Datenschutzerklärung

1. Verantwortlicher

2. Allgemeine Hinweise

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei Nutzung des Transparenzregister-Tools. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

3. Kategorien verarbeiteter Daten

• Konto-/Stammdaten: Name, E-Mail-Adresse, Passwort (nur als Hash), Verifizierungsstatus, ggf. Sicherheits-/Statusdaten.
• Tool- und Inhaltsdaten: von Ihnen eingegebene Angaben sowie erzeugte Ausgaben/Strukturierungen, Berechnungen, Exporte, sofern Sie diese speichern.
• Nutzungs-/Protokolldaten: technisch notwendige Logs (z.B. Zeitpunkte, Fehler-/Sicherheitslogs), IP-Adresse (serverseitig), Geräte-/Browserdaten soweit technisch anfallen.
• Zahlungs-/Abrechnungsdaten: Verarbeitung primär über Stripe; wir erhalten Status-/Referenzdaten (z.B. Plan, Limits, Stripe-Kunden-ID, Zahlungsstatus, ggf. Rechnungs-/Portalstatus).

4. Zwecke der Verarbeitung

• Bereitstellung des Tools, Kontoverwaltung, Durchführung von Berechnungen und Exporten
• Abwicklung von Zahlungen, Verwaltung von Abonnements und Rechnungen
• E-Mail-Verifizierung, Sicherheitskommunikation
• Missbrauchsprävention, IT-Sicherheit, Fehleranalyse
• Support und Kommunikation

5. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Registrierung, Nutzung des Tools, Berechnungen/Exports, Abrechnung.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): z.B. handels-/steuerrechtliche Pflichten bei Abrechnung.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen): IT-Sicherheit, Missbrauchsprävention, Fehleranalyse/Logging, Rechtsdurchsetzung.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): für die optionale eigene statistische Auswertung und Google Analytics (Abschnitte 9.1 und 9.2).

6. Empfänger / Auftragsverarbeiter / eingesetzte Dienstleister

To provide the tool we use service providers that process data on our behalf (processors), act as independent controllers (e.g. payment providers), or supply public/geographic data as a data source. Article 28 GDPR data processing agreements are in place with Vercel, Supabase and Brevo. Further transfer guarantees are not claimed in blanket form; details are in the recipients and subprocessors list.

6.1 Hosting der Anwendung (Vercel, Region Frankfurt)

The Next.js application and backend are operated by Vercel Inc. (USA). Transparify’s primary application runtime is Frankfurt am Main. According to Vercel, static assets and Serverless Function responses may be cached temporarily in EU regions; exclusively European processing is not thereby confirmed. Processed are IP address, time and content of requests as well as technical log data. For third-country safeguards see section 11 and the subprocessor list.

6.2 Database and file storage (Supabase, EU)

The PostgreSQL database of Supabase Inc. (USA) is hosted in an Amazon Web Services data centre in the EU (Ireland). According to Supabase, for projects in EU regions primary database data remains in the chosen region. Access is server-side only.

6.3 Commercial-register retrieval (Handelsregister.ai)

Calls are made server-side. Only company search parameters (e.g. company name or register number) are transmitted, not the full UBO investigation file. Responses contain public register data that may include personal data (e.g. officers or shareholders). Handelsregister.ai (Fusionbase GmbH) provides this as a register/data source and is not categorically a processor of Transparify case files. Provider privacy policy: https://handelsregister.ai/de/privacy-policy

6.4 Email delivery (Brevo)

Transactional email (verification, security notices, order/invoice notices, watchlist alerts) is sent via Brevo (Sendinblue SAS) over SMTP. Processed data include recipient email addresses and message contents (watchlist digests may include company names and change lines from register data). According to Brevo, databases are in the EU; Brevo states ISO 27001:2022 certification and provides a DPA. Whether that DPA is project-specifically effective for Transparify must be evidenced separately.

6.5 Payments / billing / customer portal (Stripe)

Payments, subscriptions, invoicing and the customer portal use Stripe. Billing data are transmitted (e.g. name/company, address, email, VAT ID where provided, payment metadata), but no UBO ownership structures. According to Stripe, it acts partly as an independent controller (e.g. payment processing, fraud prevention, legal obligations) and partly as a processor. Stripe provides a DPA as part of its Services Agreement; project-specific effectiveness and transfer evidence must be maintained separately. Users manage payments via the Stripe customer portal.

6.6 Address and place search (OpenStreetMap Nominatim, GeoNames)

For address and place suggestions, the entered search text is forwarded server-side to OpenStreetMap Nominatim or, optionally, GeoNames. The end user’s IP address is not forwarded to those services; the provider sees Transparify’s server IP. Place names and geographic labels are not categorically personal data. GeoNames is optional (only if configured) and acts as a data source, not as a processor of the investigation file.

6.7 Keine KI-gestützte Dokumentenanalyse

Wir setzen keine Text- oder Bilderkennung durch KI-Dienste ein. Eingaben werden nicht an KI-Anbieter übermittelt und nicht für ein Training verwendet.

6.8 Serverstandort und Übertragungssicherheit

Anwendung und Datenbank werden in Rechenzentren innerhalb der EU betrieben (siehe 6.1 und 6.2).

Die Datenübertragung zwischen Ihrem Browser und unseren Servern erfolgt ausschließlich verschlüsselt über HTTPS.

7. Speicherung der Berechnungen / Löschung

Berechnungen und Ergebnisse werden standardmäßig dauerhaft gespeichert, damit Sie diese später einsehen, exportieren und weiterverwenden können. Sie können gespeicherte Berechnungen im Konto manuell löschen.

Hinweis: Gesetzliche Aufbewahrungspflichten (z.B. steuer-/handelsrechtlich) können einer sofortigen Löschung bestimmter Abrechnungsdaten entgegenstehen.

7.1 Löschung von Daten

Users can delete saved investigations and drafts in their account and export available results. Full account deletion is currently available on request.

Cancelling an optional subscription (for example Enterprise) does not delete the user account or the investigations stored in it.

8. E-Mail-Verifizierung & Kontosicherheit

• Zur Verifizierung erzeugen wir einen zeitlich begrenzten Token und senden einen Bestätigungslink an Ihre E-Mail-Adresse.
• Zum Schutz vor Missbrauch können Rate-Limits beim erneuten Versand von Verifizierungs-E-Mails eingesetzt werden.
• Bei Änderung sicherheitsrelevanter Kontodaten kann eine erneute Verifizierung erforderlich sein.

9. Cookies / Tracking

Technisch notwendige Cookies können zur Session-/Login-Funktion erforderlich sein. Zahlungsabwicklung und Rechnungsportal erfolgen über Stripe; hierbei können Stripe-typische technische Daten anfallen.

9.1 Eigene statistische Auswertung

Wir nutzen eine eigene datensparsame Statistiklösung, um die Nutzung unserer Anwendung zu analysieren und unser Angebot zu verbessern. Dabei werden nur solche Informationen verarbeitet, die für die Auswertung des Nutzungsverhaltens erforderlich sind (z. B. Seitenaufrufe, Nutzung des Rechners, Funnel-Ereignisse). Die Verarbeitung erfolgt ausschließlich nach Einwilligung des Nutzers. Sie können Ihre Entscheidung jederzeit in den Datenschutz-Einstellungen (Abschnitt 15) ändern oder widerrufen.

9.2 Google Analytics

Sofern Sie in den Datenschutz-Einstellungen einwilligen, setzen wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Google Analytics 4 wird erst nach ausdrücklicher Einwilligung geladen (Basic Consent Mode v2). Ohne Einwilligung werden durch die Google-Analytics-Integration keine Anfragen an Google Analytics oder Google Tag Manager ausgelöst und keine Analyse-Cookies gesetzt. Nach Einwilligung verwendet Google Analytics Cookies und verarbeitet Nutzungsdaten (insbesondere Seitenaufrufe, Gerät-/Browserinformationen, grobe Standortangaben und eine gekürzte IP-Adresse). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung können Sie jederzeit in den Datenschutz-Einstellungen widerrufen. Weitere Informationen: https://policies.google.com/privacy

9.3 Vercel Web Analytics und Speed Insights

Für den Betrieb der Website setzen wir Vercel Web Analytics und Speed Insights ein. Dabei werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet. Verarbeitet werden aggregierte Angaben zu Seite, Referrer, Gerätetyp und Ladezeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

10. Speicherdauer

• Konto-/Stammdaten: solange das Konto besteht; danach Löschung oder Einschränkung nach gesetzlichen Pflichten.
• Tool-Daten/Berechnungen: dauerhaft, bis Sie diese manuell löschen oder das Konto gelöscht wird (vorbehaltlich gesetzlicher Pflichten).
• Abrechnungsdaten: nach gesetzlichen Aufbewahrungspflichten.
• Logs: nur solange erforderlich für Betrieb/Sicherheit/Fehleranalyse (typischerweise kurzzeitig).

11. Drittlandtransfer

Transfers of personal data to countries outside the EU/EEA take place only in accordance with Articles 44 et seq. GDPR. Where required, adequacy decisions or appropriate safeguards (in particular EU Standard Contractual Clauses) and any supplementary measures may apply. Details on service providers and available information are set out in the subprocessor list.

12. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

13. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Dazu zählen insbesondere Zugriffsbeschränkungen, Authentifizierungs-/Autorisierungskonzepte und Transportverschlüsselung (TLS), soweit verfügbar.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich Rechtslage, Dienste oder Datenverarbeitungen ändern.

15. Datenschutz-Einstellungen

Für optionale, einwilligungsbasierte Verarbeitungen (eigene statistische Auswertung gemäß Abschnitt 9.1 und Google Analytics gemäß Abschnitt 9.2) können Sie Ihre Einwilligung jederzeit ändern oder widerrufen. Öffnen Sie dazu die Datenschutz-Einstellungen:

Datenschutz-Einstellungen

16. Widerrufsbelehrung für digitale Inhalte / Online-Dienstleistungen

für digitale Inhalte / Online-Dienstleistungen

Externe Informationen (nur als Hinweis): Stripe Customer Portal/Invoices, Brevo DPA, Supabase Dokumente. Stripe: docs.stripe.com · Brevo DPA: help.brevo.com · Supabase: supabase.com