Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Bundesverband für elektronische Wertpapiere e.V.
c/o Heuking Kühn Lüer Wojtek PartGmbB
Magnusstraße 13, 50672 Köln, Deutschland
Tel.: +49 221 20 52-220
E-Mail: info@ewpg.de

Ein Datenschutzbeauftragter ist nicht bestellt, da nach Art. 37 DSGVO und § 38 BDSG keine Pflicht hierzu besteht.

2. Allgemeines zur Datenverarbeitung

2.1 Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten eine TLS-Verschlüsselung (erkennbar am Schloss-Symbol in der Adressleiste).

2.2 Soweit nicht bei den einzelnen Verarbeitungsvorgängen ausdrücklich anders angegeben, werden personenbezogene Daten gelöscht, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind und der Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

2.3 Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die als Pflichtfelder gekennzeichneten Angaben können wir Ihre Anfrage über das Kontaktformular jedoch nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

3. Hosting und Bereitstellung der Website

Diese Website wird bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, gehostet. Serverseitige Funktionen wie das Kontaktformular werden im Rechenzentrum Frankfurt am Main ausgeführt. Statische Inhalte werden über das weltweite Servernetz von Vercel ausgeliefert.

Beim Aufruf unserer Website verarbeitet Vercel automatisch folgende Informationen, die Ihr Browser übermittelt (Server-Logfiles):

• IP-Adresse
• aufgerufene URL und Referrer-URL
• Datum und Uhrzeit des Zugriffs
• übertragene Datenmenge und HTTP-Statuscode
• Browser-Typ und -Version sowie Betriebssystem

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung der Website sowie in der Erkennung und Abwehr von Angriffen. Die Log-Daten werden bei Vercel höchstens 30 Tage gespeichert und anschließend automatisch gelöscht.

Vercel verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrages nach Art. 28 DSGVO. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung in die USA erfolgt damit auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission nach Art. 45 DSGVO. Soweit Daten über das weltweite Servernetz von Vercel oder durch Unterauftragsverarbeiter in weiteren Drittländern verarbeitet werden, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: vercel.com/legal/privacy-notice.

4. Kontaktformular

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir folgende Daten:

• Vorname und Nachname
• E-Mail-Adresse
• Telefonnummer (freiwillig)
• Betreff (freiwillig)
• Inhalt Ihrer Nachricht
• IP-Adresse (zum Missbrauchsschutz, siehe Ziffer 4.2)

4.1 Die Daten verarbeiten wir zur Bearbeitung und Beantwortung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Beantwortung von Anfragen. Zielt Ihre Anfrage auf eine Mitgliedschaft oder einen sonstigen Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden nach abschließender Bearbeitung Ihres Anliegens gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4.2 Missbrauchsschutz (Rate Limiting): Um das Kontaktformular vor massenhaften automatisierten Anfragen zu schützen, begrenzen wir die Zahl der Anfragen je Absender. Dazu wird aus Ihrer IP-Adresse mit einem geheimen Schlüssel ein Hashwert gebildet und bei der Upstash, Inc. (USA), die als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig ist, in einer Redis-Datenbank zwischengespeichert. Die IP-Adresse selbst wird dort nicht gespeichert, und der Schlüssel liegt ausschließlich bei uns. Der Hashwert wird etwa 30 Minuten nach der letzten Anfrage automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz vor Missbrauch. Upstash ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung erfolgt damit auf Grundlage von Art. 45 DSGVO.

4.3 E-Mail-Versand: Ihre Anfrage wird uns per E-Mail über den SMTP-Server der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, zugestellt. STRATO verarbeitet die Nachricht im Rahmen eines Auftragsverarbeitungsvertrages auf Servern in Deutschland. Weitere Informationen: strato.de/datenschutz.

5. Google Maps

Im Kontaktbereich können Sie eine Karte von Google Maps anzeigen lassen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Karte wird erst geladen, wenn Sie auf „Karte laden“ klicken. Vorher werden keine Daten an Google übermittelt. Nach dem Laden können Sie zusätzlich Google Street View aufrufen. Hierfür gilt Entsprechendes.

Nach Ihrem Klick stellt Ihr Browser eine Verbindung zu Servern von Google her. Dabei werden insbesondere Ihre IP-Adresse, die aufgerufene Seite sowie Browser- und Geräteinformationen an Google übermittelt. Google kann Informationen auf Ihrem Endgerät speichern oder auslesen, etwa über Cookies. Eine Übermittlung an die Google LLC in den USA ist möglich. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie durch den Klick auf „Karte laden“ erteilen. Die Einwilligung gilt nur für den jeweiligen Seitenaufruf und wird nicht gespeichert. Beim nächsten Besuch wird die Karte erst nach einem erneuten Klick geladen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Seite neu laden. Die Karte wird dann nicht mehr geladen. Von Google bereits gesetzte Cookies können Sie über die Einstellungen Ihres Browsers löschen.

Für die Erhebung und Übermittlung Ihrer Daten an Google beim Laden der Karte sind wir gemeinsam mit Google verantwortlich nach Art. 26 DSGVO. Die weitere Verarbeitung erfolgt in alleiniger Verantwortung von Google. Weitere Informationen: policies.google.com/privacy.

6. Mitgliederbereich

Unser Mitgliederbereich unter /mitgliederbereich steht ausschließlich eingeladenen Mitgliedern des Verbands und den von Mitgliedsunternehmen benannten Ansprechpersonen zur Verfügung. Für Betrieb und Anmeldung nutzen wir den Dienst der Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, die als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig ist.

6.1 Verarbeitete Daten:

• E-Mail-Adresse (zur Identifizierung und Anmeldung)
• Passwort-Hash (das Passwort selbst wird nicht im Klartext gespeichert)
• Anmelde-Token und Anmeldezeitpunkt
• Zugriffszeitpunkte auf den Mitgliederbereich
• IP-Adresse und Browserkennung (User-Agent) in Anmelde- und Zugriffsprotokollen

6.2 Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Mitglied sind. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren Bereitstellung interner Dokumente an die von unseren Mitgliedsunternehmen benannten Ansprechpersonen. Ihre E-Mail-Adresse haben wir in diesem Fall von Ihrem Mitgliedsunternehmen erhalten. Die Daten werden für die Dauer der Mitgliedschaft gespeichert und nach deren Beendigung innerhalb von 30 Tagen gelöscht. Anmelde- und Zugriffsprotokolle speichern wir nur so lange, wie dies für die Sicherheit des Mitgliederbereichs erforderlich ist, längstens bis zur Beendigung der Mitgliedschaft.

6.3 Speicherort und Drittlandübermittlung: Die Datenbank wird in der EU (Region Irland) betrieben. Supabase setzt Unterauftragsverarbeiter ein, unter anderem Amazon Web Services und Cloudflare für Betrieb, Auslieferung und Sicherheit sowie die Supabase Inc., USA, für den Support. Anfragen an den Mitgliederbereich werden dabei über das Netzwerk von Cloudflare geleitet. Ein Zugriff aus Drittländern, etwa zu Wartungs- und Supportzwecken, kann nicht ausgeschlossen werden. Dieser ist durch Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO abgesichert.

6.4 Einladungs- und Passwort-E-Mails: Einladungs- und Passwort-E-Mails werden über den in Ziffer 4.3 genannten SMTP-Server der STRATO GmbH versendet. Sie enthalten einen Einmal-Link, der 24 Stunden gültig ist.

7. Cookies und lokale Speicherung

7.1 Die öffentlichen Seiten unserer Website setzen keine Cookies und keine Analyse- oder Tracking-Werkzeuge ein. Zu Google Maps siehe Ziffer 5.

7.2 Sprachauswahl: Wählen Sie eine Sprache aus, speichern wir diese Auswahl im lokalen Speicher (Local Storage) Ihres Browsers (Eintrag ewpg-lang). Der Eintrag verbleibt auf Ihrem Gerät und wird nicht an uns übermittelt. Die Speicherung ist unbedingt erforderlich, um die von Ihnen gewünschte Sprachfassung bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können den Eintrag jederzeit über die Einstellungen Ihres Browsers löschen.

7.3 Mitgliederbereich: Nach der Anmeldung speichert Supabase Anmelde-Token im lokalen Speicher Ihres Browsers (Eintrag sb-…-auth-token). Sie dienen ausschließlich der Aufrechterhaltung Ihrer Anmeldung und werden beim Abmelden gelöscht. Ohne Abmeldung verbleiben sie bis zum Ablauf der Sitzung oder bis zur Löschung über Ihre Browsereinstellungen. Die Speicherung ist unbedingt erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG. Rechtsgrundlage für die weitere Verarbeitung ist Art. 6 Abs. 1 lit. b oder f DSGVO (siehe Ziffer 6.2).

8. Schriftarten und externe Links

Diese Website verwendet die Schriftarten „Inter“ und „Space Grotesk“, die auf unserem eigenen Server liegen. Eine Verbindung zu externen Servern wie Google Fonts findet nicht statt.

Unsere Website enthält einfache Links zu externen Angeboten, etwa LinkedIn oder Google Maps. Daten werden an den jeweiligen Anbieter erst übermittelt, wenn Sie einen solchen Link anklicken. Es gilt dann die Datenschutzerklärung des jeweiligen Anbieters.

9. Rechte der betroffenen Personen

Ihnen stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf (Art. 7 Abs. 3 DSGVO) – Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Beschwerderecht (Art. 77 DSGVO) – Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für uns ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Postfach 20 04 44, 40102 Düsseldorf (www.ldi.nrw.de).

10. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre personenbezogenen Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr zu diesen Zwecken, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ihren Widerspruch richten Sie bitte an: info@ewpg.de

11. Speicherdauer

Die Dauer der Speicherung personenbezogener Daten bemisst sich nach der jeweiligen Rechtsgrundlage und dem Verarbeitungszweck. Konkrete Speicherfristen sind bei den einzelnen Verarbeitungsvorgängen angegeben. Sofern dort keine Frist genannt ist, werden die Daten gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, insbesondere steuerrechtliche Aufbewahrungspflichten nach § 147 AO von bis zu zehn Jahren, für Buchungsbelege acht Jahre.

Privacy Policy

This English version is provided for convenience only. The German version is legally binding.

1. Controller

The controller within the meaning of the General Data Protection Regulation (GDPR), other national data protection laws, and other data protection provisions is:

Bundesverband für elektronische Wertpapiere e.V.
(Federal Association for Electronic Securities)
c/o Heuking Kühn Lüer Wojtek PartGmbB
Magnusstraße 13, 50672 Cologne, Germany
Phone: +49 221 20 52-220
Email: info@ewpg.de

No data protection officer has been appointed, as there is no obligation to do so under Art. 37 GDPR and Section 38 of the German Federal Data Protection Act (BDSG).

2. General Information on Data Processing

2.1 For security reasons and to protect the transmission of personal data, this website uses TLS encryption (indicated by the padlock icon in the address bar).

2.2 Unless expressly stated otherwise for specific processing operations, personal data is deleted as soon as it is no longer required for its respective purpose and no statutory retention obligations preclude its deletion.

2.3 You are under no statutory or contractual obligation to provide personal data. However, we cannot process a request submitted through the contact form without the information marked as mandatory. We do not engage in automated decision-making, including profiling, within the meaning of Art. 22 GDPR.

3. Hosting and Provision of the Website

This website is hosted by Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Server-side functions such as the contact form run in Vercel’s Frankfurt am Main data center. Static content is delivered through Vercel’s global server network.

When you visit our website, Vercel automatically processes the following information transmitted by your browser (server log files):

• IP address
• URL accessed and referrer URL
• date and time of access
• amount of data transferred and HTTP status code
• browser type and version, and operating system

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest lies in the secure and stable provision of the website and in detecting and preventing attacks. Vercel retains log data for no more than 30 days, after which it is deleted automatically.

Vercel processes the data on our behalf under a data processing agreement pursuant to Art. 28 GDPR. Vercel is certified under the EU-U.S. Data Privacy Framework, so transfers to the United States are based on the European Commission’s adequacy decision pursuant to Art. 45 GDPR. Where data is processed through Vercel’s global server network or by sub-processors in other third countries, this is based on the European Commission’s standard contractual clauses pursuant to Art. 46(2)(c) GDPR. For more information, see vercel.com/legal/privacy-notice.

4. Contact Form

If you use our contact form, we process the following data:

• first and last name
• email address
• phone number (optional)
• subject (optional)
• content of your message
• IP address (for abuse prevention, see Section 4.2)

4.1 We process this data to handle and respond to your request. The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest lies in responding to inquiries. If your request concerns a membership or any other contract, the legal basis is Art. 6(1)(b) GDPR. The data is deleted once your request has been fully handled, unless statutory retention obligations apply.

4.2 Abuse prevention (rate limiting): To protect the contact form against large volumes of automated requests, we limit the number of requests per sender. For this purpose, a hash value is generated from your IP address using a secret key and temporarily stored in a Redis database at Upstash, Inc. (USA), which acts as our processor pursuant to Art. 28 GDPR. Your IP address itself is not stored there, and the key is held exclusively by us. The hash value is deleted automatically approximately 30 minutes after the last request. The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest lies in preventing abuse. Upstash is certified under the EU-U.S. Data Privacy Framework, so the transfer is based on Art. 45 GDPR.

4.3 Email delivery: Your request is delivered to us by email via the SMTP server of STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Germany. STRATO processes the message under a data processing agreement on servers located in Germany. For more information, see strato.de/datenschutz.

5. Google Maps

In the contact section, you can choose to display a map from Google Maps. The provider is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. The map is loaded only after you click “Load map.” No data is transmitted to Google before then. Once the map has loaded, you can also open Google Street View, to which the same applies.

Once you click, your browser connects to Google’s servers. In particular, your IP address, the page visited, and browser and device information are transmitted to Google. Google may store or access information on your device, for example by means of cookies. Data may be transferred to Google LLC in the United States. Google LLC is certified under the EU-U.S. Data Privacy Framework (Art. 45 GDPR).

The legal basis is your consent pursuant to Art. 6(1)(a) GDPR and Section 25(1) of the German Telecommunications Digital Services Data Protection Act (TDDDG), which you give by clicking “Load map.” Your consent applies only to the current page view and is not stored. On your next visit, the map will load only after you click again. You may withdraw your consent at any time with effect for the future by reloading the page, after which the map is no longer loaded. You can delete any cookies already set by Google in your browser settings.

We and Google are joint controllers pursuant to Art. 26 GDPR for the collection and transmission of your data to Google when the map is loaded. Any further processing is the sole responsibility of Google. For more information, see policies.google.com/privacy.

6. Members Area

Our members area at /mitgliederbereich is available exclusively to invited members of the association and to contact persons designated by member companies. We use the service of Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, which acts as our processor pursuant to Art. 28 GDPR, to operate the members area and handle sign-in.

6.1 Data processed:

• email address (for identification and sign-in)
• password hash (the password itself is not stored in plain text)
• sign-in tokens and time of sign-in
• times of access to the members area
• IP address and browser identifier (user agent) in sign-in and access logs

6.2 The legal basis is Art. 6(1)(b) GDPR where you are a member yourself. Otherwise, the legal basis is Art. 6(1)(f) GDPR. Our legitimate interest lies in securely providing internal documents to the contact persons designated by our member companies. In that case, we received your email address from your member company. The data is retained for the duration of the membership and deleted within 30 days after it ends. We retain sign-in and access logs only for as long as necessary for the security of the members area and no longer than until the membership ends.

6.3 Storage location and third-country transfers: The database is operated in the EU (Ireland region). Supabase uses sub-processors, including Amazon Web Services and Cloudflare for operations, delivery, and security, and Supabase Inc., USA, for support. Requests to the members area are routed through Cloudflare’s network. Access from third countries, for example for maintenance and support purposes, cannot be ruled out. Such access is safeguarded by the European Commission’s standard contractual clauses pursuant to Art. 46(2)(c) GDPR.

6.4 Invitation and password emails: Invitation and password emails are sent via the STRATO GmbH SMTP server referred to in Section 4.3. They contain a one-time link that is valid for 24 hours.

7. Cookies and Local Storage

7.1 The public pages of our website do not use cookies or any analytics or tracking tools. For Google Maps, see Section 5.

7.2 Language selection: If you select a language, we store your choice in your browser’s local storage (entry ewpg-lang). The entry remains on your device and is not transmitted to us. This storage is strictly necessary to provide the language version you have requested (Section 25(2) No. 2 TDDDG). You can delete the entry at any time in your browser settings.

7.3 Members area: After you sign in, Supabase stores sign-in tokens in your browser’s local storage (entry sb-…-auth-token). They serve solely to keep you signed in and are deleted when you sign out. If you do not sign out, they remain until the session expires or until you delete them in your browser settings. This storage is strictly necessary pursuant to Section 25(2) No. 2 TDDDG. The legal basis for any further processing is Art. 6(1)(b) or (f) GDPR (see Section 6.2).

8. Fonts and External Links

This website uses the “Inter” and “Space Grotesk” fonts, which are hosted on our own server. No connection is made to external servers such as Google Fonts.

Our website contains simple links to external services such as LinkedIn or Google Maps. Data is transmitted to the respective provider only when you click such a link. The privacy policy of the respective provider then applies.

9. Rights of Data Subjects

You have the following rights vis-à-vis the controller:

• Right of access (Art. 15 GDPR) – You may request information about the personal data we store about you.
• Right to rectification (Art. 16 GDPR) – You may request the correction of inaccurate data or the completion of incomplete data.
• Right to erasure (Art. 17 GDPR) – You may request the deletion of your data unless statutory retention obligations apply.
• Right to restriction of processing (Art. 18 GDPR)
• Right to data portability (Art. 20 GDPR)
• Right to withdraw consent (Art. 7(3) GDPR) – You may withdraw your consent at any time with effect for the future. This does not affect the lawfulness of processing carried out before the withdrawal.
• Right to lodge a complaint (Art. 77 GDPR) – You have the right to lodge a complaint with a data protection supervisory authority, in particular in the Member State of your habitual residence, place of work, or place of the alleged infringement. The authority responsible for us is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen), Kavalleriestraße 2–4, 40213 Düsseldorf, Germany, P.O. Box 20 04 44, 40102 Düsseldorf (www.ldi.nrw.de).

10. Right to Object (Art. 21 GDPR)

Where we process your personal data on the basis of our legitimate interests (Art. 6(1)(f) GDPR), you have the right to object to such processing at any time on grounds relating to your particular situation. We will then no longer process your data for these purposes unless we can demonstrate compelling legitimate grounds for the processing that override your interests, rights, and freedoms, or the processing serves the establishment, exercise, or defense of legal claims.

Please send your objection to: info@ewpg.de

11. Retention Periods

The retention period for personal data depends on the applicable legal basis and the purpose of processing. Specific retention periods are stated for the individual processing operations. Where no period is stated, the data is deleted as soon as the purpose of processing no longer applies and no statutory retention obligations preclude deletion, in particular retention obligations under German tax law pursuant to Section 147 of the German Fiscal Code (AO) of up to ten years, or eight years for accounting vouchers.

Politique de confidentialité

La présente version française est fournie à titre informatif. Seule la version allemande fait foi.

1. Responsable du traitement

Le responsable du traitement au sens du règlement général sur la protection des données (RGPD), des autres lois nationales sur la protection des données et des autres dispositions relatives à la protection des données est :

Bundesverband für elektronische Wertpapiere e.V.
(Association fédérale pour les titres électroniques)
c/o Heuking Kühn Lüer Wojtek PartGmbB
Magnusstraße 13, 50672 Cologne, Allemagne
Tél. : +49 221 20 52-220
E-mail : info@ewpg.de

Aucun délégué à la protection des données n’a été désigné, aucune obligation en ce sens n’existant en vertu de l’art. 37 du RGPD et du § 38 de la loi fédérale allemande sur la protection des données (BDSG).

2. Généralités sur le traitement des données

2.1 Pour des raisons de sécurité et afin de protéger la transmission de données à caractère personnel, ce site utilise un chiffrement TLS (reconnaissable au cadenas dans la barre d’adresse).

2.2 Sauf indication contraire expresse pour un traitement donné, les données à caractère personnel sont effacées dès qu’elles ne sont plus nécessaires à la finalité poursuivie et qu’aucune obligation légale de conservation ne s’y oppose.

2.3 La fourniture de données à caractère personnel n’est imposée ni par la loi ni par un contrat. Sans les informations signalées comme obligatoires, nous ne pouvons toutefois pas traiter une demande adressée via le formulaire de contact. Nous ne recourons à aucune prise de décision automatisée, y compris le profilage, au sens de l’art. 22 du RGPD.

3. Hébergement et mise à disposition du site

Ce site est hébergé par Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis. Les fonctions côté serveur, comme le formulaire de contact, sont exécutées dans le centre de données de Vercel à Francfort-sur-le-Main. Les contenus statiques sont diffusés via le réseau mondial de serveurs de Vercel.

Lors de la consultation de notre site, Vercel traite automatiquement les informations suivantes transmises par votre navigateur (fichiers journaux du serveur) :

• adresse IP
• URL consultée et URL de provenance
• date et heure de l’accès
• volume de données transférées et code de statut HTTP
• type et version du navigateur ainsi que système d’exploitation

La base juridique est l’art. 6, paragraphe 1, point f) du RGPD. Notre intérêt légitime réside dans la mise à disposition sûre et stable du site ainsi que dans la détection et la prévention des attaques. Vercel conserve les données de journalisation pendant 30 jours au maximum, puis les efface automatiquement.

Vercel traite les données pour notre compte sur la base d’un contrat de sous-traitance conformément à l’art. 28 du RGPD. Vercel est certifiée au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework). Les transferts vers les États-Unis reposent ainsi sur la décision d’adéquation de la Commission européenne conformément à l’art. 45 du RGPD. Lorsque des données sont traitées via le réseau mondial de serveurs de Vercel ou par des sous-traitants ultérieurs situés dans d’autres pays tiers, ce traitement repose sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46, paragraphe 2, point c) du RGPD. Pour plus d’informations : vercel.com/legal/privacy-notice.

4. Formulaire de contact

Lorsque vous utilisez notre formulaire de contact, nous traitons les données suivantes :

• prénom et nom
• adresse e-mail
• numéro de téléphone (facultatif)
• objet (facultatif)
• contenu de votre message
• adresse IP (pour la prévention des abus, voir point 4.2)

4.1 Nous traitons ces données afin d’examiner votre demande et d’y répondre. La base juridique est l’art. 6, paragraphe 1, point f) du RGPD. Notre intérêt légitime réside dans le traitement des demandes qui nous sont adressées. Si votre demande porte sur une adhésion ou sur un autre contrat, la base juridique est l’art. 6, paragraphe 1, point b) du RGPD. Les données sont effacées une fois votre demande entièrement traitée, sauf obligation légale de conservation.

4.2 Prévention des abus (limitation du nombre de requêtes) : Afin de protéger le formulaire de contact contre des envois automatisés massifs, nous limitons le nombre de requêtes par expéditeur. À cet effet, une valeur de hachage est générée à partir de votre adresse IP au moyen d’une clé secrète et stockée temporairement dans une base de données Redis chez Upstash, Inc. (États-Unis), qui agit en tant que sous-traitant pour notre compte conformément à l’art. 28 du RGPD. Votre adresse IP elle-même n’y est pas enregistrée, et la clé est détenue exclusivement par nous. La valeur de hachage est effacée automatiquement environ 30 minutes après la dernière requête. La base juridique est l’art. 6, paragraphe 1, point f) du RGPD. Notre intérêt légitime réside dans la prévention des abus. Upstash est certifiée au titre du cadre de protection des données UE-États-Unis. Le transfert repose ainsi sur l’art. 45 du RGPD.

4.3 Envoi des e-mails : Votre demande nous est transmise par e-mail via le serveur SMTP de STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Allemagne. STRATO traite le message dans le cadre d’un contrat de sous-traitance, sur des serveurs situés en Allemagne. Pour plus d’informations : strato.de/datenschutz.

5. Google Maps

Dans la rubrique contact, vous pouvez afficher une carte Google Maps. Le fournisseur est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. La carte n’est chargée qu’après un clic sur « Charger la carte ». Aucune donnée n’est transmise à Google auparavant. Une fois la carte chargée, vous pouvez également ouvrir Google Street View, auquel les mêmes règles s’appliquent.

Après votre clic, votre navigateur établit une connexion avec les serveurs de Google. Sont notamment transmis à Google votre adresse IP, la page consultée ainsi que des informations relatives au navigateur et à l’appareil. Google peut stocker des informations sur votre appareil ou y accéder, par exemple au moyen de cookies. Un transfert vers Google LLC aux États-Unis est possible. Google LLC est certifiée au titre du cadre de protection des données UE-États-Unis (art. 45 du RGPD).

La base juridique est votre consentement au sens de l’art. 6, paragraphe 1, point a) du RGPD et du § 25, alinéa 1 de la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG), que vous donnez en cliquant sur « Charger la carte ». Ce consentement ne vaut que pour la consultation de page en cours et n’est pas enregistré. Lors de votre prochaine visite, la carte ne sera chargée qu’après un nouveau clic. Vous pouvez retirer votre consentement à tout moment pour l’avenir en rechargeant la page, la carte n’étant alors plus chargée. Vous pouvez supprimer les cookies déjà déposés par Google dans les paramètres de votre navigateur.

Nous sommes responsables conjoints avec Google, au sens de l’art. 26 du RGPD, de la collecte et de la transmission de vos données à Google lors du chargement de la carte. Tout traitement ultérieur relève de la seule responsabilité de Google. Pour plus d’informations : policies.google.com/privacy.

6. Espace membres

Notre espace membres, accessible à l’adresse /mitgliederbereich, est réservé aux membres de l’association ayant reçu une invitation et aux personnes de contact désignées par les entreprises membres. Pour son exploitation et la connexion, nous utilisons le service de Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513, qui agit en tant que sous-traitant pour notre compte conformément à l’art. 28 du RGPD.

6.1 Données traitées :

• adresse e-mail (pour l’identification et la connexion)
• empreinte du mot de passe (le mot de passe lui-même n’est pas enregistré en clair)
• jetons de connexion et heure de connexion
• heures d’accès à l’espace membres
• adresse IP et identifiant du navigateur (user agent) dans les journaux de connexion et d’accès

6.2 La base juridique est l’art. 6, paragraphe 1, point b) du RGPD lorsque vous êtes vous-même membre. Dans les autres cas, la base juridique est l’art. 6, paragraphe 1, point f) du RGPD. Notre intérêt légitime réside dans la mise à disposition sécurisée de documents internes aux personnes de contact désignées par nos entreprises membres. Dans ce cas, votre adresse e-mail nous a été communiquée par votre entreprise membre. Les données sont conservées pendant la durée de l’adhésion et effacées dans un délai de 30 jours après la fin de celle-ci. Nous ne conservons les journaux de connexion et d’accès que le temps nécessaire à la sécurité de l’espace membres et au plus tard jusqu’à la fin de l’adhésion.

6.3 Lieu de stockage et transferts vers des pays tiers : La base de données est exploitée dans l’UE (région Irlande). Supabase fait appel à des sous-traitants ultérieurs, notamment Amazon Web Services et Cloudflare pour l’exploitation, la diffusion et la sécurité, ainsi que Supabase Inc., États-Unis, pour l’assistance. Les requêtes adressées à l’espace membres transitent par le réseau de Cloudflare. Un accès depuis des pays tiers, par exemple à des fins de maintenance et d’assistance, ne peut être exclu. Cet accès est encadré par les clauses contractuelles types de la Commission européenne conformément à l’art. 46, paragraphe 2, point c) du RGPD.

6.4 E-mails d’invitation et de mot de passe : Les e-mails d’invitation et de mot de passe sont envoyés via le serveur SMTP de STRATO GmbH mentionné au point 4.3. Ils contiennent un lien à usage unique valable 24 heures.

7. Cookies et stockage local

7.1 Les pages publiques de notre site n’utilisent ni cookies ni outils d’analyse ou de suivi. Concernant Google Maps, voir le point 5.

7.2 Choix de la langue : Lorsque vous choisissez une langue, ce choix est enregistré dans le stockage local (Local Storage) de votre navigateur (entrée ewpg-lang). Cette entrée reste sur votre appareil et ne nous est pas transmise. Cet enregistrement est strictement nécessaire pour fournir la version linguistique que vous avez demandée (§ 25, alinéa 2, n° 2 TDDDG). Vous pouvez supprimer cette entrée à tout moment dans les paramètres de votre navigateur.

7.3 Espace membres : Après votre connexion, Supabase enregistre des jetons de connexion dans le stockage local de votre navigateur (entrée sb-…-auth-token). Ils servent uniquement à maintenir votre session et sont supprimés lors de la déconnexion. Sans déconnexion, ils sont conservés jusqu’à l’expiration de la session ou jusqu’à leur suppression dans les paramètres de votre navigateur. Cet enregistrement est strictement nécessaire au sens du § 25, alinéa 2, n° 2 TDDDG. La base juridique du traitement ultérieur est l’art. 6, paragraphe 1, point b) ou f) du RGPD (voir point 6.2).

8. Polices de caractères et liens externes

Ce site utilise les polices « Inter » et « Space Grotesk », hébergées sur notre propre serveur. Aucune connexion n’est établie avec des serveurs externes tels que Google Fonts.

Notre site contient de simples liens vers des services externes, par exemple LinkedIn ou Google Maps. Des données ne sont transmises au fournisseur concerné que lorsque vous cliquez sur un tel lien. La politique de confidentialité du fournisseur concerné s’applique alors.

9. Droits des personnes concernées

Vous disposez des droits suivants à l’égard du responsable du traitement :

• Droit d’accès (art. 15 du RGPD) – Vous pouvez obtenir des informations sur les données à caractère personnel vous concernant que nous conservons.
• Droit de rectification (art. 16 du RGPD) – Vous pouvez demander la rectification de données inexactes ou le complément de données incomplètes.
• Droit à l’effacement (art. 17 du RGPD) – Vous pouvez demander l’effacement de vos données, sauf obligation légale de conservation.
• Droit à la limitation du traitement (art. 18 du RGPD)
• Droit à la portabilité des données (art. 20 du RGPD)
• Droit de retirer votre consentement (art. 7, paragraphe 3 du RGPD) – Vous pouvez retirer votre consentement à tout moment pour l’avenir. Le retrait ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.
• Droit d’introduire une réclamation (art. 77 du RGPD) – Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise. L’autorité compétente pour nous est la Commissaire à la protection des données et à la liberté d’information du Land de Rhénanie-du-Nord-Westphalie (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen), Kavalleriestraße 2–4, 40213 Düsseldorf, Allemagne, Postfach 20 04 44, 40102 Düsseldorf (www.ldi.nrw.de).

10. Droit d’opposition (art. 21 du RGPD)

Lorsque nous traitons vos données à caractère personnel sur la base de notre intérêt légitime (art. 6, paragraphe 1, point f) du RGPD), vous avez le droit de vous opposer à tout moment à ce traitement pour des raisons tenant à votre situation particulière. Nous ne traitons alors plus vos données à ces fins, à moins que nous ne démontrions qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts, droits et libertés, ou que le traitement serve à la constatation, à l’exercice ou à la défense de droits en justice.

Veuillez adresser votre opposition à : info@ewpg.de

11. Durée de conservation

La durée de conservation des données à caractère personnel dépend de la base juridique applicable et de la finalité du traitement. Les durées de conservation spécifiques sont indiquées pour chaque traitement. À défaut, les données sont effacées dès que la finalité du traitement disparaît et qu’aucune obligation légale de conservation ne s’y oppose, notamment les obligations de conservation de droit fiscal allemand en vertu du § 147 du code fiscal allemand (AO), pouvant aller jusqu’à dix ans, et huit ans pour les pièces comptables.