Datenschutzerklärung

Gültig ab 14. August 2026. Gilt für CommonLynk („CommonLynk“, „wir“, „uns“), betrieben von Common Ground Solutions (CGS), einer nach dem ägyptischen Gesetz Nr. 159 von 1981 gegründeten Gesellschaft mit beschränkter Haftung (limited liability company), New Maadi, Kairo, Ägypten.

1. Über diese Richtlinie

Diese Richtlinie erläutert, wie CommonLynk personenbezogene Daten verarbeitet, wenn Sie unsere Website besuchen, ein Konto anlegen und die CommonLynk-Plattform nutzen. Wir verpflichten uns, personenbezogene Daten zu schützen und sie im Einklang mit den maßgeblichen Datenschutzregelwerken, einschließlich der EU-Datenschutz-Grundverordnung (DSGVO; General Data Protection Regulation, GDPR), sowie den Datenschutzgesetzen, die auf Ihre Nutzung der Plattform anwendbar sind, zu verarbeiten.

CommonLynk ist eine mandantenfähige Plattform (Multi-Tenant-Plattform), die Organisationen (NRO, zivilgesellschaftliche und vergleichbare Einrichtungen – „Organisationen“) nutzen, um ihre Programme, Begünstigten, Formulare und Berichterstattung zu verwalten.

2. Unsere beiden Rollen

Als Verantwortlicher: Für Daten über unsere direkten Kundinnen und Kunden sowie Besucherinnen und Besucher unserer Website – Kontoinhabende, Ansprechpersonen für die Rechnungsstellung und Personen, die uns kontaktieren – entscheiden wir, zu welchem Zweck und auf welche Weise diese Daten verarbeitet werden. Diese Richtlinie regelt diese Verarbeitung.
Als Auftragsverarbeiter: Für die Daten, die eine Organisation über die Einzelpersonen, Haushalte und Einrichtungen, die sie auf der Plattform erfasst und betreut (jeweils eine „begünstigte Person“), sowie über ihre Tätigkeit eingibt, ist die Organisation der Verantwortliche, und CommonLynk handelt ausschließlich als Auftragsverarbeiter auf dokumentierte Weisung der Organisation. Diese Verarbeitung unterliegt unserem Auftragsverarbeitungsvertrag, und Fragen zu diesen Daten sind an die jeweilige Organisation zu richten.

3. Personenbezogene Daten, die wir erheben (als Verantwortlicher)

Konto & Identität: Name, dienstliche E-Mail-Adresse, Organisation, Rolle, Sprach- und Regionaleinstellungen.
Authentifizierung: Passwort (gehasht), Einmal-Anmeldecodes sowie Sicherheits- und Anmelde-Metadaten.
Abrechnung: Rechnungsname, Anschrift, Steuernummer, Abonnement, Rechnungen und Zahlungsreferenzen. Wir speichern keine vollständigen Kartennummern – Kartenzahlungen werden von unserem Zahlungsdienstleister abgewickelt; Referenzen zu Banküberweisungen und von Ihnen hochgeladene Nachweise werden zum Abgleich der Zahlung gespeichert.
Nutzungs- & technische Daten: IP-Adresse (unter anderem verwendet, um die passende Währung und Sprache anzuzeigen), Geräte- und Browserdaten sowie Protokolldaten.
Kommunikation: Nachrichten, die Sie uns senden, sowie Metadaten zur E-Mail-Zustellung.
Diagnose- & Supportdaten: Wenn auf der Plattform ein Fehler auftritt oder wenn Sie ein Problem melden oder einen Vorschlag machen, erfassen wir technische Informationen über den Vorgang – die Seitenadresse, die technischen Fehlerdetails, Ihren Browser und Ihr Betriebssystem, Ihre Sprache, den Zeitpunkt, Ihr Konto und Ihre Organisation sowie eine Aufzeichnung der unmittelbar zuvor ausgeführten Aktionen (die Art der Aktion und die Bezeichnung des verwendeten Bedienelements – niemals die von Ihnen eingegebenen Inhalte oder die Datensätze, die Sie angesehen haben). Wenn Sie sich entscheiden, einer Meldung einen Screenshot oder eine Datei beizufügen, speichern wir diese ebenfalls. Abschnitt 6 erläutert, wie diese Daten behandelt werden, einschließlich unserer Schutzvorkehrungen für Screenshots.

4. Warum wir die Daten verwenden und unsere Rechtsgrundlagen

Wir verarbeiten die vorstehenden Daten, um: den Dienst bereitzustellen und abzusichern; Sie zu authentifizieren; Abonnements, Zahlungen und Rechnungen abzuwickeln; Support zu leisten; Störungen der Plattform zu diagnostizieren, zu beheben und zu verhindern (Abschnitt 6); Dienst- und Transaktions-E-Mails zu versenden; und gesetzliche Pflichten zu erfüllen. Je nach anwendbarem Recht gehören zu unseren Rechtsgrundlagen die Erfüllung eines Vertrags, berechtigte Interessen, die Einwilligung und die Erfüllung gesetzlicher Pflichten. Soweit die Einwilligung die Rechtsgrundlage ist, können Sie sie jederzeit widerrufen. Unser berechtigtes Interesse an Diagnosedaten besteht darin, den korrekten und sicheren Betrieb der Plattform zu gewährleisten; wir beschränken die Erhebung auf das, was diesem Zweck dient.

5. Unterauftragsverarbeiter und Weitergabe

Wir setzen sorgfältig geprüfte Dritte ein, um den Dienst zu betreiben – beispielsweise für die E-Mail-Zustellung, die Zahlungsabwicklung sowie Cloud-Hosting und Datensicherungen. Sie verarbeiten Daten ausschließlich auf unsere Weisung und unter angemessenen Garantien. Eine aktuelle Liste der Unterauftragsverarbeiter (Sub-processors) – mit Angabe jedes Anbieters, der von ihm verarbeiteten Daten und des Verarbeitungsorts – findet sich im Abschnitt Unterauftragsverarbeiter (aktuelle Liste) am Ende dieser Richtlinie. Wir kündigen die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an, damit Organisationen aus berechtigten datenschutzrechtlichen Gründen widersprechen können. Wir verkaufen keine personenbezogenen Daten.

5A. Anbindung Ihres eigenen Speichers (Google Drive, Dropbox, OneDrive oder S3)

Eine Organisation kann optional ihren eigenen Cloud-Speicher anbinden, damit CommonLynk dort eine Kopie der verschlüsselten Sicherungspakete der Organisation ablegt (siehe Auftragsverarbeitungsvertrag Abschnitt 4A(8)). Wenn Sie ein solches Konto anbinden, verwendet CommonLynk ausschließlich einen auf den App-Ordner beschränkten Zugriff: Die Verbindung kann stets nur die Sicherungsdateien lesen und schreiben, die CommonLynk selbst in seinem eigenen dafür vorgesehenen Ordner erstellt – sie kann keine Ihrer anderen Dateien in diesem Konto jemals sehen, lesen oder darauf zugreifen.

Eingeschränkte Nutzung der Google-APIs (Google API Limited Use). Soweit Sie Google Drive anbinden, entspricht die Nutzung und Übermittlung von Informationen, die CommonLynk über Google-APIs erhält, der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use). Insbesondere verwendet CommonLynk Google-Nutzerdaten nicht zur Ausspielung von Werbung; verkauft sie nicht und übermittelt sie auch nicht an Datenhändler oder Informationswiederverkäufer; verwendet sie nicht zur Beurteilung der Kreditwürdigkeit oder für Kreditvergabezwecke; und verwendet sie nicht zum Trainieren, Erstellen oder Verbessern allgemeiner Modelle der künstlichen Intelligenz oder des maschinellen Lernens. Menschen lesen diese Daten nicht, außer mit Ihrer ausdrücklichen Einwilligung, soweit dies aus Sicherheitsgründen oder zur Einhaltung gesetzlicher Vorschriften erforderlich ist, oder in aggregierter bzw. anonymisierter Form für interne Betriebszwecke. Die entsprechende Beschränkung auf den App-Ordner gilt für Dropbox (App Folder) und OneDrive (Microsoft Graph Files.ReadWrite.AppFolder).

6. Diagnosedaten und Fehlermeldungen

Wenn auf der Plattform etwas schiefläuft oder Sie ein Problem melden, erfassen wir Diagnosedaten, damit wir die Störung nachvollziehen und beheben können: die technischen Fehlerdetails, die Seitenadresse, den Browser und das Betriebssystem, die Sprache der Benutzeroberfläche, Zeitstempel, wer angemeldet war und in welchem Arbeitsbereich, sowie eine Spur der Aktionen unmittelbar vor der Störung – beschränkt auf die Art der Aktion und die Bezeichnung des verwendeten Bedienelements, niemals auf das Eingegebene oder den Inhalt eines Datensatzes. Sie können sich außerdem entscheiden, einen Screenshot oder eine Datei beizufügen.

Meldungen werden von Menschen gelesen. Unsere Supportmitarbeitenden erhalten täglich eine interne Zusammenfassung mit den eingegangenen Meldungen, sodass jede einzelne von einem Menschen gelesen wird. Diese Zusammenfassung wird per E-Mail versandt und enthält niemals einen Screenshot oder eine hochgeladene Datei – sie enthält einen Link, der die Meldung innerhalb der Plattform öffnet, sodass die nachstehenden Schutzvorkehrungen weiterhin gelten, einschließlich der Protokollierung, wer sie geöffnet hat.

Screenshots verdienen eine besondere Erwähnung. Ein Screenshot einer Seite der Plattform kann personenbezogene Daten über die Menschen enthalten, die eine Organisation betreut. Daher gilt: Screenshots werden nur dann erstellt, wenn eine Person sich entscheidet, einen beizufügen; die Person sieht vor dem Absenden eine Vorschau und kann beliebige Teile davon schwärzen oder den Screenshot verwerfen; sie werden in einem geschützten Speicher abgelegt, der aus dem öffentlichen Internet nicht erreichbar ist; nur befugte Supportmitarbeitende können einen Screenshot öffnen, und jedes Öffnen wird in unserem Prüfprotokoll erfasst; und sie werden gemäß der Richtlinie zur Datenaufbewahrung aufbewahrt und gelöscht.

7. Internationale Übermittlungen

Die Plattform kann Daten in mehr als einem Land verarbeiten. Werden personenbezogene Daten grenzüberschreitend übermittelt, wenden wir die nach anwendbarem Recht erforderlichen Garantien an (dazu können aufsichtsbehördliche Genehmigungen, vertragliche Garantien wie Standardvertragsklauseln oder ein Hosting in der Region gehören, das die jeweilige Rechtsordnung vorschreibt). Organisationen sollten den Auftragsverarbeitungsvertrag auf Einzelheiten prüfen, die für die Daten ihrer Begünstigten maßgeblich sind.

8. Aufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die vorstehenden Zwecke erforderlich und gesetzlich vorgeschrieben ist. Konto- und Arbeitsbereichsdaten folgen dem Lebenszyklus in unserer Richtlinie zur Datenaufbewahrung (aktiv → Kulanzfrist → ruhend → Löschung).

9. Ihre Rechte

Vorbehaltlich des anwendbaren Rechts haben Sie gegebenenfalls das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch gegen die Verarbeitung, auf Widerruf einer Einwilligung und auf Übertragbarkeit Ihrer personenbezogenen Daten sowie das Recht, Beschwerde bei Ihrer Datenschutzaufsichtsbehörde einzulegen. Um diese Rechte in Bezug auf Daten auszuüben, die wir als Verantwortlicher verarbeiten, wenden Sie sich an unsere Datenschutzbeauftragte, Yasmine Ossama – dpo@commonlynk.com. Für Daten, die eine Organisation als begünstigte Person über Sie verarbeitet, wenden Sie sich an diese Organisation (wir unterstützen sie als Auftragsverarbeiter).

10. Sicherheit

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein – darunter Transportverschlüsselung (HTTPS), Zugriffskontrollen, Mandantentrennung, authentifizierten Zugriff auf hochgeladene Dateien und regelmäßige Datensicherungen. Kein System ist vollkommen sicher, doch wir arbeiten daran, Ihre Daten zu schützen und die zuständigen Stellen im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich zu benachrichtigen.

11. Kinder

Die Plattform ist für die Nutzung durch Organisationen und deren Mitarbeitende bestimmt, nicht für die unmittelbare Nutzung durch Kinder. Soweit eine Organisation Daten über Kinder als begünstigte Personen erfasst, ist die Organisation der Verantwortliche und für die erhöhten Anforderungen an Einwilligung und Schutz verantwortlich, die das anwendbare Recht vorschreibt; CommonLynk unterstützt dies als Auftragsverarbeiter.

12. Änderungen & Kontakt

Wir können diese Richtlinie aktualisieren; das Datum der „letzten Aktualisierung“ ändert sich dann, und über wesentliche Änderungen wird informiert. Fragen oder Anliegen: unsere Datenschutzbeauftragte, Yasmine Ossama – dpo@commonlynk.com / Common Ground Solutions (CGS), eine nach dem ägyptischen Gesetz Nr. 159 von 1981 gegründete Gesellschaft mit beschränkter Haftung, New Maadi, Kairo, Ägypten.

Unterauftragsverarbeiter (aktuelle Liste)

Worum es auf dieser Seite geht

Ein Unterauftragsverarbeiter ist ein Drittunternehmen, das im Auftrag von CommonLynk personenbezogene Daten verarbeitet, um den Dienst zu erbringen. Diese Seite nennt jeden einzelnen davon und gibt an, welche Daten er verarbeitet und wo, damit eine Organisation, die CommonLynk nutzt, ihre eigenen Rechenschaftspflichten und die Sorgfaltspflichten gegenüber Gebern erfüllen kann.

Mitteilung über Änderungen. Wir kündigen Organisationen die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an. Eine Organisation kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; das Verfahren ist in Abschnitt 5 des AVV geregelt. Um Änderungsmitteilungen zu erhalten, wenden Sie sich an unsere Datenschutzbeauftragte, Yasmine Ossama – dpo@commonlynk.com.

Zuletzt überprüft: 18. August 2026.

Aktuelle Unterauftragsverarbeiter

Brevo

Zweck: Versand ausgehender Transaktions-E-Mails – Nachrichten zu Konto, Abrechnung, Support und Benachrichtigungen
Verarbeitete personenbezogene Daten: Name und E-Mail-Adresse der Empfangenden, Betreff und Text der Nachricht, Zustellungsmetadaten
Verarbeitungsort: EU
Status: Aktiv

Paymob

Zweck: Abwicklung von Kartenzahlungen
Verarbeitete personenbezogene Daten: Rechnungsname, Kontaktdaten, Zahlungskennungen. CommonLynk erhält oder speichert niemals Kartennummern – diese werden auf der eigenen gehosteten Seite des Anbieters eingegeben
Verarbeitungsort: Ägypten
Status: Eingerichtet – verarbeitet noch keine echten Karteninhaberdaten; wird mit der ersten echten Zahlung aktiviert

Contabo GmbH

Zweck: Hosting der Serverinfrastruktur (VPS, auf dem die Plattform und ihre Datenbanken laufen, einschließlich des ersten Mandanten-Arbeitsbereichs) sowie zugriffsgeschützter externer Speicher für Datensicherungen
Verarbeitete personenbezogene Daten: Sämtliche Plattformdaten – gespeichert, in der Verarbeitung und in vollständigen Datensicherungen
Verarbeitungsort: Deutschland (EU)
Status: Aktiv

Erweiterung des Hostings. Mit dem Wachstum von CommonLynk können weitere Arbeitsbereiche bei anderen Anbietern oder in anderen Ländern gehostet werden. Jeder solche Anbieter wird in dieser Liste genannt, und Organisationen werden vor seiner Hinzuziehung gemäß Abschnitt 5 des AVV im Voraus benachrichtigt.

Keine Unterauftragsverarbeiter

Aufgeführt, damit ersichtlich ist, dass ihr Fehlen beabsichtigt und kein Versehen ist – Prüfende im Rahmen der Due-Diligence-Prüfung fragen danach:

GeoNames

Warum kein Unterauftragsverarbeiter: CommonLynk bezieht dort öffentliche Referenzdaten zu Verwaltungsgliederungen. Es werden keine personenbezogenen Daten übermittelt.

Öffentliche Wechselkursquelle

Warum kein Unterauftragsverarbeiter: Kurse werden abgerufen; es wird nichts übermittelt.

Zuordnung von IP-Adresse zu Land (lokale Datenbank)

Warum kein Unterauftragsverarbeiter: Das Land der Besuchenden (für Währung und Sprache) wird aus einer lokalen Datenbank ausgelesen; keine IP-Adresse wird an Dritte übermittelt.

Eigene Hardwarewartung der Contabo GmbH

Warum kein Unterauftragsverarbeiter: Durch den vorstehenden Hosting-Vertrag abgedeckt, keine gesonderte Beauftragung.

Vom Verantwortlichen angebundener Treuhandspeicher (Google Drive / Dropbox / OneDrive / S3)

Warum kein Unterauftragsverarbeiter: Wenn eine Organisation ihren eigenen Speicher anbindet, um Sicherungskopien zu erhalten, ist dieses Konto eine eigene Einrichtung der Organisation und kein Unterauftragsverarbeiter von CommonLynk. CommonLynk verwendet einen auf den App-Ordner beschränkten Zugriff und kann nur auf die von ihm selbst erstellten Sicherungsdateien zugreifen. Siehe AVV Abschnitt 4A(8).

Was wir von jedem Unterauftragsverarbeiter verlangen

Gemäß Abschnitt 5 des AVV ist jeder Unterauftragsverarbeiter durch eine schriftliche Vereinbarung gebunden, die Datenschutzpflichten auferlegt, die mindestens so schützend sind wie diejenigen, die CommonLynk gegenüber seinen Organisationen schuldet, und CommonLynk bleibt für deren Leistung in vollem Umfang haftbar.