Diese Datenschutzhinweise beschreiben die aktuell im Projekt angelegten Datenflüsse deutlich konkreter:
Kontaktanfragen, Berater- und Partneraccounts, Vertrags- und Dokumenten-Uploads, Lead-Prozesse, interne
Reports, KI-gestützte Voranalyse und die Dokumentation im geschützten Backoffice.
1. Verantwortlicher
JOY - alles außer langweilig GmbH
Nuthestr. 36a, 14959 Trebbin, Deutschland
E-Mail: kontakt@exit-intelligence.de
2. Kategorien der verarbeiteten Daten
Stammdaten und Kontaktdaten von Interessenten, Verkäufern, Beratern, Investoren, Käufern und Ansprechpartnern.
Unternehmens- und Projektdaten wie Branche, Unternehmensgröße, Regionen, Verkaufsabsicht, Finanzierungsrahmen, Deal-Fokus und Kapazitäten.
Account- und Vertragsdaten wie Zugangsdaten, Login-Daten, Vertragsstatus, hochgeladene Vertragsunterlagen und Freigaben.
Upload- und Dokumentendaten wie PDF-, Office-, Bild- und Tabellen-Dateien aus dem Due-Diligence- / Bewertungsprozess.
Abgeleitete Analyse- und Reportdaten wie fehlende Dokumentenkategorien, Risikohinweise, Klauselhinweise, Priorisierung, Lead-Status und interne Notizen.
3. Hosting, Server-Logs und technische Sicherheit
Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungs- und Zugriffsdaten, insbesondere
IP-Adresse, Zeitstempel, URL, Browserdaten und Fehlermeldungen. Diese Daten sind erforderlich, um die Website
sicher bereitzustellen, Angriffe zu erkennen und Störungen zu beheben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
Berechtigtes Interesse: sicherer Betrieb, Missbrauchsabwehr, Stabilität und Fehleranalyse
4. Sessions, Formularschutz und Zugriffskontrolle
Die Anwendung nutzt technisch notwendige Sessions, CSRF-Schutz, Basic-Auth für interne Bereiche und weitere
Sicherheitsmechanismen, um Portale, Formulare und interne Übersichten abzusichern.
Beim Kontaktformular werden Name, E-Mail-Adresse, Unternehmen, Rolle, Unternehmensgröße, Zeitplanung und
Nachricht verarbeitet. Zusätzlich wird dokumentiert, ob eine optionale Freigabe für die Berücksichtigung im
M&A-Netzwerk erteilt wurde.
Verarbeitungszwecke: Bearbeitung der Anfrage, vorvertragliche Kommunikation, Lead-Dokumentation, Missbrauchsabwehr
Speicherort im Projekt: dateibasierte Lead- und Kontaktprotokolle unter data/
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO
6. Due-Diligence- / Bewertungsportal und Upload-Verarbeitung
Bei Nutzung des Due-Diligence- bzw. Bewertungsportals werden strukturierte Intake-Daten, Paketwahl,
hochgeladene Dokumente, Einwilligungen, optionale Netzwerkfreigaben sowie automatisch erzeugte Prüfhinweise
verarbeitet. Zu den Uploads gehören insbesondere Jahresabschlüsse, BWAs, Verträge, Organigramme, Mitarbeiterlisten
oder sonstige unternehmensbezogene Dokumente.
Abgeleitete Daten: Dokumentenlisten, Kategorien, Erkennungsfehler, Textauszüge, Risikohinweise, Klausel- und Finanzsignale, Management- und Rechts-Flags.
Empfänger intern: nur berechtigte interne Bearbeiter und Administratoren mit geschütztem Zugriff.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, bei sensibler Betriebsorganisation ergänzend Art. 6 Abs. 1 lit. f DSGVO.
7. KI-Auswertung und automatisierte Vorstrukturierung
Die Plattform erstellt aus Dokumenten und Eingaben strukturierte Voranalysen, etwa Finanz-, Management-,
Vertrags- und Risikoindikatoren, Listen fehlender Unterlagen oder interne Zusammenfassungen. Diese Auswertungen
dienen der Vorbereitung menschlicher Prüfung und Entscheidung.
Kein vollautomatischer Vertrags- oder Deal-Entscheidungsprozess im Sinne von Art. 22 DSGVO
Zweck: Priorisierung, interne Vorprüfung, bessere Übergabe an Analysten, Berater und Partner
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO
8. Interne Reports, Lead-Status und Notizen
Für eingehende Leads und Upload-Projekte werden interne Reports, Statusverläufe, Notizen, Zahlungsstände,
Dokumentationsvermerke und Erinnerungen geführt. Dazu zählen auch Informationen über fehlende Unterlagen,
Review-Fortschritt, Vertragsklauselhinweise oder Kommunikationsstände.
Zweck: Bearbeitungssteuerung, Qualitätssicherung, Nachvollziehbarkeit und Schutz vor Informationsverlust
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; bei konkreten Vertragsbezügen zusätzlich Art. 6 Abs. 1 lit. b DSGVO
9. Beraterportal
Im Beraterportal werden Registrierungs- und Profildaten wie Name, Unternehmen, Beruf, Telefonnummer,
Rechtsadresse, Abrechnungsdaten, Steuer-ID, IBAN, Fokusregionen, Fachschwerpunkte, Passwortdaten sowie
vermittelte Leads und Vertragsstatus verarbeitet.
Zwecke: Accountverwaltung, Kooperationsanbahnung, Lead-Einreichung, Vertragsdokumentation, Abrechnung und interne Compliance.
Zusätzliche Datenflüsse: Upload und Download von Kooperationsverträgen, interne Prüfung und Statuspflege durch das Backoffice.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO.
10. M&A-Partner-Portal
Im Partnerportal werden Registrierungsdaten, Unternehmen, Rolle, Teamgröße, Regionen, Fokusbranchen,
Ticketgrößen, Kapazitäten, Finanzierungsnachweise, gewünschte Leads, Nachrichten, Reservierungen und
Freischaltungsstände verarbeitet.
Zwecke: Verifikation von Käufern und Partnern, Lead-Freigabe, Marktmonitor-Zugang, Reservierungsverwaltung, Abo- und Gebührensteuerung.
Weitere Verarbeitungen: Dokumentation von Premium-Upgrades, Lead-Reservierungen, Success-Fee-Bezügen und Compliance-Prüfungen.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.
11. Vertragsuploads und Vertragsverwaltung
Hochgeladene Kooperationsverträge, Rahmenverträge, NDAs und sonstige Vertragsdateien werden im geschützten
System gespeichert, mit Metadaten versehen und den betroffenen Accounts oder Projekten zugeordnet.
Zweck: Nachweis der Vertragslage, Download für Berechtigte, interne Freigabe- und Statussteuerung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
12. Lead-Weitergabe und Netzwerkfreigabe
Eine Weitergabe nicht öffentlicher Projekt- oder Unternehmensdaten an Käufer, Investoren, Partner oder externe
Berater erfolgt nur nach passender Rechtsgrundlage. Das kann eine ausdrückliche Einwilligung, eine konkrete
Vertragsanbahnung oder eine gesonderte Freigabe innerhalb des Prozesses sein.
Rechtsgrundlagen je nach Fall: Art. 6 Abs. 1 lit. a DSGVO oder Art. 6 Abs. 1 lit. b DSGVO
Vor einer weitergehenden Offenlegung können zusätzliche NDAs oder Rahmenverträge erforderlich sein.
13. Empfänger und Dienstleister
Empfänger sind primär interne Stellen. Hinzukommen können Hosting- und Infrastrukturpartner, E-Mail- oder
Sicherheitsdienste sowie berechtigte Berater, Käufer oder Investoren, soweit dies für den jeweiligen Prozess
erforderlich und freigegeben ist.
Vor Live-Betrieb sollten sämtliche tatsächlich eingesetzten Auftragsverarbeiter, externen Postfächer,
Backup-Ziele, OCR- oder KI-Dienste und deren Rechtsgrundlagen in dieser Liste konkret ergänzt werden.
14. Speicherdauer
Kontakt- und Erstanfragedaten: bis zur Erledigung der Anfrage und darüber hinaus, soweit Nachverfolgung oder gesetzliche Pflichten dies erfordern.
Portal- und Vertragsdaten: für die Laufzeit des Accounts bzw. Vertrags und anschließend nach Maßgabe handels- und steuerrechtlicher Aufbewahrungspflichten.
Due-Diligence-Uploads und Reports: grundsätzlich nur so lange, wie der Prüf- und Dokumentationszweck besteht; danach Löschung oder Archivierung nach berechtigtem Bedarf und Rechtslage.
Interne Protokolle, Sicherheits- und Missbrauchsdaten: nach Erforderlichkeit für Sicherheit, Integrität und Nachweisführung.
15. Drittlandübermittlungen
Nach dem aktuell sichtbaren Stand der öffentlichen Website sind keine Tracking- oder Marketingdienste eingebunden.
Sofern künftig externe OCR-, KI-, Mail- oder Cloud-Dienste mit Sitz außerhalb der EU bzw. des EWR eingesetzt werden,
sind diese Datenschutzhinweise vor Produktivnutzung entsprechend zu ergänzen.
16. Rechte betroffener Personen
Auskunft gemäß Art. 15 DSGVO
Berichtigung gemäß Art. 16 DSGVO
Löschung gemäß Art. 17 DSGVO
Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
Beschwerde bei einer Datenschutzaufsichtsbehörde gemäß Art. 77 DSGVO
17. Pflicht zur Bereitstellung
Ohne die jeweils erforderlichen Angaben können Portalkonten, Vertragsbeziehungen, Lead-Prüfungen, Upload-Analysen
oder Rückmeldungen unter Umständen nicht sinnvoll durchgeführt werden. Eine gesetzliche Pflicht zur Bereitstellung
besteht nur, soweit sie sich aus konkreten Nachweis-, Handels- oder Steuerpflichten ergibt.