← Zurück zu VERA Passport

Datenschutzerklärung VERA Passport

Stand: 22.09.2026

VERA Passport ist ein persönlicher Daten-Tresor. Sie hinterlegen Ihre Stammdaten, Ihre Lohn- und Sozialdaten sowie Nachweisdokumente einmal an einer Stelle und geben sie anschließend gezielt einzelnen Firmen frei, mit denen Sie einen Vertrag schließen. Ein Teil dieser Daten wird bereits in Ihrem Browser verschlüsselt, bevor er zu uns gelangt — diesen Teil können wir als Betreiber nicht lesen; welche Daten das sind, steht in Abschnitt 3 und Abschnitt 6.

Diese Erklärung beschreibt, welche Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie aufbewahren und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten in VERA Passport ist:

  • Erium GmbH
  • Carl-Zeiss-Ring 14, 85737 Ismaning
  • Vertreten durch die Geschäftsführer Dr. Maksim Greiner und Dr. Theo Steininger
  • Registergericht: Amtsgericht München, HRB 246717
  • Umsatzsteuer-Identifikationsnummer: DE322680506
  • E-Mail: info@erium.de
  • Telefon: +49 172 6623509

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte können Sie sich an diese Adresse wenden.

2. Datenschutzbeauftragter

Die Erium GmbH hat keinen Datenschutzbeauftragten bestellt. Anliegen zum Datenschutz richten Sie an die in Abschnitt 1 genannte Anschrift und E-Mail-Adresse.

3. Welche Daten wir verarbeiten

VERA Passport behandelt Ihre Daten in zwei Schutzstufen. Daten der Stufe A liegen bei uns im Klartext und sind für uns lesbar, weil der Dienst mit ihnen arbeiten muss. Daten der Stufe C verschlüsselt Ihr Browser, bevor er sie an uns sendet; wir speichern nur den verschlüsselten Text.

Konto- und Anmeldedaten. E-Mail-Adresse, Name und ein Passwort, das ausschließlich als kryptografischer Hash gespeichert wird. Bei eingerichteter Zwei-Faktor-Anmeldung kommt ein zeitbasierter Einmalcode-Faktor hinzu. Für die Konto-Einrichtung per Einladungslink speichern wir einen Prüfwert des Einrichtungs-Tokens sowie dessen Ablaufzeitpunkt; der Token selbst wird nie gespeichert.

Stammdaten (Stufe A, für uns lesbar). Vorname, Nachname, Anzeigename, Titel, Namenszusatz, Namensvorsatz, Geburtsname, Geschlecht (männlich, weiblich, divers oder keine Angabe), Geburtsdatum, Geburtsort, Geburtsland, Staatsangehörigkeit, Telefonnummer, E-Mail-Adresse, Anschrift. Die Staatsangehörigkeit liegt bei uns im Klartext vor, weil der Dienst aus ihr ableiten muss, ob eine Arbeitsberechtigung nachzuweisen ist; sie ist keine besondere Kategorie im Sinne des Art. 9 DSGVO.

Lohn- und Bankdaten (Stufe C, nur verschlüsselt). IBAN, BIC und — falls abweichend — der Name des Kontoinhabers, Steuer-Identifikationsnummer, Lohnsteuerklasse, Zahl der Kinder unter 25 Jahren, Sozialversicherungsnummer sowie Mitgliedsnummer und Beitragssatz einer betrieblichen Pensionskasse.

Gesundheits- und Sozialdaten der Stufe C — besondere Kategorien nach Art. 9 DSGVO. Konfession beziehungsweise Religionszugehörigkeit für die Kirchensteuer, die Angabe einer Schwerbehinderung, die Art der Krankenversicherung, die Krankenkasse, der Beginn einer gesetzlichen Rente und die Angabe, ob eine Vollrente bezogen wird. Konfession und Schwerbehinderung sind besondere Kategorien im Sinne des Art. 9 Abs. 1 DSGVO, ebenso die Angaben zur Krankenversicherung; zur Rechtsgrundlage siehe Abschnitt 4. Beim Feld zur Konfession ist auch eine freie Angabe möglich; auch diese wird verschlüsselt.

Nachweisdokumente. Ohne Verschlüsselung und damit für uns lesbar abgelegt: Nachweise zur Arbeitssicherheit, zur Hygiene-Schulung und Qualifikationszertifikate. In Ihrem Browser verschlüsselt und damit für uns nicht lesbar: Schwerbehindertenausweis, Gesundheitszeugnis, Personalausweis oder Reisepass, Aufenthaltstitel, Arbeitserlaubnis, Bescheinigungen zur privaten und zur gesetzlichen Krankenversicherung, Nachweis über den Krankenversicherungsschutz, Inkassobescheinigung, Bescheinigung der Pensionskasse, Fragebogen und Antrag zur Befreiung von der Rentenversicherungspflicht, Schulbescheinigung, Immatrikulationsbescheinigung und Rentenausweis. Zu jedem Nachweis speichern wir zusätzlich im Klartext: Dokumenttyp, Titel, ausstellende Stelle, Ausstellungs- und Ablaufdatum sowie das Ergebnis der technischen Dateiprüfung — auch bei verschlüsselten Dokumenten, weil sich bereits aus dem Dokumenttyp ein Rückschluss ergeben kann.

Vertrags- und Verhandlungsdaten. Lädt eine Firma Sie über VERA zu einer Vertragsverhandlung ein, speichern wir Ihre E-Mail-Adresse, den Vertragstitel, die Projektbezeichnung, eine Verhandlungs-Referenz, die Adresse der einladenden VERA-Instanz und die Firma. Nach Vertragsschluss zusätzlich Vertragstitel, Projektbezeichnung, die Art der Signatur, den Zeitpunkt der Unterzeichnung, eine Prüfsumme des Dokuments und das signierte Vertrags-PDF selbst. Das PDF liegt in einem nicht öffentlichen Speicherbereich, ist aber nicht verschlüsselt.

Benachrichtigungen. Firmenname, Vertragstitel, Projektbezeichnung und Lesezeitpunkt. Werte der Stufe C sind darin nicht enthalten.

Protokoll- und Nachweisdaten. Ein fortlaufendes Zugriffsprotokoll hält fest, wann Sie welcher Firma welche Datengruppe freigegeben oder entzogen haben und wann eine Firma welche Gruppe gelesen hat, außerdem Änderungsvorschläge und Ihre Entscheidung darüber, den Vertragsabschluss, die Verlängerung eines Zugriffs sowie Ihre Anmeldungen. Dieses Protokoll überdauert eine Kontolöschung und wird dabei von Ihrer Person gelöst (Abschnitt 7).

Mit der Zustimmung zu den Rechtstexten speichern wir zusätzlich Zeitpunkt, IP-Adresse und Browserkennung — die einzige Stelle, an der VERA Passport eine IP-Adresse dauerhaft speichert. Auf den Servern fallen außerdem technische Protokolldateien an, die in einzelnen Einträgen E-Mail-Adressen oder interne Personenkennungen enthalten können.

Woher die Daten stammen. In den meisten Fällen geben Sie sie selbst ein. Öffnen Sie einen Verhandlungslink, ruft VERA Passport bei der einladenden VERA-Instanz einen Datensatz ab, um das Formular vorzubefüllen (E-Mail-Adresse, Anzeigename, Vertreterstatus sowie ggf. Name, Telefon, Anschrift, Titel, Geschlecht, Geburtsdatum, Geburtsland, Geburtsort, Staatsangehörigkeit); gespeichert wird davon nichts, solange Sie kein Konto anlegen. Legen Sie später ein Konto mit derselben E-Mail-Adresse an, werden diese Werte in Ihre Stammdaten übernommen. Über dieselbe Abfrage lässt sich auch feststellen, ob zu einer E-Mail-Adresse bereits ein Konto besteht.

Eine Firma kann außerdem Lohn-, Bank- und Gesundheitsdaten sowie Nachweisdokumente für Sie hinterlegen, bevor Sie ein Konto haben; verankert werden diese an Ihrer E-Mail-Adresse und an den Schlüssel der Firma verschlüsselt — wir können sie nicht lesen, Sie selbst auch nicht, auch nicht nach Kontoeröffnung. Legen Sie später ein Konto mit derselben Adresse an, wird der Datensatz Ihrem Konto zugeordnet. Die Informationspflicht nach Art. 14 DSGVO gegenüber der noch kontolosen Person obliegt in diesem Fall der eintragenden Firma, die die Daten unabhängig von Passport erhoben hat; die Erium GmbH informiert über diese Erklärung, sobald ein Konto entsteht.

Vertreterinnen und Vertreter. Treten Sie als Vertretung einer anderen Person oder einer Firma auf, verarbeiten wir über den Verhandlungslink nur Ihre E-Mail-Adresse und Ihren Anzeigenamen. Ein Konto wird Ihnen in dieser Rolle nicht angeboten. Gespeichert wird zu Ihnen sonst nichts.

4. Zwecke und Rechtsgrundlagen

Konto, Anmeldung und Bereitstellung des Dienstes. Art. 6 Abs. 1 lit. b DSGVO. Die optionale Zwei-Faktor-Anmeldung beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit Ihres Kontos).

Speicherung Ihrer Stammdaten, Lohndaten und Nachweise im Tresor. Art. 6 Abs. 1 lit. b DSGVO; die Speicherung ist die Leistung, für die Sie den Dienst nutzen.

Freigabe an eine Firma. Jede Freigabe ist eine eigene Verarbeitung auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie je Firma und je Datengruppe erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können (Abschnitt 6). Freigegeben wird bereichsweise, nicht feldweise; das entspricht dem Zweck der jeweiligen Gruppe (etwa „Gesundheit" für die Lohnabrechnung) und ist damit im Sinne des Art. 5 Abs. 1 lit. c DSGVO verhältnismäßig.

Besondere Kategorien (Konfession, Schwerbehinderung, Krankenversicherung). Zusätzlich zu einer Grundlage nach Art. 6 DSGVO muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Die Verarbeitung stützt sich auf Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie durch die Eingabe der jeweiligen Angabe in das dafür vorgesehene Feld der Gruppe „Gesundheit" und durch deren Freigabe an eine konkrete Firma erteilen. Diese Einwilligung ist von der Zustimmung zu den Nutzungsbedingungen und dieser Datenschutzerklärung zu unterscheiden und ersetzt diese nicht. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 8); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Nachweisdokumente. Art. 6 Abs. 1 lit. b DSGVO für die Speicherung, Art. 6 Abs. 1 lit. a DSGVO für die Freigabe; bei Dokumenten mit Gesundheitsbezug zusätzlich Art. 9 Abs. 2 lit. a DSGVO.

Vertrags- und Verhandlungsdaten. Art. 6 Abs. 1 lit. b DSGVO.

Zugriffsprotokoll. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachvollziehbarkeit und Missbrauchserkennung), für die Rechenschaftspflicht auch Art. 5 Abs. 2 DSGVO.

Zustimmungs-Nachweis mit IP-Adresse und Browserkennung. Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die IP-Adresse ausschließlich zu diesem Nachweiszweck und so lange, wie dieser Nachweis benötigt wird (Abschnitt 7).

E-Mail-Versand. Einladungs- und Konto-Einrichtungs-E-Mails sowie Passwort-Zurücksetzungen. Hinweise zu Verhandlungen und Zugriffsanfragen erhalten Sie nicht per E-Mail, sondern als Benachrichtigung in der Anwendung. Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versenden wir über VERA Passport nicht.

Support-Anfragen. Kontaktieren Sie den Support in der Anwendung, übermitteln wir Nachrichtentext, Anzeigenamen, E-Mail-Adresse und die Adresse der Seite, von der aus Sie geschrieben haben, per E-Mail an das Support-Postfach der Erium GmbH; Zugriff haben ausschließlich mit dem Support befasste, zur Vertraulichkeit verpflichtete Mitarbeitende. Art. 6 Abs. 1 lit. b DSGVO, hilfsweise Art. 6 Abs. 1 lit. f DSGVO.

5. Empfänger Ihrer Daten

Firmen, denen Sie Daten freigeben. Eine Firma erhält ausschließlich die Datengruppen, die Sie ihr freigegeben haben, und nur solange die Freigabe aktiv ist. Technisch greift die VERA-Instanz der Firma mit einem Maschinen-Zugang zu, der bei jedem Lesevorgang die aktive Freigabe prüft; jeder Zugriff wird protokolliert. Bei Daten der Stufe C erhält die Firma den verschlüsselten Text zusammen mit einem Schlüssel, den Ihr Browser für diese Firma verpackt hat — wir selbst können diesen Schlüssel nicht öffnen. Für den Umgang der Firma mit den ihr freigegebenen Daten ist sie als eigene Verantwortliche zuständig, getrennt von der Verantwortlichkeit der Erium GmbH für den Betrieb des Tresors.

Ändern Sie Ihre Stammdaten, während mindestens eine Firma die Gruppe „Stammdaten" freigeschaltet hat, übermitteln wir die geänderten Werte automatisch an alle VERA-Instanzen, zu deren Firmen eine solche Freigabe besteht (Vor- und Nachname, E-Mail-Adresse, Telefon, Anrede, Anschrift, Geschlecht, Anzeigename, Titel, Namenszusatz, Namensvorsatz, Geburtsname, Geburtsdatum, Geburtsland, Geburtsort). Daten der Stufe C sind dabei nie im Klartext enthalten.

Dienstleister. Mit den nachfolgenden Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO:

  • Supabase — Betrieb der Datenbank, der Anmeldung und des Dateispeichers. Dort liegen alle in Abschnitt 3 genannten Datenbestände sowie zwei nicht öffentliche Speicherbereiche für Nachweisdokumente und signierte Vertrags-PDFs. Das eingesetzte Projekt ist auf die Region EU/Frankfurt konfiguriert; soweit im Einzelfall ein Zugriff aus einem Drittland zu Wartungs- oder Supportzwecken erfolgt, ist dieser durch die EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.
  • Hosting der Anwendung — dort liegen auch die technischen Protokolldateien.
  • E-Mail-Versand — der Versand läuft über einen eigenen, im Betrieb konfigurierten Mailserver; die Verbindung erfolgt verschlüsselt. Es kommt kein Versand-Dienstleister mit eigener Programmschnittstelle zum Einsatz; Supabase versendet keine E-Mails für uns.

Google Fonts. Die Anwendung lädt die verwendete Schriftart bei jedem Seitenaufruf direkt von Servern von Google (fonts.googleapis.com und fonts.gstatic.com); dabei übermittelt Ihr Browser technisch bedingt Ihre IP-Adresse und die Kennung Ihres Browsers. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer technisch stabilen und einheitlichen Darstellung. Google LLC ist nach dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich hierauf.

Die VERA-Instanz der Firma bei einer Verhandlung. Öffnen Sie eine Vertragsverhandlung, wird die Oberfläche der VERA-Instanz dieser Firma in Passport eingebettet; Ihr Browser verbindet sich dabei unmittelbar mit dieser Instanz und übermittelt technisch bedingt IP-Adresse, Browserkennung und die eingestellte Sprache. Welche Daten die Instanz darüber hinaus verarbeitet, richtet sich nach der Datenschutzinformation der jeweiligen Firma als deren eigener Verantwortlicher.

Prüfung hochgeladener Dateien auf Schadsoftware. Die Anwendung kann so konfiguriert werden, dass hochgeladene Dateien vor der Ablage an einen externen Prüfdienst übermittelt werden; in der Auslieferung ist diese Prüfung abgeschaltet. Ist sie in einer Installation aktiviert, wird der eingesetzte Prüfdienst als weiterer Auftragsverarbeiter tätig.

Keine Analyse- und Tracking-Dienste. VERA Passport bindet keine Werkzeuge zur Reichweiten- oder Nutzungsanalyse ein und lädt außer der genannten Schriftart keine Inhalte von Fremdservern nach.

Behörden. Wir geben Daten an staatliche Stellen nur heraus, wenn wir dazu rechtlich verpflichtet sind. Daten der Stufe C können wir auch in diesem Fall nicht im Klartext herausgeben, weil wir sie nicht entschlüsseln können.

6. Was wir technisch nicht sehen können

Wenn Sie den Tresor einrichten, erzeugt Ihr Browser einen zufälligen Schlüssel. Sie vergeben dafür ein Tresor-Passwort, das nicht Ihr Anmeldepasswort ist; daraus leitet Ihr Browser einen zweiten Schlüssel ab und verpackt damit den ersten. Nur diese verpackte Fassung erreicht unsere Server; das Tresor-Passwort selbst wird nie übertragen. Zusätzlich erhalten Sie einmalig einen Wiederherstellungscode, unter dem der Schlüssel ein zweites Mal verpackt wird.

Das können wir nicht lesen: die Werte der Stufe C, die als verschlüsselt gekennzeichneten Nachweisdokumente sowie die Lohndaten und Nachweise, die eine Firma für eine Person ohne Konto hinterlegt hat.

Das können wir lesen: alle Stammdaten der Stufe A einschließlich Geburtsdatum, Geburtsort und Staatsangehörigkeit; Ihre E-Mail-Adresse und Ihren Namen im Konto; die Begleitangaben aller Nachweise einschließlich des Dokumenttyps; die unverschlüsselten Nachweise zu Arbeitssicherheit, Hygiene und Qualifikation; die signierten Vertrags-PDFs; das vollständige Zugriffsprotokoll; IP-Adresse und Browserkennung aus dem Zustimmungs-Nachweis; E-Mail-Adressen, Vertragstitel und Projektbezeichnungen in Verhandlungen, Verträgen und Benachrichtigungen, auch von Personen ohne Konto.

Für Betrieb und Wartung besteht darüber hinaus ein auf autorisiertes Betriebspersonal beschränkter, protokollierter Verwaltungszugang, über den sich eine vollständige Sicherungskopie erzeugen lässt. Sie enthält auch die verschlüsselten Werte der Stufe C und die verpackten Schlüssel — lesbar werden diese dadurch nicht, weil das Tresor-Passwort weiterhin fehlt. Lesbar sind darin die oben genannten Klartextbestände einschließlich der Zustimmungs-Nachweise mit IP-Adresse. Sicherungskopien bewahren wir nur so lange auf, wie es für die Wiederherstellbarkeit des Dienstes erforderlich ist, und löschen sie danach.

Die Kehrseite des Wiederherstellungscodes. Es gibt keine Hinterlegung des Schlüssels bei uns. Verlieren Sie Ihr Tresor-Passwort und Ihren Wiederherstellungscode, sind Ihre Daten der Stufe C dauerhaft und unwiederbringlich nicht mehr lesbar — auch nicht für uns. Bewahren Sie den Wiederherstellungscode daher sicher und getrennt auf.

Zwei Einschränkungen. Das Verfahren schützt gegen einen Zugriff auf die Datenbank, nicht gegen eine Veränderung der von unseren Servern ausgelieferten Anwendungssoftware selbst. Der entschlüsselte Schlüssel liegt für die Dauer Ihrer Sitzung im Speicher Ihres Browsers; nach vollständigem Neuladen der Seite müssen Sie den Tresor erneut entsperren.

Was ein Widerruf bewirkt — und was nicht. Widerrufen Sie eine Freigabe, sind weitere Zugriffe der Firma sofort gesperrt; bereits ausgestellte Maschinen-Zugänge laufen binnen 15 Minuten ab. Zusätzlich bitten wir die verbundenen VERA-Instanzen, die dort gespiegelten Stammdaten zu leeren — dies erfolgt nach bestem Bemühen und unterbleibt, solange Sie „Stammdaten" noch mindestens einer anderen Firma freigegeben haben. Name und E-Mail-Adresse bleiben bei der Firma als Teil der Vertragsbeziehung erhalten. Nicht rückgängig machen können wir, was die Firma vor dem Widerruf bereits abgerufen und gespeichert hat; bei Daten der Stufe C wird zudem der für die Firma verpackte Schlüssel beim Widerruf technisch nicht entwertet — eine Firma, die ihn einmal geöffnet hat, verfügt weiterhin über ihn. Ihre Ansprüche gegen die Firma als eigene Verantwortliche bleiben davon unberührt; wenden Sie sich für die Löschung dort gespeicherter Kopien direkt an sie.

Übertragung. Die Verbindung zur Anwendung erfolgt ausschließlich verschlüsselt über HTTPS. Die Verbindung zum Mailserver wird nach dem Stand der Technik verschlüsselt betrieben.

7. Speicherdauer und Löschung

Solange Sie Ihr Konto nutzen, speichern wir die in Abschnitt 3 genannten Daten. Sie steuern die Speicherdauer über drei Wege: das gezielte Löschen einzelner sensibler Angaben, die vollständige Löschung des Tresors — dabei werden alle verschlüsselten Werte und die verpackten Schlüssel gelöscht, auch wenn der Tresor gerade gesperrt ist — oder die vollständige Löschung des Kontos.

Was die Kontolöschung umfasst. Die verschlüsselten Werte und Schlüssel werden gelöscht, alle Stammdatenfelder geleert, Begleitangaben zu Nachweisen und die Nachweisdateien selbst entfernt, laufende Freigaben widerrufen, offene Änderungsvorschläge und Benachrichtigungen gelöscht, Ihr Anmeldekonto gelöscht und Ihr Profil neutralisiert. Verhandlungen und abgeschlossene Verträge werden von Ihrem Konto gelöst (Pseudonymisierung: Kontobezug entfällt, E-Mail-Adresse wird durch einen Platzhalter ersetzt); die Einträge und die signierten Vertrags-PDFs selbst bleiben bestehen. Das Zugriffsprotokoll bleibt erhalten und wird pseudonymisiert. Die verbundenen VERA-Instanzen werden über die Löschung benachrichtigt, damit sie die dort geführten Kontakte anonymisieren; dies erfolgt nach bestem Bemühen.

Was die Kontolöschung nicht umfasst: Lohn-, Bank- und Gesundheitsdaten sowie Nachweisdokumente, die eine Firma für Sie hinterlegt hat, solange Sie kein Konto hatten — diese kann nur die eintragende Firma löschen; der Zustimmungs-Nachweis einschließlich IP-Adresse und Browserkennung; nicht verbrauchte Konto-Einrichtungs-Token; ältere Sicherungskopien, solange diese bestehen; technische Protokolldateien der Server.

Aufbewahrungsfristen. Den Zustimmungs-Nachweis bewahren wir für die Dauer auf, die zur Rechenschaft nach Art. 5 Abs. 2 DSGVO erforderlich ist. Das Zugriffsprotokoll und die signierten Vertrags-PDFs bewahren wir für die Dauer der Geschäftsbeziehung und darüber hinaus, soweit handels- oder steuerrechtliche Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB) oder sozialrechtliche Vorgaben dies verlangen. Technische Protokolldateien und Sicherungskopien löschen oder überschreiben wir, sobald sie für den jeweiligen Zweck nicht mehr benötigt werden.

Automatische Abläufe. Der Zugriff einer externen Firma auf einen abgeschlossenen Vertrag endet standardmäßig 60 Tage nach Vertragsabschluss; Ihr eigener Zugriff ist zeitlich nicht begrenzt. Die Daten werden dabei nicht gelöscht, sondern für die Firma nur nicht mehr abrufbar. Maschinen-Zugänge laufen nach 15 Minuten ab, Download-Links für Dateien nach 60 Sekunden.

8. Ihre Rechte

  • Auskunft nach Art. 15 DSGVO. Zu den Daten der Stufe C können wir mitteilen, dass und wann sie gespeichert wurden, nicht aber deren Inhalt; den sehen Sie nur selbst nach Entsperren Ihres Tresors.
  • Berichtigung unrichtiger Daten nach Art. 16 DSGVO. Ihre Stammdaten können Sie jederzeit selbst korrigieren.
  • Löschung nach Art. 17 DSGVO — zu den praktischen Grenzen siehe Abschnitt 7.
  • Einschränkung der Verarbeitung nach Art. 18 DSGVO.
  • Datenübertragbarkeit nach Art. 20 DSGVO.
  • Widerspruch nach Art. 21 DSGVO gegen auf berechtigtes Interesse gestützte Verarbeitungen, insbesondere das Zugriffsprotokoll.
  • Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO, jederzeit und ohne Angabe von Gründen, mit Wirkung für die Zukunft. Freigaben an Firmen widerrufen Sie direkt in der Anwendung im Bereich Freigaben.

Für alle diese Rechte wenden Sie sich an die in Abschnitt 1 genannten Kontaktdaten.

Beschwerderecht. Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Behörde Ihres Wohnsitzes, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Für die Erium GmbH zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach.

9. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU/des EWR findet bei der in Abschnitt 5 beschriebenen Einbindung von Google Fonts statt; die Übermittlung stützt sich auf die dortige DPF-Zertifizierung von Google LLC. Supabase betreibt das eingesetzte Projekt in der EU-Region Frankfurt; ein etwaiger Drittlandzugriff zu Wartungs- oder Supportzwecken ist durch Standardvertragsklauseln nach Art. 46 DSGVO abgesichert. Für die übrigen eingesetzten Dienste gilt dasselbe, soweit sie außerhalb der EU/des EWR verarbeiten.

10. Cookies und Nachverfolgung

VERA Passport setzt keine Cookies zu Werbe-, Analyse- oder Nachverfolgungszwecken und bindet keine entsprechenden Dienste ein. Verwendet werden ausschließlich:

  • Sitzungs-Cookies der Anmeldung. Sie halten Ihre Anmeldung aufrecht. Ohne sie ist eine Anmeldung technisch nicht möglich.
  • Eine lokale Spracheinstellung. Ihre Sprachwahl wird im lokalen Speicher Ihres Browsers abgelegt und beim Öffnen einer eingebetteten Verhandlung an die VERA-Instanz übergeben.

Diese Speicherungen sind unbedingt erforderlich im Sinne des § 25 Abs. 2 TDDDG; ein Einwilligungsbanner ist daher nicht erforderlich. Die in Abschnitt 5 beschriebene Einbindung von Google Fonts setzt kein Cookie, überträgt aber Ihre IP-Adresse an einen Dritten und wird dort gesondert bewertet.

11. Pflicht zur Bereitstellung und Folgen der Nichtbereitstellung

Sie sind nicht gesetzlich verpflichtet, uns Daten bereitzustellen; die Bereitstellung ist freiwillig, hat aber Folgen: Ohne E-Mail-Adresse und Passwort können wir kein Konto für Sie führen. Ohne Stammdaten kann der Tresor seinen Zweck nicht erfüllen. Für eine Lohnabrechnung benötigt die abrechnende Firma unter anderem Name, Geschlecht, Geburtsdatum, Anschrift, E-Mail-Adresse, Geburtsort, Geburtsland, Steuer-Identifikationsnummer, Lohnsteuerklasse, IBAN, BIC sowie — als besondere Kategorien — Konfession und die Angabe zur Schwerbehinderung; fehlt eine dieser Angaben oder geben Sie die zugehörige Gruppe nicht frei, kann die Firma die Abrechnung über VERA nicht durchführen. Ohne die angeforderten Nachweise kann die Firma die entsprechende Berechtigung oder Qualifikation nicht prüfen.

Kein Konto anlegen zu wollen, schließt Sie nicht von der Vertragsverhandlung aus: Über einen Einladungslink können Sie einen Vertrag lesen, verhandeln und unterzeichnen, ohne ein Konto anzulegen. Was Sie dabei angeben, gilt dann nur für diesen einen Vertrag.

12. Keine automatisierte Entscheidungsfindung

VERA Passport trifft keine Entscheidungen über Sie, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen; es findet kein Profiling im Sinne des Art. 4 Nr. 4 DSGVO statt. Die Anwendung verwaltet Ihre Daten und Ihre Freigaben; jede inhaltliche Entscheidung trifft die jeweilige Firma. Was empfangende Firmen und deren VERA-Instanzen mit freigegebenen Daten tun, liegt außerhalb unseres Einflussbereichs und richtet sich nach deren eigener Datenschutzinformation.