Datenschutzinformation zur Online-Befragung „Bundesweite KKU-Studie zur IT-Sicherheit"

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist:

KKMU Solutions GmbH, Pappelweg 25a, 53177 Bonn, Deutschland

Kontakt: info@securygo.de

2. Zwecke, Datenkategorien und Rechtsgrundlagen der Verarbeitung

Im Rahmen der Befragung werden die folgenden Kategorien von Daten zu den nachstehend genannten Zwecken verarbeitet:

a. Ihre Antworten auf die Fragen der Befragung sowie technische Metadaten (z. B. Bearbeitungsdauer je Frage) zur wissenschaftlichen Auswertung des Standes der IT-Sicherheit bei Klein- und Kleinstunternehmen im Rahmen der durch das Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) geförderten und durch das CISPA Helmholtz-Zentrum für Informationssicherheit wissenschaftlich begleiteten Studie. Die Erhebung erfolgt anonym: Es werden keine individuellen Zugangslinks vergeben. Stattdessen erhalten die teilnehmenden Kammern jeweils einen kammerbezogenen Zugangslink, über den mehrere Teilnehmende gleichzeitig an der Befragung teilnehmen können. Über diesen Link ist lediglich eine Zuordnung der Antworten zum jeweiligen Kammerbezirk (Postleitzahl) möglich, nicht jedoch zu einer bestimmten Person oder einem bestimmten Unternehmen. Eine Re-Identifizierung einzelner Teilnehmender anhand der Befragungsdaten ist daher – vorbehaltlich etwaiger Angaben in Freitextfeldern – nicht möglich.

Da die Befragungsdaten anonym erhoben werden und keine personenbezogenen Daten darstellen, unterliegen sie nicht den Anforderungen der DSGVO.

Soweit die Befragung Freitextfelder enthält, werden die Teilnehmenden ausdrücklich darauf hingewiesen, dort keine personenbezogenen Daten (insbesondere keine Namen, Adressen oder sonstigen Angaben, die einen Rückschluss auf ihre Person ermöglichen) einzugeben.

Rechtsgrundlage: Sofern Sie dennoch personenbezogene Daten eingeben, ist die Rechtsgrundlage Ihre Einwilligung, Art. 6 Abs. 1 Unterabs. 1 lit. a DSGVO.

b. Protokolldaten, die bei Nutzung der Befragungsplattform technisch anfallen (z. B. IP-Adresse, Zeitpunkt des Zugriffs), zur Gewährleistung der technischen Funktionsfähigkeit und Sicherheit der Plattform.

Rechtsgrundlage: Berechtigtes Interesse, Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO.

3. Berechtigte Interessen

Soweit die Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO gestützt wird (vgl. Ziffer 2 lit. d), besteht unser berechtigtes Interesse in der Sicherstellung eines störungsfreien und sicheren Betriebs der Befragungsplattform sowie der Abwehr von Missbrauch.

4. Empfänger bzw. Kategorien von Empfängern

Innerhalb der KKMU Solutions GmbH haben ausschließlich die Projektleitung und das technische Team Zugriff auf die anonymen Befragungsdaten. Externe Empfänger sind die von uns eingesetzten technischen Dienstleister, die jeweils als Auftragsverarbeiter im Sinne von Art. 28 DSGVO eingebunden sind:

Vercel Inc. (New York, USA) – Hosting und Bereitstellung der Befragungsplattform (Application Hosting, Serverless Functions und Edge-Netzwerk).

Supabase Inc. (San Francisco, USA) – Datenbankverwaltung und -speicherung (PostgreSQL). Supabase betreibt seine Infrastruktur auf Amazon Web Services (AWS) mit Datenspeicherung in Frankfurt am Main.

Resend Inc. (San Francisco, USA) – Versand von E-Mails (z. B. Ergebnisversand, Gewinnbenachrichtigungen).

Upstash Inc. (San Jose, USA) – technische Begrenzung von Anfragen (Rate Limiting) zum Schutz der Plattform vor Missbrauch.

Mit allen Dienstleistern wurden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen. Eine Weitergabe an teilnehmende Unternehmen, beteiligte Industrie- und Handelskammern oder Handwerkskammern oder sonstige Dritte erfolgt nicht; diese erhalten ausschließlich aggregierte, anonymisierte Auswertungsergebnisse je Kammerbezirk. Ein Zugriff auf Einzelantworten ist für diese Empfänger ausgeschlossen.

5. Übermittlung in Drittländer

Die oben genannten Dienstleister haben ihren Sitz in den USA. Soweit personenbezogene Daten in die USA übermittelt werden, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. ergänzend auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914), die in die jeweiligen Auftragsverarbeitungsverträge einbezogen sind.

Sämtliche Dienstleister setzen angemessene technisch-organisatorische Maßnahmen (TOM) im Sinne von Art. 32 DSGVO um, insbesondere Verschlüsselung der Daten bei Übertragung und Speicherung (TLS/AES-256), Zugriffsbeschränkungen und rollenbasierte Berechtigungen, regelmäßige Sicherheitsaudits und Penetrationstests sowie Hosting in zertifizierten Rechenzentren (SOC 2 Type II).

Supabase Pte. Ltd.: Auch die Datenübermittlung an Supabase stützt sich auf die EU-Standardvertragsklauseln, die im Data Processing Addendum von Supabase enthalten sind (Module 2 und 3). Für Übermittlungen in das Vereinigte Königreich ist das UK International Data Transfer Addendum (UK Addendum) vorgesehen; für die Schweiz gelten entsprechend angepasste SCCs.

6. Speicherdauer

Die anonymen Befragungsdaten (Ziffer 2 lit. a) werden für die Dauer von zwölf Monaten ab Abschluss der Erhebung gespeichert und anschließend gelöscht, soweit keine längere Aufbewahrung aus wissenschaftlichen oder gesetzlichen Gründen erforderlich ist.

7. Ihre Rechte

Da die Befragungsdaten anonym erhoben werden und die KKMU Solutions GmbH anhand dieser Daten keinen Personenbezug herstellen kann, ist die Ausübung der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–20 DSGVO) in Bezug auf die Befragungsdaten grundsätzlich nicht möglich (Art. 11 Abs. 2 DSGVO). Soweit Teilnehmende personenbezogene Angaben in Freitextfeldern gemacht haben, stehen ihnen hinsichtlich dieser personenbezogenen Daten die folgenden Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO).

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes. Zuständige Aufsichtsbehörde für unseren Sitz in Bonn ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

8. Pflicht zur Bereitstellung der Daten

Die Teilnahme an der Befragung ist freiwillig. Es besteht weder eine gesetzliche noch eine vertragliche Pflicht zur Bereitstellung der Daten. Da die Befragungsdaten anonym erhoben werden, ist eine Teilnahme ohne Angabe personenbezogener Daten möglich.

9. Automatisierte Entscheidungsfindung einschließlich Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 und 4 DSGVO findet im Rahmen dieser Befragung nicht statt.