Datenschutzerklärung #

Gültig ab: 17. Februar 2026 Zuletzt aktualisiert: 28. Oktober 2026

1. Einleitung #

EthicsPortal („wir", „uns", „unser") ist eine Geschäftsbezeichnung, unter der Yaroslav Shmarov, ein Einzelunternehmer (jednoosobowa działalność gospodarcza) mit Sitz in Polen (NIP: 5272755790), tätig ist, mit Sitz in ul. Obrzeżna 1A, 02-691 Warschau, Polen. Diese Datenschutzerklärung beschreibt, wie wir personenbezogene Daten erheben, verwenden, speichern und schützen, wenn Sie EthicsPortal unter ethicsportal.eu (der „Dienst") nutzen.

Diese Erklärung beschreibt unsere Verarbeitung; sie ist keine Bitte um Einwilligung. Auf einer Einwilligung beruht nur der optionale Versand von Marketing-E-Mails; diese Einwilligung erteilen Sie gesondert und können sie jederzeit widerrufen.

Kontakt: privacy@ethicsportal.eu

Basisangaben zur Vertragspartnerseite sind auf der Seite Vertrauen veröffentlicht.

2. Welche Daten wir erheben #

2.1 Kontodaten #

Bei der Kontoanlage erheben wir:

• E-Mail-Adresse
• Anzeigename (sofern angegeben)
• Spracheinstellung

Mitarbeitende melden sich ohne Passwort an — wir nutzen Magic-Links (Einmalcodes per E-Mail), daher erheben und speichern wir keine Passwörter von Mitarbeitenden. Eine hinweisgebende Person, die ihre Meldung online verfolgen möchte, erhält ein vom System erzeugtes Passwort, das ausschließlich als bcrypt-Hash gespeichert wird.

Wir verwenden Informationen zur Herkunft von Registrierungen, um zu verstehen, wie Kunden EthicsPortal entdecken, und die Wirksamkeit unseres Marketings zu messen.

2.2 Zahlungsdaten #

Abonnement- und Abrechnungszahlungen werden über das von Stripe gehostete Checkout und Billing Portal abgewickelt. Wir übermitteln Stripe die E-Mail-Adresse des Kontos sowie interne Organisations- und Kundenkennungen, die zur Einrichtung und Verwaltung des Abonnements erforderlich sind. Stripe erhebt den Namen des Zahlenden, die Rechnungsanschrift, die Steueridentifikationsnummer und die Zahlungsdaten direkt. Wir erhalten oder speichern keine vollständigen Karten- oder Bankkontonummern.

Bei der Zahlungsabwicklung verarbeitet Stripe personenbezogene Daten in unserem Auftrag. Für selbst festgelegte Zwecke, insbesondere Betrugsprävention, regulatorische Compliance und den Betrieb von Zahlungsnetzwerken, verarbeitet Stripe bestimmte Daten außerdem als eigenständiger Verantwortlicher. Diese Tätigkeiten unterliegen der Datenschutzerklärung von Stripe.

2.3 Serverprotokolle #

Unsere Server zeichnen beim Zugriff auf den Dienst automatisch Folgendes auf:

• IP-Adresse
• Browsertyp und -version
• Aufgerufene Seiten und Zeitstempel
• Referrer-URL

Serverprotokolle dienen der Sicherheitsüberwachung und Fehlersuche. Sie werden nicht für Werbung oder Tracking genutzt.

Speziell für den Meldekanal enthalten Anwendungsprotokolle keine IP-Adressen hinweisgebender Personen. Der TLS-Proxy vor der Anwendung führt zu Sicherheitszwecken kurzlebige Verbindungsprotokolle, die IP-Adressen enthalten.

2.4 Hinweisgeber-Meldungsdaten #

Wenn eine hinweisgebende Person über den Meldekanal einer Organisation eine Meldung abgibt, erheben wir:

• Meldungsbeschreibung, Kategorie und Eingangskanal
• Name und Kontaktdaten der hinweisgebenden Person (sofern freiwillig angegeben)
• Nachrichten zwischen der hinweisgebenden Person und der Organisation

Meldungsbeschreibungen, Namen, Kontaktdaten und Nachrichteninhalte werden in der Datenbank verschlüsselt gespeichert (Anwendungsebene). IP-Adressen hinweisgebender Personen werden weder bei Meldungen noch bei Nachrichten oder Audit-Einträgen gespeichert. Das Rate-Limiting nutzt einen pseudonymisierten, schlüsselbasierten Hash der IP-Adresse, der nur für die Dauer des Rate-Limit-Fensters vorgehalten wird. Anwendungsprotokolle für den Meldekanal enthalten keine IP-Adressen.

2.5 Personenbezogene Daten Dritter, die in Meldungen genannt werden #

Eine Hinweisgeber-Meldung kann personenbezogene Daten anderer Personen enthalten — zum Beispiel der von einer Meldung betroffenen Person oder von Zeuginnen und Zeugen. Für diese Meldungsdaten handelt EthicsPortal als Auftragsverarbeiter im Auftrag der Kundenorganisation, die der Verantwortliche ist. Die Organisation ist für die Rechtmäßigkeit dieser Verarbeitung sowie dafür verantwortlich, den betroffenen Personen die nach Artikel 14 DSGVO erforderlichen Informationen bereitzustellen.

Im Einklang mit Artikel 14 Abs. 5 lit. b DSGVO und den Vertraulichkeitsanforderungen der EU-Hinweisgeberrichtlinie (Richtlinie (EU) 2019/1937) kann die Benachrichtigung einer namentlich genannten Person aufgeschoben oder eingeschränkt werden, sofern dies eine Untersuchung beeinträchtigen oder den Schutz der Identität der hinweisgebenden Person gefährden würde.

3. Wie wir Ihre Daten verwenden und auf welcher Rechtsgrundlage #

Soweit wir uns auf ein berechtigtes Interesse stützen, können Sie jederzeit widersprechen (Abschnitt 8). Wir verkaufen Ihre Daten nicht. Wir nutzen Ihre Daten nicht für personalisierte Werbung. Wir setzen keine automatisierte Entscheidungsfindung ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

4. Drittanbieter-Dienste #

Wir geben Daten nur in dem Umfang an Drittanbieter weiter, der zur Bereitstellung des Dienstes erforderlich ist:

Jeder Drittanbieter-Dienst unterliegt seiner eigenen Datenschutzerklärung. Wir empfehlen Ihnen, diese einzusehen.

5. Cookies und Reichweitenmessung der Website #

Die Anwendung (secure.ethicsportal.eu) verwendet nur Erstanbieter-Cookies, die nötig sind, um Sie anzumelden, angemeldet zu halten und Ihre Einstellungen zu speichern:

Wir verwenden keine Tracking- oder Werbecookies von Drittanbietern.

Die öffentliche Website setzt keine Cookies. Ihre Reichweitenmessung (Plausible, Abschnitt 4) funktioniert ohne Cookies, und Sie können Ihre Besuche in diesem Browser ausschließen:

6. Datenspeicherung und -sicherheit #

• Serverstandort: Unsere Server werden von Hetzner in Nürnberg (Deutschland, EU) betrieben
• Verschlüsselung während der Übertragung: Alle Verbindungen über HTTPS/TLS
• Verschlüsselung im Ruhezustand: Meldungsdaten (Beschreibungen, Namen, Kontaktdaten, Nachrichten) werden in der Datenbank mit Active Record Encryption verschlüsselt
• Passwortlose Anmeldung für Mitarbeitende: Mitarbeitende nutzen Magic-Links, daher werden keine Passwörter von Mitarbeitenden gespeichert. Passwörter hinweisgebender Personen werden vom System erzeugt und ausschließlich als bcrypt-Hash gespeichert
• Zugriffskontrolle: Datenbankzugriff ist auf berechtigtes Personal beschränkt

Wir treffen angemessene Schutzmaßnahmen, jedoch ist keine Übertragungs- oder Speichermethode zu 100 % sicher. Wenn Sie eine Sicherheitslücke entdecken, schreiben Sie uns bitte an security@ethicsportal.eu.

7. Aufbewahrungsdauer #

• Kontodaten werden gespeichert, solange Ihr Konto aktiv ist
• Organisationsdaten werden gespeichert, solange Ihre Organisation aktiv ist
• Hinweisgeber-Meldungen — abgeschlossene oder abgewiesene Meldungen werden nach der von der Kundenorganisation eingestellten Frist (12, 24, 36, 48 oder 60 Monate) automatisch gelöscht. Laufende Meldungen werden bis zum Abschluss aufbewahrt; eine Meldung ohne Aktivität während 18 Monaten wird automatisch abgeschlossen, womit die Aufbewahrungsfrist beginnt
• E-Mail-Versandeinträge — für Einladungen und Benachrichtigungen an Mitarbeitende: die verschlüsselte Empfängeradresse, die Art der E-Mail und der Versandzeitpunkt, nie Betreff oder Inhalt. Einträge, die einer Organisation zugeordnet sind, werden mit ihr gelöscht; Einträge ohne Zuordnung zu einer Organisation werden 90 Tage nach dem Versand gelöscht. Anmelde-E-Mails und E-Mails an hinweisgebende Personen werden nicht erfasst
• Serverprotokolle werden überschrieben, sobald sie voll sind. Das Proxy-Protokoll, das IP-Adressen enthält, wird derzeit nach etwa zwei Tagen überschrieben. Anwendungsprotokolle enthalten keine IP-Adressen
• Zahlungsunterlagen werden entsprechend den geltenden steuer- und handelsrechtlichen Vorgaben aufbewahrt
• Audit-Protokolle — definierte Melde- und Kontoereignisse werden für Compliance-Zwecke protokolliert, einschließlich welcher Fallbearbeiter welche Meldung eingesehen hat (ein Eintrag je Bearbeiter, Meldung und 24 Stunden); Lesezugriffe auf andere Seiten werden nicht erfasst. Audit-Einträge werden aufbewahrt, solange die Organisation besteht, und mit ihr gelöscht

Wenn Sie Ihr Konto schließen, werden die Zugangsdaten entfernt. Begrenzte zugeordnete Aufzeichnungen können nach dokumentierten Weisungen des Verantwortlichen, anwendbaren Rechtspflichten oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen bestehen bleiben. Abschnitt 9 erläutert, was bestehen bleibt und warum.

8. Ihre Rechte nach der DSGVO #

Da wir in der Europäischen Union ansässig sind, gilt die Datenschutz-Grundverordnung (DSGVO). Sie haben das Recht auf:

• Auskunft — Sie können eine Kopie der über Sie gespeicherten personenbezogenen Daten anfordern
• Berichtigung — Sie können die Berichtigung unrichtiger Daten verlangen
• Löschung — Sie können die Löschung Ihrer Daten verlangen („Recht auf Vergessenwerden")
• Einschränkung — Sie können die Einschränkung der Verarbeitung verlangen
• Datenübertragbarkeit — Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern
• Widerspruch — Sie können der Verarbeitung Ihrer Daten widersprechen
• Widerruf der Einwilligung — Sie können eine erteilte Einwilligung jederzeit widerrufen
• Beschwerde — Sie können bei einer Datenschutz-Aufsichtsbehörde Beschwerde einlegen, insbesondere in dem EU-Land, in dem Sie leben oder arbeiten, oder bei unserer federführenden Aufsichtsbehörde, dem Präsidenten des polnischen Amtes für den Schutz personenbezogener Daten (UODO, ul. Stawki 2, 00-193 Warschau)

So üben Sie Ihre Rechte aus: Die meisten Ihrer Daten können Sie direkt in den Kontoeinstellungen verwalten. Die Kontolöschung erfolgt auf der Seite „Kontoeinstellungen". Für sonstige Anfragen schreiben Sie uns an privacy@ethicsportal.eu.

Wenn Sie eine Hinweisgeber-Meldung abgegeben haben: Die Organisation, deren Meldekanal Sie genutzt haben, ist der Verantwortliche, und EthicsPortal handelt als deren Auftragsverarbeiter. Über das Online-Meldeformular können Sie mit Vorgangs-ID und Passwort jederzeit eine Kopie einsehen und herunterladen. Zur Berichtigung fügen Sie eine Nachricht hinzu; für andere Anfragen wenden Sie sich an die Organisation (wir unterstützen sie als Auftragsverarbeiter). Eine Löschung kann durch die dokumentierte Aufbewahrungsentscheidung des Verantwortlichen sowie anwendbare Rechtspflichten oder Ausnahmen für Rechtsansprüche begrenzt sein.

Datenschutzkontakt: Anfragen zu unseren Datenschutzpraktiken können an privacy@ethicsportal.eu gerichtet werden.

9. Konto- und Datenlöschung #

Sie können Ihr Konto jederzeit in den Kontoeinstellungen schließen. Ihre E-Mail-Adresse wird durch einen nicht zustellbaren Platzhalter ersetzt, und Ihre Zwei-Faktor-Anmeldedaten, aktiven Sitzungen, API-Token, Sprachpräferenz und Marketingpräferenzen werden dauerhaft entfernt. Sie können sich nicht mehr anmelden, und wir können Sie über den Dienst nicht mehr kontaktieren.

Hat Ihr Konto nie innerhalb einer Organisation gehandelt, wird der Datensatz vollständig gelöscht. Andernfalls werden Ihre Mitgliedschaften deaktiviert, und die ihnen zugeordneten Fallnotizen, Nachrichten und Audit-Einträge bleiben erhalten, damit nachvollziehbar bleibt, wer die aufgezeichneten Handlungen vorgenommen hat. Der Verantwortliche bestimmt die Aufbewahrungsdauer nach seinen dokumentierten Weisungen und dem anwendbaren Recht; das Löschungsrecht nach der DSGVO bleibt den jeweils anwendbaren Ausnahmen für gesetzliche Pflichten oder Rechtsansprüche unterworfen.

Drei Dinge überdauern die Schließung daher:

• Ihr Profilbild wird bei der Kontoschließung gelöscht. Ihr Name bleibt den zugeordneten Handlungen beigefügt, solange die betreffende Organisation diesen Compliance-Nachweis aufbewahrt. Er wird nur zur Zuordnung der aufgezeichneten Tätigkeit aufbewahrt, nicht zur Authentifizierung oder Kontaktaufnahme.
• Audit-Einträge behalten Ihren Namen, Ihre E-Mail-Adresse und bei authentifizierten Handlungen die IP-Adresse der Anfrage. IP-Adressen von Hinweisgebenden werden ausgeschlossen. Organisationsadministratoren können das nur ergänzbare Audit-Protokoll weder bearbeiten noch einzelne Einträge löschen; Einträge werden mit der Organisation gelöscht.
• Vor Ihrem Antrag erstellte Datenexporte bleiben bis zu 7 Tage bestehen und werden danach automatisch gelöscht.

Die Löschung wird abgelehnt, solange Sie Eigentümer einer Organisation, deren einziger Administrator oder deren benannte Compliance-Beauftragte Person sind. Übertragen Sie zuvor die Rolle.

10. Datenschutz bei Minderjährigen #

Kundenkonten richten sich nicht an Kinder unter 16 Jahren. Der Meldekanal einer Organisation kann dennoch eine Meldung einer minderjährigen Person entgegennehmen, wenn die Organisation ihn dafür bereitstellt. Die Organisation ist Verantwortliche für die Meldedaten und entscheidet über Löschanträge; wir unterstützen sie als Auftragsverarbeiter. Bei personenbezogenen Daten, für die wir selbst verantwortlich sind, schreiben Sie an privacy@ethicsportal.eu; wir prüfen und bearbeiten den Antrag nach anwendbarem Recht.

11. Internationale Datenübermittlung #

Mailjet und AppSignal haben ihren Sitz in der EU. Soweit deren eigene Dienstleister Daten außerhalb des EWR verarbeiten, unterliegen diese Übermittlungen den Garantien nach Kapitel V DSGVO (siehe AVV).

Kerndaten von Meldungen werden auf Servern in Deutschland (EU) gespeichert. Die öffentliche Marketing-Website wird über Cloudflare (USA) ausgeliefert; der Meldekanal und das Bearbeiter-Portal nicht. Diese Verarbeitung der öffentlichen Website liegt außerhalb der vom Kunden angewiesenen Verarbeitungskette für Meldedaten, die vom AVV erfasst wird. Für Übermittlungen von Daten der öffentlichen Website aus dem EWR in die USA erklärt Cloudflare, sich auf den Datenschutzrahmen EU—USA und, falls die Zertifizierung ausläuft oder unwirksam ist, auf Standardvertragsklauseln mit ergänzenden Maßnahmen gemäß dem Cloudflare Customer DPA zu stützen.

Unsere E-Mail, unsere Kundendaten und unser Kalender für Demo-Buchungen werden von Zoho in den USA gehostet. Übermittlungen an Zoho unterliegen den Garantien nach Kapitel V DSGVO.

Stripe Payments Europe hat seinen Sitz in Irland, Stripe kann Abrechnungs- und Zahlungsdaten jedoch in anderen Ländern verarbeiten. Stripe gibt an, die jeweils anwendbaren rechtmäßigen Übermittlungsmechanismen, einschließlich Angemessenheitsbeschlüssen und Standardvertragsklauseln, gemäß der Stripe-Datenverarbeitungsvereinbarung einzusetzen.

12. Bewerberinnen und Bewerber #

Wenn Sie sich bei uns auf eine Stelle bewerben (zum Beispiel per E-Mail an careers@ethicsportal.eu), erheben und verarbeiten wir:

• Ihren Namen und Ihre Kontaktdaten
• Ihren Lebenslauf, Ihr Bewerbungsschreiben und alles, was Sie uns über Ihre Erfahrung mitteilen möchten
• Notizen aus Gesprächen oder Interviews während des Bewerbungsverfahrens

Rechtsgrundlage: Die Verarbeitung ist zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin erforderlich sowie durch unser berechtigtes Interesse an der Bewertung von Bewerbern und der Durchführung eines fairen Auswahlverfahrens gedeckt. Wir fragen keine besonderen Kategorien personenbezogener Daten (wie Gesundheit, Religion oder Gewerkschaftszugehörigkeit) und keine Gehaltshistorie aus früheren Anstellungen ab und bitten Sie, solche nicht zu übermitteln.

Aufbewahrung: Wir bewahren Bewerbungsdaten nur so lange auf, wie es zur Prüfung Ihrer Bewerbung und zur Besetzung der Stelle erforderlich ist. Werden Sie nicht eingestellt, löschen wir Ihre Bewerbungsdaten nach Abschluss des Verfahrens, es sei denn, Sie bitten uns, sie für künftige Stellen aufzubewahren; in diesem Fall speichern wir sie bis zu 12 Monate.

Ihnen stehen hinsichtlich Ihrer Bewerbungsdaten dieselben Rechte nach der DSGVO zu wie in Abschnitt 8 beschrieben. Um sie auszuüben oder die Löschung Ihrer Bewerbung zu verlangen, schreiben Sie an privacy@ethicsportal.eu.

13. Änderungen dieser Erklärung #

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen informieren wir Sie per E-Mail oder über eine Benachrichtigung im Dienst. Das Datum „Zuletzt aktualisiert" oben auf dieser Seite zeigt, wann die Erklärung zuletzt geändert wurde.

Diese Erklärung ist ein Hinweis und kein Vertrag; sie bedarf keiner Zustimmung. Änderungen gelten ab dem angegebenen Gültigkeits- oder Aktualisierungsdatum, vorbehaltlich der nach anwendbarem Recht erforderlichen Mitteilungen.

14. Kontakt #

Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Datenschutzrechte:

Allgemein: support@ethicsportal.eu Datenschutz und DSGVO-Rechte: privacy@ethicsportal.eu Datenschutzkontakt: privacy@ethicsportal.eu Sicherheitsmeldungen: security@ethicsportal.eu Recht und DPA: legal@ethicsportal.eu Standort: Warschau, Polen

Zuletzt aktualisiert: 30. Oktober 2026