Norman Nemitz

Datenschutzinformation für Kunden, Interessenten und Teilnehmende

Information nach Art. 13 und 14 DSGVO. Stand: 19.10.2026.

1. Verantwortlicher. Norman Nemitz, Hagelberger Straße 55, 10965 Berlin, norman.nemitz@icloud.com. Ein Datenschutzbeauftragter ist nicht vorgeschrieben.

2. Daten. Ich verarbeite Kontaktdaten: Name, E-Mail, Telefon, Organisation, Funktion. Im CRM steht teils auch der Geburtstag. Dazu kommen Vertrags- und Rechnungsdaten, Projektdaten wie Notizen, Aufgaben und Ergebnisse sowie deine Beiträge auf Workshop-Boards. In Online-Terminen kommen Bild, Ton und Chat hinzu, bei Terminbuchungen Termin und Notiz. Fotos und Aufnahmen entstehen nur mit deiner Einwilligung. Die Daten stammen von dir, von deiner Organisation, aus Empfehlungen oder aus öffentlichen Quellen wie LinkedIn oder der Website deiner Organisation.

3. Zwecke und Rechtsgrundlagen.

Anbahnung und Durchführung des Auftrags, auch die Terminbuchung: Art. 6 Abs. 1 lit. b DSGVO. Handelst du für eine Organisation, gilt für deine Kontaktdaten lit. f. Mein berechtigtes Interesse ist dann die Abwicklung des Auftrags.
Rechnungen, Buchhaltung und gesetzliche Aufbewahrung: lit. c mit der AO und, soweit anwendbar, dem HGB.
CRM, Kontaktpflege und Akquise: lit. f. Mein berechtigtes Interesse ist, Kontakte und Projekte geordnet zu führen, die Geschäftsbeziehung zu pflegen und Organisationen mein Angebot vorzustellen, auch mit Hinweisen auf ähnliche Leistungen.
Fotos und Aufnahmen in Workshops: lit. a, deine Einwilligung. Sie ist freiwillig und jederzeit widerrufbar.

4. Empfänger und Auftragsverarbeiter. Die folgenden Dienste arbeiten als Auftragsverarbeiter nach Art. 28 DSGVO mit einem Vertrag zur Auftragsverarbeitung (AVV), soweit die Tabelle nichts anderes sagt. Bei „in Prüfung“ kläre ich die vertragliche Grundlage gerade. Bis dahin gebe ich dort so wenig personenbezogene Daten wie möglich ein.

Werkzeug	Zweck	Sitz und Speicherort	Garantie
Notion	CRM, Aufgaben, Projektnotizen	Notion Labs, Inc., San Francisco, USA; Speicherung in den USA	AVV, Standardvertragsklauseln
Miro	Workshop-Boards	RealtimeBoard, Inc., San Francisco, USA; Speicherung in den USA	AVV, DPF, Standardvertragsklauseln
Zoom	Videokonferenzen	Zoom Communications, Inc., USA; Speicherung standardmäßig in den USA	AVV, DPF, Standardvertragsklauseln
Microsoft Teams	Videokonferenzen	Microsoft; EU-Datengrenze für Konten in der EU	Vertrag deiner Organisation, wenn sie einlädt
Google Drive	Dateiablage und Tabellen, etwa die Rechnungsübersicht	Google Ireland Limited, Dublin, Irland; Verarbeitung auch außerhalb der EU möglich	in Prüfung
iCloud Mail	E-Mail	Apple Distribution International, Cork, Irland; Verarbeitung auch in den USA möglich	in Prüfung
Lexware Office	Rechnungen bis zum Wechsel	Haufe-Lexware GmbH & Co. KG, Freiburg; Server in Deutschland	AVV
Claude	KI-Assistenz für Texte und Auswertungen, auch mit Zugriff auf Notion und Google Drive	Anthropic Ireland, Limited, Dublin, Irland; Verarbeitung auch außerhalb der EU möglich	in Prüfung
Cal.com	Terminbuchung	Cal.com, Inc., San Francisco, USA; Verarbeitung in den USA	AVV, DPF, Standardvertragsklauseln
Kalender	gebuchte Termine	Apple iCloud Kalender, Apple Distribution International Ltd., Cork, Irland; Verarbeitung auch in den USA möglich	in Prüfung

Weitere Empfänger sind selbst verantwortlich: das Finanzamt, gegebenenfalls meine Steuerberatung, meine Bank und bei Workshop-Ergebnissen deine Organisation.

5. Übermittlung in die USA. Für zertifizierte Anbieter gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF, Art. 45 DSGVO). Zusätzlich oder ersatzweise gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien bekommst du auf Anfrage.

6. Speicherdauer.

Vertragsdaten und Projektunterlagen: bis zum Ende des Auftrags, danach bis zum Ablauf der Verjährung. Sie beträgt in der Regel drei Jahre ab Jahresende (§§ 195, 199 BGB).
Rechnungen und andere Buchungsbelege acht Jahre, Bücher und Abschlüsse zehn Jahre, Geschäftsbriefe sechs Jahre. Die Fristen folgen aus der AO und, soweit anwendbar, dem HGB. Sie beginnen mit Ende des Kalenderjahres.
CRM-Kontakte: bis zu deinem Widerspruch oder nach drei Jahren ohne Kontakt.
Terminbuchungen ohne Auftrag: sechs Monate nach dem Termin.
Workshop-Boards: sechs Monate nach Projektende.
Fotos und Aufnahmen: bis zum Widerruf oder bis der Zweck erfüllt ist.

7. Deine Rechte. Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 18 und 20 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine E-Mail an norman.nemitz@icloud.com genügt.

Widerspruchsrecht nach Art. 21 DSGVO

Verarbeite ich Daten nach Art. 6 Abs. 1 lit. f DSGVO, etwa im CRM, kannst du aus Gründen deiner besonderen Situation jederzeit widersprechen. Ich verarbeite die Daten dann nicht mehr. Ausnahmen gelten nur bei zwingenden schutzwürdigen Gründen oder für Rechtsansprüche. Der Nutzung für Werbung, etwa Hinweisen auf neue Angebote, kannst du jederzeit ohne Begründung widersprechen. Eine formlose E-Mail genügt.

8. Beschwerderecht. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für mich zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, mailbox@datenschutz-berlin.de, www.datenschutz-berlin.de.

9. Bereitstellung und Entscheidungen. Kontakt- und Rechnungsdaten brauche ich für Vertrag und Rechnung. Ohne sie kann ich keinen Auftrag annehmen. Name und Anschrift auf Rechnungen schreibt das Steuerrecht vor. Fotos und Aufnahmen sind freiwillig, eine Ablehnung hat keine Nachteile. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Für Teilnehmende eines Workshops

Für Teilnehmende an Workshops und Programmen gilt ergänzend: Deine Anmeldung und die Teilnehmerliste verantwortet das Programm oder die Organisation, die dich eingeladen hat. Dafür gelten deren Datenschutzhinweise. Von dort erhalte ich Name, E-Mail und Organisation, soweit der Workshop das erfordert. Im Workshop verarbeite ich deine Beiträge auf Boards und in Online-Terminen Bild, Ton und Chat in Echtzeit. Läuft die Konferenz über das Konto des Programms, verantwortet das Programm sie. Ob ich dabei im Auftrag des Programms handle oder selbst verantwortlich bin, regelt der Vertrag mit dem Programm. Handle ich im Auftrag (Art. 28 DSGVO), richten sich Zwecke, Rechtsgrundlage und deine Rechte nach den Datenschutzhinweisen des Programms. Anfragen an mich leite ich dorthin weiter. Nach Projektende lösche ich die Daten oder gebe sie zurück, wie das Programm es bestimmt. Bin ich selbst verantwortlich, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse ist dann die Durchführung des beauftragten Workshops. Für deine Rechte und dein Widerspruchsrecht gilt diese Information. Teilnehmerlisten lösche ich nach Projektende, Boards nach sechs Monaten. Ergebnisse erhält das Programm. Fotos und Aufnahmen entstehen nur mit deiner Einwilligung.

Norman Nemitz

Privacy Notice for Clients, Prospects and Participants

Information under Art. 13 and 14 GDPR. Last updated: October 19, 2026.

1. Controller. Norman Nemitz, Hagelberger Straße 55, 10965 Berlin, Germany, norman.nemitz@icloud.com. I am not required to appoint a data protection officer.

2. Data. I process contact data: name, email, phone, organization, role. My CRM sometimes also includes your birthday. I also process contract and billing data, project data such as notes, tasks and results, and your contributions on workshop boards. Online sessions add video, audio and chat; bookings add the time slot and your note. Photos and recordings are made only with your consent. The data comes from you, from your organization, from referrals, or from public sources such as LinkedIn or your organization's website.

3. Purposes and legal bases.

Preparing and performing the engagement, including scheduling: Art. 6(1)(b) GDPR. If you act for an organization, Art. 6(1)(f) GDPR applies to your contact data. My legitimate interest is then performing the engagement.
Invoicing, accounting and statutory retention: Art. 6(1)(c) GDPR in conjunction with the German Fiscal Code (AO) and, where applicable, the German Commercial Code (HGB).
CRM, relationship management and business development: Art. 6(1)(f) GDPR. My legitimate interest is keeping contacts and projects organized, maintaining our business relationship and presenting my services to organizations, including telling you about similar services.
Photos and recordings in workshops: Art. 6(1)(a) GDPR, your consent. Consent is voluntary, and you can withdraw it at any time.

4. Recipients and processors. The following services act as processors under Art. 28 GDPR with a data processing agreement (DPA), unless the table says otherwise. Where it says "under review," I am currently clarifying the contractual basis. Until then, I enter as little personal data there as possible.

Tool	Purpose	Provider and location	Safeguard
Notion	CRM, tasks, project notes	Notion Labs, Inc., San Francisco, USA; stored in the USA	DPA, SCCs
Miro	Workshop boards	RealtimeBoard, Inc., San Francisco, USA; stored in the USA	DPA, DPF, SCCs
Zoom	Video conferencing	Zoom Communications, Inc., USA; stored in the USA by default	DPA, DPF, SCCs
Microsoft Teams	Video conferencing	Microsoft; EU Data Boundary for EU accounts	Your organization's contract if it sends the invite
Google Drive	File storage and spreadsheets, such as the invoice overview	Google Ireland Limited, Dublin, Ireland; processing outside the EU possible	under review
iCloud Mail	Email	Apple Distribution International, Cork, Ireland; processing in the USA possible	under review
Lexware Office	Invoicing until the switch	Haufe-Lexware GmbH & Co. KG, Freiburg, Germany; servers in Germany	DPA
Claude	AI assistance for writing and analysis, including access to Notion and Google Drive	Anthropic Ireland, Limited, Dublin, Ireland; processing outside the EU possible	under review
Cal.com	Scheduling	Cal.com, Inc., San Francisco, USA; processing in the USA	DPA, DPF, SCCs
Calendar	Booked appointments	Apple iCloud Calendar, Apple Distribution International Ltd., Cork, Ireland; processing also possible in the USA	under review

Other recipients are controllers in their own right: the tax office, my tax advisor if engaged, my bank, and your organization for workshop results.

5. Transfers to the USA. For certified providers, the European Commission's adequacy decision for the EU-U.S. Data Privacy Framework (DPF, Art. 45 GDPR) applies. In addition or as a fallback, EU standard contractual clauses (SCCs, Art. 46(2)(c) GDPR) apply. You can request a copy of these safeguards.

6. Retention.

Contract data and project documents: until the engagement ends, then until the statute of limitations expires. This is generally three years from the end of the year (Sections 195 and 199 of the German Civil Code, BGB).
Invoices and other accounting records eight years, books and financial statements ten years, business letters six years. These periods follow from the AO and, where applicable, the HGB. They start at the end of the calendar year.
CRM contacts: until you object or after three years without contact.
Bookings that do not lead to an engagement: six months after the appointment.
Workshop boards: six months after the project ends.
Photos and recordings: until you withdraw consent or the purpose is fulfilled.

7. Your rights. You have the right of access, rectification, erasure, restriction of processing, and data portability (Art. 15 to 18 and 20 GDPR). You can withdraw consent at any time with effect for the future (Art. 7(3) GDPR). An email to norman.nemitz@icloud.com is enough.

Right to object under Art. 21 GDPR

Where I process data based on Art. 6(1)(f) GDPR, for example in my CRM, you can object at any time on grounds relating to your particular situation. I will then stop processing the data. Exceptions apply only for compelling legitimate grounds or for legal claims. You can object to the use of your data for marketing, such as news about offerings, at any time without giving reasons. An informal email is enough.

8. Right to lodge a complaint. You can lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for me is the Berlin Commissioner for Data Protection and Freedom of Information (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59-61, 10555 Berlin, Germany, mailbox@datenschutz-berlin.de, www.datenschutz-berlin.de.

9. Providing data; decisions. I need contact and billing data for the contract and the invoice. Without it, I cannot accept the engagement. German tax law requires your name and address on invoices. Photos and recordings are voluntary, and declining has no disadvantages. There is no automated decision-making, including profiling, under Art. 22 GDPR.

For workshop participants

For participants in workshops and programs, the following also applies: The program or organization that invited you is responsible for your registration and the participant list. Its privacy notice covers those. I receive your name, email and organization from the program as far as the workshop requires. During the workshop, I process your contributions on boards and, in online sessions, video, audio and chat in real time. If the session runs on the program's account, the program is responsible for it. Whether I act on the program's behalf or as the controller depends on my contract with the program. Where I act on its behalf (Art. 28 GDPR), purposes, legal basis and your rights follow the program's privacy notice. I forward requests to the program. After the project, I delete or return the data as the program instructs. Where I am the controller, the legal basis is Art. 6(1)(f) GDPR. My legitimate interest is then delivering the workshop I was engaged for. This notice governs your rights, including your right to object. I delete participant lists after the project ends and boards after six months. The program receives the results. Photos and recordings are made only with your consent.