Verarbeitungsverzeichnis gemäß Art. 30 Abs. 1 DSGVO
Verantwortlicher: Sascha Gebhardt | Opspect-Plattform
Stand: Oktober 2026
Angaben zum Verantwortlichen
| Name | Sascha Gebhardt |
|---|---|
| Adresse | Friedenstraße 23, 52080 Aachen, Deutschland |
| support@opspect.de | |
| Telefon | +49 176 56193164 |
| USt-ID | DE368334498 |
| Datenschutzbeauftragter | Nicht erforderlich (Art. 37 DSGVO, Schwellenwert unterschritten) |
1. Registrierung und Kontoverwaltung
| Zweck | Erstellung und Verwaltung von Nutzerkonten für den Zugang zur Opspect-Plattform |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Datenkategorien | Name, E-Mail-Adresse, Unternehmensname, Rolle, gehashtes Passwort |
| Betroffene Personen | Nutzer und Administratoren des Kundenunternehmens |
| Speicherdauer | Dauer des Vertragsverhältnisses + 30 Tage nach Kündigung |
| Empfänger / AV | Supabase (Datenbankbetrieb, Frankfurt); Lettermint (Bestätigungsmails, NL) |
| Drittlandtransfer | Supabase: EU-Datenresidenz (Frankfurt, eu-central-1), SCCs vorsorglich wegen US-Mutter; Lettermint (NL/EU) - kein Transfer |
| TOM-Verweis | Verschlüsselung at-rest und in-transit, RLS, MFA-Pflicht |
2. Plattformbetrieb (Asset-Management, ISMS, Inspektionen)
| Zweck | Bereitstellung der Kernfunktionen: Asset-Management, Wartung, Inspektionen, ISMS-Module einschließlich der Nachweisführung des Kunden (Schulungen und Kenntnisnahmen, Gremium-Sitzungen, Managementbewertung, interne Audits, Freigaben), der Gestaltung und Lenkung seiner Dokumente (Firmenlogo, Klassifizierung, Dokumentnummern, Übernahme erzeugter PDFs in die Dokumentenlenkung) und von Übersichten, die vorhandene Daten zusammenführen (anstehende Fristen, Einrichtungsstand), sowie Zusammenstellung von Exporten und Nachweispaketen auf Veranlassung des Kunden |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Kunden) |
| Datenkategorien | Von Kunden eingetragene Betriebsdaten (Assets, Standorte, Verantwortliche, Dokumente, Risiken); Rollen- und Funktionsdaten der Nutzer (einschließlich der Kennzeichnung als Mitglied der Geschäftsleitung); ISMS-Nachweise, soweit personenbezogen: Verantwortliche für Ziele und Maßnahmen, Einreichende und Freigebende von Dokumenten und Fassungen (bei Selbstfreigabe zusätzlich Zahl der Berechtigten und der Sperr- und Rollenänderungen der letzten 24 Stunden), interne Auditoren und Audit-Feststellungen, Schulungs- und Kenntnisnahmenachweise (Name, Rolle oder Funktion, bei Personen ohne Konto optional E-Mail-Adresse, Teilnahme ja/nein, Datum, Uhrzeit, Dauer, Inhalte, Anbieter, Geschäftsleitungsmerkmal zum Schulungszeitpunkt), Sitzungsdaten von Gremien und Managementbewertungen (Teilnehmende — Mitglieder oder Personen ohne Konto mit Name, Rolle oder Funktion und optional E-Mail-Adresse —, Anwesenheit, Tagesordnung, Beschlüsse mit Verantwortlichen, Protokoll, Nachträge mit Verfasser, Freigaben); bei Managementbewertungen zusätzlich die beim Festhalten eingefrorenen Eingaben (Kennzahlen, Risiko- und Maßnahmenstand, Feststellungen, Ziele; Sicherheitsvorfälle nur mit Nummer, Schwere, Stand und Datum, ohne Titel und Beschreibung; Schulungsteilnahmen nur als Anzahl, ohne Namen), der Bericht des Informationssicherheitsbeauftragten und die Freigabe — durch ein Mitglied der Geschäftsleitung mit bestätigter Erklärung oder als außerhalb der Plattform erteilte Freigabe mit Name der freigebenden Person und einem Nachweisdokument aus der Dokumentenlenkung; im festgehaltenen Freigabe-Schnappschuss zusätzlich die Namen der Beteiligten sowie Zeitpunkt und setzende Person des Geschäftsleitungsmerkmals; Lenkungsangaben in erzeugten PDFs (Dokumentnummer, Fassung, Klassifizierung, freigebende Person und Datum) sowie in die Dokumentenlenkung übernommene PDFs mit anlegender Person; Einstellungen des Kunden mit ändernder Person und Zeitpunkt (z. B. Vier-Augen-Freigabe an/aus; als „nicht relevant“ markierte Einrichtungsschritte mit Begründung); Freitexte des Kunden; Notfallkontakte des Kunden (einschließlich Meldestellen von Behörden) |
| Betroffene Personen | Mitarbeiter, Mitglieder der Geschäftsleitung und ggf. Lieferanten des Verantwortlichen sowie vom Kunden eingetragene externe Personen (z. B. Referenten, externe Teilnehmende, Berater, Auditoren) (soweit Personenbezug) |
| Speicherdauer | Dauer des Vertragsverhältnisses + 30 Tage Exportfrist; während der Laufzeit bestimmt der Kunde die Aufbewahrung. Nach Löschung eines Nutzerkontos: Namen und Rollen, die als Text festgehalten sind (Teilnahmelisten von Schulungen, Kenntnisnahmen und Sitzungen, abgeschlossene Sitzungsprotokolle, festgehaltene Freigaben, gespeicherte PDFs wie freigegebene SoA-Fassungen und in die Dokumentenlenkung übernommene PDFs), bleiben erhalten, bis der Kunde den Eintrag bzw. das Dokument löscht; nur die Verknüpfung mit dem Konto entfällt. Wo nur ein Verweis auf das Konto gespeichert ist (z. B. interne Auditoren, Einreichende und Freigebende von Dokumenten und Fassungen, Verantwortliche für Beschlüsse und Ziele, Sitzungsleitung, Verfasser von Nachträgen), wird der Verweis entfernt und der Name nicht mehr angezeigt. Nachweispakete: Datei 7 Tage nach Fertigstellung automatisch gelöscht; die Auftragszeile (anfordernde Person, Rolle, Wahl „mit Namen“, Status) nach weiteren 30 Tagen; Anforderung und Abruf zusätzlich im Aktivitätsprotokoll des Kunden (Aufbewahrung nach Mandanten-Einstellung) |
| Empfänger / AV | Supabase (Frankfurt); Vercel (Hosting, EU Edge). Nachweispakete: Abruf nur durch die anfordernde, vom Kunden berechtigte Person (auch den Prüfer-Zugang des Kunden); über eine Weitergabe an Dritte entscheidet der Kunde, Opspect übermittelt nicht selbst. Betroffene Nutzer erhalten ihre eigenen Schulungs- und Sitzungsteilnahmen sowie Beschlüsse, für die sie verantwortlich sind, über den Selbstauskunfts-Export (Art. 15/20 DSGVO); aus Kundenkonten, denen sie nicht mehr freigegeben angehören (auch nach Ablauf eines befristeten Zugangs), nur ihre eigenen Angaben ohne Inhalte des Kundenkontos (Titel, Beschlusstext). Wartet eine Managementbewertung auf Freigabe, erhalten die Mitglieder der Geschäftsleitung einen Hinweis innerhalb des Kundenkontos (keine E-Mail) |
| Drittlandtransfer | Vercel Inc. (USA) - SCCs; Supabase: EU-Datenresidenz (Frankfurt), SCCs vorsorglich wegen US-Mutter |
| TOM-Verweis | RLS, Multi-Tenancy-Isolation, Verschlüsselung, Zugriffskontrolle; Nachweispakete in nicht öffentlichem Speicher, Download-Links höchstens 60 Sekunden gültig, Rechteprüfung bei Auftrag, Erzeugung und Abruf, kein Abruf in der Supportsitzung; im Paket stehen Rollen statt Namen und E-Mail-Adressen, Namen nur auf ausdrückliche, protokollierte Wahl einer Person mit ISMS-Manager- oder Admin-Rolle (Freitexte bleiben unverändert); festgehaltene Eingaben, Protokolle und Freigaben sind gegen nachträgliche Änderung gesperrt (Prüfsumme über den Inhalt); Freigaben und Einstellungsänderungen im Aktivitätsprotokoll; Selbstfreigabe mit Grund, Zahl der Berechtigten und Zugriffsänderungen der letzten 24 Stunden im Kundenkonto protokolliert |
Nr. 2 beschreibt die Verarbeitung von Inhaltsdaten, die Opspect im Auftrag der Kunden durchführt (Auftragsverarbeitung, Art. 28 und Art. 30 Abs. 2 DSGVO). Verantwortliche sind die jeweiligen Kunden mit den im Kundenkonto hinterlegten Kontaktdaten; Einzelheiten regelt der Auftragsverarbeitungsvertrag.
3. Authentifizierung und Zugriffssicherheit
| Zweck | Sichere Anmeldung (inkl. optionaler Anmeldung über Microsoft / Entra ID SSO), Betrugs- und Angriffsprävention, Audit-Trail; Zurücksetzen des Passworts; Wiederherstellung verlorener Anmeldemethoden durch den Support als letzte Instanz (Notfall-Reset nach Identitätsprüfung per Rückruf) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit); für die Anmeldung über Microsoft Art. 6 Abs. 1 lit. b DSGVO; für Passwort-Reset und Konto-Wiederherstellung Art. 6 Abs. 1 lit. b DSGVO, soweit ein Vertrag mit dem Nutzer besteht, im Übrigen sowie für Identitätsprüfung, Protokollierung und Benachrichtigung der Admins Art. 6 Abs. 1 lit. f DSGVO (sichere Wiederherstellung des Zugangs, Schutz vor Kontoübernahme, Nachvollziehbarkeit) |
| Datenkategorien | IP-Adressen, Browser-UA, Zeitstempel, Geräte-IDs, MFA-Statusinformationen; Anmelde-E-Mail, Passwort-Hash, Anmeldemethoden (Passkeys, Authenticator-App, Wiederherstellungscodes), Sitzungen; bei Anmeldung über Microsoft zusätzlich Identitätsmerkmale (Name, E-Mail, Microsoft-Tenant- und Objekt-ID); beim Passwort-Reset und Notfall-Reset Belege mit schlüsselgebundenen Prüfsummen (keine Klartext-Adresse); beim Notfall-Reset Name, Anmelde-E-Mail, im Profil hinterlegte Telefonnummer (Rückruf), Anlass mit Ticketnummer, Anzahl entfernter Anmeldemethoden und beendeter Sitzungen |
| Betroffene Personen | Alle authentifizierten Nutzer; beim Notfall-Reset zusätzlich die benachrichtigten Admins der Mandanten der betroffenen Person |
| Speicherdauer | Plattform-Auth-Logs: 12 Monate | Fehlgeschlagene Logins: 90 Tage | Belege Passwort-Reset und Notfall-Reset: 24 Monate (automatische Löschung) | Einträge im Aktivitätsprotokoll des Mandanten: nach Mandanten-Einstellung (Standard 36 Monate) | Notfall-Reset im internen Plattform-Protokoll: solange zum Nachweis der ordnungsgemäßen Durchführung erforderlich |
| Empfänger / AV | Supabase (Authentifizierungsdienst, Frankfurt); Sentry (Fehlermonitoring, EU-Region); Lettermint (E-Mails zu Passwort-Reset und Notfall-Reset, NL). Microsoft Entra: Identitätsanbieter / Datenquelle des Kunden (kein Auftragsverarbeiter) |
| Drittlandtransfer | Sentry (USA) - SCCs, EU-Datenregion (ingest.de.sentry.io) genutzt; Lettermint (NL/EU) - kein Transfer |
| TOM-Verweis | MFA, Session-Management, Log-Retention-Policy; Link-Reset nur mit signiertem, 15 Minuten gültigem Nachweis-Cookie; Notfall-Reset nur als letzte Instanz, nach Rückruf an die im Profil hinterlegte Nummer, mit Ticket, E-Mail-Bestätigung und Passkey-Bestätigung des Plattform-Owners; Benachrichtigung von Person und allen Admins; Freitext-Anlass nur im internen Plattform-Protokoll |
Die Einträge im Aktivitätsprotokoll des Mandanten, die aus den Vorgängen nach Nr. 3 entstehen (z. B. Anfrage und Abschluss eines Passwort-Resets, Notfall-Reset), führt Opspect im Auftrag des jeweiligen Mandanten (Nr. 2, Auftragsverarbeitungsvertrag Art. 4); sie sind hier nur wegen des Zusammenhangs mit genannt. Verantwortlicher im Sinne von Nr. 3 ist Opspect für die Anmeldedaten und die plattformweiten Protokolle.
4. Zahlungsabwicklung
| Zweck | Abrechnung von Abonnements, Rechnungsstellung |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Datenkategorien | Rechnungsadresse, Unternehmensname, E-Mail, Stripe Customer ID (keine Zahlungsmitteldaten) |
| Betroffene Personen | Kontoinhaber / Rechnungsempfänger des Kundenunternehmens |
| Speicherdauer | Rechnungen und andere Buchungsbelege 8 Jahre (§ 147 Abs. 3 AO), Handelsbücher und Jahresabschlüsse 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflichten) |
| Empfänger / AV | Stripe Inc. (Zahlungsdienstleister, USA/EU) |
| Drittlandtransfer | Stripe Inc. (USA) - SCCs, EU-Datenverarbeitung wo möglich |
| TOM-Verweis | PCI-DSS-Zertifizierung Stripe, keine lokale Zahlungsmittelspeicherung |
5. E-Mail-Kommunikation (Transaktionsmails)
| Zweck | Versand von Willkommens-, Bestätigungs- und Systemmails sowie Versand von Übergabeprotokollen (PDF) auf Veranlassung des Kunden |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Datenkategorien | E-Mail-Adresse, Name, Inhalt der systemgenerierten Nachricht; beim Übergabeprotokoll zusätzlich Name und E-Mail-Adresse der Beteiligten sowie der Protokollinhalt (PDF-Anhang) |
| Betroffene Personen | Registrierte Nutzer; Empfänger von Übergabeprotokollen (z. B. Mitarbeiter und Personalabteilung des Kunden) |
| Speicherdauer | Versandlog 90 Tage (bei Lettermint) |
| Empfänger / AV | Letterhead B.V. (Lettermint), Amsterdam, Niederlande |
| Drittlandtransfer | Keiner (NL = EU) |
| TOM-Verweis | AVV mit Lettermint, TLS-Verschlüsselung |
6. KI-Navigationsdienst
| Zweck | Kontextsensitive Navigationsunterstützung innerhalb der Plattform; Betriebs- und Sicherheitstelemetrie; Qualitätssicherung aktiv gemeldeter Antworten |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Navigationsfunktion); Art. 6 Abs. 1 lit. f DSGVO (Telemetrie und Feedback) |
| Datenkategorien | An Anthropic übermittelt: Navigationsanfragen des Nutzers + statischer, rollenabhängiger Navigationskontext + Tarif, Abo-Status und Liste der freigeschalteten bzw. nicht freigeschalteten Module des eigenen Mandanten — KEIN Zugriff auf Inhaltsdaten des Mandanten. Serverseitig gespeichert: technische Metadaten je Nachricht ohne Gesprächsinhalt (Längen der Ein-/Ausgabe, Tokenverbrauch, Latenz, Rolle, Sitzungskennung, Modellversion, Sicherheitsmarkierungen); bei aktiv gemeldetem Feedback zusätzlich gemeldete Frage, Antwort und optionale Anmerkung im Klartext |
| Betroffene Personen | Nutzer, die den KI-Assistenten verwenden (optional) |
| Speicherdauer | Sitzungsverlauf: nur im Browser (sessionStorage), kein dauerhafter Server-Speicher. Server-Metadaten: spätestens 60 Tage nach Erfassung. Feedback-Daten: spätestens 30 Tage nach der Meldung bzw. Löschung mit dem Konto |
| Empfänger / AV | Anthropic PBC (Claude API, USA); serverseitige Speicherung der Metadaten und Feedback-Daten bei Supabase (Frankfurt) |
| Drittlandtransfer | Anthropic PBC (USA) - SCCs + DPA |
| TOM-Verweis | Datenisolation: API erhält nur Navigationstext, keine Mandantendaten; serverseitige Protokolle ohne Gesprächsinhalt |
6a. KI-gestützter Dokument-Import (optional)
| Zweck | Auswertung vom Mandanten hochgeladener Dokumente (Prüfplan-Dateien, Geschäftsprozess-Screenshots/-Diagramme) zur Erzeugung eines Entwurfs; Übernahme nur nach manueller menschlicher Prüfung und Freigabe |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Mandanten) |
| Datenkategorien | An Anthropic übermittelt: vollständige Inhalte der hochgeladenen Dateien (PDF, DOCX, Bild-/Screenshot-Dateien) sowie ergänzender Freitext; diese können personenbezogene Daten enthalten (z. B. in Diagrammen/Dokumenten genannte Mitarbeitende, Verantwortliche). Ergebnis: Entwurf, serverseitig im Mandanten gespeichert |
| Betroffene Personen | In den hochgeladenen Inhalten genannte Personen (Mitarbeitende, Verantwortliche, ggf. Dritte) |
| Speicherdauer | Keine dauerhafte Speicherung der Upload-Inhalte bei Anthropic; Entwurfsergebnis im Mandanten für die Dauer des Vertragsverhältnisses (+ 30 Tage Exportfrist) |
| Empfänger / AV | Anthropic PBC (Claude API, USA); serverseitige Speicherung des Entwurfs bei Supabase (Frankfurt) |
| Drittlandtransfer | Anthropic PBC (USA) - SCCs + DPA |
| TOM-Verweis | Prüfplan-Import in allen Mandanten bereit, je Mandant abschaltbar, Versand erst nach Bestätigungsschritt mit Nennung des Empfängers; Prozess-Import nur mit Schreibrecht im Prozessregister; Tageskontingent je Mandant; Übermittlung nur nach ausdrücklichem Start durch die Person; Mensch-Review-Gate (nie automatisch live, keine Art.-22-Automatik); Anthropic verwendet Eingaben vertraglich nicht zum Training |
6b. KI-Assistent auf der öffentlichen Website (Besucher-Chat)
| Zweck | Beantwortung von Produktfragen von Interessenten auf der öffentlichen Marketing-Website ohne Anmeldung; auf ausdrückliche Anfrage Kontaktaufnahme durch das Opspect-Team (kein Versand des Gesprächsverlaufs, seit Release 1.31.2) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an verständlicher Produktinformation für Interessenten) für den Chatbetrieb; Art. 6 Abs. 1 lit. b DSGVO (Maßnahme auf Anfrage der betroffenen Person) für die Kontaktanfrage und die dafür erhobene E-Mail-Adresse |
| Datenkategorien | An Anthropic übermittelt: der vom Besucher eingegebene Text sowie ein statischer, für alle Besucher identischer Produkt-Wissensstand — KEIN Zugriff auf Mandanten- oder Kundendaten. Serverseitig gespeichert: nichts aus dem Gespräch. Nur bei einer Kontaktanfrage gespeichert: E-Mail-Adresse, Herkunft („visitor_chat"), Sprache, erste Frage, gewählter Einstieg, ggf. Kampagnen-Kennung (UTM) sowie eine Prüfsumme der IP-Adresse; dieselben Angaben (ohne IP-Prüfsumme, Freitext entschärft) gehen als interne Meldung per E-Mail an das Opspect-Team, an die angegebene Adresse höchstens eine Bestätigung mit festem Text je Tag. Der Gesprächsverlauf wird weder gespeichert noch versendet. Für die Missbrauchsbremse zusätzlich flüchtig im Arbeitsspeicher: HMAC-SHA256-Prüfsumme der IP-Adresse |
| Betroffene Personen | Besucher der öffentlichen Marketing-Website (Interessenten), die den Assistenten freiwillig nutzen |
| Speicherdauer | Gesprächsverlauf: keine serverseitige Speicherung; im Browser des Besuchers nur für die Sitzung. IP-Prüfsumme der Missbrauchsbremse: nur im Arbeitsspeicher, längstens für das laufende Zeitfenster. Kontaktanfrage: E-Mail-Adresse und Anfrage bis zur Erledigung des Anliegens, spätestens 24 Monate nach der letzten Interaktion; Löschung auf Wunsch jederzeit früher |
| Empfänger / AV | Anthropic PBC (Claude API, USA) für die Antworterzeugung; Letterhead B.V. (Lettermint, Amsterdam) für Bestätigung und interne Meldung der Kontaktanfrage; Speicherung der Lead-Angaben bei Supabase (Frankfurt) |
| Drittlandtransfer | Anthropic PBC (USA) - SCCs + DPA, Transfer Impact Assessment |
| TOM-Verweis | Funktion über Umgebungsschalter aktivierbar; die öffentliche Route erzeugt bewusst keinen Datenbank-Client und kann zu Bestandskunden nichts nachschlagen (technisch erzwungen und durch Tests abgesichert); keine Speicherung von Gesprächsinhalten; IP-Adresse nur als nicht rückrechenbare Prüfsumme mit geheimem Schlüssel; Begrenzung der Anfragen je Stunde und Tag; kein Werbe-Einverständnis gesetzt, dadurch technisch von der Werbe-Folgestrecke ausgeschlossen; Mails nur an feste interne Empfänger plus eine Bestätigung mit festem Text (Deckel je IP, je Adresse und je Tag); Kennzeichnung als KI nach Art. 50 KI-Verordnung; Anthropic verwendet Eingaben vertraglich nicht zum Training |
6c. KI-Berater im Prozess-Editor (BPMN)
| Zweck | Verbesserungsvorschläge zu einem Prozessdiagramm und Umsetzung eines vom Nutzer formulierten Änderungswunsches als Vorschlag; Übernahme nur nach Vorschau durch die Person (rückgängig machbar) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Mandanten) |
| Datenkategorien | An Anthropic übermittelt: Frage bzw. Änderungswunsch der Person, bis zu acht vorangegangene Beiträge des Gesprächs im Panel und eine kompakte Beschreibung des aktuellen Diagramms (Elementart und -name, Bahnnamen, Beschriftungen der Verbindungen); diese Namen können Personen oder Rollen nennen. Serverseitig gespeichert: im Aktivitätsprotokoll des Prozesses nur Modellversion und Zählwerte (Elemente, Vorschläge, abgelehnte Vorschläge, Tokenverbrauch), ohne Frage, Antwort oder Diagramminhalt |
| Betroffene Personen | Nutzer mit Schreibrecht im Prozessregister, die den Berater verwenden; in Element- oder Bahnnamen genannte Personen |
| Speicherdauer | Gesprächsverlauf: nur im geöffneten Editor im Browser, keine Speicherung; keine dauerhafte Speicherung bei Anthropic; Protokolleinträge wie das Aktivitätsprotokoll des Mandanten |
| Empfänger / AV | Anthropic PBC (Claude API, USA); Protokolleinträge bei Supabase (Frankfurt) |
| Drittlandtransfer | Anthropic PBC (USA) - SCCs + DPA, Transfer Impact Assessment |
| TOM-Verweis | In allen Mandanten eingeschaltet, je Mandant abschaltbar; nur mit Schreibrecht im Prozessregister; Kontext wird im Browser aus dem geöffneten Diagramm gebaut, der Server liest das Diagramm nicht aus der Datenbank; Änderungen nur als geprüfte, zulässige Operationen mit Vorschau und Rückgängig; Tageskontingent je Mandant, bei Ausfall der Zählung gesperrt; Kennzeichnung als KI nach Art. 50 KI-Verordnung; Anthropic verwendet Eingaben vertraglich nicht zum Training |
6d. KI-gestützte Auswertung von Wünschen, Fehlermeldungen und Fragen (Produktassistent)
| Zweck | Einordnung eingereichter Tickets (Wunsch, Idee, Fehlermeldung, Frage); Umklassifizieren zwischen Fehlermeldung, Frage, Idee und Sonstigem; Antworten auf Fragen zur Bedienung ausschließlich aus eigenen Hilfetexten mit Quellenangabe; Rückfragen, Eingangsbestätigungen, Erinnerungen und Abschlussnachrichten an den Einreicher; Benachrichtigung des Einreichers über jede KI-Nachricht |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an bedarfsgerechter Produktentwicklung und zügiger Bearbeitung von Anliegen); Art. 6 Abs. 1 lit. b DSGVO, soweit Rückfrage, Antwort und Benachrichtigung der Erfüllung des Anliegens dienen |
| Datenkategorien | An Anthropic übermittelt (über das Heinzelbots-Gateway, Abrechnung über einen API-Schlüssel): Titel, Beschreibung und öffentlicher Kommentarverlauf des Tickets; bei Fehlermeldungen die gemeldete Seite; Tarif, Abo-Status, freigeschaltete Module, Rolle des Einreichers und App-Version; Mandant nur als nicht rückführbare Kennung (Präfix „T-“ und Prüfsumme). Nicht übermittelt: Name, E-Mail-Adresse, Organisationsname, Inhaltsdaten des Mandanten. Für die Benachrichtigung: E-Mail-Adresse, Anzeigename und Sprache des Einreichers (nur in der Anwendung und bei Lettermint, nicht bei Anthropic) |
| Betroffene Personen | Nutzer, die ein Ticket einreichen; im Tickettext ggf. genannte Personen |
| Speicherdauer | Ticket und Kommentare für die Dauer des Vertragsverhältnisses bzw. bis zur Löschung des Tickets; Bewertung auf dem eigenen Server in Deutschland; In-App-Meldungen nach der allgemeinen Löschfrist der Benachrichtigungen; Versandlog 90 Tage (bei Lettermint) |
| Empfänger / AV | Anthropic PBC (Claude API, USA); Letterhead B.V. (Lettermint, Amsterdam) für die Benachrichtigungs-E-Mail; Speicherung bei Supabase (Frankfurt) |
| Drittlandtransfer | Anthropic PBC (USA) - SCCs + DPA, Transfer Impact Assessment |
| TOM-Verweis | Lesender Datenbankzugang nur über eng begrenzte Funktionen der Rolle heinzelbots_ro (keine Tabellenrechte, Rückgabespalten per Vertragstest festgelegt); Rückfragen höchstens 5 je Tag und Mandant; Zusagen, Termine, Ablehnungen, Abrechnung, Konto und Sicherheitsthemen nur nach Freigabe durch einen Mitarbeiter; Kennzeichnung jeder KI-Nachricht nach Art. 50 KI-Verordnung (sichtbar und maschinenlesbar, auch in der E-Mail); E-Mail abbestellbar (Profil) und je Mandant abschaltbar; keine Art.-22-Automatik; Anthropic verwendet Eingaben vertraglich nicht zum Training |
9a. Erfolgsmessung der Anzeigen in ChatGPT
| Zweck | Feststellen, ob ein Besuch der öffentlichen Marketing-Website aus einer geschalteten Anzeige in ChatGPT stammt und ob daraus ein Abschluss geworden ist (Selbsteinschätzung, angeforderte Unterlage, Registrierung) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung über den Cookie-Banner). Ohne Einwilligung wird weder Skript noch Speichereintrag geladen |
| Datenkategorien | Seitenaufruf und Erreichen definierter Abschlusspunkte, Anzeigenkennung, technische Browserangaben. Keine Kontaktdaten — das „Advanced Matching" des Pixels, das gehashte E-Mail-Adressen übermitteln würde, wird bewusst nicht genutzt |
| Betroffene Personen | Besucher der öffentlichen Marketing-Website, die in die Marketing-Cookies eingewilligt haben |
| Speicherdauer | Speichereinträge des Pixels bis zu 24 Monate; Widerruf der Einwilligung jederzeit über „Cookie-Einstellungen", danach kein erneutes Laden |
| Empfänger | OpenAI (USA) |
| Drittlandübermittlung | USA, abgesichert durch EU-Standardvertragsklauseln. Ein Zugriff US-amerikanischer Behörden lässt sich trotz dieser Absicherung nicht vollständig ausschließen; darauf wird vor der Einwilligung hingewiesen |
| Technische und organisatorische Maßnahmen | Laden erst nach aktiver Einwilligung (kein „Consent Mode ohne Banner"); Positivliste der gemeldeten Ereignisse im Code statt pauschaler Übermittlung; Content-Security-Policy beschränkt den zulässigen Skript-Host; Deaktivierung über Umgebungsvariable ohne Deploy |
7. Datensicherung (Backup)
| Zweck | Sicherstellung der Datenintegrität und Wiederherstellbarkeit (Art. 32 DSGVO) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO |
| Datenkategorien | Verschlüsselte Spiegelung aller Mandantendaten |
| Betroffene Personen | Alle Nutzer der Plattform |
| Speicherdauer | 30 Tage rollierend |
| Empfänger / AV | Supabase (PITR-Backup, Frankfurt eu-central-1); IONOS SE (verschlüsseltes Offsite-Backup, Berlin eu-central-2) |
| Drittlandtransfer | Keiner (Speicherorte: Frankfurt + Berlin, Deutschland/EU) |
| TOM-Verweis | AES-256-Verschlüsselung, Zugangskontrolle, Restore-Tests, Object-Lock (WORM, 30 Tage) beim Offsite-Backup |
8. Microsoft-365-/Entra-Verzeichnis- und Geräte-Synchronisation (optional)
| Zweck | Übernahme von Verzeichnis-Nutzern und Geräten aus dem Microsoft-365-/Entra-Tenant des Kunden in Übergaben und Inventar, automatische Zugriffssteuerung anhand von Entra-Sicherheitsgruppen sowie Suche im Verzeichnis bei der Auswahl von Teilnehmenden für Gremium-Sitzungen und Schulungen (optional, vom Kunden aktiviert) |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Auftragsverarbeitung nach Art. 28 DSGVO (Weisung des Kunden) |
| Datenkategorien | Verzeichnis-Nutzer (Name, E-Mail, Abteilung, Position, Vorgesetzten-E-Mail, Konto-Status); Geräteinformationen aus Microsoft Intune (Gerätebezeichnung, Seriennummer, Hersteller, Modell, Betriebssystem und -version, Compliance-Status, Zuordnung); Entra-Sicherheitsgruppen und Gruppenmitgliedschaften (zur automatischen Rollen-/Zugriffsprofil-Zuweisung); optional Lizenzzuordnungen; bei der Teilnehmer-Suche abgefragt: Anzeigename, E-Mail-Adresse bzw. Anmeldename, Position, Konto-Status, Kontotyp (Mitglied/Gast) und Objekt-ID der bis zu 15 Treffer zum eingegebenen Suchbegriff |
| Betroffene Personen | Mitarbeiter des Kunden (Verzeichnis-Einträge), Gerätenutzer |
| Speicherdauer | Für die Dauer der aktivierten Integration bzw. des Vertragsverhältnisses; Aktualisierung per Sync; Löschung mit Deaktivierung/Vertragsende (+ 30 Tage Exportfrist). Teilnehmer-Suche: Treffer werden nicht gespeichert; gespeichert werden nur die ausgewählten Personen als Teilnehmende (Name, E-Mail-Adresse, Position als Rolle) mit der Aufbewahrung nach Nr. 2 |
| Empfänger / AV | Supabase (Speicherung, Frankfurt). Microsoft 365 / Entra: Datenquelle des Kunden (kein Auftragsverarbeiter von Opspect) |
| Drittlandtransfer | Speicherung in der EU (Frankfurt). Datenbezug aus dem Microsoft-Tenant des Kunden |
| TOM-Verweis | RLS, Multi-Tenancy-Isolation, Verschlüsselung; Zugriff nur mit Administrator-Zustimmung des Kunden; Teilnehmer-Suche nur serverseitig über die bestehende Berechtigung (keine zusätzliche), nur für Personen mit Schreibrecht im jeweiligen Modul, nicht in der Supportsitzung, mit Begrenzung der Anfragen |
9. Reichweitenmessung der öffentlichen Marketing-Website (cookielos)
| Zweck | Aggregierte, cookielose Reichweitenmessung der öffentlichen Marketing-Website (opspect.de) zur bedarfsgerechten Gestaltung und Optimierung des Webauftritts |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung des Webauftritts) |
| Datenkategorien | Aggregierte Nutzungsstatistiken ohne personenbezogene Profile (z. B. Seitenaufrufe, Besucherzahl, Absprungrate, ungefähre Herkunftsregion, Gerätetyp); keine Cookies, kein geräteübergreifendes Tracking |
| Betroffene Personen | Besucher der öffentlichen Marketing-Website |
| Speicherdauer | Nur aggregierte Statistiken; keine Speicherung personenbezogener Einzelprofile |
| Empfänger / AV | Google Ireland Limited (Dublin, Irland) für Google Analytics 4 — nur nach Einwilligung; zusätzlich Vercel Web Analytics (cookielos, siehe Nr. 2) |
| Drittlandtransfer | Google LLC (USA) moeglich - EU-U.S. Data Privacy Framework + SCCs; Vercel Inc. (USA) - SCCs |
| TOM-Verweis | Erhebung erst nach aktiver Einwilligung (Consent Mode v2, Vorbelegung „denied"), IP-Kuerzung durch Google, keine Zusammenfuehrung mit Plattformdaten, kein Tracking im eingeloggten Bereich |
10. NIS-2-Check auf der öffentlichen Website
| Zweck | Versand des angeforderten Ergebnisses der NIS-2-Selbsteinschätzung als PDF per E-Mail; mit gesonderter Einwilligung und deren Bestätigung per Link (Double-Opt-in) eine einmalige Informations-E-Mail; Missbrauchsschutz des Formulars |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Ergebnisversand auf Anfrage); Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 UWG (Informations-E-Mail); Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz) |
| Datenkategorien | E-Mail-Adresse, Antworten und Ergebnis, Sprache, Kampagnenangaben (UTM), Einwilligung ja/nein samt Zeitpunkt der Bestätigung, gekürzter User-Agent, HMAC-Prüfsumme der IP-Adresse |
| Betroffene Personen | Besucher der Website, die das Ergebnis anfordern |
| Speicherdauer | 24 Monate nach der Anfrage (automatische Löschung per Cron) |
| Empfänger / AV | Supabase (Frankfurt) für die Speicherung; Letterhead B.V. (Lettermint, Amsterdam) für den Versand |
| Drittlandtransfer | keiner |
| TOM-Verweis | Keine Klartext-IP; Ratenbegrenzung; Honeypot; Same-Origin-Prüfung; Tabelle ohne Data-API-Policies (nur Server-Zugriff); Informations-E-Mail erst nach Bestätigung des Links in der Ergebnis-Mail; Abmeldelink in jeder Informations-E-Mail |
11. Bewerbungen als Partner
| Zweck | Prüfung von Partnerbewerbungen und Kontaktaufnahme |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen); Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz) |
| Datenkategorien | Firmenname, Name der Ansprechperson, E-Mail-Adresse, optional Telefon, Anschrift, Zielkunden, Nachricht, Prüfsumme der IP-Adresse, User-Agent |
| Betroffene Personen | Ansprechpersonen bewerbender Unternehmen |
| Speicherdauer | Unbearbeitet 90 Tage nach Eingang; angenommen oder abgelehnt 180 Tage nach der Entscheidung (automatische Löschung per Cron); bei Partnerschaft für die Vertragsdauer |
| Empfänger / AV | Supabase (Frankfurt); Letterhead B.V. (Lettermint, Amsterdam) für die Eingangsbestätigung |
| Drittlandtransfer | keiner |
| TOM-Verweis | Ratenbegrenzung; Prüfung nur durch Plattformadministratoren |
12. Betreuung durch Opspect-Partner und Provisionsabrechnung
| Zweck | Betreuung zugeordneter Kunden durch den Partner; Berechnung und Auszahlung der Provision |
|---|---|
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO; für Angaben aus dem Kundenkonto Weisung des Kunden (AGB § 9a Abs. 3); Provisionsabrechnung Art. 6 Abs. 1 lit. b und c DSGVO |
| Datenkategorien | Name der Organisation, Tarif, Abo- und Teststatus, freigeschaltete Funktionen; Name, E-Mail und letzte Anmeldung des ersten Administrators; Anzahl Mitglieder, Einladungen, gesperrte Konten, Assets, Standorte, Aufträge; Aktivitäten je Tag ohne Personenbezug; partnerbezogene Ereignisse; Rechnungsbeträge und Provision |
| Betroffene Personen | Administratoren und Mitglieder zugeordneter Kundenorganisationen; Ansprechpersonen der Partner |
| Speicherdauer | Bereitstellung bis zum Ende der Zuordnung; Abrechnungsbelege nach gesetzlicher Frist (8 Jahre) |
| Empfänger / AV | Der zugeordnete Partner (eigener Empfänger, kein Auftragsverarbeiter von Opspect); Stripe für Auszahlungen |
| Drittlandtransfer | Stripe, Inc. (USA) - SCCs + DPA |
| TOM-Verweis | Inhaltsdaten nur nach Freigabe des Kunden (RLS); Freigabe jederzeit widerrufbar; Zugriffe des Partners im Aktivitätsprotokoll des Kunden |
Anlage: Übersicht Auftragsverarbeiter
| AV | Zweck | Sitz | Datenschutzgarantie |
|---|---|---|---|
| Supabase, Inc. | Datenbank (PostgreSQL) | Frankfurt (EU); Anbieter Sitz USA | EU-Datenresidenz; SCCs vorsorglich + AVV |
| Vercel, Inc. | Hosting / CDN; cookielose Reichweitenmessung (Vercel Web Analytics) | USA / EU | SCCs + DPA |
| Stripe, Inc. | Zahlungsabwicklung | USA / EU | SCCs + DPA |
| Letterhead B.V. (Lettermint) | Transaktions-E-Mails, inkl. Übergabeprotokoll-Versand sowie Bestätigung und interne Meldung einer Kontaktanfrage aus dem Besucher-Chat (Nr. 6b) | NL (EU) | AVV |
| OpenAI | Erfolgsmessung der ChatGPT-Anzeigen (Pixel oaiq), nur nach Einwilligung; ohne Kontaktdaten | USA | SCCs + DPA |
| IONOS SE | Verschlüsseltes Offsite-Backup (WORM) | Berlin, Deutschland (EU) | EU-intern, kein Drittland |
| Anthropic, PBC | KI-Navigation (API), optionaler KI-Dokument-Import (Auswertung hochgeladener Datei-Inhalte), KI-Assistent auf der öffentlichen Website (Nr. 6b) sowie KI-Berater im Prozess-Editor (Nr. 6c) | USA | SCCs + DPA |
| Sentry (Functional Software) | Fehlermonitoring | USA / EU-Region | SCCs + DPA |
| Google Ireland Limited | Reichweitenmessung der öffentlichen Marketing-Website (Google Analytics 4) — nur nach Einwilligung | Dublin, Irland (EU) | Google Ads Data Processing Terms; DPF + SCCs bei Übermittlung an Google LLC (USA) |
Microsoft (Microsoft 365 / Entra ID) ist bei der Anmeldung über Microsoft und der optionalen Verzeichnis-/Geräte-Synchronisation Datenquelle bzw. der vom Kunden betriebene Identitätsanbieter und kein Auftragsverarbeiter von Opspect; Microsoft ist daher in dieser Übersicht nicht aufgeführt.
Dieses Verarbeitungsverzeichnis wird mindestens jährlich überprüft und bei wesentlichen Änderungen aktualisiert.
Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen | Stand: Oktober 2026