隐私政策

前言

通过本隐私政策，我们希望向您说明我们处理的个人数据（以下亦简称"数据"）的类型、处理目的及处理范围。本隐私政策适用于我们进行的所有个人数据处理活动，包括在提供服务的过程中，尤其是在我们的网站、移动应用程序以及外部在线平台（如我们的社交媒体主页，以下统称"在线服务"）中的处理。

本文所用术语不具有性别特指性。

最后更新：2026年6月22日

数据控制者

Adams Strategy GmbH & Co. KG
Rheinpromenade 4a, 40789 Monheim am Rhein

授权代表：Marielle Adams

电子邮件地址：info@adamsstrategy.de

法律声明：www.adamsstrategy.de/zh/impressum

我们的品牌

Adams Strategy GmbH & Co. KG在其企业集团下经营以下独立品牌，每个品牌均拥有独立的在线平台：

• Adams Strategy（adamsstrategy.de）——为德国中间市场提供并购咨询。本隐私政策适用于此服务。
• Matching Pioneers（matchingpioneers.de）——企业交易B2B撮合平台。该服务适用单独的Matching Pioneers隐私政策。
• Aerendal（aerendal.de）——专注于贸易和商业企业（传承与企业出售）的并购咨询。该服务适用aerendal.de上的单独隐私政策。

每个品牌依据各自的隐私政策独立处理个人数据。三个品牌的数据控制者均为Adams Strategy GmbH & Co. KG，Rheinpromenade 4a，40789 Monheim am Rhein。

处理活动概览

以下概览总结了所处理数据的类型及其处理目的，并明确了相关数据主体。

处理的数据类型

• 基本数据
• 员工数据
• 支付数据
• 联系数据
• 内容数据
• 合同数据
• 使用数据
• 元数据、通信数据及程序性数据
• 申请人数据
• 日志数据
• 信用数据

数据主体类别

• 服务接受方和客户
• 员工
• 潜在客户
• 通信伙伴
• 用户
• 申请人
• 商业及合同合作伙伴
• 委托方
• 顾客
• 潜在收购方（收购方数据库）
• 出售方（并购流程中的企业）

处理目的

• 履行合同服务及合同义务
• 并购咨询与企业居间（撮合）
• 通信
• 安全措施
• 直接营销
• 受众测量
• 办公室及组织程序
• 招聘流程
• 市场营销
• 提供在线服务及用户体验
• 信用评估
• 建立及维护雇佣关系
• IT基础设施
• 财务及支付管理
• 公共关系

适用的法律依据

GDPR下的法律依据：以下提供我们依据GDPR处理个人数据所依赖的法律依据概览。除GDPR规定外，您所在国家或我国的国家数据保护要求亦可能适用。

• 同意（GDPR第6(1)(a)条）——数据主体已就一个或多个特定目的同意处理其个人数据。
• 履行合同及合同前查询（GDPR第6(1)(b)条）——处理是为了履行数据主体作为当事方的合同所必要，或应数据主体要求在订立合同前采取措施所必要。
• 法律义务（GDPR第6(1)(c)条）——处理是数据控制者遵守法律义务所必要。
• 合法利益（GDPR第6(1)(f)条）——处理是数据控制者或第三方追求合法利益所必要，除非数据主体的利益或基本权利和自由凌驾于此类利益之上。
• 招聘作为合同前或合同关系（GDPR第6(1)(b)条）——若在招聘过程中要求申请人提供GDPR第9(1)条所述的特殊类别个人数据，则依据GDPR第9(2)(b)、(c)或(h)条进行处理。

德国国家数据保护规定：除GDPR的数据保护规定外，国家规定亦适用，尤其是德国《联邦数据保护法》（BDSG）。

安全措施

依据法定要求，考虑到技术现状、实施成本、处理的性质、范围、背景和目的，以及对自然人权利和自由的不同可能性和严重性风险，我们采取适当的技术和组织措施，确保与风险相适应的安全级别。

这些措施尤其包括通过控制对数据的物理和电子访问，以及对数据的访问、输入、披露、可用性保障和隔离来确保数据的保密性、完整性和可用性。

TLS/SSL加密（HTTPS）：为保护通过我们在线服务传输的数据免遭未授权访问，我们使用TLS/SSL加密技术。若网站受SSL/TLS证书保护，则通过URL中显示HTTPS来标识。

表单传输数据保护：通过我们联系表单提交的所有个人数据均仅通过加密的HTTPS连接（TLS）传输。数据在服务器端存储供内部处理，不对外公开。

安全标头：我们使用HTTP安全标头，包括X-Frame-Options（SAMEORIGIN，防止嵌入外部框架）、内容安全策略（CSP）、X-Content-Type-Options（nosniff）、Referrer-Policy（strict-origin-when-cross-origin）、Permissions-Policy（禁用摄像头、麦克风和地理位置）及X-XSS-Protection。CSP标头还包含frame-ancestors 'none'指令，可防止点击劫持攻击。

速率限制：为保护我们的联系表单免遭自动化滥用，我们实施服务器端速率限制。请求者的IP地址临时存储在工作内存中，5分钟后自动删除——不进行永久性日志记录。

个人数据的传输

在处理个人数据的过程中，数据可能被传输给其他机构、公司、法律上独立的组织单位或个人。数据接收方可能包括受托执行IT任务的服务提供商或服务及内容提供商。在此情况下，我们遵守适用的法律要求，并签订适当合同以保护您的数据。

集团内部数据传输：基于我们合法的业务和运营利益，我们可能向集团内其他公司传输个人数据或授予其访问权限。

国际数据传输

若我们将数据传输至第三国（欧盟/欧洲经济区以外），我们仅在遵守适用法律要求的情况下进行。

对于向美国的数据传输，我们主要依赖数据隐私框架（DPF），该框架已于2023年7月10日经欧盟委员会充分性决定认可为安全的法律框架。此外，我们已与相关提供商签订标准合同条款。这种双重保障确保了对您数据的全面保护。有关DPF的更多信息及认证公司名单，请访问www.dataprivacyframework.gov。

对于向其他第三国的数据传输，适用适当的保障措施，特别是标准合同条款、明确同意或法律要求的传输。

数据保留与删除的一般信息

一旦相关同意被撤回或处理不再具有法律依据，我们将依据法定要求删除个人数据。法定义务或特殊利益要求较长保留期限的情况除外。

若规定了多个保留期限，则始终以最长期限为准。若某一期限未明确自特定日期起算且至少为一年，则自触发事件发生的日历年年末自动开始计算。

德国法律规定的法定保留期限：

• 10年——账簿、记录、年度账目、存货清单（税法第147条、商法典第257条）
• 8年——会计凭证、发票、成本文件（税法第147条、商法典第257条）
• 6年——其他商业记录、商业往来函件、计算文件（税法第147条、商法典第257条）
• 3年——保修和损害赔偿索赔数据（民法典第195、199条）

数据主体权利

作为数据主体，您依据GDPR（第15至21条）享有以下权利：

• 反对权：您有权随时以与您特定情况相关的理由，对基于GDPR第6(1)(e)或(f)条对您个人数据的处理提出反对；这同样适用于基于上述条款的画像。若您的个人数据被用于直接营销目的，您有权随时提出反对。
• 撤回同意权：您有权随时撤回已给予的同意。
• 知情权：您有权获得关于您个人数据是否正在被处理的确认，并依法获取此类数据及其副本。
• 更正权：您有权要求补充或更正关于您的不准确数据。
• 删除权及限制处理权：您有权要求无故延迟地删除关于您的数据，或请求限制处理。
• 数据可携权：您有权以结构化、通用且机器可读的格式接收关于您的个人数据，或请求将其传输给另一控制者。
• 向监管机构投诉的权利：您有权向数据保护监管机构投诉，特别是在您的惯常居所、工作地点或涉嫌侵权地点所在的成员国。

商业服务

我们在合同及类似法律关系的背景下，以及与合同方通信的过程中（例如回应查询时），处理我们合同方和商业合作伙伴（统称"合同当事方"）的数据。

我们在法定保修及类似义务到期后删除数据，通常为四年后，除非数据因法律原因需要保留（例如出于税务目的，通常为十年）。

• 处理的数据类型：基本数据、支付数据、联系数据、合同数据
• 数据主体：服务接受方、客户、潜在客户、商业及合同合作伙伴
• 处理目的：履行合同服务、通信、办公室及组织程序、业务流程
• 法律依据：履行合同（GDPR第6(1)(b)条）、法律义务（GDPR第6(1)(c)条）、合法利益（GDPR第6(1)(f)条）

所用服务的更多信息：

收购方数据库与撮合平台

我们在网站上为潜在收购方（企业买家、家族办公室、投资公司、战略投资者）提供注册加入我们收购方数据库的机会。注册数据用于识别并推荐我们网络中的合适并购委托，并促进结构化的并购撮合流程。

• 处理的数据类型：基本数据（姓名、公司、职位）、联系数据（电子邮件、电话）、内容数据（行业重点、营收规模、收购标准）、日志数据（IP地址、注册时间戳）
• 数据主体：潜在收购方、投资者、投资公司、家族办公室
• 处理目的：纳入收购方数据库、在并购流程中介绍合适企业、就具体收购委托进行联系
• 法律依据：同意（GDPR第6(1)(a)条）——注册仅在用户主动勾选表单中的数据保护复选框明确同意后进行。
• 保留期限：数据保留至收购意愿有效期间。撤回同意后，数据将在30天内删除。
• 向第三方披露：未经明确同意，数据不会向第三方披露。在撮合过程中，联系方式仅在收购方和出售方双方确认意向后方可交换。
• 撤回：可随时通过非正式电子邮件发送至info@adamsstrategy.de撤回已给予的同意。

业务流程与程序

个人数据在合同及合同前措施的背景下被处理，以支持客户管理、销售、支付处理、会计和项目管理等业务运营领域。

• 处理的数据类型：基本数据、支付数据、联系数据、内容数据、合同数据、日志数据、使用数据、元数据和通信数据、员工数据
• 数据主体：服务接受方、潜在客户、通信伙伴、商业合作伙伴、用户、员工、顾客
• 处理目的：履行合同服务、办公室及组织程序、市场营销、财务及支付管理、IT基础设施
• 法律依据：GDPR第6(1)(b)、(c)、(f)条

所用程序：

业务运营中使用的第三方服务提供商

在业务运营过程中，我们依据适用法律要求使用第三方提供商的额外服务、平台和插件。其使用基于我们对合法、守法和高效开展业务的利益。

• 法律依据：合法利益（GDPR第6(1)(f)条）、履行合同（GDPR第6(1)(b)条）

支付处理

在合同及其他法律关系的背景下，我们为数据主体提供高效安全的支付方式，除银行和信贷机构外，还为此目的使用其他服务提供商。处理的数据包括基本数据、银行数据以及合同和交易金额。我们不会收到账户或信用卡信息；仅收到支付确认或负面支付通知。

• 处理的数据类型：基本数据、支付数据、合同数据、使用数据、元数据和通信数据
• 法律依据：履行合同（GDPR第6(1)(b)条）、合法利益（GDPR第6(1)(f)条）

信用审查

若我们提前提供服务或承担类似的财务风险，我们保留从专业信用参考机构获取身份和信用信息的权利，以保护我们的合法利益。

• 处理的数据类型：基本数据、支付数据、联系数据、合同数据、信用数据
• 目的：信用评估
• 法律依据：合法利益（GDPR第6(1)(f)条）

在线服务的提供与网络托管

我们处理用户数据以提供在线服务。为此，我们处理用户的IP地址，这对于向用户浏览器传输在线服务的内容和功能是必要的。

• 处理的数据类型：使用数据、元数据和通信数据、日志数据、内容数据
• 目的：提供在线服务、IT基础设施、安全措施
• 法律依据：合法利益（GDPR第6(1)(f)条）

服务器日志文件最多保留30天，之后予以删除或匿名化。需要保留以用作证据的数据在相关事项最终解决前不予删除。

Cookie的使用

"Cookie"是指在用户终端设备上存储和检索信息的功能。我们依据适用法律要求使用Cookie。若不需要同意，我们依赖于我们的合法利益。

保留期限：

• 临时Cookie（会话Cookie）：最迟在用户离开在线服务并关闭设备后删除。
• 永久性Cookie：设备关闭后仍保留存储，通常最长两年。

• 法律依据：合法利益（GDPR第6(1)(f)条）、同意（GDPR第6(1)(a)条）

注册、登录与用户账户

用户可创建用户账户。注册时，用户将被告知所需的必填信息，该信息随后将被处理。处理的数据尤其包括登录信息（用户名、密码和电子邮件地址）。我们基于合法利益存储每次用户操作的IP地址和时间戳。

• 处理的数据类型：基本数据、联系数据、内容数据、使用数据、日志数据
• 法律依据：履行合同（GDPR第6(1)(b)条）、合法利益（GDPR第6(1)(f)条）

用户档案不对外公开或可访问。终止用户账户后，数据将被删除，但须遵守法定保留义务。

博客与出版媒体

我们使用博客或类似的在线通信和出版媒介（战略学院）。读者数据仅在出版媒介展示以及作者与读者之间通信所必要的范围内，或出于安全目的而被处理。

• 处理的数据类型：基本数据、联系数据、内容数据、使用数据、元数据和通信数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

联系与查询管理

当与我们联系（例如通过邮件、联系表单、电子邮件、电话或社交媒体）以及在现有用户和业务关系的背景下，查询方提供的信息将在回应联系查询和所请求措施所必要的范围内被处理。

• 处理的数据类型：基本数据、联系数据、内容数据、使用数据、元数据和通信数据、支付数据、合同数据
• 法律依据：合法利益（GDPR第6(1)(f)条）、履行合同（GDPR第6(1)(b)条）、同意（GDPR第6(1)(a)条）

通过即时通讯服务进行通信

我们使用即时通讯服务进行通信。在端对端加密的情况下，通信内容不可被访问——包括即时通讯服务提供商本身。我们注意到，即时通讯服务提供商可能处理元数据（时间、设备信息，可能还有位置数据）。

• 处理的数据类型：联系数据、内容数据、使用数据、元数据和通信数据
• 法律依据：同意（GDPR第6(1)(a)条）、履行合同（GDPR第6(1)(b)条）、合法利益（GDPR第6(1)(f)条）

人工智能（AI）

我们使用涉及个人数据处理的人工智能（AI）系统。我们的AI系统严格遵守适用的法律要求（GDPR、AI法案）使用。我们遵循合法性、透明度、公平性、人工监督、目的限制和数据最小化原则。

• 处理的数据类型：内容数据、使用数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

视频会议、在线会议、网络研讨会与屏幕共享

我们使用会议平台进行视频和音频会议、网络研讨会及其他类型的在线会议。与参与相关，参与者的个人数据将被处理，包括姓名、电子邮件地址、IP地址、设备数据及音视频数据。若进行录制，参与者将提前获得告知。

• 处理的数据类型：基本数据、联系数据、内容数据、使用数据、日志数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

云服务

我们使用互联网访问的软件服务（云服务/软件即服务）进行内容的存储和管理。在此背景下，个人数据可能在提供商的服务器上被处理和存储。

• 处理的数据类型：基本数据、联系数据、内容数据、使用数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

通讯与电子通知

我们仅依据双重确认程序并在收件人依据GDPR第6(1)(a)条明确同意后发送我们的通讯。

内容：并购资讯、企业出售与收购信息、行业洞察、活动公告。

双重确认程序：通过我们的表单注册后，您将收到一封包含个人链接的确认电子邮件。只有在您点击此确认链接后，您的注册才会被激活。未经此确认，您将不会收到任何通讯邮件。

• 处理的数据：电子邮件地址、注册时间、确认时间、确认令牌
• 发送：我们通过自有SMTP基础设施（IONOS SE，德国）自行发送通讯。不使用外部通讯服务提供商。
• 保留期限：您的电子邮件地址保留至您退订为止。退订后，我们保留所给予同意的证据最长三年，以便能够证明我们的法律授权。
• 退订：您可随时撤回接收我们通讯的同意。每封通讯邮件底部均有退订链接，也可直接通过/newsletter/abmelden/退订（该链接在每封邮件中为您单独提供）。
• 法律依据：同意（GDPR第6(1)(a)条）

网络研讨会注册

我们定期提供有关企业出售和中间市场并购主题的免费在线研讨会。参与需要提前注册。

• 处理的数据：姓名、电子邮件地址、公司（可选）、电话（可选）
• 目的：发送研讨会访问凭证和技术参与信息，以及研讨会后的后续信息
• 法律依据：同意（GDPR第6(1)(a)条）——注册基于在注册表单中主动确认数据保护复选框
• 保留期限：注册数据保留至研讨会结束后最多30天，之后予以删除。
• 向第三方披露：注册数据不向第三方披露。

通过电子邮件、邮寄、传真或电话进行营销通讯

我们依据适用法律要求通过各种渠道处理个人数据用于营销通讯目的。收件人有权随时撤回同意或随时反对营销通讯。

撤回或反对后，我们保留证明先前授权所需的数据，直至撤回年份结束后三年。为避免进一步联系，我们在禁止名单（黑名单）中保留相关联系信息。

• 处理的数据类型：基本数据、联系数据、内容数据
• 法律依据：同意（GDPR第6(1)(a)条）、合法利益（GDPR第6(1)(f)条）

网络分析、监控与优化

网络分析用于评估我们在线服务的访客流量。受众分析使我们能够识别在线服务使用最频繁的时间以及需要优化的领域。IP地址通过IP掩码进行假名化处理。不存储明文数据（如电子邮件地址或姓名）。

• 处理的数据类型：使用数据、元数据和通信数据
• 安全措施：IP掩码（IP地址假名化）
• 法律依据：同意（GDPR第6(1)(a)条）、合法利益（GDPR第6(1)(f)条）

社交网络（社交媒体）的存在

我们在社交网络上维护在线形象，并在此背景下处理用户数据，以便与活跃在这些平台上的用户进行通信或提供有关我们的信息。用户数据可能在欧盟境外被处理。

• 处理的数据类型：联系数据、内容数据、使用数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

插件及嵌入式功能与内容

我们在在线服务中嵌入来自各自提供商（第三方提供商）服务器的功能性和内容元素，例如图形、视频或地图。此类嵌入始终需要这些第三方提供商处理用户的IP地址。

• 处理的数据类型：使用数据、元数据和通信数据、联系数据、内容数据
• 法律依据：同意（GDPR第6(1)(a)条）、合法利益（GDPR第6(1)(f)条）

管理、组织与辅助工具

我们使用第三方提供商的服务、平台和软件用于组织、管理、规划和提供我们的服务。在此背景下，个人数据可能在这些第三方提供商的服务器上被处理和存储。

• 处理的数据类型：内容数据、使用数据、元数据和通信数据
• 法律依据：合法利益（GDPR第6(1)(f)条）

在雇佣关系背景下的数据处理

在雇佣关系背景下，员工的个人数据在建立、履行或终止雇佣关系所必要的范围内被处理。

• 处理的数据类型：员工数据（例如人事基本数据、薪资数据、假期和病假数据、通信数据、合同和绩效数据）
• 数据主体：员工（工人、学徒、实习生）
• 目的：人事管理、薪资处理、人员发展、职业健康与安全、安全措施、内部通信
• 法律依据：BDSG第26条；GDPR第6(1)(b)条（履行合同）；GDPR第6(1)(c)条（法律义务）；GDPR第6(1)(f)条（合法利益）

保留期限

• 人事档案：雇佣关系终止后10年（商法典第257条、税法第147条）
• 薪资记录：10年（税法第147条）
• 工时记录：2年（《最低工资法》第17条）
• 病假通知/证明：日历年结束后3年

招聘流程

我们仅为招聘流程的目的及在其背景下处理申请人数据。处理依据BDSG第26条结合GDPR第88条及GDPR第6(1)(b)条（启动雇佣关系）进行。若申请被拒，申请人数据将在决定作出后最迟6个月内删除。

• 处理的数据类型：申请人数据（简历、资质证明、求职信、推荐信、联系方式）
• 目的：开展招聘流程、录用决定

修订与更新

我们请您定期了解本隐私政策的内容。我们将在数据处理活动发生变化时更新隐私政策。一旦修订需要您采取行动（例如同意）或任何其他个人通知时，我们将及时通知您。

若我们在本隐私政策中提供了公司和组织的地址和联系信息，请注意地址可能随时间变化，我们请您在联系前核实相关信息。

定义

本节提供本隐私政策中使用的术语概览。凡术语由法律定义者，适用其法定定义。

• 员工数据：在雇佣关系背景下员工（包括申请人和前员工）的个人数据（BDSG第26条）。
• 基本数据：用于建立、明确或修改合同关系的数据（例如姓名、地址）。
• 内容数据：在使用在线服务过程中输入的数据（例如表单输入、评论）。
• 联系数据：联系时或合同中记录的数据，例如姓名、电子邮件地址、电话号码。
• 元数据、通信数据及程序性数据：技术数据，如IP地址、时间戳、设备标识符、浏览器类型。
• 使用数据：通过使用在线服务产生的数据（例如访问的页面、点击、停留时间）。
• 个人数据：与已识别或可识别自然人相关的任何信息（GDPR第4(1)条）。
• 日志数据：由系统自动生成的数据，例如访问日志（日志文件）。
• 控制者：决定个人数据处理目的和方式的自然人或法人（GDPR第4(7)条）。
• 处理：对个人数据执行的任何操作（收集、存储、使用、传输、删除等）——GDPR第4(2)条。
• 支付数据：处理支付所需的数据（银行详情、信用卡号码、账单地址）。