Datenschutzerklärung und AVV

Montserrat Strategic Advisory SL

Carrer de la Marina 16-18, 08005 Barcelona, Spanien

Gültig ab: 8. Mai 2026

Diese Datenschutzerklärung und AVV sind Bestandteil der Vereinbarung zwischen Montserrat Strategic Advisory SL ("MSA", "wir", "uns" oder "unser") und dem Kunden und ergänzen die Nutzungsbedingungen. Dieses Dokument legt dar, wie MSA personenbezogene Daten im Zusammenhang mit seinen B2B-Beratungs- und Consulting-Dienstleistungen erhebt, verwendet, speichert und schützt.

1. Begriffsbestimmungen

1.1 "Personenbezogene Daten", "betroffene Person", "Verantwortlicher", "Auftragsverarbeiter" und "Verarbeitung" haben die Bedeutung, die ihnen in der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, "DSGVO") und dem spanischen Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte ("LOPDGDD") zugewiesen wird.

1.2 "Unterauftragsverarbeiter" bezeichnet jeden Dritten, den MSA zur Verarbeitung personenbezogener Daten im Auftrag von oder im Zusammenhang mit den Dienstleistungen einsetzt.

1.3 "Dienstleistungen" bezeichnet die von MSA erbrachten strategischen B2B-Beratungsleistungen, Revenue Architecture, strukturelle Beratung, digitalen Plattformzugänge und damit verbundene Leistungen gemäß den Nutzungsbedingungen.

2. Angaben zum Verantwortlichen

2.1 Verantwortlicher für die Verarbeitung personenbezogener Daten ist: Montserrat Strategic Advisory SL, Carrer de la Marina 16-18, 08005 Barcelona, Spanien. CIF / NIF: wird nachgereicht. Kontakt: [email protected].

2.2 Für sämtliche Anfragen zum Datenschutz, einschließlich der Ausübung von Rechten betroffener Personen, ist folgende Kontaktadresse zu verwenden: [email protected].

2.3 Zuständige Aufsichtsbehörde ist die Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, Spanien (www.aepd.es).

3. Rollen und Verhältnis

3.1 MSA handelt in Bezug auf personenbezogene Daten, die im Zusammenhang mit der Erbringung der Dienstleistungen erhoben werden, grundsätzlich als eigenständiger Verantwortlicher.

3.2 Soweit MSA in begrenzten Fällen personenbezogene Daten im Auftrag des Kunden und nach dessen konkret dokumentierten Weisungen verarbeitet, handelt MSA als Auftragsverarbeiter. In diesen Fällen verarbeitet MSA personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern MSA nicht durch Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.

3.3 Soweit MSA im Rahmen desselben Mandats für unterschiedliche Datenkategorien sowohl als Verantwortlicher als auch als Auftragsverarbeiter handelt, bestimmt sich die jeweilige Rolle nach Art und Zweck der konkreten Verarbeitungstätigkeit.

4. Umfang und Dauer

4.1 Die Verarbeitung personenbezogener Daten erfolgt im Zusammenhang mit der Erbringung von B2B-Beratungs-, Consulting- und digitalen Plattformleistungen gemäß den Nutzungsbedingungen.

4.2 Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses sowie für die jeweils anwendbaren gesetzlichen Aufbewahrungsfristen nach spanischem Handels-, Steuer- und Regulierungsrecht.

5. Rechtsgrundlagen der Verarbeitung

5.1 MSA verarbeitet personenbezogene Daten auf Grundlage von Artikel 6 Absatz 1 DSGVO, insbesondere: (a) zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person (Artikel 6 Absatz 1 Buchstabe b DSGVO); (b) zur Erfüllung rechtlicher Verpflichtungen, denen MSA unterliegt, einschließlich spanischer steuer-, handels- und buchhaltungsrechtlicher Anforderungen (Artikel 6 Absatz 1 Buchstabe c DSGVO); (c) auf Grundlage berechtigter Interessen von MSA, einschließlich Verwaltung, Betrugsprävention, Verbesserung der Dienstleistungen und interner Analysen, sofern nicht die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen (Artikel 6 Absatz 1 Buchstabe f DSGVO); (d) auf Grundlage einer Einwilligung, soweit diese für bestimmte Verarbeitungstätigkeiten, etwa Marketingkommunikation, ausdrücklich eingeholt wurde (Artikel 6 Absatz 1 Buchstabe a DSGVO).

5.2 Beruht die Verarbeitung auf Einwilligung, kann die betroffene Person diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung bleibt unberührt.

6. Kategorien betroffener Personen

• Kunden und deren bevollmächtigte Vertreter
• Mitarbeiter und Teammitglieder von Kunden mit Plattformzugang
• Potenzielle Kunden, die mit den Dienstleistungen von MSA interagieren, insbesondere durch Terminbuchungen, Plattformregistrierungen oder Bewerbungsformulare
• Besucher der Website

7. Kategorien personenbezogener Daten

• Identifikationsdaten: Name, Unternehmensname, Berufsbezeichnung, berufliche Rolle
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Unternehmensadresse
• Zugangsdaten: Benutzernamen, gehashte Passwörter, Authentifizierungstoken
• Abrechnungsmetadaten: Rechnungen, Zahlungsreferenzen, Transaktionskennungen, SEPA-Mandatsreferenzen; Kreditkartennummern werden von MSA nicht gespeichert
• Kommunikation: E-Mails, Nachrichten, Sitzungsaufzeichnungen, Transkripte, Besprechungsnotizen
• Nutzungsdaten: Plattform-Logins, aufgerufene Inhalte, Sitzungsteilnahmen, Funktionsnutzung
• Im Rahmen der Beratung geteilte Unternehmensdaten: Umsatzzahlen, Kennzahlen, strategische Informationen, operative Daten, Organisationsstrukturen
• Technische Daten: IP-Adressen, Browsertyp, Geräteinformationen, Cookies und ähnliche Tracking-Technologien

8. Zwecke der Verarbeitung

• Erbringung und Durchführung der vertraglich vereinbarten Dienstleistungen, einschließlich strategischer Beratungssitzungen und Plattformzugang
• Verwaltung von Plattformzugängen, Nutzerauthentifizierung und Kontoverwaltung
• Abrechnung, Rechnungsstellung und Zahlungsabwicklung über QONTO, GoCardless, SEPA-Überweisung und Kartenzahlungsanbieter
• Erfüllung gesetzlicher und regulatorischer Pflichten, einschließlich spanischem Steuer- und Handelsrecht
• Dokumentation und Qualitätssicherung von Beratungssitzungen, einschließlich AI-gestützter Transkription und Analyse
• Kommunikation mit Kunden zur Leistungserbringung, Terminplanung und operativen Abwicklung
• Genehmigte Marketingkommunikation, soweit eine Einwilligung vorliegt
• Verbesserung und Weiterentwicklung der Dienstleistungen, einschließlich interner Analysen und AI-gestützter Werkzeuge
• Betrugsprävention, Sicherheitsüberwachung und Durchsetzung der Nutzungsbedingungen

9. AI-gestützte Verarbeitung

9.1 MSA setzt im Zusammenhang mit der Erbringung seiner Dienstleistungen KI-Werkzeuge ein. Diese können insbesondere AI-gestützte Transkription, Inhaltserstellung, Datenanalyse und strategische Empfehlungssysteme umfassen, die von Unterauftragsverarbeitern wie OpenAI (ChatGPT) und Anthropic (Claude) bereitgestellt werden.

9.2 AI-gestützte Werkzeuge können personenbezogene Daten verarbeiten, einschließlich Kommunikation, Sitzungsinhalten und im Rahmen von Beratungsmandaten geteilten Unternehmensdaten. MSA stellt sicher, dass sämtliche AI-Unterauftragsverarbeiter angemessenen Vereinbarungen zur Datenverarbeitung unterliegen und die Verarbeitung den Anforderungen der DSGVO entspricht.

9.3 MSA führt keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Artikel 22 DSGVO durch. AI-generierte Ergebnisse dienen ausschließlich als beratende Eingaben und werden von MSA-Personal geprüft, bevor sie Kunden bereitgestellt werden.

9.4 AI-generierte Ergebnisse können Unrichtigkeiten enthalten. Kunden sind allein dafür verantwortlich, AI-generierte Erkenntnisse, Analysen oder Empfehlungen vor Nutzung oder Umsetzung eigenständig zu prüfen. MSA übernimmt keine Gewähr für Richtigkeit, Vollständigkeit oder Eignung AI-generierter Ergebnisse.

10. Unterauftragsverarbeiter

10.1 Der Kunde erteilt MSA eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für die in dieser Datenschutzerklärung beschriebenen Zwecke. MSA informiert den Kunden über beabsichtigte Änderungen bei Unterauftragsverarbeitern in angemessener Weise, einschließlich per E-Mail oder Plattformmitteilung, und gibt dem Kunden die Möglichkeit, innerhalb von vierzehn (14) Tagen Widerspruch einzulegen.

10.2 MSA stellt sicher, dass sämtliche Unterauftragsverarbeiter vertraglich an Datenschutzpflichten gebunden sind, die kein geringeres Schutzniveau vorsehen als diese Datenschutzerklärung und die AVV.

10.3 Derzeitige Unterauftragsverarbeiter sind:

11. Internationale Datenübermittlungen

11.1 Personenbezogene Daten können durch oben genannte Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den Vereinigten Staaten und im Vereinigten Königreich, verarbeitet werden.

11.2 Bei Übermittlungen außerhalb des EWR stellt MSA sicher, dass geeignete Garantien gemäß Kapitel V DSGVO bestehen, insbesondere: (a) Angemessenheitsbeschlüsse der Europäischen Kommission, einschließlich des EU-US Data Privacy Framework (DPF), soweit anwendbar; (b) Standardvertragsklauseln (SCCs) der Europäischen Kommission; (c) andere nach der DSGVO anerkannte Übermittlungsmechanismen.

11.3 MSA führt, soweit erforderlich, Transfer Impact Assessments durch und überwacht Änderungen des rechtlichen Rahmens für internationale Datenübermittlungen. Der Kunde kann Informationen zu den konkret angewandten Garantien unter [email protected] anfordern.

12. Sicherheitsmaßnahmen

12.1 MSA setzt geeignete technische und organisatorische Maßnahmen ein, um personenbezogene Daten gemäß Artikel 32 DSGVO gegen unbefugten Zugriff, Verlust, Zerstörung, Veränderung oder unrechtmäßige Verarbeitung zu schützen. Dazu gehören insbesondere:

• Verschlüsselung von Daten bei der Übertragung (TLS/SSL) und, soweit technisch möglich, im Ruhezustand
• Zugriffskontrollen und Multi-Faktor-Authentifizierung für kritische Systeme
• Regelmäßige Sicherheitsprüfungen und Due-Diligence-Prüfungen von Unterauftragsverarbeitern
• Vertragliche und gesetzliche Vertraulichkeitspflichten für Personen mit Zugriff auf personenbezogene Daten
• Verfahren zur Reaktion auf Sicherheitsvorfälle und zur Meldung von Datenschutzverletzungen
• Regelmäßige Überprüfung und Testung der Sicherheitsmaßnahmen

13. Cookies und Tracking-Technologien

13.1 Die Website von MSA kann Cookies und ähnliche Tracking-Technologien verwenden, um den ordnungsgemäßen Betrieb der Website sicherzustellen, Nutzungsmuster zu analysieren und die Nutzererfahrung zu verbessern. Cookies werden kategorisiert als: (a) unbedingt erforderliche Cookies, die für den Betrieb der Website notwendig sind; (b) analytische Cookies zur Analyse der Websitenutzung, soweit nach anwendbarem Recht eine Einwilligung erforderlich ist.

13.2 Nutzer können Cookie-Einstellungen über ihre Browsereinstellungen verwalten. Die Deaktivierung bestimmter Cookies kann die Funktionalität der Website beeinträchtigen.

13.3 MSA kann Analyse- und Marketing-Messwerkzeuge, einschließlich Metricool, verwenden, um Website-Besuche, Seitenleistung, Verweisquellen und Kampagnenleistung zu verstehen. Diese Werkzeuge können technische Daten wie Seiten-URL, Referrer, Browserinformationen, Geräteinformationen, aus der IP-Adresse abgeleitete ungefähre Standortdaten und ähnliche Nutzungssignale verarbeiten.

14. Speicherdauer

14.1 Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Zwecke erforderlich ist, für die sie erhoben wurden, oder wie es gesetzlich vorgeschrieben ist. Speicherfristen richten sich nach Art der Daten, Zwecken der Verarbeitung und anwendbaren gesetzlichen Anforderungen.

14.2 Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten innerhalb einer angemessenen Frist gelöscht oder anonymisiert, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Nach spanischem Recht gelten insbesondere folgende Mindestaufbewahrungsfristen: steuerliche und buchhalterische Unterlagen: sechs (6) Jahre (Código de Comercio, Art. 30); Vertragsunterlagen: fünf (5) Jahre (Código Civil, Art. 1964); Rechnungsunterlagen: vier (4) Jahre (Ley General Tributaria).

15. Rechte betroffener Personen

15.1 Betroffene Personen können ihre Rechte nach Artikel 15 bis 22 DSGVO und der LOPDGDD durch Kontaktaufnahme mit MSA unter [email protected] ausüben. Diese Rechte umfassen insbesondere: Auskunft (Artikel 15), Berichtigung (Artikel 16), Löschung (Artikel 17), Einschränkung der Verarbeitung (Artikel 18), Datenübertragbarkeit (Artikel 20), Widerspruch gegen die Verarbeitung (Artikel 21) sowie das Recht, keiner ausschließlich automatisierten Einzelentscheidung unterworfen zu werden (Artikel 22).

15.2 MSA beantwortet berechtigte Anfragen innerhalb von dreißig (30) Tagen. Diese Frist kann erforderlichenfalls unter Berücksichtigung der Komplexität und Anzahl der Anfragen um zwei weitere Monate verlängert werden.

15.3 Handelt MSA als Auftragsverarbeiter, unterstützt MSA den Kunden bei der Erfüllung von Anfragen betroffener Personen gemäß Artikel 28 Absatz 3 Buchstabe e DSGVO.

15.4 Betroffene Personen haben das Recht, Beschwerde bei der Agencia Española de Protección de Datos (AEPD) oder einer anderen zuständigen Aufsichtsbehörde einzulegen.

16. Meldung von Datenschutzverletzungen

16.1 Im Fall einer Verletzung des Schutzes personenbezogener Daten meldet MSA diese, sofern nach Artikel 33 DSGVO erforderlich, innerhalb von zweiundsiebzig (72) Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde (AEPD).

16.2 Ist die Datenschutzverletzung voraussichtlich mit einem hohen Risiko für Rechte und Freiheiten betroffener Personen verbunden, benachrichtigt MSA auch die betroffenen Personen unverzüglich gemäß Artikel 34 DSGVO.

16.3 Handelt MSA als Auftragsverarbeiter, informiert MSA den Kunden als Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten und stellt ausreichende Informationen bereit, damit der Kunde seinen eigenen Meldepflichten nachkommen kann.

17. Vertraulichkeit

17.1 Sämtliche Personen, die zur Verarbeitung personenbezogener Daten befugt sind, unterliegen vertraglichen oder gesetzlichen Vertraulichkeitspflichten. MSA stellt sicher, dass Zugriff auf personenbezogene Daten nur Personen gewährt wird, die diesen zur Erfüllung ihrer Aufgaben benötigen.

18. Haftung

18.1 Die Haftung von MSA nach dieser Datenschutzerklärung und der AVV richtet sich nach den Haftungsbeschränkungen in den Nutzungsbedingungen. Aus diesem Dokument entsteht keine zusätzliche Haftung über die in den Nutzungsbedingungen geregelte Haftung hinaus, soweit zwingende Vorschriften der DSGVO oder anwendbares Recht nichts anderes verlangen.

19. Richtigkeit von Kundendaten

19.1 Kunden sind für die Richtigkeit und Vollständigkeit sämtlicher Informationen und personenbezogener Daten verantwortlich, die sie MSA im Rahmen des Mandats bereitstellen. MSA haftet nicht für Ergebnisse, Verarbeitungsfehler oder Compliance-Verstöße, die aus unrichtigen, unvollständigen oder irreführenden Angaben des Kunden resultieren.

20. Änderungen dieser Datenschutzerklärung

20.1 MSA behält sich vor, diese Datenschutzerklärung jederzeit zu ändern. Wesentliche Änderungen werden per E-Mail oder Plattformmitteilung kommuniziert. Die fortgesetzte Nutzung der Dienstleistungen nach Mitteilung gilt als Annahme der geänderten Datenschutzerklärung.

21. Sprache

21.1 Diese Datenschutzerklärung und AVV werden in englischer, spanischer und deutscher Sprache bereitgestellt. Im Fall von Abweichungen zwischen der englischen Fassung und einer Übersetzung ist die englische Fassung maßgeblich.

22. Anwendbares Recht

22.1 Diese Datenschutzerklärung und AVV unterliegen dem Recht des Königreichs Spanien und der ausschließlichen Zuständigkeit der Gerichte von Barcelona, Spanien.

23. Annahme

23.1 Diese Datenschutzerklärung und AVV gelten als angenommen durch Annahme der Nutzungsbedingungen, Unterzeichnung eines Angebotsschreibens oder Nutzung einer MSA-Dienstleistung, je nachdem, welches Ereignis zuerst eintritt.