Datenschutzerklärung für Website, Kundenportal, RFQ, CAD-Upload und Fertigungsnetzwerk.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit dieser Website und den damit verbundenen Plattformfunktionen ist A+ Services / A Plus PartForge, Pastorenweg 52, 28237 Bremen, E-Mail: info@aplus-partforge.com.

Der Verantwortliche entscheidet über Zwecke und Mittel der Datenverarbeitung. Dies betrifft insbesondere den Betrieb der Website, das Kunden- und Partnerkonto, Angebotsanfragen, Dateiuploads, Projektkommunikation, Angebots- und Auftragsverwaltung, Download-Bereiche sowie Sicherheits- und Administrationsprozesse.

2. Allgemeine Hinweise zur Datenverarbeitung

Personenbezogene Daten werden nur verarbeitet, soweit dies für die Bereitstellung der Website, die Bearbeitung von Anfragen, die Abwicklung von Verträgen, die Sicherstellung der IT-Sicherheit oder aufgrund gesetzlicher Pflichten erforderlich ist. Der Umfang der Verarbeitung hängt dabei stark davon ab, ob Besucher die Website nur informatorisch nutzen, eine Anfrage senden, ein Konto anlegen oder als Partner in die Plattform eingebunden sind.

Je nach Nutzungssituation können insbesondere Stammdaten, Kontaktdaten, Unternehmensdaten, Kommunikationsinhalte, Logfiles, Upload-Dateien, Projektinformationen, Angebotsdaten, Bestell- und Rechnungsdaten, Nutzungs- und Sicherheitsdaten sowie Daten zur Rollen- und Zugriffsverwaltung verarbeitet werden. Technische Dateien wie CAD-Daten oder Zeichnungen können ihrerseits keine personenbezogenen Daten enthalten; oft enthalten sie jedoch Metadaten, Projektnamen, Ansprechpartner oder Rückschlüsse auf betriebliche Prozesse und sind daher besonders vertraulich zu behandeln.

Rechtsgrundlagen ergeben sich – je nach Verarbeitung – insbesondere aus der Durchführung vorvertraglicher Maßnahmen, der Vertragserfüllung, berechtigten Interessen an einem sicheren und funktionsfähigen Plattformbetrieb, gesetzlichen Pflichten sowie gegebenenfalls einer Einwilligung. Welche konkrete Rechtsgrundlage im Einzelfall einschlägig ist, hängt von der jeweiligen Funktion und Nutzungssituation ab.

3. Hosting, Server-Logfiles und technische Bereitstellung

Beim rein informatorischen Besuch der Website werden technisch notwendige Daten verarbeitet, damit die Seite ausgeliefert, stabil betrieben und gegen Missbrauch geschützt werden kann. Dazu gehören regelmäßig IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-Informationen, verwendeter Browser, Betriebssystem, Spracheinstellungen und weitere technische Protokolldaten.

Diese Daten sind für den sicheren Betrieb, die Fehleranalyse, die Missbrauchserkennung und die technische Administration erforderlich. Ein seriöser Plattformbetrieb ist ohne eine solche Protokollierung praktisch nicht möglich. Logfiles werden grundsätzlich nur so lange gespeichert, wie dies zur Gewährleistung von Stabilität und Sicherheit erforderlich ist oder gesetzliche bzw. betriebliche Pflichten dies verlangen.

Das Webangebot wird über STRATO gehostet. Im Rahmen des Hostings werden technisch erforderliche Verbindungs- und Serverdaten verarbeitet, soweit dies für sicheren und stabilen Betrieb erforderlich ist.

Einbindung technischer Drittressourcen

Schriften und die für die Benutzeroberfläche eingesetzte Icon-Bibliothek werden lokal über den eigenen Webspace bereitgestellt. Für diese Darstellungsressourcen ist daher keine Verbindung zu Google Fonts oder öffentlichen Icon-CDNs erforderlich.

4. Kontaktformulare, allgemeine Anfragen und Smart RFQ

Wenn Besucher Kontakt aufnehmen oder den Smart-RFQ nutzen, werden die eingegebenen Daten verarbeitet, um die Anfrage entgegenzunehmen, fachlich zu bewerten und zu beantworten. Dazu zählen typischerweise Name, Unternehmen, E-Mail-Adresse, Telefonnummer, Land, Rollen- oder Funktionsangaben, Freitextinformationen, gewählte Fertigungsverfahren, Materialwünsche, Stückzahlen, Liefertermine, Angaben zu Toleranzen und Qualitätsdokumenten sowie gegebenenfalls hochgeladene technische Dateien.

Gerade bei RFQs ist die Datenverarbeitung umfangreicher als bei einem einfachen Kontaktformular, da technische Projektdaten, Dateianhänge und teilweise beschaffungsrelevante Detailangaben übermittelt werden. Diese Informationen werden genutzt, um die Anfrage zu strukturieren, intern zu bearbeiten, Rückfragen zu stellen, geeignete Fertigungspartner zu identifizieren, Angebote vorzubereiten und später den Auftragsstatus nachvollziehbar zu dokumentieren.

Hochgeladene Dateien werden projektspezifisch gespeichert und über Rollen- und Zugriffsrechte geschützt. Zugriff erhalten nur berechtigte Nutzer und, soweit für die Angebotserstellung oder Auftragsabwicklung erforderlich, ausgewählte Fertigungspartner.

CAD-Dateien und technische Dokumente

CAD-Dateien, technische Zeichnungen, Materiallisten, Spezifikationen oder Bilder können wirtschaftlich hochsensible Inhalte darstellen. Auch wenn es sich nicht immer um personenbezogene Daten im engeren Sinn handelt, sind angemessene technische und organisatorische Schutzmaßnahmen erforderlich. Dazu gehören Rollenrechte, sichere Upload-Prozesse, dokumentierte Freigaben und klare Regelungen, wann und an wen Projektdaten weitergegeben werden dürfen.

Nutzer sollten daher keine Daten hochladen, für die ihnen die erforderlichen Rechte fehlen oder deren Weitergabe intern nicht freigegeben ist. Wo nötig, sollten ergänzende Vertraulichkeitsregelungen oder Geheimhaltungsvereinbarungen genutzt werden.

5. Kundenkonto, Login und Nutzerverwaltung

Bei der Registrierung eines Kundenkontos verarbeitet A Plus PartForge die Daten, die für Einrichtung, Authentifizierung und Verwaltung des Kontos erforderlich sind. Dazu gehören in der Regel Name, E-Mail-Adresse, Passwort-Hash, Unternehmenszuordnung, Rolleninformationen und gegebenenfalls weitere Kommunikationsdaten. Passwörter werden nicht im Klartext gespeichert. Für Authentifizierung, Sitzungsverwaltung und Sicherheit werden zusätzliche technische Informationen verarbeitet.

Das Kundenkonto dient dazu, RFQs zu verwalten, Projektstände einzusehen, Angebote zu empfangen, Aufträge nachzuverfolgen, Dokumente herunterzuladen und gegebenenfalls wiederkehrende Bestellungen oder Anfragen einfacher zu organisieren. Dadurch entsteht eine Plattformhistorie, die zwar funktional nützlich ist, aber auch eine klare interne Rechte- und Löschlogik benötigt.

Für Konten werden Passwortschutz, Session-Verwaltung und Rollenrechte eingesetzt. Konten können im Rahmen der betrieblichen und gesetzlichen Anforderungen deaktiviert oder gelöscht werden.

6. Fertigungspartner, Partnerkonto und Lieferantenqualifizierung

Fertigungspartner können über ein gesondertes Partnerkonto in die Plattform eingebunden werden. In diesem Zusammenhang werden Kontakt- und Unternehmensdaten, Kompetenzen, Maschinenpark, Werkstoff- und Prozessinformationen, Kapazitätsangaben, Kommunikationsdaten, Angebotsdaten und – soweit relevant – Nachweise zu Qualitätssystemen oder Zertifizierungen verarbeitet.

Diese Daten werden genutzt, um Partner zu qualifizieren, RFQs gezielt weiterzuleiten, Rückfragen zu koordinieren, Preise und Lieferzeiten zu vergleichen und die allgemeine Plattformqualität zu verbessern. Die Verarbeitung dient somit nicht nur der Vertragsanbahnung, sondern auch der Aufrechterhaltung eines funktionierenden Fertigungsnetzwerks.

Partnerdaten und Qualifizierungsunterlagen werden nur soweit verarbeitet, wie dies für Lieferantenmanagement, Anfragebearbeitung und Auftragsabwicklung erforderlich ist. Projektdaten werden nur im erforderlichen Umfang freigegeben.

7. Angebote, Aufträge, Rechnungen und Projektabwicklung

Kommt es nach einer Anfrage zu einem konkreten Angebot oder Auftrag, verarbeitet die Plattform weitere Daten, etwa Angebotsnummern, Preise, Kalkulationsbestandteile, Bestellnummern, Lieferadressen, Zuständigkeiten, Auftragsstatus, Liefertermine, Versandinformationen, Rechnungsinformationen und gegebenenfalls Zahlungsstatus. Diese Daten sind erforderlich, um Verträge abzuwickeln, Projekte transparent zu steuern und gesetzliche Aufbewahrungspflichten zu erfüllen.

Insbesondere bei der Projektabwicklung können zusätzlich Kommunikationsverläufe, Statusänderungen, interne Notizen und Dokumente anfallen. Ziel ist ein strukturierter und nachvollziehbarer Projektprozess. Soweit für die Abwicklung erforderlich, können Daten auch an Transportdienstleister, Steuerberater, IT-Dienstleister oder Zahlungsdienstleister übermittelt werden. Die konkreten Empfänger ergeben sich aus dem jeweiligen Projekt und den eingesetzten Dienstleistern.

8. Empfänger, Auftragsverarbeiter und Weitergabe an Dritte

Eine Weitergabe personenbezogener Daten erfolgt nur, soweit dies für den Betrieb der Plattform, die Bearbeitung von Anfragen, die Auftragsabwicklung, die Erfüllung gesetzlicher Pflichten oder aufgrund berechtigter Interessen erforderlich ist. Denkbare Empfängergruppen sind Hosting-Provider, E-Mail-Dienstleister, IT-Administratoren, Steuerberater, Versanddienstleister, unterstützende Softwareanbieter und – bei konkreten Anfragen – ausgewählte Fertigungspartner.

Wenn Daten an Fertigungspartner weitergegeben werden, sollte sich die Weitergabe auf das jeweils erforderliche Maß beschränken. Je nach Prozessdesign ist festzulegen, ob personenbezogene Ansprechpartnerdaten mitübermittelt werden, ob technische Dateien pseudonymisiert oder projektspezifisch reduziert weitergegeben werden können und wie Partner vertraglich eingebunden sind. Wo Auftragsverarbeitung vorliegt, sind die entsprechenden Vereinbarungen abzuschließen.

Sollten Anbieter oder Partner außerhalb der EU beziehungsweise des EWR eingebunden werden, müssen etwaige datenschutzrechtliche Anforderungen für Drittlandübermittlungen beachtet und im finalen Text abgebildet werden.

9. Speicherdauer und Löschung

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist. Bei allgemeinen Kontaktanfragen können dies vergleichsweise kurze Zeiträume sein; bei Kundenkonten, Angeboten, Aufträgen, Rechnungen und qualitätsrelevanten Dokumentationen sind längere Aufbewahrungszeiträume erforderlich oder gesetzlich vorgegeben.

Technische RFQ-Daten, Zeichnungen und Angebotsdokumente können zudem für Nachfragen, Nachbestellungen, Qualitätssicherung oder Gewährleistungsfragen relevant sein. Deshalb sollte intern ein Lösch- und Archivierungskonzept definiert werden, das betriebliche Notwendigkeit, gesetzliche Pflichten und Datenschutzinteressen in Einklang bringt. Aufbewahrungs- und Löschfristen richten sich nach Zweck, gesetzlichen Pflichten und berechtigten betrieblichen Interessen.

10. Cookies, Local Storage und Consent Management

A Plus PartForge verwendet technisch notwendige Speichermechanismen, soweit sie für den sicheren und funktionsfähigen Betrieb der Website und der Portale erforderlich sind. Dazu können insbesondere Session-Informationen für Login und Rollenverwaltung, Sicherheitsmechanismen, CSRF-Schutz sowie die Speicherung der vom Nutzer getroffenen Datenschutz- und Consent-Entscheidung gehören.

Für die Verwaltung freiwilliger Einstellungen wird ein eigenes Consent-Management bereitgestellt. Beim ersten Besuch können Nutzer zwischen „Nur notwendige“, „Alle akzeptieren“ und individuellen Einstellungen wählen. Die Auswahl kann jederzeit über den Link „Cookie-Einstellungen“ im Footer erneut geöffnet und mit Wirkung für die Zukunft geändert werden. Die Consent-Entscheidung wird in einer technisch notwendigen, lokal gespeicherten Präferenz mit Versions- und Zeitangabe hinterlegt.

Optionale Kategorien sind Funktional, Statistik und Marketing. Zum Zeitpunkt dieser Fassung werden keine externen Statistik- oder Marketingdienste eingesetzt. Schriften und Icons werden lokal vom eigenen Webspace geladen. Werden zukünftig einwilligungspflichtige Analyse-, Marketing- oder Drittanbieter-Technologien eingebunden, werden diese erst nach einer entsprechenden Zustimmung aktiviert und diese Datenschutzerklärung wird vor Produktivsetzung angepasst.

Die Ablehnung optionaler Kategorien beeinträchtigt die grundlegende Nutzung der Website, die Kontaktaufnahme sowie notwendige Login- und Sicherheitsfunktionen nicht. Technisch notwendige Funktionen können nicht deaktiviert werden, soweit sie für den ausdrücklich angeforderten Dienst oder die sichere Bereitstellung erforderlich sind.

11. Datensicherheit

A Plus PartForge verarbeitet teilweise technisch und wirtschaftlich sensible Informationen. Deshalb sind angemessene technische und organisatorische Maßnahmen erforderlich, um Daten gegen Verlust, Manipulation, unbefugte Offenlegung oder unberechtigten Zugriff zu schützen. Dazu gehören etwa verschlüsselte Übertragung, Rollen- und Rechtekonzepte, Passwortschutz, Protokollierung, Update-Management, Datensicherungen und geregelte interne Zuständigkeiten.

Da die konkrete Ausgestaltung von Hosting, Software, Dateiablage und Kommunikationssystemen variieren kann, werden technische und organisatorische Schutzmaßnahmen laufend überprüft und an den Systembetrieb angepasst.

12. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft über die verarbeiteten personenbezogenen Daten, auf Berichtigung unrichtiger Daten, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch gegen bestimmte Verarbeitungen. Darüber hinaus kann eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden, sofern die Verarbeitung auf einer Einwilligung beruht.

Außerdem besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn der Eindruck besteht, dass die Verarbeitung personenbezogener Daten nicht rechtmäßig erfolgt. Um Rechte geltend zu machen, können betroffene Personen die im Impressum oder auf dieser Seite genannten Kontaktwege nutzen.

13. Aktualisierung dieser Datenschutzerklärung

Da A Plus PartForge als Plattform ausgebaut wird, können sich Funktionsumfang, eingesetzte Systeme, Dienstleister und Datenflüsse ändern. Es ist daher möglich und notwendig, diese Datenschutzerklärung anzupassen, wenn neue Prozesse eingeführt oder bestehende geändert werden. Maßgeblich ist jeweils die im Live-System veröffentlichte Fassung.

Vor allem bei Erweiterungen wie Analyse-Tools, Zahlungsdiensten, zusätzlichen Cloud-Speichern, CRM-Systemen, Ticketing, Newsletter, Mehrsprachigkeit oder internationaler Partnerintegration ist eine erneute datenschutzrechtliche Prüfung erforderlich.

14. Kommunikation per E-Mail und sonstige direkte Kontaktkanäle

Wenn Anfragen oder Projektdaten per E-Mail übermittelt werden, erfolgt die Verarbeitung ebenfalls zur Bearbeitung des jeweiligen Anliegens. E-Mails können personenbezogene Daten, Unternehmensinformationen oder technische Dokumente enthalten. Da unverschlüsselte E-Mail-Kommunikation Sicherheitsrisiken bergen kann, sollte intern geregelt werden, wie sensible Inhalte behandelt und gegebenenfalls alternative sichere Übermittlungswege angeboten werden.

Werden E-Mail-Postfächer gemeinsam von mehreren Mitarbeitern genutzt, ist auf klare Zuständigkeiten, Berechtigungskonzepte und eine geordnete Archivierung zu achten. Auch automatische Benachrichtigungen aus dem Kundenportal oder RFQ-System sind in die Datenschutz- und Sicherheitsbetrachtung einzubeziehen.

15. Keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO

Die Bewertung von Anfragen, Partnerauswahl und Angebotserstellung basiert die Bewertung von Anfragen, Partnerauswahl und Angebotserstellung nicht ausschließlich auf einer automatisierten Entscheidungsfindung im Sinne von Art. 22 DSGVO. Digitale Systeme können Informationen strukturieren und vorbereiten, die eigentliche fachliche Bewertung und Freigabe erfolgt jedoch projektbezogen durch Menschen.

Sollte die Plattform künftig stärker automatisierte Preisindikation, Matching-Mechanismen oder Priorisierungslogiken einsetzen, ist zu prüfen, ob und inwieweit daraus datenschutzrechtliche Informationspflichten entstehen. In diesem Fall wäre auch diese Datenschutzerklärung entsprechend anzupassen.

16. Minderjährige, Privat- und Geschäftskunden

A Plus PartForge richtet sich sowohl an Geschäftskunden als auch an volljährige Privatkunden, die beispielsweise Einzelanfertigungen, Ersatzteile, Prototypen oder 3D-Druckteile anfragen. Fertigungspartnerkonten richten sich dagegen ausschließlich an gewerblich tätige Unternehmen und werden vor dem Zugang zu Fertigungsanfragen geprüft.

Das Angebot richtet sich nicht gezielt an Minderjährige. Bei Privatkunden können im Rahmen von Anfrage, Angebot und Auftrag insbesondere Kontakt-, Liefer-, Rechnungs- und Projektdaten verarbeitet werden. Bei Geschäftskunden und Fertigungspartnern kommen zusätzlich Unternehmens-, Funktions-, Qualitäts- und Beschaffungsinformationen hinzu.

17. Datenschutzorganisation und interne Prozesse

Eine funktionierende Datenschutzerklärung ist nur ein sichtbarer Teil eines umfassenderen Datenschutzkonzepts. Ebenso wichtig sind interne Abläufe: Rechtevergabe, Löschprozesse, Verzeichnis von Verarbeitungstätigkeiten, Regelungen zu Auftragsverarbeitern, Schulung von Mitarbeitern, Prozess für Betroffenenanfragen sowie ein geregelter Umgang mit Sicherheitsvorfällen.

Da A Plus PartForge mehrere Rollen und Prozessschritte bündelt, sollten diese internen Grundlagen von Beginn an mit aufgebaut werden. Das verbessert nicht nur die Rechtssicherheit, sondern auch die operative Qualität der Plattform.

18. Versionierung und Geltung dieser Fassung

Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung der Datenschutzerklärung.

Es empfiehlt sich, zukünftige Änderungen zu versionieren und intern nachvollziehbar zu dokumentieren, insbesondere wenn neue Dienste, Länder, Rollen oder Prozessschritte in die Plattform integriert werden.