Datenschutzerklärung

Stand: 15. August 2026

Diese Datenschutzerklärung informiert darüber, wie die ZEBROS GmbH personenbezogene Daten beim Besuch von www.zebros.de, bei der Nutzung der Profil- und Dossier-Funktionen über zebros-api.zebroverse.com, beim Login über id.zebroverse.com und bei der Kontaktaufnahme verarbeitet.

1. Verantwortlicher und Datenschutzkontakt

ZEBROS GmbH
Alpenblick 7
88529 Zwiefalten
Deutschland

Telefon: +49 7373 915 919 2
E-Mail: datenschutz@zebros.de

Über diese Kontaktdaten können Sie Fragen zum Datenschutz stellen und Ihre Rechte als betroffene Person ausüben.

2. Bereitstellung von Website und API

Bei jedem Abruf unserer Website oder API verarbeitet die technische Infrastruktur die für die Übertragung und Absicherung erforderlichen Verbindungsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufener Host und Pfad, Referrer, Browser- und Betriebssysteminformationen, HTTP-Status, übertragene Datenmenge sowie eine Anfragekennung gehören.

Wir verarbeiten diese Daten, um Inhalte auszuliefern, Angriffe und Missbrauch abzuwehren, Fehler zu analysieren und Verfügbarkeit sowie Integrität unserer Dienste sicherzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen im sicheren und zuverlässigen Betrieb unseres digitalen Angebots. Ohne die technische Verarbeitung der Verbindungsdaten kann der jeweilige Dienst nicht bereitgestellt werden.

Für Hosting, Content Delivery, API-Betrieb und Datenbanken setzen wir Amazon Web Services ein. Vertragspartner ist grundsätzlich Amazon Web Services EMEA SARL, Luxemburg. Die statischen Ursprungsdaten und die primären Anwendungsdaten werden in der AWS-Region Frankfurt verarbeitet. Das globale Content-Delivery-Netz kann Anfragen an einen geografisch nahen AWS-Standort leiten. Dabei kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden. Soweit erforderlich, stützt sie sich auf einen Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln.

Von uns erzeugte Anwendungs- und Sicherheitsprotokolle werden grundsätzlich nach 14 Tagen gelöscht. Eine längere Aufbewahrung erfolgt nur, soweit ein konkreter Sicherheitsvorfall untersucht, ein Rechtsanspruch verfolgt oder eine gesetzliche Pflicht erfüllt werden muss.

3. Lokale Einstellungen und technisch erforderliche Cookies

Auf den öffentlichen Inhaltsseiten verwenden wir keine Analyse-, Werbe- oder Tracking-Cookies. Für die von Ihnen gewählte Sprache und Farbdarstellung speichert Ihr Browser die Werte zebros-lang und zebros-theme lokal auf Ihrem Endgerät. Diese Werte enthalten keine von ZEBROS vergebene Nutzerkennung und werden nicht von sich aus an uns übermittelt. Sie können sie über die Website ändern oder in den Browsereinstellungen löschen.

Wenn Sie sich für geschützte Profil- oder Dossier-Inhalte anmelden, setzt die API zwei technisch erforderliche Cookies: zebros_session enthält eine zufällige Sitzungskennung und ist für JavaScript nicht lesbar; zebros_csrf schützt ändernde Anfragen vor Fälschung. Beide Cookies werden verschlüsselt übertragen, sind auf die API begrenzt und laufen grundsätzlich nach acht Stunden ab.

Die Speicherung beziehungsweise der Zugriff auf diese Einstellungen und Cookies ist gemäß § 25 Abs. 2 Nr. 2 TDDDG erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Soweit dabei personenbezogene Daten verarbeitet werden, beruht dies auf Art. 6 Abs. 1 lit. b DSGVO, wenn die Nutzung mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, und im Übrigen auf Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind eine konsistente Bedienung, sichere Sitzungen und der Schutz unserer Dienste.

4. Login, Nutzerkonto und Zugriffssteuerung

Der Login erfolgt über den von ZEBROS betriebenen Identitätsdienst unter id.zebroverse.com. Beim Login werden insbesondere eine eindeutige Kennung des Identitätsanbieters, Nutzerkennung, verifizierte E-Mail-Adresse, Anzeigename und Sitzungskennung verarbeitet. Ihr Passwort erhält die Profil- und Dossier-API nicht.

Für das Nutzerkonto und die Zugriffssteuerung verarbeiten wir außerdem Anwendungsrollen, beantragte und erteilte Berechtigungen, betroffene Ressourcen, den angegebenen Zugriffszweck, Begründungen und Entscheidungen sowie Sicherheits- und Berechtigungsereignisse. Dies dient der Anmeldung, der rollen- und ressourcenbezogenen Freigabe, der Bearbeitung von Zugriffsanträgen, der Verhinderung unbefugter Offenlegung und dem Nachweis von Berechtigungsentscheidungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit wir damit einen von Ihnen angeforderten oder vertraglich vereinbarten Dienst erbringen. Im Übrigen verarbeiten wir diese Daten gemäß Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der kontrollierte Zugang zu nichtöffentlichen Informationen, IT-Sicherheit und nachvollziehbare Freigabeentscheidungen.

Vorübergehende Login-Daten verlieren nach etwa fünf Minuten, serverseitige Sitzungen grundsätzlich nach acht Stunden ihre Gültigkeit; ein Logout oder zentraler Sitzungswiderruf beendet sie früher. Identitäts- und Rollenzuordnungen speichern wir für die Dauer des Nutzerkontos. Zugriffsanträge, Freigaben und zugehörige Nachweise speichern wir, solange dies für die Berechtigungsverwaltung, Sicherheitsprüfung oder Verteidigung von Rechtsansprüchen erforderlich ist; regelmäßig nicht länger als bis zum Ende des dritten Kalenderjahres nach Abschluss des Vorgangs. Gesetzliche Pflichten oder ein konkreter Sicherheits- oder Rechtsfall können eine längere Speicherung erfordern.

Die Zugriffssteuerung prüft Berechtigungsregeln automatisiert. ZEBROS trifft dabei keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO.

5. Personenbezogene Inhalte in Profilen und Dossiers

Profile und Projektdossiers können personenbezogene berufliche Informationen enthalten, etwa Name oder Pseudonym, Rolle, Qualifikationen, Erfahrung, berufliche Stationen, Projektbeiträge und Beziehungen zwischen Personen und Projekten. Die Daten stammen von der betroffenen Person, aus ZEBROS-Projektunterlagen oder aus freigegebenen beruflichen Quellen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht für die Veröffentlichung vorgesehen.

Soweit wir personenbezogene Daten nicht direkt bei der betroffenen Person erheben, informieren wir sie nach Maßgabe des Art. 14 DSGVO gesondert, sofern keine gesetzliche Ausnahme greift. Eine technische Freigabestufe ersetzt diese Information nicht.

Wir verarbeiten diese Inhalte, um berufliche Erfahrung nachvollziehbar darzustellen, Projekt- und Beratungsleistungen zu belegen und geeignete Expertise für geschäftliche Anfragen zuzuordnen. Rechtsgrundlage kann je nach Beziehung und Inhalt Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO sein. Unsere berechtigten Interessen liegen in der sachlichen Darstellung eigener Leistungen und beruflicher Expertise. Vor einer Veröffentlichung prüfen wir die vorgesehene Sichtbarkeit und entgegenstehende Interessen.

Je nach Freigabestufe sind Inhalte öffentlich, nur für angemeldete Nutzer oder ausschließlich für individuell berechtigte Personen sichtbar. Ein Zugriff auf einen verknüpften Inhalt entsteht nicht automatisch durch den Zugriff auf ein Profil oder Dossier. Inhalte bleiben gespeichert, solange sie für den beschriebenen Zweck erforderlich, fachlich aktuell und zur jeweiligen Sichtbarkeit freigegeben sind. Freigaben, Widerrufe, vertragliche Pflichten und gesetzliche Aufbewahrungsgründe werden dabei berücksichtigt.

6. Kontaktaufnahme

Wenn Sie uns per E-Mail oder telefonisch kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht und die zur Bearbeitung erforderlichen Begleitinformationen. Die Verarbeitung erfolgt zur Beantwortung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag oder vorvertragliche Maßnahmen geht, und ansonsten Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Geschäftskommunikation.

Für E-Mail und Kalender nutzen wir Microsoft 365. Auftragsverarbeiter ist grundsätzlich Microsoft Ireland Operations Limited, Irland. Eine Verarbeitung durch verbundene Unternehmen oder Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums kann nicht vollständig ausgeschlossen werden. Soweit erforderlich, erfolgt sie auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere Standardvertragsklauseln.

Wir löschen Anfragen, wenn sie abschließend bearbeitet sind und keine weitere Aufbewahrung erforderlich ist. Soweit eine Nachricht Bestandteil einer geschäftlichen oder steuerlich relevanten Korrespondenz ist, gelten die gesetzlichen Aufbewahrungsfristen. Eine längere Speicherung kann außerdem zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein.

7. Empfänger und internationale Übermittlungen

Innerhalb von ZEBROS erhalten nur Personen Zugriff, die ihn für ihre Aufgabe benötigen. Wir setzen sorgfältig ausgewählte Auftragsverarbeiter für Hosting, Identitätsverwaltung, IT-Betrieb und Kommunikation ein. Darüber hinaus geben wir Daten nur weiter, wenn dies für einen Vertrag erforderlich ist, eine gesetzliche Pflicht besteht, Sie eingewilligt haben oder unsere beziehungsweise die Rechte Dritter dies auf einer anderen gesetzlichen Grundlage erlauben.

Wir verkaufen keine personenbezogenen Daten und übermitteln sie nicht an Werbenetzwerke. Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums verwenden wir die nach Kapitel V DSGVO vorgesehenen Instrumente, insbesondere Angemessenheitsbeschlüsse und Standardvertragsklauseln, und treffen soweit erforderlich zusätzliche Schutzmaßnahmen.

8. Externe Links, Schriften und eingebettete Dienste

Links zu LinkedIn, YouTube oder anderen externen Angeboten sind einfache Verweise. Beim bloßen Laden unserer Seite wird über diese Links keine Verbindung zum jeweiligen Anbieter hergestellt. Erst wenn Sie einen Link öffnen, erhält der externe Anbieter technisch erforderliche Verbindungsdaten und verarbeitet diese nach eigener Verantwortung.

Die auf der Website verwendeten Schriften werden von unserer eigenen Infrastruktur ausgeliefert. Wir laden keine Schriften von Google-Servern. Wir verwenden derzeit keine Webanalyse, keine Werbetracker, keine Social-Media-Plug-ins und keine eingebettete Google-Maps-Karte.

9. Datensicherheit

Wir übertragen Website- und API-Inhalte verschlüsselt über HTTPS. Darüber hinaus setzen wir angemessene technische und organisatorische Maßnahmen ein, insbesondere Zugriffsbeschränkungen, getrennte Berechtigungsbereiche, sichere Sitzungen, Verschlüsselung, Protokollierung sicherheitsrelevanter Vorgänge sowie Datensicherung. Die Maßnahmen werden entsprechend Risiko und technischem Stand weiterentwickelt.

10. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO und Datenübertragbarkeit nach Art. 20 DSGVO. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Wenn wir Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO Widerspruch einlegen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@zebros.de. Damit wir keine Daten an Unbefugte herausgeben, können wir einen geeigneten Identitätsnachweis verlangen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für ZEBROS ist insbesondere zuständig:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Website: www.baden-wuerttemberg.datenschutz.de

11. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die für den technischen Abruf erforderlichen Verbindungsdaten müssen verarbeitet werden, damit Website und API funktionieren. Angaben bei einer Kontaktaufnahme sind freiwillig; ohne eine erreichbare Kontaktmöglichkeit können wir Ihre Anfrage gegebenenfalls nicht beantworten. Für einen Login und einen Zugriffsantrag sind die als erforderlich gekennzeichneten Identitäts- und Antragsdaten notwendig. Eine gesetzliche Pflicht, uns darüber hinaus Daten bereitzustellen, besteht grundsätzlich nicht.

Wir verwenden Ihre Daten nicht für Profiling und treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

12. Aktualisierung dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Dienste, Datenflüsse oder rechtlichen Anforderungen ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.

Last updated: 15 August 2026

This Privacy Notice explains how ZEBROS GmbH processes personal data when you visit www.zebros.de, use the profile and dossier functions through zebros-api.zebroverse.com, sign in through id.zebroverse.com, or contact us.

English translation
This English version is provided for convenience. The German version is the authoritative legal text.

1. Controller and privacy contact

ZEBROS GmbH
Alpenblick 7
88529 Zwiefalten
Germany

Telephone: +49 7373 915 919 2
Email: datenschutz@zebros.de

You may use these contact details to ask privacy questions and exercise your rights as a data subject.

2. Delivery of the website and API

Whenever our website or API is accessed, the technical infrastructure processes the connection data required to transmit and secure the service. This may include, in particular, the IP address, date and time, requested host and path, referrer, browser and operating-system information, HTTP status, transferred data volume, and a request identifier.

We process these data to deliver content, prevent attacks and misuse, analyse errors, and safeguard the availability and integrity of our services. The legal basis is Article 6(1)(f) GDPR. Our legitimate interests are the secure and reliable operation of our digital services. The relevant service cannot be delivered without the technical processing of connection data.

We use Amazon Web Services for hosting, content delivery, API operation, and databases. The contracting entity is generally Amazon Web Services EMEA SARL, Luxembourg. Static origin data and primary application data are processed in the AWS Frankfurt Region. The global content-delivery network may route requests to a geographically nearby AWS location. Processing outside the European Economic Area therefore cannot be excluded entirely. Where required, it is based on an adequacy decision or appropriate safeguards, in particular Standard Contractual Clauses.

Application and security logs generated by us are generally deleted after 14 days. They are retained for longer only where necessary to investigate a specific security incident, pursue a legal claim, or comply with a legal obligation.

3. Local preferences and strictly necessary cookies

We do not use analytics, advertising, or tracking cookies on the public content pages. To retain your selected language and colour scheme, your browser stores the values zebros-lang and zebros-theme locally on your device. These values do not contain a user identifier assigned by ZEBROS and are not transmitted to us by themselves. You can change them through the website or delete them in your browser settings.

When you sign in to access protected profile or dossier content, the API sets two strictly necessary cookies: zebros_session contains a random session identifier and cannot be read by JavaScript; zebros_csrf protects requests that change data against forgery. Both cookies are transmitted in encrypted form, are limited to the API, and generally expire after eight hours.

Storing or accessing these settings and cookies is necessary under section 25(2), no. 2 TDDDG to provide the digital service you expressly requested. Where personal data are processed, the legal basis is Article 6(1)(b) GDPR if the use relates to a contract or pre-contractual measures, and otherwise Article 6(1)(f) GDPR. Our legitimate interests are consistent operation, secure sessions, and the protection of our services.

4. Sign-in, user account, and access control

Sign-in is performed through the identity service operated by ZEBROS at id.zebroverse.com. During sign-in, we process in particular a unique identity-provider identifier, user identifier, verified email address, display name, and session identifier. The profile and dossier API does not receive your password.

For user accounts and access control, we also process application roles, requested and granted permissions, affected resources, the stated purpose of access, reasons and decisions, and security and authorization events. This enables sign-in, role- and resource-based access, the handling of access requests, prevention of unauthorized disclosure, and evidence of authorization decisions.

The legal basis is Article 6(1)(b) GDPR where we provide a service requested by you or agreed by contract. Otherwise, we process these data under Article 6(1)(f) GDPR. Our legitimate interests are controlled access to non-public information, IT security, and traceable access decisions.

Temporary sign-in data cease to be valid after approximately five minutes. Server-side sessions generally cease to be valid after eight hours; logout or central session revocation ends them sooner. Identity and role assignments are stored for the life of the user account. Access requests, grants, and related records are stored for as long as necessary for access management, security review, or the defence of legal claims, generally no longer than until the end of the third calendar year after the matter is closed. Legal obligations or a specific security or legal matter may require longer retention.

Access control evaluates authorization rules automatically. ZEBROS does not make a solely automated decision producing legal or similarly significant effects within the meaning of Article 22 GDPR.

5. Personal data in profiles and dossiers

Profiles and project dossiers may contain professional personal information such as a name or pseudonym, role, qualifications, experience, career history, project contributions, and relationships between persons and projects. The data originate from the data subject, ZEBROS project records, or approved professional sources. Special categories of personal data under Article 9 GDPR are not intended for publication.

Where we do not obtain personal data directly from the data subject, we provide separate information in accordance with Article 14 GDPR unless a statutory exception applies. A technical disclosure level does not replace this information.

We process this content to present professional experience in a traceable way, provide evidence of project and consulting work, and match suitable expertise to business enquiries. Depending on the relationship and content, the legal basis may be Article 6(1)(a) GDPR (consent), Article 6(1)(b) GDPR (contract or pre-contractual measures), or Article 6(1)(f) GDPR. Our legitimate interests are the factual presentation of our work and professional expertise. Before publication, we assess the intended visibility and conflicting interests.

Depending on its approved disclosure level, content is visible publicly, only to signed-in users, or exclusively to individually authorized persons. Access to a linked item is not granted automatically through access to a profile or dossier. Content is stored for as long as it remains necessary for the stated purpose, professionally current, and approved for the relevant visibility. Approvals, withdrawals, contractual obligations, and statutory retention grounds are taken into account.

6. Contacting us

If you contact us by email or telephone, we process your contact details, the content of your message, and the accompanying information needed to handle it. The purpose is to respond to your enquiry. The legal basis is Article 6(1)(b) GDPR where a contract or pre-contractual measures are concerned, and otherwise Article 6(1)(f) GDPR. Our legitimate interest is appropriate business communication.

We use Microsoft 365 for email and calendars. The processor is generally Microsoft Ireland Operations Limited, Ireland. Processing by affiliated companies or subprocessors outside the European Economic Area cannot be excluded entirely. Where required, it is based on an adequacy decision or appropriate safeguards, in particular Standard Contractual Clauses.

We delete enquiries once they have been fully handled and no further retention is required. If a message forms part of business or tax-relevant correspondence, statutory retention periods apply. Longer storage may also be necessary to establish, exercise, or defend legal claims.

7. Recipients and international transfers

Within ZEBROS, access is limited to persons who need the data for their work. We use carefully selected processors for hosting, identity management, IT operations, and communications. We disclose data beyond this only where required for a contract, required by law, based on your consent, or permitted on another legal basis to protect our rights or those of third parties.

We do not sell personal data or disclose them to advertising networks. For transfers outside the European Economic Area, we use the mechanisms provided for in Chapter V GDPR, in particular adequacy decisions and Standard Contractual Clauses, and implement additional safeguards where required.

8. External links, fonts, and embedded services

Links to LinkedIn, YouTube, or other external services are ordinary links. Merely loading our page does not connect your browser to those providers through these links. Only when you open a link does the external provider receive the technically necessary connection data and process them under its own responsibility.

The fonts used on the website are delivered from our own infrastructure. We do not load fonts from Google servers. We currently use no web analytics, advertising trackers, social-media plug-ins, or embedded Google Maps.

9. Data security

We transmit website and API content in encrypted form using HTTPS. We also use appropriate technical and organisational measures, including access restrictions, separated authorization areas, secure sessions, encryption, logging of security-relevant events, and backups. These measures are developed in line with the risk and the state of the art.

10. Your rights

Subject to the applicable legal requirements, you have the right of access under Article 15 GDPR, rectification under Article 16 GDPR, erasure under Article 17 GDPR, restriction of processing under Article 18 GDPR, and data portability under Article 20 GDPR. You may withdraw consent at any time with effect for the future. This does not affect the lawfulness of processing carried out before withdrawal.

Where we process data on the basis of legitimate interests, you may object under Article 21 GDPR on grounds relating to your particular situation.

To exercise your rights, contact datenschutz@zebros.de. To prevent disclosure to an unauthorized person, we may request suitable proof of identity.

You also have the right to lodge a complaint with a data-protection supervisory authority. The authority particularly responsible for ZEBROS is:
The State Commissioner for Data Protection and Freedom of Information Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Website: www.baden-wuerttemberg.datenschutz.de

11. Requirement to provide data and automated decisions

The connection data required for technical delivery must be processed for the website and API to work. Information provided when contacting us is voluntary; without a means of contacting you, we may be unable to respond. The identity and request data marked as required are necessary for sign-in and access requests. As a rule, you are under no legal obligation to provide additional data.

We do not use your data for profiling and do not make solely automated decisions producing legal or similarly significant effects.

12. Updates to this Privacy Notice

We update this Privacy Notice when our services, data flows, or legal requirements change. The version published on this page is the current version.