, derzeit Frankfurt am Main, betrieben. Hierbei können Website-, App-, Account-, Mandanten-, Datenbank-, Verbindungs- und Betriebsdaten verarbeitet werden.

Die Kerniva-Mailboxen werden ebenfalls über IONOS betrieben. Soweit IONOS Daten im Auftrag verarbeitet, erfolgt der Einsatz auf Grundlage einer Vereinbarung zur Auftragsverarbeitung.

Rechtsgrundlagen bei eigenen Verarbeitungen sind Art. 6 Abs. 1 lit. b und f DSGVO. Bei Kundendaten im Mandantenbereich erfolgt die Verarbeitung im Rahmen der Kerniva-AVV.

5. Kontakt und Support

Bei Kontakt über hallo@kerniva.io, support@kerniva.io oder einen anderen geschäftlichen Kanal verarbeiten wir Kontaktdaten, Kommunikationsinhalte, Zeitpunkte und erforderliche Vertrags- oder Accountinformationen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglicher oder vertraglicher Kommunikation; ansonsten Art. 6 Abs. 1 lit. f DSGVO zur Bearbeitung geschäftlicher Anfragen und zur nachvollziehbaren Kommunikation.

6. Registrierung, Account und Organisation

Je nach Rolle verarbeiten wir Name und geschäftliche E-Mail-Adresse, Unternehmen oder Organisation und Mitgliedschaft, Rollen und Berechtigungen, Einladungs- und Accountstatus, Authentifizierungs-, Session- und Sicherheitsmetadaten, dokumentierte Vertrags- und Datenschutzhinweis-Versionen, die B2B-Bestätigung sowie technische Sicherheits- und Missbrauchsschutzdaten.

Die öffentliche Registrierung richtet sich ausschließlich an B2B-Nutzer. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsanbahnung und Vertragsdurchführung sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsprävention und Berechtigungsverwaltung.

7. First-Party-Marketingattribution bei Registrierung

Kerniva kann bei einer erfolgreichen öffentlichen Registrierung gültige Kampagnenkennungen speichern, um den Erfolg eigener geschäftlicher B2B-Marketingmaßnahmen intern auszuwerten. Gezählt werden ausschließlich erfolgreiche Registrierungen und daraus abgeleitete nachgelagerte Conversionstufen. Bloße Seitenaufrufe, Besucher oder Klicks werden durch diese Funktion nicht gezählt. Kerniva erstellt daraus keine website- oder geräteübergreifenden Nutzerpfade, keine kanalübergreifenden Nutzerprofile und keine View-through-Attribution.

Verarbeitet werden können die externen Kampagnenkennungen „utm_source“, „utm_medium“, „utm_campaign“, „utm_content“ und „utm_term“ sowie die interne CTA-Position „source“. „utm_source“ bezeichnet den externen Ursprung einer Kampagne. „source“ bezeichnet ausschließlich die interne Position des Registrierungs-CTAs, beispielsweise eine Tarifkarte oder Modulseite. Beide Angaben werden getrennt behandelt und nicht miteinander vermischt. Es werden ausschließlich zentral validierte, normalisierte und längenbegrenzte Kampagnenkennungen akzeptiert. Ungültige, unbekannte, mehrfach vorkommende oder überlange Werte werden verworfen. Kampagnenkennungen dürfen keine Namen, E-Mail-Adressen, Kundenangaben, Kontaktinformationen oder andere personenbezogene Freitexte enthalten.

Nicht als Marketingattribution gespeichert werden die vollständige Landing-URL, der vollständige Query-String, der vollständige Referrer, die IP-Adresse, der User-Agent, ein Anti-Abuse-Fingerprint, eine Cookie-ID, eine Besucher-ID, eine Geräte-ID, ein Social-Media-Profil, Zahlungsdaten oder Stripe-Metadaten. Technisch erforderliche Server- und Sicherheitsprotokolle bleiben von den gesonderten Angaben dieser Datenschutzerklärung unberührt.

Die Marketingwebsite speichert keine Attribution. Gültige Kampagnenkennungen werden dort ausschließlich in der URL gehalten und an die öffentliche Registrierungsroute übergeben. Die Kerniva-Plattform speichert die Attribution erst, wenn eine neue öffentliche Registrierung erfolgreich akzeptiert und ein Benutzerkonto angelegt wurde. Ein bloßer Seitenaufruf, ein Formularaufruf oder ein abgebrochener Registrierungsvorgang speichert keine Attribution. Honeypot-, Bot-, Rate-Limit- oder anderweitig abgewiesene Anfragen erzeugen ebenfalls keine Attribution. Registrierungsversuche für bereits bestehende Benutzerkonten erzeugen keine neue Attribution; bestehende Konten werden nicht nachträglich einer Kampagne zugeordnet.

Direkte Registrierungen ohne gültige Kampagnenkennungen werden intern als „Nicht zugeordnet“ behandelt. Der erste erfolgreich akzeptierte öffentliche Registrierungsvorgang bestimmt die unveränderliche Signup-Attribution. Spätere Registrierungsversuche oder erneut übermittelte Kampagnenkennungen überschreiben diese Zuordnung nicht.

Die Attribution wird mit dem neu angelegten Benutzerkonto und der öffentlichen Onboarding-Session verknüpft. Sie kann außerdem einmalig der ersten Organisation zugeordnet werden, die über diesen öffentlichen Onboardingprozess entsteht. Später zusätzlich angelegte Organisationen erhalten diese Attribution nicht automatisch. Durch die Verknüpfung mit einem Benutzerkonto kann ein Personenbezug entstehen. Die Attribution wird nicht aus späteren URLs, E-Mails, Logins, Checkout-Rückkehrseiten oder Stripe-Daten rekonstruiert. Kampagnenkennungen werden weder für Verifizierungs-E-Mails benötigt noch an Stripe übermittelt.

Die interne aggregierte Auswertung kann die Stufen erfolgreiche Registrierung, bestätigter Account, erste Organisation angelegt, Trial gestartet, kostenpflichtig geworden und aktuell zahlend unterscheiden. Der betrachtete Zeitraum richtet sich nach dem Zeitpunkt der Registrierung. „Kostenpflichtig geworden“ ist eine historische Conversionstufe. „Aktuell zahlend“ ist eine gegenwärtige Momentaufnahme. Eine spätere Kündigung entfernt die historische kostenpflichtige Conversion nicht. Die Löschung eines Ausgangsdatensatzes kann aggregierte historische Zahlen jedoch reduzieren.

Der Marketingreport ist kein Tenant- oder Organisationsreport. Normale Owner, Organisationsadministratoren, Mitglieder und Mitarbeitende erhalten keinen Zugriff. Der Zugriff ist auf ausdrücklich berechtigte globale Kerniva-Plattformadministratoren begrenzt. Standardansicht und CSV-Export sind aggregiert; darin erscheinen keine Namen, E-Mail-Adressen, Benutzer-IDs, Organisations-IDs oder Onboarding-IDs.

Die Attribution wird durch diese Funktion nicht an LinkedIn, Instagram, Facebook, Metricool, Google, Stripe oder andere Werbe- oder Analyseplattformen übermittelt. Davon zu unterscheiden ist die bereits in dieser Datenschutzerklärung beschriebene technische Verarbeitung durch Hosting- und Infrastrukturauftragsverarbeiter.

Die Funktion verwendet keine Marketing-Cookies, keine Attribution im localStorage, sessionStorage oder IndexedDB, keine Besucher-ID, kein Trackingpixel, keinen Beacon, kein Analytics- oder Marketingtag und keine externe Trackinganfrage. Durch diese Funktion werden keine Drittanbieter-Analytics eingebunden.

Die Attributionsdaten werden gespeichert, bis das verknüpfte Benutzerkonto, die öffentliche Onboarding-Session oder die zugeordnete erste Organisation gelöscht wird. Die Löschung eines dieser maßgeblichen Ausgangsdatensätze entfernt auch die Attribution. Es bleibt kein anonymisierter Marketing-Restdatensatz zurück, und es wird keine zweite dauerhafte Aggregationstabelle aufgebaut. Historische Funnelzahlen können deshalb nachträglich sinken. Datenschutz- und Löschanforderungen haben Vorrang vor unveränderlichen Marketingstatistiken.

Die Verarbeitung der Kampagnenkennungen zur internen Erfolgsmessung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der datensparsamen Bewertung, welche eigenen B2B-Marketingmaßnahmen zu erfolgreichen Registrierungen und nachgelagerten Conversionstufen führen, sowie in der wirtschaftlichen Optimierung unserer Marketingkommunikation und unseres Angebots. Bei der Ausgestaltung berücksichtigen wir insbesondere, dass keine bloßen Seitenaufrufe oder Klicks erfasst, keine Marketing-Cookies oder vergleichbaren clientseitigen Speichertechniken eingesetzt und keine Kampagnenkennungen an Werbe- oder Analyseplattformen zurückübermittelt werden.

Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gemäß Art. 21 Abs. 1 DSGVO widersprechen. Eine formlose Nachricht an die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten genügt. Nach einem Widerspruch verarbeiten wir die betroffenen Attributionsdaten nicht weiter, sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen.

8. 14-tägige Testphase

Kerniva sieht im Self-Service eine 14-tägige Testphase vor. Sie beginnt erst nach abgeschlossenem Stripe Hosted Checkout, erfolgreicher Hinterlegung einer wiederverwendbaren Zahlungsmethode und technischer Synchronisierung des Providerstatus.

Das Ende einer nicht konvertierten Testphase plant derzeit keine Organisationslöschung. Eine automatische Löschung allein aufgrund des Trialendes ist nicht implementiert; für eine Organisationslöschung gilt der in Abschnitt 15 beschriebene owner-initiierte Prozess.

9. Billing, Stripe und Stripe Automatic Tax

Für Self-Service-Billing wird Stripe eingesetzt. Im Stripe Hosted Checkout werden insbesondere Rechnungsadresse, erforderliche Steuerinformationen oder Tax-ID und Zahlungsmethode erfasst. Kerniva verarbeitet die für Vertrag, Subscription und Provider-Synchronisierung erforderlichen Billinginformationen und Providerreferenzen.

Stripe Automatic Tax ist produktiv aktiviert und bestimmt die steuerliche Behandlung anhand der hinterlegten Standort-, Rechnungs- und Steuerinformationen.

Stripe kann abhängig vom konkreten Dienst und Verarbeitungsvorgang als Auftragsverarbeiter und/oder als eigenständig Verantwortlicher tätig sein, insbesondere für eigene gesetzliche, regulatorische, Zahlungs- oder Betrugspräventionszwecke.

Rechtsgrundlagen bei CurveDesign sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsdurchführung und Zahlung, Art. 6 Abs. 1 lit. c DSGVO für steuer- und handelsrechtliche Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchs- und Betrugsprävention, soweit einschlägig.

Soweit Drittlandtransfers stattfinden, sind die von Stripe für die konkrete Verarbeitung angebotenen und vereinbarten Transfermechanismen maßgeblich.

10. Transaktionale E-Mails – Amazon SES

Kerniva versendet system- und transaktionsbezogene E-Mails über Amazon Web Services Simple Email Service in der Region eu-central-1. Verarbeitet werden insbesondere Empfängeradresse, Nachrichteninhalt, Versandzeitpunkt und technische Zustell- oder Fehlermetadaten.

Zwecke sind Account-, Einladungs-, Workflow-, Sicherheits- und sonstige erforderliche Produktkommunikation. Rechtsgrundlagen bei eigenen Kundendaten sind Art. 6 Abs. 1 lit. b und f DSGVO. Bei Mandantendaten erfolgt die Verarbeitung als Auftragsverarbeitung.

11. Dokumentenspeicher – Amazon S3

Soweit der gebuchte Tarif die Dokumentenfunktion umfasst, werden Dateien und zugehörige Metadaten über Amazon S3 in eu-central-1 gespeichert. Der produktive Betrieb sieht serverseitige Verschlüsselung mit AES-256 und einen GuardDuty-basierten Malwaremodus vor.

Dokumente können personenbezogene und besonders schutzbedürftige Inhalte enthalten. Der Kunde bleibt für Zweck, Rechtsgrundlage, Datenminimierung und Zugriffsberechtigungen verantwortlich; CurveDesign verarbeitet diese Daten im Rahmen der AVV.

12. Beschäftigten-, Zeit- und Abwesenheitsdaten

Je nach Modul können Kunden Mitarbeiterstammdaten, Arbeitszeiten, Auswertungen, Abwesenheiten, Aufgaben, Freigaben, Intranet- und Dokumentinformationen verarbeiten.

Die Angabe „Krankheit“ kann Gesundheitsdaten im Sinne von Art. 9 DSGVO offenbaren. Für diese Verarbeitung bestimmt der Arbeitgeber oder Kunde die Rechtsgrundlage. Im deutschen Beschäftigungskontext kann je nach Einzelfall insbesondere § 26 BDSG in Verbindung mit Art. 9 DSGVO relevant sein.

Kerniva ersetzt keine arbeits- oder datenschutzrechtliche Prüfung. Nutzer sollen keine Diagnosen oder medizinisch nicht erforderlichen Details in Freitextfelder eintragen.

13. Web Push

Web Push ist im Produkt verfügbar, freiwillig und wird erst nach ausdrücklicher Nutzeraktion aktiviert. Kerniva fordert die Browserberechtigung nicht automatisch beim Seitenaufruf an.

Bei Aktivierung verarbeiten wir insbesondere eine browser- oder gerätebezogene Push-Subscription, den technischen Endpoint und kryptografische Zustellschlüssel sowie die Zuordnung zum Nutzer und Mandanten. Diese Werte sollen weder in der Benutzeroberfläche noch in Betriebslogs offengelegt werden.

Push-Nachrichten sind auf ausgewählte Workflowereignisse beschränkt und enthalten keine vorgesehenen Diagnose-, Dokument-, Rechnungs- oder sonstigen sensitiven Detailinhalte. Die technische Zustellung erfolgt über den vom Browser oder Betriebssystem vorgesehenen Push-Dienst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Aktivierung ist freiwillig und kann durch Abmelden des Geräts oder Entzug der Browserberechtigung widerrufen werden.

14. Notwendige Speicher- und Sessionfunktionen

Kerniva verwendet technisch notwendige Speicher- und Zugriffstechnologien für Sicherheit, Sessionsteuerung, Einstellungen und ausdrücklich angeforderte Funktionen. Soweit ein Zugriff auf die Endeinrichtung unbedingt erforderlich ist, erfolgt er nach § 25 Abs. 2 TDDDG.

Auf der Marketingwebsite sind weder Google Analytics 4 noch Google Ads Conversion Tracking oder das LinkedIn Insight Tag aktiv. Es werden keine Analytics- oder Marketingtracking-Skripte geladen und kein Consent-Manager benötigt.

15. Speicherdauer und Löschung

Kerniva stellt einen owner-initiierten Organisationslöschprozess bereit. Nach beendeter Subscription, ohne offene Billing-Changes und ohne laufenden Payment- oder Checkout-Vorgang kann ein aktiver Owner die Löschung anfordern. Erst nach der Bestätigung über den vorgesehenen E-Mail-Link beginnt eine 30-tägige Karenz. Der Löschworker verarbeitet ausschließlich bestätigte und bereits zur Löschung vorgemerkte Anträge nach Ablauf dieser Karenz. Die geplante Löschung kann innerhalb der Karenz über den vorgesehenen sicheren Lifecycle zurückgenommen werden.

Eine automatische Löschung allein aufgrund des Trial- oder Vertragsendes ist derzeit nicht implementiert.

Daten, die aus aktiven Systemen gelöscht wurden, können bis zum Ablauf der Backup-Rotation in Sicherungen enthalten sein. Backups werden nur für Wiederherstellung und Notfälle verwendet; nach einem Restore müssen bereits fällige Löschungen erneut angewendet werden.

Steuer-, handels- und abrechnungsrelevante Unterlagen können nach der für den jeweiligen Dokumenttyp geltenden gesetzlichen Aufbewahrungspflicht länger aufzubewahren sein.

• Generierte Organisationsexporte: 24 Stunden.
• Trial- oder Vertragsende: keine automatische Planung einer Organisationslöschung.
• Bestätigter Owner-Löschantrag: 30-tägige Karenz ab Bestätigung über den vorgesehenen E-Mail-Link.
• Backups: 30-Tage-Rotation.
• Betriebs- und Security-Logs: bis zu 90 Tage.

16. Empfänger und Dienstleister

Für Mandantendaten gelten zusätzlich die Unterauftragnehmerregelungen der Kerniva-AVV. Analytics- und Marketinganbieter sind derzeit keine aktiven Empfänger der Marketingwebsite.

• IONOS – Hosting, Serverbetrieb und Kerniva-Mailboxen.
• Amazon Web Services – SES, S3 und zugehörige Sicherheits- und Betriebsdienste in eu-central-1.
• Stripe – Billing, Zahlung und Steuerberechnung.
• Browser- und Betriebssystemanbieter – nur bei freiwillig aktiviertem Web Push für die technische Zustellung.

17. Drittlandübermittlungen

Auch bei primärer Speicherung in Deutschland beziehungsweise eu-central-1 können international organisierte Anbieter in bestimmten Fällen Zugriffe oder Übermittlungen außerhalb des EWR vorsehen. Soweit erforderlich, werden die für den konkreten Dienst tatsächlich vereinbarten zulässigen Transfermechanismen eingesetzt. Regionale Speicherung allein schließt internationale Support- oder Konzernzugriffe nicht zwingend aus.

18. Pflicht zur Bereitstellung

Daten, die für Account, Vertrag, Billing oder Sicherheit erforderlich sind, müssen bereitgestellt werden, soweit andernfalls der Vertrag oder die gewünschte Kerniva-Funktion nicht durchgeführt werden kann. Web Push ist freiwillig.

19. Automatisierte Entscheidungen

Kerniva trifft nach derzeitiger Produktkonzeption keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Beschäftigte oder Kunden im Sinne von Art. 22 DSGVO.

20. Rechte betroffener Personen

Soweit die gesetzlichen Voraussetzungen vorliegen, bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Soweit CurveDesign Daten ausschließlich im Auftrag eines Kerniva-Kunden verarbeitet, unterstützen wir den verantwortlichen Kunden bei der Bearbeitung von Betroffenenanfragen.

21. Beschwerderecht

Betroffene können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für nichtöffentliche Stellen in Bayern ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, zuständig.

22. Änderungen

Wir passen diese Hinweise an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Materielle Änderungen werden versioniert, soweit dies erforderlich ist.