Datenschutzerklärung

Stand: Oktober 2026. Gilt für die Website und das Portal x2kontakte.de sowie den Dienst x2kontakte.

1. Verantwortlicher

xperts2 GmbH, Kinzenbacher Straße 15, 35435 Wettenberg, Deutschland
E-Mail: info@xperts2.de, Telefon +49 641 20103610
Weitere Angaben im Impressum.

2. Überblick

x2kontakte verteilt zentrale Kontakte eines Unternehmens in die Exchange-Online-Postfächer seiner Mitarbeiter. Dafür gibt es zwei Bereiche mit unterschiedlicher Verantwortung:

• Website und Portal (Abschnitte 3 bis 7): Hier sind wir Verantwortlicher im Sinne der DSGVO.
• Der Kontaktabgleich selbst (Abschnitt 8): Hier verarbeiten wir Daten im Auftrag unserer Kunden (Art. 28 DSGVO). Verantwortlich ist das jeweilige Kundenunternehmen; die Einzelheiten regelt der Vertrag zur Auftragsverarbeitung.

Wir setzen keine Analyse- oder Werbedienste ein, binden keine Inhalte Dritter ein und laden Schriften ausschließlich von unserem eigenen Server.

3. Hosting

Website, Portal und Dienst laufen auf einem eigenen Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Hetzner verarbeitet die Daten als Auftragsverarbeiter. Die Namensauflösung (DNS) der Domain erfolgt über Cloudflare, Inc.; der Datenverkehr selbst läuft nicht über Cloudflare.

4. Server-Protokolle

Bei jedem Aufruf speichert der Webserver IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Zweck ist der sichere und stabile Betrieb, insbesondere die Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht. Technische Protokolle der Anwendung (zum Beispiel fehlgeschlagene Anmeldungen mit Anmeldenamen) löschen wir nach 30 Tagen.

5. Anmeldung am Portal

Die Anmeldung erfolgt über Microsoft Entra ID mit dem Microsoft-365-Konto Ihres Unternehmens. Die Eingabe Ihres Kennworts findet ausschließlich bei Microsoft statt. Wir erhalten von Microsoft Ihren Namen, Ihren Anmeldenamen (in der Regel Ihre E-Mail-Adresse), die Kennung Ihres Microsoft-365-Mandanten und Ihre Rolle im Portal. Für die Anmeldung gelten zusätzlich die Datenschutzbestimmungen von Microsoft und die Einstellungen Ihres Unternehmens.

Rechtsgrundlage ist die Erfüllung des Vertrags mit Ihrem Arbeitgeber bzw. unser berechtigtes Interesse an einem sicheren, nur für Berechtigte zugänglichen Portal (Art. 6 Abs. 1 lit. b und f DSGVO).

Cookies

Das Portal setzt ausschließlich technisch notwendige Cookies: ein Anmelde-Cookie für die Dauer der Sitzung, kurzlebige Cookies für den Anmeldevorgang bei Microsoft und ein Cookie zum Schutz von Formularen vor Missbrauch. Es gibt keine Tracking- oder Werbe-Cookies; eine Einwilligung ist deshalb nicht erforderlich (§ 25 Abs. 2 TDDDG).

App auf dem Startbildschirm

Das Portal lässt sich als App auf dem Startbildschirm ablegen. Dabei speichert Ihr Browser lediglich Programmbestandteile wie Schriften, Bilder und eine Offline-Hinweisseite. Daten aus dem Portal werden nicht auf Ihrem Gerät zwischengespeichert.

6. Was wir im Portal speichern

• Protokoll: Welcher angemeldete Benutzer wann welche Aktion ausgelöst hat (zum Beispiel Abgleich starten, pausieren, Empfänger ändern). Zweck: Nachvollziehbarkeit und Sicherheit (Art. 6 Abs. 1 lit. b und f DSGVO). Gespeichert für die Dauer des Vertrags.
• Letzte Anmeldung je Kundenunternehmen (Zeitpunkt, ohne Personenbezug).
• Änderungsanträge: Inhalt, Name und Anmeldename des Antragstellers, Bearbeitungsstand. Gespeichert für die Dauer des Vertrags.
• Online-Vertragsschluss: Name, Funktion und E-Mail-Adresse der Person, die den Vertrag annimmt, Zeitpunkt, IP-Adresse, Browserkennung und die angenommenen Fassungen der Unterlagen. Zweck: Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. b und c DSGVO). Gespeichert für die Dauer der gesetzlichen Aufbewahrungsfristen, auch nach Ende der Nutzung.
• Geänderte Nutzungsbedingungen: Empfänger und Zeitpunkt der Mitteilung, bei einer Antwort Zustimmung oder Widerspruch mit Name, Anmerkung, Zeitpunkt, IP-Adresse und Browserkennung. Zweck und Speicherdauer wie beim Online-Vertragsschluss.
• Ansprechpartner: E-Mail-Adresse des Administrators beim Kundenunternehmen, für Rückfragen und für die Bestätigung der Datenlöschung am Ende der Nutzung (Art. 6 Abs. 1 lit. b DSGVO). Gelöscht mit dem Ende der Nutzung.

Ende der Nutzung

Endet die Nutzung, entfernt x2kontakte die von ihm verteilten Kontakte aus den Postfächern. Anschließend löschen wir die personenbezogenen Daten des Kundenunternehmens oder anonymisieren sie (Postfachadressen, Verlauf, Alarm-Empfänger, Mails, Antragsteller, Protokoll). Aufbewahrt werden nur die Nutzungsnachweise für die Abrechnung (je Monat die Zahl der User und die Postfachadressen zum Höchststand), solange gesetzliche Aufbewahrungsfristen das verlangen (Art. 6 Abs. 1 lit. c DSGVO). Der Administrator des Kundenunternehmens erhält eine Bestätigung der Löschung.

7. Alarm- und Hinweis-Mails

Kundenunternehmen können Empfänger für Alarm-Mails eintragen. Wir speichern dafür E-Mail-Adresse, optional einen Namen, wer die Adresse eingetragen hat und wann sie bestätigt wurde. Eine Adresse bekommt erst Mails, nachdem sie über einen Link bestätigt wurde (Double-Opt-in); unbestätigte Links verfallen nach 7 Tagen. Empfänger können jederzeit entfernt werden. Außerdem informieren wir Antragsteller per Mail über die Bearbeitung ihrer Änderungsanträge.

Der Versand erfolgt über Microsoft 365 (Exchange Online) der xperts2 GmbH; Microsoft ist dabei Auftragsverarbeiter. Ein Verlauf der versendeten Mails (Empfänger, Betreff, Zeitpunkt) wird im Portal angezeigt; zugestellte Alarm- und Bestätigungsmails löschen wir nach einem Jahr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

8. Der Kontaktabgleich (Auftragsverarbeitung)

Im Auftrag des Kundenunternehmens liest x2kontakte die Kontakte aus einer festgelegten Quelle und schreibt sie in die Postfächer der festgelegten Mitarbeiter. Quelle ist entweder ein Postfach mit zentralen Kontakten oder das Verzeichnis des Kundenunternehmens in Microsoft 365 (Microsoft Entra ID). Der Zugriff erfolgt ausschließlich über die Schnittstelle Microsoft Graph. Auf Postfächer ist er durch Exchange-Berechtigungen auf genau die Quelle und die Empfänger beschränkt; das Verzeichnis liest x2kontakte nur, wenn es als Quelle gewählt ist, nur lesend und über eine eigene App.

Bei einer Verzeichnis-Quelle werden die Benutzer des Kundenunternehmens (alle aktiven Benutzer oder die Mitglieder einer gewählten Gruppe, ohne Gäste und gesperrte Konten) als Kontakte verteilt: Name, Mail-Adresse, Telefonnummern, Position, Abteilung, Firma, Büro und Geschäftsadresse, auf Wunsch des Kundenunternehmens auch das Profilfoto.

• Kontaktdaten (Namen, Firmen, Telefonnummern, Adressen, Fotos usw.) werden nur während eines Abgleichs im Arbeitsspeicher verarbeitet und nicht auf unserem Server gespeichert.
• Ausnahme Datenqualität: Fordert das Kundenunternehmen im Portal eine Prüfung der Quelle an, speichern wir die Hinweise mit dem Namen des betroffenen Kontakts (bei Kontakten ohne Namen die Firma oder die erste Mail-Adresse), ohne Telefonnummern, Adressen oder sonstige Inhalte. Der Bericht wird nach 7 Tagen gelöscht, bei einer neuen Prüfung sofort.
• Im Postfach trägt jeder verteilte Kontakt eine technische Kennzeichnung (Herkunft und Prüfsumme), damit x2kontakte nur seine eigenen Kontakte ändert oder löscht. Persönliche Kontakte der Mitarbeiter werden weder verändert noch gespeichert; im Portal erscheint nur ihre Anzahl.
• Auf unserem Server speichern wir je Abgleich die Postfachadressen, Zähler (angelegt, geändert, gelöscht) und Fehlermeldungen. Ergebnisse je Postfach löschen wir nach 90 Tagen; Adressen der Postfächer, die Kontakte erhalten haben, bis zum Ende des Vertrags, damit Kontakte später gezielt entfernt werden können.

9. Datensicherung

Die Datenbank des Portals wird täglich gesichert. Eine verschlüsselte Kopie liegt in einem Speicher der Hetzner Online GmbH in Deutschland; den Schlüssel zum Entschlüsseln hat nur die xperts2 GmbH, nicht der Server und nicht Hetzner. Sicherungen werden nach 14 Tagen gelöscht, tägliche Momentaufnahmen des Speichers nach 20 Tagen. Gelöschte Daten können daher bis zu 34 Tage in Sicherungen enthalten sein. Zusätzlich erstellt Hetzner Sicherungen des gesamten Servers, die nach spätestens sieben Tagen überschrieben werden.

10. Übermittlung in Drittländer

Wir selbst übermitteln keine Daten in Länder außerhalb der EU. Microsoft und Cloudflare sind US-Unternehmen und nach dem EU-US Data Privacy Framework zertifiziert. Die Verarbeitung durch Microsoft 365 richtet sich nach den Verträgen Ihres Unternehmens bzw. der xperts2 GmbH mit Microsoft.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an info@xperts2.de. Betrifft Ihre Anfrage den Kontaktabgleich (Abschnitt 8), wenden Sie sich bitte an Ihren Arbeitgeber; wir unterstützen ihn dabei.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

12. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.