Datenschutzhinweise

1. Verantwortlicher

Vertreten durch den persönlich haftenden Gesellschafter Thomas Müller
E-Mail: kontakt@cvrmedia.de
Telefon: +49 30 364604-18

Ein Datenschutzbeauftragter ist nicht bestellt. Fragen zum Datenschutz und Anträge zur Ausübung Ihrer Rechte richten Sie bitte an die vorstehende E-Mail-Adresse.

2. Geltungsbereich und Verantwortlichkeiten

Diese Hinweise gelten für das von CVR Media KG betriebene Portal für direkte Partner des ERA-Netzwerks. CVR Media KG ist für den Betrieb des Portals, die Zugangsverwaltung, die Auftragsabwicklung und die eigene Abrechnung datenschutzrechtlich verantwortlich.

Der jeweilige ERA-Partner entscheidet, welche Unternehmen Gegenstand eines Rechercheauftrags sind und wie die bereitgestellten Ergebnisse anschließend genutzt werden. Für diese Entscheidungen und die weitere Nutzung ist der jeweilige ERA-Partner verantwortlich. Die Verarbeitung im Rahmen der beauftragten Kontaktrecherche wird zusätzlich in einem Auftragsverarbeitungsvertrag zwischen dem ERA-Partner und CVR Media KG geregelt.

3. Aufruf des Portals und technisch notwendige Protokolldaten

Beim Aufruf des Portals können insbesondere IP-Adresse, Zeitpunkt und Ziel des Abrufs, übertragene Datenmenge, Referrer, Browser- und Geräteangaben sowie Fehler- und Sicherheitsereignisse verarbeitet werden. Die Verarbeitung dient der sicheren Bereitstellung, Fehleranalyse und Abwehr missbräuchlicher Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb des Portals. Technische Zugriffs- und Sicherheitsprotokolle werden grundsätzlich 90 Tage aufbewahrt. Bei einem konkreten Sicherheitsvorfall können betroffene Protokolle länger gesperrt aufbewahrt werden, soweit dies zur Aufklärung oder Rechtsverfolgung erforderlich ist.

Das Portal verwendet ausschließlich technisch notwendige Sitzungsmechanismen. Nach erfolgreicher Anmeldung wird eine geschützte Sitzung mit einer maximalen Laufzeit von acht Stunden eingerichtet. Hierfür werden Sitzungsbeginn und Sitzungskennung serverseitig gespeichert. Eine erneute Anmeldung ist danach erforderlich. Der Zugriff auf oder die Speicherung von Informationen auf Ihrem Endgerät erfolgt insoweit nach § 25 Abs. 2 Nr. 2 TDDDG. Analyse-, Marketing- oder Trackingdienste werden nicht eingesetzt.

4. Zugangsanfrage, Freischaltung und Anmeldung

Ein Partnerzugang kann nur mit einer geschäftlichen E-Mail-Adresse der Domain @eragroup.com angefragt oder eingeladen werden. Dabei verarbeiten wir insbesondere Namen, E-Mail-Adresse, ERA-Partner, Rolle, Status und Zeitpunkte der Zugangsanfrage sowie der Freischaltung. Die Anfrage wird von CVR Media KG manuell geprüft.

Zugangsanfragen lösen eine interne Benachrichtigung an csportal@cvrmedia.de mit dem angegebenen Namen, der E-Mail-Adresse, Zeitpunkt und Kontostatus aus. An die anfragende Person wird zunächst keine automatische E-Mail versendet. Nach Freigabe oder Einladung erhalten Sie ein befristetes Startpasswort, das Sie nach der ersten Anmeldung durch ein eigenes Passwort ersetzen. Passwörter speichern wir ausschließlich als gesalzene Hashwerte. Erst nach korrekter Passwortprüfung senden wir einen sechsstelligen Einmalcode an die registrierte E-Mail-Adresse. Der Code ist zehn Minuten gültig und kann höchstens fünfmal eingegeben werden. Anmeldecodes werden nach Ablauf gelöscht. Wir protokollieren notwendige Anmelde- und Verwaltungsereignisse, um unberechtigte Zugriffe erkennen und nachweisen zu können.

Bei „Passwort vergessen“ senden wir für ein freigeschaltetes, vollständig eingerichtetes Konto einen einmal verwendbaren Link, der 15 Minuten gültig ist. Darüber legen Sie selbst ein neues Passwort fest. Erst nach erfolgreichem Speichern werden bisherige Sitzungen und Codes ungültig. Der Portal-Support wird über die Anfrage und den erfolgreichen Wechsel informiert. Systemadministratoren benötigen zusätzlich einen zuvor eingerichteten, offline aufbewahrten Wiederherstellungscode; dieser wird einmal angezeigt, nur als kryptografischer Prüfwert gespeichert und bei Verwendung verbraucht. Seine Einrichtung wird dem Portal-Support ohne den Code gemeldet.

Gegen massenhafte Anfragen verwenden wir kurzlebige Anforderungszähler. E-Mail-Adressen und gegebenenfalls vom Hosting-Proxy bestätigte Verbindungskennungen werden darin als kryptografisch abgeleitete Kennungen gespeichert. Ausstehende Passwort-, Code- und Reset-Linkmails werden verschlüsselt zwischengespeichert; ihr Inhalt wird nach erfolgreichem Versand oder bei Ablauf entfernt.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht in der sicheren und nachvollziehbaren Bereitstellung des vertraglich vereinbarten Partnerportals sowie im Schutz vor unberechtigten Zugriffen.

Aktive Konten bestehen, solange eine Zugangsberechtigung vorliegt. Bei Entzug der Berechtigung wird der Zugang sofort gesperrt. Eine Reaktivierung ist innerhalb von 30 Tagen möglich. Danach wird ein normales Partner-Nutzerkonto gelöscht; historische Verweise werden mit einem zufälligen, nicht rückrechenbaren Kennzeichner pseudonymisiert. Partner-Administratoren und CVR-Systemadministratoren können wegen notwendiger Vertrags- und Annahmenachweise längeren Fristen unterliegen.

5. Rollen und Sichtbarkeit im Portal

Normale Partner-Nutzer sehen nur die von ihnen selbst angelegten Aufträge, Dateien und Ergebnisse. Partner-Administratoren sehen die Nutzer, Aufträge, Ergebnisse und Monatsabrechnungen ihrer eigenen Organisation sowie deren AGB- und AVV-Annahmen. CVR- Systemadministratoren verwalten das Gesamtsystem und können die für Betrieb, Support, Freigabe und Abrechnung erforderlichen Daten einsehen. AGB, AVV, Vertrags- und Abrechnungsbereiche sind für normale Partner-Nutzer nicht zugänglich.

6. Aufträge, Uploads und Ergebnisbereitstellung

Für einen Auftrag verarbeiten wir:

• Angaben zum Auftrag, zum Ersteller und zum jeweiligen ERA-Partner,
• die hochgeladene Firmenliste, reduziert auf Firmenname, Land, Ort, Website und optional DUNS,
• Prüf-, Auswahl-, Status-, Preis- und Freigabeangaben,
• die je Auftrag ausgewählten Leistungen geschäftliche E-Mail- Adressen und persönliche Telefonnummern, bei historischen Aufträgen gegebenenfalls Firmenrecherche; soweit beauftragt die recherchierten Kontaktdaten, Quellen und Qualitätshinweise sowie
• die erzeugte Ergebnisdatei sowie auftragsbezogene Freigabe-, Preis- und Abrechnungsnachweise.

Personenbezogene Mobilnummern aus öffentlichen Quellen oder Apollo können ohne eindeutige Arbeitgeberzuordnung enthalten sein. Der Vorbehalt bleibt im Quellennachweis erhalten; eine geschäftliche Nutzung ist damit nicht bestätigt.

Die Verarbeitung dient der Prüfung, Durchführung, Dokumentation und Bereitstellung der beauftragten Recherche. Der ERA-Partner bestimmt als Verantwortlicher die Zielunternehmen, den Rechercheauftrag und die spätere Nutzung der Ergebnisse. CVR Media KG verarbeitet die Daten im Umfang der beauftragten Recherche weisungsgebunden für den ERA- Partner; Einzelheiten regelt der Auftragsverarbeitungsvertrag. Für die eigene Auftrags-, Zugangs- und Abrechnungsverwaltung bleibt CVR Media KG verantwortlich.

Nach einer verbindlichen Auftragsbestätigung erhält der Portal-Support eine interne Nachricht, damit die Bearbeitung des Auftrags beginnen kann. Der Auftragsersteller erhält die Auftragsbestätigung sowie den Hinweis, dass eine weitere Nachricht folgt, sobald die Daten zum Export bereitstehen.

Ergebnisse werden ausschließlich im geschützten Portal zum Download bereitgestellt. Die Benachrichtigungs-E-Mail enthält weder eine Ergebnisdatei noch recherchierte Kontaktdaten. Nach dem Download ist der jeweilige ERA-Partner für seine Kopie und deren weitere Verwendung verantwortlich.

Es gelten folgende operative Löschfristen:

• Auftragsentwürfe: 30 Tage nach der letzten Bearbeitung,
• abgebrochene Aufträge: sieben Tage nach dem Abbruch,
• laufende Aufträge: während der erforderlichen Bearbeitung,
• Excel-Dateien zum Auftrag: 60 Tage nach Freigabe; die Portalansicht zeigt das konkrete Downloadende,
• strukturierte Auftragsdaten einschließlich recherchierter Kontaktdaten, Quellen sowie Freigabe- und Preisnachweise: 24 Monate nach Freigabe,
• laufbezogene Prüfzwischenstände: unmittelbar nach Freigabe oder Abbruch und
• technische Zugriffs- und Sicherheitsprotokolle: grundsätzlich 90 Tage.

Nach Ablauf der 60 Tage werden nur die Excel-Dateien gelöscht. Die strukturierten Auftragsdaten und Nachweise bleiben bis zum Ablauf ihrer 24-Monats-Frist gespeichert. Portal-Abrechnungsereignisse und Monatsberichte folgen der in Abschnitt 8 genannten gesonderten Frist. Für Rechnungen, Vertragsnachweise und Rechtsverteidigung geltende Fristen bleiben unberührt.

7. AGB- und AVV-Annahmen

Der Partner-Administrator nimmt die jeweils geltenden AGB einschließlich der einbezogenen AVV gemeinsam elektronisch an. Zum Nachweis verarbeiten wir insbesondere die Versionen und Hashwerte beider Dokumente, die annehmende Person, Organisation, rechtlichen Namen und Anschrift des Vertragspartners, Zeitpunkt und die gemeinsame Vorgangskennung. Die Nachweise werden während der Geschäftsbeziehung und bis zum Ablauf des dritten Kalenderjahres nach deren Ende aufbewahrt. Bei einem konkreten Rechtsstreit kann eine dokumentierte längere Sperraufbewahrung erfolgen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht im Nachweis der vereinbarten Vertragsbedingungen und erteilten Weisungen.

8. Monatsabrechnung, Rechnungen und Zahlungsabwicklung

Das Portal erstellt Monatsabrechnungen aus Leistungsmonat, Auftrags- und Freigabeangaben, Trefferzahlen und Betrag. Sie sind nur für den jeweiligen Partner-Administrator und CVR-Systemadministratoren sichtbar. Rechnungen werden außerhalb des Portals in sevdesk erstellt. Der ERA-Partner ist dort bereits als Kunde angelegt; aus dem Portal werden manuell nur Leistungsmonat und Betrag übernommen. Namen und E-Mail-Adressen einzelner Portalnutzer sowie Rechercheergebnisse werden nicht an sevdesk übertragen.

Rechnungs-, Buchungs- und Zahlungsdaten werden nach den gesetzlichen Aufbewahrungspflichten gespeichert. Abrechnungsereignisse und Monatsberichte im Portal werden bis zum Ablauf von drei Jahren nach Ende des Leistungsjahres aufbewahrt. Die Rechnung und Buchhaltungsunterlagen werden in sevdesk nach den jeweils geltenden gesetzlichen Aufbewahrungspflichten gespeichert.

Für das SEPA-Basislastschriftverfahren wird das unterschriebene Mandat außerhalb des Portals per E-Mail empfangen und lokal gespeichert. Das Portal enthält keine IBAN, BIC, Unterschrift oder Mandatskopie, sondern nur Mandatsreferenz, Mandatsdatum, Vorliegensstatus und Erfassungsangaben. Das Mandat und dieser Status werden während der Gültigkeit und mindestens 14 Monate nach der letzten Lastschrift aufbewahrt und anschließend jährlich geprüft, soweit keine längere gesetzliche Pflicht besteht. Der Einzug erfolgt manuell über die Deutsche Bank.

Für ausdrücklich freigegebene Überweisungszahlungen speichern wir im Partnerprofil den Ausnahmestatus, den Freigabezeitpunkt und die freigebende Administrator-ID. Der aktive Ausnahmestatus bleibt bis zur Aufhebung bestehen; Änderungen werden im Audit dokumentiert. Im bestätigten Auftrag wird die vereinbarte Zahlungsart gespeichert und mit den Auftragsdaten aufbewahrt.

Rechtsgrundlagen sind, abhängig von der jeweiligen Verarbeitung, Art. 6 Abs. 1 Buchst. b DSGVO zur Vertrags- und Zahlungsabwicklung sowie Art. 6 Abs. 1 Buchst. c DSGVO zur Erfüllung gesetzlicher Aufbewahrungspflichten.

9. E-Mail-Kommunikation

Zugangs-, Einladungs- und Statusnachrichten werden über Google Workspace unter csportal@cvrmedia.de versendet. Antworten gehen bei dieser Adresse ein. Für Rechnungen, Vorabankündigungen und SEPA-Mandate wird business@cvrmedia.de verwendet. Beide Gruppen werden ausschließlich von Thomas Müller betreut.

Im Portal wird der Inhalt erfolgreich versendeter Nachrichten geleert. Verbleibende Versandmetadaten werden nach 90 Tagen gelöscht. Google Workspace und Google Vault bewahren E-Mails und Gruppennachrichten nach der für CVR Media KG eingerichteten Regel 3.650 Tage auf und löschen sie danach, sofern kein rechtlicher Hold greift. Die Verarbeitung erfolgt, soweit sie für den jeweiligen Versand erforderlich ist, auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO und im Übrigen auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO für eine nachvollziehbare und sichere Geschäftskommunikation.

10. Empfänger und Dienstleister

Personenbezogene Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Dazu gehören abhängig vom Datenfluss der jeweilige ERA-Partner und seine berechtigten Portalnutzer, Hostinger International Ltd. für Webhosting, Datenbank, Protokolle und Sicherungen, Google für geschäftliche E-Mail-Kommunikation, Gruppen und Vault, sevdesk für Rechnungswesen und Zahlungszuordnung, die Steuerberatung von CVR Media KG mit eigenem sevdesk-Zugang, die Deutsche Bank AG für den manuellen Lastschrifteinzug sowie zur Vertraulichkeit verpflichtete rechtliche oder technische Berater, soweit dies im Einzelfall erforderlich ist.

Bei der beauftragten Kontaktrecherche können je nach Leistung weitere Dienste eingesetzt werden: Apollo.io (ZenLeads Inc.) für die Suche nach beruflichen Ansprechpartnern und die Ergänzung von E-Mail-Adressen oder Telefonnummern, Verifalia (Cobisi Research) für die technische Prüfung geschäftlicher E-Mail-Adressen sowie OpenAI (Codex) zur Unterstützung der manuellen Recherche und Quellenauswertung.

Über die Recherche und die spätere Verwendung der Kontaktdaten informiert der jeweilige ERA-Partner als Verantwortlicher. Geht eine Anfrage einer recherchierten Person direkt bei CVR Media KG ein, leiten wir sie an den zuständigen ERA-Partner weiter und unterstützen ihn bei der Bearbeitung.

11. Hosting, Sicherungen und Übermittlungen in Drittländer

Das Portal und die MySQL-Datenbank werden bei Hostinger mit Serverstandort Deutschland betrieben. Das optionale Hostinger-CDN bleibt deaktiviert. Hostinger erstellt täglich Sicherungen, die fünf Tage zur Wiederherstellung verfügbar sind. Wird eine Sicherung wiederhergestellt, werden zwischenzeitlich dokumentierte Löschungen und Berichtigungen erneut angewendet, bevor das Portal wieder freigegeben wird.

Für Google Workspace ist für die von der Datenregionsrichtlinie erfassten ruhenden Daten die Region Europa ausgewählt. Dies schließt Zugriffe oder Verarbeitungen aus Drittländern nicht in jedem Fall aus. Soweit Anbieter Daten außerhalb der EU oder des EWR verarbeiten und kein Angemessenheitsbeschluss greift, erfolgen Übermittlungen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien wie der EU-Standardvertragsklauseln. Informationen zu den konkret eingesetzten Garantien erhalten Sie auf Anfrage über die in Abschnitt 1 genannte Kontaktadresse.

12. Pflicht zur Bereitstellung

Die als erforderlich gekennzeichneten Angaben werden für die Prüfung und Einrichtung des Zugangs sowie für die Durchführung und Abrechnung von Aufträgen benötigt. Ohne diese Angaben kann der Portalzugang beziehungsweise die beauftragte Leistung nicht bereitgestellt werden.

13. Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Über Zugangsanfragen, Firmenausnahmen und die Freigabe von Ergebnissen entscheidet ein Mensch.

14. Ihre Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen. Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren.

Anfragen richten Sie bitte an kontakt@cvrmedia.de. Portalnutzer verwenden dafür möglichst ihre registrierte@eragroup.com-Adresse. Ist darauf kein Zugriff mehr möglich, kann der zuständige Partner-Administrator die Identität bestätigen. Eine Ausweiskopie verlangen wir hierfür grundsätzlich nicht.

Zuständige Aufsichtsbehörde für CVR Media KG ist:

15. Stand und Änderungen

Stand dieser Hinweise: 2. Oktober 2026. Bei wesentlichen Änderungen stellen wir eine aktualisierte Fassung im Portal bereit.