Datenschutzerklärung

1. Wer wir sind (der Verantwortliche)

Der für Ihre personenbezogenen Daten Verantwortliche ist:

BOCEAN IMMIGRATION PORTUGAL, LDA (handelnd als Blue Ocean Immigration und Reside in Portugal)
NIPC (portugiesische USt-IdNr.): 519 043 731
Eingetragen bei der Conservatória do Registo Comercial de Lisboa (Handelsregister Lissabon)
Sitz: Avenida da Liberdade, n.º 67B, 3.º B, 1250-140 Lisboa, Portugal
Allgemeiner Kontakt: [email protected] · gebührenfrei aus den USA +1 888 488 8593

Sie können unsere Unternehmensregistrierung jederzeit über die kostenlose Online-Suche des portugiesischen Handelsregisters (eportugal.gov.pt) unter Angabe der NIPC 519 043 731 überprüfen.

Ansprechstelle für den Datenschutz

Wir sind nicht gesetzlich verpflichtet, einen förmlichen Datenschutzbeauftragten nach Artikel 37 DSGVO zu benennen (wir sind keine Behörde, unsere Kerntätigkeit besteht nicht in umfangreicher Überwachung, und wir verarbeiten besondere Datenkategorien nicht in großem Umfang). Wir haben dennoch einen Privacy Lead (Datenschutzverantwortlichen) als zentrale Ansprechstelle für alle Datenschutzfragen benannt. Für alle Anliegen zu Ihren personenbezogenen Daten schreiben Sie an [email protected]. Wir bemühen uns, den Eingang Ihrer Nachricht innerhalb von 3 Werktagen zu bestätigen und innerhalb von 30 Kalendertagen inhaltlich zu antworten, wie es Artikel 12 Abs. 3 DSGVO verlangt. Ist ein Antrag komplex oder haben wir viele Anträge erhalten, können wir die Antwortfrist um bis zu weitere 60 Tage verlängern; in diesem Fall teilen wir Ihnen die Gründe innerhalb der ersten 30 Tage mit.

2. Welche personenbezogenen Daten wir erheben

Wir erheben nur, was wir benötigen, um die von Ihnen gekauften Leistungen zu erbringen. Der genaue Umfang hängt von der Leistung ab: für eine bloße NIF werden weit weniger Daten benötigt als für ein Golden Visa oder die Gründung einer LDA. Zu den Kategorien gehören:

Wir folgen dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Ist eine Kategorie für die von Ihnen gekaufte Leistung nicht erforderlich, erheben wir sie nicht. Wenn Sie eine Angabe nicht machen möchten, können Sie nachfragen, ob die Leistung auch ohne sie erbracht werden kann: manchmal ja (z. B. ein zweiter Vorname im Reisepass, der im Personalausweis nicht erscheint), manchmal nein (z. B. ein Scan des Reisepasses für einen NIF-Antrag; die AT lehnt die Akte ohne ihn ab).

3. Woher wir Ihre Daten erhalten

Fast alles stammt direkt von Ihnen. Ein kleinerer Teil stammt von Dritten, die in Ihrem Auftrag handeln, oder ergibt sich kraft Gesetzes:

• Von den portugiesischen Behörden: sobald wir auf Grundlage Ihrer procuração in Ihrem Namen einreichen, übermitteln uns AT, AIMA oder IRN die betreffenden Nummern (NIF, NIPC, Nummer der Aufenthaltskarte), damit wir den Fall abschließen können
• Von der Partnerbank: wenn wir ein Konto eröffnen, teilt uns die Bank Ihre IBAN und das Ergebnis des Onboardings mit
• Vom Konsulat / VFS-Zentrum: wenn wir einen Visumtermin koordinieren, bestätigt das Zentrum die Buchung
• Von Stripe: Zahlungsergebnisse (bezahlt / fehlgeschlagen / erstattet) gelangen über die Webhooks von Stripe zu uns zurück
• Von esignatures.com: Signaturereignisse (unterzeichnet / abgelehnt / abgelaufen) sowie das daraus entstehende unterzeichnete PDF samt Prüfprotokoll

Wir kaufen keine Namenslisten, lesen keine öffentlichen Datenbanken automatisiert aus und reichern Ihre Akte nicht über kommerzielle Datenhändler an.

4. Rechtsgrundlage der Verarbeitung

Artikel 6 DSGVO verlangt für jede Verarbeitungstätigkeit eine Rechtsgrundlage. Unsere Rechtsgrundlagen sind nachstehend zugeordnet; der Großteil unserer Arbeit beruht auf Grundlage (b) (Vertragserfüllung):

5. Wie wir Ihre Daten verwenden

• Zur Erbringung der von Ihnen gekauften Einwanderungs-, Steuer- oder Gesellschaftsleistungen
• Zur Vorbereitung von Rechtsdokumenten (Vollmachten, Erklärungen, Verträge) zu Ihrer Unterschrift
• Um aufgrund einer Vollmacht in Ihrem Namen gegenüber der portugiesischen Steuerbehörde (AT), der AIMA, dem IRN, den Conservatórias und Banken zu handeln, im genauen Umfang, den jede procuração erlaubt
• Zum Versand von Transaktions-E-Mails (Kontoerstellung, Signaturanfragen, Dokumentenzustellungen, Fallaktualisierungen); dies ist kein Marketing, und Sie können sich davon nicht abmelden, ohne das Mandat zu beenden
• Zur Abwicklung von Zahlungen, Ausstellung von Rechnungen, Verwaltung von Abonnements (z. B. Caixa Postal Digital) und Rückerstattungen
• Um Ihre Fragen zu beantworten und Kundensupport zu leisten
• Zur Erkennung und Verhinderung von Betrug, Missbrauch und Kontoübernahme
• Zur Erfüllung unserer gesetzlichen Pflichten (Geldwäscheprävention, Steuerrecht, gerichtliche Anordnungen)
• Zur Verteidigung unserer Rechte in Streitfällen, wenn eine Rückerstattung bestritten oder eine Rückbuchung (Chargeback) eingeleitet wird

6. Besondere Kategorien von Daten

Einige Einreichungen bei portugiesischen Behörden erfordern Datenkategorien, die die DSGVO nach Artikel 9 als „besonders“ behandelt (Daten über Gesundheit, religiöse oder weltanschauliche Überzeugungen, biometrische Daten usw.). Soweit dies auf Ihren Fall zutrifft, stützen wir uns auf die jeweilige Ausnahme, die die Verarbeitung erlaubt:

• Gesundheitsdaten: beschränkt auf Impfnachweise (Schulanmeldung von Kindern) oder eine einfache ärztliche Erklärung, wenn eine Visumkategorie sie verlangt. Grundlage: Art. 9 Abs. 2 lit. a ausdrückliche Einwilligung sowie Art. 9 Abs. 2 lit. g erhebliches öffentliches Interesse, wenn der Staat sie ausdrücklich verlangt
• Biometrische Daten: das Gesichtsbild in Ihrem Reisepass oder Ausweis ist grundsätzlich biometrisch, wird aber nur zur Überprüfung Ihrer Identität und nicht zur eindeutigen Identifizierung im Sinne von Art. 9 Abs. 1 verwendet. Die biometrischen Daten der AIMA (Fingerabdrücke, Foto) werden bei der Ankunft von der AIMA selbst erfasst: wir erheben oder speichern niemals biometrische Daten
• Religiöse / weltanschauliche Überzeugungen: werden nur erhoben, wenn Sie sie in einer Heiratsurkunde, einem Dokument zur Lebenspartnerschaft oder einer anderen Urkunde angeben, die sie von Natur aus enthält. Wir fragen nicht danach, erstellen keine Profile und verwenden diese Information nicht über das Dokument selbst hinaus
• Strafregister: nach Art. 10 DSGVO. Wir verarbeiten apostillierte Führungszeugnisse nur, weil die portugiesische Visum- oder Aufenthaltsbehörde sie verlangt. Das Führungszeugnis wird an die Behörde übermittelt, und für unsere aufbewahrte Kopie gelten dieselben Aufbewahrungsfristen wie in §11 (in der Regel die 7-jährige AML-Aufbewahrung oder die 10-jährige Archivierung unterzeichneter Dokumente, je nachdem, welche später endet); danach wird sie dauerhaft vernichtet. Wir verwenden das Führungszeugnis niemals für einen anderen Zweck als die konkrete Behördeneinreichung, für die Sie es bereitgestellt haben

Betrifft Ihr Fall keinen der oben genannten Punkte, verarbeiten wir überhaupt keine besonderen Datenkategorien.

7. Geldwäscheprävention (AML / KYC)

Einige, aber nicht alle unserer Leistungen fallen in den Anwendungsbereich der portugiesischen Geldwäschegesetzgebung (Lei n.º 83/2017). Konkret sind wir eine „entidade obrigada“ (verpflichtete Einheit) nach Artikel 4 Absatz 1 Buchstabe f dieses Gesetzes, wenn wir als „prestador de serviços a sociedades“ (Dienstleister für Gesellschaften) tätig werden, das heißt, wenn unsere Rolle in Ihrem Fall Folgendes umfasst:

• Die Gründung einer portugiesischen LDA oder einer anderen juristischen Person
• Die Bereitstellung des eingetragenen Sitzes, der Geschäftsadresse oder der Postadresse der Gesellschaft (z. B. wenn die Caixa Postal Digital Ihr gesetzliches Postfach ist)
• Steuerliche Vertretung eines Nichtansässigen gegenüber der portugiesischen Steuerbehörde
• Koordination einer portugiesischen Bankkontoeröffnung im Rahmen unseres Mandats, wenn wir in Ihrem Namen die Dokumentation zur Mittelherkunft bearbeiten
• Tätigkeit als Geschäftsführer, Sekretär, Treuhandgesellschafter oder vergleichbarer Treuhänder einer juristischen Person

Für diese Leistungen müssen wir eine Kundensorgfaltsprüfung (CDD / KYC) durchführen:

1. Identifizierung: wir prüfen anhand eines amtlichen Dokuments (Reisepass oder Personalausweis), wer Sie sind. Bei Profilen mit höherem Risiko können wir zusätzlich eine aktuelle Versorgerrechnung oder einen Kontoauszug zur Bestätigung Ihrer Adresse verlangen
2. Prüfung des wirtschaftlichen Eigentümers: bei der Gründung einer Gesellschaft identifizieren wir die natürlichen Personen, die die Einheit letztlich besitzen oder kontrollieren
3. Erklärung zur Mittelherkunft: für jede Geldbewegung (LDA-Kapital, IRN-Gebühren, Bank-Onboarding) bitten wir Sie, die rechtmäßige Herkunft der Mittel zu erklären und sie mit Unterlagen zu belegen, die im Verhältnis zum Betrag stehen
4. Risikoeinstufung: wir stufen den Fall anhand objektiver Kriterien (PEP-Status, Herkunftsland, Komplexität der Struktur) als Standard-, verstärkte oder vereinfachte Sorgfaltsprüfung ein
5. Laufende Überwachung: während des gesamten Mandats achten wir auf Unstimmigkeiten zwischen Ihren Angaben und dem tatsächlichen Geschehen; wesentliche Änderungen führen zu einer Aktualisierung der Akte

Wenn Sie eine politisch exponierte Person (PEP) sind, das heißt, wenn Sie derzeit ein wichtiges öffentliches Amt ausüben oder ausgeübt haben, verpflichtet uns Artikel 19 des Lei 83/2017 zu einer verstärkten Sorgfaltsprüfung. Bitte teilen Sie uns dies zu Beginn des Mandats mit; dies ist kein Hindernis für die Leistung, beeinflusst aber den Zeitaufwand für die Vorbereitung der Akte.

Meldung verdächtiger Vorgänge. Stellen wir eine Transaktion oder versuchte Transaktion fest, bei der wir den begründeten Verdacht haben, dass sie mit Geldwäsche oder Terrorismusfinanzierung zusammenhängt, verpflichtet uns das Lei 83/2017, sie der Unidade de Informação Financeira (UIF) (Zentralstelle für Finanzinformationen) bei der Polícia Judiciária zu melden. Artikel 54 dieses Gesetzes verpflichtet uns, Ihnen nicht mitzuteilen, dass wir dies getan haben: dies ist als „no tipping-off“-Regel (Verbot der Informationsweitergabe) bekannt und eine gesetzliche Pflicht, keine stilistische Entscheidung.

Leistungen außerhalb des AML-Bereichs

Für Leistungen, die keine Gesellschaftsgründung, steuerliche Vertretung, Treuhanddienste oder Geldbewegungen in Ihrem Namen umfassen, zum Beispiel ein eigenständiges NIF Express, eine reine Visumeinreichung (D7, D8, Golden Visa) oder eine Registrierung im Steuerregime NHR / IFICI, stuft uns das Lei 83/2017 nicht als verpflichtete Einheit ein. Wir überprüfen Ihre Identität dennoch mit derselben Sorgfalt im Rahmen unserer allgemeinen vertraglichen Sorgfaltsprüfung, und die portugiesischen Behörden (AT, AIMA, Konsulate) sowie Partnerbanken können vor Annahme unserer Einreichungen eigene, unabhängige KYC-Prüfungen durchführen.

8. Daten von Kindern

Einige unserer Leistungen betreffen Minderjährige, in der Regel die unterhaltsberechtigten Kinder eines Hauptantragstellers bei einem Visum zur Familienzusammenführung, bei der Schulanmeldung oder der Anmeldung im Gesundheitssystem. Betrifft der Fall einen Minderjährigen (nach portugiesischem Recht eine Person unter 18 Jahren, wobei für Online-Dienste der Informationsgesellschaft nach Art. 16 des Lei 58/2019 unter 13 Jahren die elterliche Einwilligung erforderlich ist):

• Wir verarbeiten die Daten des Kindes auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags mit dem Elternteil oder gesetzlichen Vertreter, der die Leistung gekauft hat). Das Kind ist nicht unser Kunde: der Elternteil ist es
• Für jede Verarbeitung, die über das für das Mandat unbedingt Erforderliche hinausgeht, holen wir, soweit anwendbar, die ausdrückliche Einwilligung beider Träger der elterlichen Verantwortung ein
• Wir erheben nur, was die portugiesische Behörde für den konkreten Fall verlangt (in der Regel: vollständiger Name, Geburtsdatum und -ort, Staatsangehörigkeit, Reisepass / Ausweis, Schulunterlagen, Impfnachweise, apostillierte Geburtsurkunde)
• Wir vermarkten keine Leistungen an Kinder, wir erstellen keine Profile von ihnen und wir reichern ihre Daten nicht mit Quellen Dritter an
• Dieselben Aufbewahrungs-, Sicherheits- und Rechtsregelungen, die an anderer Stelle in dieser Erklärung beschrieben sind, gelten auch für die Daten des Kindes
• Die Rechte werden vom Elternteil oder gesetzlichen Vertreter ausgeübt, bis das Kind volljährig wird (18). Mit Erreichen des 18. Lebensjahres kann die (nun erwachsene) betroffene Person ihre Rechte selbst ausüben

9. An wen wir Daten weitergeben

Wir geben Ihre Daten nur an Beteiligte weiter, die an der Erbringung Ihrer Leistung mitwirken, und nur im für jede Offenlegung erforderlichen Mindestumfang. Wir verkaufen oder vermieten Ihre Daten niemals.

Portugiesische Behörden (im Umfang Ihrer Vollmacht)

• Autoridade Tributária e Aduaneira (AT) (Steuer- und Zollbehörde): für die Ausstellung der NIF, steuerliche Vertretung, IFICI-Registrierung, Steuererklärungen
• AIMA: Agência para a Integração, Migrações e Asilo (Agentur für Integration, Migration und Asyl): für Anträge auf Aufenthaltstitel und deren Verlängerung
• IRN / Conservatórias do Registo Comercial (Handelsregisterämter): für die Eintragung der LDA, Erklärungen zum wirtschaftlichen Eigentümer (RCBE) und andere Handelsregistereinreichungen
• Segurança Social (Sozialversicherung): für die NISS-Anmeldung und alle Sozialversicherungsregistrierungen im Zusammenhang mit einem portugiesischen Arbeitsverhältnis
• VFS Global / portugiesische Konsulate: zur Koordination von Visumterminen außerhalb Portugals

Partnerbanken & Finanzintermediäre (nur auf Ihre Anweisung)

• Novobanco, Millennium bcp, ActivoBank, BPI oder jede andere von Ihnen gewählte Partnerbank, wenn wir die Eröffnung Ihres portugiesischen Bankkontos koordinieren
• Der Anbieter des Dienstes Caixa Postal Digital (vom portugiesischen Staat über ViaCTT / IRN betrieben), wenn Sie das Zusatzangebot digitales Postfach abonnieren

Dienstleister (Auftragsverarbeiter, die auf unsere Weisung handeln)

Jeder dieser Auftragsverarbeiter ist durch einen Auftragsverarbeitungsvertrag gebunden, der Artikel 28 DSGVO entspricht, und verarbeitet Ihre Daten nur auf unsere dokumentierte Weisung, mit Vertraulichkeitspflichten, Sicherheitsmaßnahmen und Verpflichtungen zur Meldung von Datenschutzverletzungen. Wir überprüfen die Liste mindestens einmal jährlich und veröffentlichen die aktuelle Fassung hier.

Sie können die aktuelle, datierte Liste der Unterauftragsverarbeiter jederzeit per E-Mail an [email protected] anfordern. Wir informieren Sie mindestens 30 Tage im Voraus, bevor wir einen neuen Unterauftragsverarbeiter hinzufügen, der eine wesentliche Kategorie Ihrer Daten verarbeitet.

10. Internationale Übermittlungen

Der Großteil unserer Infrastruktur befindet sich in der EU (Büro in Lissabon, GCP-Regionen Frankfurt und Belgien). Müssen personenbezogene Daten den Europäischen Wirtschaftsraum verlassen, verwenden wir eine der nach Kapitel V der DSGVO zulässigen Garantien:

• Angemessenheitsbeschlüsse: wenn die Europäische Kommission förmlich festgestellt hat, dass ein Zielland ein angemessenes Schutzniveau bietet (z. B. Vereinigtes Königreich, Schweiz)
• Das EU–US Data Privacy Framework: für Übermittlungen an die in §9 aufgeführten Auftragsverarbeiter mit Sitz in den USA, die DPF-zertifiziert sind (Unterverarbeitung durch Stripe, Resend, Cloudflare, Google LLC für Analytics und Anzeigenmessung, Microsoft für Clarity [DPF-Zertifizierung bestätigen])
• Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) zusammen mit ergänzenden technischen und organisatorischen Maßnahmen (Verschlüsselung bei der Übertragung und im Ruhezustand, Pseudonymisierung, wo machbar, Zugriffsschlüssel für sensible Daten nur beim Verantwortlichen), für jede nicht von den obigen Punkten erfasste Übermittlung

Sie können eine Kopie der von uns verwendeten SCCs (mit geschwärzten vertraulichen Geschäftsbedingungen) anfordern, indem Sie an [email protected] schreiben.

11. Wie lange wir Ihre Daten aufbewahren

Sobald die Aufbewahrungsfrist für eine Kategorie endet, löschen wir die Daten dauerhaft oder machen sie, wo eine Löschung technisch nicht praktikabel ist (z. B. archivierte Backups), unzugänglich, bis das Backup selbst überschrieben wird. Pseudonymisierte statistische Aggregate können unbegrenzt aufbewahrt werden, enthalten aber nichts, was auf Sie zurückgeführt werden kann.

Auch nachdem Sie eine Rückerstattung erhalten haben und wir das Mandat beendet haben (siehe die Rückerstattungsrichtlinie und die Nutzungsbedingungen), bleiben die Rechnungs-, Signaturdokument- und AML-Unterlagen für die oben genannten gesetzlichen Fristen gespeichert. Sie werden unter „Archivsperre“ gestellt: der Zugriff ist auf Mitarbeiter beschränkt, die ihn konkret benötigen (z. B. zur Beantwortung einer Steuerprüfung), und die Unterlagen können nicht gelöscht, bearbeitet oder für operative Zwecke verwendet werden.

12. Ihre Rechte nach der DSGVO

Die Artikel 15 bis 22 DSGVO gewähren Ihnen eine Reihe von Rechten in Bezug auf die personenbezogenen Daten, die wir über Sie gespeichert haben. Zusammengefasst:

13. Wie Sie Ihre Rechte ausüben

1. Schreiben Sie an [email protected] mit dem Betreff „DSGVO-Antrag: <Ihre Fallreferenz oder E-Mail>“. Teilen Sie uns mit, welches Recht Sie ausüben möchten und was wir tun sollen.
2. Identitätsprüfung: um zu verhindern, dass sich Dritte als Sie ausgeben, bitten wir um einen Nachweis, der Sie mit dem Konto verbindet (z. B. eine Bestätigung von der bei uns hinterlegten E-Mail-Adresse oder ein Foto desselben Ausweises, der uns bereits vorliegt). Für einen Antrag auf Ausübung Ihrer Rechte erheben wir keine neuen Ausweisdokumente.
3. Eingangsbestätigung: wir bestätigen den Eingang innerhalb von 3 Werktagen und teilen Ihnen mit, wer den Antrag bearbeitet.
4. Inhaltliche Antwort: innerhalb von 30 Kalendertagen. Bei komplexen oder vielschichtigen Anträgen können wir die Frist um bis zu 60 Tage verlängern, mit schriftlicher Begründung innerhalb der ersten 30 Tage.
5. Format: Antworten auf Auskunfts- und Übertragbarkeitsanträge werden nach Ihrer Wahl über das Portal als herunterladbares Archiv (JSON + PDFs) oder per verschlüsselter E-Mail bereitgestellt. Papierkopien versenden wir nur, wenn Sie dies ausdrücklich wünschen.
6. Kosten: der erste Antrag in einem Zeitraum von 12 Monaten ist kostenlos. Ein angemessenes Verwaltungsentgelt können wir, im Einklang mit den Leitlinien der CNPD und Artikel 12 Abs. 5 DSGVO, nur bei offenkundig exzessiven oder sich wiederholenden Anträgen verlangen, und wir erklären es im Voraus.
7. Rechtsbehelf: lehnen wir einen Antrag ab, können Sie Beschwerde bei der CNPD einlegen (siehe §20) oder gerichtlichen Rechtsschutz nach Art. 79 DSGVO suchen.

14. Automatisierte Entscheidungen & Profiling

Wir treffen keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten (oder Sie in ähnlicher Weise erheblich beeinträchtigen) und ausschließlich auf automatisierter Verarbeitung im Sinne von Artikel 22 DSGVO beruhen. Jede folgenreiche Entscheidung zu Ihrem Fall, die Annahme eines Mandats, die Einstufung eines KYC-Risikos, die Ablehnung einer Leistung, die Gewährung oder Verweigerung einer Rückerstattung, wird von einem menschlichen Berater geprüft.

Einige Vorgänge sind zur Steuerung oder aus Bequemlichkeit automatisiert: die Plattform schlägt Dokumenten-Checklisten auf Grundlage der gekauften Leistung vor, das Cookie-Banner speichert Ihre Wahl zu Analyse und Anzeigenmessung, und unsere Betrugsprüfungen bewerten einen Checkout anhand der Betrugssignale von Stripe. Keiner dieser Vorgänge entfaltet Ihnen gegenüber rechtliche Wirkung, und Sie können sich jederzeit per E-Mail an [email protected] an einen Menschen wenden.

Wir verwenden Ihre Daten nicht, um Werbe- oder Marketingprofile zu erstellen, und wir geben Ihre Daten nicht an Werbenetzwerke weiter.

15. Marketingkommunikation

Wir können Ihnen Marketing-E-Mails senden (z. B. einen jährlichen Überblick über die Einwanderungspolitik, gelegentliche Produktneuigkeiten), aber nur, wenn Sie sich angemeldet haben und wir ein aktuelles berechtigtes Interesse daran haben, Ihnen verwandte Leistungen anzubieten. Jede Marketing-E-Mail enthält einen Abmeldelink mit einem Klick; Sie können auch an [email protected] schreiben. Die Abmeldung vom Marketing berührt nicht die Transaktions-E-Mails zu Ihren laufenden Fällen.

Wir schalten keine bezahlten Anzeigen mit Profiling auf Facebook, Instagram, TikTok, X oder vergleichbaren Plattformen. Sollten wir dies jemals tun, aktualisieren wir diesen Abschnitt, benachrichtigen die Abonnenten mindestens 30 Tage im Voraus per E-Mail und holen, wo erforderlich, eine neue Einwilligung ein.

16. Cookies und Tracking

Wir verwenden Cookies und ähnliche Technologien (den lokalen und den Sitzungsspeicher Ihres Browsers) auf resideportugal.com und app.resideportugal.com. Die vollständige Liste mit Laufzeiten finden Sie in der Cookie-Richtlinie. Kurz gesagt:

Ihre Wahl. Analyse, Anzeigenmessung und Sitzungsaufzeichnung sind ausgeschaltet, bis Sie im Cookie-Banner Akzeptieren wählen. Ablehnen hat dasselbe Gewicht wie Akzeptieren. Sie können Ihre Wahl jederzeit über Cookie-Einstellungen in der Fußzeile jeder Seite ändern; beim Ablehnen werden die Cookies und gespeicherten Kampagnenparameter entfernt, auf die wir zugreifen können.

Bevor Sie wählen. Das Google-Tag (Analytics und Ads-Messung) wird im Modus „Einwilligung verweigert“ geladen: es setzt keine Cookies und sendet nur Anfragen ohne Kennungen, die Google für aggregierte und modellierte Zählungen verwendet. Cookies und Kennungen werden erst verwendet, nachdem Sie Akzeptieren gewählt haben. Wenn Sie ablehnen, bleibt es in diesem Modus, sodass Personen, die ablehnen, nur aggregiert und ohne Kennungen gezählt werden.

Was an Google Ads gesendet wird. Ereignisnamen (Beginn des Checkouts, gebuchtes Gespräch, Kauf mit Wert, Währung und Transaktionsnummer) sowie Kampagnenkennungen wie gclid. Nicht Ihr Name, Ihre E-Mail, Dokumente oder Nachrichten. Wir verwenden kein Remarketing und keine Zielgruppenlisten. [Bestätigen, dass Remarketing im Google Ads-Konto deaktiviert ist.]

Wir verwenden keine Social-Media-Pixel oder Fingerprinting-Bibliotheken, und wir erstellen keine Werbeprofile aus Ihren Besuchen auf anderen Websites.

17. Sicherheit & Datenschutzverletzungen

Wir folgen branchenüblichen Sicherheitspraktiken, die der Sensibilität der von uns gespeicherten Daten angemessen sind:

Technische Maßnahmen

• TLS-1.3-Verschlüsselung bei der Übertragung an jedem Endpunkt (durchgehend HTTPS, HSTS vorgeladen)
• Verschlüsselung im Ruhezustand für Datenbanken, Backups und Dokumentenspeicher (AES-256)
• Datenbankzugriff nach dem Prinzip der geringsten Rechte; Produktionszugangsdaten werden im Google Secret Manager gespeichert und mindestens einmal jährlich gewechselt
• HMAC-signierte Server-zu-Server-Webhooks (Stripe, esignatures.com, das bocean-Admin) mit Replay-Schutz
• Audit-Log, das jede administrative Aktion erfasst (Statusänderungen, Dokumenten-Uploads, Nachrichtenversand, Rückerstattungen)
• CSRF-Schutz auf Anwendungsebene, Ratenbegrenzung an Authentifizierungsendpunkten, automatische Abmeldung nach 30 Tagen
• Regelmäßige Aktualisierung von Abhängigkeiten und Sicherheitspatches; wir überwachen laufend die Sicherheitshinweise von Composer / npm

Organisatorische Maßnahmen

• Zwei-Faktor-Authentifizierung für jedes Mitarbeiterkonto beim Portal, bei E-Mail, Stripe, dem bocean-Admin und der Cloud-Konsole
• Zugriff nach dem Need-to-know-Prinzip: jeder Mitarbeiter sieht nur die Fälle, an denen er arbeitet
• Alle Mitarbeiter unterzeichnen bei der Einstellung Vertraulichkeitsverpflichtungen und erhalten praktische DSGVO- / AML-Schulungen, bevor sie Zugriff auf Kundenakten erhalten
• Unterauftragsverarbeiter sind durch DPAs gebunden, die die obigen Sicherheitspflichten widerspiegeln

Wenn eine Verletzung des Schutzes personenbezogener Daten eintritt

Erlangen wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, werden wir:

1. Die CNPD innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigen, wie es Artikel 33 DSGVO verlangt
2. Sie unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat, wie es Artikel 34 DSGVO verlangt. Die Benachrichtigung beschreibt in klarer Sprache, was geschehen ist, welche Daten betroffen waren, was wir dagegen unternehmen und was Sie zu Ihrem Schutz tun können
3. Die Ursache untersuchen, den Vorfall eindämmen, den Dienst bei Bedarf aus sauberen Backups wiederherstellen und Abhilfemaßnahmen gegen eine Wiederholung ergreifen
4. Eine öffentliche Zusammenfassung veröffentlichen (ohne Einzelpersonen offenzulegen), sobald die Untersuchung abgeschlossen ist, im Sinne der Transparenz

Wenn Sie vermuten, dass Ihr Konto kompromittiert wurde oder dass bei uns eine Verletzung vorliegen könnte, schreiben Sie bitte umgehend an [email protected]. Wir behandeln Sicherheitsmeldungen vertraulich und ergreifen keine Vergeltungsmaßnahmen gegen Personen, die in gutem Glauben melden.

18. Datenanfragen von Behörden & Dritten

Fragt eine portugiesische oder ausländische Behörde außerhalb der Kanäle Ihrer Vollmacht personenbezogene Daten über Sie bei uns an, wenden wir folgende Regeln an:

• Portugiesische Behörden: wir befolgen gültige portugiesische Gerichtsbeschlüsse, gerichtliche Vorladungen sowie Steuer- und Geldwäscheprüfungen nach portugiesischem Recht. Wir geben nicht freiwillig Daten über das hinaus preis, was die Anordnung zwingend verlangt.
• Ausländische Behörden: wir kommen Anfragen ausländischer Regierungen nach personenbezogenen Daten nicht unmittelbar nach, es sei denn, sie wurden von einem portugiesischen Gericht bestätigt oder laufen über ein Rechtshilfeabkommen (MLAT) und das portugiesische Ministério Público (Staatsanwaltschaft). Dies gilt auch für US-Executive Orders, Vorladungen einer US-Grand Jury, Anfragen nach dem US CLOUD Act und vergleichbare Instrumente von Drittländern.
• Zivilrechtliche Anfragen Dritter (z. B. Gegenparteien in einem privaten Rechtsstreit): wir verlangen einen portugiesischen Gerichtsbeschluss oder die schriftliche Einwilligung der betroffenen Person.

Wo das Gesetz es uns erlaubt, Sie über eine Anfrage zu informieren, die Ihre Daten betrifft, tun wir dies, in der Regel vor der Erfüllung, damit Sie selbst gerichtlichen Rechtsschutz suchen können. Wo uns dies gesetzlich untersagt ist (z. B. Schweigepflichten nach Art. 54 Lei 83/2017), erfüllen wir nur das von der Anordnung zwingend Verlangte. Aggregierte Informationen über alle bei uns eingegangenen behördlichen Datenanfragen sind auf schriftliche Anfrage an [email protected] erhältlich.

19. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Das Datum „Letzte Aktualisierung“ oben gibt die jüngste Änderung wieder. Bei Änderungen, die Ihre Rechte wesentlich berühren, etwa die Aufnahme eines Unterauftragsverarbeiters, der sensible Daten verarbeitet, die wesentliche Verlängerung einer Aufbewahrungsfrist oder die Änderung der herangezogenen Rechtsgrundlagen, benachrichtigen wir Sie per E-Mail und über ein Banner auf der Website mindestens 30 Tage vor ihrem Inkrafttreten, damit Sie Zeit haben zu reagieren. Kleinere redaktionelle Änderungen (Tippfehler, Klarstellungen) treten sofort in Kraft und werden im nachstehenden Änderungsprotokoll aufgeführt.

Änderungsprotokoll

• 18. Mai 2026: Erstveröffentlichung der Erklärung.

20. Kontakt & Beschwerden

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder zur Meldung eines Sicherheitsproblems:

Wir bemühen uns, jedes Anliegen intern zu lösen. Sind Sie mit unserer Antwort nicht zufrieden oder sind Sie der Ansicht, dass unsere Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, bei der Aufsichtsbehörde Beschwerde einzulegen, in Portugal:

Comissão Nacional de Proteção de Dados (CNPD) (Nationale Datenschutzkommission)
Av. D. Carlos I, 134: 1.º, 1200-651 Lisboa
www.cnpd.pt · [email protected]

Nach Artikel 77 DSGVO können in der EU ansässige Personen auch bei der Aufsichtsbehörde des Landes ihres gewöhnlichen Aufenthalts oder Arbeitsorts Beschwerde einlegen.

21. Glossar

AIMA

Agência para a Integração, Migrações e Asilo, die portugiesische Behörde für Einwanderung und Aufenthaltstitel (Nachfolgerin des SEF).

AML / KYC

Anti-Money Laundering / Know-Your-Customer (Geldwäscheprävention / Kundenidentifizierung), die gesetzliche Pflicht, Kunden und die Herkunft der Mittel zu überprüfen, bevor Leistungen erbracht werden, die für Finanzkriminalität missbraucht werden können.

AT

Autoridade Tributária e Aduaneira, die portugiesische Steuerbehörde. Stellt NIFs aus, verwaltet die Umsatzsteuer, führt die IFICI- / NHR-Registrierungen.

CNPD

Comissão Nacional de Proteção de Dados, die portugiesische Datenschutzaufsichtsbehörde. Entspricht der französischen CNIL, der spanischen AEPD, dem deutschen BfDI.

Verantwortlicher

Die juristische Person, die entscheidet, warum und wie Ihre personenbezogenen Daten verarbeitet werden. In dieser Erklärung ist der Verantwortliche BOCEAN IMMIGRATION PORTUGAL, LDA.

DPA / DPF / SCCs

DPA = Data Processing Agreement (Auftragsverarbeitungsvertrag, der Vertrag, der einen Auftragsverarbeiter nach Art. 28 DSGVO an einen Verantwortlichen bindet). DPF = das EU–US Data Privacy Framework, ein Angemessenheitsregime für die Übermittlung von Daten an zertifizierte US-Unternehmen. SCCs = Standard Contractual Clauses (Standardvertragsklauseln), von der Europäischen Kommission herausgegebene Musterverträge für Übermittlungen in Drittländer.

DSGVO

Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, das zentrale Datenschutzgesetz der EU. In Portugal ergänzt durch das Lei n.º 58/2019.

IRN

Instituto dos Registos e do Notariado, die portugiesische Behörde für Zivil-, Handels- und Grundbuchregister. Stellt NIPCs aus und betreibt die Caixa Postal Digital.

Lei 83/2017

Portugiesisches Gesetz zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (Lei n.º 83/2017 de 18 de agosto).

NIF / NIPC

NIF = Número de Identificação Fiscal, die portugiesische Steuernummer für natürliche Personen. NIPC = Número de Identificação de Pessoa Coletiva, die portugiesische Steuernummer für Unternehmen.

PEP

Politisch exponierte Person: jemand, der derzeit ein wichtiges öffentliches Amt ausübt oder vor kurzem ausgeübt hat, sowie enge Familienangehörige und bekanntermaßen nahestehende Personen. Löst eine verstärkte Sorgfaltsprüfung nach Art. 19 des Lei 83/2017 aus.

Auftragsverarbeiter

Ein Dritter, der Ihre personenbezogenen Daten im Auftrag und auf Weisung des Verantwortlichen verarbeitet (z. B. Stripe, das für uns Zahlungen abwickelt).

UIF

Unidade de Informação Financeira, die portugiesische Zentralstelle für Finanzinformationen, angesiedelt bei der Polícia Judiciária. Nimmt Verdachtsmeldungen entgegen.