Datenschutzerklärung

Datenschutzerklärung für die Websites und die BenchTrust-Plattform
Stand: Juli 2026 · Version 5.0

§ 1 Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

BenchTrust GmbH, Lange Straße 75, 76530 Baden-Baden, Deutschland

Vertreten durch die Geschäftsführer Bernd Burkhardt und Holger Schmeding. Registergericht: Amtsgericht Mannheim, HRB 758170. E-Mail: contact@benchtrust.com.

Datenschutzkontakt: datenschutz@benchtrust.com.

Datenschutzbeauftragter

Die BenchTrust GmbH ist gesetzlich nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen (§ 38 Abs. 1 BDSG i. V. m. Art. 37 DSGVO), und hat daher keine solche Person bestellt. Die Einhaltung der datenschutzrechtlichen Vorgaben verantwortet die Geschäftsführung der BenchTrust GmbH.

Für Fragen zur Verarbeitung Ihrer personenbezogenen Daten sowie zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte unmittelbar an den oben genannten Verantwortlichen:

E-Mail: datenschutz@benchtrust.com

Postanschrift: BenchTrust GmbH, Lange Straße 75, 76530 Baden-Baden

§ 2 Geltungsbereich

(1) Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten im Zusammenhang mit www.benchtrust.com, den dort angebotenen Formularen und der BenchTrust-Plattform einschließlich der Module Analytics, Scores, Showcase, RFP und Lead Engine.

(2) Für externe Angebote, auf die lediglich verlinkt wird, gelten die Datenschutzhinweise des jeweiligen Anbieters. Die in dieser Erklärung verwendeten Begriffe entsprechen Art. 4 DSGVO.

§ 3 Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit eine Rechtsgrundlage besteht. Insbesondere kommen in Betracht:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung;
• Art. 6 Abs. 1 lit. b DSGVO — Vertrag oder vorvertragliche Maßnahmen, wenn die betroffene Person selbst Vertragspartei ist;
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen;
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen nach dokumentierter Interessenabwägung.

Wir beachten insbesondere Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sollen über die Plattform grundsätzlich nicht übermittelt werden, sofern dies nicht ausdrücklich vorgesehen und rechtlich abgesichert ist.

§ 4 Pflichtangaben und Folgen der Nichtbereitstellung

Soweit Angaben für einen Vertrag, eine gewünschte Kontaktanbahnung oder aufgrund gesetzlicher Pflichten erforderlich sind, können wir die betreffende Leistung ohne diese Angaben nicht erbringen. Als freiwillig gekennzeichnete Angaben können ohne Nachteil weggelassen werden.

§ 5 Websites, Hosting, Server-Logfiles und lokale Schriftarten

(1) Bei jedem Aufruf verarbeiten wir technische Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, übertragene Datenmenge, Referrer, Browser-, Geräte- und Betriebssysteminformationen. Zweck ist die sichere, stabile und fehlerfreie Bereitstellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb und in der Abwehr von Missbrauch.

(2) Reguläre Server-Logfiles werden nach 14 Tagen gelöscht. Bei konkreten Sicherheitsvorfällen dürfen einschlägige Protokolldaten bis zur Aufklärung, Abwehr und erforderlichen Rechtsverfolgung gesondert gespeichert werden.

(3) Die Websites werden unter Mitwirkung der Vercel Inc. (Hosting und Funktionsbereitstellung, Verarbeitungsregion Frankfurt/fra1) und der IONOS SE (E-Mail/SMTP, Deutschland) betrieben. Die genaue Rollenverteilung, Verarbeitungsregion und Drittlandabsicherung ergibt sich aus Anlage 2.

(4) Die von uns eingesetzten Web Fonts werden lokal bereitgestellt; es wird keine Verbindung zu Google Fonts aufgebaut.

§ 6 Cookies, lokale Speichertechnologien und Einwilligungsverwaltung

(1) Informationen auf Endeinrichtungen speichern oder lesen wir ohne Einwilligung nur, soweit dies für den ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG). Die anschließende Verarbeitung personenbezogener Daten erfolgt auf der jeweils angegebenen Rechtsgrundlage, regelmäßig Art. 6 Abs. 1 lit. f DSGVO.

(2) Derzeit setzen wir keine nicht unbedingt erforderlichen Cookies oder vergleichbaren Technologien ein, die einer Einwilligung nach § 25 Abs. 1 TDDDG bedürfen. Ein Einwilligungsbanner (Consent-Management) ist daher nicht im Einsatz.

(3) Sollten künftig einwilligungspflichtige Technologien eingesetzt werden, holen wir vorher Ihre Einwilligung ein, stellen ein entsprechendes Verwaltungswerkzeug bereit und ergänzen eine Übersicht der eingesetzten Technologien, Anbieter, Zwecke und Laufzeiten.

§ 7 Kontaktaufnahme

Bei einer Kontaktaufnahme verarbeiten wir die mitgeteilten Daten zur Bearbeitung und Dokumentation der Anfrage. Bei Anfragen der betroffenen Person zu einem eigenen Vertrag gilt Art. 6 Abs. 1 lit. b DSGVO; bei geschäftlicher Kommunikation für ein Unternehmen gilt regelmäßig Art. 6 Abs. 1 lit. f DSGVO (Interesse an sachgerechter Kommunikation und Geschäftsanbahnung). Daten werden nach Abschluss der Anfrage gelöscht, sofern keine Anschlusskommunikation, Aufbewahrungspflicht oder erforderliche Rechtsverteidigung entgegensteht; Regelfrist: 6 Monate.

§ 8 Registrierung, Organisationskonten und Nutzerverwaltung

(1) Für Nutzerkonten verarbeiten wir Identitäts-, geschäftliche Kontakt-, Unternehmens-, Rollen-, Berechtigungs-, Authentifizierungs- und Kontoeinstellungsdaten sowie sicherheitsrelevante Nutzungsprotokolle.

(2) Ist die betroffene Person selbst Vertragspartei, gilt Art. 6 Abs. 1 lit. b DSGVO. Handelt sie für ein Unternehmen, gilt Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der Durchführung des Nutzungsverhältnisses mit dem Unternehmen, einer eindeutigen Zuordnung und einer sicheren Berechtigungsverwaltung.

(3) Kontodaten werden grundsätzlich für die Vertragsdauer gespeichert. Nach Beendigung erfolgt die Löschung oder Sperrung nach den in Anlage 1 genannten Fristen, soweit gesetzliche Aufbewahrung, Missbrauchsprävention oder Rechtsverteidigung eine weitere Speicherung erfordern.

§ 9 Plattformfunktionen, Analytics, Match Score und BenchTrust Score

(1) Im Rahmen der Plattform verarbeiten wir vom Nutzer bereitgestellte Bedarfs-, Unternehmens-, Profil-, Dokument-, Anfrage- und Interaktionsdaten sowie daraus erzeugte Analysen, Vergleiche, Berichte und Kennwerte.

(2) Ist die betroffene Person selbst Vertragspartei, erfolgt die Verarbeitung zur Leistungserbringung nach Art. 6 Abs. 1 lit. b DSGVO. Für Beschäftigte, Organmitglieder und Ansprechpartner eines Unternehmenskunden gilt Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt in der Erbringung der vom Unternehmen beauftragten Plattformleistungen.

(3) BenchTrust Scores und Match Scores beziehen sich ausschließlich auf juristische Personen. Für natürliche Personen, insbesondere Einzelunternehmer, eingetragene Kaufleute und Freiberufler, werden keine Kennwerte erstellt oder bereitgestellt. Personenbezogene Daten von Organmitgliedern, Beschäftigten oder Ansprechpartnern werden nicht als Score-Merkmale verwendet.

§ 10 Showcase und Reichweitenstatistiken

(1) Showcase ermöglicht registrierten Anbietern erweiterte Profil-, Darstellungs- und Sichtbarkeitsfunktionen sowie unternehmensbezogene Reichweiten- und Leistungsstatistiken.

(2) Verarbeitet werden Profil- und Unternehmensdaten, Abonnement- und Abrechnungsdaten sowie Statistikdaten wie Impressionen, Profilaufrufe und Kontaktanfragen. Personenbezogene Nutzerstatistiken werden dem Anbieter nicht offengelegt, sofern dies nicht für eine vom Nutzer ausgelöste Kontaktanbahnung erforderlich ist.

(3) Für Vertragsparteien gilt Art. 6 Abs. 1 lit. b DSGVO. Für handelnde Personen und die technische Bereitstellung aggregierter Statistiken gilt Art. 6 Abs. 1 lit. f DSGVO.

(4) Die Reichweiten- und Nutzungsstatistik erfolgt über eine selbst betriebene, aggregierte Auswertung. Es wird keine dauerhafte Kennung auf dem Endgerät gespeichert oder ausgelesen; eine Einwilligung ist daher nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Rohdaten werden nach 14 Tagen gelöscht; anonyme, aggregierte Kennzahlen können darüber hinaus aufbewahrt werden.

§ 11 Gelistete Unternehmen und geschäftliche Ansprechpartner (Art. 14 DSGVO)

(1) BenchTrust stellt Unternehmen dar, vergleicht deren Angebote und bewertet ausschließlich juristische Personen. Soweit dabei Daten geschäftlicher Ansprechpartner verarbeitet werden, erheben wir diese nicht immer unmittelbar bei der betroffenen Person.

(2) Datenkategorien sind Name, geschäftliche Funktion, Unternehmen, geschäftliche Kontaktdaten und gegebenenfalls die Quelle und der Aktualitätsstand. Quellen sind Unternehmenswebsites, öffentliche Register, öffentlich zugängliche Branchenverzeichnisse, Presse- und Fachveröffentlichungen sowie Angaben des betreffenden Unternehmens.

(3) Zweck ist die sachgerechte Darstellung von Unternehmen und die Ermöglichung einer geschäftlichen Kontaktaufnahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer aktuellen, transparenten B2B-Marktübersicht. Empfänger sind Nutzer der Plattform und die in Anlage 2 genannten Dienstleister.

(4) Wir informieren betroffene Personen spätestens innerhalb eines Monats nach Erlangung der Daten, bei vorheriger Kontaktaufnahme spätestens zum Zeitpunkt der ersten Mitteilung und bei vorheriger Offenlegung spätestens zum Zeitpunkt der ersten Offenlegung. Gesetzliche Ausnahmen des Art. 14 Abs. 5 DSGVO werden nur nach dokumentierter Einzelfallprüfung angewendet.

(5) Geschäftliche Ansprechpartnerdaten werden regelmäßig auf Richtigkeit überprüft und gelöscht oder berichtigt, wenn sie nicht mehr erforderlich, nachweislich unzutreffend oder wirksam beanstandet sind.

§ 12 Vom Einkäufer ausgelöste RFP- und Kontaktweitergabe

(1) Wenn ein Einkäufer ausdrücklich eine Anfrage absendet oder die Kontaktaufnahme mit ausgewählten Anbietern auslöst, übermitteln wir die freigegebenen Bedarfsinformationen und geschäftlichen Kontaktdaten an diese Anbieter. Vor dem Absenden werden Empfänger und Datenumfang angezeigt.

(2) Ist der Einkäufer selbst Vertragspartei, gilt Art. 6 Abs. 1 lit. b DSGVO. Für Beschäftigte oder Vertreter eines Unternehmenskunden gilt Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der vom Nutzer gewünschten Geschäftsanbahnung.

(3) Die ausgewählten Anbieter verarbeiten die empfangenen Daten anschließend in eigener Verantwortung. Sie dürfen die Daten nur für die konkrete Anfrage und eine damit zusammenhängende Kommunikation verwenden, sofern keine weitere Rechtsgrundlage besteht.

§ 13 Lead Engine — Geschäftskontakte und Leadqualifizierung

(1) Im Rahmen der Lead Engine recherchieren, prüfen, qualifizieren und übermitteln wir geschäftliche Kontakte an beauftragende Anbieter. Je nach konkreter Ausgestaltung handelt BenchTrust als eigener Verantwortlicher, als Auftragsverarbeiter nach dokumentierter Weisung oder gemeinsam mit dem beauftragenden Anbieter verantwortlich. Bei gemeinsamer Festlegung von Zwecken und wesentlichen Mitteln schließen die Beteiligten eine Vereinbarung nach Art. 26 DSGVO und stellen deren wesentlichen Inhalt den betroffenen Personen zur Verfügung.

(2) Verarbeitet werden ausschließlich geschäftlich relevante Daten wie Name, Funktion, Unternehmen, geschäftliche E-Mail-Adresse oder Telefonnummer, fachliche Zuständigkeit, Herkunft und Aktualitätsstatus sowie dokumentierte Qualifizierungsmerkmale. Private Kontaktdaten und besondere Kategorien personenbezogener Daten werden nicht gezielt erhoben.

(3) Quellen sind öffentlich zugängliche Verzeichnisse und Angaben des beauftragenden Anbieters sowie geeignete Anreicherungsdienste; die konkreten Quellen und Dienste werden vor Aktivierung des Moduls verbindlich festgelegt und in Anlage 2 ausgewiesen. Vor einer Übermittlung prüfen wir Quelle, Plausibilität, geschäftlichen Bezug und Aktualität. Daten aus rechtswidrigen oder nicht nachvollziehbaren Quellen werden nicht verwendet.

(4) Zweck ist die Identifikation und Qualifizierung potenziell relevanter geschäftlicher Ansprechpartner für konkret festgelegte B2B-Angebote. Rechtsgrundlage für die eigene Recherche und Qualifizierung ist Art. 6 Abs. 1 lit. f DSGVO, sofern die dokumentierte Interessenabwägung im jeweiligen Anwendungsfall zugunsten der Verarbeitung ausfällt. Dabei berücksichtigen wir insbesondere Quelle, Funktion, Erwartbarkeit, Datenumfang, Kontaktweg, Angebotsrelevanz und Widerspruchsmöglichkeiten.

(5) Die Leadqualifizierung kann Profiling im Sinne des Art. 4 Nr. 4 DSGVO darstellen. Sie dient nur der Einschätzung geschäftlicher Relevanz und führt nicht zu einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Die Qualifizierungskriterien werden vor Aktivierung konkret und verständlich festgelegt.

(6) Empfänger sind ausschließlich die beauftragenden Anbieter, für deren konkret festgelegtes Angebot der geschäftliche Bezug geprüft wurde, sowie die in Anlage 2 genannten Auftragsverarbeiter. Eine Weitergabe an allgemeine Verteiler oder nicht benannte Dritte erfolgt nicht.

(7) Die Information nach Art. 14 DSGVO erfolgt spätestens innerhalb eines Monats nach Erlangung der Daten, bei einer früheren Kontaktaufnahme spätestens bei der ersten Mitteilung und bei einer früheren Offenlegung spätestens vor oder mit der ersten Offenlegung an den Anbieter.

(8) Eine werbliche Ansprache darf nur über einen nach § 7 UWG zulässigen Kontaktweg erfolgen. Werbung per E-Mail oder vergleichbarer elektronischer Post setzt grundsätzlich eine vorherige Einwilligung oder eine nachweislich anwendbare gesetzliche Ausnahme voraus. Telefonwerbung gegenüber sonstigen Marktteilnehmern setzt zumindest eine dokumentierte mutmaßliche Einwilligung voraus. BenchTrust und beauftragende Anbieter dokumentieren die jeweilige Zulässigkeit vor der Ansprache.

(9) Betroffene können einer Verarbeitung für Direktwerbung einschließlich des damit verbundenen Profilings jederzeit ohne Angabe von Gründen widersprechen. Danach werden die Daten nicht mehr für Direktwerbung oder Leadgenerierung verwendet. Zur dauerhaften Beachtung des Widerspruchs speichern wir die erforderlichen Mindestdaten in einer Sperrliste.

(10) Nicht übermittelte oder nicht bestätigte Leads werden regelmäßig spätestens nach 6 Monaten gelöscht. Übermittelte Leadunterlagen werden spätestens nach 12 Monaten nach letzter Aktualisierung oder Interaktion gelöscht, sofern keine Rechtsverteidigung oder vertragliche Dokumentation eine längere, gesperrte Aufbewahrung erfordert. Sperrlistendaten werden solange gespeichert, wie dies zur Beachtung des Widerspruchs erforderlich ist.

§ 13a Eigene Geschäftsanbahnung und Anbietergewinnung

(1) Zur Gewinnung von Anbietern für die Plattform recherchieren wir geschäftliche Kontaktdaten potenzieller Anbieterunternehmen und sprechen diese zur Geschäftsanbahnung an. Verarbeitet werden ausschließlich geschäftliche Daten wie Name, Funktion, Unternehmen sowie geschäftliche E-Mail-Adresse oder Telefonnummer.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Gewinnung geeigneter Anbieter für unsere B2B-Plattform. Als Quellen dienen öffentlich zugängliche Verzeichnisse sowie der Rechercheeinsatz des Dienstes Apollo.io (siehe Anlage 2). Plattform- und Kundendaten werden hierfür nicht verwendet und nicht an Apollo.io übermittelt.

(3) Da wir diese Daten nicht unmittelbar bei der betroffenen Person erheben, informieren wir sie nach Art. 14 DSGVO spätestens zum Zeitpunkt der ersten Kontaktaufnahme, insbesondere durch einen Datenschutzhinweis in der ersten geschäftlichen Nachricht.

(4) Eine werbliche Ansprache erfolgt nur über einen nach § 7 UWG zulässigen Kontaktweg. Betroffene können der Verarbeitung für Zwecke der Direktwerbung jederzeit ohne Angabe von Gründen widersprechen (datenschutz@benchtrust.com); zur dauerhaften Beachtung des Widerspruchs speichern wir die erforderlichen Mindestdaten in einer Sperrliste.

(5) Nicht weiterverwendete Kontaktdaten werden regelmäßig spätestens 12 Monate nach dem letzten Kontakt gelöscht, sofern keine Rechtsverteidigung oder vertragliche Dokumentation eine längere, gesperrte Aufbewahrung erfordert.

§ 14 Zahlungsabwicklung

Für kostenpflichtige Leistungen verarbeiten wir Vertrags-, Rechnungs- und Zahlungsdaten. Bei Vertragsparteien gilt Art. 6 Abs. 1 lit. b DSGVO; für steuer- und handelsrechtliche Unterlagen Art. 6 Abs. 1 lit. c DSGVO. Der Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland) verarbeitet Zahlungsdaten im Rahmen seiner Leistung regelmäßig in eigener Verantwortung; ergänzend gilt dessen Datenschutzerklärung. BenchTrust erhält nur die für Status, Zuordnung, Abrechnung und Rückabwicklung erforderlichen Daten.

§ 15 Automatisierte Analysefunktionen und Einsatz künstlicher Intelligenz

(1) Ein Teil unserer Funktionen beruht auf regelbasierten Auswertungen eigener, in unserer Datenbank hinterlegter Katalog- und Bewertungsdaten. Die auf der Plattform angezeigten BenchTrust Scores und Match Scores beziehen sich ausschließlich auf juristische Personen; für ihre Anzeige werden keine personenbezogenen Nutzereingaben an externe KI-Anbieter übermittelt.

(2) Daneben bieten wir KI-gestützte Funktionen an, insbesondere den KI-Assistenten zu Anbieterprofilen sowie generative Smart-Analytics-Werkzeuge (etwa zur Bedarfs- und Angebotsanalyse, zur RFP-Erstellung sowie für Vergleichs- und Empfehlungsfunktionen). Für diese Funktionen setzen wir externe KI-Dienste ein: Google Gemini (Google Ireland Ltd. / Google LLC) zur Erzeugung und Zusammenfassung von Antworten sowie den Recherchedienst Perplexity (Perplexity AI, Inc.) zur Suche auf öffentlich zugänglichen Quellen, insbesondere der offiziellen Website des jeweiligen Anbieters. Google verarbeitet die übermittelten Eingaben im Rahmen der kostenpflichtigen Gemini API (Paid Services) als Auftragsverarbeiter und nutzt sie nicht zu eigenen Trainingszwecken. Auch Perplexity ist im Rahmen der kostenpflichtigen API-Nutzung auf Grundlage eines Auftragsverarbeitungsvertrags weisungsgebunden für uns tätig und nutzt die übermittelten Inhalte nicht zu Trainingszwecken. Einzelheiten zu Rollen, Verarbeitungsregion und Drittlandgrundlage der eingesetzten KI-Dienste enthält Anlage 2.

(3) Bei Nutzung dieser Funktionen werden die von Ihnen eingegebenen Inhalte (etwa Ihre Frage oder Ihre Eingaben in das jeweilige Werkzeug) sowie der zugehörige fachliche Kontext an die genannten Dienste übermittelt und dort verarbeitet, um die angeforderte Antwort zu erzeugen. Der KI-Assistent stützt seine Antworten dabei vorrangig auf öffentlich zugängliche Informationen von der offiziellen Website des Anbieters sowie auf unsere eigenen Katalogdaten. Bitte geben Sie in diese Funktionen keine besonderen Kategorien personenbezogener Daten und keine für die Anfrage nicht erforderlichen vertraulichen Informationen ein.

(4) Rechtsgrundlage ist bei einer durch die betroffene Person angeforderten Vertragsfunktion Art. 6 Abs. 1 lit. b DSGVO; bei handelnden Personen eines Unternehmenskunden Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Bereitstellung der beauftragten KI-gestützten Funktion). Anbieter, Rollen, Verarbeitungsregionen und Drittlandgarantien der eingesetzten KI-Dienste ergeben sich aus Anlage 2.

(5) Analyse-, Bewertungs- und KI-Ergebnisse können fehlerhaft sein und beziehen sich auf juristische Personen. Sie werden bei rechtlich oder wirtschaftlich bedeutsamen Vorgängen nicht ohne angemessene menschliche Prüfung als alleinige Entscheidungsgrundlage verwendet. Transparenzhinweise nach Art. 50 der KI-Verordnung stellen wir ab deren Anwendbarkeit bereit.

§ 16 Moderation, Meldungen und Beschwerden

Bei Meldungen, Beschwerden und Moderationsentscheidungen verarbeiten wir Kontaktdaten, Meldeinhalt, betroffene Inhalte, Nachweise, Stellungnahmen sowie Entscheidungs- und Kommunikationsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten insbesondere nach dem Digital Services Act erfüllt werden, sowie Art. 6 Abs. 1 lit. f DSGVO (Interesse an Rechtssicherheit, Missbrauchsabwehr und Schutz der Plattform). Die Speicherdauer richtet sich nach dem Verfahren und erforderlichen Rechtsbehelfs- und Verjährungsfristen.

§ 17 Empfänger und datenschutzrechtliche Rollen

(1) Intern erhalten ausschließlich Personen Zugriff, die ihn für ihre Aufgaben benötigen. Externe Dienstleister werden nach Art. 28 DSGVO gebunden, soweit sie ausschließlich in unserem Auftrag und nach unseren Weisungen handeln.

(2) Zahlungsdienstleister, ausgewählte Anbieter nach einer RFP-Weitergabe und sonstige Stellen können für ihre weitere Verarbeitung eigene Verantwortliche sein. Legen BenchTrust und ein Partner Zwecke und wesentliche Mittel gemeinsam fest, wird die Verantwortungsverteilung nach Art. 26 DSGVO geregelt.

(3) Die aktuelle Dienstleister- und Empfängerübersicht einschließlich Rolle, Leistung, Standort und Drittlandgrundlage befindet sich in Anlage 2.

§ 18 Übermittlungen in Drittländer

Wir bevorzugen eine Verarbeitung in der EU oder im EWR. Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework) oder geeigneter Garantien wie den Standardvertragsklauseln einschließlich der erforderlichen Transferprüfung und ergänzender Schutzmaßnahmen. Informationen oder eine Kopie der einschlägigen Garantien können über datenschutz@benchtrust.com angefordert werden.

§ 19 Speicherdauer und Löschung

(1) Wir speichern personenbezogene Daten nur solange, wie es für den jeweiligen Zweck erforderlich ist. Konkrete Regelfristen enthält Anlage 1. Danach werden Daten gelöscht oder, wenn eine Löschung wegen gesetzlicher Pflichten oder Rechtsverteidigung nicht möglich ist, gesperrt.

(2) Für Rechnungen und Buchungsbelege gelten regelmäßig acht Jahre, für Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre sowie für empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre. Maßgeblich sind die jeweils geltenden gesetzlichen Vorschriften und der konkrete Dokumenttyp.

§ 20 Rechte betroffener Personen

(1) Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Mitteilung an Empfänger (Art. 19) und Datenübertragbarkeit (Art. 20).

(2) Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(3) Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kann aus Gründen der besonderen Situation Widerspruch eingelegt werden. Wir verarbeiten die Daten dann nicht mehr, sofern keine zwingenden schutzwürdigen Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen.

(4) Betroffene haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

§ 21 Profiling und automatisierte Entscheidungsfindung

(1) Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die gegenüber einer natürlichen Person rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt, findet nicht statt.

(2) Soweit die optionale Lead Engine geschäftliche Relevanzmerkmale automatisiert bewertet, kann dies Profiling darstellen. Es dient ausschließlich der Vorbereitung einer geschäftlichen Relevanzprüfung; die betroffene Person kann jederzeit der Verarbeitung für Direktwerbung widersprechen.

§ 22 Datensicherheit

Wir treffen risikoadäquate technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere Transportverschlüsselung, Rollen- und Berechtigungskonzepte, Mehrfaktor-Authentisierung für privilegierte Zugriffe, Protokollierung, Datensicherungen, Mandantentrennung, Schwachstellenmanagement und Verfahren zur Behandlung von Datenschutzverletzungen. Konkrete Sicherheitsdetails werden nicht veröffentlicht, soweit dies die Schutzwirkung beeinträchtigen würde.

§ 23 Aktualität und Änderungen

Diese Datenschutzerklärung hat den oben genannten Stand. Wir aktualisieren sie, wenn sich Verarbeitungsvorgänge, Produkte, Dienstleister oder rechtliche Anforderungen ändern. Bei wesentlichen Änderungen informieren wir betroffene Nutzer in geeigneter Form.

Anlage 1 — Öffentliche Übersicht der Verarbeitungsvorgänge

Diese Übersicht konkretisiert insbesondere Zwecke, Rechtsgrundlagen und Regelfristen. Abweichende Aufbewahrung kann sich aus Sicherheitsvorfällen, Rechtsansprüchen oder gesetzlichen Pflichten ergeben.

Anlage 2 — Dienstleister-, Empfänger- und Drittlandübersicht

Die Angaben werden bei Änderungen in der Online-Fassung aktualisiert. Die exakte Firmierung und der aktuelle DPF-/SCC-Status der US-berührenden Dienstleister sind vor Veröffentlichung anhand der jeweils gültigen Verträge und Unterauftragnehmerlisten zu verifizieren.

Stand: 1. Juli 2026