Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

2. Erhobene Daten und Verarbeitungszweck

Folgende personenbezogene Daten werden im Rahmen der Nutzung dieser Anwendung verarbeitet (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung; bei KI-Verarbeitung zusätzlich Einwilligung gem. Art. 6 Abs. 1 lit. a / Art. 49 Abs. 1 lit. a DSGVO):

• Anmeldedaten (Clerk): E-Mail-Adresse, Name, Profilbild, Sitzungs-Token. Zweck: Authentifizierung und Kontoverwaltung. Datenschutzerklärung von Clerk: clerk.com/privacy
• Organisationsdaten: Firmenname, Adresse, USt-ID, ggf. Logo. Zweck: Multi-Tenant-Verwaltung, Rechnungsstellung.
• Hochgeladene Dokumente (Bauunterlagen, Pläne, Berichte) und Regelwerke: Inhalte werden zur Textextraktion verarbeitet, in unserer Datenbank gespeichert und für die KI-gestützte Prüfung verwendet (siehe Abschnitt 4).
• Nutzungsdaten: Erstellte Projekte, Prüfungen, Ergebnisse, Zeitstempel. Zweck: Bereitstellung der Anwendungsfunktionen.
• Zahlungsdaten (Stripe): Bei kostenpflichtigen Plänen. Kreditkartendaten werden ausschließlich von Stripe verarbeitet und nicht in unserer Datenbank gespeichert. Wir speichern lediglich Stripe-Kunden- und Abonnement-IDs. Datenschutzerklärung Stripe: stripe.com/privacy

3. Datenspeicherung

Strukturierte Daten (Konten, Projekte, Prüfungen, extrahierte Texte) werden in einer PostgreSQL-Datenbank gespeichert, gehostet bei [TODO: Hoster, z.B. „Hetzner Online GmbH, Deutschland“ oder „Vercel Postgres, EU-Region (Frankfurt)“].

Hochgeladene Originaldateien (PDF/DOCX) werden verschlüsselt in einem privaten Objektspeicher (S3-kompatibel) gespeichert, gehostet bei [TODO: Storage-Anbieter, z.B. „Hetzner Online GmbH, Deutschland“ — bei Self-Hosting/MinIO eigene Infrastruktur, keine Drittübermittlung]. Der Zugriff erfolgt ausschließlich über kurzlebige, signierte URLs hinter einer Berechtigungsprüfung; die Dateien sind nicht öffentlich abrufbar.

4. KI-Verarbeitung & Übermittlung in die USA (Art. 13 Abs. 1 lit. f, Art. 49 DSGVO)

Für die KI-gestützte Compliance-Prüfung werden Auszüge Ihrer hochgeladenen Dokumente und Regelwerke an folgende US-amerikanische Anbieter übermittelt:

• Anthropic, PBC (USA) — Claude-API (u.a. claude-haiku-4-5, claude-sonnet-4-6) zur Kategorisierung, Regelwerks-Zuordnung, Vorwärtsprüfung und Berichterstellung. Der Anbieter unterliegt dem EU-US Data Privacy Framework. Anthropic speichert API-Inhalte standardmäßig zu Missbrauchsschutz-Zwecken kurzzeitig zwischen.
  Datenschutzerklärung: anthropic.com/legal/privacy
• Mistral AI SAS (Frankreich) — Mistral-API (mistral-large-latest) zur parallelen unabhängigen Prüfung sowie als Tiebreaker bei Uneinigkeit. Der Anbieter verarbeitet Daten in der EU.
  Datenschutzerklärung: mistral.ai/privacy
• OpenAI, L.L.C. (USA) — Embedding-API (text-embedding-3-small) zur Vektor-Indexierung von Regelwerken (Semantiksuche). Datenschutzerklärung: openai.com/policies/privacy-policy

Ihre Einwilligung: Mit dem Hochladen eines Dokuments und dem Starten der KI-Prüfung willigen Sie ausdrücklich in die Übermittlung der relevanten Inhalte an die genannten US-Anbieter gemäß Art. 49 Abs. 1 lit. a DSGVO ein. Sie können diese Einwilligung jederzeit für zukünftige Verarbeitungen widerrufen, indem Sie keine weiteren KI-Prüfungen starten oder Ihr Konto löschen. Die Rechtmäßigkeit bereits erfolgter Verarbeitungen bleibt davon unberührt.

Risiko-Hinweis: US-Behörden können auf Grundlage US-amerikanischer Gesetze (z.B. CLOUD Act) auf Daten bei US-Anbietern zugreifen. Es kann derzeit kein gleichwertiges Datenschutzniveau wie in der EU garantiert werden.

5. Auftragsverarbeitung (Art. 28 DSGVO)

Mit allen genannten Drittanbietern (Clerk, Stripe, Uploadthing, Anthropic, Google, OpenAI sowie dem Datenbank-Hoster) bestehen die erforderlichen Auftragsverarbeitungsverträge (DPA) gemäß Art. 28 DSGVO sowie EU-Standardvertragsklauseln (SCC) für US-Transfers. Kopien können unter [TODO: datenschutz@beispiel.de] angefordert werden.

6. Speicherdauer

• Konto- und Vertragsdaten: bis zur Kontolöschung + ggf. handels-/steuerrechtliche Aufbewahrungspflichten
• Dokumente und Prüfergebnisse: bis zur manuellen Löschung durch den Nutzer
• Audit-Logs: bis zu 12 Monate ab Erstellung
• Stripe-Daten: gemäß Stripe-Aufbewahrungsregeln

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit – Export im JSON-Format unter Einstellungen → Datenexport (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: [TODO: datenschutz@beispiel.de]

Sie haben zudem das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen.

8. Datenlöschung

Wenn Sie Ihr Konto löschen, werden alle Ihre personenbezogenen Daten unverzüglich aus unseren Systemen entfernt; hochgeladene Originaldateien werden zudem aus dem Speicher des Drittanbieters (Uploadthing) gelöscht. Eine vollständige Löschung in den Backup- und Logsystemen erfolgt im Rahmen der dortigen Rotations-/Aufbewahrungsfristen, spätestens nach 30 Tagen.

9. Cookies und Tracking

Diese Anwendung setzt ausschließlich technisch notwendige Cookies (Session-Verwaltung über Clerk). Es findet keine Reichweitenmessung, kein Tracking und keine Werbeprofilbildung statt. Eine Einwilligungsabfrage (Cookie-Banner) ist daher nicht erforderlich.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechtslage oder Funktionsänderungen anzupassen. Die jeweils aktuelle Version ist unter /datenschutz abrufbar.