Dossalis › Datenschutz
Datenschutzerklärung
Stand: 20. September 2026
Welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, wie lange und wer sie sonst noch sieht. Keine abgeschriebenen Klauseln: nur das, was bei Dossalis tatsächlich passiert.
Verfasst, um die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) und das spanische Datenschutzgesetz Ley Orgánica 3/2018 einzuhalten, und so, dass man sie beim ersten Lesen versteht.
1. Zwei verschiedene Rollen, die man nicht verwechseln sollte
Dossalis verarbeitet Daten in zwei Situationen, die das Gesetz voneinander trennt und für die wir unterschiedlich einstehen:
- Als Verantwortlicher für Ihre Daten, wenn Sie diese Website besuchen, den Test machen oder Informationen anfragen, und für die Daten Ihres Kontos im Dashboard: die Registrierung, die Personen, die sich anmelden, und das Protokoll der Anmeldungen. Hier entscheiden wir, was mit den Daten geschieht, und diese Erklärung gilt für sie.
- Als Auftragsverarbeiter für die Daten, die ein Kunde in sein Dashboard eingibt — Kontaktdaten seiner Lieferanten, die Mitarbeitenden, die die Prüfungen durchführen. Diese Daten gehören weiterhin dem Kundenunternehmen: Wir verarbeiten sie nur in dessen Auftrag und nach dessen Weisungen, auf Grundlage des Auftragsverarbeitungsvertrags nach Artikel 28 der DSGVO, der Teil der AGB ist und mit der Erstellung des Kontos akzeptiert wird. Wenn Sie bei einem unserer Kunden beschäftigt sind oder ihn beliefern und ein Recht ausüben möchten, wenden Sie sich bitte an dieses Unternehmen, nicht an uns; wir unterstützen es dabei.
2. Wer Ihre Daten verarbeitet
| Verantwortlicher | Oscar Escanez Abad |
|---|---|
| Steuernummer (NIF) | 23302634T |
| Anschrift | Calle Trece de Septiembre, n.º 10, 1.º, 30310 Cartagena (Murcia), España |
| E-Mail für Datenschutzanfragen | info@dossalis.com |
Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Sollte sich das ändern, veröffentlichen wir hier seine Kontaktdaten.
3. Was wir genau verarbeiten
| Was | Wozu | Rechtsgrundlage | Wie lange |
|---|---|---|---|
| Name, E-Mail-Adresse, Telefonnummer (falls Sie sie angeben), Unternehmen und Tätigkeit | Ihre Anfrage oder Ihren Antrag beantworten | Ihre Einwilligung beim Absenden des Formulars | 1 Jahr ab dem letzten Kontakt |
| Antworten im Test und E-Mail-Adresse | Ihnen das Ergebnis schicken und, wenn Sie es ankreuzen, die wöchentliche E-Mail | Ihre Einwilligung, die Sie mit einem Klick widerrufen können | Bis zu Ihrem Widerruf; höchstens 2 Jahre ohne Interaktion |
| Konto: Name des Betriebs, E-Mail-Adresse, Tätigkeit, Region (Autonome Gemeinschaft) und ob Sie importieren | Sie registrieren und Ihnen den Dienst erbringen, kostenlos oder kostenpflichtig | Vertragserfüllung | Solange das Konto besteht. Eine Registrierung, die niemand bestätigt, wird nach 7 Tagen gelöscht; ein geschlossenes Konto nach 30; ein kostenloses Konto, in das sich 24 Monate lang niemand anmeldet, wird nach einer Vorwarnung per E-Mail mit 30 Tagen Frist geschlossen |
| Personen, die sich im Dashboard anmelden: E-Mail-Adresse, Name (falls angegeben), Berechtigung und Datum der letzten Anmeldung | Damit jede Person ihren eigenen Zugang hat und man ihn ihr entziehen kann | Vertragserfüllung | Solange die Person Zugang hat; wird mit dem Konto gelöscht |
| Bei Anmeldung mit Google: die Kennung, die Google Ihrem Konto zuweist, Ihre bestätigte E-Mail-Adresse und Ihr Name | Anmeldung ohne Passwort | Vertragserfüllung, auf Ihren Wunsch, wenn Sie auf „Mit Google anmelden“ klicken | Solange das Konto besteht |
| Daten zu Ihrem Unternehmen, Ihren Produkten, Lieferanten, Prüfungen und Belegen | Erbringung des Dienstes (hier handeln wir als Auftragsverarbeiter des Kunden) | Vertragserfüllung | Solange das Konto besteht; nach der Schließung noch 30 Tage, dann werden sie gelöscht. Mit „Alles herunterladen“ können Sie sie vorher mitnehmen |
| Verifizierungsnachweise: Name des Betriebs, Datum, Art und Hash (digitaler Fingerabdruck) des Dokuments | Damit jeder, der einen Nachweis erhält, ihn mit seinem Code auf der Website prüfen kann | Vertragserfüllung, auf Wunsch des Kunden, der den Nachweis ausstellt | Solange das Konto besteht. Die Prüfseite zeigt nur diese vier Angaben, und nur demjenigen, der den Code hat |
| Aktivitätsprotokoll: was getan wurde, wann und aus welchem Netz (gekürzt) | Sicherheit und der Nachweis, was wann geprüft wurde | Berechtigtes Interesse an der Sicherheit und der Nachweisbarkeit des Dienstes | Wird verkettet aufbewahrt, denn das Löschen einer Zeile würde den Nachweis aller anderen zerstören. Es speichert nicht den Inhalt der Akte und ist nach der Löschung des Kontos nicht mehr mit Namen oder E-Mail-Adressen verknüpft |
| Rechnungsstellung | Erfüllung steuerlicher und buchhalterischer Pflichten | Rechtliche Verpflichtung | 6 Jahre (Art. 30 des spanischen Handelsgesetzbuchs, Código de Comercio) |
| Technische Daten der Übermittlung: Ursprungsnetz, Datum und Uhrzeit, Browser | Spam und Missbrauch der Formulare eindämmen | Berechtigtes Interesse daran, den Dienst funktionsfähig zu halten | Werden rotiert und automatisch gelöscht |
| Sicherungskopien | Den Dienst wiederherstellen, wenn der Server ausfällt | Berechtigtes Interesse und Sicherheitspflicht nach Artikel 32 | 60 Tage. Gelöschtes verschwindet innerhalb dieser Frist aus den Sicherungskopien; gelöschte Belege am folgenden Tag |
Ein Detail, das kaum jemand erwähnt, wir aber schon: Ihre IP-Adresse speichern wir nicht vollständig. Sie wird vor dem Speichern auf das Netz gekürzt — bei IPv4 auf die ersten drei Blöcke —, denn um einen Bot von einem Kunden zu unterscheiden, reicht das, und so bewahren wir keine Angabe auf, die Sie identifiziert.
4. Was wir nicht tun
- Wir verfolgen Sie nicht. Diese Website setzt keine Cookies, nutzt keinen lokalen Speicher und enthält keine Analyse-Tools: kein Google Analytics, keine Werbepixel, keine Buttons sozialer Netzwerke. Das Dashboard verwendet nur die technischen Cookies, die unbedingt nötig sind, um Ihre Sitzung aufrechtzuerhalten, und das Cookie, das sich die von Ihnen gewählte Sprache merkt; sie stehen alle in der Cookie-Richtlinie.
- Wir laden nichts von außen. Schriften und Bilder werden von unserem eigenen Server ausgeliefert; das Öffnen dieser Website löst also keine einzige Anfrage an eine fremde Domain aus. Ihre IP-Adresse verlässt unseren Server nicht.
- Wir verkaufen Ihre Daten nicht und geben sie nicht weiter, an niemanden, nicht einmal in zusammengefasster Form.
- Kein Profiling und keine automatisierten Entscheidungen mit rechtlicher Wirkung. Der Test und das Dashboard berechnen ein Ergebnis aus dem, was Sie eingeben; es dient der Orientierung und gewährt oder verweigert nichts.
- Keine unaufgeforderten E-Mails und keine Werbeanrufe. Wir schreiben nur denjenigen, die uns darum gebeten haben, und jede Werbe-E-Mail enthält einen Abmeldelink. Die E-Mails aus dem Dashboard (Anmeldelinks, Ablaufwarnungen und regulatorische Neuigkeiten in den kostenpflichtigen Plänen) sind Teil des Dienstes und erreichen nur Personen mit Konto.
5. Mit wem wir Daten teilen und warum
Nur mit denjenigen, die nötig sind, damit der Dienst funktioniert:
- Hosting der Website und des Dashboards, im Europäischen Wirtschaftsraum, als unser Auftragsverarbeiter.
- E-Mail-Versand, im Europäischen Wirtschaftsraum, als unser Auftragsverarbeiter, um Ihnen die Anmeldelinks, die Warnungen, das Testergebnis und die wöchentliche E-Mail zu schicken.
- Zahlungsdienstleister (Stripe), nur wenn Sie in einen kostenpflichtigen Plan wechseln: Stripe verarbeitet die Kartendaten direkt — wir bekommen sie nie zu sehen — und tut dies als Verantwortlicher nach seiner eigenen Datenschutzerklärung, die seine Garantien für Übermittlungen außerhalb des Europäischen Wirtschaftsraums enthält.
- Google, nur wenn Sie „Mit Google anmelden“ wählen: Google identifiziert Sie auf seiner eigenen Seite und übermittelt uns Ihre Kennung, Ihre bestätigte E-Mail-Adresse und Ihren Namen. Was auf der Seite von Google geschieht, unterliegt dessen eigener Datenschutzerklärung. Wenn Sie diese Schaltfläche nicht anklicken, teilt das Dashboard Google nichts mit: Nicht einmal das Google-Logo wird von dessen Servern geladen.
Sollten wir jemals einen Anbieter wechseln oder einen neuen hinzunehmen, wird diese Liste vorher aktualisiert.
6. Gesundheitsdaten: was das Dashboard nicht speichert
Dossalis dokumentiert Produkte und Lieferanten, keine Patienten. Das Dashboard hat keine Patientenakte, kein Diagnosefeld und keine Krankengeschichte und ist nicht dafür ausgelegt, Gesundheitsdaten zu verarbeiten. Ein Eintrag im Beschwerderegister hält fest, dass es einen Vorfall mit einer bestimmten Artikelnummer und Charge gab, nicht, bei wem das Produkt angewendet wurde.
Wir bitten Sie, das so zu belassen: Tragen Sie keine Gesundheitsdaten und keine Angaben, die Patienten identifizieren, in die Freitextfelder ein. Sollten sie dennoch dort auftauchen, blieben sie in der Verantwortung des Kundenunternehmens, und wir würden sie als Auftragsverarbeiter mit derselben Verschwiegenheitspflicht behandeln — vernünftig ist aber, dass sie gar nicht erst hineingelangen.
7. Sicherheit: was wir tun und was noch nicht
Was wir heute tun: Die Verbindung wird verschlüsselt übertragen (HTTPS); die Formulardaten werden außerhalb des öffentlichen Verzeichnisses des Servers gespeichert, wo kein Browser hingelangt; die Website wird mit Sicherheits-Headern ausgeliefert, die verhindern, dass Code einer anderen Domain ausgeführt oder die Seite in eine fremde Seite eingebettet wird; es gibt Grenzen pro Adresse und eine globale Bremse, damit niemand das Formular überfluten oder lahmlegen kann; die vom Dashboard erstellten Akten werden mit ihrem SHA-256-Hash und ihrem Datum versiegelt, sodass sich eine nachträgliche Änderung erkennen lässt.
Im Dashboard: keine Passwörter für Kunden (die Anmeldung erfolgt mit Google oder über einen Einmal-Link, der nach fünfzehn Minuten abläuft); verpflichtende Zwei-Faktor-Authentifizierung für Administrationskonten; jede Person mit eigenem Zugang, den der Kontoinhaber sofort entziehen kann; Schutz vor gefälschten Anfragen (Request Forgery) in allen Formularen; ein per SHA-256-Hash verkettetes Aktivitätsprotokoll; tägliche Sicherung der Datenbank und der Belege, die bei der Erstellung überprüft wird.
Was noch nicht: Wir haben keine ISO-27001-Zertifizierung und kein gleichwertiges Schema, und wir werden auch nichts anderes behaupten, bevor wir sie haben. Die Sicherungskopien liegen noch auf demselben Server und sind nicht gesondert verschlüsselt; sobald sie an einen anderen Ort verlagert werden, steht das hier, mit Datum.
8. Ihre Rechte
Sie können jederzeit und kostenlos von uns verlangen, Auskunft über Ihre Daten zu erhalten, sie berichtigen oder löschen zu lassen, ihre Verarbeitung einzuschränken, der Verarbeitung zu widersprechen und eine Kopie in einem Format zu erhalten, das Sie mitnehmen können. Wenn Sie ein Konto haben, sind zwei dieser Rechte im Dashboard unter „Mein Plan“ nur einen Klick entfernt: Alles herunterladen (eine vollständige Kopie als ZIP-Datei) und Mein Konto schließen (wird nach 30 Tagen gelöscht). Außerdem können Sie eine erteilte Einwilligung widerrufen; was vorher geschehen ist, bleibt davon unberührt.
Schreiben Sie an info@dossalis.com und geben Sie an, welches Recht Sie ausüben möchten. Wir antworten spätestens innerhalb eines Monats. Wenn wir nicht antworten oder die Antwort Sie nicht überzeugt, können Sie sich kostenlos und ohne Anwalt bei der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos) (aepd.es) beschweren. Wenn Sie in einem anderen Land der Europäischen Union leben, können Sie sich auch an die Datenschutzaufsichtsbehörde Ihres Landes wenden.
9. Minderjährige und Änderungen
Der Dienst richtet sich an Unternehmen und Fachleute. Er ist nicht für Personen unter vierzehn Jahren gedacht, und wir erheben nicht wissentlich Daten von Personen in diesem Alter.
Wenn wir etwas Wesentliches ändern, informieren wir Sie per E-Mail, bevor die Änderung in Kraft tritt. Das Datum oben auf der Seite zeigt immer die gültige Fassung.