Datenschutzerklärung

Wir freuen uns über Ihr Interesse an Rechtskataster.com. Der Schutz Ihrer personenbezogenen Daten ist uns ein zentrales Anliegen — Datenschutz ist bei uns kein Add-on, sondern Teil der Architektur. Nachfolgend informieren wir Sie gemäß der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) über die Verarbeitung personenbezogener Daten bei der Nutzung dieser Website und der Plattform.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:
Privates Institut für Qualität und Innovation GmbH
Niedensteinsweg 8, 59846 Sundern
Telefon: 02933 786 3185
E-Mail: info@iqi-gmbh.de

2. Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter:
Klaus Meissner
E-Mail: datenschutz@iqi-gmbh.de
postalisch unter der oben genannten Anschrift, Stichwort „Datenschutz".

3. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber uns hinsichtlich Ihrer personenbezogenen Daten folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die oben genannten Kontaktdaten oder an unseren Datenschutzbeauftragten.

4. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

5. Hosting und Speicherort (ausschließlich EU)

Wir hosten die Website und die Plattform bei Amazon Web Services (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) in der Rechenzentrumsregion Frankfurt am Main (Deutschland). Sämtliche personenbezogenen Kundendaten werden ausschließlich innerhalb der EU verarbeitet und gespeichert. Rechtsinhalte (Gesetze, Vorschriften, Pflichten) und personenbezogene Kundendaten werden in getrennten Datenbeständen geführt (Mandantentrennung). Die Verarbeitung erfolgt zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Grundlage unseres berechtigten Interesses an einer sicheren, effizienten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (AWS-Datenverarbeitungszusatz mit EU-Standardvertragsklauseln für etwaige Fernzugriffe des Anbieters aus Drittländern).

6. Server-Logfiles

Beim Aufruf dieser Website werden automatisch Informationen erfasst, die Ihr Browser übermittelt (Server-Logfiles): Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und die IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der technisch fehlerfreien Darstellung und der Sicherheit unserer Systeme. Die Logfiles werden für einen begrenzten Zeitraum gespeichert und anschließend gelöscht.

7. Cookies

Wir tracken Sie nicht. Wir setzen kein Google Analytics, keinen Tag Manager und keine Werbe-Cookies ein. Diese Website und die Plattform verwenden ausschließlich technisch notwendige Cookies, die für Betrieb, Anmeldung (Session) und Sicherheit erforderlich sind. Rechtsgrundlage ist § 25 Abs. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Für rein technisch notwendige Cookies ist keine Einwilligung erforderlich; wir informieren Sie lediglich darüber.

8. Kontaktaufnahme

Wenn Sie uns per Kontaktformular, E-Mail oder Telefon kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, Unternehmen, E-Mail-Adresse, Telefonnummer, Nachricht), um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Die Daten werden gelöscht, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Nutzerkonto & Nutzung der Plattform

Für die Nutzung der Plattform ist ein Nutzerkonto erforderlich. Dabei verarbeiten wir Bestands- und Nutzungsdaten (z. B. Name, E-Mail-Adresse, Organisation, Rolle, Anmeldedaten sowie die von Ihnen im Rechtskataster gepflegten Inhalte). Die Verarbeitung erfolgt zur Bereitstellung der vertraglich vereinbarten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Von Ihnen hochgeladene Dokumente werden ausschließlich zur Erbringung der Leistung verarbeitet und verlassen die EU nicht.

10. KI-gestützte Verarbeitung (Plattform: ausschließlich europäischer Anbieter)

Zur Strukturierung und Analyse von Rechtsinhalten — etwa zur Verschlagwortung von Gesetzen, zur Bewertung von Rechtsänderungen sowie zur Ableitung von Pflichten und Praktikerempfehlungen — setzen wir KI-Modelle ein. Wir verwenden hierfür ausschließlich einen europäischen Anbieter:

• Mistral AI (Mistral AI SAS, Paris, Frankreich) — Sprachmodelle; Verarbeitung in der EU.

Eine Übermittlung von Daten an KI-Anbieter außerhalb der EU (insbesondere in die USA) findet im Betrieb der Plattform nicht statt. Die eingesetzten Modelle werden nicht mit Ihren Inhalten trainiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Leistungserbringung) bzw. Art. 6 Abs. 1 lit. f DSGVO; mit den Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei hochgeladenen Dokumenten bestimmt allein der Kunde durch seine Auswahl, ob sie personenbezogene Daten enthalten; wir weisen an der Upload-Funktion darauf hin, nur erforderliche Dokumente hochzuladen und nicht benötigte personenbezogene Daten vorher zu entfernen.

Optionales Zusatzmodul „Pflichten-Assistent" (nur nach Buchung)

Kunden mit Pflichtenmodul können das Zusatzmodul „Pflichten-Assistent" buchen. Damit stellen ihre Nutzer Fragen zu den Pflichten des eigenen Katasters (Umsetzung, Nachweis, Anlässe). Ohne Buchung findet diese Verarbeitung nicht statt. Je Frage werden an einen LLM-Anbieter übermittelt: der automatisch bereinigte Fragetext (E-Mail-Adressen, Telefonnummern, IBAN, Namen mit Anrede und der Organisationsname werden vorher durch Platzhalter ersetzt), Rechtstexte der betroffenen Pflichten — einschließlich vom Kunden selbst angelegter Pflichten aus hochgeladenen Dokumenten oder manueller Erfassung (Titel, Beschreibung, Belegstelle, Adressat, Frist; nicht das Dokument selbst) —, der anonyme Bearbeitungsstand dieser Pflichten und anonyme Unternehmensangaben ohne Identifikationsmerkmale. Nicht übermittelt werden Name und Anschrift der Organisation, Namen und Kontaktdaten von Personen, Zuweisungen, Notizen, Maßnahmen und Nachweise.

Die Anfragen werden von LLM-Anbietern mit Sitz in den USA verarbeitet (Baseten Labs, Inc., San Francisco; Fireworks.ai, Inc., Redwood City; OpenRouter, Inc., New York; Together Computer, Inc., San Francisco; Deep Infra Inc., Palo Alto — in dieser Reihenfolge, bei Ausfall des vorherigen der nächste; OpenRouter vermittelt an nachgelagerte Betreiber und wird dabei auf Betreiber beschränkt, die Eingaben nicht speichern). Grundlage der Übermittlung sind die mit dem jeweiligen Anbieter vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzende Maßnahmen: TLS-Verschlüsselung, Bereinigung vor der Übermittlung, keine Speicherung der Eingaben über die Bearbeitung hinaus (soweit der Anbieter dies vorsieht) und kein Training mit den Inhalten. Fragetext und Antwort löschen wir 30 Tage nach der Anfrage; Metadaten (Zeitpunkt, Nutzerkennung, betroffene Pflichten, Anbieter, Umfang) bleiben für Abrechnung und Nachweis erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Einzelheiten und die Unterlagen der Anbieter stehen im Auftragsverarbeitungsvertrag (§ 10a, Anlage 4).

11. Vertragsbezogene Auftragsverarbeiter

Die folgenden Dienstleister werden erst mit Zustandekommen eines Vertragsverhältnisses tätig und verarbeiten jeweils nur die für ihren Zweck erforderlichen Vertrags- und Abrechnungsdaten:

• Zapier (Zapier Inc., USA) — technische Automatisierung der Abläufe zwischen den eingesetzten Systemen.
• Marketcircle (Marketcircle Inc., Kanada) — Kunden- und Vertragsverwaltung (CRM).
• easybill (easybill GmbH, Deutschland) — Erstellung und Versand von Rechnungen.

Vor Zustandekommen eines Vertrags werden an diese Dienstleister keine personenbezogenen Daten übermittelt. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung); mit den Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

12. Übermittlung in Drittländer

Die Verarbeitung Ihrer Kundendaten sowie die KI-Verarbeitung erfolgen ausschließlich innerhalb der EU. Soweit einzelne der unter Ziffer 11 genannten vertragsbezogenen Dienstleister ihren Sitz außerhalb der EU haben (Zapier in den USA), erfolgt eine etwaige Übermittlung nur auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln nach Art. 46 DSGVO nebst ergänzenden Schutzmaßnahmen. Für Kanada (Marketcircle) besteht ein Angemessenheitsbeschluss der EU-Kommission für dem kanadischen Datenschutzrecht (PIPEDA) unterliegende Organisationen.

13. E-Mail-Versand

Für Systemnachrichten (z. B. Bestätigungen, Benachrichtigungen zu Rechtsänderungen, Berichte) setzen wir einen Dienstleister für den technischen E-Mail-Versand ein, mit dem ein Auftragsverarbeitungs- vertrag besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO.

14. Datensicherheit

Wir treffen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten:

• Die Datenübertragung erfolgt durchgehend TLS-verschlüsselt (HTTPS) in der jeweils höchsten von Ihrem Browser unterstützten Stufe.
• Sitzungs- und Authentifizierungs-Token werden mit einem HMAC-SHA-256-Verfahren signiert (mindestens SHA-256).
• Passwörter werden ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext.
• Zugriffe erfolgen rollenbasiert und mandantengetrennt; die Systeme werden fortlaufend abgesichert.

15. Speicherdauer

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die Erreichung des jeweiligen Verarbeitungszwecks erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorsehen. Entfällt der Zweck bzw. läuft eine Frist ab, werden die Daten gelöscht oder gesperrt.

16. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig. Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen.