Datenschutzerklärung

1. Verantwortlicher

[ERGÄNZEN: Name, Anschrift, Kontakt — siehe Impressum]

2. Was wir verarbeiten

Konto

E-Mail-Adresse, Passwort (nur als scrypt-Hash, nie im Klartext), Zeitpunkt der Registrierung und Bestätigung, die Bestätigung der Unternehmereigenschaft (§ 14 BGB) sowie Ihre Rechnungsdaten, sobald Sie sie eingeben.

Hochgeladene Leistungsverzeichnisse

Die hochgeladene Datei wird ausschließlich für die Prüfung verarbeitet und unmittelbar danach gelöscht — sie wird nicht dauerhaft gespeichert. Gespeichert wird der erzeugte Prüfbericht (Positionsdaten, Befunde, Vormerkungen), damit Sie ihn später wieder aufrufen können. Sie können das im Konto abschalten („Berichte speichern“) und jeden Bericht einzeln löschen.

Nutzungsdaten

Server-Protokolle (Zeitpunkt, aufgerufener Weg, Statuscode). Inhalte von Dateien und Zugangsdaten werden nie protokolliert.

3. KI-Zweitprüfung (nur wenn Sie sie zuschalten)

Schalten Sie die KI-Zweitprüfung zu, werden Kurz- und Langtexte der betroffenen Positionen an den Gateway-Dienst OpenRouter übermittelt und dort von einem Sprachmodell von Anthropic verarbeitet. Übermittelt werden nur die Textauszüge der Positionen, zu denen eine Regel angeschlagen hat — nicht das gesamte Leistungsverzeichnis, keine Preise, keine Kontodaten.

OpenRouter ist ein Vermittler und betreibt das Sprachmodell nicht selbst: Der Aufruf wird an einen Rechenzentrums-Anbieter weitergereicht, der das Modell hostet. Das ist derzeit Amazon Web Services (Amazon Bedrock) — und zwar als Folge der unten genannten Härtung: Von den Anbietern dieses Modells erfüllt nach unserer Messung nur Bedrock die Bedingung, nichts zu speichern. Der Vertragstext Ihres Leistungsverzeichnisses wird nicht übermittelt — nur die genannten Positionsauszüge.

Jede Anfrage trägt technisch erzwungen zdr = true (Zero Data Retention: nur Anbieter, die nichts speichern) und data_collection = "deny" (keine Verwendung zu Trainingszwecken). Diese Einstellungen sind im Code fest verdrahtet und lassen sich nicht abschalten. Diese Dienstleister sitzen in den USA Kapitel-V-Prüfpunkt.

4. Bezahlung

Bei Kartenzahlung werden Sie auf eine Bezahlseite von Stripe weitergeleitet. Ihre Kartendaten geben Sie dort direkt bei Stripe ein — sie erreichen unseren Server zu keinem Zeitpunkt und werden von uns weder verarbeitet noch gespeichert. Mit dem Aufruf der Bezahlseite baut Ihr Browser eine Verbindung zu Stripe auf; dabei fallen dort die üblichen Verbindungsdaten an (u. a. Ihre IP-Adresse).

An Stripe übermitteln wir für den Bezahlvorgang ausschließlich:

• Ihre E-Mail-Adresse (damit Stripe Ihnen die Zahlungsbestätigung zusendet),
• den Betrag und die Bezeichnung des Pakets,
• unsere Bestellnummer zur Zuordnung der Zahlung.

Nicht übermittelt werden Ihre Rechnungsanschrift, Ihre USt-IdNr. und Ihre interne Kontokennung — ebenso wenig Inhalte aus Ihren Leistungsverzeichnissen. Wählen Sie stattdessen Überweisung, wird Stripe überhaupt nicht eingeschaltet.

5. Subprozessoren

[ERGÄNZEN: Rechtsgrundlagen der Drittlandsübermittlung, Standardvertragsklauseln, DPA-Stände]

6. Speicherdauer

• Hochgeladene Dateien: sofortige Löschung nach der Prüfung.
• Prüfberichte: bis Sie sie löschen bzw. bis zur Kontolöschung.
• Konto: bis zur Löschung durch Sie.
• Rechnungen, Bestellungen, Guthabenbuchungen: zehn Jahre (§ 147 AO) — nach einer Kontolöschung ohne Personenbezug.

7. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde bei einer Aufsichtsbehörde. Export und Löschung können Sie in Ihrem Konto selbst auslösen. [ERGÄNZEN: Kontaktweg, Aufsichtsbehörde]

8. Cookies

Ein einziges technisch notwendiges Cookie hält Ihre Anmeldung (HttpOnly, SameSite=Lax). Kein Tracking, keine Analyse, keine Werbung — deshalb auch kein Einwilligungsbanner.