Datenschutzerklärung

Zuletzt aktualisiert: Oktober 2026

Wir freuen uns über Ihr Interesse an Opspect. Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. In dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13, 14 DSGVO über die Verarbeitung Ihrer Daten im Zusammenhang mit der Nutzung unserer Plattform.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Sascha Gebhardt

Friedenstraße 23, 52080 Aachen, Deutschland

E-Mail: support@opspect.de

Telefon: +49 176 56193164

USt-ID: DE368334498

Abgrenzung der Verantwortlichkeiten: Für die Daten des Plattformbetriebs (Registrierung, Authentifizierung einschließlich des technischen Zurücksetzens von Passwort und Anmeldemethoden, Abrechnung, Sicherheits- und Reichweiten-Telemetrie) ist Opspect Verantwortlicher im Sinne dieser Datenschutzerklärung. Für die Inhaltsdaten, die ein Mandant (Ihr Arbeitgeber bzw. die Sie beauftragende Organisation) in der Plattform verarbeitet — etwa Assets, Befunde, Übergaben sowie Personaldaten von Mitarbeitenden, ebenso die Nutzerverwaltung des Mandanten (einschließlich der Entscheidung eines Admins, den Zugang eines Nutzers wiederherzustellen) und sein Aktivitätsprotokoll — ist der jeweilige Mandant Verantwortlicher; Opspect handelt insoweit als Auftragsverarbeiter (siehe Auftragsverarbeitungsvertrag). Betroffenenrechte zu solchen Inhaltsdaten richten Sie bitte an den jeweiligen Mandanten.

2. Datenschutzbeauftragter

Wir sind gemäß Art. 37 DSGVO nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, da wir als kleineres Unternehmen die gesetzlichen Schwellenwerte (weniger als 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind) nicht überschreiten. Bei datenschutzrechtlichen Fragen wenden Sie sich bitte direkt an: support@opspect.de

3. Erhobene Datenkategorien und Verarbeitungszwecke

3.1 Registrierung und Kontoverwaltung

Beim Anlegen eines Kontos verarbeiten wir: Name, E-Mail-Adresse, Unternehmensname und -größe, Rolle im Unternehmen, Passwort (gespeichert als sicherer Hash).

Speicherdauer: Stamm- und Kontodaten werden für die Dauer des Vertragsverhältnisses verarbeitet. Nach Kündigung werden sie innerhalb von 30 Tagen gelöscht bzw. — soweit eine vollständige Löschung aus Gründen der referenziellen Integrität nicht möglich ist — anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.2 Plattformbetrieb und Leistungserbringung

Zur Bereitstellung der Opspect-Funktionen (Asset-Management, Wartung, Inspektionen, ISMS-Module) verarbeiten wir die von Ihnen eingegebenen Betriebsdaten, Dokumentationen und Auditprotokolle Ihrer Organisation.

Nutzt Ihre Organisation die ISMS-Module, gehören dazu auch Nachweise mit Personenbezug, etwa: Teilnahmen an Schulungen und Unterweisungen sowie Kenntnisnahmen von Dokumenten (Name, Rolle oder Funktion, bei Personen ohne Konto optional die E-Mail-Adresse, ob Sie teilgenommen haben, Datum, Dauer, Thema, gegebenenfalls die Kennzeichnung als Mitglied der Geschäftsleitung zum Zeitpunkt der Schulung), Teilnahme an Sitzungen von ISMS-Gremien und an Managementbewertungen (Name, Rolle oder Funktion, Anwesenheit, bei Personen ohne Konto optional die E-Mail-Adresse; dazu Protokoll, Beschlüsse mit Verantwortlichen und Nachträge), die Freigabe einer Managementbewertung durch ein Mitglied der Geschäftsleitung oder — wenn die Freigabe außerhalb von Opspect erteilt wurde — mit dem Namen der freigebenden Person und einem Nachweisdokument aus der Dokumentenlenkung, die Durchführung interner Audits und deren Feststellungen, Verantwortliche für Ziele und Maßnahmen sowie Einreichung und Freigabe von Dokumenten und Fassungen (Name, Zeitpunkt; bei einer Selbstfreigabe zusätzlich der Grund, wie viele Personen zur Freigabe berechtigt waren und wie viele Zugriffsänderungen es in Ihrer Organisation in den 24 Stunden davor gab). Neben Mitgliedern können dort auch Personen ohne eigenes Konto mit Namen eingetragen sein, zum Beispiel externe Teilnehmende, Referentinnen und Referenten oder Auditoren. Die Eingaben einer Managementbewertung werden beim Festhalten eingefroren; Sicherheitsvorfälle erscheinen darin nur mit Nummer, Schwere, Stand und Datum, Schulungsteilnahmen nur als Anzahl, ohne Namen. PDFs, die Opspect für Ihre Organisation erzeugt, können Firmenlogo, Dokumentnummer, Fassung, Klassifizierung sowie Name der freigebenden Person und Datum der Freigabe tragen; übernimmt Ihre Organisation ein solches PDF (etwa ein Sitzungsprotokoll mit den Namen der Teilnehmenden) in ihre Dokumentenlenkung, wird es dort als Dokument gespeichert. Einstellungen Ihrer Organisation — etwa ob Freigaben eine zweite Person erfordern oder dass ein Einrichtungsschritt nicht relevant ist, samt Begründung — speichern wir mit der Person, die sie geändert hat, und dem Zeitpunkt. Übersichten wie das Fristen-Cockpit führen nur bereits vorhandene Daten zusammen.

Für diese Inhaltsdaten ist Ihre Organisation (der Mandant) Verantwortlicher; wir verarbeiten sie in deren Auftrag (siehe Abschnitt 1 und Auftragsverarbeitungsvertrag). Stellt Ihre Organisation daraus ein Nachweispaket zusammen, legen wir es in einem nicht öffentlichen Speicher ab, stellen es nur der anfordernden berechtigten Person (auch einem Prüfer-Zugang Ihrer Organisation) über Download-Links bereit, die höchstens 60 Sekunden gültig sind, und löschen die Paketdatei sieben Tage nach ihrer Erstellung. Die Angaben zum Auftrag (wer das Paket angefordert hat, mit welcher Rolle, ob mit Namen) löschen wir 30 Tage danach; Anforderung und Abruf stehen zusätzlich im Aktivitätsprotokoll Ihrer Organisation. Im Paket stehen statt Namen und E-Mail-Adressen standardmäßig Rollen (z. B. „Geschäftsleitung“ oder „Externe Person“); Namen enthält es nur, wenn eine Person mit ISMS-Manager- oder Admin-Rolle das ausdrücklich wählt — diese Wahl wird protokolliert. Freitexte, die Ihre Organisation selbst geschrieben hat, bleiben unverändert. Ob und an wen (z. B. Prüfer oder Zertifizierungsstellen) das Paket weitergegeben wird, entscheidet Ihre Organisation; wir geben es nicht selbst an Dritte weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.3 Authentifizierung und Sicherheit

Zum Schutz Ihres Kontos setzen wir Zwei-Faktor-Authentifizierung (TOTP, Passkeys) ein und verarbeiten Zugriffsdaten (IP-Adressen, Zeitstempel, Geräte-ID) für Sicherheitszwecke.

Optional bieten wir die Anmeldung über Microsoft (Entra ID, „Mit Microsoft anmelden") an. Wenn Sie diese Option nutzen, erhalten wir von dem durch Sie bzw. Ihre Organisation betriebenen Microsoft-Konto die zur Anmeldung erforderlichen Identitätsmerkmale (Name, E-Mail-Adresse sowie technische Kennungen wie Microsoft-Tenant- und Objekt-ID). Microsoft tritt dabei als der von Ihnen bzw. Ihrer Organisation gewählte Identitätsanbieter (Datenquelle) auf, nicht als Auftragsverarbeiter von Opspect. Für die Anmeldung über Microsoft gilt ergänzend die Datenschutzerklärung von Microsoft.

In der Opspect-App für iPhone und iPad können Sie sich außerdem mit Apple anmelden („Mit Apple anmelden“). Dabei erhalten wir von Apple eine technische Kennung Ihres Apple-Kontos und die E-Mail-Adresse, die Sie dafür freigeben. Wählen Sie bei Apple „E-Mail-Adresse verbergen“, erhalten wir nur eine von Apple erzeugte Weiterleitungsadresse. Ihren Namen fragen wir bei Apple nicht ab. Apple ist dabei der von Ihnen gewählte Identitätsanbieter (Datenquelle) und nicht Auftragsverarbeiter von Opspect. Ergänzend gilt die Datenschutzerklärung von Apple.

Anmeldedaten in eigener Verantwortung: Die Anmeldedaten Ihres Nutzerkontos — Anmelde-E-Mail-Adresse, Passwort (als Hash), die eingerichteten Anmeldemethoden (Passkeys, Authenticator-App, Wiederherstellungscodes), Ihre Sitzungen sowie die plattformweiten Anmelde- und Sicherheitsprotokolle — verarbeiten wir als Verantwortlicher, auch wenn Ihr Konto zu einem Mandanten gehört: Ein Konto kann mehreren Mandanten angehören, und die Regeln der Anmeldung (z. B. die Pflicht zu einem zweiten Faktor) legen wir für alle Mandanten einheitlich fest.

Sicherheitsrelevante Aktionen innerhalb eines Mandanten werden zudem im Aktivitätsprotokoll (Audit-Protokoll) des Mandanten erfasst. Dieses Protokoll und die Nutzerverwaltung eines Mandanten führen wir im Auftrag des Mandanten (siehe Auftragsverarbeitungsvertrag). Setzt ein Admin Ihres Mandanten Ihre Anmeldemethoden zurück, entscheidet darüber der Mandant; das technische Zurücksetzen Ihrer Anmeldedaten verantworten wir.

Passwort zurücksetzen: Wenn Sie „Passwort vergessen“ nutzen, senden wir Ihnen eine E-Mail mit einem Link, der 60 Minuten gültig ist, und einem sechsstelligen Code. Die E-Mail versenden wir über unseren E-Mail-Dienstleister Lettermint (Abschnitt 5). Öffnen Sie den Link, setzen wir ein technisch notwendiges Cookie, das bis zu 15 Minuten lang nachweist, dass Sie über den Link aus dieser E-Mail gekommen sind (Abschnitt 4). Die Anfrage halten wir als Beleg fest — unabhängig davon, ob zu der Adresse ein Konto besteht; der Beleg enthält Ihre E-Mail-Adresse nicht im Klartext, sondern nur als schlüsselgebundene Prüfsumme. Besteht zu der Adresse ein Konto, vermerken wir die Anfrage außerdem im Aktivitätsprotokoll Ihres Mandanten (ohne Ihre E-Mail-Adresse). Den Abschluss des Zurücksetzens belegen wir ebenso und tragen ihn zusätzlich in das Aktivitätsprotokoll Ihres Mandanten ein. Nach dem Zurücksetzen werden Sie auf allen Geräten abgemeldet und erhalten eine Bestätigung per E-Mail.

Wiederherstellung des Kontos durch den Support (Notfall-Reset): Haben Sie alle Anmeldemethoden (Passkeys, Authenticator-App, Wiederherstellungscode) verloren und kann kein Admin Ihres Mandanten sie für Sie zurücksetzen — etwa weil Sie der einzige Admin sind oder Ihr Konto mehreren Mandanten angehört —, setzt unser Support die Anmeldemethoden auf Ihre Anfrage als letzte Instanz zurück. Sind Sie Admin Ihres Mandanten, gilt Ihre Anfrage zugleich als Weisung Ihres Mandanten, Ihren Zugang wiederherzustellen. Vorher prüfen wir Ihre Identität durch einen Rückruf an die in Ihrem Profil hinterlegte Telefonnummer, nie an eine vom Anrufer genannte Nummer. Dabei verarbeiten wir Ihren Namen, Ihre Anmelde-E-Mail-Adresse, die hinterlegte Telefonnummer, den Anlass Ihrer Anfrage mit Ticketnummer sowie die Angabe, welche Anmeldemethoden eingerichtet waren. Der Reset entfernt Passkeys, Authenticator-App und unbenutzte Wiederherstellungscodes und beendet alle Ihre Sitzungen; Passwort und E-Mail-Adresse bleiben unverändert, bei der nächsten Anmeldung richten Sie einen neuen zweiten Faktor ein. Auf die Inhaltsdaten Ihres Mandanten greifen wir dabei nicht zu. Wir senden Ihnen und allen aktiven Admins Ihrer Mandanten eine E-Mail an die jeweils hinterlegte Adresse (Versand über Lettermint). Im Aktivitätsprotokoll jedes Ihrer Mandanten erscheint der Reset als Aktion des Opspect-Supports, ohne den Anlass; Anlass und Ticketnummer halten wir nur in unserem internen Plattform-Protokoll fest, das ausschließlich unsere Administratoren einsehen können.

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Tritt in der Anwendung ein Fehler auf, wird ein technischer Fehlerbericht erzeugt und an Sentry uebermittelt. Dieser enthaelt Angaben zum Fehler selbst (Fehlermeldung, betroffene Programmstelle, Zeitpunkt), zur technischen Umgebung (Browser, Betriebssystem, aufgerufene Seite) sowie Kennungen, die eine Zuordnung zu Ihrer Sitzung ermoeglichen koennen. Wir nutzen diese Berichte ausschliesslich, um Stoerungen zu finden und zu beheben; eine Auswertung Ihres Nutzungsverhaltens findet nicht statt. Die Daten werden auf der EU-Instanz von Sentry verarbeitet (ingest.de.sentry.io). Anbieter ist Functional Software, Inc. (San Francisco, USA); die Uebermittlung ist durch EU-Standardvertragsklauseln und einen Auftragsverarbeitungsvertrag abgesichert.

Speicherdauer: Plattform-Auth-Logs 12 Monate, fehlgeschlagene Anmeldeversuche 90 Tage; Audit-Protokoll sicherheitsrelevanter Aktionen standardmäßig 36 Monate (durch den Mandanten zwischen 1 und 120 Monaten konfigurierbar); dies gilt auch für die Einträge zu Passwort-Reset und Notfall-Reset im Aktivitätsprotokoll des Mandanten. Belege zu Anfrage und Abschluss eines Passwort-Resets und zum Notfall-Reset: 24 Monate, danach werden sie automatisch gelöscht. Einträge zum Notfall-Reset im internen Plattform-Protokoll: so lange, wie sie zum Nachweis der ordnungsgemäßen Durchführung erforderlich sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit); für die Anmeldung über Microsoft oder Apple Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für das Zurücksetzen des Passworts und die Wiederherstellung des Kontos Art. 6 Abs. 1 lit. b DSGVO, soweit Sie die Plattform auf Grundlage eines Vertrags mit uns nutzen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Für Identitätsprüfung, Protokollierung und Benachrichtigung der Admins gilt Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das Ihrer Organisation liegen darin, den Zugang zum Konto sicher wiederherzustellen, Konten vor der Übernahme durch Unbefugte zu schützen und jeden Eingriff nachvollziehbar zu machen.

3.4 Abrechnung und Zahlungsabwicklung

Zur Abwicklung von Zahlungen übermitteln wir Rechnungsdaten an unseren Zahlungsdienstleister Stripe. Kreditkarten- oder Bankdaten speichern wir selbst nicht.

Speicherdauer: Rechnungen und andere Buchungsbelege bewahren wir zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (HGB/AO, GoBD) 8 Jahre auf (§ 147 Abs. 3 AO), Handelsbücher und Jahresabschlüsse 10 Jahre, und löschen sie anschließend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

3.5 KI-gestützter Navigationsdienst

Opspect stellt optional einen KI-Assistenten zur Plattformnavigation bereit, der auf der Anthropic API (Claude) basiert. An Anthropic werden ausschließlich Ihre Navigationseingaben sowie ein statischer, rollenabhängiger Navigationskontext übermittelt. Damit der Assistent erklären kann, warum ein Modul fehlt, erhält er zusätzlich den Tarif und den Abo-Status Ihres Mandanten sowie die Liste der freigeschalteten und nicht freigeschalteten Module. Darüber hinaus übermittelt der Navigationsassistent keine strukturierten Mandantendatensätze (Assets, ISMS-Daten, Personaldaten) an Anthropic und hat keinen automatischen Zugriff auf Mandantendaten. Inhalte Ihres Mandanten gehen nur dann an Anthropic, wenn Sie selbst eine der in den Abschnitten 3.5a, 3.5b und 3.5d beschriebenen Funktionen nutzen. Von Ihnen frei eingegebener Text kann jedoch Personenbezug enthalten; geben Sie daher keine sensiblen Personendaten in den Assistenten ein. Nach den vertraglichen Konditionen verwendet Anthropic die übermittelten Eingaben nicht zum Training seiner Modelle.

Der Gesprächsverlauf einer Sitzung wird nur lokal in Ihrem Browser (sessionStorage) gehalten und nicht dauerhaft serverseitig gespeichert.

Zu Betriebs-, Sicherheits- und Missbrauchsabwehrzwecken protokollieren wir je Nachricht technische Metadaten ohne Gesprächsinhalt (Zeitpunkt, Rolle, Sitzungskennung, Längen der Ein- und Ausgabe, Tokenverbrauch, Antwortzeit, Modellversion, Sicherheitsmarkierungen). Diese Metadaten werden spätestens 60 Tage nach ihrer Erfassung automatisch gelöscht.

Wenn Sie eine Antwort des Assistenten aktiv melden („Feedback"), speichern wir die gemeldete Frage und Antwort sowie Ihre optionale Anmerkung zur Qualitätssicherung und Fehleranalyse. Diese Feedback-Daten werden spätestens 30 Tage nach der Meldung automatisch gelöscht und im Fall einer Konto-Löschung mit Ihrem Konto entfernt.

Drittlandübermittlung an Anthropic (USA): Anthropic, PBC, hat seinen Sitz in den USA. Die Übermittlung ist durch EU-Standardvertragsklauseln (SCCs, Durchführungsbeschluss (EU) 2021/914, Modul 2) abgesichert. Als ergänzende Schutzmaßnahmen wirken die Datenminimierung (nur Navigationstext, keine strukturierten Mandantendaten), die TLS-Verschlüsselung der Übertragung, die vertragliche Zusage „keine Nutzung zum Training" sowie eine kurze Speicherdauer der API-Protokolle bei Anthropic. Für diese Übermittlung liegt eine Transfer-Folgenabschätzung (Transfer Impact Assessment) vor, die wir auf Anfrage zur Verfügung stellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Navigationsfunktion; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, IT-Sicherheit und Qualitätssicherung) für Protokollierung und Feedback.

3.5a KI-gestützter Dokument-Import (optional)

Wenn Sie die optionalen Funktionen „KI-Import" für Prüfpläne bzw. Geschäftsprozesse nutzen, übermittelt Opspect die von Ihnen hochgeladenen Dateien (PDF, DOCX, Bild-/Screenshot-Dateien, z. B. Swimlane-Diagramme) sowie ergänzend von Ihnen eingegebenen Text zur Auswertung an die Anthropic API (Claude), um daraus einen Entwurf für einen Prüfplan oder Geschäftsprozess zu erzeugen. Anders als der reine Navigationsassistent (Abschnitt 3.5) verarbeiten diese Funktionen damit von Ihnen bereitgestellte Inhaltsdaten, die personenbezogene Daten enthalten können (z. B. in Diagrammen oder Dokumenten genannte Mitarbeitende oder Verantwortliche).

Der erzeugte Entwurf wird niemals automatisch übernommen oder veröffentlicht; eine Person prüft den Vorschlag und gibt ihn manuell frei. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt. Nach den vertraglichen Konditionen verwendet Anthropic die übermittelten Inhalte nicht zum Training seiner Modelle.

Der KI-Import für Prüfpläne steht in allen Mandanten bereit und kann je Mandant abgeschaltet werden; vor dem Versand nennt ein Bestätigungsschritt den Empfänger, ohne Ihre Bestätigung verlässt keine Datei die Anwendung. Der KI-Import für Geschäftsprozesse steht Personen mit Schreibrecht im Prozessregister zur Verfügung. Übermittelt wird in beiden Fällen nur, wenn Sie selbst eine Datei auswählen und die Auswertung starten. Da Sie die hochgeladenen Inhalte selbst bestimmen, vermeiden Sie das Hochladen von Dateien mit besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit dies für den Zweck nicht erforderlich ist. Die Übermittlung an Anthropic erfolgt im Rahmen der Auftragsverarbeitung für den jeweiligen Mandanten; Anthropic ist insoweit Unterauftragsverarbeiter (Sitz USA, abgesichert durch SCCs und ein Data Processing Agreement). Für die Drittlandübermittlung an Anthropic (USA) liegt ergänzend eine Transfer-Folgenabschätzung (Transfer Impact Assessment) vor (siehe Abschnitt 3.5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Mandanten).

3.5b KI-gestützte Auswertung von Wünschen, Fehlermeldungen und Fragen

Wenn Sie über den Feedback-Knopf oder die Roadmap einen Wunsch, eine Idee, einen Verbesserungsvorschlag, eine Fehlermeldung oder eine Frage einreichen, wird Ihr Ticket von einem KI-gestützten Produktassistenten ausgewertet. Bei Wünschen ordnet er ein, ob die gewünschte Funktion bereits existiert, wie aufwendig sie wäre und wie sie im Verhältnis zu anderen Wünschen zu priorisieren ist. Bei Fehlermeldungen prüft er, ob sich der Fehler nachvollziehen lässt und welche Ursache in Frage kommt. Stellt sich eine Fehlermeldung als Frage zur Bedienung heraus (oder umgekehrt), ordnet er das Ticket der passenden Art zu; die Änderung ist im Verlauf des Tickets vermerkt. Fragen zur Bedienung beantwortet er selbst, und zwar nur auf Grundlage unserer eigenen Hilfetexte, Anleitungen und Versionshinweise; die verwendete Quelle nennt er in der Antwort.

Übermittelt werden dabei an die Anthropic API (Claude): der Titel und die Beschreibung Ihres Tickets, der öffentliche Kommentarverlauf dazu, bei Fehlermeldungen die Adresse der Seite innerhalb der Anwendung, auf der Sie den Fehler gemeldet haben, sowie folgende Angaben zum Zusammenhang: der Tarif und der Abo-Status Ihres Mandanten, die für Ihren Mandanten freigeschalteten Module, Ihre Rolle (zum Beispiel Admin oder Mitglied) und die Version der App, mit der Sie das Ticket eingereicht haben. Nicht übermittelt werden Ihr Name, Ihre E-Mail-Adresse, der Name Ihrer Organisation oder Inhaltsdaten Ihres Mandanten (etwa Anlagen, Prüfungen, Risiken); der Mandant erscheint ausschließlich als nicht rückführbare Kennung. Da Sie den Text Ihres Tickets selbst formulieren, kann er dennoch Personenbezug enthalten — geben Sie dort keine sensiblen Personendaten an.

Nachrichten an Sie im Ticket — Eingangsbestätigung, Rückfrage, Antwort auf eine Frage zur Bedienung, Erinnerung, Hinweis auf eine Behebung oder Abschluss — kann der Produktassistent selbst verfassen und versenden. Enthält eine Nachricht eine Zusage, einen Termin, eine Ablehnung, eine Preis- oder Rechtsaussage oder betrifft sie Abrechnung, Ihr Konto oder die Sicherheit, wird sie vor dem Versand von einem Mitarbeiter geprüft und ausdrücklich freigegeben. Jede vom Produktassistenten verfasste Nachricht ist im Ticket als KI-Nachricht gekennzeichnet und mit einer Unterschrift der KI-Assistenz versehen (Transparenzhinweis nach Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz). Ein Mitarbeiter liest mit; Sie erreichen ihn jederzeit über eine Antwort im Ticket. Rückfragen des Assistenten begrenzen wir auf wenige je Tag und Mandant.

Benachrichtigung: Über jede Nachricht des Produktassistenten in Ihrem Ticket informieren wir Sie mit einer Meldung in der App und — sofern Sie Ticket-E-Mails nicht abbestellt haben und Ihr Mandant sie nicht abgeschaltet hat — mit einer kurzen E-Mail an Ihre Anmelde-Adresse. Auch die E-Mail weist die Nachricht sichtbar als KI-Nachricht aus und ist zusätzlich maschinenlesbar als KI-erzeugt markiert. Die E-Mail versenden wir über unseren E-Mail-Dienstleister Lettermint (Abschnitt 5). Ticket-E-Mails können Sie in Ihrem Profil unter Benachrichtigungen jederzeit abschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Benachrichtigung der Bearbeitung Ihres Anliegens dient.

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt: Ob und wann eine gewünschte Funktion umgesetzt oder ein gemeldeter Fehler behoben wird, entscheidet ausschließlich ein Mensch. Die Bewertung wird auf einem Server in Deutschland gespeichert, der von uns selbst betrieben wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Weiterentwicklung des Produkts) sowie Art. 6 Abs. 1 lit. b DSGVO, soweit die Rückfrage oder Antwort der Erfüllung Ihres Anliegens dient. Für die Drittlandübermittlung an Anthropic (USA) gelten dieselben Absicherungen wie in Abschnitt 3.5 beschrieben.

3.5c KI-Assistent auf der öffentlichen Website (Besucher-Chat)

Auf unserer öffentlichen Marketing-Website bieten wir einen KI-Assistenten an, der Fragen zu Opspect beantwortet — zu Funktionen, Modulen, Testphase, Preisen und Datenhaltung. Der Assistent gibt sich von der ersten Zeile an als künstliche Intelligenz zu erkennen (Transparenzhinweis nach Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz); auf Wunsch nennt er Ihnen jederzeit den Weg zu einem Menschen. Die Nutzung ist freiwillig und setzt weder eine Anmeldung noch ein Konto voraus.

An die Anthropic API (Claude) übermittelt werden ausschließlich der von Ihnen eingegebene Text sowie ein statischer, für alle Besucher identischer Wissensstand zum Produkt. Der Assistent hat keinen Zugriff auf Mandanten- oder Kundendaten: Der Kanal stellt technisch gar keine Verbindung zu unserer Datenbank her und kann deshalb auch auf Nachfrage nichts zu bestehenden Konten nachschlagen. Nach den vertraglichen Konditionen verwendet Anthropic die übermittelten Eingaben nicht zum Training seiner Modelle.

Wir speichern die Gespräche nicht. Der Gesprächsverlauf liegt ausschließlich in Ihrem Browser (Sitzungsspeicher, siehe Abschnitt 4) und ist mit dem Schließen des Tabs verschwunden. Auf unseren Servern entsteht kein Protokoll des Gesprächs. Zum Schutz vor Missbrauch und vor unkontrollierten Kosten begrenzen wir die Zahl der Anfragen je Stunde und Tag; dafür bilden wir aus Ihrer IP-Adresse eine nicht rückrechenbare Prüfsumme (HMAC-SHA256 mit geheimem Schlüssel), die ausschließlich im Arbeitsspeicher des Servers gehalten und nicht gespeichert wird. Die IP-Adresse selbst wird für diesen Zweck nicht abgelegt.

Rechtsgrundlage für den Betrieb des Assistenten ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Interessenten ohne Umweg über ein Formular verständlich über das Produkt zu informieren).

Kontaktanfrage aus dem Chat: Sie können uns aus dem Chat heraus bitten, Sie zu kontaktieren. Nur in diesem Fall geben Sie eine E-Mail-Adresse an, und nur dann speichern wir etwas: Ihre E-Mail-Adresse, die Herkunft der Anfrage („Besucher-Chat"), die Sprache, Ihre erste Frage, den gewählten Einstieg in den Chat, gegebenenfalls die Kampagnen-Kennung der Seite, über die Sie gekommen sind, sowie eine Prüfsumme Ihrer IP-Adresse zur Missbrauchsvermeidung. Diese Angaben (ohne die Prüfsumme der IP-Adresse) leiten wir als kurze Meldung per E-Mail an unser Team weiter, damit sich jemand persönlich bei Ihnen meldet. Sie erhalten an die angegebene Adresse höchstens eine Bestätigung mit festem Text. Den Gesprächsverlauf versenden und speichern wir nicht — weder an Sie noch an uns. Beide E-Mails versenden wir über unseren E-Mail-Dienstleister Lettermint (Abschnitt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da Sie diese Maßnahme selbst anfragen.

Diese Adresse nutzen wir nicht für Werbung. Sie fließt technisch nicht in unsere Marketing-Strecke ein: Werbemails erhalten ausschließlich Personen, die dem ausdrücklich zugestimmt haben; für Ihre Kontaktanfrage wird kein solches Einverständnis gesetzt. Wir löschen die Angaben, sobald Ihr Anliegen erledigt ist, spätestens 24 Monate nach der letzten Interaktion — und auf Ihren Wunsch jederzeit früher (Abschnitt 6).

3.5d KI-Berater im Prozess-Editor

Im Prozess-Editor (Geschäftsprozesse als Diagramm) können Sie einen KI-Berater öffnen. Er macht auf Ihre Anfrage Verbesserungsvorschläge zum gerade geöffneten Diagramm oder setzt einen von Ihnen formulierten Änderungswunsch als Vorschlag um. Der Berater ist im Panel als KI-Funktion gekennzeichnet (Transparenzhinweis nach Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz); seine Antworten sind maschinenlesbar als KI-erzeugt markiert.

Übermittelt werden dabei an die Anthropic API (Claude): Ihre Frage bzw. Ihr Änderungswunsch, die vorangegangenen Beiträge dieses Gesprächs im Panel (höchstens acht) und eine kompakte Beschreibung des aktuellen Diagramms — Art und Namen der Elemente, Namen der Bahnen (Swimlanes) sowie Beschriftungen der Verbindungen. Solche Namen können Personen oder Rollen nennen (z. B. eine Bahn „Buchhaltung — Frau Muster"). Weitere Daten Ihres Mandanten liest der Berater nicht. Nach den vertraglichen Konditionen verwendet Anthropic die übermittelten Inhalte nicht zum Training seiner Modelle.

Vorschläge ändern das Diagramm nie von selbst: Eine Änderung wird erst übernommen, wenn Sie sie nach einer Vorschau anwenden, und lässt sich rückgängig machen. Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt. Den Gesprächsverlauf halten wir nur im geöffneten Editor in Ihrem Browser; er wird nicht gespeichert. Im Aktivitätsprotokoll des Prozesses vermerken wir nur, dass der Berater genutzt oder ein Vorschlag angewendet wurde, mit Modellversion und Zählwerten (z. B. Zahl der Elemente und Vorschläge, Tokenverbrauch), ohne Frage, Antwort oder Diagramminhalt. Der Berater steht Personen mit Schreibrecht im Prozessregister zur Verfügung, ist in allen Mandanten eingeschaltet, kann je Mandant abgeschaltet werden und hat ein Tageskontingent je Mandant.

Die Übermittlung an Anthropic erfolgt im Rahmen der Auftragsverarbeitung für den jeweiligen Mandanten; Anthropic ist insoweit Unterauftragsverarbeiter. Für die Drittlandübermittlung an Anthropic (USA) gelten dieselben Absicherungen wie in Abschnitt 3.5 beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Mandanten).

3.6 Datensicherung (Backup)

Zur Datensicherheit erstellen wir regelmäßige verschlüsselte Backups Ihrer Daten zum Zweck der Wiederherstellung im Störfall (Disaster Recovery). Diese werden standardmäßig 30 Tage verschlüsselt in Deutschland gespeichert und danach automatisch gelöscht: primär über Supabase (Frankfurt / eu-central-1) und zusätzlich als verschlüsseltes Offsite-Backup bei IONOS (Berlin / eu-central-2, Object-Lock/WORM 30 Tage). Von dieser laufenden Datensicherung zu unterscheiden ist die gesetzliche Archivierung im Fall einer Mandanten-Löschung (siehe Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO

3.7 Microsoft-365-Integration (optional, kundenseitig aktiviert)

Sofern Ihre Organisation die optionale Microsoft-365-Integration aktiviert (durch Administrator-Zustimmung im Microsoft-Tenant Ihrer Organisation), importiert Opspect ausgewählte Daten aus dem Microsoft-365-/Entra-Verzeichnis Ihrer Organisation: Verzeichnis-Nutzer (Name, E-Mail-Adresse, Abteilung, Position, Vorgesetzten-E-Mail, Konto-Status), Geräteinformationen aus Microsoft Intune (Gerätebezeichnung, Seriennummer, Hersteller, Modell, Betriebssystem und -version, Compliance-Status, Zuordnung) sowie optional Lizenzzuordnungen. Sofern Ihre Organisation dies zusätzlich aktiviert, werden Entra-Sicherheitsgruppen und deren Mitgliedschaften ausgewertet, um Opspect-Rollen bzw. Zugriffsprofile automatisch zuzuweisen (Zugriffssteuerung). Diese Daten dienen der Übernahme in Übergaben und das Inventar (z. B. Auswahl von Mitarbeitern und Geräten) sowie der Zugriffssteuerung.

Ist die Integration aktiv, können berechtigte Personen Ihrer Organisation beim Eintragen von Teilnehmenden einer Gremium-Sitzung oder Schulung im Microsoft-Verzeichnis suchen. Dazu fragen wir über die bereits erteilte Berechtigung — ohne zusätzliche Berechtigung — zum eingegebenen Suchbegriff höchstens 15 Einträge ab (Anzeigename, E-Mail-Adresse bzw. Anmeldename, Position, Konto-Status, Kontotyp und technische Kennung) und zeigen die Treffer an. Die Treffer speichern wir nicht. Gespeichert wird nur, wer ausgewählt und als Teilnehmende eingetragen wird (Name, E-Mail-Adresse, Position als Rolle); für diese Einträge gilt Abschnitt 3.2.

Die Daten stammen aus dem von Ihrer Organisation betriebenen Microsoft-Tenant; Microsoft ist insoweit Datenquelle und nicht Auftragsverarbeiter von Opspect. Verantwortlich für diese Daten ist Ihre Organisation; die Verarbeitung durch Opspect erfolgt im Rahmen der Auftragsverarbeitung (siehe Auftragsverarbeitungsvertrag und Verarbeitungsverzeichnis). Die Integration ist optional und kann von Ihrer Organisation jederzeit deaktiviert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO

3.8 Übergabeprotokolle

Beim Erstellen und rechtsverbindlichen Abschluss von Übergabeprotokollen (z. B. Geräte- und Asset-Übergaben) verarbeiten wir Name, E-Mail-Adresse und Rolle der beteiligten Personen — auch externer Beteiligter — sowie deren digitale Signatur. Zum manipulationssicheren Nachweis des Abschlusses speichern wir zusätzlich die IP-Adresse und die Browserkennung (User-Agent) der abschließenden Person sowie Prüfsummen der erzeugten Dokumente. Übergabeprotokolle werden zu Nachweis- und Dokumentationszwecken standardmäßig für 10 Jahre aufbewahrt (durch den Mandanten zwischen 1 und 30 Jahren konfigurierbar; ein durch den Mandanten oder gesetzlich veranlasster „Legal Hold" kann die Aufbewahrung verlängern).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Beweissicherung und manipulationssicherer Übergabedokumentation, auch in Bezug auf externe Beteiligte).

3.9 NIS-2-Check auf der Website

Mit dem NIS-2-Check auf opspect.de können Sie unverbindlich einschätzen, ob Ihr Unternehmen voraussichtlich unter die NIS-2-Regeln fällt. Das Ergebnis wird in Ihrem Browser berechnet. Erst wenn Sie das Ergebnis als PDF per E-Mail anfordern, übermitteln Sie uns Daten. Dann verarbeiten wir: Ihre E-Mail-Adresse, Ihre Antworten und das Ergebnis, die gewählte Sprache, Kampagnenangaben aus dem Link, über den Sie zu uns gekommen sind (UTM-Parameter, falls vorhanden), eine gekürzte Browserkennung (User-Agent) und eine schlüsselgebundene Prüfsumme Ihrer IP-Adresse. Die IP-Adresse selbst speichern wir nicht.

Das Ergebnis senden wir Ihnen über unseren E-Mail-Dienstleister Lettermint (Abschnitt 5). Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie das Ergebnis bei uns anfordern.

Setzen Sie zusätzlich den freiwilligen Haken für Informationen zu Opspect, schicken wir Ihnen in der Ergebnis-Mail einen Bestätigungslink. Erst wenn Sie darauf klicken, können wir Ihnen einige Tage später einmalig eine E-Mail mit weiteren Informationen senden. Ohne Bestätigung senden wir keine weitere E-Mail. Wir speichern zusätzlich den Zeitpunkt Ihrer Bestätigung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in der E-Mail oder per E-Mail an support@opspect.de.

Speicherdauer: Wir löschen die Angaben 24 Monate nach Ihrer Anfrage.

Browserkennung und Prüfsumme der IP-Adresse nutzen wir, um automatisierten Missbrauch des Formulars zu erkennen und zu begrenzen. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO.

3.10 Bewerbung als Opspect-Partner

Bewerben Sie sich über das Formular auf unserer Website als Partner, verarbeiten wir: Firmenname, Name der Ansprechperson, E-Mail-Adresse, optional Telefonnummer, Anschrift, Ihre Angaben zu Ihren Zielkunden und Ihre Nachricht an uns. Zum Schutz vor Missbrauch speichern wir außerdem eine Prüfsumme Ihrer IP-Adresse und Ihre Browserkennung (User-Agent). Sie erhalten eine Eingangsbestätigung per E-Mail über Lettermint (Abschnitt 5). Wir nutzen die Angaben, um Ihre Bewerbung zu prüfen und mit Ihnen Kontakt aufzunehmen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage), für Prüfsumme und Browserkennung Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Speicherdauer: Bewerbungen, über die wir nicht entschieden haben, löschen wir 90 Tage nach Eingang. Angenommene und abgelehnte Bewerbungen löschen wir 180 Tage nach unserer Entscheidung. Wird aus der Bewerbung eine Partnerschaft, verarbeiten wir die dafür nötigen Angaben für die Dauer des Partnervertrags und danach nach den gesetzlichen Aufbewahrungsfristen.

3.11 Betreuung durch einen Opspect-Partner

Opspect-Partner sind selbständige Unternehmen, etwa IT-Dienstleister, die Kunden bei der Einführung und Nutzung von Opspect betreuen. Ist Ihre Organisation einem Partner zugeordnet, zum Beispiel weil Sie sich über dessen Einladung registriert haben, stellen wir dem Partner zur Betreuung Ihrer Organisation und zur Abrechnung seiner Provision folgende Angaben bereit:

• Name Ihrer Organisation, Tarif, Stand von Abonnement und Testphase sowie die freigeschalteten Funktionen,
• Name, E-Mail-Adresse und Zeitpunkt der letzten Anmeldung der ersten Administratorin oder des ersten Administrators Ihrer Organisation,
• die Anzahl der Mitglieder, Administratoren, offenen Einladungen und gesperrten Konten,
• die Anzahl der Assets, Standorte und Aufträge sowie die Zahl der Aktivitäten je Tag, ohne Angabe, wer sie ausgeführt hat,
• Ereignisse rund um Partnerschaft, Tarif und Abrechnung mit ihrem Zeitpunkt, zum Beispiel einen Tarifwechsel, den Beginn einer Testphase oder eine Freigabe für den Partner,
• die Beträge bezahlter Abonnementrechnungen und die darauf entfallende Provision.

Inhalte Ihrer Organisation (etwa Assets, Prüfprotokolle oder ISMS-Daten) und die Liste Ihrer Mitglieder sieht der Partner nur, wenn eine Administratorin oder ein Administrator Ihrer Organisation ihm Zugriff gewährt. Den Zugriff kann Ihre Organisation jederzeit wieder entziehen. Solange Ihre Organisation Zugriff gewährt, verarbeitet der Partner diese Daten im Auftrag Ihrer Organisation; den Vertrag dazu schließt Ihre Organisation direkt mit dem Partner.

Rechtsgrundlage für die Bereitstellung der oben genannten Angaben ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, dass der Partner, den Ihre Organisation gewählt hat, sie betreuen kann, und in der korrekten Abrechnung seiner Provision. Soweit die Angaben aus dem Kundenkonto Ihrer Organisation stammen, stellen wir sie auf deren Weisung bereit (AGB § 9a).

Die Bereitstellung endet, wenn die Zuordnung zum Partner endet. Ihre Organisation kann die Zuordnung in den Einstellungen mit der dort angezeigten Frist beenden. Angaben, die wir für die Provisionsabrechnung brauchen, bewahren wir nach den gesetzlichen Fristen auf (Abschnitt 3.4).

3.12 App für iPhone und iPad

Die Opspect-App verarbeitet dieselben Daten wie die Plattform im Browser (Abschnitte 3.1 bis 3.8). Zusätzlich gilt:

• Kamera und Fotos: Zum Scannen von QR-Codes und für Fotos zu Prüfungen, Befunden und Übergaben fragt die App nach Zugriff auf Kamera und Fotomediathek. Ein Foto wird erst übertragen, wenn Sie es einem Vorgang hinzufügen. Den Zugriff können Sie in den Einstellungen Ihres Geräts jederzeit entziehen.
• Zahl am App-Symbol: Damit die App offene Aufgaben als Zahl am App-Symbol anzeigen kann, fragt sie nach dieser Erlaubnis. Push-Mitteilungen über einen Server senden wir nicht.
• Keine Analyse- oder Werbedienste: Die App enthält keine Dienste zur Reichweitenmessung, Werbung oder Fehleranalyse von Drittanbietern.
• Anmeldung mit Apple: siehe Abschnitt 3.3.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.13 Protokolle unseres Hosting-Dienstleisters

Bei jedem Aufruf unserer Website und der Plattform verarbeitet unser Hosting-Dienstleister Vercel (Abschnitt 5) technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und das Ergebnis des Aufrufs. Das ist nötig, um die Seiten auszuliefern und um Störungen und Angriffe zu erkennen. Vercel löscht diese Protokolle automatisch nach höchstens 24 Stunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

4. Cookies und Speichertechnologien

Innerhalb der Opspect-Plattform (eingeloggter Bereich) verwendet Opspect ausschließlich technisch notwendige Cookies; dort werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt. Auf der öffentlichen Marketing-Website (opspect.de) und den Registrierungsseiten setzen wir zusätzlich – ausschließlich nach Ihrer vorherigen, aktiven Einwilligung – Cookies zur Reichweitenmessung und zur Erfolgsmessung unserer Werbeanzeigen ein (siehe „Google Analytics 4“ und „Google Ads Conversion-Messung“ weiter unten). Ohne Ihre Einwilligung werden keine Marketing-Cookies gesetzt und keine entsprechenden Skripte geladen.

Reichweitenmessung (cookielos): Zur Verbesserung von Stabilität und Nutzungsfreundlichkeit setzen wir Vercel Web Analytics ein. Dabei werden ausschließlich aggregierte, nicht auf eine bestimmte Person zurückführbare Nutzungsstatistiken erhoben (z. B. Anzahl der Besucher und Seitenaufrufe, Absprungrate, aufgerufene Seiten, ungefähre Herkunftsregion, Gerätetyp). Es werden keine Cookies gesetzt, kein geräteübergreifendes Tracking durchgeführt und keine personenbezogenen Nutzerprofile gebildet. Anbieter ist Vercel Inc. (USA); die Übermittlung ist durch EU-Standardvertragsklauseln (SCCs) abgesichert.

Rechtsgrundlage für diese cookielose Reichweitenmessung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung und Optimierung der Plattform). Für die nachfolgend beschriebenen einwilligungsbasierten Google-Dienste gilt sie ausdrücklich NICHT — diese setzen wir ausschließlich auf Grundlage Ihrer Einwilligung ein.

Auf unserer öffentlichen Marketing-Website (opspect.de) und den Registrierungsseiten setzen wir zusätzlich Google Analytics 4 zur Reichweitenmessung ein — jedoch ausschließlich, wenn Sie zuvor über den Cookie-Banner aktiv eingewilligt haben. Erst nach Ihrer Einwilligung wird das Google-Tag (gtag.js) geladen; dabei setzt Google Cookies (insbesondere _ga und _ga_<ID>, Speicherdauer bis zu 24 Monate) und verarbeitet Informationen über Ihren Besuch, etwa aufgerufene Seiten, Verweildauer, ungefähre Herkunftsregion, Gerätetyp und die Quelle, über die Sie zu uns gekommen sind. Wir werten diese Daten ausschließlich aggregiert aus, um zu verstehen, welche Inhalte gefunden und genutzt werden. Google kürzt die IP-Adresse; eine Zusammenführung mit anderen Daten oder die Bildung personenbezogener Profile durch Opspect findet nicht statt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dabei können Daten an Google LLC (USA) übermittelt werden. Die Übermittlung in die USA ist durch die Zertifizierung von Google LLC unter dem EU-U.S. Data Privacy Framework sowie durch EU-Standardvertragsklauseln abgesichert. Trotz dieser Absicherung lässt sich ein Zugriff US-amerikanischer Behörden auf die Daten nicht vollständig ausschließen; auf diesen Umstand weisen wir Sie ausdrücklich hin, damit Ihre Einwilligung in Kenntnis der Sachlage erfolgt.

Google Ads Conversion-Messung (nur mit Einwilligung): Auf der öffentlichen Marketing-Website und den Registrierungsseiten setzen wir Google Ads Conversion-Tracking ein, um zu messen, ob unsere Werbeanzeigen zu Registrierungen führen – jedoch ausschließlich, wenn Sie zuvor über den Cookie-Banner aktiv eingewilligt haben. Erst nach Ihrer Einwilligung wird das Google-Tag (gtag.js) geladen; dabei setzt Google Cookies (insbesondere _gcl_aw und _gcl_au, Speicherdauer bis zu 90 Tage) und verarbeitet Informationen über den Klick auf eine Anzeige sowie die anschließende Registrierung.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dabei können Daten an Google LLC (USA) übermittelt werden. Google verarbeitet die Anzeigen-Messdaten in eigener datenschutzrechtlicher Verantwortung und ist insoweit kein Auftragsverarbeiter von Opspect; die Übermittlung in die USA ist durch die Zertifizierung von Google LLC unter dem EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder nachträglich erteilen – über den Link „Cookie-Einstellungen“ im Seitenfuß. Wenn Sie nicht einwilligen, entstehen Ihnen keine Nachteile; Website und Registrierung sind uneingeschränkt nutzbar. Innerhalb der eingeloggten Plattform findet kein Marketing-Tracking statt.

Erfolgsmessung unserer Anzeigen in ChatGPT (OpenAI): Wenn wir Anzeigen in ChatGPT schalten, möchten wir wissen, ob ein Besuch aus einer solchen Anzeige stammt und ob daraus eine Registrierung oder eine Selbsteinschätzung geworden ist. Dafür setzen wir das Messpixel von OpenAI (oaiq) ein — ausschließlich nach Ihrer vorherigen, aktiven Einwilligung. Ohne Einwilligung wird weder das Skript geladen noch ein Eintrag gesetzt.

Übermittelt werden dabei der Aufruf der Seite sowie das Erreichen bestimmter Abschlusspunkte (abgeschlossene NIS-2-Selbsteinschätzung, angeforderte Unterlagen, begonnene und bestätigte Registrierung). Wir übermitteln ausdrücklich keine Kontaktdaten an OpenAI — weder Ihre E-Mail-Adresse noch eine daraus gebildete Prüfsumme. Das Pixel bietet eine solche erweiterte Zuordnung („Advanced Matching") an; wir nutzen sie bewusst nicht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen; ab dem nächsten Seitenaufruf wird das Pixel dann nicht mehr geladen. Anbieter ist OpenAI; dabei können Daten in die USA übermittelt werden. Die Übermittlung ist durch EU-Standardvertragsklauseln abgesichert. Wie bei anderen US-Anbietern lässt sich ein Zugriff US-amerikanischer Behörden trotz dieser Absicherung nicht vollständig ausschließen; auf diesen Umstand weisen wir Sie ausdrücklich hin, damit Ihre Einwilligung in Kenntnis der Sachlage erfolgt.

5. Auftragsverarbeitung und Datenweitergabe

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein (vollständige Liste gemäß Auftragsverarbeitungsvertrag):

SCCs = EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO steht auf Anfrage zur Verfügung. Die Datenbank- und Dateninhalte werden in der EU (Frankfurt, eu-central-1) gespeichert; die Standardvertragsklauseln dienen vorsorglich der Absicherung eines etwaigen Zugriffs durch die US-Muttergesellschaft von Supabase. Für die Übermittlung an Anthropic (USA) liegt zusätzlich eine Transfer-Folgenabschätzung (Transfer Impact Assessment) vor (siehe Abschnitt 3.5).

Microsoft ist bei der Anmeldung über Microsoft sowie bei der optionalen Microsoft-365-Integration (Abschnitte 3.3 und 3.7) Datenquelle bzw. der von der Kundenorganisation betriebene Identitätsanbieter und kein Auftragsverarbeiter von Opspect; Microsoft ist daher in der vorstehenden Liste nicht aufgeführt. Dasselbe gilt für Apple bei der Anmeldung mit Apple in der App (Abschnitt 3.3).

Ist Ihre Organisation einem Opspect-Partner zugeordnet, erhält dieser die in Abschnitt 3.11 genannten Angaben. Darüber hinaus findet eine Datenweitergabe an Dritte außerhalb der oben genannten Auftragsverarbeiter nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet (z. B. behördliche Auskunftsersuchen).

6. Ihre Rechte

Sie haben als betroffene Person folgende Rechte gemäß DSGVO:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@opspect.de

Sie haben außerdem das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

7. Daten-Export und Account-Löschung (Self-Service)

Als registrierter Nutzer können Sie jederzeit in Ihren Kontoeinstellungen:

• Einen Export Ihrer Konto- und Profildaten sowie der Datensätze, in denen Sie als beteiligte Person erfasst sind (z. B. Übergabeprotokolle, Arbeitsaufträge, Schulungs- und Sitzungsteilnahmen sowie Beschlüsse, für die Sie verantwortlich sind), im maschinenlesbaren Format (ZIP) anfordern (DSGVO Art. 15/20). Aus Kundenkonten, denen Sie nicht mehr freigegeben angehören (auch nach Ablauf eines befristeten Zugangs), enthält der Export nur Ihre eigenen Angaben (z. B. Teilnahme, Frist und Stand eines Beschlusses), nicht die Inhalte des Kundenkontos wie Titel oder Beschlusstexte. Weitere Inhaltsdaten, die ein Mandant als Verantwortlicher verarbeitet, fragen Sie bitte direkt beim jeweiligen Mandanten an.
• Ihr Konto eigenständig löschen. Nach Bestätigung werden Ihre personenbezogenen Kontodaten gelöscht bzw. — soweit eine vollständige Löschung aus technischen Gründen der referenziellen Integrität nicht möglich ist — anonymisiert. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen oder der Beweissicherung dienen (insbesondere Übergabeprotokolle sowie Sicherheits-/Audit-Protokolle), werden bis zum Ablauf der jeweiligen Aufbewahrungsfrist in der Verarbeitung eingeschränkt (gesperrt) und erst danach gelöscht. Wo Ihr Name in Nachweisen, die Ihr Mandant als Verantwortlicher führt, als Text festgehalten ist — in Teilnahmelisten von Schulungen, Kenntnisnahmen und Sitzungen, in abgeschlossenen Sitzungsprotokollen, in festgehaltenen Freigaben und in gespeicherten PDFs (etwa freigegebenen Fassungen oder PDFs, die der Mandant in seine Dokumentenlenkung übernommen hat) —, bleiben Name und Rolle beim Mandanten erhalten, auch wenn Sie Ihr Konto löschen; nur die Verknüpfung mit Ihrem Konto entfällt. Diese Einträge werden gelöscht, wenn der Mandant den Eintrag bzw. das Dokument löscht oder sein Kundenkonto endgültig gelöscht wird. An anderen Stellen, an denen nur auf Ihr Konto verwiesen wird (etwa als interne Auditorin oder interner Auditor, als einreichende oder freigebende Person oder als Verantwortliche bzw. Verantwortlicher für Beschlüsse und Ziele), wird dieser Verweis entfernt und Ihr Name dort nicht mehr angezeigt. Eine Löschung oder Berichtigung dieser Einträge richten Sie bitte an den Mandanten. Mandanten-Administratoren können Plattformdaten gemäß AVV und Nutzungsvertrag anfordern.

Mandanten-Daten nach Vertragsende (Deaktivierung und Löschung): Endet der Nutzungsvertrag eines Mandanten, wird der Mandant zunächst deaktiviert — der Zugang wird gesperrt und die Daten werden nicht mehr aktiv verarbeitet, bleiben jedoch für eine Übergangszeit zur etwaigen Reaktivierung sowie zur Erfüllung von Export- und Nachweispflichten gespeichert. Die vollständige, unwiderrufliche Löschung der Mandantendaten erfolgt auf Anfrage des Mandanten oder nach Ablauf einer angemessenen Karenzfrist; gesetzliche Aufbewahrungspflichten und ein etwaiger Legal Hold (siehe Abschnitte 3.4 und 3.8) bleiben unberührt. Die technische Umsetzung der Löschung bzw. die kryptografische Löschung archivierter Daten ist im Auftragsverarbeitungsvertrag (Art. 8) geregelt.

Soweit gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Pflichten nach HGB/AO sowie die GoBD) bestehen, können einzelne Daten bzw. ein verschlüsseltes Archiv über die genannte Frist hinaus für die Dauer der gesetzlichen Aufbewahrungsfrist (bis zu 10 Jahre) aufbewahrt und erst anschließend gelöscht werden. Übergabeprotokolle unterliegen der in Abschnitt 3.8 genannten Aufbewahrungsfrist.

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen (TOM) ein, um Ihre Daten zu schützen:

• Verschlüsselung der Datenübertragung (TLS 1.2/1.3)
• Verschlüsselung der gespeicherten Daten (AES-256 at rest)
• Mandantentrennung durch Row Level Security (RLS) auf Datenbankebene
• Mehrfaktor-Authentifizierung (TOTP, Passkeys)
• Wiederherstellung verlorener Anmeldemethoden durch den Support nur nach Identitätsprüfung per Rückruf, mit Benachrichtigung und Protokoll
• Regelmäßige Sicherheitsüberprüfungen und Dependency-Updates
• Verschlüsselte Backups in der EU (Frankfurt, 30-Tage-Aufbewahrung)

9. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder bei Änderungen unserer Leistungen zu aktualisieren. Wesentliche Änderungen teilen wir Ihnen per E-Mail mit. Die jeweils aktuelle Version ist unter opspect.de/datenschutz abrufbar.

10. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich an:

Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen

E-Mail: support@opspect.de | Tel: +49 176 56193164

Stand: Oktober 2026 | Opspect ist eine Marke von Sascha Gebhardt