Datenschutzerklärung VERA 2.0

Stand: 22.09.2026

VERA 2.0 ist eine Anwendung, mit der Produktionsfirmen Verträge erstellen, verhandeln, unterzeichnen und verwalten. Sie begegnen dieser Anwendung auf einem von zwei Wegen: entweder als Mitarbeiterin oder Mitarbeiter einer Produktionsfirma mit eigenem Benutzerkonto, oder ohne Konto über einen persönlichen Link, mit dem Sie zu einer Vertragsverhandlung eingeladen wurden. Wenn Sie über einen Verhandlungslink hier gelandet sind, ist Abschnitt 3 der für Sie zentrale Abschnitt.

Diese Erklärung beschreibt, wer für welche Daten verantwortlich ist, welche Daten verarbeitet werden, wozu, auf welcher Rechtsgrundlage, an wen sie weitergegeben werden, wie lange sie gespeichert bleiben und welche Rechte Sie haben.

1. Verantwortlichkeit

Die Verantwortlichkeit für VERA 2.0 ist zweigeteilt.

Die Produktionsfirma entscheidet, mit wem sie Verträge schließt, welche Angaben sie dafür erhebt, wen sie zu einer Verhandlung einlädt und was sie mit den Ergebnissen tut. Für Ihre Vertragsdaten — Kontaktdaten, Vertragstext, Personalstammdaten, Anhänge, Verhandlungsbeiträge, Unterschrift — ist deshalb die Produktionsfirma Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Insoweit handelt die Erium GmbH als weisungsgebundene Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage der mit der jeweiligen Kundenfirma geschlossenen Vereinbarung zur Auftragsverarbeitung.

Welche Firma das in Ihrem Fall ist, steht in der Einladungs-E-Mail und im Vertrag selbst. Für Auskunft, Berichtigung oder Löschung Ihrer Vertragsdaten wenden Sie sich zuerst an diese Firma. Erreicht uns ein solches Anliegen direkt, leiten wir es an die zuständige Firma weiter.

Die Erium GmbH ist eigene Verantwortliche für den Betrieb der Plattform: Benutzerkonten der internen Nutzerinnen und Nutzer, Anmeldung, technische Protokolldateien, Maßnahmen zur Sicherheit und Missbrauchsabwehr sowie der Nachweis, wer wann den Rechtstexten zugestimmt hat.

Erium GmbH, Carl-Zeiss-Ring 14, 85737 Ismaning · vertreten durch die Geschäftsführer Dr. Maksim Greiner und Dr. Theo Steininger · Registergericht Amtsgericht München, HRB 246717 · USt-IdNr. DE322680506 · info@erium.de · +49 172 6623509.

Die Informationspflicht nach Art. 13 bzw. Art. 14 DSGVO gegenüber Personen ohne eigenes Konto obliegt in erster Linie der einladenden Produktionsfirma als Verantwortlicher für die Vertragsdaten; diese Erklärung ergänzt sie um die Verarbeitung durch die Erium GmbH als Plattformbetreiberin.

2. Datenschutzbeauftragter

Die Erium GmbH hat keinen Datenschutzbeauftragten bestellt. Anliegen zum Datenschutz richten Sie an die in Abschnitt 1 genannte Anschrift und E-Mail-Adresse.

3. Ohne eigenes Konto: der Verhandlungslink

Sie erhalten eine E-Mail mit einem persönlichen Link, der einen zufällig erzeugten Zugangsschlüssel für genau einen Vertrag und Ihre Rolle darin enthält. Ein Passwort gibt es nicht — wer den Link besitzt, hat Zugang. Behandeln Sie ihn entsprechend vertraulich.

Gespeichert wird vom Zugangsschlüssel nur ein kryptografischer Prüfwert, dazu die E-Mail-Adresse, an die die Einladung ging, eine Bezeichnung des Zugangs, Versand-, Ablauf- und letzter Nutzungszeitpunkt sowie, im Fall eines Widerrufs, dessen Zeitpunkt. Ein Zugang läuft standardmäßig nach 14 Tagen ab und kann von der Firma jederzeit widerrufen werden.

Je nach Einrichtung durch die Firma können Sie über diesen Zugang den Vertragstext lesen, Änderungsvorschläge und Verhandlungsbeiträge verfassen, Anhänge und eine Vollmacht hochladen, Ihre Personalstammdaten einschließlich Bankverbindung, Steuer-Identifikationsnummer, Sozialversicherungsnummer sowie Angaben zu Konfession, Schwerbehinderung und Krankenversicherung erfassen (Abschnitt 5), Nachweisdokumente hochladen und den Vertrag elektronisch unterzeichnen.

Alles, was Sie eingeben, ist für berechtigte Mitarbeiterinnen und Mitarbeiter der einladenden Firma sichtbar. Besonders sensible Angaben und Nachweisdokumente sind zusätzlich auf Personen mit ausdrücklichem Recht zur Lohnbuchhaltung beschränkt; zum Lohnexport und zum vollständigen Datenexport siehe Abschnitt 7 und Abschnitt 10, zur technischen Umsetzung Abschnitt 9. Sie selbst sehen Ihre eigenen sensiblen Angaben im Klartext. Solange sie im Entwurf sind oder eine Nachbesserung angefordert wurde, können Sie sie ändern; in Prüfung nur noch die Firma; nach Prüfung und Übernahme ist das Bearbeitungsfenster für beide Seiten geschlossen.

Handeln Sie als Vertreterin oder Vertreter für eine andere Person oder eine Firma, verarbeiten wir zu Ihnen Anrede, Vorname, Nachname, E-Mail-Adresse, gegebenenfalls Telefonnummer sowie die hochgeladene Vollmacht. Die Personalstammdaten-Maske der vertretenen Person bleibt Ihnen verschlossen. Verhandeln und Unterzeichnen ist erst möglich, nachdem die Firma Ihre Vollmacht bestätigt hat.

Vor der Nutzung des Zugangs werden Ihnen Nutzungsbedingungen und Datenschutzerklärung zur Zustimmung vorgelegt; wir speichern dazu Zeitpunkt, Vertragskennung, E-Mail-Adresse und IP-Adresse (Abschnitt 4 und 6).

Hat die Produktionsfirma Ihren Namen, Ihre E-Mail-Adresse oder weitere Kontaktdaten bereits vor Ihrer ersten Nutzung erfasst — etwa aus einer früheren Zusammenarbeit oder einer Meldung Dritter —, informiert sie Sie hierüber im Rahmen der Einladung; die Informationspflicht nach Art. 14 DSGVO obliegt insoweit der Produktionsfirma als Verantwortlicher.

4. Welche Daten wir verarbeiten

Interne Nutzerkonten. E-Mail-Adresse, vollständiger Name, gewählte Sprache, aktiver Mandant. Passwort-Hash, Bestätigungsstatus der E-Mail-Adresse und Zwei-Faktor-Einrichtung liegen im Anmeldedienst (Abschnitt 7). Für Einladungen und Passwort-Zurücksetzungen zusätzlich E-Mail-Adresse und ein Prüfwert des Einrichtungs-Tokens.

Kontakt- und Vertragspartnerdaten. Anrede, Vorname, Nachname, Anzeige- oder Künstlername, Titel, Namenszusatz, Namensvorsatz, Geburtsname, Geschlecht, Geburtsdatum, Geburtsort, Geburtsland, Staatsangehörigkeit, E-Mail-Adresse, Telefonnummer, vollständige Anschrift.

Firmen- und Organisationsdaten. Bezeichnung und Anschrift von Vertragspartnern, die Firmen sind, sowie der Organisationseinheiten der Produktionsfirma.

Vertreterinnen und Vertreter. Anrede, Vorname, Nachname, E-Mail-Adresse, Telefonnummer, die hochgeladene Vollmachtsdatei.

Personalstammdaten je Vertrag. Eine Kopie der Kontaktdaten, Angaben zum Anstellungsverhältnis, Verweise auf vorhandene Nachweisdokumente sowie — ausschließlich — die Namen der vorhandenen sensiblen Felder, nie deren Werte.

Bank-, Steuer- und Sozialversicherungsdaten. IBAN, BIC, gegebenenfalls der Name des Kontoinhabers, Steuer-Identifikationsnummer, Lohnsteuerklasse, Zahl der Kinder unter 25 Jahren, Sozialversicherungsnummer, Mitgliedsnummer und Beitragssatz einer Pensionskasse. Diese Werte liegen nicht in der VERA-Datenbank, sondern verschlüsselt im Schwestersystem VERA Passport (Abschnitt 7 und 9).

Gesundheits- und Sozialdaten. Konfession, Angabe zu einer Schwerbehinderung, Art der Krankenversicherung, Krankenkasse, Beginn und Art einer gesetzlichen Rente — siehe Abschnitt 5.

Nachweisdokumente. Personalausweis oder Reisepass, Aufenthaltstitel, Arbeitserlaubnis, Schwerbehindertenausweis, Gesundheitszeugnis, Bescheinigungen zur Krankenversicherung, Rentenausweis, Schul- und Immatrikulationsbescheinigung und weitere. Verschlüsselt ausgelagert; in der VERA-Datenbank verbleibt dauerhaft nichts.

Vertragsinhalte. Die in einen Vertrag eingesetzten Werte, der gerenderte Vertragstext, Briefkopf und Titel.

Anhänge und Dokumente. Vertragsanhänge, ausgefüllte Formularfelder, zentral hinterlegte Anhänge, Logos sowie die unsignierte und signierte Fassung des Vertrags-PDF.

Kommunikation. Vertragsbezogener interner Chat mit Verfasserangabe und Erwähnungen, Kommentare zu Verträgen, Benachrichtigungen in der Anwendung.

Protokoll- und Nachweisdaten. Ein fortlaufendes Audit-Protokoll hält fest, wer wann welche Aktion an welchem Objekt ausgeführt hat, einschließlich inhaltlicher Änderung und Sichtbarkeit für die Gegenseite. Signaturvorgänge werden mit Angaben zu den Unterzeichnenden protokolliert; zu jeder Signatur wird eine Kostenbuchung geführt.

Zustimmungs-Nachweise. Für Konteninhaberinnen und Konteninhaber: Benutzerkennung, zugestimmtes Dokument, Zeitpunkt, IP-Adresse, Browserkennung. Für Personen ohne Konto: Vertragskennung, E-Mail-Adresse, Dokument, Zeitpunkt, IP-Adresse.

Technische Protokolldateien. Betriebsprotokolle der Server, die in einzelnen Einträgen E-Mail-Adressen enthalten können (z. B. beim Versand einer Nachricht oder in Fehlermeldungen).

5. Besondere Kategorien personenbezogener Daten

Nach Art. 9 DSGVO besonders geschützt sind: Konfession beziehungsweise Religionszugehörigkeit (Kirchensteuer), Schwerbehinderung, Art der Krankenversicherung und Krankenkasse sowie die Dokumente Schwerbehindertenausweis und Gesundheitszeugnis. Beginn und Art einer gesetzlichen Rente behandeln wir vorsorglich ebenso.

Diese Angaben stehen nicht in der VERA-Datenbank; gespeichert wird dort nur, dass eine Angabe vorliegt, nie der Wert. Im Klartext verarbeitet werden sie ausschließlich flüchtig im Arbeitsspeicher — beim Erfassen durch die betroffene Person, beim Anzeigen für sie selbst und beim Erzeugen des Lohnexports für die Lohnbuchhaltung. Dauerhaft gespeichert werden sie verschlüsselt im Schwestersystem VERA Passport; zum Entschlüsseln wird ein privater Schlüssel der jeweiligen VERA-Instanz benötigt.

Rechtsgrundlage. Soweit die Angabe für die Lohnabrechnung gesetzlich vorgeschrieben ist, stützt sich die Verarbeitung auf Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG (Erfüllung arbeits-, sozial- und steuerrechtlicher Pflichten der Produktionsfirma als Arbeitgeberin); die Erium GmbH verarbeitet insoweit als deren Auftragsverarbeiterin. Im Übrigen beruht die Verarbeitung auf Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie durch die Eingabe der jeweiligen Angabe in das dafür vorgesehene Feld erteilen. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 11); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

6. Zwecke und Rechtsgrundlagen

Bereitstellung und Betrieb der Anwendung. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb), im Auftragsverhältnis zusätzlich Art. 28 DSGVO.

Konto und Anmeldung. Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO; die optionale Zwei-Faktor-Anmeldung beruht auf dem berechtigten Interesse an der Kontosicherheit.

Vertragsanbahnung, Verhandlung, Vertragsschluss. Art. 6 Abs. 1 lit. b DSGVO. Verantwortliche ist die Produktionsfirma.

Personalstammdaten und Lohnabrechnung. Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit den steuer- und sozialversicherungsrechtlichen Melde- und Aufzeichnungspflichten sowie § 26 BDSG; für besondere Kategorien zusätzlich Art. 9 Abs. 2 DSGVO (Abschnitt 5).

Elektronische Signatur. Art. 6 Abs. 1 lit. b DSGVO, soweit ein Signaturniveau gesetzlich vorgeschrieben ist zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

E-Mail-Versand. Einladungen, Konto-Einrichtung, Passwort-Zurücksetzung, Benachrichtigungen, auf Wunsch das signierte Vertrags-PDF. Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versendet VERA 2.0 nicht.

Audit-Protokoll. Nachvollziehbarkeit von Vertragsänderungen, Fehler- und Missbrauchserkennung. Art. 6 Abs. 1 lit. f DSGVO, für die Rechenschaftspflicht auch Art. 5 Abs. 2 DSGVO.

Zustimmungs-Nachweis mit IP-Adresse. Nachweis, dass und wann den Rechtstexten zugestimmt wurde. Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Wir speichern die IP-Adresse ausschließlich zu diesem Nachweiszweck und so lange, wie dieser Nachweis benötigt wird (Abschnitt 10).

7. Empfänger Ihrer Daten

Die Produktionsfirma. Alles, was Sie in einen Vertrag eingeben, ist für berechtigte Mitarbeiterinnen und Mitarbeiter der einladenden Firma bestimmt; innerhalb der Firma gilt ein abgestuftes Rechtesystem, sensible Personalstammdaten und Nachweise sind zusätzlich auf Personen mit ausdrücklichem Abrechnungsrecht beschränkt.

Auftragsverarbeiter. Mit den nachfolgenden Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO:

- Supabase — Datenbank, Anmeldung, Dateispeicher. Dort liegen die in Abschnitt 4 genannten Bestände mit Ausnahme der sensiblen Personalstammdaten und Nachweisdokumente. Hochgeladene Dateien liegen in einem nicht öffentlichen Speicherbereich, abrufbar nur über kurzlebige, serverseitig ausgestellte Links. - Betreiber des Mailservers — Versand aller E-Mails über einen im Betrieb konfigurierten SMTP-Server; die Verbindung erfolgt verschlüsselt. Wird hierfür ein Drittanbieter eingesetzt, gilt dieser als weiterer Auftragsverarbeiter. - Hosting-Betreiber — betreibt die Server, auf denen die Anwendung und die technischen Protokolldateien liegen.

VERA Passport. Bank-, Steuer-, Sozialversicherungs- und Gesundheitsdaten sowie Nachweisdokumente werden verschlüsselt an das Schwestersystem VERA Passport übergeben. VERA Passport wird ebenfalls von der Erium GmbH betrieben; der Datenaustausch zwischen beiden Systemen verlässt damit nicht deren Verantwortungsbereich. VERA fragt über eine gesicherte Server-zu-Server-Verbindung an, ob eine Freigabe für eine bestimmte Datengruppe vorliegt, und übermittelt dafür Personenkennung, angefragten Umfang, Feldbezeichnungen und Projektbezug; in der Gegenrichtung meldet VERA Passport Stammdatenänderungen zurück.

Anbieter für elektronische Signaturen. Ist die Installation dafür konfiguriert, wird Yousign oder Skribble eingebunden; welcher Anbieter aktiv ist, richtet sich nach der Konfiguration der jeweiligen Installation. Ist keiner konfiguriert, findet keine Übermittlung statt und die Signatur wird nur simuliert.

- Yousign erhält das vollständige Vertrags-PDF sowie je unterzeichnender Person Vorname, Nachname, E-Mail-Adresse, Sprache und die Position des Signaturfeldes; der signierte Vertrag wird zurückgeholt. Für einfache und fortgeschrittene Signaturen kann eine Identitätsprüfung per Einmalcode (E-Mail oder SMS, im letzteren Fall mit Mobilfunknummer) eingerichtet sein; für qualifizierte Signaturen kommt ein vom Anbieter vorgegebenes Identifizierungsverfahren (Video-Identifizierung oder elektronischer Identitätsnachweis) hinzu. - Skribble erhält das Vertrags-PDF sowie je unterzeichnender Person E-Mail-Adresse, Vorname, Nachname und gegebenenfalls die Position des Signaturfeldes; der anwendbare Rechtsrahmen ist zwischen eIDAS und dem Schweizer ZertES einstellbar.

Lohnbuchhaltung und Abrechnungsstellen. Für die Lohnabrechnung kann die Produktionsfirma ein Exportpaket mit Lohnstammdaten, Personalstammdaten je Person und den zugehörigen Nachweisdokumenten in entschlüsselter Form erzeugen. Empfänger dieses Pakets — Lohnbüro, Steuerberatung oder Abrechnungssystem — bestimmt die Produktionsfirma; sie benennt sie in ihrer eigenen Datenschutzinformation.

Google Fonts. Die Anwendung lädt die verwendete Schriftart bei jedem Seitenaufruf von Servern von Google (fonts.googleapis.com, fonts.gstatic.com); dabei werden Ihre IP-Adresse und die Kennung Ihres Browsers an Google übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer technisch stabilen und einheitlichen Darstellung; zur Übermittlung siehe Abschnitt 8.

Beim Einstieg über die Hülle von VERA Passport verbindet sich Ihr Browser zusätzlich unmittelbar mit dem Passport-Host und der VERA-Instanz und überträgt dabei technisch bedingt IP-Adresse, Browserkennung und die eingestellte Sprache; beide Systeme werden von der Erium GmbH betrieben.

Keine Analyse-, Tracking- und KI-Dienste. VERA 2.0 bindet keine Werkzeuge zur Reichweiten- oder Nutzungsanalyse und keine Dienste zur Fehler- oder Leistungsüberwachung ein. Es werden keine Vertragsinhalte, Verhandlungsbeiträge oder Personendaten an ein Sprachmodell oder einen anderen KI-Dienst übermittelt.

Maschinelle Schnittstellen des Kunden. Die Produktionsfirma kann für eigene Drittsysteme mandantenbezogene, lesende Zugänge zur Programmierschnittstelle einrichten; jeder Zugriff wird protokolliert.

Der Plattformbetrieb. Für Betrieb, Wartung und Fehlersuche bestehen privilegierte Zugänge, die die mandantenbezogene Zugriffskontrolle der Datenbank umgehen, sowie ein Verwaltungsbereich für Grundeinstellungen. Beide sind auf einen engen Personenkreis beschränkt und werden protokolliert. Für die verschlüsselt in VERA Passport abgelegten Angaben gilt das nur eingeschränkt — dort ist zusätzlich der private Schlüssel der Installation nötig.

Behörden. Daten geben wir an staatliche Stellen nur heraus, wenn wir dazu rechtlich verpflichtet sind.

8. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU/des EWR findet bei der Einbindung von Google Fonts statt. Google LLC ist nach dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich hierauf.

Supabase betreibt das eingesetzte Projekt in der EU-Region Frankfurt. Soweit im Einzelfall ein Zugriff aus einem Drittland zu Wartungs- oder Supportzwecken erfolgt, ist dieser durch die EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Für die übrigen eingesetzten Dienste (Signaturanbieter, Mailserver, Hosting) gilt dasselbe, soweit sie außerhalb der EU/des EWR verarbeiten.

9. Wie die Daten geschützt sind

Sensible Personalstammdaten (Bankverbindung, Steuer-Identifikationsnummer, Sozialversicherungsnummer, Gesundheits- und Konfessionsangaben) werden verschlüsselt im Schwestersystem VERA Passport abgelegt und liegen in der VERA-Datenbank weder im Klartext noch verschlüsselt vor. Der zum Entschlüsseln nötige private Schlüssel gehört der jeweiligen VERA-Installation. Klartext entsteht dabei kurzzeitig im Arbeitsspeicher des Servers: beim Erfassen und beim Anzeigen für die betroffene Person sowie beim Erzeugen des Lohnexports, der die Werte anschließend bewusst lesbar enthält.

Nachweisdokumente werden vor dem Versand verschlüsselt und nur verschlüsselt abgelegt; in VERA verbleibt dauerhaft keine Kopie. Entschlüsselt werden sie serverseitig und flüchtig bei berechtigtem Abruf.

Zugangsschlüssel der Gegenseite, Maschinenzugänge und Konto-Einrichtungs-Token werden nie im Klartext gespeichert, sondern nur als Prüfwert. Konfigurationsgeheimnisse wie das Mailserver-Passwort und die Schlüssel der Signaturanbieter werden verschlüsselt gespeichert.

Im Klartext in der Datenbank liegen Kontakt- und Stammdaten, Vertragsinhalte, Chat, Kommentare und die Einträge des Audit-Protokolls. Der Schutz beruht auf Zugriffskontrolle: Mandanten sind auf Datenbankebene getrennt, innerhalb eines Mandanten entscheidet ein abgestuftes Rechtesystem, und für Personalakten gilt zusätzlich eine Beschränkung auf ausdrücklich berechtigte Personen.

Anmeldung. Eine eingerichtete Zwei-Faktor-Anmeldung wird bei jeder Anmeldung erzwungen. Ohne Zustimmung zu den Rechtstexten ist die Anwendung nicht nutzbar; besonders weitreichende Verwaltungsfunktionen erfordern zusätzlich eine bestätigte E-Mail-Adresse.

Übertragung. Die Verbindung zur Anwendung erfolgt ausschließlich verschlüsselt über HTTPS. Die Verbindung zum Mailserver wird nach dem Stand der Technik verschlüsselt betrieben.

10. Speicherdauer und Löschung

Verträge, Vertragsanhänge, signierte Vertrags-PDFs, Personalstammdaten je Vertrag, Nachweis-Referenzen sowie Signaturvorgänge und Kostenbuchungen bewahren wir für die Dauer der Geschäftsbeziehung zwischen Ihnen beziehungsweise der Produktionsfirma und der Erium GmbH auf und darüber hinaus, soweit handels- oder steuerrechtliche Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB) dies verlangen. Das Audit-Protokoll bewahren wir aus Nachweis- und Rechenschaftsgründen für denselben Zeitraum auf. Zustimmungs-Nachweise bewahren wir für die Dauer auf, die zur Rechenschaft nach Art. 5 Abs. 2 DSGVO erforderlich ist. Technische Betriebsprotokolle, Sicherungskopien und Datenexporte löschen oder überschreiben wir, sobald sie für den jeweiligen Zweck nicht mehr benötigt werden.

Manuelle Löschwege. Die Produktionsfirma kann Kontakte anonymisieren — Vorname wird durch eine Platzhalterangabe ersetzt, Nachname, Telefonnummer, Anrede und Anschrift werden geleert, die E-Mail-Adresse durch eine nicht zustellbare Platzhalteradresse ersetzt und die Verknüpfung zu VERA Passport gelöst; der Vorgang ist nicht rückgängig zu machen. Bereits in Verträgen, Vertragstexten, Chatbeiträgen und Audit-Einträgen enthaltene Angaben bleiben davon unberührt, soweit ihre Aufbewahrung aus Nachweis- und Rechenschaftsgründen nach Art. 17 Abs. 3 lit. b und e DSGVO zulässig ist. Kontakte, die an keinem Vertrag hängen, sowie Firmen, Organisationseinheiten, Vorlagen und Textbausteine lassen sich vollständig löschen. Interne Benutzerkonten werden anonymisiert, sobald keine Mandanten-Mitgliedschaft mehr besteht; der Profildatensatz bleibt bestehen, damit Audit-Einträge zuordenbar bleiben. Abgelaufene Zugänge werden nicht entfernt, aber unbrauchbar. Sensible Daten und Nachweise werden nicht in VERA, sondern in VERA Passport gelöscht; widerruft eine Person dort ihre Freigabe, löscht VERA die bei sich gespiegelten Felder.

11. Ihre Rechte

- Auskunft nach Art. 15 DSGVO. - Berichtigung unrichtiger oder unvollständiger Daten nach Art. 16 DSGVO. - Löschung nach Art. 17 DSGVO — zu den praktischen Grenzen siehe Abschnitt 10. - Einschränkung der Verarbeitung nach Art. 18 DSGVO. - Datenübertragbarkeit nach Art. 20 DSGVO. - Widerspruch nach Art. 21 DSGVO gegen auf berechtigtes Interesse gestützte Verarbeitungen, insbesondere das Audit-Protokoll. - Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO, jederzeit und ohne Angabe von Gründen, mit Wirkung für die Zukunft.

An wen Sie sich wenden. Für Ihre Vertragsdaten an die Produktionsfirma, die Ihnen den Vertrag geschickt hat (Einladungs-E-Mail, Vertrag). Für den Betrieb der Plattform — Benutzerkonto, Anmeldung, technische Protokolle, Zustimmungs-Nachweis — an die Erium GmbH unter den in Abschnitt 1 genannten Kontaktdaten. Sind Sie unsicher, schreiben Sie uns; wir leiten weiter.

12. Beschwerderecht

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Behörde Ihres Wohnsitzes, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Für die Erium GmbH zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach. Richtet sich Ihre Beschwerde gegen die Verarbeitung Ihrer Vertragsdaten, ist die für die jeweilige Produktionsfirma zuständige Aufsichtsbehörde maßgeblich; diese kann eine andere sein.

13. Cookies und Nachverfolgung

VERA 2.0 setzt keine Cookies zu Werbe-, Analyse- oder Nachverfolgungszwecken und bindet keine entsprechenden Dienste ein. Verwendet werden ausschließlich technisch notwendige und funktionale Speicherungen: das Sitzungs-Cookie der Anmeldung, ein technisches Cookie für die eingebettete Verhandlungsansicht über VERA Passport (nicht skriptauslesbar, nur über verschlüsselte Verbindung), ein Komfort-Cookie für den Zustand der Seitenleiste sowie zwei lokal im Browser gespeicherte Werte (Darstellung hell/dunkel, Breite der Seitenleiste), die das Gerät nicht verlassen. Diese Speicherungen sind unbedingt erforderlich im Sinne des § 25 Abs. 2 TDDDG; ein Einwilligungsbanner ist daher nicht erforderlich. Die in Abschnitt 7 beschriebene Einbindung von Google Fonts setzt kein Cookie, überträgt aber Ihre IP-Adresse an einen Dritten und wird dort gesondert bewertet.

14. Pflicht zur Bereitstellung und Folgen der Nichtbereitstellung

Für den Vertragsschluss sind Name, Anschrift und E-Mail-Adresse praktisch unverzichtbar; ohne sie kann die Produktionsfirma keinen Vertrag mit Ihnen schließen (vertragliche, keine gesetzliche Pflicht). Für eine Lohnabrechnung verlangen Steuer- und Sozialrecht unter anderem Name, Geburtsdatum, Anschrift, Steuer-Identifikationsnummer, Lohnsteuerklasse, Sozialversicherungsnummer und Bankverbindung sowie — als besondere Kategorien — Konfession und die Angabe zur Schwerbehinderung; fehlen diese Angaben, kann die Abrechnung über VERA nicht durchgeführt werden. Nachweisdokumente werden angefordert, soweit eine Berechtigung oder Qualifikation zu belegen ist. Ein eigenes Benutzerkonto brauchen Sie nicht — über den Einladungslink können Sie einen Vertrag lesen, verhandeln und unterzeichnen, ohne ein Konto anzulegen.

15. Keine automatisierte Entscheidungsfindung

VERA 2.0 trifft keine Entscheidungen über Sie, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen; es findet kein Profiling im Sinne des Art. 4 Nr. 4 DSGVO statt. Jede inhaltliche Entscheidung — über einen Vertragsabschluss, eine Vergütung oder eine Abrechnung — trifft die jeweilige Produktionsfirma.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa bei einem neuen Dienstleister oder einer neuen Funktion. Maßgeblich ist die Fassung mit dem oben genannten Stand. Für Personen mit Benutzerkonto wird eine als verbindlich hinterlegte neue Fassung beim nächsten Zugriff zur Bestätigung vorgelegt. Für Personen ohne Benutzerkonto gilt die zum Zeitpunkt ihres Zugriffs über den Verhandlungslink aktuelle Fassung, die ihnen dort zur Bestätigung vorgelegt wird.