Datenschutzerklärung

1. Verantwortlicher

2. Allgemeine Hinweise

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei Nutzung des Transparenzregister-Tools. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

3. Kategorien verarbeiteter Daten

• Konto-/Stammdaten: Name, E-Mail-Adresse, Passwort (nur als Hash), Verifizierungsstatus, ggf. Sicherheits-/Statusdaten.
• Tool- und Inhaltsdaten: von Ihnen eingegebene Angaben sowie erzeugte Ausgaben/Strukturierungen, Berechnungen, Exporte, sofern Sie diese speichern.
• Nutzungs-/Protokolldaten: technisch notwendige Logs (z.B. Zeitpunkte, Fehler-/Sicherheitslogs), IP-Adresse (serverseitig), Geräte-/Browserdaten soweit technisch anfallen.
• Zahlungs-/Abrechnungsdaten: Verarbeitung primär über Stripe; wir erhalten Status-/Referenzdaten (z.B. Plan, Limits, Stripe-Kunden-ID, Zahlungsstatus, ggf. Rechnungs-/Portalstatus).

4. Zwecke der Verarbeitung

• Bereitstellung des Tools, Kontoverwaltung, Durchführung von Berechnungen und Exporten
• Abwicklung von Zahlungen, Verwaltung von Abonnements und Rechnungen
• E-Mail-Verifizierung, Sicherheitskommunikation
• Missbrauchsprävention, IT-Sicherheit, Fehleranalyse
• Support und Kommunikation

5. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Registrierung, Nutzung des Tools, Berechnungen/Exports, Abrechnung.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): z.B. handels-/steuerrechtliche Pflichten bei Abrechnung.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen): IT-Sicherheit, Missbrauchsprävention, Fehleranalyse/Logging, Rechtsdurchsetzung.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): für die optionale eigene statistische Auswertung und Google Analytics (Abschnitte 9.1 und 9.2).

6. Empfänger / Auftragsverarbeiter / eingesetzte Dienstleister

Zur Bereitstellung des Tools setzen wir Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter), als eigenständige Verantwortliche agieren (z. B. Zahlungsdienst) oder öffentliche bzw. geografische Daten als Datenquelle bereitstellen. Mit den Auftragsverarbeitern Vercel, Supabase und Brevo bestehen Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Weitere Transfergarantien werden hier nicht pauschal behauptet; Einzelheiten stehen in der Empfänger- und Unterauftragsverarbeiterliste.

6.1 Hosting der Anwendung (Vercel, Region Frankfurt)

Die Next.js-Anwendung und das Backend werden bei der Vercel Inc. (USA) betrieben. Der primäre Anwendungsbetrieb von Transparify erfolgt in Frankfurt am Main. Laut Vercel können statische Inhalte und Antworten von Serverless Functions vorübergehend in EU-Regionen zwischengespeichert werden; eine ausschließlich europäische Verarbeitung ist dadurch nicht bestätigt. Verarbeitet werden die IP-Adresse, der Zeitpunkt und der Inhalt von Anfragen sowie technische Protokolldaten. Zu Drittlandgarantien siehe Abschnitt 11 und die Unterauftragsverarbeiterliste.

6.2 Datenbank und Dateispeicher (Supabase, EU)

Die PostgreSQL-Datenbank der Supabase Inc. (USA) steht in einem Rechenzentrum von Amazon Web Services in der EU (Irland). Laut Supabase verbleiben bei Projekten in EU-Regionen die primären Datenbankdaten in der gewählten Region. Der Zugriff erfolgt nur serverseitig.

6.3 Abruf von Handelsregisterdaten (Handelsregister.ai)

Abrufe erfolgen serverseitig. Übermittelt werden Suchangaben zur Gesellschaft (z. B. Firmenname oder Registernummer), nicht die vollständige UBO-Ermittlungsakte. Zurück kommen öffentliche Registerdaten, die personenbezogene Angaben enthalten können (z. B. zu Organen oder Gesellschaftern). Handelsregister.ai (Fusionbase GmbH) stellt diese Daten als Register-/Datenquelle bereit und ist hierfür nicht pauschal als Auftragsverarbeiter der Falldaten einzuordnen. Datenschutzerklärung des Anbieters: https://handelsregister.ai/de/privacy-policy

6.4 E-Mail-Versand (Brevo)

Für den Versand transaktionaler E-Mails (Verifizierung, Sicherheitshinweise, Auftrags-/Rechnungshinweise, Watchlist-Benachrichtigungen) nutzen wir Brevo (Sendinblue SAS) per SMTP. Verarbeitet werden insbesondere Empfänger-E-Mail-Adresse und E-Mail-Inhalte (bei Watchlist ggf. Firmennamen und Änderungszeilen aus Registerdaten). Laut Brevo liegen Datenbanken in der EU; Brevo gibt ISO 27001:2022 an und stellt ein DPA bereit. Ob das DPA für Transparify projektspezifisch wirksam ist, ist gesondert nachzuweisen.

6.5 Zahlungsabwicklung / Billing / Kundenportal (Stripe)

Für Zahlungsabwicklung, Abonnements, Rechnungsstellung und Kundenportal nutzen wir Stripe. Übermittelt werden Abrechnungsdaten (z. B. Name/Firma, Anschrift, E-Mail, USt-Id soweit angegeben, Zahlungsmetadaten) — keine UBO-Beteiligungsstruktur. Stripe handelt nach eigenen Angaben teils als eigenständiger Verantwortlicher (z. B. Zahlungsabwicklung, Betrugsprävention, gesetzliche Pflichten) und teils als Auftragsverarbeiter. Stripe stellt ein DPA als Teil der Services Agreement bereit; projektspezifische Wirksamkeit und Transfernachweise sind gesondert zu führen. Nutzer verwalten Zahlungen über das Stripe-Kundenportal.

6.6 Adress- und Ortssuche (OpenStreetMap Nominatim, GeoNames)

Für Adress- und Ortsvorschläge wird der eingegebene Suchtext serverseitig an OpenStreetMap Nominatim bzw. optional an GeoNames weitergeleitet. Die IP-Adresse des Endnutzers wird dabei nicht an diese Dienste weitergegeben; der Anbieter sieht die Server-IP von Transparify. Orts- und geografische Bezeichnungen sind nicht pauschal personenbezogene Daten. GeoNames ist optional (nur wenn konfiguriert) und dient als Datenquelle, nicht als Auftragsverarbeiter der Ermittlungsakte.

6.7 Keine KI-gestützte Dokumentenanalyse

Wir setzen keine Text- oder Bilderkennung durch KI-Dienste ein. Eingaben werden nicht an KI-Anbieter übermittelt und nicht für ein Training verwendet.

6.8 Serverstandort und Übertragungssicherheit

Anwendung und Datenbank werden in Rechenzentren innerhalb der EU betrieben (siehe 6.1 und 6.2).

Die Datenübertragung zwischen Ihrem Browser und unseren Servern erfolgt ausschließlich verschlüsselt über HTTPS.

7. Speicherung der Berechnungen / Löschung

Berechnungen und Ergebnisse werden standardmäßig dauerhaft gespeichert, damit Sie diese später einsehen, exportieren und weiterverwenden können. Sie können gespeicherte Berechnungen im Konto manuell löschen.

Hinweis: Gesetzliche Aufbewahrungspflichten (z.B. steuer-/handelsrechtlich) können einer sofortigen Löschung bestimmter Abrechnungsdaten entgegenstehen.

7.1 Löschung von Daten

Nutzer können gespeicherte Ermittlungen und Entwürfe über das Benutzerkonto löschen und verfügbare Ergebnisse exportieren. Die vollständige Kontolöschung erfolgt derzeit auf Anfrage.

Die Kündigung eines optionalen Abonnements (z. B. Enterprise) führt nicht zur Löschung des Benutzerkontos oder der darin gespeicherten Ermittlungen.

8. E-Mail-Verifizierung & Kontosicherheit

• Zur Verifizierung erzeugen wir einen zeitlich begrenzten Token und senden einen Bestätigungslink an Ihre E-Mail-Adresse.
• Zum Schutz vor Missbrauch können Rate-Limits beim erneuten Versand von Verifizierungs-E-Mails eingesetzt werden.
• Bei Änderung sicherheitsrelevanter Kontodaten kann eine erneute Verifizierung erforderlich sein.

9. Cookies / Tracking

Technisch notwendige Cookies können zur Session-/Login-Funktion erforderlich sein. Zahlungsabwicklung und Rechnungsportal erfolgen über Stripe; hierbei können Stripe-typische technische Daten anfallen.

9.1 Eigene statistische Auswertung

Wir nutzen eine eigene datensparsame Statistiklösung, um die Nutzung unserer Anwendung zu analysieren und unser Angebot zu verbessern. Dabei werden nur solche Informationen verarbeitet, die für die Auswertung des Nutzungsverhaltens erforderlich sind (z. B. Seitenaufrufe, Nutzung des Rechners, Funnel-Ereignisse). Die Verarbeitung erfolgt ausschließlich nach Einwilligung des Nutzers. Sie können Ihre Entscheidung jederzeit in den Datenschutz-Einstellungen (Abschnitt 15) ändern oder widerrufen.

9.2 Google Analytics

Sofern Sie in den Datenschutz-Einstellungen einwilligen, setzen wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Google Analytics 4 wird erst nach ausdrücklicher Einwilligung geladen (Basic Consent Mode v2). Ohne Einwilligung werden durch die Google-Analytics-Integration keine Anfragen an Google Analytics oder Google Tag Manager ausgelöst und keine Analyse-Cookies gesetzt. Nach Einwilligung verwendet Google Analytics Cookies und verarbeitet Nutzungsdaten (insbesondere Seitenaufrufe, Gerät-/Browserinformationen, grobe Standortangaben und eine gekürzte IP-Adresse). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung können Sie jederzeit in den Datenschutz-Einstellungen widerrufen. Weitere Informationen: https://policies.google.com/privacy

9.3 Vercel Web Analytics und Speed Insights

Für den Betrieb der Website setzen wir Vercel Web Analytics und Speed Insights ein. Dabei werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet. Verarbeitet werden aggregierte Angaben zu Seite, Referrer, Gerätetyp und Ladezeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

10. Speicherdauer

• Konto-/Stammdaten: solange das Konto besteht; danach Löschung oder Einschränkung nach gesetzlichen Pflichten.
• Tool-Daten/Berechnungen: dauerhaft, bis Sie diese manuell löschen oder das Konto gelöscht wird (vorbehaltlich gesetzlicher Pflichten).
• Abrechnungsdaten: nach gesetzlichen Aufbewahrungspflichten.
• Logs: nur solange erforderlich für Betrieb/Sicherheit/Fehleranalyse (typischerweise kurzzeitig).

11. Drittlandtransfer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der EU/des EWR erfolgt nur unter Einhaltung der Art. 44 ff. DSGVO. Soweit erforderlich, kommen Angemessenheitsbeschlüsse oder geeignete Garantien (insbesondere EU-Standardvertragsklauseln) sowie ggf. ergänzende Schutzmaßnahmen in Betracht. Einzelheiten zu Dienstleistern und verfügbaren Angaben ergeben sich aus der Unterauftragsverarbeiterliste.

12. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

13. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Dazu zählen insbesondere Zugriffsbeschränkungen, Authentifizierungs-/Autorisierungskonzepte und Transportverschlüsselung (TLS), soweit verfügbar.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich Rechtslage, Dienste oder Datenverarbeitungen ändern.

15. Datenschutz-Einstellungen

Für optionale, einwilligungsbasierte Verarbeitungen (eigene statistische Auswertung gemäß Abschnitt 9.1 und Google Analytics gemäß Abschnitt 9.2) können Sie Ihre Einwilligung jederzeit ändern oder widerrufen. Öffnen Sie dazu die Datenschutz-Einstellungen:

Datenschutz-Einstellungen

16. Widerrufsbelehrung für digitale Inhalte / Online-Dienstleistungen

für digitale Inhalte / Online-Dienstleistungen

Externe Informationen (nur als Hinweis): Stripe Customer Portal/Invoices, Brevo DPA, Supabase Dokumente. Stripe: docs.stripe.com · Brevo DPA: help.brevo.com · Supabase: supabase.com