Die DSGVO definiert den Verantwortlichen als die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Verantwortlicher zu sein beschränkt sich also nicht auf das bloße Erheben von Informationen: Es setzt voraus, zu entscheiden, warum diese Daten erhoben werden, wie lange sie aufbewahrt werden, wer Zugang zu ihnen hat und mit welchen Mitteln sie vor Verlust, Veränderung oder unbefugtem Zugriff geschützt werden. Lendovia handelt in dieser Eigenschaft für sämtliche hier beschriebenen Verarbeitungen: Simulationsformulare, Finanzierungsanträge, Erstellung und Verwaltung eines Kundenkontos.
Diese Einstufung ist mit einer Rechenschaftspflicht verbunden, die als Grundsatz der Rechenschaftspflicht („Accountability“) bekannt ist: Der Verantwortliche muss jederzeit, insbesondere gegenüber der CNIL, nachweisen können, dass seine Verarbeitungen den Grundsätzen der DSGVO entsprechen. Konkret erfolgt dies durch die Führung eines Verarbeitungsverzeichnisses, das jeden Zweck erfasst, die Durchführung von Datenschutz-Folgenabschätzungen, sofern das Risikoniveau dies rechtfertigt, sowie die Festlegung interner Sicherheitsverfahren und Verfahren zur Bearbeitung von Anträgen betroffener Personen.
Diese Richtlinie gilt für sämtliche Besucher, Interessenten und Kunden von Lendovia, unabhängig vom betroffenen Produkt (Privatkredit, revolvierender Kredit, Umschuldung, Restschuldversicherung). Ansprechpartner für alle Fragen zum Datenschutz ist der Datenschutzbeauftragte (DSB) von Lendovia, erreichbar über den Kundenbereich, Rubrik „Meine Daten und meine Privatsphäre“. Der DSB ist damit beauftragt, innerhalb der Organisation zu informieren, zu beraten und die Einhaltung der DSGVO zu überwachen; er ist der natürliche Ansprechpartner sowohl für die CNIL als auch für Sie selbst.
Der Umfang der Informationen, die Lendovia über Sie besitzt, ist nicht von vornherein festgelegt: Er wächst schrittweise, in dem Maße, wie Sie in Ihrem Antragsverfahren voranschreiten, und wir erheben niemals im Voraus Daten, für die wir noch keine Verwendung hätten. Dieser fortschreitende Umfang veranschaulicht konkret den in der DSGVO verankerten Grundsatz der Datenminimierung, wonach nur die für die jeweilige Phase relevanten Daten erhoben werden dürfen.
Wenn Sie unseren Kreditsimulator anonym besuchen, ohne irgendeine Kontaktangabe zu hinterlassen, besitzen wir keine Daten, die Sie unmittelbar identifizieren: Die getesteten Beträge, Laufzeiten und Zinssätze bleiben reine Berechnungsparameter ohne Personenbezug, mit Ausnahme der in unserer Cookie-Richtlinie beschriebenen technischen Nutzungsdaten. Sobald Sie eine Simulation starten und Ihre Kontaktdaten hinterlassen, um ein personalisiertes Ergebnis zu erhalten — Vorname, E-Mail-Adresse, Telefonnummer —, verarbeiten wir Daten, die Sie identifizieren, jedoch beschränkt auf das, was notwendig ist, um Sie erneut zu kontaktieren und Ihr Angebot zu präzisieren.
Die Einreichung eines vollständigen Finanzierungsantrags markiert einen Maßstabswechsel: Wir erheben dann eine wesentlich detailliertere Akte, die einen Identitätsnachweis, einen Wohnsitznachweis, Ihre Gehaltsabrechnungen oder Steuerbescheide, einen Kontonachweis, die Aufstellung Ihrer laufenden Verbindlichkeiten (Miete, weitere Kredite, gezahlte Unterhaltsleistungen) sowie gegebenenfalls die Unterlagen zu Ihrem Vorhaben, etwa einen Kostenvoranschlag für Renovierungsarbeiten oder eine Fahrzeugbestellung, umfasst — unerlässlich, um Ihren Antrag zu prüfen und Ihre Rückzahlungsfähigkeit zu bewerten. Nach Vertragsunterzeichnung wird diese Akte während der gesamten Kreditlaufzeit weiter ergänzt: Zugangsdaten Ihres Kundenbereichs, Verlauf Ihrer Ratenzahlungen und etwaiger Zahlungsstörungen, Korrespondenz mit Ihrem Berater, aktualisierte Nachweise im Falle einer Umschuldung.
Diese Datenkategorien gliedern sich wie folgt:
Ihre Daten werden von Lendovia für fünf genau bestimmte Zwecke verarbeitet, von denen jeder auf einer eigenen, im Folgenden näher erläuterten Rechtsgrundlage beruht:
Wir verarbeiten Ihre Daten nicht zu Zwecken, die mit diesen ursprünglichen Zwecken unvereinbar sind, und beschränken die Erhebung auf die für den jeweiligen Zweck relevanten Daten, gemäß dem in der DSGVO verankerten Grundsatz der Datenminimierung.
Die Vertragserfüllung oder die auf Ihren Antrag hin getroffenen vorvertraglichen Maßnahmen vor dessen Unterzeichnung (Art. 6 Abs. 1 lit. b DSGVO) bilden die Grundlage für die Mehrzahl unserer Verarbeitungen: Sie ermöglicht es uns, Ihre Simulation zu bearbeiten, Ihren Antrag zu prüfen und anschließend den unterzeichneten Kredit zu verwalten — Zahlungspläne, Einzug der Monatsraten, vorzeitige Rückzahlung oder Umschuldung. Ohne diese Rechtsgrundlage könnten wir die wechselseitigen Verpflichtungen, die der Vertrag uns und Ihnen auferlegt, schlichtweg nicht erfüllen.
Die rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) bildet die Grundlage für alle Verarbeitungen, die uns unabhängig von Ihrem Willen durch die Regulierung auferlegt werden: Überprüfung Ihrer Identität und der Herkunft der Mittel im Rahmen der Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Meldung bestimmter untypischer Transaktionen an TRACFIN, Eintragung in das FICP bei einem festgestellten Vorfall oder Aufbewahrung von Dokumenten für die im Code monétaire et financier oder im Code général des impôts vorgeschriebenen Fristen.
Das berechtigte Interesse (Art. 6 Abs. 1 lit. f) erfasst Verarbeitungen, die wir für die Ausübung unserer Geschäftstätigkeit als notwendig erachten, ohne dabei unverhältnismäßig in Ihre Rechte einzugreifen: Betrugserkennung, Absicherung Ihres Kundenbereichs gegen betrügerische Zugriffe, an unsere Kunden und ehemaligen Kunden gerichtete Ansprache zu Produkten, die den bereits abgeschlossenen ähnlich sind. Diese Rechtsgrundlage setzt eine ständige Abwägung zwischen unserem und Ihrem Interesse voraus und entfällt, sobald Sie Ihr Widerspruchsrecht ausüben.
Die Einwilligung (Art. 6 Abs. 1 lit. a) kommt zur Anwendung, wenn keine der vorstehenden Rechtsgrundlagen eine Verarbeitung rechtfertigen kann — typischerweise bei elektronischer Kommunikation an Interessenten, mit denen noch kein Vertragsverhältnis besteht, oder bei Cookies, die für das Funktionieren der Website nicht unbedingt erforderlich sind. Sie muss freiwillig, spezifisch, informiert und unmissverständlich sein; Sie können sie ebenso einfach widerrufen, wie Sie sie erteilt haben, ohne dass dies die Rechtmäßigkeit der zuvor erfolgten Verarbeitungen berührt.
Intern ist der Zugang zu Ihren Daten nach dem Grundsatz der Kenntnis nur im erforderlichen Umfang abgeschottet: Die mit der Antragsprüfung befassten Vertriebsberater sehen die für die Prüfung Ihrer Akte notwendigen Informationen (Einkommen, Ausgaben, finanziertes Vorhaben); die Teams für Risikomanagement und Betrugsbekämpfung greifen auf die für die Identitätsprüfung und die Erkennung von Auffälligkeiten notwendigen Elemente zu, ohne notwendigerweise den Inhalt Ihrer geschäftlichen Korrespondenz einzusehen; der Kundenservice verfügt über eine auf die Aktenverfolgung ausgerichtete Sicht; die Inkassoteams werden nur tätig, wenn eine Zahlungsstörung auftritt. Jeder Zugriff wird protokolliert und auf die für die jeweilige Aufgabe erforderlichen Daten beschränkt.
Ihre Daten werden zudem an technische Auftragsverarbeiter übermittelt, die im Namen von Lendovia und nach dessen schriftlichen vertraglichen Weisungen tätig werden, unter den von der DSGVO geforderten Garantien: Vertraulichkeitsklauseln, Sicherheitsmaßnahmen, Auditmöglichkeit. Es handelt sich typischerweise um einen Hosting-Anbieter, der die sichere Speicherung der Daten innerhalb der Europäischen Union gewährleistet, einen Anbieter für elektronische Signaturen für online unterzeichnete Verträge sowie einen Dienstleister für den Versand von Briefen, E-Mails oder SMS für Ihre Zahlungspläne, Mahnungen oder Benachrichtigungen. Keiner dieser Dienstleister ist berechtigt, Ihre Daten für eigene Zwecke weiterzuverwenden.
Schließlich können Ihre Daten in gesetzlich genau geregelten Fällen an öffentliche Behörden übermittelt werden: Eintragung in das FICP (Fichier des Incidents de remboursement des Crédits aux Particuliers, das französische Verzeichnis für Zahlungsstörungen bei Verbraucherkrediten), geführt von der Banque de France, bei einem festgestellten Vorfall im Zusammenhang mit Ihrem Kredit; Meldung an TRACFIN, die französische Zentralstelle für Finanztransaktionsuntersuchungen, wenn eine Transaktion auf ein Geldwäscherisiko hindeutet; Übermittlung an Justizbehörden aufgrund einer behördlichen Anordnung oder gerichtlichen Entscheidung; oder Weiterleitung an die Aufsichtsbehörden des Bank- und Finanzsektors im Rahmen ihrer Aufsichtsaufgaben.
Die in dieser Richtlinie beschriebenen Datenverarbeitungen werden innerhalb der Europäischen Union gehostet. Sollte ein Auftragsverarbeiter dennoch ganz oder teilweise Ihre Daten außerhalb der Union verarbeiten — beispielsweise im Rahmen eines internationalen technischen Supports —, dürfte eine solche Übermittlung nur in einem rechtlichen Rahmen erfolgen, der ein der DSGVO gleichwertiges Schutzniveau gewährleistet.
Der zu diesem Zweck am häufigsten verwendete Mechanismus sind die Standardvertragsklauseln (SCC), teilweise auch als „Standard Contractual Clauses“ bezeichnet. Es handelt sich um von der Europäischen Kommission ausgearbeitete und genehmigte Vertragsmuster, die der Datenexporteur und der Datenimporteur unverändert unterzeichnen müssen. Die Kommission hat sie entwickelt, um ein konkretes Problem zu lösen: die für die Wirtschaftstätigkeit erforderlichen internationalen Datenübermittlungen zu ermöglichen und gleichzeitig der außerhalb der Union ansässigen Stelle präzise Pflichten aufzuerlegen — Datensicherheit, Zugriffsbeschränkung, Information bei Zugriffsanfragen ausländischer Behörden, Recht der betroffenen Person, im Falle eines Verstoßes unmittelbar gegen den Importeur vorzugehen. Diese Klauseln stellen so auf vertraglichem Weg ein Schutzniveau her, das dem innerhalb der Union geltenden vergleichbar ist, selbst wenn für das Bestimmungsland kein Angemessenheitsbeschluss der Kommission vorliegt.
Fehlen Standardvertragsklauseln, könnten andere von der DSGVO anerkannte Mechanismen herangezogen werden: ein Angemessenheitsbeschluss, mit dem die Kommission feststellt, dass ein Drittland ein als ausreichend erachtetes Schutzniveau bietet, oder verbindliche interne Datenschutzvorschriften innerhalb ein und derselben Unternehmensgruppe. Sie können auf Anfrage bei unserem Datenschutzbeauftragten Informationen über die Garantien erhalten, die eine bestimmte Übermittlung absichern.
Die DSGVO gewährt Ihnen sieben Rechte an Ihren personenbezogenen Daten, die Sie jederzeit gegenüber Lendovia ausüben können:
Um diese Rechte auszuüben, können Sie sich schriftlich an unseren Datenschutzbeauftragten wenden, über Ihren Kundenbereich, Rubrik „Meine Daten und meine Privatsphäre“, unter Angabe des gewünschten Rechts und gegebenenfalls unter Beifügung eines Identitätsnachweises. Wir verpflichten uns, Ihnen innerhalb eines Monats zu antworten; diese Frist kann bei komplexen oder zahlreichen Anträgen um zwei Monate verlängert werden, wobei die Gründe für diese Verlängerung mitgeteilt werden.
Sollten Sie nach Kontaktaufnahme mit uns der Ansicht sein, dass Ihre Rechte nicht eingehalten werden, haben Sie das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen. In Frankreich ist dies die CNIL (Commission Nationale de l'Informatique et des Libertés), die französische Datenschutzbehörde und zuständige Referenzbehörde für den Schutz personenbezogener Daten.
Bevor Sie sich an die CNIL wenden, empfehlen wir Ihnen, uns direkt zu kontaktieren: Die meisten Schwierigkeiten lassen sich bereits auf dieser Stufe klären, insbesondere wenn es sich um eine bloße Datenaktualisierung oder eine zu verkürzende Antwortfrist handelt. Sollten Ihre Rechte trotz dieses Vorgehens nicht eingehalten werden, können Sie online auf cnil.fr, per Post oder persönlich während der Öffnungszeiten der CNIL Beschwerde einlegen.
BESCHWERDE BEI DER CNIL EINLEGEN
Online — cnil.fr, Rubrik „Plaintes en ligne“ (Online-Beschwerden).
Per Post — CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Damit Ihre Beschwerde effizient bearbeitet werden kann, ist es hilfreich, im Vorfeld die Identität der betroffenen Stelle, eine genaue Beschreibung des Sachverhalts und der beanstandeten Verarbeitung, die Daten der bereits mit Lendovia geführten Korrespondenz sowie jeglichen Schriftwechsel mit unserem Datenschutzbeauftragten bereitzuhalten. Nach Eingang bestätigt die CNIL den Empfang der Beschwerde, prüft sie und kann zusätzliche Erläuterungen von der beschuldigten Stelle anfordern; je nach Fall nimmt sie Überprüfungen vor, spricht Empfehlungen aus oder leitet ein Sanktionsverfahren ein, wenn ein schwerwiegender Verstoß gegen die DSGVO festgestellt wird. Die Einlegung einer Beschwerde ist kostenlos und nimmt Ihnen keinen anderen Rechtsbehelf, insbesondere nicht die Möglichkeit, die zuständigen Zivil- oder Verwaltungsgerichte anzurufen.
Häufig gestellte Fragen
Ja, jederzeit und ohne Angabe von Gründen. Die kommerzielle Ansprache beruht auf unserem berechtigten Interesse oder, je nach genutztem Kanal, auf Ihrer Einwilligung: In beiden Fällen können Sie ihr über Ihren Kundenbereich oder über den in unseren Mitteilungen enthaltenen Abmeldelink widersprechen, ohne dass dies die Bearbeitung Ihres Finanzierungsantrags beeinträchtigt. Ihr Widerspruch wird umgehend berücksichtigt und gilt für sämtliche unserer Ansprachekanäle — Post, E-Mail und SMS.
Die Aufbewahrungsfristen variieren je nach Zweck der Verarbeitung und den geltenden gesetzlichen Verpflichtungen: Eine abgebrochene Simulationsanfrage wird nicht so lange aufbewahrt wie ein laufender Kreditvertrag, und bestimmte Buchhaltungsunterlagen müssen mehrere Jahre nach Vertragsabschluss aufbewahrt werden. Die vollständigen Angaben zu unseren Aufbewahrungsfristen, aufgeschlüsselt nach Zweck, finden Sie in unserer Datenaufbewahrungsrichtlinie.
Nein. Lendovia verkauft oder vermietet Ihre personenbezogenen Daten unter keinen Umständen an Dritte, unabhängig vom angeführten Zweck. Sie werden ausschließlich an unsere technischen Auftragsverarbeiter weitergegeben, die strikt nach unseren Weisungen zur Ausführung einer bestimmten Aufgabe handeln, sowie, sofern gesetzlich vorgeschrieben, an die in dieser Richtlinie beschriebenen zuständigen Behörden.
Sie können Ihr Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit und Widerspruchsrecht ausüben, indem Sie sich schriftlich an unseren Datenschutzbeauftragten wenden, über Ihren Kundenbereich, Rubrik „Meine Daten und meine Privatsphäre“. Zur Überprüfung Ihrer Identität kann vor Bearbeitung Ihres Antrags ein Identitätsnachweis von Ihnen verlangt werden, und wir verpflichten uns, Ihnen innerhalb der gesetzlichen Frist von einem Monat zu antworten.
Wird Ihr Finanzierungsantrag nicht angenommen, werden die bereits erhobenen Daten nur so lange aufbewahrt, wie es für die Verwaltung dieser Entscheidung und unsere gesetzlichen Verpflichtungen unbedingt erforderlich ist, bevor sie gelöscht oder anonymisiert werden. Diese Frist ermöglicht es uns insbesondere, auf einen etwaigen Widerspruch Ihrerseits zu reagieren oder unsere Entscheidung gegenüber den Aufsichtsbehörden zu begründen. Sie behalten während der gesamten Dauer der Aufbewahrung sämtliche Ihrer Rechte nach der DSGVO an diesen Daten, einschließlich des Rechts, deren vorzeitige Löschung zu verlangen, sofern keine gesetzliche Verpflichtung dem entgegensteht.