Stand: 24. Juli 2026
eBusiness Solutions OÜ verarbeitet personenbezogene Daten gemäß der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) und dem estnischen Datenschutzgesetz.
Diese Seite erläutert, wie die sieben Grundsätze des Artikels 5 der DSGVO im täglichen Betrieb eines lizenzierten Unternehmensdienstleisters angewendet werden, welche Rechte Ihnen als betroffene Person zustehen und wie Sie diese ausüben können. Zudem klärt sie explizit eine der von Kunden am häufigsten gestellten Fragen: Warum bestimmte Daten selbst auf ausdrückliches Verlangen hin nicht gelöscht werden können und auf welchen gesetzlichen Grundlagen dies beruht.
Spezifische Verarbeitungstätigkeiten (welche genauen Datenkategorien von wem, zu welchem Zweck erhoben und an wen sie übermittelt werden) sind in unserer Datenschutzerklärung detailliert beschrieben. Das vorliegende Dokument erläutert die Kernprinzipien und dient als Ergänzung, nicht als Ersatz dieser Datenschutzerklärung.
| Parameter | Wert |
|---|---|
| Offizieller Firmenname | eBusiness Solutions OÜ |
| Registernummer | 16618432 |
| USt-IdNr. (KMKR) | EE102672239 |
| TCSP-Lizenz | FIU000421 |
| Sitzadresse | Tornimäe tn 7-169, 10145 Tallinn, Estland |
| Datenschutzaufsichtsbehörde | Estnische Datenschutzinspektion |
Wichtige Unterscheidung in unserer Geschäftstätigkeit:
In bestimmten Prozessen agieren wir als Verantwortlicher (wenn wir die Zwecke der Verarbeitung bestimmen: Vertragsschluss mit Ihnen, Durchführung von KYC-Prüfungen, Marketing). In anderen Prozessen agieren wir als Auftragsverarbeiter (wenn wir die Buchhaltung für Ihr Unternehmen führen und personenbezogene Daten Ihrer Mitarbeiter und Vertragspartner auf Ihre Weisung hin verarbeiten). Im zweiten Szenario bestimmen Sie die Verarbeitungszwecke, und unsere Beziehung wird durch einen separaten Auftragsverarbeitungsvertrag (AVV / DPA) geregelt. Das vorliegende Dokument beschreibt ausschließlich unsere Rolle als Verantwortlicher.
Wir verarbeiten Daten nur dann, wenn mindestens eine Rechtsgrundlage gemäß Artikel 6 DSGVO vorliegt. In unserer Geschäftstätigkeit werden vier primäre Rechtsgrundlagen genutzt:
| Rechtsgrundlage | Anwendungsfall |
|---|---|
| Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) | Dienstleistungserbringung: Bereitstellung der Geschäftsadresse, Kontaktperson, Unternehmensregistrierung, Buchhaltung. |
| Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) | Kundenidentifizierung und -überprüfung gemäß RahaPTS (Geldwäschegesetz), Sanktionsprüfung, behördliche Berichterstattung. |
| Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) | Systemsicherheit, Website-Analytik, Betrugsprävention. |
| Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) | Newsletter, Marketingkommunikation, nicht essenzielle Cookies. |
Diese Aufschlüsselung ist keine reine Formalität: Ihre Rechte hängen direkt von der herangezogenen Rechtsgrundlage ab. Daten, die aufgrund einer rechtlichen Verpflichtung verarbeitet werden, können auf Ihr Verlangen hin nicht gelöscht werden, während eine auf einer Einwilligung beruhende Verarbeitung jederzeit widerrufen werden kann.
Transparenz bedeutet für uns konkrete, klare Angaben statt vager Formulierungen. Wir geben präzise an, welche Datenkategorien wir erheben, auf welcher Grundlage und für welche Speicherfristen, und informieren Sie vorab, falls zusätzliche Dokumente zur Erbringung einer Dienstleistung erforderlich sind.
Daten, die für einen bestimmten Zweck erhoben wurden, werden nicht für einen anderen, unvereinbaren Zweck wiederverwendet.
Praktisches Branchenbeispiel: Dokumente, die zum Bestehen von KYC-Compliance-Prüfungen vorgelegt werden (Reisepasskopien, Herkunftsnachweise von Geldmitteln, Eigentümerstrukturen), werden ausschließlich für Compliance-Zwecke und zur Offenlegung gegenüber Aufsichtsbehörden auf deren rechtmäßige Anfrage verwendet. Sie werden niemals in Marketing-Datenbanken aufgenommen, zur Erstellung kommerzieller Angebote verwendet oder für Werbezwecke an Dritte weitergegeben.
Sollte ein neuer Verarbeitungszweck entstehen, werden wir entweder Ihre ausdrückliche Einwilligung einholen oder eine andere rechtmäßige Grundlage schaffen — und Sie vor Beginn der Verarbeitung darüber informieren.
Wir fordern nur den Umfang an Daten an, der für die jeweilige Dienstleistung unbedingt erforderlich und dem zugewiesenen Risikoprofil des Kunden angemessen ist.
In der Praxis variieren die angeforderten Dokumente: Für den Null-Jahresbericht einer ruhenden Gesellschaft sind die Anforderungen minimal; für einen Kunden, der mit Krypto-Vermögenswerten oder komplexen Unternehmensstrukturen arbeitet, sind die Anforderungen an die Dokumentation gemäß dem risikobasierten Ansatz nach RahaPTS deutlich umfangreicher. Wir erheben keine Daten „auf Vorrat“ und begründen jede Anfrage mit einer spezifischen rechtlichen oder operationalen Notwendigkeit.
Sollte unklar sein, warum ein bestimmtes Dokument angefordert wird, haben Sie das Recht, eine formelle Erklärung anzufordern und zu erhalten.
Unrichtige Daten haben in unserer Branche direkte Konsequenzen: Ein Fehler bei den persönlichen Daten eines Vorstandsmitglieds, die an das Handelsregister übermittelt werden, führt zur Ablehnung des Antrags, während eine veraltete Adresse das Risiko birgt, behördliche Mitteilungen zu verpassen.
Daher fordern wir regelmäßig Bestätigungen der Datenrichtigkeit an (was auch durch die Regeln der fortlaufenden AML-Überwachung vorgeschrieben ist), nehmen Aktualisierungen nach Ihrer Mitteilung umgehend vor und überprüfen Angaben gegebenenfalls gegen öffentliche Register.
Ihre Mitwirkung ist essenziell: Bitte informieren Sie uns unverzüglich über Änderungen Ihrer Kontaktdaten, der Vorstandsstruktur, der Eigentümerverhältnisse oder der Geschäftstätigkeit. Dies stellt sowohl die Servicequalität als auch die Einhaltung gesetzlicher Vorschriften sicher.
Jeder Datenkategorie ist eine spezifische Aufbewahrungsfrist zugewiesen, nach deren Ablauf die Daten sicher gelöscht oder anonymisiert werden:
| Kategorie | Aufbewahrungsfrist | Gesetzliche / Rechtliche Grundlage |
|---|---|---|
| KYC/AML-Unterlagen & Kunden-Screening-Daten | 5 Jahre nach Beendigung der Geschäftsbeziehung | Estnisches Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (RahaPTS) |
| Buchhaltungsunterlagen & Primärbelege | 7 Jahre ab Ende des jeweiligen Geschäftsjahres | Estnisches Rechnungslegungsgesetz (Raamatupidamise seadus) |
| Verträge & Geschäftskorrespondenz | 3 Jahre nach Vertragsbeendigung | Allgemeine zivilrechtliche Verjährungsfrist |
| Einwilligungsbasierte Daten (Marketing) | Bis zum Widerruf der Einwilligung | Art. 6 Abs. 1 lit. a DSGVO |
| Anfragen ohne nachfolgenden Vertragsschluss | In der Regel bis zu 12 Monate | Berechtigtes Interesse |
Speicherfristen dürfen nur in ausdrücklich geregelten gesetzlichen Fällen verlängert werden — etwa auf Anordnung einer Aufsichtsbehörde oder während eines laufenden Gerichtsverfahrens.
Technische Maßnahmen: Verschlüsselung der Übertragungskanäle und der Speicherung sensibler Dokumente, Zugriffsrechte-Management, automatisierte Backups, Infrastruktursicherheit und Patch-Überwachung.
Organisatorische Maßnahmen: Der Zugriff auf Kundendaten ist ausschließlich dem Personal vorbehalten, das diese zur Durchführung der Dienstleistung benötigt; alle Mitarbeiter und Auftragnehmer unterliegen strengen Vertraulichkeitsvereinbarungen (NDAs); das Personal nimmt regelmäßig an Datenschutzschulungen teil.
Reaktion auf Vorfälle: Im Falle einer Verletzung des Schutzes personenbezogener Daten befolgen wir interne Notfallprotokolle: Eindämmung der Ursache, Risikobewertung, Benachrichtigung der Datenschutzinspektion innerhalb von 72 Stunden (Art. 33 DSGVO) und Informieren der betroffenen Personen, wenn ein hohes Risiko für deren Rechte besteht (Art. 34 DSGVO).
Das Prinzip gemäß Artikel 5 Abs. 2 DSGVO verlangt nicht nur die Einhaltung der Regeln, sondern auch die Fähigkeit, deren Einhaltung nachzuweisen. Um die Rechenschaftspflicht zu gewährleisten, führen wir:
Ein formelles Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO);
Interne Verfahrenshandbücher zum Datenschutz und zur Geldwäscheprävention (AML/CFT);
Auftragsverarbeitungsverträge (AVV) mit Unterauftragnehmern, die Zugriff auf Daten haben;
Datenschutz-Folgenabschätzungen (DSFA) für Verarbeitungsvorgänge mit hohem Risiko (Art. 35 DSGVO);
Regelmäßige interne Audits der Verarbeitungsprozesse und Löschfristen.
Dies ist die häufigste praktische Frage, die von Kunden von Unternehmensdienstleistungen gestellt wird.
Das Recht auf Löschung gilt nicht absolut. Artikel 17 Abs. 3 lit. b DSGVO sieht ausdrücklich vor, dass das Recht auf Löschung nicht besteht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.
Dokumente, die im Rahmen von Sorgfaltspflichten gegenüber Kunden (Customer Due Diligence / CDD) erhoben wurden, müssen nach Beendigung der Geschäftsbeziehung gemäß RahaPTS für 5 Jahre aufbewahrt werden. Das bedeutet:
Anträge auf Löschung solcher Compliance-Unterlagen werden unter Berufung auf die gesetzliche Verpflichtung abgelehnt;
Anstelle einer Löschung greift eine Einschränkung der Verarbeitung: Die Daten werden sicher gespeichert, dürfen jedoch für keine operativen Zwecke außer der Einhaltung gesetzlicher Vorschriften verarbeitet werden;
Nach Ablauf der gesetzlichen 5-jährigen Aufbewahrungsfrist werden die Daten automatisch gelöscht, ohne dass es eines separaten Antrags bedarf.
Ebenso bricht das Verbot der Informationsenthüllung (Tipping-off-Verbot) nach den Anti-Geldwäsche-Gesetzen die Auskunftspflichten nach der DSGVO: Wird eine Verdachtsmeldung (SAR) bezüglich einer Transaktion an die Finanzfahndungsstelle (Financial Intelligence Unit) übermittelt, verbietet uns das Gesetz strikt, den Kunden darüber zu informieren. In solchen Szenarien wird das Auskunftsrecht der betroffenen Person gemäß DSGVO durch direkte gesetzliche Bestimmungen eingeschränkt.
Unter den Bedingungen und Ausnahmen der DSGVO stehen Ihnen folgende Rechte zu:
| Recht | Artikel | Beschreibung |
|---|---|---|
| Recht auf Information | 13–14 | Zu erfahren, welche Daten verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage. |
| Recht auf Auskunft | 15 | Eine Bestätigung über die Verarbeitung sowie eine Kopie Ihrer personenbezogenen Daten zu erhalten. |
| Recht auf Berichtigung | 16 | Unrichtige oder unvollständige personenbezogene Daten korrigieren bzw. vervollständigen zu lassen. |
| Recht auf Löschung | 17 | Die Löschung von Daten zu verlangen, wenn keine Rechtsgrundlage für deren Aufbewahrung vorliegt (siehe Abschnitt 3). |
| Recht auf Einschränkung | 18 | Die Verarbeitung der Daten unter bestimmten rechtlichen Voraussetzungen vorübergehend auszusetzen. |
| Recht auf Datenübertragbarkeit | 20 | Bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen zu übermitteln. |
| Widerspruchsrecht | 21 | Der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen; der Direktwerbung jederzeit bedingungslos zu widersprechen. |
| Automatisierte Entscheidungen | 22 | Eine menschliche Überprüfung zu verlangen, den eigenen Standpunkt darzulegen und automatisierte Entscheidungen anzufechten. |
| Widerruf der Einwilligung | 7 Abs. 3 | Die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. |
| Beschwerderecht | 77 | Eine Beschwerde bei einer Aufsichtsbehörde einzureichen (siehe Abschnitt 6). |
Um Ihre Rechte auszuüben, reichen Sie bitte einen schriftlichen Antrag unter Nutzung der Kontaktdaten in Abschnitt 7 ein.
Identitätsprüfung: Vor der Offenlegung von Daten müssen wir verifizieren, dass die Anfrage von Ihnen stammt, um eine unbefugte Datenoffenlegung zu verhindern. Für bestehende Kunden ist eine E-Mail von einer registrierten Adresse oder eine qualifizierte elektronische Signatur ausreichend.
Antwortfrist: Innerhalb von 1 Monat nach Eingang der Anfrage (Art. 12 Abs. 3 DSGVO). Bei komplexen oder hochvolumigen Anfragen kann diese Frist um weitere zwei Monate verlängert werden, worüber Sie vorab unter Angabe der Gründe informiert werden.
Kosten: Anfragen werden kostenfrei bearbeitet, es sei denn, die Anträge sind offenkundig unbegründet, exzessiv oder ungebührlich wiederholt.
Ablehnungen: WIRD ein Antrag abgelehnt, nennen wir die genaue gesetzliche Rechtsgrundlage und zeigen Rechtsbehelfsmöglichkeiten auf, einschließlich Ihres Rechts auf Beschwerde bei einer Aufsichtsbehörde.
Wenn Sie glauben, dass Ihre Datenschutzrechte verletzt wurden, bitten wir Sie, sich zuerst an uns zu wenden — die meisten Angelegenheiten lassen sich direkt und schnell klären. Unabhängig davon haben Sie das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen:
Estnische Datenschutzinspektion (Andmekaitse Inspektsioon)
Adresse: Tatari 39, 10134 Tallinn, Estland
E-Mail: info@aki.ee
Website: www.aki.ee
Wenn Sie in einem anderen Mitgliedstaat der EU/des EWR wohnen oder arbeiten, können Sie eine Beschwerde bei Ihrer zuständigen nationalen Datenschutzbehörde einreichen.
Firmenname: eBusiness Solutions OÜ
Registernummer: 16618432
TCSP-Lizenz: FIU000421
E-Mail: info@legaladdressinestonia.com
Telefon: +372 5691 0000
Adresse: Tornimäe tn 7-169, 10145 Tallinn, Estland
Website: legaladdressinestonia.com (auch legaladdress.ee)
Dieses Dokument hat erläuternden Charakter und ergänzt, ersetzt jedoch nicht:
Datenschutzerklärung — beschreibt spezifische Datenverarbeitungsvorgänge;
AML/CFT-Richtlinie — beschreibt Maßnahmen zur Sorgfaltspflicht gegenüber Kunden (CDD);
Cookie-Richtlinie — beschreibt Tracking-Technologien und Cookie-Nutzung.
Im Falle von Widersprüchen zwischen diesem Dokument und der Datenschutzerklärung haben die Bestimmungen der Datenschutzerklärung Vorrang.
Wir aktualisieren diese Seite regelmäßig, um Änderungen der Gesetzgebung, behördlichen Leitlinien oder internen Compliance-Protokollen Rechnung zu tragen. Die jeweils aktuelle Version wird auf dieser Seite unter Angabe des letzten Überarbeitungsdatums veröffentlicht.