Aller au contenu

Datenschutzerklärung

Cette page n'est disponible qu'en allemand. La version allemande fait foi.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

CERTUNION International
The Black Church, St. Mary's Place
Dublin
Irland

E-Mail Datenschutz: info@certunion.eu
E-Mail allgemein: info@certunion.eu

2. Welche Daten wir verarbeiten und wozu

Beim Besuch der Website

Ihr Browser übermittelt technisch bedingt Daten an unseren Hosting-Anbieter, der sie kurzzeitig in Server-Protokollen speichert: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem. Wir nutzen diese Daten ausschließlich, um die Website auszuliefern, Störungen zu erkennen und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Daten findet nicht statt.

Schutz vor Missbrauch

Um automatisierte Angriffe und übermäßige Nutzung zu bremsen, zählen wir Anfragen je IP-Adresse und, sobald Sie angemeldet sind, je Konto. Versuche bei Anmeldung und Registrierung zählen wir zusätzlich je IP-Adresse und je eingegebener E-Mail-Adresse, damit niemand ein Konto von wechselnden Adressen aus durchprobieren kann. Diese Zähler führt ein Dienst über alle unsere Server hinweg (Abschnitt 4); er erhält weder IP-Adresse noch E-Mail-Adresse noch Kontokennung, sondern nur einen Prüfwert, den wir mit einem nur uns bekannten Schlüssel daraus bilden. Jeder Zähler verfällt nach seinem Zeitfenster von einer Minute automatisch. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und bezahlbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Bei Registrierung und Anmeldung

Wer ein Konto einrichtet, gibt Firmenname, eigenen Namen, E-Mail-Adresse und ein Passwort an. Das Passwort speichern wir nicht im Klartext, sondern ausschließlich als Hash bei unserem Anmeldedienst. Aus dem Firmennamen entsteht Ihr Mandant, in dem Ihre Daten von denen aller anderen Kunden getrennt sind. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Bei der Nutzung der Plattform

Sie hinterlegen die Dokumente Ihres Managementsystems als Datei (PDF, Word (.docx), Textdatei oder Markdown) oder als eingefügten Text. Den Text einer Datei lesen wir auf unserem Server aus; er erscheint im Formular und wird erst gespeichert, wenn Sie das Dokument speichern. Dann legen wir auch die Originaldatei unverändert in einem privaten Speicherbereich bei Supabase Pte. Ltd. ab; abrufen können sie nur angemeldete Mitglieder Ihres Mandanten. Aus den Dokumenten erzeugt die Plattform Prüfergebnisse, Fundstellen und Maßnahmenvorschläge. Dazu kommt, was Sie und Ihr Team anlegen — Maßnahmen, Risiken, Audits und Prüfentscheidungen samt den eingetragenen Verantwortlichen und den Namen der Personen, die darin Schritte ausgeführt haben —, ein Aktivitätsprotokoll sowie Name, Funktion und Rolle der Mitglieder und die E-Mail-Adressen eingeladener Personen. Diese Inhalte können personenbezogene Daten enthalten, etwa Namen von Verantwortlichen, Auditoren oder Beschäftigten. Wir verarbeiten sie allein zu dem Zweck, für den Sie sie hinterlegen: Aufbau, Pflege und Bewertung Ihres Managementsystems nach den gewählten Normen (Art. 6 Abs. 1 lit. b DSGVO). Für die in diesen Dokumenten genannten Personen sind Sie als unser Kunde der Verantwortliche; wir verarbeiten sie in Ihrem Auftrag.

Über das Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Betreff und Nachricht, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei einer vorvertraglichen Anfrage, sonst Art. 6 Abs. 1 lit. f DSGVO). Die Nachricht wird als E-Mail an unser Postfach zugestellt; siehe Abschnitt 4.

3. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung einholen, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage. Verarbeitungen, die zur Erfüllung eines Vertrags mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, stützen sich auf Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, gilt Art. 6 Abs. 1 lit. c DSGVO. Verarbeitungen zur Wahrung berechtigter Interessen — insbesondere der sichere und störungsfreie Betrieb der Website — stützen sich auf Art. 6 Abs. 1 lit. f DSGVO, sofern Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen.

4. Hosting und Empfänger der Daten

Serverfunktionen und Datenbank werden innerhalb der Europäischen Union betrieben. Folgende Anbieter verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO):

  • Vercel Inc. (Sitz: USA) — Betrieb der Website und der Anwendung. Verarbeitungsort: Serverfunktionen im Rechenzentrum Dublin, Irland; statische Dateien über ein weltweites Auslieferungsnetz.
  • Supabase Pte. Ltd. (Sitz: Singapur) — Datenbank und Benutzeranmeldung. Verarbeitungsort: Rechenzentrum in Irland.
  • Plus Five Five, Inc. (Resend) (Sitz: USA) — Zustellung der Nachrichten aus dem Kontaktformular an unser Postfach. Verarbeitungsort: USA.
  • Upstash, Inc. (Sitz: USA) — Begrenzung der Anfragehäufigkeit zum Schutz vor Missbrauch — nur mit Pseudonymen, nicht mit IP- oder E-Mail-Adressen im Klartext. Verarbeitungsort: Rechenzentrum in Irland.

Diese Gesellschaften haben ihren Sitz außerhalb der EU und des EWR. Auch soweit die Daten in europäischen Rechenzentren liegen, ist ein Zugriff aus dem Sitzland nicht ausgeschlossen. Auskunft darüber, auf welche Garantien nach Art. 44 ff. DSGVO sich die Übermittlung an den jeweiligen Anbieter stützt, erhalten Sie auf Anfrage unter info@certunion.eu.

KI-gestützte Auswertung außerhalb der EU

Kernfunktion dieser Plattform ist die KI-gestützte Auswertung Ihres Managementsystems. Dafür übermitteln wir Daten an den Sprachmodell-Anbieter DeepSeek (api.deepseek.com), Volksrepublik China. Das geschieht nur, wenn eine der folgenden Funktionen ausgelöst wird, nie im Hintergrund:

KI-Vorprüfung in der Prüfmatrix
Ausgelöst durch „KI-Prüfung starten“ oder „Prüfung starten“. Übermittelt werden:
  • Titel, Art, Version, Freigabestatus und Datum der letzten Änderung jedes Dokuments, das der geprüften Norm zugeordnet ist
  • der Text dieser Dokumente, bei umfangreichen Unterlagen gekürzt auf höchstens 30.000 Zeichen je Dokument und 80.000 Zeichen je Anfrage; eine Prüfung besteht aus mehreren Anfragen, und jede enthält diese Angaben erneut
  • Name Ihrer Organisation, Ort des Hauptstandorts und Beschäftigtenzahl, soweit hinterlegt
Copilot
Ausgelöst durch das Senden einer Nachricht. Übermittelt werden:
  • Ihre Nachrichten und die bisherigen Antworten des laufenden Gesprächs — was Sie schreiben, geht so an den Anbieter, wie Sie es eingeben
  • Name Ihrer Organisation, Ort des Hauptstandorts und Beschäftigtenzahl, soweit hinterlegt, dazu die Normen Ihres Managementsystems
Typische Lücken auf der Seite einer Norm
Ausgelöst durch „Typische Lücken anzeigen“. Übermittelt werden:
  • die gewählte Norm
  • Name Ihrer Organisation, Ort des Hauptstandorts und Beschäftigtenzahl, soweit hinterlegt
KI-Einschätzung im Onboarding
Ausgelöst durch „Einschätzung erstellen“. Übermittelt werden:
  • die gewählten Normen und Ihre Antworten im Fragebogen: Art und Größe der Organisation, Beschäftigtenzahl, Branche sowie Ihre Angaben zu Abläufen je Norm — nicht der Name Ihrer Organisation
KI-Entwurf eines Pflichtdokuments
Ausgelöst durch „Entwurf erstellen“ unter Dokumente → Pflichtdokumente. Übermittelt werden:
  • die gewählte Vorlage und die Normen, für die das Dokument gelten soll
  • Name Ihrer Organisation, Ort des Hauptstandorts und Beschäftigtenzahl, soweit hinterlegt
  • Ihre optionalen Angaben im Dialog: Tätigkeiten und Leistungen, Standorte, Kernprozesse und Hinweise zum Entwurf — so, wie Sie sie eingeben

Von sich aus fügt die Plattform weder Name noch E-Mail-Adresse Ihres Benutzerkontos hinzu, keine Zugangsdaten und keine Originaldateien — übermittelt wird Text. Dokumente und Nachrichten können aber personenbezogene Daten enthalten, etwa Namen von Verantwortlichen, Auditoren oder Beschäftigten; sie gehen so mit, wie sie dort stehen.

Die Ergebnisse der KI-Vorprüfung speichern wir in Ihrem Mandanten, samt der zitierten Fundstellen. Einen KI-Entwurf für ein Pflichtdokument speichern wir erst, wenn Sie ihn als Dokument übernehmen — dann als Entwurf in Ihrem Mandanten, mit dem Vermerk, dass er aus einem KI-Entwurf stammt. Antworten des Copilot, die Typischen Lücken und die Einschätzung im Onboarding speichern wir nicht; den Gesprächsverlauf des Copilot hält nur Ihr Browser, bis Sie ihn zurücksetzen oder die Seite neu laden. Über jeden KI-Aufruf führen wir ein Protokoll mit technischen Angaben — Funktion, Modell, Anzahl der Token, Dauer und Ergebnis —, ohne die übermittelten Inhalte.

Für die Volksrepublik China liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor. Wenn Sie diese Übermittlung nicht wünschen, nutzen Sie die KI-gestützten Funktionen bitte nicht und wenden sich an info@certunion.eu.

5. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein und benötigen dafür keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine Einbindung von Diensten Dritter im Browser.

  • Sitzungscookies der Anmeldung. Nach der Anmeldung speichern sie Ihre Sitzung, damit Sie beim nächsten Seitenaufruf angemeldet bleiben. Sie sind für Skripte im Browser nicht lesbar und werden mit der Abmeldung gelöscht.
  • Sprachwahl (certunion_locale). Wird nur gesetzt, wenn Sie über den Sprachumschalter ausdrücklich eine Sprache wählen, und merkt sich diese Wahl.

Sie können Cookies in Ihren Browsereinstellungen jederzeit löschen oder blockieren. Ohne Sitzungscookie ist eine Anmeldung nicht möglich.

6. Speicherdauer

Server-Protokolle werden von unserem Hosting-Anbieter nach kurzer Zeit automatisch gelöscht, die pseudonymen Zähler zum Schutz vor Missbrauch nach einer Minute. Kontodaten und die in Ihrem Mandanten hinterlegten Inhalte speichern wir für die Dauer des Nutzungsvertrags; nach dessen Ende löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Anfragen über das Kontaktformular bewahren wir auf, bis sie erledigt sind und keine Anschlussfragen mehr zu erwarten sind.

Originaldateien

Eine Originaldatei löschen wir, sobald das Dokument gelöscht oder die Datei durch eine neue ersetzt wird. Die Plattform legt dafür einen Löschauftrag an, der unmittelbar danach abgearbeitet wird; was dabei scheitert, holt eine Bereinigung nach, die einmal täglich läuft. Wurde eine Datei übertragen, das Dokument aber nicht gespeichert, löschen wir sie nach 24 Stunden mit der nächsten Bereinigung. Wird ein Mandant gelöscht, werden auf diesem Weg auch alle seine Originaldateien gelöscht.

Benachrichtigungen

Benachrichtigungen in der Anwendung löschen wir 90 Tage nach dem Lesen, ungelesene spätestens nach 180 Tagen; mit der Mitgliedschaft enden sie sofort.

Konto löschen und Mitgliedschaft beenden

Sie können Ihr Konto in den Einstellungen selbst löschen; Inhaber und Administratoren können Mitglieder aus ihrem Mandanten entfernen. Die einzige Inhaberin oder der einzige Inhaber eines Mandanten kann das eigene Konto erst löschen, wenn eine weitere Person Inhaber ist oder der Mandant gelöscht wurde — beides erledigen wir auf Anfrage an die Adresse in Abschnitt 8.

Was gelöscht wird

  • Ihr Anmeldekonto mit E-Mail-Adresse und Passwort
  • Ihre Mitgliedschaft im Mandanten mit Rolle, Funktion und Anzeigename
  • die Einladung, über die Sie beigetreten sind
  • Ihr Name im Aktivitätsprotokoll des Mandanten — dort steht danach „Ehemaliges Mitglied“

Was bleibt

Haben Sie ein Prüfergebnis entschieden oder eine Maßnahme angelegt, bearbeitet oder bewertet, bleiben Ihr Name und der Zeitpunkt dieses Schritts am Prüfergebnis und in der Historie der Maßnahme erhalten — auch nachdem Ihr Konto gelöscht oder Ihre Mitgliedschaft beendet wurde. Nur so bleibt nachvollziehbar, wer eine Feststellung bestätigt oder geändert und wer eine Maßnahme bewertet hat; darauf beruht der Wert einer Prüfentscheidung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gelöscht werden diese Angaben mit dem Prüfergebnis, spätestens mit dem Mandanten.

Dokumente, Maßnahmen, Risiken und Prüfläufe gehören dem Mandanten und bleiben dort. Wo Sie als verantwortliche Person eingetragen waren, ist danach niemand eingetragen.

7. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

  • Recht auf Auskunft (Art. 15 DSGVO) über die von uns verarbeiteten Daten und die weiteren in Art. 15 DSGVO genannten Informationen.
  • Recht auf Berichtigung (Art. 16 DSGVO) unrichtiger und auf Vervollständigung unvollständiger Daten.
  • Recht auf Löschung (Art. 17 DSGVO), sofern einer der dort genannten Gründe zutrifft und die Verarbeitung nicht erforderlich ist.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) unter den dort genannten Voraussetzungen.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen und maschinenlesbaren Format.
  • Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben.
  • Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die irische Datenschutzbehörde, die Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Irland. Sie können sich ebenso an die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

8. Kontakt in Datenschutzangelegenheiten

Wenn Sie Fragen zum Datenschutz haben, Auskunft über Ihre gespeicherten Daten wünschen oder Ihre Rechte geltend machen möchten, wenden Sie sich bitte direkt an uns:

CERTUNION International
The Black Church, St. Mary's Place
Dublin
E-Mail: info@certunion.eu

Wir beantworten Ihre Anfrage schnellstmöglich, spätestens innerhalb eines Monats nach Eingang.

Stand: 04.10.2026