Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die: Referrion GmbH Freie-Vogel-Straße 369 44269 Dortmund Deutschland Vertreten durch den Geschäftsführer: Sebastian Baake E-Mail: info@getintros.io

Für Datenschutzanfragen kannst du dich jederzeit unter info@getintros.io an uns wenden.

Für alle Funktionen von getINTROS entscheidet die Referrion GmbH selbst über Zwecke und Mittel der Verarbeitung. Wir sind damit eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO – für Konten und Profile, Warteliste und Einladungen, Zugänge, Zielunternehmen und Wunschkundenprofile, die Wegesuche und das Matching, Intro-Anfragen, Nachrichten und Circles sowie für den internen Qualitätsindikator und die Missbrauchsabwehr.

Eine Auftragsverarbeitung im Auftrag einzelner Mitglieder oder ihrer Arbeitgeber findet nicht statt. Mitglieder melden sich persönlich an, es gibt keinen abgeschlossenen Firmenbereich, keine Trennung nach Arbeitgeber, keinen Versand in fremdem Namen und keinen CRM-Abgleich. Ein Auftragsverarbeitungsvertrag zwischen getINTROS und Mitgliedern wäre deshalb das falsche Instrument; er würde eine Rollenverteilung dokumentieren, die es tatsächlich nicht gibt.

Umgekehrt setzen wir Dienstleister ein, die in unserem Auftrag verarbeiten (siehe Abschnitt „Empfänger und Auftragsverarbeiter“). Mit diesen bestehen Verträge nach Art. 28 DSGVO.

Sollten wir künftig einen abgeschlossenen Unternehmensbereich anbieten, in dem ein Unternehmen eigene Mitarbeitenden- und Kontaktbeziehungen verwaltet, wäre das eine Auftragsverarbeitung. Dafür würden wir dann einen eigenen Auftragsverarbeitungsvertrag bereitstellen. Diese Funktion gibt es heute nicht.

Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO begründen wir bewusst nicht.

Konto und Profil: Vor- und Nachname, E-Mail-Adresse, optional Position, Unternehmen, Kurzprofil, LinkedIn-Adresse und Profilbild. Zweck: Bereitstellung der Mitgliedschaft. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ort: Irland (EU). Frist: Dauer des Kontos, danach 30 Tage.

Zustimmung zu den Nutzungs- und Teilnahmebedingungen: Fassung und Zeitpunkt der Zustimmung. Zweck: Nachweis des Vertragsschlusses. Rechtsgrundlage: Vertragserfüllung und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und c DSGVO). Frist: Dauer des Kontos.

Wartelistenanfragen: Name, E-Mail, Unternehmen und dein Freitext dazu, wen du erreichen möchtest. Rechtsgrundlage: vorvertragliche Maßnahmen und berechtigtes Interesse an einer kuratierten Mitgliederauswahl (Art. 6 Abs. 1 lit. b und f DSGVO). Zur Bestätigung der Adresse senden wir einmalig eine E-Mail mit einem Link, der 24 Stunden gilt; dazu speichern wir nur den Zeitpunkt des Versands, einen nicht rückrechenbaren Prüfwert des Links und den Zeitpunkt der Bestätigung. Frist: zwölf Monate nach der Entscheidung.

Einladungen: E-Mail-Adresse der eingeladenen Person, einladendes Mitglied, Gültigkeit und Einlösestatus. Rechtsgrundlage: vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Frist: zwölf Monate nach Ablauf oder Einlösung.

Erkennung deines Unternehmens beim Einstieg: Aus deiner E-Mail-Adresse lesen wir die Domain aus und schlagen dir das passende Unternehmen vor. Ist das Unternehmen bei uns bereits bekannt, nutzen wir unsere eigenen Daten; sonst fragen wir einmalig Brandfetch nach Name und Logo zu dieser Domain. Kostenlose E-Mail-Anbieter schließen wir aus. Stimmt die Domain deiner Adresse mit dem Unternehmen überein, markieren wir die Zugehörigkeit als bestätigt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Zielunternehmen: Unternehmen, die du erreichen möchtest, samt gewünschtem Bereich bzw. gewünschter Rolle und dem Anliegen zu deinem Intro. Nur für dich und für die Wegesuche sichtbar. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Zugänge: Unternehmen, bei denen du einen Zugang ermöglichen kannst, ein oder mehrere grobe Unternehmensbereiche (z. B. Geschäftsführung, Einkauf, HR), die Stärke des Zugangs sowie der Bestätigungsstatus. Andere Mitglieder sehen Unternehmen, Bereich und Stärke – nie, wen du dort kennst.

Art der Beziehung: Zu einem Zugang kannst du optional eine Kategorie auswählen (z. B. „ehemalige:r Kolleg:in“, „gemeinsames Projekt“, „Event / Community“). Diese Angabe ist ausschließlich für dich sichtbar und wird anderen Mitgliedern nicht angezeigt. Freitextfelder zu einzelnen Personen gibt es nicht. Namen, E-Mail-Adressen, Telefonnummern, exakte Jobbezeichnungen oder sonstige Angaben zu konkreten Personen, die selbst keine Mitglieder sind, fordern wir nicht an, speichern wir nicht und dürfen von Mitgliedern auch nicht eingetragen werden; früher erfasste Namen haben wir gelöscht. Zweck ist, Mitgliedern zu ermöglichen, eigene berufliche Zugänge strukturiert abzubilden und passende Wege für andere Mitglieder erkennbar zu machen. Rechtsgrundlage: berechtigtes Interesse an strukturierten Intro-Möglichkeiten und an der Qualität des Netzwerks (Art. 6 Abs. 1 lit. f DSGVO). Schutzmaßnahmen: ausschließlich grobe Kategorien statt Personenangaben, keine Offenlegung der Beziehungsart an andere Mitglieder, jederzeitige Löschung durch dich, Widerspruchsmöglichkeit. Die konkrete Ansprechperson wählt das Mitglied selbst außerhalb von getINTROS aus, sobald eine Anfrage eingeht.

Intro-Anfragen und Nachrichten: Inhalt, Status und Verlauf einer Anfrage. Sichtbar ausschließlich für die beiden beteiligten Mitglieder. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Frist: 24 Monate nach Abschluss.

Beiträge in Circles: Beiträge, die du bewusst veröffentlichst, sind für die eingeloggten Mitglieder des jeweiligen Circles sichtbar. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Meldungen rechtswidriger Inhalte: Meldung, betroffener Inhalt, Begründung, Entscheidung und Zeitpunkt. Rechtsgrundlage: rechtliche Verpflichtung nach dem Digital Services Act (Art. 6 Abs. 1 lit. c DSGVO). Frist: zwölf Monate nach der Entscheidung.

Wunschkundenprofil: Branchen, Unternehmensgrößen, Märkte, Geschäftsmodelle und die Unternehmensbereiche, die du typischerweise erreichen möchtest, sowie optional ein kurzer Hinweis auf typische Rollen. Diese Angaben sind nur für dich sichtbar und dienen dazu, dir Unternehmen anzuzeigen, zu denen andere Mitglieder bereits einen Zugang hinterlegt haben. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Unternehmensdaten: Zu jedem Unternehmen speichern wir zentral Name, Domain, Logo und – soweit verfügbar – Branche, Größenklasse, Land und Geschäftsmodell. Das sind Angaben über Unternehmen, keine personenbezogenen Daten. Fehlende Angaben bleiben unbekannt; sie werden nicht geschätzt.

Wird ein Unternehmen neu angelegt, fragen wir bei Brandfetch einmalig Branche, Mitarbeitendenzahl und Land ab und leiten daraus Branche, Größenklasse und Land ab. Eine erneute Abfrage erfolgt frühestens nach 180 Tagen und nur für Felder, die noch leer sind.

Von Administratorinnen und Administratoren gepflegte Werte werden nie überschrieben. Liefert Brandfetch nichts, bleibt das Feld leer – wir schätzen keine Werte. Das Geschäftsmodell (B2B, B2C, B2B2C) pflegen ausschließlich wir selbst.

Bei sehr kleinen Unternehmen können solche Angaben ausnahmsweise Rückschlüsse auf eine einzelne Person zulassen. Rechtsgrundlage in diesem Fall: berechtigtes Interesse an einer verlässlichen Unternehmensdarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Wenn du deinen LinkedIn-Export hochlädst, wird die Datei ausschließlich in deinem Browser gelesen. Namen, E-Mail-Adressen, Profil-Links und Positionen deiner Kontakte werden nicht übertragen und nicht gespeichert.

Übermittelt werden nur die Firmennamen, um daraus ein Unternehmen zu erkennen. Gespeichert wird erst, was du anschließend selbst bestätigst: das Unternehmen und deine Einschätzung der Zugangsqualität. Die hochgeladene Datei wird nach dem Import aus dem Browser-Speicher verworfen.

Für die Unternehmenssuche und die Darstellung von Unternehmenslogos nutzen wir Brandfetch SA, Schweiz.

Bei der Unternehmenssuche fragt unser Server Brandfetch ab; übermittelt werden dabei der eingegebene Suchbegriff bzw. die Unternehmensdomain. Personenbezogene Daten deiner Kontakte werden nicht übertragen.

Wird ein Unternehmenslogo angezeigt, stellt dein Browser eine direkte Verbindung zum Logo-Netzwerk von Brandfetch her. Dabei können technisch erforderliche Verbindungsdaten wie IP-Adresse, Browserinformationen und die angeforderte Logo-Adresse verarbeitet werden. Es werden dabei ausschließlich Bilddateien geladen; wir binden keine Skripte, Tracking-Technologien oder Cookies von Brandfetch ein.

Der Einsatz erfolgt ausschließlich zur funktionalen Unternehmensdarstellung, nicht zu Tracking- oder Werbezwecken. Rechtsgrundlage für unsere Einbindung: berechtigtes Interesse an einer eindeutigen und nutzerfreundlichen Unternehmensdarstellung (Art. 6 Abs. 1 lit. f DSGVO). Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Wir versenden ausschließlich anlassbezogene E-Mails an dich: Bestätigung deiner Adresse nach einer Wartelistenanfrage, Anmelde- und Passwortmails (z. B. Passwort zurücksetzen, Bestätigung einer Adressänderung) sowie – wenn du das eingeschaltet hast – einen wöchentlichen Hinweis auf neue passende Unternehmen.

Der Versand läuft über die E-Mail-Infrastruktur von Lovable mit der Absenderdomain notify.getintros.io. Übermittelt werden E-Mail-Adresse, Anrede bzw. Name und der Inhalt der jeweiligen Nachricht. Lovable ist insoweit unser Auftragsverarbeiter nach Art. 28 DSGVO.

Rechtsgrundlage: Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO); beim wöchentlichen Hinweis deine ausdrückliche Einstellung im Portal (Art. 6 Abs. 1 lit. a DSGVO), die du dort jederzeit wieder ausschalten kannst. Werbe- oder Newsletter-Mails versenden wir nicht.

Anwendung, Datenbank, Authentifizierung und Dateispeicher werden über Lovable Cloud (Supabase-Infrastruktur) betrieben. Der Speicherort der Produktionsdaten ist Irland (EU). Es findet keine standardmäßige Speicherung außerhalb der EU statt.

Schriften liefern wir von unserem eigenen Server aus. Es werden keine Google Fonts und keine weiteren Drittanbieter-Skripte zu Werbe- oder Analysezwecken geladen.

Lovable (Lovable Cloud, Supabase-Infrastruktur): Betrieb von Anwendung, Datenbank, Authentifizierung, Dateispeicher und Versand der System-E-Mails. Ort: Irland (EU). Rolle: Auftragsverarbeiter nach Art. 28 DSGVO.

Brandfetch SA (Schweiz): Unternehmenssuche und Unternehmenslogos. Übermittelt werden Suchbegriff bzw. Unternehmensdomain sowie beim direkten Logo-Abruf technische Verbindungsdaten deines Browsers. Ort: Schweiz; es besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Rolle: beim direkten Abruf der Logos aus dem Browser eigenständig Verantwortlicher; ein Auftragsverarbeitungsvertrag ist insoweit nicht das passende Instrument.

Cloudflare (Turnstile, Bot-Schutz): technische Signale wie IP-Adresse, Browser-Kennung und Verbindungsmerkmale zur Erkennung automatisierter Zugriffe. Mit Cloudflare besteht ein Auftragsverarbeitungszusatz (Data Processing Addendum), der Bestandteil der Nutzungsbedingungen ist. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert und setzt ergänzend Standardvertragsklauseln ein.

Andere Mitglieder: Sie sehen dein Profil, sofern du im Netzwerk sichtbar bist, sowie zu deinen Zugängen das Unternehmen, den Bereich und die Stärke. Wen du dort konkret kennst, sieht niemand.

Drittlandübermittlungen stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder auf Standardvertragsklauseln nach Art. 46 DSGVO.

Zum Schutz von Registrierung, Anmeldung und Zugangsanfragen gegen automatisierte Zugriffe setzen wir Cloudflare Turnstile ein. Dabei wird ein einmaliger Prüf-Token erzeugt und serverseitig validiert. Die Funktion „Pre-Clearance“ ist bewusst deaktiviert, es wird also kein dauerhaftes Clearance-Cookie gesetzt.

Zweck ist ausschließlich die Sicherheit des Dienstes, nicht Werbung, Profilbildung oder Reichweitenmessung. Rechtsgrundlage: berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); für technisch notwendige Speicherung greift § 25 Abs. 2 Nr. 2 TDDDG.

Deine Zielunternehmen, Zugänge, Beziehungen, Intro-Anfragen und Nachrichten werden nicht an KI-Dienste übermittelt. Die Wegesuche und das Matching arbeiten rein regelbasiert in unserer Datenbank.

Aus vorhandenen Daten deines Kontos (z. B. beantwortete und abgeschlossene Intro-Anfragen, Anzahl belegter Zugänge, Vollständigkeit des Profils, bestätigte Unternehmenszugehörigkeit, Dauer der Mitgliedschaft) berechnen wir einen internen Indikator zur Qualität und Integrität des Netzwerks.

Er ist ausschließlich für Administratorinnen und Administratoren sichtbar und hat keine automatisierten Auswirkungen: keine Sperren, keine Limits, keine veränderte Sichtbarkeit, keine Priorisierung in der Wegesuche. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Zweck: Missbrauchsprävention sowie Sicherstellung der Qualität und Verlässlichkeit des Netzwerks. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Wir setzen keine Analyse-Cookies, kein Google Analytics, kein Meta-Pixel, kein Session-Recording und kein Cookie-Banner ein. Zur Produktverbesserung speichern wir ausschließlich serverseitige Ereignisse wie „Zugang hinzugefügt“ oder „Intro angefragt“ – ohne Nachrichteninhalte und ohne Kontaktdaten aus Importen. Frist: zwölf Monate.

Zu Personen, die selbst kein Konto haben, speichern wir bewusst keine Identifikationsmerkmale: keine Namen, keine E-Mail-Adressen, keine Telefonnummern, keine Profil-Links, keine exakten Jobbezeichnungen. Ein Zugang besteht nur aus Unternehmen, grobem Unternehmensbereich, Stärke und (nur für das jeweilige Mitglied sichtbar) der Art der Beziehung.

Rechtsgrundlage dieser Verarbeitung ist unser berechtigtes Interesse an einem funktionierenden, datensparsamen Zugangsnetzwerk (Art. 6 Abs. 1 lit. f DSGVO). Die Interessenabwägung dazu haben wir intern dokumentiert.

Je nach Größe des Unternehmens kann die Kombination aus Unternehmen, Bereich und Beziehungsart im Einzelfall mittelbar auf eine bestimmte Person hindeuten. Wir behaupten deshalb nicht pauschal, dass niemand identifizierbar wäre.

Zusätzliche Daten allein zu dem Zweck, betroffene Personen zu ermitteln und individuell zu informieren, erheben wir nicht (Art. 11 Abs. 1 DSGVO). Soweit uns eine individuelle Information nach Art. 14 DSGVO deshalb nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, stützen wir uns auf Art. 14 Abs. 5 lit. b DSGVO und informieren stattdessen an dieser öffentlich zugänglichen Stelle. Diese Bewertung prüfen wir laufend und dokumentieren sie intern.

Wenn du betroffen bist und das nicht möchtest, genügt eine Nachricht an info@getintros.io. Wir prüfen den Fall, geben Auskunft im Rahmen des technisch Möglichen und entfernen den Eintrag im Zweifel.

Ein täglicher automatischer Löschlauf in unserer Datenbank setzt die folgenden Fristen um; die Löschung umfasst jeweils auch alle verknüpften Datensätze.

Kontodaten: solange dein Konto besteht; nach einer Löschung entfernen wir sie innerhalb von 30 Tagen. Zielunternehmen, Zugänge und Beziehungsangaben werden mit dem jeweiligen Eintrag oder spätestens mit deinem Konto gelöscht.

Intro-Anfragen, zugehörige Entwürfe und Nachrichten: 24 Monate, gerechnet ab dem Zeitpunkt, an dem die Anfrage abgeschlossen oder abgelehnt wurde. Offene und laufende Anfragen bleiben erhalten.

Wartelisteneinträge: zwölf Monate nach der Entscheidung, unbeantwortete Anfragen zwölf Monate nach Eingang. Einladungen: zwölf Monate nach Ablauf oder Einlösung. Meldungen rechtswidriger Inhalte: zwölf Monate nach der Entscheidung. Produktereignisse: zwölf Monate.

Technische Sicherheitsereignisse für die Missbrauchsabwehr: sieben Tage.

Sicherungskopien der Datenbank werden von unserem Hoster automatisch erstellt und rollierend überschrieben; eine Löschung wirkt dort erst mit dem Ablauf des jeweiligen Sicherungszyklus. Gesetzliche Aufbewahrungsfristen bleiben unberührt. Schlägt ein Löschlauf fehl, erscheint das im täglichen Sicherheitsbericht an die Administration.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Eine formlose Nachricht an info@getintros.io genügt. Wir bestätigen den Eingang, prüfen im Zweifel deine Identität und antworten innerhalb eines Monats; bei komplexen Anfragen informieren wir dich über eine Verlängerung. Ein Großteil deiner Daten lässt sich außerdem direkt im Portal einsehen, ändern und löschen.

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.