Datenschutzerklärung

Informationen nach Art. 13 und 14 Verordnung (EU) 2016/679 (DSGVO). Diese Erklärung gilt für die Plattform denetci.ai (im Folgenden: „Plattform").

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

2. Datenschutzbeauftragter

Eine Bestellung eines Datenschutzbeauftragten ist gemäß Art. 37 DSGVO derzeit nicht zwingend erforderlich. Datenschutzanfragen können über die oben genannte Adresse gestellt werden.

3. Verarbeitete Datenkategorien

Kategorie	Beispiele	Zweck
Stammdaten	Name, E-Mail, Telefonnummer, WPK-Mitgliedsnummer	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Authentifizierung	Passwort (Hash), 2FA-Token, Sitzungsdaten	Sicherheit (Art. 32 DSGVO)
Nutzungsdaten	IP, User-Agent, Zugriffszeitpunkt, Audit-Logs	Sicherheit, KGK/WPK Audit-Trail (Art. 6 Abs. 1 lit. c & f)
Berufsbezogene Daten	Hochgeladene Mandantenunterlagen, Arbeitspapiere, Berichte	Vertragserfüllung (Auftragsverarbeiter für Prüfungsgesellschaft)

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Kundenvertrag mit Wirtschaftsprüfungsgesellschaft)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. WPO-Aufbewahrungspflichten, HGB § 257)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Plattform-Sicherheit, Missbrauchsverhinderung)
• Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung (für KI-Verarbeitung sensibler Mandantendaten)

5. Empfänger / Datenweitergabe

Personenbezogene Daten werden nur an folgende Auftragsverarbeiter (Art. 28 DSGVO) weitergegeben, mit denen ein DPA gemäß Art. 28 DSGVO abgeschlossen ist:

Empfänger	Zweck	Sitz	Rechtsgrundlage Drittland
Stripe, Inc.	Zahlungsabwicklung	USA	EU-Standardvertragsklauseln (SCC)
Anthropic, PBC	Claude LLM-API für Prüfungs-KI-Funktionen. Übermittlung nach PII-Sanitisierung.	USA	SCC + ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a)
OpenAI, L.L.C.	Whisper (Sprach-zu-Text), TTS	USA	SCC + ausdrückliche Einwilligung
Hugging Face, Inc.	Embedding-Modelle (BGE-M3), Backup-Inference	USA	SCC + ausdrückliche Einwilligung
Qdrant Solutions GmbH	Vektor-Datenbank (RAG-Index regulatorischer Referenzen)	Deutschland (EU)	Innerhalb EU/EWR (keine Drittlandübermittlung)

6. PII-Sanitisierung vor KI-Verarbeitung

Bevor Mandantendaten an KI-Dienstleister übermittelt werden, ersetzen wir personenbezogene Identifikatoren durch Pseudonyme: [PERSON_001], [STEUERNR_001], [IBAN_001], [E-MAIL_001]. Die Originalwerte werden lokal in einer Mapping-Tabelle gehalten und in der KI-Antwort wieder eingesetzt. Diese Maßnahme erfüllt Art. 32 DSGVO (technische und organisatorische Maßnahmen) und Art. 25 DSGVO (Privacy by Design).

7. Speicherdauer

• Stammdaten: für die Vertragsdauer + gesetzliche Aufbewahrungsfristen (HGB § 257 → 10 Jahre)
• Authentifizierungsdaten: bis zur Konto-Löschung
• Audit-Logs: 7 Jahre nach Berichtsdatum (WPO § 51 Abs. 5)
• Mandantenunterlagen: gemäß HGB § 257 → 10 Jahre nach Berichtsabschluss

8. Betroffenenrechte (Art. 15-22 DSGVO)

• Auskunftsrecht (Art. 15)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17) — eingeschränkt durch HGB-Aufbewahrungspflichten
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Widerspruchsrecht (Art. 21)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77) — z. B. Berliner Beauftragte für Datenschutz

Zur Wahrnehmung Ihrer Rechte wenden Sie sich an: datenschutz@denetci.ai. Bearbeitungsfrist: in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

9. Cookies und Tracking

Die Plattform setzt ausschließlich technisch notwendige Cookies ein (Authentifizierung, CSRF-Schutz, Sprachpräferenz). Es findet kein Tracking durch Drittanbieter (z. B. Google Analytics, Meta-Pixel) statt. Daher ist keine Cookie-Einwilligung gemäß § 25 TTDSG erforderlich.

10. Sicherheit der Verarbeitung (Art. 32 DSGVO)

• TLS 1.3 für jegliche Datenübertragung
• AES-256-Verschlüsselung sensibler Mandantenunterlagen at rest
• Fernet-Verschlüsselung personenbezogener Spalten (Name, E-Mail, Telefon)
• Verbindliche 2FA (TOTP / FIDO2) für Wirtschaftsprüfer-Accounts
• SIEM-Logging mit 10 sicherheitsrelevanten Ereignistypen
• Multi-Tenant Row-Level Security (Mandanten-Isolation)
• Jährliche Sicherheitsaudits und Penetrationstests

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung anzupassen, um sie an geänderte Rechtslage oder Plattform-Funktionalität anzupassen. Wesentliche Änderungen werden den registrierten Nutzern per E-Mail mitgeteilt.