Datenschutzerklärung

1. Einleitung

Compass Political Intelligence Platform (nachfolgend “Compass”) wird von CL Corporate Affairs Consulting E.I. (nachfolgend “CL” oder “CL Corporate Affairs Consulting”, in diesem Dokument gleichbedeutend verwendet) betrieben, mit Sitz in 1 avenue de l’Observatoire, 75006 Paris, Frankreich (VAT: FR58902992189) und einer Repräsentanz in Avenue de Tervueren 103, B-1040 Brüssel, Belgien. Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten innerhalb der Compass-Plattform erheben, verwenden und schützen, in Übereinstimmung mit der Verordnung (EU) 2016/679 (der “DSGVO”) und dem französischen Loi Informatique et Libertés.

Compass wird von einer aktiv tätigen Public-Affairs-Beratung entwickelt und betrieben und kann Berufskollegen aus dem Public-Affairs- und Institutionenbeziehungs-Ökosystem zur Verfügung gestellt werden, wie etwa Public-Affairs-Fachleuten und -Teams, Branchenverbänden, Think Tanks, Nichtregierungsorganisationen und anderen Organisationen, deren Tätigkeit den Austausch mit politischen Entscheidungsträgern umfasst. Dieser besondere Kontext prägt die Art und Weise, wie wir die Plattform gestaltet haben: Während CL als grundlegende berufliche Pflicht eine strikte Verpflichtung zur Ablehnung jeglichen Interessenkonflikts wahrt (siehe auch Abschnitt 3 der Nutzungsbedingungen), sind wir der Auffassung, dass diese vertragliche und ethische Verpflichtung durch technische und organisatorische Garantien ergänzt werden muss, die jedem Nutzer eine echte, nachweisbare Kontrolle über seine eigenen Daten geben. Die nachfolgenden Bestimmungen (insbesondere die optionale Ende-zu-Ende-Verschlüsselung, Abschnitt 10.1, und unsere bewusste KI-Richtlinie, Abschnitt 9) sind der praktische Ausdruck dieser Überzeugung. Es handelt sich nicht um allgemeine Compliance-Erklärungen: Sie spiegeln eine Positionierungsentscheidung wider, die wir für untrennbar von der Art von Plattform halten, die eine Public-Affairs-Beratung ihren Berufskollegen verantwortungsvoll anbieten kann.

2. Verantwortlicher

CL Corporate Affairs Consulting E.I.
1 avenue de l’Observatoire, 75006 Paris, Frankreich
Avenue de Tervueren 103, B-1040 Brüssel, Belgien
Kontakt: compass.eu.com/contact

3. Rollen und Verantwortlichkeiten nach der DSGVO

Die Zuordnung der datenschutzrechtlichen Rollen innerhalb von Compass hängt vom konkreten Nutzungskontext ab und wird im Einzelfall gemäß den Artikeln 4 Abs. 7, 4 Abs. 8, 26 und 28 der DSGVO beurteilt. Maßgeblich ist, welche Partei über die Zwecke und wesentlichen Mittel jedes Verarbeitungsvorgangs entscheidet, nicht die vertragliche Bezeichnung allein.

Wenn CL Compass für die eigene Beratungstätigkeit nutzt, handelt CL Corporate Affairs Consulting als alleiniger Verantwortlicher für alle innerhalb der Plattform verarbeiteten Daten, einschließlich Referenzdaten, Stakeholder-Mapping, Positionsanalyse und Engagement-Aufzeichnungen.

Wenn ein Drittnutzer im Rahmen seiner eigenen Public-Affairs-Tätigkeiten auf Compass zugreift, werden die jeweiligen Rollen durch die Art des Auftrags und den Grad der Autonomie jeder Partei bestimmt:

• Wenn der Nutzer die Strategie festlegt, die Stakeholder auswählt, die zu erhebenden Daten bestimmt und die Ergebnisse kontrolliert, handelt der Nutzer als Verantwortlicher und CL Corporate Affairs Consulting als Auftragsverarbeiter (Art. 4 Abs. 8 DSGVO), der die technische Infrastruktur bereitstellt und Daten ausschließlich im Auftrag und nach den Weisungen des Nutzers verarbeitet.
• Wenn CL Corporate Affairs Consulting über die bloße Bereitstellung der Plattform hinaus zusätzlich im Rahmen eines Beratungsmandats tätig wird und gemeinsam mit dem Nutzer die Ziele und wesentlichen Mittel eines bestimmten Verarbeitungsvorgangs festlegt, können beide Parteien für diesen konkreten Vorgang als gemeinsam Verantwortliche angesehen werden (Art. 26 DSGVO). In diesem Fall werden die jeweiligen Pflichten im Mandatsvertrag festgelegt. Die bloße Nutzung der Plattform außerhalb eines solchen Mandats fällt nicht unter diesen Fall: CL handelt dabei ausschließlich als Auftragsverarbeiter (siehe Abschnitt 3.1).

In allen Fällen verpflichtet sich CL Corporate Affairs Consulting, geeignete technische und organisatorische Maßnahmen umzusetzen, um die Sicherheit und Vertraulichkeit personenbezogener Daten in Übereinstimmung mit der DSGVO zu gewährleisten. Soweit CL Corporate Affairs Consulting als Auftragsverarbeiter handelt, regeln die Nutzungsbedingungen der Plattform die Pflichten jeder Partei gemäß Art. 28 DSGVO.

3.1 Sonderfall: von CL konzipierte Analysemethoden

Die in Abschnitt 3 beschriebenen Rollen unterscheiden, wer was entscheidet innerhalb eines gegebenen Verarbeitungsvorgangs. In diesem Rahmen verdient eine Nuance, ausdrücklich genannt zu werden: Compass bindet eine Reihe von Analysemethoden ein, die von CL Corporate Affairs Consulting konzipiert wurden, insbesondere die auf Stakeholder angewandte Einflussgewichtung, das Dringlichkeits-Scoring, das zeitkritisches Engagement kennzeichnet, die Activate-Target-Erkennung, die prioritäre Kontakte hervorhebt, und die prädiktive Schätzung legislativer Zeitpläne, die aus früheren Verfahrensmustern abgeleitet wird. Der Nutzer steuert, wer der Plattform hinzugefügt wird, welche Daten eingegeben werden und welcher strategische Zweck verfolgt wird; CL ist der Urheber der Methodik, die diese vom Nutzer kontrollierten Daten in ein Scoring, ein Ranking oder eine Schätzung umwandelt.

Als Herausgeber, der die Methodik festlegt, beschränkt sich die Verantwortung von CL Corporate Affairs Consulting auf die Bereitstellung des Werkzeugs, für die sie im Lichte ihrer regulatorischen und rechtlichen Pflichten mit der gebotenen Sorgfalt einsteht. Indem der Nutzer die Daten eingibt, die betroffenen Personen und Institutionen bestimmt, diejenigen priorisiert, deren Mobilisierung angesichts ihres vermuteten Einflusses am wichtigsten ist, und den Zweck der Verarbeitung der sie betreffenden Daten übernimmt, bleibt er folglich der Verantwortliche dieser Verarbeitung im Sinne der DSGVO. Jeder vorgeschlagene Wert ist im Übrigen sichtbar und kann von Hand angepasst oder überschrieben werden. Die Konzeption der Methodik verleiht CL Corporate Affairs Consulting keinerlei Entscheidungsbefugnis über die Zwecke oder die wesentlichen Mittel der Verarbeitung der Nutzerdaten und begründet daher keine gemeinsame Verantwortlichkeit im Sinne von Art. 26 DSGVO. Diese Zuordnung entspricht Abschnitt 7 der Allgemeinen Geschäftsbedingungen, die den Auftragsverarbeitungsvertrag im Sinne von Art. 28 DSGVO bilden.

Konkret steht es dem Nutzer frei, einem Scoring zu widersprechen, es manuell zu überschreiben und Compass zu nutzen, ohne sich auf die vorgeschlagene Gewichtung zu stützen: Positionen und Einflusswerte können jederzeit von Hand gesetzt oder überschrieben werden. Die von CL konzipierte Scoring-Methodik beruht auf Gewichtungen und Einflussanalyse-Modalitäten, die aus der einschlägigen politikwissenschaftlichen Literatur abgeleitet sind. Die Einflussgewichtung stützt sich ausschließlich auf objektive, öffentlich dokumentierte Tatsachen: bei einem Mitglied des Europäischen Parlaments etwa die Verantwortlichkeiten, die es in dem für das Dossier zuständigen parlamentarischen Ausschuss wahrnimmt, das politische Gewicht seiner Fraktion, die Zahl der absolvierten Mandate und die Zahl der Berichte, für die es verantwortlich war. Die vollständige Liste der Faktoren und ihre Gewichtungen sind Know-how von CL, als Geschäftsgeheimnis geschützt (Richtlinie (EU) 2016/943), und werden nicht veröffentlicht (Abschnitt 19). Was dem Nutzer gegeben wird, ist eine substanzielle Kontrolle über deren Ergebnis (jeder vorgeschlagene Wert ist sichtbar und kann von Hand angepasst oder überschrieben werden), und CL steht für die von ihm konzipierte Methodik ein. Diese verbleibende methodische Verantwortung erstreckt sich nicht auf die gesamte Mapping-Arbeit des Nutzers: Für die eingegebenen Daten, die ausgewählten betroffenen Personen und den verfolgten Zweck bleibt der Nutzer der Verantwortliche.

4. Kategorien der verarbeiteten Daten

Compass verarbeitet drei unterschiedliche Kategorien personenbezogener Daten, jede mit ihrem eigenen Regime:

• Referenzdaten: institutionelle und organisatorische Informationen aus offiziellen, öffentlich zugänglichen Datenbanken der Europäischen Union (Europäisches Parlament, Rat der EU, Europäische Kommission, EU-Transparenzregister). Dazu gehören Namen, Funktionen, Mandate, Ausschussmitgliedschaften, Fraktionszugehörigkeiten, Staatsangehörigkeit und offizielle Kontaktdaten von Personen des öffentlichen Lebens, die in ihrer institutionellen Eigenschaft handeln. CL Corporate Affairs Consulting ist für die Erhebung und regelmäßige Aktualisierung dieser Daten verantwortlich. Dazu gehören auch die auf dem Portal Have Your Say („Ihre Meinung zählt“) der Europäischen Kommission veröffentlichten Beiträge, die Compass auswertet, um zu zeigen, wer sich in einer Konsultation wie geäußert hat: Die meisten stammen von Organisationen, und ein Beitrag einer Privatperson trägt deren Namen nur, wenn sie ihn dort unter ihrem Namen veröffentlicht hat.
• Stakeholder-Mapping- und Positionsdaten: öffentlich verfügbare Informationen, die vom Nutzer mit optionaler KI-Unterstützung zusammengetragen werden: öffentlich erklärte Positionen, veröffentlichte Stellungnahmen, Abstimmungen, Pressemitteilungen, öffentliche Social-Media-Beiträge (von Konten, die ausdrücklich vom Nutzer validiert wurden). Der Nutzer wählt die zu verfolgenden Stakeholder aus, validiert jede zugeordnete Position und bestimmt, wie diese Daten im Rahmen seiner beruflichen Tätigkeit verwendet werden.
• Interne Notizen und Engagement-Aufzeichnungen: Freitextinhalte, die ausschließlich vom Nutzer eingegeben werden: Besprechungsberichte, Telefonnotizen, Folgemaßnahmen, informelle Beobachtungen, persönliche Einschätzungen. Diese Inhalte werden allein vom Nutzer verfasst, sind nur für den Nutzer zugänglich, der sie erstellt hat, und werden von CL Corporate Affairs Consulting in keiner Weise eingesehen, moderiert, analysiert oder verwertet. Der Nutzer ist allein verantwortlich für den Inhalt, die Richtigkeit und die Rechtmäßigkeit dieser Notizen, ebenso wie für jede private berufliche Aufzeichnung.

Account-Daten des Nutzers (Name, E-Mail-Adresse, Unternehmen, ggf. Telefonnummer, gehashte Anmeldedaten) werden ebenfalls zum Zweck der Bereitstellung des Zugangs zur Plattform verarbeitet.

Browsing-Daten: Ein einziges Session-Cookie (HTTP-only, rein funktional, kein Tracking) wird für die Authentifizierung verwendet.

Daten der Kontoanfrage: Wird ein Konto über das Antragsformular beantragt, verarbeiten wir die angegebenen Identitäts-, Kontakt- und Berufsangaben, die Organisation und gegebenenfalls die angegebenen Kunden, beigefügte Logos, die Angabe, wie die antragstellende Person von Compass erfahren hat, sowie die IP-Adresse, von der die Anfrage gesendet wurde. Diese Daten dienen einem einzigen Zweck: der Entscheidung über die Anfrage. Wird sie angenommen, werden sie zu Kontodaten; wird sie abgelehnt, werden sie gelöscht, einschließlich der Logos.

Daten des Kontaktformulars: Eine über das Kontaktformular gesendete Nachricht enthält Namen, E-Mail-Adresse, Organisation und Funktion der absendenden Person, ihre Telefonnummer, sofern angegeben, den Betreff und die Nachricht selbst, die Angabe, wie sie von Compass erfahren hat, sofern sie dies mitteilt, sowie die IP-Adresse, von der sie gesendet wurde. Sie wird als E-Mail an das Postfach contact@compass.eu.com zugestellt und dient einem einzigen Zweck: der Beantwortung und der weiteren Bearbeitung des Austauschs.

5. Rechtsgrundlage und Zwecke

Die Verarbeitung personenbezogener Daten innerhalb von Compass stützt sich auf folgende Rechtsgrundlagen:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Stakeholder-Mapping, Positions-Tracking und Engagement-Management sind anerkannte Kernfunktionen der Public-Affairs-Praxis. Das geltend gemachte berechtigte Interesse ist das des Verantwortlichen, der diese Tätigkeit ausübt, wie in Abschnitt 3 bestimmt: in erster Linie der Nutzer in Ausübung seines eigenen regulierten Public-Affairs-Berufs; und CL Corporate Affairs Consulting nur insoweit, als sie selbst Verantwortliche ist, das heißt für die eigene Beratungsnutzung der Plattform (Abschnitt 3). Die Konzeption der Analysemethodik macht CL nicht zur Verantwortlichen für die Verarbeitungen des Nutzers (Abschnitt 3.1). Die verarbeiteten Daten beschränken sich auf Informationen, die öffentlich verfügbar oder für die berufliche Beziehung zwischen dem Nutzer und dem Stakeholder unmittelbar relevant sind.
• Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO): Account-Daten des Nutzers werden verarbeitet, um den Zugang zur Plattform bereitzustellen und die vereinbarte Leistung zu erbringen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): soweit zutreffend, Einhaltung von Transparenzpflichten (EU-Transparenzregister, HATVP-Erklärungen nach französischem Recht).

Kontoanfragen. Eine Kontoanfrage wird verarbeitet, um auf Anfrage der betroffenen Person vorvertragliche Maßnahmen zu treffen (Artikel 6 Abs. 1 lit. b DSGVO). Die in Artikel 3 der Allgemeinen Geschäftsbedingungen beschriebene Interessenkonfliktprüfung sowie der Schutz des öffentlichen Formulars vor automatisiertem Missbrauch stützen sich auf das berechtigte Interesse (Artikel 6 Abs. 1 lit. f DSGVO).

Kontaktformular. Eine über das Kontaktformular gesendete Nachricht wird verarbeitet, um sie zu beantworten, auf der Grundlage der im Formular erteilten Einwilligung (Artikel 6 Abs. 1 lit. a DSGVO), die jederzeit widerrufen werden kann, indem man uns um Löschung des Austauschs bittet; der Schutz dieses Formulars vor automatisiertem Missbrauch stützt sich auf das berechtigte Interesse (Artikel 6 Abs. 1 lit. f DSGVO).

Erinnerungs-E-Mails. Wurde ein Account 30 Tage lang nicht genutzt, senden wir seinem Inhaber eine kurze E-Mail, die in Erinnerung ruft, was die Plattform leistet, und auf das Kontaktformular verweist; danach folgt jeweils 90 Tage nach der vorherigen Nachricht eine weitere, solange der Account ungenutzt bleibt. Grundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO): ein Account ist zur Nutzung da, und ein ungenutzter Account deutet meist auf ein praktisches Hindernis hin, das wir beseitigen können. Diese E-Mails gehen nie an Dritte und werben nie für etwas anderes als den Dienst, den der Inhaber bereits hat. Jede enthält einen Abmeldelink, die Einstellung ist jederzeit unter Manage my account änderbar, und ein Widerspruch hat keine Auswirkung auf den Account selbst (Abschnitt 13).

6. Abwägung des berechtigten Interesses

Gemäß Art. 6 Abs. 1 lit. f der DSGVO wurde die Berufung auf das berechtigte Interesse als Rechtsgrundlage für die Verarbeitung von Stakeholder-Daten wie folgt beurteilt:

• Legitimität des Interesses: Die Beobachtung von Gesetzgebungsprozessen, das Mapping von Stakeholder-Positionen und das Management institutionellen Engagements sind rechtmäßige und etablierte berufliche Tätigkeiten im Bereich Public Affairs und institutioneller Interessenvertretung, Tätigkeiten, die ihrerseits durch Transparenzregelungen wie das EU-Transparenzregister geregelt sind. Sie dienen dem berechtigten Interesse des Verantwortlichen, der sie ausübt: in erster Linie der Nutzer in Ausübung seines eigenen Public-Affairs-Berufs, und CL Corporate Affairs Consulting nur insoweit, als sie als Verantwortliche im Sinne von Abschnitt 3 handelt, das heißt für die eigene Beratungsnutzung der Plattform.
• Erforderlichkeit: Die Verarbeitung ist zur Erreichung dieser Ziele erforderlich. Zu verstehen, wer die relevanten Entscheidungsträger sind, welche Positionen sie vertreten und wie sich das legislative Kräfteverhältnis entwickelt, lässt sich nicht ohne die Verarbeitung personenbezogener Daten zu diesen Personen des öffentlichen Lebens erreichen.
• Interessenabwägung: Die verarbeiteten Daten betreffen ganz überwiegend Personen, die in ihrer offiziellen öffentlichen Eigenschaft handeln (gewählte Vertreter, hohe Beamte, registrierte Lobbyisten). Diese Personen haben hinsichtlich ihrer institutionellen Tätigkeiten, die ihrer Natur nach öffentlich sind, eine verminderte Privatsphärenerwartung. Die Daten stammen aus offiziellen institutionellen Datenbanken oder aus Äußerungen, die die betroffenen Personen selbst öffentlich gemacht haben. Die Verarbeitung umfasst kein Profiling zu kommerziellen Zwecken, zielt nicht darauf ab, privates Verhalten vorherzusagen, richtet sich nicht gegen schutzbedürftige Personen und beschränkt sich auf das, was für legitime Public-Affairs-Tätigkeiten erforderlich ist. Den betroffenen Personen bleibt jederzeit ihr Widerspruchsrecht nach Art. 21 DSGVO erhalten.

7. Öffentlich verfügbare Daten und besondere Kategorien

Ein erheblicher Teil der in Compass verarbeiteten personenbezogenen Daten betrifft Personen des öffentlichen Lebens, die in ihrer offiziellen Eigenschaft handeln (Mitglieder des Europäischen Parlaments, Kommissionsmitglieder, Bedienstete des Rates, registrierte Interessenvertreter). Diese Daten stammen aus offiziellen, öffentlich zugänglichen institutionellen Datenbanken:

• Website des Europäischen Parlaments, Legislative Observatory (OEIL) und das Verzeichnis EU Who is Who
• Namentliche Abstimmungen des Europäischen Parlaments, aus dem von HowTheyVote.eu veröffentlichten offenen Datensatz (die Aufzeichnungen selbst sind die des Parlaments, dem Protokoll jeder Sitzung beigefügt)
• EU-Transparenzregister und LobbyFacts.eu
• Öffentliche Register des Rates der EU
• Organigramme und Pressebereich der Europäischen Kommission
• EUR-Lex und das Amt für Veröffentlichungen der Europäischen Union (Gesetzgebungsdokumente)
• Das Portal Have Your Say („Ihre Meinung zählt“) der Europäischen Kommission (dort von ihren Verfassern veröffentlichte Beiträge)
• Wikidata und Wikipedia, für die Zusammensetzung der im Rat vertretenen nationalen Regierungen
• Öffentliche Social-Media-Konten (X/Twitter, LinkedIn), nur Konten, die ausdrücklich vom Nutzer validiert wurden

Soweit die verarbeiteten Daten Informationen enthalten, die politische Meinungen im Sinne von Art. 9 Abs. 1 DSGVO offenbaren können (z. B. namentliche Abstimmungen, öffentlich erklärte Positionen zu Gesetzgebungsdossiers, Fraktionszugehörigkeit), ist eine solche Verarbeitung nach Art. 9 Abs. 2 lit. e DSGVO zulässig, da sie ausschließlich personenbezogene Daten betrifft, die die betroffene Person offensichtlich öffentlich gemacht hat, durch offizielle institutionelle Kanäle, parlamentarische Abstimmungen, öffentliche Äußerungen oder freiwillige Veröffentlichungen auf öffentlichen Social-Media-Konten. Diese Ausnahme wird strikt auf Daten angewandt, die bereits aufgrund eigener Handlungen der betroffenen Person in ihrer offiziellen Eigenschaft öffentlich zugänglich sind. Sie gilt ebenso für einen Beitrag, den eine Person bewusst unter ihrem eigenen Namen auf dem Portal Have Your Say der Kommission veröffentlicht hat.

Zu unterscheiden ist zwischen diesen offensichtlich öffentlichen zugrunde liegenden Daten und den Scores, die ein Nutzer einem Stakeholder zuordnen kann und die nicht alle von gleicher Art sind. Die Scores für Einfluss, Beteiligung und Dringlichkeit beschreiben das institutionelle Gewicht einer Person in einem Verfahren, ihre Rolle darin und dessen zeitlichen Ablauf: Sie beruhen auf objektiven, öffentlich dokumentierten Tatsachen (Abschnitt 3.1) und drücken keine Meinung der betroffenen Person aus.

Die analytische Haltungsbewertung (der attitude-Score) ist anderer Art. Sie ist die Charakterisierung der Haltung, die eine Person zu einem bestimmten Gesetzgebungsdossier eingenommen hat, durch den Nutzer, auf einer Skala von ablehnend bis unterstützend, und kann daher Daten berühren, die politische Meinungen offenbaren. Sie ist folglich auf das beschränkt, was die Person zu diesem Dossier offensichtlich öffentlich gemacht hat: namentliche Abstimmungen, eingereichte Änderungsanträge, erklärte Positionen, öffentliche Äußerungen. Sie beschreibt nicht die politischen Meinungen der Person im Allgemeinen, sie unterstellt ihr keine Haltung, die sie nicht geäußert hat, und wurde nichts bewertet, wird sie als neutral angezeigt und als Standardwert gekennzeichnet. Ein Wert kann auf Wunsch des Nutzers aus öffentlichem Material vorgeschlagen werden, doch der Nutzer setzt oder überschreibt ihn, kann die ihn stützenden öffentlichen Quellen festhalten und trägt als Verantwortlicher die Verantwortung dafür (Abschnitt 3.1). In diesen Grenzen gibt die Bewertung eine Meinung wieder, die die betroffene Person offensichtlich öffentlich gemacht hat, und CL stützt sich auf eine doppelte Grundlage: Art. 9 Abs. 2 lit. e DSGVO (von der betroffenen Person offensichtlich öffentlich gemachte Daten), zusammen mit der Grundlage des berechtigten Interesses Art. 6 Abs. 1 lit. f DSGVO, nach der in Abschnitt 6 dargelegten Abwägung (Personen des öffentlichen Lebens, die in beruflicher oder öffentlicher Eigenschaft handeln, öffentliche Quellen, kein kommerzielles Profiling). CL stützt sich für diesen die besondere Kategorie betreffenden Aspekt nicht allein auf Art. 6 Abs. 1 lit. f DSGVO. Eine Bewertung, die über das hinausginge, was die Person öffentlich gemacht hat, fiele nicht unter diese Ausnahme: Der Haltungs-Score ist dafür nicht konzipiert, und der Nutzer darf ihn als Verantwortlicher nicht so verwenden. Art. 9 Abs. 2 lit. e bleibt jedenfalls die Grundlage für die tatsächlich offensichtlich öffentlichen zugrunde liegenden Daten (namentliche Abstimmungen, erklärte Positionen, Fraktionszugehörigkeit).

8. Unser Ansatz zu Nutzerkontrolle und Transparenz

Zwei der folgenreichsten Gestaltungsentscheidungen von Compass, die optionale Ende-zu-Ende-Verschlüsselung von nutzergenerierten Inhalten (Abschnitt 10.1) und die KI-Richtlinie der Plattform (Abschnitt 9), folgen demselben zugrunde liegenden Prinzip. Moderne Technologien (fortgeschrittene Kryptografie, Sprachmodelle) bringen echten Mehrwert für die Public-Affairs-Arbeit, werfen aber auch berechtigte Fragen auf: Wer kann was lesen, wohin fließen die Daten und worüber hat der Nutzer tatsächlich die Kontrolle? Anstatt diese Fragen mit allgemeinen Beteuerungen zu beantworten, ist Compass so gestaltet, dass die Antworten sichtbar, überprüfbar und vom Nutzer gewählt sind.

Dies übersetzt sich in drei operative Regeln, die gleichermaßen für die Verschlüsselung und für die KI gelten:

• Ausdrückliche Nutzerentscheidung über jede nicht-triviale Verarbeitung. Sensible Optionen (das Einschalten der Ende-zu-Ende-Verschlüsselung, das Aktivieren eines externen KI-Anbieters) sind niemals standardmäßig aktiviert und werden niemals aufgezwungen: Jede erfordert eine bewusste, informierte Handlung des Nutzers. Die Standardkonfiguration ist die datenschutzfreundlichste (keine externe KI, keine Übermittlung außerhalb der EU; Verschlüsselung verfügbar, aber nicht erzwungen).
• Transparenz darüber, was tatsächlich geschieht, einschließlich der Grenzen. Wir dokumentieren nicht nur, was die Plattform tut, sondern auch, was sie nicht tut und wo die Grenzen jeder Garantie liegen. Abschnitt 10.1 listet ausdrücklich auf, welche Felder verschlüsselt sind und welche nicht und warum; Abschnitt 9 erklärt, was an die europäische API von Mistral übermittelt würde, falls der Nutzer die KI aktiviert. Wir vermeiden Formulierungen, die stärkere Garantien suggerieren würden, als die Technologie tatsächlich liefert.
• Technische Garantien als Ergänzung ethischer und vertraglicher Verpflichtungen, nicht als Ersatz dafür. Unsere Ablehnung von Interessenkonflikten, unsere vertragliche Verpflichtung, nutzergenerierte Inhalte niemals zu lesen, und die technische Unmöglichkeit, die wir durch die Ende-zu-Ende-Verschlüsselung anbieten, wirken auf drei verschiedenen Ebenen und verstärken einander. Wo Technologie eine Garantie unbrechbar machen kann, setzen wir sie ein; wo sie das nicht kann, sagen wir es klar und stützen uns auf die vertraglichen und ethischen Verpflichtungen, die unseren Berufsstand bestimmen.

Die beiden folgenden Abschnitte wenden diesen Rahmen auf die beiden spezifischen Fälle der KI-gestützten Analyse (Abschnitt 9) und der Ende-zu-Ende-Verschlüsselung (Abschnitt 10.1) an.

9. KI-Dienste

Compass enthält eine KI-Schicht, die analytische Aufgaben wie Positionsklassifizierung, Stakeholder-Analyse, strategische Briefings sowie das Vorschlagen von Positionierungen und Umformulierungen zu den in Diskussion stehenden Texten unterstützt. Die Plattform ist um ein festes Prinzip herum gestaltet: Der Nutzer wählt stets, welche KI-Konfiguration verwendet wird, falls überhaupt, und kann jederzeit zu einer Konfiguration zurückkehren, an der keine KI beteiligt ist.

CL Corporate Affairs Consulting hat sich bewusst entschieden, den KI-Umfang von Compass auf Mistral zu beschränken, den europäischen KI-Anbieter mit Sitz in Paris (Frankreich). Kein anderer KI-Drittanbieter (weder OpenAI noch Anthropic noch irgendein nichteuropäisches Modell) ist in die Plattform integriert, und keiner ist für eine künftige Integration vorgesehen. Compass stützt sich auf eine einzige KI-Konfiguration: die europäische kommerzielle API von Mistral, die nachstehend beschrieben wird. Die KI-Verarbeitung verbleibt auf europäischer Infrastruktur, ohne Übermittlung von Daten an außereuropäische Anbieter.

9.1 Europäische kommerzielle API von Mistral

In dieser Konfiguration werden KI-Anfragen an die kommerzielle API von Mistral AI (api.mistral.ai) gesendet. Mistral AI ist ein französisches Unternehmen; nach den Angaben von Mistral werden die API-Daten standardmäßig in der Europäischen Union gehostet. Je nach genutzten Funktionen kann Mistral auf die in seinem Trust Center aufgeführten Unterauftragsverarbeiter zurückgreifen; jede Übermittlung innerhalb der eigenen Unterauftragskette von Mistral unterliegt dessen Auftragsverarbeitungsvertrag (Angemessenheitsbeschlüsse oder Standardvertragsklauseln). Diese Konfiguration arbeitet in einer einzigen Modalität:

• Ein persönlicher Schlüssel, bereitgestellt von einem Nutzer (nie von CL): Die KI-Funktionen laufen ausschließlich über einen von einem Nutzer bereitgestellten Mistral-API-Schlüssel: unabhängige Kapazität, die dessen eigenem Mistral-Account in Rechnung gestellt und durch diesen geregelt wird. CL Corporate Affairs Consulting hält keinen gemeinsamen Schlüssel und stellt keine eigene KI-Kapazität bereit. In einem kollaborativen Arbeitsbereich nutzt ein Mitglied, das keinen eigenen Schlüssel hinterlegt hat, den Schlüssel seines Kontoverwalters: Die Nutzung wird dann dem Mistral-Account des Verwalters in Rechnung gestellt und unterliegt dessen Plan und Einstellungen, es wird ausschließlich das Standardmodell verwendet, und das Mitglied wird darüber in Mein Konto verwalten ausdrücklich informiert. Jedem Nutzer wird empfohlen, einen eigenen Schlüssel zu hinterlegen, um über unabhängige Kapazität unter seinem eigenen Account und seinen eigenen Einstellungen zu verfügen; außerhalb eines kollaborativen Arbeitsbereichs ist ein persönlicher Schlüssel erforderlich, und ohne ihn stehen die KI-Funktionen nicht zur Verfügung. Diese Nutzung unterliegt den Bedingungen, die der Nutzer mit Mistral akzeptiert hat (einschließlich seines Plans sowie der Datenschutz- und Trainingseinstellungen seines Accounts), deren Prüfung dem Nutzer empfohlen wird. Der Schlüssel ist im Ruhezustand verschlüsselt und wird nur für die Dauer eines Aufrufs entschlüsselt, auch wenn der Nutzer die Ende-zu-Ende-Verschlüsselung nicht aktiviert hat. Anfragen sind strikt pro Nutzer getrennt: Kein Nutzer hat Zugriff auf die Prompts oder Antworten eines anderen Nutzers. Was dies für die Ende-zu-Ende-Verschlüsselung bedeutet. Die KI ist optional und standardmäßig deaktiviert, und sie ist der einzige Vorgang, bei dem verschlüsselte Inhalte vorübergehend im Klartext verarbeitet werden. Für eine Anfrage wird der Inhalt im Browser des Nutzers entschlüsselt und über den Server der Plattform, der sie weiterleitet, an Mistral übermittelt: Für die Dauer dieser Weiterleitung ist der Inhalt für Mistral lesbar, unter dem Account, dessen Schlüssel verwendet wird, und ausschließlich im Arbeitsspeicher auch für den Server der Plattform. Die in Abschnitt 10.1 beschriebene technische Unmöglichkeit erstreckt sich nicht auf diesen Moment. Auf die Festplatte wird jedoch nichts geschrieben. Der Server der Plattform speichert und protokolliert den Inhalt von Prompts oder Antworten nicht; nur technische Metadaten (Zeitstempel, Nutzerkennung, Aufgabentyp, Modell und Token-Volumen) werden ausschließlich zur Nutzungserfassung aufbewahrt.

Die folgenden Schutzvorkehrungen gelten:

• Verwendung von Daten für das Modelltraining: Ob Mistral API-Eingaben und -Ausgaben zur Verbesserung seiner Modelle verwenden darf, hängt von den eigenen Bedingungen von Mistral sowie vom Plan und den Datenschutzeinstellungen des eigenen Mistral-Accounts des Nutzers ab. Nutzern wird empfohlen, diese Einstellung in ihrem Mistral-Account zu prüfen; sie können sie dort deaktivieren; ist diese Einstellung bei einem Mistral-Account aktiviert, gibt Mistral an, dass die verwendeten Daten anonymisiert werden.
• Speicherung: Mistral bewahrt API-Eingaben und -Ausgaben bis zu 30 rollierende Tage zu Zwecken der Missbrauchsüberwachung auf (eine Verarbeitung, die Mistral nach seinen eigenen Bedingungen als eigenständiger Verantwortlicher vornimmt) und löscht sie anschließend. Eine Zero Data Retention (ZDR)-Option kann bei Mistral auf bestimmten kostenpflichtigen Plänen beantragt werden, vorbehaltlich der Zustimmung von Mistral, direkt über den eigenen Account des Nutzers.
• Vertragliche Schutzvorkehrungen: Ein Auftragsverarbeitungsvertrag (AVV) und DSGVO-konforme Bedingungen gelten standardmäßig. Da sowohl CL Corporate Affairs Consulting als auch Mistral AI innerhalb der Europäischen Union niedergelassen sind, ist der Weg Compass→Mistral selbst mit keiner Übermittlung außerhalb des EWR verbunden; etwaige Übermittlungen innerhalb der eigenen Unterauftragskette von Mistral unterliegen dem AVV von Mistral, wie oben dargestellt. (Alle im Browser geladenen Assets, Web-Schriftarten und die Visualisierungsbibliothek D3.js, werden auf den EU-Servern von CL selbst gehostet, sodass beim Rendern der Anwendung keine Übermittlung außerhalb der EU entsteht; die einzige Ausnahme, die Anti-Roboter-Prüfung der beiden öffentlichen Formulare, ist in den Abschnitten 10 und 12 beschrieben.)
• Unterauftragsverarbeitung: Da die KI über den eigenen Schlüssel des Nutzers läuft, ist der Nutzer direkter Kunde von Mistral und Mistral handelt als sein eigener Auftragsverarbeiter nach dem Vertrag, den der Nutzer mit Mistral akzeptiert hat; CL Corporate Affairs Consulting leitet seine Anfragen lediglich als Auftragsverarbeiter auf seine dokumentierte Weisung weiter und ist nicht Partei des Vertrags des Nutzers mit Mistral.

Referenzdokumentation: Mistral-Bedingungen: legal.mistral.ai/terms · Auftragsverarbeitungsvertrag: legal.mistral.ai/terms/data-processing-addendum.

9.2 KI-gestützte Recherche öffentlicher Quellen

Auf ausdrückliche Handlung des Nutzers hin kann die KI-Schicht öffentlich zugängliche Quellen (die offizielle Website einer Organisation, öffentliche Positionspapiere, Positionsstellungnahmen) konsultieren, um die Positionierung einer Organisation oder eines Mandanten zu charakterisieren oder die erklärten Mandanten einer Beratung zu ermitteln. Diese Konsultation erfolgt niemals automatisch: Sie geht aus einem ausdrücklichen Befehl des Nutzers hervor, wird protokolliert, und ihr Ergebnis wird dem Nutzer vor jeder Speicherung zur Validierung vorgelegt. Das Transparenzregister der Europäischen Union seinerseits wird lokal aus bereits in Compass integrierten Daten konsultiert, ohne externe Anfrage.

9.3 Dem Nutzer wird niemals ein KI-Anbieter aufgezwungen

Die Aktivierung der KI-Konfiguration erfordert eine bewusste Handlung des Nutzers unter Mein Account verwalten. Der Standardzustand jedes Compass-Accounts ist “keine KI”: die KI-gestützten Funktionen sind schlicht nicht vorhanden, bis der Nutzer ausdrücklich die europäische API von Mistral aktiviert. Der Nutzer kann jederzeit zu “keine KI” zurückkehren, ohne dass Daten zwischen den Konfigurationen fortbestehen.

9.4 eTranslation — maschinelle Übersetzung der Europäischen Kommission

Compass bietet eine optionale Übersetzung der Texte an, die Sie in der Plattform erstellt haben — eine Analyse eingereichter Änderungsanträge, ein Nachrichtenentwurf an einen Stakeholder — in eine der 24 Amtssprachen der Union. Praktiker müssen sich regelmäßig in deren eigener Sprache an eine nationale Delegation oder einen Berichterstatter wenden, und die Ausgangsdokumente selbst treffen in vielen Sprachen ein.

Diese Übersetzung erfolgt durch eTranslation, den maschinellen Übersetzungsdienst der Europäischen Kommission, betrieben von ihrer Generaldirektion Übersetzung im Rahmen des Programms Digitales Europa. Es handelt sich somit um einen öffentlichen europäischen Dienst, der von einem Organ der Union betrieben wird, und nicht um einen privaten oder außereuropäischen Anbieter: die hierfür üblichen Lösungen hätten die Übermittlung Ihrer Arbeit an einen außerhalb der Union niedergelassenen Auftragsverarbeiter bedeutet, was CL abgelehnt hat.

• Ohne Ihr Zutun wird nichts gesendet. Die Funktion läuft nie automatisch. Text verlässt die Plattform nur, wenn Sie eine Zielsprache wählen und auf Übersetzen klicken, und nur der von Ihnen gewählte Text wird übermittelt — niemals Ihre Dossiers, Ihr Stakeholder-Mapping oder Ihre Accountdaten.
• Rolle der Beteiligten. Anders als die in Abschnitt 9.1 beschriebene KI-Funktion, die über den Mistral-Account des Nutzers läuft, nutzt die Übersetzung Zugangsdaten von CL. Die Europäische Kommission handelt hier daher als von CL beauftragter Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO und ist als solcher in den Abschnitten 10 und 12 aufgeführt.
• Wohin die Daten gehen. Die Verarbeitung findet auf der Infrastruktur der Europäischen Kommission innerhalb der Union statt. Aus dieser Funktion ergibt sich keine Übermittlung außerhalb des EWR.
• Speicherdauer. Ein Übersetzungsauftrag wird auf unserem Server nur so lange vorgehalten, wie es dauert, das Ergebnis an Ihren Browser auszuliefern, und in jedem Fall höchstens 30 Minuten, danach wird er gelöscht. Was die Europäische Kommission ihrerseits damit tut, richtet sich nach ihren eigenen Nutzungsbedingungen.
• Ende-zu-Ende-verschlüsselte Inhalte. Haben Sie die Verschlüsselung aktiviert, wurde der auf dem Bildschirm angezeigte Text bereits in Ihrem Browser entschlüsselt. Ihn zur Übersetzung zu senden ist daher eine bewusste Handlung Ihrerseits, und er verlässt für die Dauer dieser Anfrage den Schutz der Ende-zu-Ende-Verschlüsselung. Compass entschlüsselt niemals von sich aus, um zu übersetzen.

KI-generierte Inhalte, die über die europäische API von Mistral erzeugt werden, werden nur zu Informationszwecken bereitgestellt und sollten stets vom Nutzer überprüft und validiert werden, bevor auf ihrer Grundlage gehandelt oder sie extern geteilt werden. CL Corporate Affairs Consulting übernimmt keine Gewähr für die Richtigkeit, Vollständigkeit oder Zuverlässigkeit der KI-generierten Ergebnisse.

10. Datensicherheit und Hosting

Alle von Compass verarbeiteten Daten werden auf privaten, dedizierten Servern innerhalb der Europäischen Union gespeichert, unter der physischen Kontrolle von CL Corporate Affairs Consulting; kein Public-Cloud-Anbieter eines Dritten speichert diese Daten. Der öffentliche Zugang wird über einen Reverse-Proxy in der Europäischen Union, der auf einem privaten Server läuft, den CL bei einem in der Union niedergelassenen Anbieter mietet, über ein verschlüsseltes privates Netzwerk dorthin geleitet; der Relay speichert keine personenbezogenen Daten, und es werden keine personenbezogenen Daten außerhalb der Europäischen Union gespeichert.

CL Corporate Affairs Consulting stützt sich auf eine bewusst begrenzte Reihe von Dienstleistern, von denen jeder durch einen Auftragsverarbeitungsvertrag im Sinne von Art. 28 DSGVO gebunden ist: Sie handeln als seine Unterauftragsverarbeiter, soweit CL personenbezogene Daten im Auftrag eines Nutzers verarbeitet, und als seine Auftragsverarbeiter, soweit CL selbst Verantwortlicher ist (Kontodaten, Kontoanfragen, Kontaktnachrichten). Derzeit sind es drei: die Europäische Kommission (Generaldirektion Übersetzung), für die in Abschnitt 9.4 beschriebene optionale eTranslation-Funktion, die über Zugangsdaten von CL läuft und ausschließlich den Text verarbeitet, den ein Nutzer ausdrücklich zur Übersetzung übermittelt, auf der Infrastruktur der Europäischen Kommission innerhalb der Union; OVHcloud (Frankreich), das unsere ausgehenden E-Mails befördert (Konto- und Sicherheitsnachrichten, die in Abschnitt 5 beschriebenen Erinnerungen und die Benachrichtigungen, die ein Nutzer zu erhalten gewählt hat) und dabei den Namen und die Adresse des Empfängers sowie die in diesen Nachrichten enthaltenen sicheren Links verarbeitet, und das zudem das Postfach contact@compass.eu.com hostet, in dem die über das Kontaktformular gesendeten Nachrichten eingehen; und die Cloudflare, Inc. (Vereinigte Staaten), ausschließlich für die Anti-Roboter-Prüfung der beiden öffentlichen Formulare (Abschnitt 12). Wir versenden keine Werbe-E-Mails. Die in Abschnitt 9.1 beschriebene optionale Opt-in-Mistral-Funktion, standardmäßig deaktiviert, läuft demgegenüber über den eigenen Mistral-Account und API-Schlüssel des Nutzers, wobei Mistral als Auftragsverarbeiter des Nutzers handelt, nicht als Unterauftragsverarbeiter von CL. CL führt eine aktuelle Liste seiner Unterauftragsverarbeiter und wird die Nutzer über jede wesentliche Änderung informieren, insbesondere bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnt. Nutzer können einer solchen Hinzufügung oder Ersetzung aus berechtigten Datenschutzgründen innerhalb von fünfzehn (15) Tagen nach der Mitteilung widersprechen.

Die im Browser geladenen Assets werden auf EU-Infrastruktur selbst gehostet. Alle im Browser des Besuchers geladenen Assets, einschließlich der Web-Schriftarten (Cormorant Garamond, Vollkorn und Montserrat) und der JavaScript-Visualisierungsbibliothek (D3.js), die auf der Stakeholder-Mapping-Seite verwendet wird, werden unmittelbar von den eigenen EU-gehosteten Servern von CL Corporate Affairs Consulting ausgeliefert. Keine Seite der Anwendung lädt irgendetwas von Google, Cloudflare oder einem anderen Dritten, und bei ihrer Darstellung wird keine IP-Adresse und kein Browser-Detail des Besuchers an solche Anbieter übermittelt. Die einzige Ausnahme ist die Anti-Roboter-Prüfung der beiden öffentlichen Formulare, des Antragsformulars und des Kontaktformulars, die Cloudflare Turnstile lädt (Abschnitt 12); die Sicherheitsrichtlinie der Website erlaubt dies nur auf diesen beiden Seiten.

Wann personenbezogene Daten unsere Server verlassen. Abgesehen von dem oben beschriebenen Relay verlassen personenbezogene Daten die Server von CL nur in fünf Fällen, die alle in dieser Erklärung beschrieben sind: die optionale Mistral-KI-Funktion, standardmäßig deaktiviert und über den eigenen Mistral-Account des Nutzers betrieben (Abschnitt 9.1); die Übersetzung über eTranslation, auf Wunsch des Nutzers (Abschnitt 9.4); die von OVHcloud beförderten E-Mails (siehe oben); die Anmeldung zu den Benachrichtigungen des Europäischen Parlaments, auf Wunsch des Nutzers (Abschnitt 12); und die Anti-Roboter-Prüfung durch Cloudflare Turnstile auf den beiden öffentlichen Formularen (Abschnitt 12). Die ersten vier finden innerhalb der Europäischen Union statt (bei Mistral vorbehaltlich seiner eigenen Unterauftragskette, Abschnitt 9.1). Da die Cloudflare, Inc. ihren Sitz in den Vereinigten Staaten hat, kann die Anti-Roboter-Prüfung eine Übermittlung außerhalb der Europäischen Union mit sich bringen, die einzige, die die Plattform selbst auslöst. Diese Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023), nach dem Cloudflare zertifiziert ist, und, sollte dieser Rahmen nicht mehr anwendbar sein, auf die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), die in den Auftragsverarbeitungsbedingungen von Cloudflare enthalten sind (Art. 45 und Art. 46 Abs. 2 lit. c DSGVO).

Die Plattform setzt die folgenden Sicherheitsmaßnahmen um:

• Authentifizierung per E-Mail und Passwort, wobei Passwörter mit PBKDF2-HMAC-SHA256 gehasht werden (600.000 Iterationen, im Einklang mit den aktuellen OWASP-Empfehlungen) und mit einem für jeden Nutzer eindeutigen Salt;
• Sitzungen, die über HTTP-only, SameSite=Lax gesicherte Cookies verwaltet werden;
• CSRF-Token pro Sitzung, die bei jeder zustandsändernden Anfrage überprüft werden;
• Automatische Account-Sperrung nach 5 fehlgeschlagenen Anmeldeversuchen (15 Minuten Sperrzeit) sowie Ratenbegrenzung auf IP-Ebene (30 Minuten Sperre nach wiederholten Fehlversuchen von derselben Quelle);
• HTTPS-Verschlüsselung bei der Übertragung (TLS über Let’s-Encrypt-Zertifikat);
• Defence-in-Depth-HTTP-Antwort-Header (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy);
• Ein einfaches Sicherheits- und Rechenschaftsprotokoll von Authentifizierungsereignissen, privilegierten Aktionen und sicherheitsrelevanten Fehlern, geführt, um Sicherheitsvorfälle zu erkennen und zu untersuchen sowie die Reaktion auf Verletzungen und die externe Rechenschaftspflicht (etwa gegenüber der CNIL oder vor einem Gericht) zu unterstützen, und nicht als internes Kontrollinstrument; es ist dem Risiko nach Art. 32 DSGVO angemessen, wird nicht in manipulationssicherer oder serverexterner Form vorgehalten und erfasst nur die Tatsache und den Zeitpunkt einer Aktion mit begrenzten technischen Metadaten (etwa E-Mail- und IP-Adresse), niemals vom Nutzer verfasste Inhalte;
• Keine Indexierung des authentifizierten Bereichs durch Suchmaschinen: Nur die öffentlich zugänglichen Seiten (Startseite, Datenschutzerklärung, Nutzungsbedingungen) sind indexierbar; jeder andere Pfad (Dashboards, Account-Verwaltung, administrative Oberflächen, API-Endpunkte) wird ausdrücklich über robots.txt und noindex-Direktiven blockiert;
• Keine Speicherung von Daten bei außereuropäischen Cloud-Diensten Dritter zur KI-Verarbeitung. Standardmäßig ist keine KI aktiviert. Wenn der Nutzer die Option der europäischen kommerziellen Mistral-API (Abschnitt 9.1, über seinen eigenen API-Schlüssel) aktiviert, werden Eingaben und Ausgaben zur Verarbeitung an die Infrastruktur von Mistral übermittelt (nach den Angaben von Mistral standardmäßig in der Europäischen Union gehostet); die Speicherung durch Mistral ist auf 30 rollierende Tage zu Zwecken der Missbrauchsüberwachung begrenzt; ob die Daten für das Modelltraining verwendet werden dürfen, hängt von den Einstellungen des eigenen Mistral-Accounts des Nutzers ab (deren Prüfung empfohlen wird), und die Plattform selbst speichert keinerlei Prompt- oder Antwortinhalte.

E-Mails im Zusammenhang mit der Account-Verwaltung (Passworterstellung, Zurücksetzung, Änderungsbenachrichtigungen) werden per SMTP mit TLS-Verschlüsselung versendet.

10.1 Optionale Ende-zu-Ende-Verschlüsselung

Warum es diese Funktion gibt. Compass wird von einer aktiv tätigen Public-Affairs-Beratung entwickelt und betrieben, deren Nutzer oft selbst Public-Affairs-Fachleute sind, die an sensiblen Angelegenheiten arbeiten, mitunter an Dossiers, die dieselben Politikbereiche berühren wie Mandate, die von CL selbst oder von dessen anderen Mandanten verfolgt werden. Auch wenn CL Corporate Affairs Consulting als grundlegende berufliche Pflicht eine strikte Politik der Ablehnung jeglichen Interessenkonflikts wahrt (siehe auch Abschnitt 3 der Nutzungsbedingungen) und sich vertraglich verpflichtet, nutzergenerierte Inhalte niemals zu lesen (siehe Abschnitt 11 der Nutzungsbedingungen), sind wir der Auffassung, dass Nutzer nicht gezwungen sein sollten, dieser Verpflichtung allein auf Vertrauen hin zu folgen. Die Ende-zu-Ende-Verschlüsselung ist die technische Umsetzung dieser Überzeugung: Sie gibt den Nutzern eine Möglichkeit, durch die Gestaltung der Plattform selbst sicherzustellen, dass ihre analytische Arbeit mathematisch außerhalb der Reichweite von CL-Betreibern, von Dritten, die Zugang zu den Servern erlangen, und von jeder Behörde liegt, die eine erzwungene Offenlegung anstrebt. Dies ist aus unserer Sicht eine natürliche Konsequenz daraus, ein Werkzeug für den eigenen Berufsstand zu bauen.

Was es in der Praxis bedeutet. Zusätzlich zu den oben genannten grundlegenden Sicherheitsmaßnahmen bietet Compass einen optionalen Modus der Ende-zu-Ende-Verschlüsselung, den Nutzer jederzeit unter Mein Account verwalten aktivieren können. Diese Funktion ist nicht standardmäßig aktiviert; sie ist ein ausdrückliches Opt-in, gedacht für Nutzer, die besonders sensibles Material verarbeiten und zusätzlich zu den vertraglichen Verpflichtungen von CL eine technische Garantie hinzufügen möchten. Nutzer, die sie nicht aktivieren, sind selbstverständlich vollständig durch die vertragliche Nicht-Einsichtnahme-Verpflichtung abgedeckt, die unabhängig vom Verschlüsselungsstatus gilt; die Funktion wird als zusätzliche Ebene für Nutzer angeboten, die sie wünschen, nicht als Voraussetzung für die Nutzung der Plattform.

Was verschlüsselt wird. Wenn die Ende-zu-Ende-Verschlüsselung für einen Account aktiviert ist, werden die folgenden Daten im Browser des Nutzers verschlüsselt, bevor sie auf dem Server gespeichert werden: persönliche Notizen, die vom Nutzer verfassten Inhalte des Stakeholder-Mappings (zugeordnete Positionszusammenfassungen, unterstützende Argumente, private Kommentare und kuratierte Quellen), Watch-Keywords (im Secure-Search-Modus), Themennamen, vom Nutzer verfasste Biografien und Profilnotizen, Einträge des Engagement-Logs (Besprechungsaufzeichnungen, Erkenntnisse, Signale), der persönliche Radar-Cache des Nutzers sowie alle anderen vom Nutzer persönlich verfassten Inhalte. Der Umfang der Verschlüsselung ist bewusst breit angelegt und soll verhindern, dass irgendein Beobachter des Servers (einschließlich CL-Betreibern) die Aktivität, Interessen oder analytischen Positionen des Nutzers profilieren kann.

Was nicht verschlüsselt wird und warum. Die folgenden Kategorien bleiben konstruktionsbedingt unverschlüsselt: die Liste der vom Nutzer verfolgten Dossiers (das Verfahrenskennzeichen ist der Schlüssel, über den der Server jedes Dossier aus den öffentlichen EU-Quellen abruft und aktualisiert — OEIL, Abstimmungen, delegierte Rechtsakte, institutionelle Kalender — und über den Benachrichtigungen zugeordnet werden; eine Verschlüsselung würde diese automatisierte Anreicherung unterbrechen, die den Kern des Dienstes ausmacht. Das Kennzeichen ist selbst eine öffentliche EU-Verfahrensnummer. Dies steht wortgleich in Abschnitt 11 der Allgemeinen Geschäftsbedingungen); öffentliche Referenzdaten, die für alle Nutzer gemeinsam gelten (Mitglieder des Europäischen Parlaments, Kommissionsmitglieder, Kommissionsbedienstete, Bedienstete des Rates, Organisationen des Transparenzregisters, institutionelle Kalenderereignisse, allesamt aus offiziellen EU-Datenbanken); Account-Informationen, die für Authentifizierung und Benachrichtigungen erforderlich sind (Vorname, Nachname, E-Mail, Telefonnummer, Organisation); technische Kennungen, die für SQL-Joins erforderlich sind (Primärschlüssel, Fremdschlüssel, Nutzerkennungen); Audit-Zeitstempel (Erstellungs-, Änderungs-, Anmeldezeitpunkte); kryptografische Lookup-Hashes (irreversible SHA-256-Digests von Watch-Keywords im Secure-Search-Modus, die für den serverseitigen Abgleich verwendet werden, ohne das Keyword preiszugeben); und die analytischen Scores und die daraus abgeleiteten Rankings (die Einfluss-, Dringlichkeits-, Beteiligungs- und Haltungs-Scores, die jedem Stakeholder zugeordnet sind, zusammen mit dem Prioritätsquadranten und den daraus berechneten Activate-Target-Kennzeichen). Letztere sind kein vom Nutzer verfasster Freitext, sondern Werte, die durch die von CL konzipierten Analysemethoden erzeugt werden (Einflussgewichtung, Dringlichkeits- und Activate-Target-Scoring) und die der Server berechnet und neu berechnet; die numerischen Scores für die Engine lesbar zu halten, ist genau das, was es der Plattform erlaubt, Stakeholder auf der Karte zu positionieren, zu ranken und ihren Quadranten neu zu berechnen. Die schriftliche Begründung, die jeden Score rechtfertigt, ist selbst verschlüsselt, und eine nackte Zahl (etwa ein Einfluss von 80) ist ohnehin weitaus weniger aussagekräftig als die Begründung des Analysten, die geschützt bleibt. Diese Kategorien sind entweder ihrer Natur nach bereits öffentlich oder für den technischen Betrieb des Dienstes erforderlich. Wir führen sie hier auf, anstatt die Verschlüsselung nur vage zu erwähnen, weil wir der Auffassung sind, dass eine ehrliche Beschreibung der Grenzen der Garantie selbst Teil der Garantie ist.

Wie es funktioniert: in einfachen Worten. Wenn ein Nutzer die Ende-zu-Ende-Verschlüsselung aktiviert, geschehen zwei Dinge in seinem Browser, beide für den Server unsichtbar. Erstens wird lokal ein neuer Hauptschlüssel erzeugt: Dies ist der Schlüssel, der die Inhalte des Nutzers tatsächlich verschlüsselt. Zweitens wird dieser Hauptschlüssel selbst in einen versiegelten Umschlag gelegt, dessen Schloss nur durch das Anmeldepasswort des Nutzers geöffnet wird. Der Server speichert den versiegelten Umschlag, aber niemals den Hauptschlüssel im Klartext und niemals das Passwort. Jedes Mal, wenn der Nutzer sich anmeldet, öffnet das Passwort den Umschlag lokal im Browser, der Hauptschlüssel wird für die Dauer der Sitzung wiederhergestellt, und die verschlüsselten Felder können gelesen werden; wenn der Nutzer sich abmeldet, kehrt alles wieder in seinen versiegelten Umschlag auf der Serverseite zurück. CL hält den Hauptschlüssel niemals und kann ihn nicht rekonstruieren: Die kryptografische Garantie besteht darin, dass das, was auf unseren Servern in verschlüsselter Form gespeichert ist, für uns konstruktionsbedingt unlesbar ist.

Wie es funktioniert: in technischen Begriffen. Das Verfahren ist zero-knowledge: Die Schlüssel, die Nutzerdaten entschlüsseln, verlassen niemals das Gerät des Nutzers und werden auf dem Server in keiner abrufbaren Form gespeichert. Genauer gesagt:

• Schlüsselableitung. Ein erster Schlüssel wird im Browser aus dem Anmeldepasswort des Nutzers mittels PBKDF2-HMAC-SHA256 mit 600.000 Iterationen (im Einklang mit den aktuellen OWASP-Empfehlungen) und einem bei der Aktivierung erzeugten 16-Byte-Zufalls-Salt abgeleitet. Der Salt wird serverseitig gespeichert (er ist nicht geheim); das Passwort selbst und der daraus abgeleitete Schlüssel hingegen nicht.
• Zwei-Schlüssel-Design (Key-Wrapping). Der aus dem Passwort abgeleitete Schlüssel wird nicht unmittelbar zur Verschlüsselung der Nutzerdaten verwendet. Stattdessen dient er dazu, einen separaten, zufällig erzeugten Hauptschlüssel zu schützen, der den Inhalt des Nutzers tatsächlich verschlüsselt. Nur der Hauptschlüssel in seiner geschützten (“umhüllten”) Form wird auf dem Server gespeichert. Dieses Zwei-Schlüssel-Design ist derselbe Ansatz, der von renommierten Zero-Knowledge-Anwendungen verwendet wird (etwa professionelle Passwortmanager und Ende-zu-Ende-verschlüsselte Messenger). Es hat eine wichtige praktische Konsequenz, die im nächsten Absatz beschrieben wird: Es ermöglicht Nutzern, ihr Anmeldepasswort zu ändern, ohne ihre gespeicherten Daten neu zu verschlüsseln.
• Authentifizierte Verschlüsselung. Nutzerdaten werden mit AES-256-GCM verschlüsselt, mit einer 96-Bit-Nonce aus einer kryptografisch sicheren Zufallsquelle für jeden Schreibvorgang und einem beim Lesen überprüften Authentifizierungs-Tag. Derselbe Algorithmus schützt den Hauptschlüssel in seinem Umschlag.
• Speicherformat. Verschlüsselte Nutzdaten werden als base64url-kodierte Zeichenfolgen gespeichert, denen ein kurzes Versions-Tag vorangestellt ist, sodass der Server verschlüsselte von Klartextfeldern unterscheiden kann, ohne sie jemals entschlüsseln zu können.
• Browser-Anforderungen. Die Funktion nutzt die standardmäßige Web Crypto API, die in allen modernen Browsern über HTTPS verfügbar ist. Sie ist von keinem externen Dienst und keiner Drittanbieter-Bibliothek abhängig.

Was das im Alltag bedeutet. Das Zwei-Schlüssel-Design hat für Nutzer einen unmittelbaren, praktischen Nutzen:

• Das Ändern Ihres Passworts ist sicher und augenblicklich. Über den normalen Ablauf Passwort ändern (der das aktuelle Passwort erfordert) wird der Hauptschlüssel kurz mit dem aktuellen Passwort wiederhergestellt und sofort mit dem neuen erneut geschützt. Die gespeicherten Daten des Nutzers werden niemals neu verschlüsselt, niemals erneut hochgeladen, und es besteht kein Risiko, den Zugang zu verlieren; dies ist strukturell dasselbe wie bei einem professionellen Passwortmanager.
• Das Vergessen Ihres Passworts ist hingegen für verschlüsselte Daten nicht wiederherstellbar. Wird das Passwort vergessen, kann der Umschlag, der den Hauptschlüssel schützt, von niemandem geöffnet werden, weder von CL noch vom Nutzer. Der Ablauf Passwort vergessen kann das Passwort zurücksetzen, aber er kann den Hauptschlüssel nicht wiederherstellen, und die bestehenden verschlüsselten Felder werden dadurch dauerhaft unlesbar; da sie niemand mehr lesen kann, werden sie bei der Zurücksetzung von unseren Servern gelöscht, mit Ausnahme von Inhalten, die mit einem Team unter dessen Teamschlüssel geteilt werden. Dieser Kompromiss ist der Preis des Zero-Knowledge-Designs und der Grund, weshalb die Funktion strikt als Opt-in ausgestaltet ist. Nutzern, die die Ende-zu-Ende-Verschlüsselung aktivieren, wird dringend empfohlen, ihr Passwort in einem Passwortmanager zu speichern und mindestens eine sichere Sicherungskopie davon aufzubewahren.

Konsequenzen für CL. Da der Schlüssel, der den Hauptschlüssel schützt, aus dem Passwort des Nutzers abgeleitet wird und niemals dessen Browser verlässt, können CL Corporate Affairs Consulting und seine Administratoren die verschlüsselten Felder eines Accounts, für den die Ende-zu-Ende-Verschlüsselung aktiviert ist, konstruktionsbedingt nicht lesen. Diese Eigenschaft wird technisch durchgesetzt, nicht bloß vertraglich, und gilt selbst angesichts einer internen Untersuchung, eines Sicherheitsvorfalls oder einer behördlichen Anordnung: CL hält den Schlüssel nicht, kann ihn nicht rekonstruieren und kann nicht gezwungen werden, den Klartextinhalt verschlüsselter Felder herauszugeben. Diese Einschränkung gilt gleichermaßen für CL selbst und wird als bewusste Konsequenz des Zero-Knowledge-Designs in Kauf genommen (siehe auch Abschnitt 11 der Nutzungsbedingungen).

Felder, die nicht verschlüsselt sind, bleiben für CL-Betreiber technisch zugänglich. In Abwesenheit der Ende-zu-Ende-Verschlüsselung umfasst dies den Inhalt von Notizen, das Stakeholder-Mapping, zugeordnete Positionen, private Kommentare und alle anderen vom Nutzer verfassten Inhalte. Die Nicht-Einsichtnahme dieser Felder durch CL wird ausschließlich durch die vertragliche Verpflichtung geregelt, die in Abschnitt 11 der Nutzungsbedingungen festgelegt ist, und wird in Abwesenheit der Ende-zu-Ende-Verschlüsselung nicht durch eine technische Unmöglichkeit erzwungen. Wir sind der Auffassung, dass diese Unterscheidung ausdrücklich genannt werden muss: Es ist der Unterschied zwischen einer Garantie, die zu erfüllen wir versprechen, und einer Garantie, die die Plattform selbst durchsetzt.

Selbst wenn die Ende-zu-Ende-Verschlüsselung aktiviert ist, bleiben bestimmte betriebliche Metadaten für CL-Betreiber technisch sichtbar, als unvermeidliche Folge des Betriebs eines Webdienstes. Diese Metadaten erlauben keine Rekonstruktion verschlüsselter Inhalte, können aber Rückschlüsse auf bestimmte Nutzungsmerkmale zulassen:

• Ungefähres Datenvolumen: die Anzahl der verschlüsselten Zeilen, die in jeder der persönlichen Tabellen des Nutzers gespeichert sind, ist für den Server sichtbar (zum Beispiel, dass ein Nutzer 47 verfolgte Dossiers oder 312 Engagement-Log-Einträge hat), ohne dass der Inhalt selbst lesbar wäre;
• Aktivitätszeitstempel: Anmeldungen, Schreib- und Lesevorgänge werden zu Audit-Zwecken mit Zeitstempeln versehen;
• IP-Adresse: durch das TCP/IP-Protokoll erforderlich, was Rückschlüsse auf den ungefähren geografischen Standort zulässt;
• Korrelierte Aktivitätsmuster: wenn mehrere Nutzer zusammenhängende Datensätze zu ähnlichen Zeiten ändern, kann auf eine kollaborative Beziehung geschlossen werden.

Diese strukturellen Metadaten fallen unter dieselbe vertragliche Nicht-Einsichtnahme-Verpflichtung wie alle anderen nicht verschlüsselten Daten (Abschnitt 11 der Nutzungsbedingungen). CL Corporate Affairs Consulting verpflichtet sich, sie für keinen anderen Zweck als die technische Überwachung des Dienstes (Sicherheitsüberwachung, Debugging, Kapazitätsplanung) zu verwerten. Wir dokumentieren sie hier, anstatt sie wegzulassen, weil die Glaubwürdigkeit der umfassenderen Garantie von einer transparenten Beschreibung ihrer Grenzen abhängt.

Umgekehrt können Felder, die mit Ende-zu-Ende-Verschlüsselung verschlüsselt wurden, von niemandem außer dem Nutzer gelesen werden, auch nicht von CL selbst. Dies ist eine Eigenschaft des kryptografischen Designs, kein vertragliches Versprechen: Der Entschlüsselungsschlüssel wird aus dem Passwort des Nutzers in dessen eigenem Browser abgeleitet und verlässt niemals das Gerät des Nutzers. CL hält den Schlüssel nicht, kann ihn nicht rekonstruieren und kann nicht gezwungen werden, den Klartextinhalt verschlüsselter Felder herauszugeben, weder als Reaktion auf eine behördliche Anordnung, noch im Verlauf einer Sicherheitsuntersuchung, noch auf Verlangen eines Dritten, der Zugang zu den Servern erlangen würde. Diese Einschränkung gilt gleichermaßen für CL Corporate Affairs Consulting und wird als bewusste Konsequenz des Zero-Knowledge-Designs in Kauf genommen.

10.2 Trennung zwischen der Compass-Plattform und der Beratungspraxis von CL Corporate Affairs

CL Corporate Affairs Consulting betreibt zwei unterschiedliche Tätigkeiten über eine einzige Rechtsperson: die Herausgabe von Compass und eine Public-Affairs-Beratungspraxis. Diese Doppelrolle kann in manchen Fällen ein Interessenkonfliktrisiko schaffen, das die vertragliche Nicht-Einsichtnahme-Verpflichtung (Abschnitt 11 der Nutzungsbedingungen) und die optionale Ende-zu-Ende-Verschlüsselung (Abschnitt 10.1) bereits adressieren. Die folgenden Bestimmungen ergänzen diesen Rahmen um praktische Verpflichtungen, deren Einhaltung keinen formellen Compliance-Apparat erfordert.

(a) Keine Wiederverwendung von Nutzerdaten in CL-Beratungsmandaten. CL Corporate Affairs Consulting verpflichtet sich, in seinen eigenen Beratungsmandaten niemals Daten, Analysen, Positionen, Mappings, Kommentare, Entwürfe von Änderungsanträgen, Watchlists oder Erkenntnisse zu verwenden, die von einem Compass-Nutzer eingegeben wurden, unabhängig davon, ob die Ende-zu-Ende-Verschlüsselung aktiviert ist oder nicht. Diese Verpflichtung erstreckt sich auf die Identität der vom Nutzer verfolgten Dossiers, die Substanz seiner analytischen Arbeit und sogar die schlichte Tatsache, dass sich der Nutzer für ein bestimmtes Thema interessiert. Wo die Ende-zu-Ende-Verschlüsselung aktiviert ist, wird die Verpflichtung zusätzlich durch kryptografische Unmöglichkeit durchgesetzt (Abschnitt 10.1).

(b) Dreistufige Datentaxonomie. Compass verarbeitet drei unterschiedliche Datenkategorien, jede mit ihrem eigenen Schutzregime:

• Öffentliche Referenzdaten: MdEP, Kommissionsmitglieder, Bedienstete des Rates und der Kommission, EU-Transparenzregister, institutionelle Kalender; aus offiziellen EU-Datenbanken bezogen und für alle Nutzer gemeinsam; in keiner Konfiguration verschlüsselt (die Daten sind ihrer Natur nach öffentlich verfügbar).
• Account-Daten: Vorname, Nachname, E-Mail, Telefon, Organisation. Erforderlich für Authentifizierung und Benachrichtigungen; im Klartext gespeichert; geschützt durch das DSGVO-Grundniveau zuzüglich der vertraglichen Nicht-Einsichtnahme-Verpflichtung; nicht von der Ende-zu-Ende-Verschlüsselung betroffen (die Anmeldung und Kontaktaufnahme verhindern würde).
• Vom Nutzer verfasste analytische Inhalte: Stakeholder-Mapping, Positionen, Notizen, Engagement-Log, Entwürfe von Änderungsanträgen, interne Beobachtungen, Watch-Keywords. (Die Liste der verfolgten Dossiers und die daraus abgeleiteten analytischen Scores sind aus den in Abschnitt 10.1 dargelegten funktionalen Gründen nicht verschlüsselt.) Wenn die Ende-zu-Ende-Verschlüsselung AUS ist (Standard), serverseitig im Klartext gespeichert; der Schutz beruht auf der vertraglichen Nicht-Einsichtnahme-Verpflichtung zuzüglich (a) oben. Wenn die Ende-zu-Ende-Verschlüsselung AN ist (Opt-in), im Browser vor der Speicherung mit einem zufälligen Hauptschlüssel verschlüsselt, der seinerseits von einem aus dem Passwort des Nutzers abgeleiteten Schlüssel versiegelt wird (Abschnitt 10.1); CL kann den Inhalt konstruktionsbedingt nicht lesen.

(c) Zugriffsrichtlinie. Der Zugriff auf die Produktionsdatenbank ist auf die technischen Funktionen beschränkt, die für den Betrieb des Dienstes erforderlich sind, und erfolgt nicht routinemäßig: er findet für Betrieb, Wartung und Support statt, nicht um Nutzerinhalte einzusehen; privilegierte Aktionen werden in dem in Abschnitt 10 genannten Sicherheits- und Rechenschaftsprotokoll aufgezeichnet, das dazu dient, Vorfälle zu erkennen und zu untersuchen und die Rechenschaftspflicht zu unterstützen, und nicht als internes Kontrollinstrument. Die Plattform läuft auf privaten, in der EU gelegenen Servern unter der physischen Kontrolle von CL Corporate Affairs, ohne Rückgriff auf einen Public-Cloud-Anbieter oder einen Dritten mit Zugang zu Nutzerinhalten; der öffentliche Zugang wird über einen Reverse-Proxy in der Europäischen Union geleitet, der keine Nutzerinhalte speichert. Die Trennung zwischen Accounts wird auf Anwendungsebene durch nutzerbezogene Abfragen durchgesetzt und (für Accounts mit aktivierter Ende-zu-Ende-Verschlüsselung) durch nutzerspezifische Verschlüsselungsumschläge verstärkt: Kein Nutzer kann auf die analytischen Inhalte eines anderen Nutzers zugreifen.

(d) Verstärkte Vertraulichkeitsverpflichtung. Über die DSGVO hinaus richtet CL Corporate Affairs Consulting seine Praxis freiwillig an den beruflichen Vertraulichkeitsstandards aus, die für Public-Affairs-Praktiker gelten: dem Verhaltenskodex des EU-Transparenzregisters, der dem Interinstitutionellen Übereinkommen von 2021 zwischen Parlament, Rat und Kommission beigefügt ist (insbesondere dessen Bestimmungen über die redliche Beschaffung, Handhabung und Weitergabe von EU-Informationen); den Werten Integrität, Transparenz, Genauigkeit und Vertraulichkeit, die im Verhaltenskodex der SEAP (Society of European Affairs Professionals) niedergelegt sind; und den deontologischen Standards der französischen Hohen Behörde für Transparenz im öffentlichen Leben (HATVP) für registrierte Interessenvertreter, namentlich dem Verbot, Informationen mit betrügerischen Mitteln zu beschaffen und von Amtsträgern erlangte Informationen zu verkaufen. Bei der Annahme eines neuen Beratungsmandats prüft CL Corporate Affairs nach Treu und Glauben auf jede offensichtliche Überschneidung mit der bekannten Tätigkeit eines Compass-Nutzers und lehnt das Mandat ab, wenn eine solche festgestellt wird.

(e) Einfache Konfliktmeldung in beide Richtungen.

• Vom Nutzer an CL. Ein Compass-Nutzer, der Grund zu der Annahme hat, dass ein CL-Beratungsmandat sich in konfligierender Weise mit seiner eigenen Arbeit überschneiden könnte, kann dies über das Kontaktformular melden. CL verpflichtet sich, nach Treu und Glauben zu untersuchen und, wo eine echte Überschneidung festgestellt wird, das konfligierende Beratungsmandat auszusetzen und dem Nutzer zu bestätigen, dass die Situation gelöst wurde. Die Ende-zu-Ende-Verschlüsselung mindert dieses Risiko an der Quelle erheblich: Wenn die Verschlüsselung aktiviert ist, hat CL keine technische Möglichkeit, eine solche Überschneidung überhaupt zu bemerken.
• Von CL an sich selbst. Symmetrisch verpflichtet sich CL, wenn es durch die eigene Beratungspraxis feststellt, dass sich ein potenzielles Mandat mit der bekannten Tätigkeit eines Compass-Nutzers überschneidet (im begrenzten Maße, in dem dies technisch erkennbar ist, und faktisch nur, wenn die Verschlüsselung AUS ist), das Mandat abzulehnen, bevor jegliche Arbeit beginnt, ohne die Identität des Nutzers gegenüber dem potenziellen Beratungsmandanten offenzulegen.
• Externe Rechtsbehelfe bleiben unabhängig von CL verfügbar. Jeder Person bleiben die Rechtsbehelfe erhalten, die ihr nach französischem und EU-Recht bereits zustehen: die CNIL (cnil.fr) für Datenschutzangelegenheiten, die HATVP (hatvp.fr) für Angelegenheiten im Rahmen der Lobby-Transparenz oder die zuständigen Justizbehörden im Falle eines vermuteten strafbaren Verhaltens. Dies sind keine von CL benannten Stellen; sie bestehen aus eigenem Recht, und CL weist lediglich auf ihre Verfügbarkeit für alle hin, die sie nutzen möchten.
• Keine Vergeltung. CL Corporate Affairs verpflichtet sich, keine Vergeltungsmaßnahmen gegen einen Compass-Nutzer zu ergreifen, der nach Treu und Glauben einen vermuteten Konflikt oder Verstoß meldet, einschließlich keiner Kündigung seines Abonnements, keiner Verschlechterung des Dienstes und keiner Offenlegung seiner Identität gegenüber Dritten über das hinaus, was zur Untersuchung strikt erforderlich ist.

Jede Meldung wird ernst genommen. Jede eingehende Meldung, von einem Nutzer, von CL selbst oder von einem Dritten, wird mit ethischer und rechtlicher Sorgfalt geprüft. Wir behandeln dies als eine Kernvoraussetzung für die Glaubwürdigkeit der Plattform, nicht als optionale Höflichkeit: In einem Beruf, in dem Diskretion Teil der Leistung ist, würde ein Werkzeug, das Interessenkonfliktmeldungen falsch handhabt, gerade das verlieren, was es überhaupt erst nutzenswert macht.

11. Datenspeicherung

Im Einklang mit dem Grundsatz der Speicherbegrenzung (Art. 5(1)(e) DSGVO) werden personenbezogene Daten nur so lange gespeichert, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Solange ein Account aktiv ist, werden die Daten auf der Rechtsgrundlage der Vertragserfüllung (Art. 6(1)(b) DSGVO) gespeichert: Die eigenen Dossiers, Stakeholder-Mappings, Positionen, Notizen und Engagement-Logs eines Nutzers sind genau jene Inhalte, deren Speicherung und Bereitstellung der Dienst bezweckt, und werden so lange aufbewahrt, wie der Nutzer den Account unterhält. Der Nutzer kontrolliert diese Inhalte unmittelbar: einzelne Dossiers, Notizen und sonstige Elemente können jederzeit aus der Plattform heraus gelöscht werden.

• Account-Daten des Nutzers: für die Dauer des Accounts gespeichert und bei Entfernung des Accounts gelöscht (siehe unten). Der Account-Inhaber kann seine Account-Angaben jederzeit selbst berichtigen und einzelne Inhaltselemente jederzeit selbst löschen.
• Export Ihrer Daten: Solange der Account aktiv ist, kann der Inhaber jederzeit eine vollständige Kopie seiner eigenen Inhalte einschließlich aller Ende-zu-Ende-verschlüsselten Inhalte, die im eigenen Browser des Inhabers entschlüsselt werden, über den in Abschnitt 13 beschriebenen Self-Service-Export erhalten (Recht auf Datenübertragbarkeit, Art. 20 DSGVO). Dieser Export ist nur im angemeldeten Zustand verfügbar. Wir empfehlen dennoch, ihn vor einer Deaktivierung oder einem Löschantrag zu nutzen — nicht weil Sie sonst ohne Kopie blieben (siehe den nächsten Punkt), sondern weil dies der einzige Weg ist, der Ihre verschlüsselten Notizen und Begründungen enthalten kann. Was durch Ende-zu-Ende-Verschlüsselung geschützt ist, ist mit Ihrem Passwort verschlüsselt und für uns unlesbar; keine von uns erstellte Kopie kann es jemals enthalten. Das ist die Garantie, die wie beschrieben wirkt, keine Einschränkung des Dienstes.
• Die Kopie, die wir für Sie erstellen, und wie lange wir sie aufbewahren. Wird ein Account deaktiviert oder gelöscht, von wem auch immer veranlasst, so erstellt die Plattform automatisch ein Archiv all dessen, was CL technisch lesen kann: Ihre Kontodaten, Ihre verfolgten Dossiers und die vollständige Liste Ihres Stakeholder-Mappings mit Organisation, Rolle, Einfluss-, Haltungs-, Beteiligungs- und Dringlichkeitswerten sowie Prioritätsquadrant je Eintrag. Ein Download-Link wird an Ihre registrierte Adresse gesendet. Sie müssen nichts vorausgesehen haben, und Sie müssen sich nicht anmelden können.
  
  Wie dieser Link geschützt ist. Er trägt ein zufälliges Token zur einmaligen Verwendung; wenn Ihr Account die Zwei-Faktor-Authentifizierung verwendet hat, ist zusätzlich einer Ihrer Backup-Codes erforderlich, denn ein per E-Mail versandter Code erreichte dasselbe Postfach wie der Link und brächte keinen Zugewinn. Das Archiv wird gelöscht, sobald es heruntergeladen wurde, in jedem Fall aber nach 30 Tagen, wonach der Link nicht mehr funktioniert. Jeder Download und jeder abgelehnte Code löst auf unserer Seite eine Warnmeldung aus. Wenn Sie Ihre Backup-Codes nicht mehr haben, schreiben Sie uns von Ihrer registrierten Adresse aus: Wir prüfen das Anliegen selbst und senden einen neuen Link. Weder der Administrator, der eine Kopie veranlasst, noch sonst jemand bei CL bekommt diesen Link zu sehen; er wird vom Server erzeugt und unmittelbar an Sie gesendet.
• Deaktivierung Ihres Accounts. Sie können Ihren Account jederzeit unter Manage my account deaktivieren. Die Anmeldung wird sofort gesperrt und alle aktiven Sitzungen werden beendet, doch handelt es sich um eine Sperrung, nicht um eine Löschung: Ihr Account und dessen Inhalte bleiben unverändert erhalten, so lange Sie es wünschen, und durch bloßen Zeitablauf wird nichts gelöscht. Das ist gewollt: Die Deaktivierung wählt der Inhaber anstelle der Löschung, die ihm jederzeit offensteht (siehe den nächsten Punkt), und die Inhalte des Accounts sind seine eigenen, die auf seine Weisung als deren Verantwortlicher aufbewahrt werden (Abschnitt 3). Während der Sperrung wird der Account nur gespeichert: Niemand kann sich anmelden, er erhält keine der in Abschnitt 5 beschriebenen Erinnerungs-E-Mails, und nur ein Antrag seines Inhabers kann ihn wieder in Betrieb nehmen. Sie können jederzeit um die Wiedereröffnung bitten — diese Bitte hat kein Ablaufdatum. Das oben beschriebene Archiv wird in diesem Moment automatisch erstellt und Ihnen zugesandt; wenn Sie die Ende-zu-Ende-Verschlüsselung nutzen, exportieren Sie zuvor aus der Plattform heraus (siehe den ersten Punkt oben), da nur diese Kopie Ihre verschlüsselten Inhalte enthalten kann.
• Löschung Ihres Accounts (Recht auf Löschung, Art. 17 DSGVO). Ein Löschungsersuchen kann jederzeit über unser Kontaktformular gestellt werden, auch von einem bereits deaktivierten Account aus, und wird innerhalb der in Abschnitt 13 genannten Fristen bearbeitet (in der Regel ein Monat, um bis zu zwei weitere Monate verlängerbar bei komplexen Anfragen). Die Löschung versetzt den Account für 30 Tage in einen wiederherstellbaren Zustand, in dem er auf Anfrage vollständig wiederhergestellt werden kann und in dem Sie Zugang zu einer Kopie Ihrer Daten behalten; nach Ablauf dieser Frist werden der Account und sämtliche darunter erstellten Inhalte — Dossiers, Stakeholder-Mappings, Positionen, Notizen, Entwürfe, Schlüsselwörter und abgeleitete Caches — endgültig und unwiderruflich gelöscht. Diese 30-Tage-Frist gilt für jeden Löschungsweg, unabhängig davon, wer ihn veranlasst.
• Nie genutzte Accounts. Ein Account, dessen Inhaber sich nie angemeldet hat, wird unmittelbar und ohne 30-Tage-Frist gelöscht. Diese Frist besteht, um dem Inhaber Zeit für den Export seiner Daten zu geben; ein nie aktivierter Account enthält nichts zu exportieren, und niemand hat sich darauf verlassen.
• Nie finalisierte Accounts. Ein Account, dessen Inhaber die Bedingungen und die Datenschutzerklärung bei der ersten Anmeldung nicht akzeptiert hat, ist nicht betriebsbereit und enthält keine Inhalte. Sein Inhaber und der dafür verantwortliche Administrator erhalten nach 30 Tagen eine Erinnerung und nach 60 Tagen eine zweite; 90 Tage nach Erstellung oder Genehmigung wird der Account automatisch gelöscht, in Anwendung des Grundsatzes der Speicherbegrenzung. Die Ablehnung der Bedingungen wie auch die Rücknahme einer Zugangsanfrage löscht den Account und alles Übermittelte sofort, ohne 30-Tage-Frist. Die Erinnerungen enthalten Name, Adresse und Organisation des Inhabers sowie das Erstellungsdatum, jedoch keine Inhalte; ein Nutzer, dessen Organisationsadministrator den eigenen Account noch nicht finalisiert hat, erhält zudem Name und Adresse dieses Administrators, damit er weiß, an wen er sich wenden kann. Sie stützen sich auf das berechtigte Interesse, die auf Veranlassung dieses Administrators eröffneten Accounts zu verwalten (Art. 6 Abs. 1 lit. f DSGVO). Siehe Abschnitt 2 der Allgemeinen Geschäftsbedingungen.
• Erinnerungs-E-Mails. Für die in Abschnitt 5 beschriebenen E-Mails speichern wir nur das Datum der letzten Sendung, deren Anzahl und Ihre Einstellung. Zu diesem Zweck wird nichts weiter aufbewahrt, und dieser Eintrag wird mit dem Account gelöscht.
• Löschung oder Deaktivierung auf Initiative von CL. CL Corporate Affairs Consulting kann nach eigenem Ermessen einen Account deaktivieren oder endgültig löschen — wobei die Deaktivierung die umkehrbare und die Löschung die endgültige Maßnahme ist. Die Gründe werden auf Anfrage mitgeteilt. Liegt der Grund in einem Interessenkonflikt, so wird der Account deaktiviert und niemals gelöscht, und der Inhaber wird so schnell benachrichtigt, wie es die Umstände zulassen; die Löschung bleibt einer rechtswidrigen Nutzung der Plattform vorbehalten. Es handelt sich um eine Beendigung des Dienstes auf Grundlage von Artikel 3 der Allgemeinen Geschäftsbedingungen und nicht um eine Entscheidung über die uns anvertrauten Inhalte: Handelt CL aus eigener Initiative, wird der Inhaber benachrichtigt, und dieselbe 30-Tage-Frist gilt vor jeder Löschung.
• Organisations-Accounts. In einer kollaborativen Organisation kann der Account-Manager jeden Unteraccount einzeln deaktivieren oder löschen. Ein Mitglied wendet sich an seinen Manager, statt allein zu handeln, da der Account zum Abonnement der Organisation gehört. Die Löschung des Accounts eines Managers führt nicht zur Löschung der Accounts seiner Mitglieder: diese bleiben bestehen, und die Löschung des Managers wird aufgeschoben, solange noch ein Account der Organisation zugeordnet ist, damit kein Mitglied verwaist zurückbleibt.
• Was wir gesondert aufbewahren. Einträge im Sicherheits- und Rechenschaftsprotokoll werden getrennt vom Account aufbewahrt, gestützt auf das berechtigte Interesse und die rechtliche Verpflichtung, Sicherheitsvorfälle zu erkennen und zu untersuchen sowie die Reaktion auf Verletzungen und die Rechenschaftspflicht zu unterstützen (Art. 6 Abs. 1 Buchst. c und f DSGVO), für einen begrenzten Zeitraum von zwölf Monaten statt unbefristet; sie erfassen lediglich die Tatsache und den Zeitpunkt administrativer Handlungen samt begrenzter technischer Metadaten (etwa der mit einer Handlung verbundenen E-Mail- und IP-Adresse), nicht Ihre analytischen Inhalte. Das Protokoll ist im Sinne von Art. 32 DSGVO risikoangemessen und wird nicht in fälschungssicherer Form geführt.
• Ende-zu-Ende-verschlüsselte Inhalte: Hat der Nutzer die Ende-zu-Ende-Verschlüsselung aktiviert, werden die Inhalte ausschließlich als Chiffrat (mit dem Präfix cv1: oder co1:) gespeichert, das CL nicht entschlüsseln kann. Die Löschung des Accounts entfernt sowohl das Chiffrat als auch die serverseitig gehaltenen Verschlüsselungsparameter (Salt und verschlüsselter Hauptschlüssel); sind diese einmal entfernt, sind die Inhalte für niemanden mehr wiederherstellbar, auch nicht für CL. Dasselbe gilt, unabhängig von einer Löschung, wenn der Nutzer das Passwort verliert, das seinen Schlüssel schützt (siehe Abschnitt 10.1).
• Referenzdaten (institutionell, aus offiziellen EU-Datenbanken bezogen): regelmäßig aktualisiert, gespeichert, solange die Plattform in Betrieb ist. Veraltete Einträge werden bei der Aktualisierung überschrieben. Es handelt sich um öffentliche Referenzdaten, die keinem einzelnen Account zugeordnet sind.
• Stakeholder-Mapping- und Positionsdaten: so lange gespeichert, wie das Konto besteht, und mit ihm gelöscht. Diese Inhalte gehören dem Nutzer, der ihr Verantwortlicher ist; CL verarbeitet sie auf seine Weisung und hat kein eigenständiges Aufbewahrungsrecht daran. Sie werden daher nicht archiviert, und es gilt für sie keine administrative oder Beweiszwecken dienende Aufbewahrungsfrist: bei Löschung des Kontos folgen sie dem oben beschriebenen Löschmodell und werden nach Ablauf der 30-tägigen Wiederherstellungsfrist endgültig gelöscht.
• Interne Notizen und Engagement-Logs: so lange gespeichert, wie das Konto besteht, und mit ihm gelöscht, auf derselben Grundlage und ohne Archivierung. Der Nutzer kann seine eigenen Notizen jederzeit löschen.
• Eigene vertragliche und buchhalterische Unterlagen von CL (Mandatsschreiben, Rechnungen, zugehörige Korrespondenz): bis zu 6 Jahre gespeichert, die übliche berufliche Aufbewahrungsfrist nach französischem Handelsrecht. Diese Frist betrifft ausschließlich die Unterlagen, die CL als Verantwortlicher seiner eigenen Geschäftsbeziehung hält, und niemals die in der Plattform erstellten Inhalte, die von den beiden vorstehenden Punkten erfasst werden.

Einstellung des Betriebs der Plattform. Im Fall der Einstellung des Betriebs der Plattform werden die Nutzer im Voraus informiert und können ihre Daten herunterladen. Die Einzelheiten und Grenzen dieser Zusage sind in Abschnitt 10.1 der Allgemeinen Geschäftsbedingungen geregelt.

Übertragung der Plattform. Im Fall einer Übertragung von Compass werden die Nutzer innerhalb von zwei Wochen nach Abschluss der Vereinbarung mit dem Erwerber informiert; der Erwerber vergewissert sich der ihm obliegenden gesetzlichen Pflichten. Innerhalb dieser Frist kann jeder seine Daten exportieren und die Löschung seines Kontos verlangen, wenn er unter dem neuen Betreiber nicht fortfahren möchte (Abschnitt 10.2 der Allgemeinen Geschäftsbedingungen).

Kontoanfragen. Eine abgelehnte Anfrage wird mit der Entscheidung unverzüglich gelöscht, einschließlich beigefügter Logos. Wird eine Anfrage angenommen, werden die übermittelten Angaben zu Kontodaten und unterliegen den vorstehenden Regeln; von der Entscheidung bleibt nur der Vermerk, mit den gegebenenfalls angegebenen Kunden und ohne die Anlagen. Eine Anfrage, über die innerhalb von 30 Tagen nicht entschieden wird, verfällt und wird unter denselben Bedingungen gelöscht; die antragstellende Person wird benachrichtigt.

Nachrichten über das Kontaktformular. Eine über das Kontaktformular gesendete Nachricht wird mitsamt den darin enthaltenen Daten so lange aufbewahrt, wie der Austausch es erfordert, und spätestens drei Jahre nach der letzten mit der absendenden Person ausgetauschten Nachricht gelöscht. Der Vermerk ihres Versands im Sicherheits- und Rechenschaftsprotokoll folgt der obigen Zwölfmonatsregel.

12. Empfänger der Daten

Die innerhalb von Compass verarbeiteten personenbezogenen Daten sind nur für autorisierte Nutzer der Plattform zugänglich. Jeder Nutzer greift nur auf die für seine eigene Tätigkeit relevanten Daten zu. Interne Notizen und Engagement-Aufzeichnungen sind nur für den Nutzer sichtbar, der sie erstellt hat.

Dies ist eine vertragliche Verpflichtung, die CL Corporate Affairs Consulting und jeden für sie handelnden Administrator bindet, und nicht bloß eine Beschreibung des Verhaltens der Software. Hat der Nutzer die Ende-zu-Ende-Verschlüsselung aktiviert, wird diese Verpflichtung durch eine technische Unmöglichkeit verstärkt: Der Inhalt ist uns nicht nur untersagt, er ist uns unlesbar. Beides wirkt zusammen: die Verpflichtung deckt ab, was wir technisch lesen könnten, die Verschlüsselung beseitigt die Frage für den Rest.

Verwaltung der Plattform. Compass wird von CL Corporate Affairs Consulting betrieben. Ihr Gründer hält das Konto des Haupt-Administrators und ist die einzige Person, die Administrationsrechte erteilen, ändern oder entziehen kann : diese Befugnis ist an niemanden delegierbar, konstruktionsbedingt und nicht bloß nach Zusage.

Daneben kann CL einer beim Betrieb der Plattform unterstützenden Person ein Konto als delegierter Administrator einräumen. Ein solches Konto besitzt nur die ihm einzeln erteilten Befugnisse und nichts darüber hinaus: etwa den Server neu zu starten, Konten zu verwalten oder das Postfach contact@compass.eu.com zu lesen. Ein delegierter Administrator kann sich niemals eine weitere Befugnis selbst erteilen, einen weiteren Administrator schaffen oder auf das Konto des Haupt-Administrators einwirken. Jede unter einem delegierten Konto vorgenommene Handlung wird im Audit-Log als solche erfasst.

Zwei Grenzen gelten für jeden Administrator, Haupt- wie delegierten, und sie sind technischer, nicht vertraglicher Natur. Kein Administrator kann Ende-zu-Ende-verschlüsselte Inhalte lesen (Ihre Notizen, Ihre Begründungen, Ihre Positionspapiere), da diese mit Ihrem Passwort verschlüsselt sind und der Server den Schlüssel nie besitzt (Abschnitt 10.1). Und lässt ein Administrator eine Kopie der Daten eines Kontos für dessen Inhaber erstellen, so wird ihm der Download-Link nie angezeigt: Er wird vom Server erzeugt und unmittelbar an den Kontoinhaber gesendet (Abschnitt 11). Wir führen dies hier an, weil die delegierte Administration eine reale Fähigkeit der Plattform ist und wir sie lieber beschreiben, bevor sie zum Einsatz kommt, als danach.

Es werden keine Daten an Dritte weitergegeben, außer:

• soweit gesetzlich vorgeschrieben (Justiz-, Polizei- oder Verwaltungsbehörden);
• ausschließlich soweit CL im Sinne von Abschnitt 3 Verantwortlicher ist, das heißt für die eigene Nutzung der Plattform im Rahmen seiner Beratungsmandate: an einen Mandanten von CL Corporate Affairs Consulting, soweit die Weitergabe für die Durchführung dieses Mandats strikt erforderlich und vertraglich definiert ist. Dieser Fall betrifft niemals die Daten eines anderen Nutzers, für die CL als Auftragsverarbeiter handelt und kein Recht zur Weitergabe hat;
• an Mistral AI, nur soweit der Nutzer die in Abschnitt 9.1 beschriebene Option der kommerziellen Mistral-API ausdrücklich aktiviert hat. Es werden keine Daten an einen KI-Dienst übermittelt, wenn keine KI aktiviert ist (der Standard);
• an das Europäische Parlament, für seine Benachrichtigungen. Compass kann Sie für ein von Ihnen verfolgtes Verfahren beim Benachrichtigungsdienst der Legislativen Beobachtungsstelle des Parlaments anmelden. Nur wenn Sie es verlangen, wird Ihre E-Mail-Adresse an das Europäische Parlament übermittelt, damit es das Abonnement anlegt und Ihnen seine eigene Bestätigung sendet. Das Abonnement wird erst aktiv, wenn Sie diese Bestätigung anklicken, und in diesem Moment akzeptieren Sie die Bedingungen des Parlaments, nicht unsere. Compass versendet diese Benachrichtigungen nicht, empfängt sie nicht und führt keine Aufzeichnungen darüber. Sie können sich jederzeit direkt beim Parlament abmelden.

Die Dienstleister, die Daten im Auftrag von CL verarbeiten (die Europäische Kommission für eTranslation, OVHcloud und Cloudflare), erhalten nur, was ihr Dienst erfordert; sie sind mit ihrer Rolle in Abschnitt 10 aufgeführt.

Was ein rechtmäßiges Auskunftsersuchen erlangen kann und was nicht. Richtet eine Justiz-, Polizei- oder Verwaltungsbehörde ein für uns verbindliches Ersuchen an uns, so kommen wir ihm nach. Es lohnt sich, genau zu sagen, was dabei herausgegeben werden kann, damit sich niemand, weder Nutzer noch Behörde, darüber täuscht.

Für im Klartext vorliegende Daten ist die Befolgung unauffällig: Kontodaten, die Liste der verfolgten Dossiers, Stakeholder-Mappings und die daran hängenden analytischen Werte sind für die Plattform lesbar und können herausgegeben werden. Für Inhalte, die der Nutzer mit Ende-zu-Ende-Verschlüsselung geschützt hat, halten wir Chiffrat, und genau dieses können wir herausgeben. Den Klartext können wir nicht herausgeben, weil wir den Schlüssel nicht haben: Er wird aus dem Passwort des Nutzers abgeleitet, das wir nie erhalten und nie speichern; die Architektur, die dies bewirkt, ist in Abschnitt 10.1 beschrieben und bestand, bevor irgendein Ersuchen gestellt werden konnte.

Dies ist keine Verweigerung der Zusammenarbeit und keine Berufung auf ein Zeugnisverweigerungsrecht. Es ist ein vorab offengelegtes Fehlen technischer Mittel, das einheitlich gilt und uns ebenso trifft wie jeden anderen. Wir halten keinen Hauptschlüssel, keinen Wiederherstellungsschlüssel und keine hinterlegte Kopie, und wir können für bereits verschlüsselte Inhalte auch nachträglich keinen erzeugen — ein Schlüssel, der nicht existiert, kann nicht herausgegeben werden. Eine Behörde, die den Klartext solcher Inhalte sucht, müsste sich an die Person wenden, die den Schlüssel hält, also an den Nutzer. Genau das werden wir darlegen und zugleich alles herausgeben, was wir tatsächlich halten, wann immer wir rechtlich dazu verpflichtet sind. Gleichwohl bleibt es Sache der Nutzer, als hauptverantwortliche Stellen für die Verarbeitung, bei gerichtlichen Ersuchen uneingeschränkt mitzuwirken; CL Corporate Affairs Consulting unterstützt dabei nach besten Kräften, im Rahmen der ihr obliegenden Pflichten und im Rahmen der ihr zur Verfügung stehenden technischen Möglichkeiten.

Wir nennen lieber die Grenze dieser Position, als sie für mehr halten zu lassen, als sie ist. Was wir hier beschreiben, ist die Unfähigkeit, bereits verschlüsselte Inhalte zu entschlüsseln. Es ist nicht die Behauptung, keine Anordnung könne künftig irgendetwas von uns verlangen: Ein Gericht kann rechtmäßig Maßnahmen für die Zukunft anordnen, und wir wären daran gebunden wie jeder andere Betreiber. Daraus folgen zwei Konsequenzen, die wir im Sinne vollständiger Transparenz und Sorgfalt lieber ausdrücklich benennen. Verschlüsselung schützt, was bereits versiegelt ist, nicht das, was noch nicht geschrieben wurde. Und der einzige Moment, in dem verschlüsselte Inhalte im Klartext verarbeitet werden, ist das optionale KI-Relais nach Abschnitt 9.1, standardmäßig deaktiviert, ausschließlich mit einem vom Nutzer bereitgestellten Schlüssel betrieben, ohne etwas auf die Festplatte zu schreiben; deshalb beschreibt jener Abschnitt es so ausführlich. Sollten wir je gezwungen sein, wesentliche Bestandteile dieser Richtlinie zu ändern, würden wir sie unter strikter Beachtung unserer aufsichtsrechtlichen Pflichten ändern, unter Berücksichtigung der technischen Grenzen, in die sich solche künftigen Änderungen einfügen könnten, sowie etwaiger weiterer gesetzlicher Pflichten, die wir ebenfalls zu beachten haben.

Die vollständige Liste der Dienstleister, zusammen mit der Bestätigung, dass alle im Browser geladenen Assets (Web-Schriftarten und die Visualisierungsbibliothek D3.js) auf den EU-Servern von CL selbst gehostet werden, mit der einzigen Ausnahme der unten beschriebenen Anti-Roboter-Prüfung, sowie unsere Verpflichtung, die Nutzer über neue Unterauftragsverarbeiter zu informieren, sind in Abschnitt 10 dargelegt.

Cloudflare (Turnstile). Die beiden öffentlichen Formulare, das Antragsformular und das Kontaktformular, sind durch Cloudflare Turnstile gegen automatisierten Missbrauch geschützt. Für diese Prüfung erhält Cloudflare die IP-Adresse, den User-Agent des Browsers und technische Signale des Browsers. Sie läuft ausschließlich auf diesen beiden Seiten, auf keiner Seite der Anwendung selbst, und wird weder für Werbung noch für Verhaltensprofile verwendet. Cloudflare führt die Prüfung als Auftragsverarbeiter von CL durch; nach seiner eigenen Datenschutzerklärung verwendet es diese Signale zudem als Verantwortlicher, um seine Bot-Erkennung zu verbessern. Die Cloudflare, Inc. hat ihren Sitz in den Vereinigten Staaten: Die sich daraus ergebende Übermittlung und ihre Garantien sind in Abschnitt 10 beschrieben. Keine in Compass gespeicherten Inhalte werden ihr offengelegt.

13. Ihre Rechte

Die DSGVO gewährt Personen, deren personenbezogene Daten verarbeitet werden, bestimmte Rechte. Innerhalb von Compass gelten diese Rechte je nach Kategorie der betroffenen Person unterschiedlich:

Plattformnutzer (Account-Inhaber) können jederzeit:

• auf ihre Account-Daten zugreifen und Auskunft über deren Verarbeitung erhalten (Art. 15 DSGVO);
• unrichtige oder unvollständige Account-Daten berichtigen (Art. 16 DSGVO);
• ihren Account und alle zugehörigen Daten löschen (Recht auf Löschung, Art. 17 DSGVO), wie in Abschnitt 11 beschrieben;
• die Verarbeitung in den von Art. 18 DSGVO vorgesehenen Fällen einschränken;
• der auf das berechtigte Interesse gestützten Verarbeitung widersprechen (Art. 21 DSGVO);
• ihre Einwilligung jederzeit für die optionale KI-Funktion widerrufen, die standardmäßig deaktiviert ist und sich auf die Einwilligung des Nutzers stützt (Art. 7 Abs. 3 DSGVO); der Widerruf berührt nicht die Rechtmäßigkeit der zuvor durchgeführten Verarbeitung;
• ihr Passwort über das Dashboard ändern;
• die in Abschnitt 5 beschriebenen Erinnerungs-E-Mails abbestellen, über den Link in jeder dieser E-Mails oder unter Manage my account, jederzeit und ohne Auswirkung auf den Account;
• die von ihnen verfassten Inhalte (einschließlich Ende-zu-Ende-verschlüsselter Inhalte) über einen eigens dafür vorgesehenen Self-Service-Export unter Mein Account verwalten exportieren, der nur dem Account-Inhaber zur Verfügung steht. Da verschlüsselte Inhalte nur mit dem Passwort des Nutzers in dessen eigenem Browser entschlüsselt werden können, wird der Export clientseitig erzeugt, während der Nutzer angemeldet und entsperrt ist; CL hat niemals Zugang zum entschlüsselten Inhalt, und der Export umfasst daher Material, das für CL konstruktionsbedingt unlesbar ist (Datenübertragbarkeit, Art. 20 DSGVO). Der Export umfasst die vom Nutzer verfassten Inhalte, einschließlich der vollständigen Stakeholder-Mapping-Liste mit ihren Scores und Prioritätsquadranten. Eine Änderung der Anmelde-E-Mail-Adresse wird unter Manage my account beantragt; sie wird wirksam, sobald ein Administrator sie genehmigt hat und sie über das neue Postfach bestätigt wurde. In einem kollaborativen Organisations-Account exportiert jedes Mitglied die von ihm persönlich verfassten Inhalte; organisationsweite Daten werden vom Account-Manager bearbeitet. Der Umfang eines Exports hängt davon ab, ob sich der Inhaber noch anmelden kann: aus einer aktiven Sitzung heraus enthält er alles, auch verschlüsselte Inhalte, da der Browser sie lokal entschlüsselt; wird er nach Deaktivierung der Anmeldung bei CL angefragt, kann er nur enthalten, was CL technisch lesen kann — Kontodaten, verfolgte Dossiers und die Stakeholder-Mapping-Liste, allesamt konstruktionsbedingt unverschlüsselt — und niemals Ende-zu-Ende-verschlüsselte Inhalte.

Als Stakeholder erfasste Personen (Personen des öffentlichen Lebens, institutionelle Akteure), deren öffentlich verfügbare Daten in Compass verarbeitet werden, können:

• auf die über sie gespeicherten Daten zugreifen und Auskunft über die Verarbeitungszwecke erhalten;
• unrichtige Daten berichtigen;
• der auf das berechtigte Interesse gestützten Verarbeitung widersprechen (Art. 21 DSGVO), woraufhin der Verantwortliche prüft, ob zwingende schutzwürdige Gründe den Widerspruch überwiegen;
• die Löschung ihrer Daten verlangen, vorbehaltlich eines überwiegenden berechtigten Interesses oder einer rechtlichen Verpflichtung.

An wen man sich wenden kann: Anfragen zu Account-Daten des Nutzers sowie zu den Referenzdaten, die CL selbst erhebt (Abschnitt 4), sind an CL Corporate Affairs Consulting zu richten. Soweit ein Drittnutzer als Verantwortlicher für von ihm eingegebene Stakeholder-Daten handelt, sind Anfragen von Stakeholdern zu diesen Daten an den betreffenden Nutzer (Verantwortlichen) zu richten. CL Corporate Affairs Consulting unterstützt gegebenenfalls bei der Weiterleitung solcher Anfragen.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte über unser Kontaktformular. Bestehen begründete Zweifel an der Identität der antragstellenden Person, können wir die Informationen anfordern, die zur Bestätigung dieser Identität erforderlich sind, bevor wir tätig werden. Wir beantworten Anträge innerhalb eines Monats nach Eingang; diese Frist kann um bis zu zwei weitere Monate verlängert werden, wenn der Antrag komplex ist oder eine Vielzahl von Anträgen eingeht, worüber wir die antragstellende Person innerhalb des ersten Monats informieren. Sie können auch eine Beschwerde bei der CNIL (cnil.fr) oder bei jeder zuständigen Aufsichtsbehörde einreichen.

14. Cookies

Compass verwendet ein unbedingt erforderliches Erstanbieter-Session-Cookie (compass_session), das für die Authentifizierung benötigt wird. Es ist HTTP-only und Secure, wird mit SameSite=Lax gesetzt und speichert ausschließlich eine Sitzungskennung, über diese Kennung hinaus keine personenbezogenen Daten und kein websiteübergreifendes Tracking. Seine Lebensdauer entspricht der Sitzung des Nutzers; sie wird verlängert, wenn der Nutzer “Angemeldet bleiben” wählt, und ist andernfalls kurzlebig.

Auf den öffentlichen Seiten (der Startseite und den übrigen Seiten außerhalb der Anwendung) setzt Compass außerdem zwei rein funktionale Erstanbieter-Präferenz-Cookies, die keine personenbezogenen Daten, keine Kennung enthalten und kein Tracking durchführen: compass_lang speichert die vom Besucher gewählte Oberflächensprache (EN/FR/DE/IT), damit sie nicht bei jedem Besuch erneut ausgewählt werden muss, und compass_intro_seen vermerkt, dass die kurze Einführungsanimation bereits angezeigt wurde, damit sie nicht bei jedem Besuch erneut abgespielt wird. Beide sind Erstanbieter-Cookies, laufen nach etwa 7 Tagen ab und speichern lediglich einen einfachen Präferenzwert.

Es werden keine Tracking-, Profiling- oder Werbe-Cookies verwendet, und auf der Compass-Plattform ist kein Tool zur Reichweitenmessung im Einsatz. Da das Session-Cookie unbedingt erforderlich ist, um den vom Nutzer angeforderten Dienst (Authentifizierung) bereitzustellen, und die beiden Präferenz-Cookies rein funktional sind (beschränkt auf das Speichern vom Nutzer aktiv getroffener Entscheidungen und ohne personenbezogene Daten), fallen sie unter die Ausnahme für “unbedingt erforderliche / funktionale” Cookies der ePrivacy-Richtlinie (Art. 5 Abs. 3 der Richtlinie 2002/58/EG in ihrer Umsetzung ins französische Recht) und erfordern daher kein Einwilligungsbanner. Die Authentifizierung stützt sich ausschließlich auf dieses Session-Cookie und nicht auf Browser-Speicher; etwaige im Local Storage des Browsers gehaltene Daten bestehen nur aus nicht-personenbezogenen Oberflächeneinstellungen.

Die beiden öffentlichen Formulare (Antrag und Kontakt) laden Cloudflare Turnstile (Abschnitt 12), das allein zur Validierung der Anti-Roboter-Prüfung ein kurzlebiges technisches Token im Browser ablegen kann. Es hat keine Werbe- oder Tracking-Funktion, ist auf keiner anderen Seite vorhanden und fällt unter dieselbe Ausnahme der unbedingten Erforderlichkeit, da es zur Absicherung eines vom Besucher selbst angeforderten Dienstes erforderlich ist.

15. Meldung von Verletzungen des Schutzes personenbezogener Daten

CL Corporate Affairs Consulting betreibt die Compass-Infrastruktur und ist als Verantwortlicher auf Plattformebene für die Erkennung, Bewertung und Behandlung von Verletzungen des Schutzes personenbezogener Daten zuständig. Werden wir uns einer Verletzung des Schutzes personenbezogener Daten bewusst, die voraussichtlich ein Risiko für die Rechte und Freiheiten von Personen zur Folge hat, melden wir dies der CNIL unverzüglich und, soweit möglich, binnen 72 Stunden, nachdem uns die Verletzung bekannt wurde (Art. 33 DSGVO). Hat eine Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, benachrichtigen wir diese Personen unverzüglich (Art. 34 DSGVO), damit sie Schutzmaßnahmen ergreifen können.

Vermutet ein Nutzer einen Sicherheitsvorfall oder eine Verletzung, die seine Daten betrifft, kann er dies über unser Kontaktformular melden; CL untersucht den Vorgang und nimmt, wo die vorstehenden Schwellen erreicht sind, die erforderlichen Meldungen vor. Inhalte, für die ein Nutzer die optionale Ende-zu-Ende-Verschlüsselung (Abschnitt 10.1) aktiviert hat, werden ausschließlich als Chiffrat gespeichert, das CL nicht lesen kann, was die Auswirkungen einer solchen Verletzung auf diese Inhalte erheblich verringert.

16. Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Obwohl CL Corporate Affairs Consulting eine kleine Organisation ist, greift die Ausnahme nach Art. 30 Abs. 5 für Organisationen mit weniger als 250 Beschäftigten hier nicht, da die Verarbeitung regelmäßig erfolgt und Daten umfassen kann, die politische Meinungen offenbaren (eine besondere Kategorie nach Art. 9 DSGVO). CL führt daher ein Verzeichnis seiner Verarbeitungstätigkeiten, das der CNIL auf Anfrage zur Verfügung steht.

17. Datenschutz-Folgenabschätzung (Art. 35)

Da Compass die systematische Bewertung (Scoring) identifizierbarer Personen umfasst (die Einfluss-, Haltungs- und Dringlichkeitsbewertungen) auf der Grundlage von Daten, die politische Meinungen offenbaren können, behandelt CL Corporate Affairs Consulting diese Funktionen als solche, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern, und hat eine solche durchgeführt. Diese Folgenabschätzung dokumentiert die herangezogenen Schutzmaßnahmen: die öffentliche Eigenschaft der betroffenen Personen, die ausschließliche Nutzung öffentlicher Quellen, die in Abschnitt 6 dargelegte Abwägung des berechtigten Interesses, die Verfügbarkeit der optionalen Ende-zu-Ende-Verschlüsselung, die Möglichkeit des Nutzers, jeden Wert zu überschreiben, sowie das Fehlen jeglichen kommerziellen Profilings von Privatpersonen. Das Scoring von Personen des öffentlichen Lebens beruht auf dem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), gestützt auf diese Folgenabschätzung, die fortlaufend überprüft wird. Die vollständige Folgenabschätzung ist in unsere Datenschutz-Folgenabschätzung (DSFA) dargelegt.

18. Datenschutzbeauftragter (Art. 37) und Datenschutz-Kontakt

Die Frage nach Art. 37 folgt der in den Abschnitten 3 und 3.1 dargelegten Rollenverteilung: Wie der EuGH in Wirtschaftsakademie (C-210/16) und Fashion ID (C-40/17) entschieden hat, knüpft die datenschutzrechtliche Verantwortung, und mit ihr die Rolle des Datenschutzbeauftragten und Kontakts, an den tatsächlichen Umfang jedes Verarbeitungsvorgangs und an die Partei an, die dessen Mittel und Zwecke bestimmt, nicht an eine einzelne Bezeichnung. Compass umfasst zwei unterschiedliche Vorgänge, und die Antwort fällt für jeden anders aus.

Erstens: Für die in der Oberfläche verarbeiteten Daten Dritter, die Stakeholder, die ein Nutzer erfasst und bewertet, liegen die bestimmenden Entscheidungen (welche Personen verarbeitet werden, welche Daten, zu welchem Zweck) überwiegend beim Nutzer. Der Nutzer ist daher der Verantwortliche für diese Verarbeitung und, soweit seine eigene Tätigkeit eine Benennung nach Art. 37 DSGVO verpflichtend macht, diejenige Partei, die hierfür den Datenschutzbeauftragten benennt. CL Corporate Affairs stellt die Plattform, die Methodik und die technischen Schutzmaßnahmen bereit.

Zweitens: Für die Daten der Nutzer selbst, ihre Account- und Identifikationsdaten, sowie für die Referenzdaten, die es selbst aus amtlichen Quellen erhebt (Abschnitt 4), ist CL Corporate Affairs Consulting der Verantwortliche. CL hat keinen Datenschutzbeauftragten im Sinne von Art. 37 DSGVO benannt und ist dazu nicht verpflichtet: Nach seiner Beurteilung fällt keine dieser Verarbeitungen unter die Fälle, in denen Art. 37 Abs. 1 eine Benennung vorschreibt, da die Account-Daten begrenzt sind und die Referenzdaten einen bestimmten Kreis von Inhabern öffentlicher Ämter betreffen und von den Institutionen selbst veröffentlicht werden, sodass keine von ihnen eine umfangreiche regelmäßige und systematische Überwachung oder eine umfangreiche Verarbeitung besonderer Datenkategorien darstellt. CL überprüft diese Beurteilung fortlaufend und wird einen Datenschutzbeauftragten benennen, sollten Umfang oder Art seiner Verarbeitungen dies erfordern. Datenschutzfragen werden von einem Datenschutz-Ansprechpartner (Datenschutz-Referenten) bearbeitet, dem gesetzlichen Vertreter von CL, erreichbar über unser Kontaktformular, der die Einhaltung für die Verarbeitung auf Plattformebene überwacht, Anträge bearbeitet und mit der CNIL in Verbindung steht. Es handelt sich um eine Anlaufstelle, nicht um einen Datenschutzbeauftragten im Sinne der Art. 37 bis 39 DSGVO.

Die Benennung des Datenschutz-Ansprechpartners durch CL ist schriftlich festgehalten: siehe unsere Benennung des Datenschutz-Referenten.

19. Information der Stakeholder (Art. 14)

Ein Teil der in Compass verarbeiteten personenbezogenen Daten betrifft Dritte (die von Nutzern erfassten Personen des öffentlichen Lebens) und wird nicht bei diesen Personen selbst, sondern aus öffentlichen Quellen erhoben (die in den Abschnitten 4 und 7 genannten offiziellen institutionellen Datenbanken und Register). Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, ist Art. 14 DSGVO anwendbar. Da es der Nutzer ist, der die zu erfassenden Stakeholder auswählt und die eingegebenen Daten sowie den verfolgten Zweck bestimmt (Abschnitte 3 und 3.1), obliegt die Informationspflicht nach Art. 14 in erster Linie dem Nutzer als Verantwortlichem dieser Analyse; CL Corporate Affairs Consulting als Plattformanbieter erleichtert die Einhaltung, unter anderem dadurch, dass es die nachstehenden allgemeinen Informationen öffentlich zugänglich macht und den betroffenen Personen die Ausübung ihrer Rechte ermöglicht (Abschnitt 13).

Ob jede dieser Personen einzeln informiert werden sollte, hat CL geprüft; die Beurteilung ist hier dargelegt und wird fortlaufend überprüft. Sie stützt sich nicht allein auf die Zahl der Personen, die nur ein Faktor unter mehreren ist. Die Daten betreffen die Ausübung öffentlicher Ämter der betroffenen Personen und stammen aus dem, was die Institutionen selbst veröffentlichen, oder aus dem, was diese Personen selbst veröffentlicht haben; ihre institutionelle Tätigkeit zu verfolgen ist gerade der Zweck der Transparenzregelungen, denen diese Quellen dienen, sodass die Verarbeitung von einer Art ist, mit der Inhaber öffentlicher Ämter vernünftigerweise rechnen können; sie führt zu keiner Entscheidung über sie und zu keiner in ihrem Namen unternommenen Kontaktaufnahme; und bei der Analyse, die ein Nutzer erstellt, würde eine individuelle Information der Person eine vertrauliche berufliche Strategie offenlegen und damit die Ziele dieser Verarbeitung ernsthaft beeinträchtigen. Angesichts dieser Umstände, die den Nutzen einer individuellen Information für die betroffenen Personen gering machen, wäre die individuelle Benachrichtigung der zahlreichen auf der Plattform erfassten Personen (Mitglieder und Bedienstete der Institutionen, Interessenvertreter) mit einem unverhältnismäßigen Aufwand verbunden, und CL stützt sich auf die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO. Als die nach dieser Bestimmung erforderliche geeignete Maßnahme werden diese Informationen über eben diese Datenschutzerklärung öffentlich zugänglich gemacht, die die Kategorien der Daten, die Quellen, die Zwecke und Rechtsgrundlagen sowie die den betroffenen Personen zustehenden Rechte beschreibt (siehe insbesondere die Abschnitte 4, 6, 7 und 13), und jede betroffene Person kann diese Rechte über unser Kontaktformular ausüben.

Die eigene Analyse eines Stakeholders durch einen Nutzer, die zugeordneten Positionen, die eingeschätzten Bewertungen und die begleitende Begründung, ist vertrauliches berufliches Arbeitsergebnis, und ob es jemals veröffentlicht oder offengelegt wird, ist allein eine Entscheidung dieses Nutzers. Dementsprechend unterliegt ein Antrag auf Zugang zu solchen Daten nach Art. 15 DSGVO der in Art. 15 Abs. 4 DSGVO und Erwägungsgrund 63 anerkannten Grenze, wonach das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf, einschließlich der Vertraulichkeit des analytischen Arbeitsergebnisses eines Nutzers und etwaiger anwendbarer Geschäftsgeheimnisse.

Geschäftsgeheimnis und Scoring von Personen des öffentlichen Lebens. Hier treffen zwei berechtigte Interessen aufeinander, und die DSGVO sagt selbst, wie sie in Einklang zu bringen sind: Nach Erwägungsgrund 63 darf das Auskunftsrecht Geschäftsgeheimnisse nicht beeinträchtigen, doch darf dies nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Compass wendet diese Regel wie folgt an.

• Was geschützt ist. Die von CL entwickelte Methodik zur Gewichtung institutionellen Einflusses (die Gesamtheit der berücksichtigten Faktoren, ihre Gewichtungen, die Art ihrer Kombination und die Schwellenwerte, die eine Person einem Prioritätsquadranten zuordnen) hat gerade deshalb wirtschaftlichen Wert, weil sie nicht öffentlich ist, und CL hält sie vertraulich. Sie ist ein Geschäftsgeheimnis im Sinne der Richtlinie (EU) 2016/943 und der Artikel L. 151-1 ff. des französischen Handelsgesetzbuchs (Code de commerce). Der Schutz erstreckt sich auf die Methode, nie auf die Daten: Keine personenbezogenen Daten werden mit der Begründung zurückgehalten, dass sie in die Berechnung einfließen.
• Was die betroffene Person stets erhalten kann. Die über sie gespeicherten personenbezogenen Daten, bei denen es sich um öffentlich dokumentierte Tatsachen handelt (Funktionen, Verantwortlichkeiten in Ausschüssen, Fraktion, absolvierte Mandate, Berichte); die Zwecke und Quellen der Verarbeitung; die Art der Faktoren, auf denen der Score beruht, wie in Abschnitt 3.1 beschrieben; und den Umstand, dass der Score ein Gewicht in einem Verfahren misst, keine Meinung. Steht der Score im Mapping eines Nutzers, ist dieses Mapping das vertrauliche Arbeitsergebnis dieses Nutzers, und der Antrag ist an ihn als Verantwortlichen zu richten (Abschnitt 13).
• Was zurückgehalten wird und warum die Abwägung trägt. Zurückgehalten werden nur die vollständige Liste der Faktoren und ihre Gewichtungen. Der Score betrifft ausschließlich die öffentliche Rolle der Person, wird aus Tatsachen berechnet, die sie überprüfen kann, und führt zu keiner Entscheidung über sie: Es liegt keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung im Sinne von Art. 22 DSGVO vor, an die Art. 15 Abs. 1 lit. h die Pflicht knüpft, die involvierte Logik zu erläutern, und CL beschreibt diese Logik dennoch in ihren Grundzügen. Die Person behält wirksame Rechtsbehelfe: Ist eine Tatsache unrichtig, korrigiert die Berichtigung (Art. 16) den darauf beruhenden Score, und sie kann der Verarbeitung widersprechen (Art. 21).
• Unabhängige Kontrolle. Das Geheimnis wird denjenigen, die die Einhaltung überwachen, nie entgegengehalten: Benötigt die CNIL, eine andere Aufsichtsbehörde oder ein Gericht die vollständige Methodik zur Prüfung einer Beschwerde, würde CL sie ihr offenlegen, damit sie die betroffenen Rechte selbst abwägen kann, nach dem vom Gerichtshof entwickelten Ansatz (Dun & Bradstreet Austria, C-203/22, 27. Februar 2025).
• Was das Geheimnis nicht umfasst. Der Haltungs-Score gehört nicht zur Methodik von CL: Er ist die eigene Einschätzung des Nutzers (Abschnitt 7) und als dessen Arbeitsergebnis nach Art. 15 Abs. 4 DSGVO geschützt, nicht als Geschäftsgeheimnis von CL.

20. Änderungen dieser Erklärung

Diese Erklärung kann aktualisiert werden, um Änderungen der Funktionen der Plattform, der geltenden Gesetzgebung oder der regulatorischen Leitlinien widerzuspiegeln. Änderungen werden auf dieser Seite mit einem aktualisierten Datum veröffentlicht. Soweit Änderungen die Verarbeitung personenbezogener Daten wesentlich betreffen, werden die Nutzer bei ihrer nächsten Anmeldung benachrichtigt.