Datenschutzerklärung

1. Verantwortlicher

Christoph Sebastian Langer
Averkampstraße 9-11, 48151 Münster, Deutschland
E-Mail: hello@zemio.co

Weitere Angaben im Impressum.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des § 38 BDSG liegen
nicht vor, da nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung
personenbezogener Daten beschäftigt sind. Anfragen richten Sie an die oben genannte
Adresse.

3. Zwei unterschiedliche Rollen

Diese Erklärung betrifft die Daten, die wir selbst verantworten: Besuch der Website,
Kontaktaufnahme, Vertragsanbahnung, Abrechnung und Betrieb.

Für die Daten, die Kunden in Zemio verarbeiten — Spesenberichte, Belege und die Konten
der eigenen Mitarbeitenden — sind wir nicht Verantwortlicher, sondern Auftragsverarbeiter
nach Art. 28 DSGVO. Verantwortlich ist dort der jeweilige Kunde als Arbeitgeber
beziehungsweise Verein. Wenn Sie als Mitarbeitende oder Mitglied eines Zemio-Kunden
Auskunft oder Löschung verlangen möchten, wenden Sie sich bitte an Ihre eigene
Organisation; wir unterstützen diese dabei, dürfen aber nicht eigenmächtig handeln.

4. Verarbeitungen im Einzelnen

4.1 Aufruf der Website "zemio.co"

Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: IP-Adresse,
Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- und
Betriebssystemangaben.

• Zweck: Auslieferung der Seite, Stabilität und Sicherheit des Betriebs
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem
  sicheren und funktionsfähigen Angebot)
• Empfänger: Vercel Inc., Vereinigte Staaten — siehe Abschnitt 6
• Speicherdauer: <TBD> — nach Vorgabe des Hosting-Anbieters, kürzestmöglich

4.2 Reichweitenmessung auf der Website

Zur Auswertung, welche Seiten aufgerufen und welche Schaltflächen genutzt werden, setzen
wir Plausible Analytics ein.

• Was erhoben wird: die aufgerufene Seite, die Verweisquelle sowie Herkunftsland,
  Browser, Betriebssystem und Gerätetyp in gruppierter Form. Zusätzlich zählen wir drei
  Ereignisse: den Klick auf „kostenlos testen", den Klick auf „Demo vereinbaren" — jeweils
  mit der Angabe, an welcher Stelle der Website die Schaltfläche stand — und das
  erfolgreiche Absenden des Kontaktformulars. Erfasst wird dabei allein, dass das
  Ereignis eingetreten ist. Was Sie in das Formular eingegeben haben, geht in die
  Messung nicht ein.
• Was Plausible nicht tut: Es werden keine Cookies gesetzt, keine Geräte- oder
  Browserkennungen gespeichert, keine seitenübergreifenden Profile gebildet und keine
  Daten an Dritte weitergegeben. Einzelne Besucher sind nicht wiedererkennbar; auch die
  Ereigniszählungen sind reine Summen und keiner Person und keiner Sitzung zuzuordnen.
• Zweck: aggregierte Statistik über die Nutzung der Website und darüber, welche
  Einstiegswege tatsächlich genutzt werden
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
• Empfänger: Plausible Insights OÜ, Tartu (Estland) — die Server stehen in Deutschland
• Speicherdauer: es werden keine personenbezogenen Daten gespeichert

Das Messskript wird über unsere eigene Domain ausgeliefert. Ihr Browser baut dafür keine
Verbindung zu einem Server von Plausible auf; die Messdaten leiten wir serverseitig
weiter.

Weil Plausible ohne Zugriff auf Informationen in Ihrem Endgerät auskommt, ist eine
Einwilligung nach § 25 Abs. 1 TDDDG nicht erforderlich. Wir setzen deshalb kein
Cookie-Banner ein.

4.3 Kontaktformular und E-Mail

Über das Formular unter zemio.co/contact verarbeiten wir Ihren Namen, Ihre
E-Mail-Adresse, das gewählte Thema und den Inhalt Ihrer Nachricht.

• Zweck: Beantwortung Ihrer Anfrage
• Verarbeitung: Die Absendung löst eine E-Mail an unser Geschäftspostfach aus. Eine
  Speicherung in einer Datenbank findet nicht statt; Ihre Anfrage liegt ausschließlich
  in unserem Postfach
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst
  Art. 6 Abs. 1 lit. f DSGVO
• Empfänger: Vercel Inc. (Übermittlung des Formulars), Microsoft Ireland Operations
  Ltd. (Postfach)
• Speicherdauer: 12 Monate nach abschließender Bearbeitung; darüber hinaus, soweit
  handels- oder steuerrechtliche Aufbewahrungsfristen bestehen

4.4 Ansprache von Interessenten

Wir sprechen Organisationen an, für die Zemio in Frage kommt, und dokumentieren den Stand
dieser Gespräche.

• Betroffene Daten: Name, Funktion, Organisation, geschäftliche Kontaktdaten,
  öffentlich zugängliche berufliche Angaben sowie Notizen zum Gesprächsverlauf
• Zweck: Anbahnung von Geschäftsbeziehungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die
  Gewinnung geschäftlicher Kunden. Wir verarbeiten ausschließlich Daten, die Personen in
  ihrer beruflichen Rolle betreffen; private Kontaktdaten verarbeiten wir nicht, und
  wir bilden keine Profile
• Empfänger: Microsoft Ireland Operations Ltd. (Speicherung und Postfach)
• Speicherdauer: 12 Monate nach dem letzten Kontakt, sofern kein Vertrag zustande kommt

Sie können dieser Verarbeitung jederzeit widersprechen — formlos an hello@zemio.co.
Wir löschen Ihre Daten dann unverzüglich und merken lediglich vor, dass keine erneute
Ansprache erfolgen darf.

4.5 Nutzerkonto in der Anwendung

Die Anmeldung erfolgt wahlweise über das Microsoft-Firmenkonto Ihrer Organisation oder
mit E-Mail-Adresse und Passwort. Verarbeitet werden Name, E-Mail-Adresse, bei
Microsoft-Anmeldung zusätzlich die Kennung des Microsoft-Mandanten, bei
Passwort-Anmeldung ein Passwort-Hash. Ihr Passwort selbst wird nicht gespeichert.

• Zweck: Bereitstellung des Zugangs, Zuordnung von Berechtigungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber unserem Vertragspartner;
  im Übrigen erfolgt die Verarbeitung im Auftrag Ihrer Organisation (Abschnitt 3)

4.6 Support- und Nutzeranfragen

Wenden Sie sich mit einer Frage oder Störungsmeldung an uns, verarbeiten wir Ihren Namen,
Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht.

• Zweck: Bearbeitung Ihres Anliegens
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO
• Speicherdauer: 12 Monate nach Erledigung
• Hinweis: Enthält Ihre Nachricht Angaben aus Spesenberichten oder Bildschirmfotos aus
  der Anwendung, verarbeiten wir diese im Auftrag Ihrer Organisation (Abschnitt 3)

4.7 Abrechnung

Für Rechnungsstellung und Zahlungsabwicklung setzen wir Stripe ein. Verarbeitet werden
Name und Anschrift der Organisation, Rechnungs- und Zahlungsdaten.

• Zweck: Vertragsabwicklung und Erfüllung steuerlicher Pflichten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO
• Speicherdauer: zehn Jahre nach § 147 AO und § 257 HGB für Rechnungen und
  Buchungsbelege

4.8 Betriebs- und Fehlerprotokolle

Zum Betrieb der Anwendung fallen technische Protokolle an.

• Zweck: Fehlersuche, Sicherheit, Nachvollziehbarkeit von Zugriffen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
• Datensparsamkeit: Die Fehlerverfolgung ist so eingerichtet, dass keine
  IP-Adressen und keine Nutzerkennungen automatisch übertragen werden
• Empfänger: AppSignal B.V., Niederlande
• Speicherdauer: 3 Tage, danach automatische Löschung

5. Kein Tracking in der Anwendung

In der Anwendung selbst setzen wir keinerlei Analyse-, Tracking- oder Marketingdienste
ein. Wir binden dort keine externen Schriftarten und keine Werbenetzwerke ein. Verwendet
werden ausschließlich technisch notwendige Cookies für Anmeldung und Sitzungsverwaltung;
eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich.

Auf der Marketing-Website zemio.co findet eine cookiefreie, anonyme Reichweitenmessung
statt — Einzelheiten in Abschnitt 4.2.

Wir verwenden Ihre Daten nicht zum Training von Modellen künstlicher Intelligenz.

6. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung unserer Leistung
erforderlich ist. Mit allen eingesetzten Dienstleistern bestehen Verträge zur
Auftragsverarbeitung nach Art. 28 DSGVO.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter für die Anwendung führen wir unter
https://zemio.co/legal/subprocessors.

Übermittlung in die USA. In drei Fällen werden personenbezogene Daten in die
Vereinigten Staaten übermittelt. Dort besteht kein Schutzniveau, das dem europäischen
vollständig entspricht; insbesondere können Behörden weitergehende Zugriffsrechte haben.

• Versand von Benachrichtigungs-E-Mails über Resend. Übermittelt werden die
  E-Mail-Adresse des Empfängers, der Name der einreichenden Person, die Bezeichnung des
  betreffenden Spesenberichts sowie dessen Bearbeitungsstand — keine Belege, keine
  Bankverbindungen, keine Beträge und keine Ausgabenpositionen. Grundlage der
  Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission und die
  Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework.
• Hosting der Website über Vercel. Betroffen sind Zugriffsdaten und die über das
  Kontaktformular übermittelten Angaben. Grundlage der Übermittlung: <TBD — OPS-39>.
• Zahlungsabwicklung über Stripe. Unser Vertragspartner ist Stripe Payments Europe,
  Limited mit Sitz in Irland; Stripe verarbeitet Authentifizierungs- und
  Autorisierungsdaten jedoch weltweit und setzt dabei verbundene Unternehmen und
  Dienstleister in den USA ein. Grundlage der Übermittlung sind die Zertifizierung von
  Stripe unter dem EU-US Data Privacy Framework sowie die
  Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c
  DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags mit Stripe sind.

Alle Inhalte der Anwendung — Spesenberichte, Belege und Nutzerkonten — werden
ausschließlich in Deutschland gespeichert und verarbeitet.

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke
erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Die Fristen der
einzelnen Verarbeitungen stehen in Abschnitt 4.

Nach Beendigung eines Vertrages stehen die Daten unseren Kunden 30 Tage zum Export zur
Verfügung und werden anschließend gelöscht. In laufenden Sicherungskopien können sie
längstens weitere 30 Tage fortbestehen; sie werden dort nicht weiterverwendet.
Spätestens 60 Tage nach Vertragsende sind sie vollständig gelöscht.

Rechnungen und Buchungsbelege bewahren wir zehn Jahre auf. Diese gesetzliche Pflicht geht
einem Löschverlangen vor (Art. 17 Abs. 3 lit. b DSGVO).

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht,
einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21
DSGVO). Wenden Sie sich dafür an hello@zemio.co. Wir antworten innerhalb eines Monats.

Beachten Sie Abschnitt 3: Betreffen Ihre Rechte Daten, die wir im Auftrag eines Kunden
verarbeiten, leiten wir Ihre Anfrage an diesen weiter.

Beschwerderecht: Sie können sich bei einer Aufsichtsbehörde beschweren, etwa bei der
für uns zuständigen
Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon +49 211 38424-0,
www.ldi.nrw.de.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils auf
dieser Seite veröffentlichte Fassung.

Stand: 13.10.2026, 18:09 Uhr