Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO ist:

• Aufruf der Website (Server-Logs, technisch notwendig)
• Registrierung und Login (E-Mail-Adresse, Passwort-Hash, Sitzungsdaten)
• Hochladen und Verwalten von Bescheinigungen und Zertifikaten
• Automatische Dokumentauslesung durch KI (Typ, Aussteller, Ablaufdatum)
• Versand von Fristwarnungen per E-Mail
• Cookielose First-Party-Webanalyse

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der Anwendung nach Registrierung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Sicherheit, Missbrauchsprävention, statistische Reichweitenmessung)
• Art. 28 DSGVO — Auftragsverarbeitung (Mitarbeiterdaten des Kundenbetriebs)

Datenbank, Auth und Datei-Storage werden über Supabase (Datenbank, Auth, Storage) in der Region EU-Central (Frankfurt am Main) betrieben. Die Anwendung selbst läuft als serverseitig gerendertes Web-App auf einem europäischen Edge-Netzwerk (Cloudflare Workers). Es gibt keine Datenübermittlung in Drittländer für die Kernverarbeitung von Bescheinigungen und Mitarbeiterdaten.

Zur Nutzung ist ein Konto erforderlich. Wir verarbeiten E-Mail-Adresse, Passwort-Hash, Anmeldezeitpunkte und die Angaben Ihres Betriebs (Firmenname, ggf. Anschrift). Zweck ist die Bereitstellung der Anwendung (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: bis zur Löschung des Kontos.

Hochgeladene Bescheinigungen werden verschlüsselt im Datei-Storage abgelegt. Zur automatischen Erkennung von Typ, Aussteller und Ablaufdatum übermitteln wir das Dokument an die API von Anthropic (Claude). Anthropic verarbeitet API-Daten als Auftragsverarbeiter und verwendet sie standardmäßig nicht zum Training von KI-Modellen. Grundlage der Übermittlung sind das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Wichtige Ausnahme: Gesundheitsdokumente (z. B. G-Untersuchungen, arbeitsmedizinische Vorsorge) werden grundsätzlich nicht automatisch ausgelesen und nicht an die KI übermittelt. Die Erfassung erfolgt manuell.

Soweit Sie als Betrieb Mitarbeiterdaten (Name, Qualifikationen, Ablaufdaten) in Nachweis-Radar verarbeiten, bleiben Sie Verantwortlicher. Nachweis-Radar handelt insoweit als Auftragsverarbeiter. Der vollständige Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist auf /avv abrufbar (inkl. PDF-Download) und wird mit der Nutzung automatisch Vertragsbestandteil.

System- und Fristwarnungs-E-Mails versenden wir über den Dienstleister Resend (Resend, Inc., San Francisco, USA), der die technische Zustellung über Amazon Simple Email Service (SES) in der AWS-Region eu-west-1 (Irland) abwickelt. Absenderadresse ist warnung@nachweis-radar.de, Antworten laufen an kontakt@nachweis-radar.de. Verarbeitet werden nur E-Mail-Adresse, Betrieb, Betreff und Inhalt der Warnung (Nachweistyp, Ablaufdatum, betroffene:r Mitarbeiter:in). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Mit Resend besteht ein Auftragsverarbeitungsvertrag; Grundlage für eine etwaige Übermittlung an die US-Muttergesellschaft sind das EU-US Data Privacy Framework und Standardvertragsklauseln.

Wir nutzen ausschließlich eine cookielose First-Party-Analytik, die über einen eigenen Proxy läuft. Es werden weder Google Analytics noch Meta-Pixel noch andere Werbe-Tracker eingesetzt. Es findet keine Übermittlung an Werbenetzwerke statt. Erhoben werden nur aggregierte Reichweitenzahlen ohne personenbezogene Auswertung.

Sie können Ihre Daten jederzeit exportieren. Mit der Löschung des Kontos werden alle Daten inklusive hochgeladener Dokumente unwiderruflich gelöscht. Gesetzliche Aufbewahrungspflichten (z. B. steuerrechtliche Belege im eigenen Konto des Betriebs) bleiben unberührt.

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)

Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren — für uns zuständig: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

• TLS-Verschlüsselung der Verbindung (HTTPS)
• Verschlüsselte Speicherung von Datenbank und Datei-Storage
• Strikte Mandantentrennung per Row-Level-Security auf Datenbankebene
• Regelmäßige Point-in-Time-Backups
• Zugriffskontrolle nach Least-Privilege-Prinzip

Mehr Details unter /sicherheit.

Stand: 25. Oktober 2026. Änderungen an dieser Erklärung werden auf dieser Seite veröffentlicht.