Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

2. Erhobene Daten und Verarbeitungszweck

Folgende personenbezogene Daten werden im Rahmen der Nutzung dieser Anwendung verarbeitet (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung; bei KI-Verarbeitung zusätzlich Einwilligung gem. Art. 6 Abs. 1 lit. a / Art. 49 Abs. 1 lit. a DSGVO):

• Anmeldedaten (Clerk): E-Mail-Adresse, Name, Profilbild, Sitzungs-Token. Zweck: Authentifizierung und Kontoverwaltung. Datenschutzerklärung von Clerk: clerk.com/privacy
• Organisationsdaten: Firmenname, Adresse, USt-ID, ggf. Logo. Zweck: Multi-Tenant-Verwaltung, Rechnungsstellung.
• Hochgeladene Dokumente (Bauunterlagen, Pläne, Berichte) und Regelwerke: Inhalte werden zur Textextraktion verarbeitet, in unserer Datenbank gespeichert und für die KI-gestützte Prüfung verwendet (siehe Abschnitt 4).
• Nutzungsdaten: Erstellte Projekte, Prüfungen, Ergebnisse, Zeitstempel. Zweck: Bereitstellung der Anwendungsfunktionen.
• Zahlungsdaten (Stripe): Bei kostenpflichtigen Plänen. Kreditkartendaten werden ausschließlich von Stripe verarbeitet und nicht in unserer Datenbank gespeichert. Wir speichern lediglich Stripe-Kunden- und Abonnement-IDs. Datenschutzerklärung Stripe: stripe.com/privacy

3. Datenspeicherung

Strukturierte Daten (Konten, Projekte, Prüfungen, extrahierte Texte) werden in einer PostgreSQL-Datenbank gespeichert. Diese läuft auf einem von uns angemieteten Server bei netcup GmbH, Rechenzentrum Nürnberg (Deutschland). Ein zusätzlicher Datenbank-Dienstleister ist nicht beteiligt.

Hochgeladene Originaldateien (PDF/DOCX) werden in einem privaten, S3-kompatiblen Objektspeicher abgelegt, den wir auf demselben Server selbst betreiben — auch hier findet also keine Übermittlung an einen Storage-Anbieter statt. Der Zugriff erfolgt ausschließlich über kurzlebige, signierte URLs hinter einer Berechtigungsprüfung; die Dateien sind nicht öffentlich abrufbar.

4. KI-Verarbeitung & Übermittlung an Drittanbieter (Art. 13 Abs. 1 lit. f, Art. 49 DSGVO)

Für die KI-gestützte Compliance-Prüfung werden Auszüge Ihrer hochgeladenen Dokumente und Regelwerke an die folgenden Anbieter übermittelt. Anbieter mit Sitz in den USA sind gesondert gekennzeichnet.

Anbieter mit Verarbeitung in der EU

• Mistral AI SAS (Frankreich) — Mistral-API (mistral-large-latest). Sie prüft in Phase 3 parallel und unabhängig von Claude; nur was beide Modelle finden, gilt ohne weitere Instanz als Befund. Der Anbieter verarbeitet Daten in der EU.
  Datenschutzerklärung: mistral.ai/privacy

Anbieter mit Sitz in den USA

• Anthropic, PBC (USA) — Claude-API (u.a. claude-haiku-4-5, claude-sonnet-4-6) zur Kategorisierung, Regelwerks-Zuordnung, Vorwärtsprüfung und Berichterstellung. Der Anbieter unterliegt dem EU-US Data Privacy Framework. Anthropic speichert API-Inhalte standardmäßig zu Missbrauchsschutz-Zwecken kurzzeitig zwischen.
  Datenschutzerklärung: anthropic.com/legal/privacy
• Google LLC (USA) — Gemini-API (gemini-2.5-pro). Sie kommt nur zum Einsatz, wenn Claude und Mistral sich widersprechen, und entscheidet dann als dritte Instanz (Tiebreaker). Übermittelt werden dabei die strittigen Textstellen samt der zugehörigen Regelwerks-Auszüge.
  Datenschutzerklärung: policies.google.com/privacy
• OpenAI, L.L.C. (USA) — Embedding-API (text-embedding-3-small) zur Vektor-Indexierung von Regelwerken (Semantiksuche). Datenschutzerklärung: openai.com/policies/privacy-policy

Ihre Einwilligung: Mit dem Hochladen eines Dokuments und dem Starten der KI-Prüfung willigen Sie ausdrücklich in die Übermittlung der relevanten Inhalte an die oben genannten Anbieter ein — für die Anbieter mit Sitz in den USA zugleich gemäß Art. 49 Abs. 1 lit. a DSGVO. Sie können diese Einwilligung jederzeit für zukünftige Verarbeitungen widerrufen, indem Sie keine weiteren KI-Prüfungen starten oder Ihr Konto löschen. Die Rechtmäßigkeit bereits erfolgter Verarbeitungen bleibt davon unberührt.

Risiko-Hinweis: US-Behörden können auf Grundlage US-amerikanischer Gesetze (z.B. CLOUD Act) auf Daten bei US-Anbietern zugreifen. Es kann derzeit kein gleichwertiges Datenschutzniveau wie in der EU garantiert werden.

5. Auftragsverarbeitung (Art. 28 DSGVO)

Mit allen genannten Drittanbietern (Clerk, Stripe, Anthropic, Google, OpenAI sowie netcup als Hoster) bestehen die erforderlichen Auftragsverarbeitungsverträge (DPA) gemäß Art. 28 DSGVO sowie EU-Standardvertragsklauseln (SCC) für US-Transfers. Kopien können unter datenschutz@plancheckai.de angefordert werden.

6. Speicherdauer

• Konto- und Vertragsdaten: bis zur Kontolöschung + ggf. handels-/steuerrechtliche Aufbewahrungspflichten
• Dokumente und Prüfergebnisse: bis zur manuellen Löschung durch den Nutzer
• Audit-Logs: bis zu 12 Monate ab Erstellung
• Stripe-Daten: gemäß Stripe-Aufbewahrungsregeln

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit – Export im JSON-Format unter Einstellungen → Datenexport (Art. 20 DSGVO). Ohne Zugang zum Konto genügt eine formlose Anfrage an datenschutz@plancheckai.de.
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: datenschutz@plancheckai.de

Sie haben zudem das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen.

8. Datenlöschung

Wenn Sie Ihr Konto löschen, werden alle Ihre personenbezogenen Daten unverzüglich aus unseren Systemen entfernt; hochgeladene Originaldateien werden zudem aus dem Objektspeicher gelöscht. Eine vollständige Löschung in den Backup- und Logsystemen erfolgt im Rahmen der dortigen Rotations-/Aufbewahrungsfristen, spätestens nach 30 Tagen.

9. Cookies und Tracking

Diese Anwendung setzt ausschließlich technisch notwendige Cookies (Session-Verwaltung über Clerk). Es findet keine Reichweitenmessung, kein Tracking und keine Werbeprofilbildung statt. Eine Einwilligungsabfrage (Cookie-Banner) ist daher nicht erforderlich.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechtslage oder Funktionsänderungen anzupassen. Die jeweils aktuelle Version ist unter /datenschutz abrufbar.