Datenschutzerklärung
Version 1.0 · Gültig ab: April 2026
1. Einleitung
Diese Datenschutzerklärung beschreibt, wie wir, Stichting Xconea, als alleiniger Verantwortlicher personenbezogene Daten im Zusammenhang mit der ColorAptitude-Website, der ColorAptitude-Assessmentplattform, dem Reseller-Programm und damit verbundenen Diensten verarbeiten. Sie gilt für alle personenbezogenen Daten, die wir in unserer Eigenschaft als Verantwortlicher im Sinne von Artikel 4 Nr. 7 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, "DSGVO") verarbeiten.
Wir haben diese Erklärung lesbar verfasst. Wo Informationen technischer Natur sind, erläutern wir zuerst die praktische Auswirkung.
2. Wer wir sind
Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten ist:
Stichting Xconea
Handelnd unter dem Namen: ColorAptitude
Betreiber des Produkts: ColorAptitude
Allenstraat 110, Krommenie, Niederlande
Datenschutzkontakt: privacy@coloraptitude.com
Allgemeiner Kontakt: sales@coloraptitude.com
Wir sind nicht gesetzlich verpflichtet, einen Datenschutzbeauftragten zu benennen, aber der oben genannte Datenschutzkontakt bearbeitet alle datenschutzrelevanten Anfragen.
3. Wessen Daten wir verarbeiten
Wir verarbeiten personenbezogene Daten von vier Personengruppen. Im Folgenden wird beschrieben, wie wir mit jeder Gruppe umgehen.
- Websitebesucher — jeder, der coloraptitude.com oder zugehörige Seiten besucht.
- Kunden und Endnutzer — Personen, die ein ColorAptitude-Assessment durchführen, ein Training abschließen oder ein Konto auf der Plattform besitzen, sei es im Rahmen eines persönlichen Abonnements oder eines Geschäftskontos.
- Geschäftliche Kontakte — Administratoren, Rechnungskontakte und sonstige geschäftliche Kontakte innerhalb von Kundenorganisationen.
- Reseller-Kontakte — HauptansprechpartnerInnen, Rechnungs- und VertriebskontaktInnen bei Organisationen, die am ColorAptitude-Reseller-Programm teilnehmen.
4. Welche Daten wir verarbeiten und warum
4.1 Websitebesucher
Datenkategorien
- IP-Adresse, Gerätetyp, Browser, Betriebssystem, verweisende Seite, besuchte Seiten, Zeitstempel.
- Informationen, die Sie über Kontaktformulare bereitstellen (Name, E-Mail, Nachricht).
- Eingaben und Ergebnisse des Mini-Scans (sofern Sie den kostenlosen Mini-Scan durchführen).
Zwecke
- Bereitstellung der Website und Sicherstellung ihrer Sicherheit und ordnungsgemäßen Funktion.
- Verständnis der aggregierten Websitenutzung zur Verbesserung von Inhalten und Struktur.
- Beantwortung von Anfragen über Kontaktformulare.
- Betrieb des kostenlosen Mini-Scans und Anzeige indikativer Ergebnisse.
Rechtsgrundlage
- Berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO für Sicherheit, Betrieb und aggregierte Analytik.
- Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a für nicht-essentielle Cookies und Tracking — siehe unsere Cookie-Richtlinie.
4.2 Kunden und Endnutzer (kostenpflichtige Plattform)
Datenkategorien
- Identifikation: Name, E-Mail-Adresse.
- Demografische Daten zur Normalisierung: Alter (verwendet zum Vergleich Ihres Scores mit der altersbereinigten professionellen Norm).
- Optionaler beruflicher Kontext: Branche, Funktion, Organisation.
- Kontodaten: Login-Kennung, gehashtes Passwort, Login-Zeitstempel.
- Assessmentdaten: Antworten, Werte, Ausgabe der 3×3-Kompetenzmatrix, ausgestellte Zertifikate, Trainingsfortschritt.
- Abonnement- und Zahlungsdaten: Abonnementstufe, Daten, Status, Zahlungsmethoden-Tokens (vollständige Zahlungskartendaten werden bei Stripe gespeichert, nicht bei uns).
- Kommunikation: Support-Tickets, Korrespondenz, E-Mail-Inhalte, wenn Sie uns kontaktieren.
- Marketing-Einwilligungsstatus (sofern zutreffend).
Zwecke
- Betrieb Ihres Kontos und Bereitstellung der Assessment-, Zertifizierungs- und Trainingsdienste.
- Berechnung, Anzeige und Speicherung Ihrer Werte und Zertifikate.
- Verarbeitung von Abonnementzahlungen und Verlängerungen.
- Führung der Auditdokumentation gemäß ASTM E1499-16 und ISO/IEC 17025-Referenzen.
- Bereitstellung von Kundensupport.
- Versand von Service-Kommunikation (Verlängerungserinnerungen, Zertifikatsausstellung, Sicherheitshinweise).
- Versand von Marketing-Kommunikation, sofern Sie eingewilligt haben.
Rechtsgrundlage
- Vertragserfüllung gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO für Konto, Assessment, Zertifizierung und Zahlungsabwicklung.
- Rechtliche Verpflichtung gemäß Artikel 6 Absatz 1 Buchstabe c für Steuer, Buchhaltung und gesetzliche Aufbewahrung.
- Berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f für Sicherheit, Betrugspr ävention, Verbesserung des Dienstes und Auditdokumentation.
- Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a für Marketing-Kommunikation, die jederzeit widerrufen werden kann.
4.3 Geschäftliche Kontakte
Datenkategorien
- Name, geschäftliche E-Mail-Adresse, Funktion, Telefon.
- Organisation, Adresse, Handelsregisternummer, USt-Nummer.
- Kommunikations- und KontoZugriffsprotokolle.
Zwecke
- Verwaltung des Geschäftskontos im Auftrag der Kundenorganisation.
- Rechnungsstellung, Zahlung und Steuerverwaltung.
- Geschäftliche Kommunikation in Bezug auf das Abonnement.
Rechtsgrundlage
- Vertragserfüllung gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO mit der Kundenorganisation.
- Rechtliche Verpflichtung gemäß Artikel 6 Absatz 1 Buchstabe c für Rechnungsstellung und Steuerunterlagen.
- Berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f für Beziehungsmanagement mit geschäftlichen Kontakten.
4.4 Reseller-Kontakte
Datenkategorien
- Name, Funktion, geschäftliche E-Mail, Telefon der HauptansprechpartnerInnen, Rechnungs- und VertriebskontaktInnen bei der Reseller-Organisation.
- Reseller-Organisationsdaten: Firmenname, Adresse, Handelsregisternummer, USt-Nummer, IBAN.
- Reseller-Aktivitätsdaten: Codezuordnung, Provisionsberechnungsunterlagen, Dashboard-Nutzungsprotokolle.
Zwecke
- Betrieb des Reseller-Programms und des Reseller-Dashboards.
- Berechnung und Auszahlung von Provisionen.
- Kommunikation in Bezug auf die Reseller-Beziehung.
Rechtsgrundlage
- Vertragserfüllung gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO mit der Reseller-Organisation.
- Rechtliche Verpflichtung gemäß Artikel 6 Absatz 1 Buchstabe c für Steuer und Buchhaltung.
- Berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f für die Programmverwaltung.
4.5 Weitergabe kommerzieller Daten an Reseller
Sofern ein Kunde ein Abonnement über einen Reseller-Code abschließt, geben wir einen begrenzten Satz kommerzieller Daten (Organisationsname und -adresse; Rechnungs- und Vertriebskontaktdaten; Abonnementstufe, Anzahl Plätze, Daten, Status, Vertragswert; Rechnungs- und Zahlungsunterlagen, die für die Provision relevant sind; Zuordnungsdaten) an den entsprechenden Reseller weiter, über das Reseller-Dashboard.
Wir stützen uns hierbei auf das berechtigte Interesse gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO. Reseller agieren als unabhängige Verantwortliche für die begrenzten kommerziellen Daten (Kategorie A), die sie erhalten — sie sind keine Auftragsverarbeiter im Sinne von Artikel 28 DSGVO und es ist kein Auftragsverarbeitungsvertrag zwischen Stichting Xconea und seinen Resellern erforderlich. Ihnen ist vertraglich untersagt, auf Assessmentdaten, Zertifikate, Trainingsfortschritt oder individuelle Nutzerinformationen zuzugreifen.
5. Automatisierte Entscheidungsfindung und Profiling
The ColorAptitude assessment generates scores and a competency profile through automated calculation against established colour-difference metrics (CIEDE2000) and age-corrected professional norms. The result is a descriptive profile, not a decision with legal or similarly significant effect within the meaning of Article 22 GDPR.
Wenn Sie das Assessment in einem Beschäftigungs-, Qualifikations- oder Compliance-Kontext nutzen (z. B. Beobachterqualifikation gemäß ASTM E1499-16), liegt die Verwendung Ihres Scores durch Ihren Arbeitgeber oder Ihre Organisation in deren Verantwortung, nicht bei ColorAptitude. Wir treffen keine Einstellungs-, Beförderungs- oder sonstigen Beschäftigungsentscheidungen in Ihrem Namen.
Wir betreiben kein Profiling für Werbung oder Verhaltensvorhersagen außerhalb des Assessmentdienstes selbst.
6. Wer Ihre Daten erhält
6.1 Innerhalb der Stichting Xconea
Innerhalb unserer Organisation greifen nur Mitarbeitende auf personenbezogene Daten zu, für deren Funktion ein solcher Zugriff erforderlich ist, nach dem Need-to-Know-Prinzip.
6.2 Dienstleister (Auftragsverarbeiter)
Wir nutzen eine begrenzte Anzahl etablierter Dienstleister, die jeweils an angemessene Datenschutzvereinbarungen gebunden sind. Die aktuelle Liste der Auftragsverarbeiter:
| Anbieter | Zweck | Verarbeitungsort |
|---|---|---|
| Stripe | Zahlungsabwicklung und Abonnementabrechnung | EWR / USA (unter SCCs) |
| Mail-Hosting (SMTP) | Versand transaktionaler E-Mails über den SMTP-Server des Hosting-Anbieters | Niederlande (EWR) |
| ActiveCampaign | Marketing-Automatisierung und CRM | EWR / USA (unter SCCs) |
| Moneybird | Rechnungsstellung und Buchhaltungsverwaltung | Niederlande (EWR) |
| Web- und Anwendungshosting | Hosting der ColorAptitude-Website und -Plattform | Niederlande (EWR) |
| Datenbank-Hosting | Selbstverwaltete PostgreSQL-Datenbank | Niederlande (EWR) |
| GLS | Paketversand für Tier-2-Hardware (Datacolor SpyderPro) | EWR |
| Anthropic | KI-gestützte Analyse von Support-Tickets (nur Ticketinhalt, auf Anfrage des Bearbeiters) | EWR / USA (unter SCCs) |
Eine aktuelle Liste ist auf Anfrage über privacy@coloraptitude.com erhältlich.
6.3 Reseller (unabhängige Verantwortliche, nur begrenzte Daten)
Wie in Abschnitt 4.5 beschrieben, wird bei einer Bestellung über einen Reseller-Code ein begrenzter Satz kommerzieller Daten dem jeweiligen Reseller in seiner Eigenschaft als unabhängiger Verantwortlicher zur Programmverwaltungszweckenzurverfügung gestellt. Resellern ist vertraglich untersagt, auf Assessmentergebnisse, Zertifikate oder individuelle Nutzerinformationen zuzugreifen, und sie sind an Vertraulichkeit, Sicherheit und Nutzungsbeschränkungen gemäß unserer Reseller-Vereinbarung gebunden.
6.4 Sonstige Empfänger
Wir können personenbezogene Daten an zuständige Behörden offenlegen, sofern wir dazu gesetzlich verpflichtet sind. Wir verkaufen keine personenbezogenen Daten und teilen sie nicht für Marketingzwecke unbeteiligter Dritter.
7. Internationale Übermittlungen
Wir verarbeiten personenbezogene Daten primär innerhalb des Europäischen Wirtschaftsraums (EWR). Sofern eine Übermittlung an ein Land außerhalb des EWR notwendig ist — typischerweise weil ein Dienstleister außerhalb des EWR tätig ist — stützen wir uns auf geeignete Garantien gemäß Kapitel V DSGVO.
In der Praxis werden Übermittlungen an nicht-EWR-Dienstleister durch von der Europäischen Kommission angenommene Standardvertragsklauseln (SCCs) abgedeckt, soweit erforderlich ergänzt durch zusätzliche technische und vertragliche Maßnahmen. Eine Kopie der relevanten Garantien können Sie unter privacy@coloraptitude.com anfordern.
8. Wie lange wir Ihre Daten aufbewahren
Wir bewahren personenbezogene Daten nur so lange auf, wie dies für die in dieser Erklärung genannten Zwecke notwendig ist, zuzüglich der für uns geltenden gesetzlichen Aufbewahrungsfristen.
| Datenkategorie | Aufbewahrungsfrist |
|---|---|
| Kontodaten (aktive Abonnements) | Für die Dauer des Abonnements und des Kontos. |
| Kontodaten nach Kündigung | Bis zu 24 Monate nach Ende des Abonnements, danach gelöscht oder anonymisiert, außer wenn eine längere Aufbewahrung gesetzlich vorgeschrieben ist. |
| Assessmentergebnisse und Zertifikate | Für die Dauer des Abonnements. Nach Kündigung in anonymisierter Form für normative Vergleiche aufbewahrt; identifizierbare Datensótze innerhalb von 24 Monaten gelöscht, sofern nicht für Rechtsansprüche oder Auditpflichten erforderlich. |
| Rechnungen, Zahlungsunterlagen, Buchhaltungsdaten | Sieben (7) Jahre ab Ende des betreffenden Geschäftsjahrs, gemäß niederlándischem Steuerrecht. |
| Reseller-Kommerzdaten | Für die Dauer der Reseller-Vereinbarung. Datensótze, die für Rechnungsstellung und Provision relevant sind, werden 7 Jahre aufbewahrt. |
| Marketingdaten (mit Einwilligung) | Bis zum Widerruf der Einwilligung oder bei 24 Monaten ohne Interaktion, je nachdem, was zuerst eintritt. |
| Support und Korrespondenz | Drei (3) Jahre nach der letzten Interaktion. |
| Webanalyse (aggregiert) | Bis zu 26 Monate in identifizierbarer Form; danach aggregiert. |
| Serverprotokolle (Sicherheit und Betrieb) | Bis zu 12 Monate. |
9. Ihre Rechte
Nach der DSGVO haben Sie die unten genannten Rechte. Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter privacy@coloraptitude.com. Wir antworten innerhalb eines Monats nach einer verifizierbaren Anfrage; bei komplexen Anfragen verlängerbar um weitere zwei Monate.
- Auskunftsrecht
- Sie können eine Bestätigung darüber erhalten, ob wir Ihre personenbezogenen Daten verarbeiten, sowie eine Kopie der gespeicherten Daten.
- Recht auf Berichtigung
- Sie können unrichtige oder unvollständige Daten korrigieren lassen.
- Recht auf Löschung
- Sie können Ihre personenbezogenen Daten löschen lassen, wenn die rechtlichen Gründe gemäß Artikel 17 DSGVO zutreffen, insbesondere wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind.
- Recht auf Einschränkung der Verarbeitung
- Sie können die Verarbeitung in den in Artikel 18 DSGVO aufgeführten Fällen einschränken lassen.
- Recht auf Datenübertragbarkeit
- Für Daten, die wir auf Grundlage Ihrer Einwilligung oder zur Erfüllung eines Vertrags verarbeiten, können Sie eine Kopie in einem strukturierten, gängigen, maschinenlesbaren Format erhalten und an einen anderen Verantwortlichen übermitteln lassen, sofern technisch machbar.
- Widerspruchsrecht
- Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung auf Grundlage berechtigten Interesses einschließlich Profiling widersprechen. Bei Widerspruch stellen wir die Verarbeitung ein, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen.
- Recht auf Widerruf der Einwilligung
- Sofern die Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit widerrufen, ohne die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung zu beeinträchtigen.
- Recht auf Beschwerde
- Sie haben das Recht, bei einer Datenschutzaufsichtsbehárde Beschwerde einzulegen. In den Niederlanden ist dies die Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Sie können auch bei der Aufsichtsbehárde des EU-Mitgliedstaates Beschwerde einlegen, in dem Sie wohnen oder arbeiten.
Zur Verifizierung Ihrer Identität können wir Sie vor Beantwortung eines Antrags auf Wahrnehmung Ihrer Rechte bitten, Angaben zu bestätigen, die mit unseren Daten übereinstimmen, gemäß Artikel 12 Absatz 6 DSGVO. Wir berechnen keine Kosten für die Bearbeitung von Anträgen, außer wenn Anträge offensichtlich unbegründet oder übermäßig sind.
10. Sicherheit
Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbefugtem Zugriff, versehentlichem Verlust, Änderung oder Offenlegung, gemäß Artikel 32 DSGVO. Zu den Maßnahmen gehören Zugriffskontrolle mit rollenbasierten Berechtigungen, Multi-Faktor-Authentifizierung für administrative Zugriffe, Verschlüsselung von Daten in der Übertragung (TLS) und im Ruhezustand, regelmäßige Backups, Sicherheitspatches, Protokollierung und ein dokumentiertes Verfahren zur Reaktion auf Vorfälle.
Bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für Ihre Rechte und Freiheiten führt, benachrichtigen wir die Autoriteit Persoonsgegevens innerhalb von 72 Stunden gemäß Artikel 33 DSGVO. Bei hohem Risiko benachrichtigen wir Sie auch direkt gemäß Artikel 34 DSGVO.
11. Kinder
ColorAptitude ist ein professioneller Dienst für Erwachsene. Wir erheben nicht wissentlich personenbezogene Daten von Personen unter 16 Jahren. Sofern wir Kenntnis davon erhalten, dass Daten einer Person unter 16 ohne geeignete Rechtsgrundlage erhoben wurden, löschen wir diese unverzüglich.
12. Cookies und ähnliche Technologien
Wir verwenden Cookies und ähnliche Technologien für den essenziellen Betrieb der Website, die Sicherheit und (mit Ihrer Einwilligung) für Analysen. Detaillierte Informationen zu den von uns verwendeten Cookies, ihrem Zweck und Ihren Wahlmöglichkeiten finden Sie in unserer Cookie-Richtlinie.
13. Änderungen dieser Erklärung
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, beispielsweise um Änderungen unserer Dienste, unserer Dienstleister oder geltenden Rechts zu berücksichtigen. Das Versionsdatum oben auf dieser Erklärung gibt an, wann sie zuletzt aktualisiert wurde.
Wesentliche Änderungen — solche, die die Verarbeitung Ihrer Daten oder Ihre Rechte erheblich beeinflussen — werden aktiven Kunden und Resellern mindestens 30 Tage vor dem Wirksamkeitsdatum per E-Mail mitgeteilt. Nicht-wesentliche Änderungen (Klarstellungsänderungen, Korrekturen, Ergänzungen der Auftragsverarbeiterliste) treten mit der Veröffentlichung in Kraft.
14. Kontakt
Bei datenschutzrelevanten Fragen, Anträgen oder Anliegen kontaktieren Sie uns unter:
Stichting Xconea
Verantwortlicher im Sinne der DSGVO
Betreibt die Plattform zur Bewertung der Farbwahrnehmung
Allenstraat 110, Krommenie, Niederlande