Datenschutzerklärung

Information nach Art. 13 und 14 DSGVO für die Anwendung NORMKOMPASS, Instanz demo. Stand: 1. September 2026.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt; die gesetzlichen Schwellen (Art. 37 DSGVO, § 38 BDSG) sind nicht erreicht.

Wird diese Instanz für ein Unternehmen betrieben, das die Anwendung als Kunde nutzt, ist dieses Unternehmen für die von ihm eingetragenen Daten seiner Beschäftigten und Besucher der Verantwortliche; der oben genannte Anbieter handelt dann als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Für Vorführinstanzen mit erfundenen Beispieldaten ist der Anbieter selbst Verantwortlicher.

2. Was die Anwendung ist

NORMKOMPASS ist eine Web-Anwendung für das Managementsystem eines Unternehmens (Qualität, Arbeitsschutz, Umwelt). Sie ist nur für angemeldete Personen bestimmt. Die einzige Seite für nicht angemeldete Besucher ist die Besucher-Unterweisung unter /gast/ (Abschnitt 8).

3. Woher die Daten stammen

Die meisten personenbezogenen Daten in der Anwendung geben nicht die betroffenen Personen selbst ein, sondern das nutzende Unternehmen: Es legt Benutzerkonten an und trägt Beschäftigte mit Name, Funktion, Bereich und Qualifikationen ein, damit Unterweisungen, Maßnahmen und Verantwortlichkeiten zugeordnet werden können (Art. 14 DSGVO). Kategorien sind Stammdaten (Name, Funktion, Bereich, E-Mail-Adresse), Qualifikations- und Unterweisungsdaten sowie, im Verbandbuch und in Unfallmeldungen, Angaben zu Verletzungen. Für diese Daten ist das Unternehmen der Verantwortliche (Abschnitt 1); der Anbieter erhält sie als Auftragsverarbeiter.

4. Hosting und Zugriffsprotokoll des Webservers

Die Anwendung läuft auf einem Server der netcup GmbH, Karlsruhe, im Rechenzentrum Nürnberg (Deutschland). Mit netcup besteht ein Auftragsverarbeitungsvertrag.

Bei jedem Aufruf speichert der Webserver ein Zugriffsprotokoll mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, Antwortstatus und Browserkennung. Zweck ist der sichere Betrieb und die Fehlersuche (Art. 6 Abs. 1 Buchst. f DSGVO). Das Zugriffsprotokoll des Webservers wird täglich abgelegt und nach 14 Tagen gelöscht. Davon zu unterscheiden ist das Handlungsprotokoll der Anwendung (Abschnitt 7), das nicht gelöscht wird.

5. Cookies und Speicher im Endgerät

Die Anwendung verwendet nur technisch notwendige Cookies und Speicher im Browser (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; es gibt keine Werbe-, Analyse- oder Tracking-Cookies und keine Einbindung fremder Dienste.

6. Benutzerkonto und Anmeldung

Für angemeldete Personen verarbeiten wir: Benutzername, Name, E-Mail-Adresse, Kennwort (nur als Hash), Geheimnis des zweiten Faktors, Rolle und Mandant, Zeitpunkt und IP-Adresse der letzten Anmeldung sowie fehlgeschlagene Anmeldeversuche mit IP-Adresse. Nach fünf Fehlversuchen wird das Konto für 15 Minuten gesperrt. Fehlgeschlagene Anmeldeversuche werden mit IP-Adresse in das Handlungsprotokoll geschrieben und dort nicht gelöscht (Abschnitt 7).

Rechtsgrundlage ist die Nutzungsvereinbarung mit dem Unternehmen, das die Instanz einsetzt (Art. 6 Abs. 1 Buchst. b DSGVO), für die Sperrmechanik und das Protokoll das berechtigte Interesse an einem sicheren, nachvollziehbaren Betrieb (Buchst. f). Konten werden vom Betreiber der Instanz angelegt; Sie erhalten dann eine E-Mail zum Setzen Ihres Kennworts.

7. Inhalte, Historie und Handlungsprotokoll

Alles, was in der Anwendung eingetragen wird (Dokumente, Maßnahmen, Gefährdungsbeurteilungen, Unterweisungen, Anhänge), wird mit Zeitpunkt und handelnder Person versioniert. Diese Objekthistorie und das Handlungsprotokoll sind nachträglich nicht veränderbar und werden nicht gelöscht; das ist die Nachweisfunktion eines Managementsystems (Art. 6 Abs. 1 Buchst. c und f DSGVO, gesetzliche Aufbewahrungspflichten im Arbeitsschutz). Für die übrigen Datenarten (etwa Besucherdaten, Sicherungen, Unfallmeldungen) legt das nutzende Unternehmen die Löschfristen in der Anwendung fest; Voreinstellungen sind hinterlegt.

8. Besucher-Unterweisung (Gast-Seite)

Besucher eines Betriebs können sich über einen Zugangscode ohne Konto unterweisen lassen. Gespeichert werden Name, Firma, gewählte Sprache, Zeitpunkt und Gültigkeit der Unterweisung, die Bestätigung des Empfangs, das Antwortprotokoll der Wissensabfrage (Einzelantworten, Versuch, Zeitpunkt) und das erzeugte Zertifikat. Nach Ablauf der Unterweisung plus einer vom Unternehmen eingestellten Frist (Voreinstellung 12 Monate) werden Name und Firma pseudonymisiert; der Nachweis der Unterweisung bleibt erhalten. Die konkreten Fristen zeigt die Gast-Seite selbst an. E-Mail-Adresse (freiwillig): Besucher können eine E-Mail-Adresse angeben, um das Zertifikat per E-Mail zu erhalten. Zweck ist allein der Versand des Zertifikats. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO), die Sie durch ein Ankreuzfeld erteilen; ohne Adresse und ohne Häkchen wird nichts gesendet, das Zertifikat bleibt als PDF-Datei abrufbar. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, durch Mitteilung an den Verantwortlichen (Adresse oben); die Adresse wird dann gelöscht. Gespeichert werden die Adresse und der Zeitpunkt der Einwilligung; beides wird spätestens 365 Tage nach Abschluss der Unterweisung (Voreinstellung, das Unternehmen kann sie ändern) gelöscht, bei Widerruf sofort. Zur Abwehr von Missbrauch werden Fehlversuche beim Zugangscode kurzzeitig je IP-Adresse gezählt (Art. 6 Abs. 1 Buchst. f DSGVO).

9. E-Mail-Versand

Systemmails (Kennwort setzen, Kennwort vergessen, Benachrichtigungen) versendet die Anwendung über den Dienst Brevo (Sendinblue SAS, Paris, Frankreich) als Auftragsverarbeiter innerhalb der EU. Übermittelt werden Empfängeradresse, Betreff und Inhalt der Nachricht. Der Dienst fügt Systemmails technisch eine Zustell- und Öffnungsmessung bei, die wir nicht auswerten.

Über denselben Dienst wird auf Wunsch eines Besuchers das Zertifikat der Besucher-Unterweisung versendet (Mailart „Zertifikat“, freiwillig und nur mit Einwilligung, siehe Abschnitt 8); das Versandprotokoll enthält keine Adresse.

Ihre Korrespondenz mit uns (Anfragen an die oben genannten Adressen) läuft über Postfächer bei mailbox.org (Heinlein Hosting GmbH, Berlin) als Auftragsverarbeiter.

10. Sicherungen

Die Datenbank und die Anhänge werden täglich verschlüsselt gesichert. Die Sicherungen liegen auf dem Server und werden zusätzlich auf einen Rechner des Anbieters in Deutschland übertragen. Sicherungen werden spätestens nach 180 Tagen überschrieben; gelöschte Inhalte verschwinden mit diesem Fenster auch aus den Sicherungen.

11. Empfänger und Drittländer

Empfänger personenbezogener Daten sind die genannten Auftragsverarbeiter (netcup, Brevo, mailbox.org) und, soweit die Instanz für ein Unternehmen betrieben wird, dieses Unternehmen. Server und Postfächer stehen in Deutschland, der Mailversand läuft in Frankreich; eine Übermittlung in Länder außerhalb der EU ist nicht vorgesehen. Es gibt keine automatisierten Entscheidungen im Einzelfall und kein Profiling.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an die oben genannte Adresse für Datenschutzanfragen. Ist ein Unternehmen der Verantwortliche (Abschnitt 1), leiten wir Ihre Anfrage dorthin weiter.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig für den Anbieter ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, www.ldi.nrw.de.

13. Änderungen

Diese Erklärung wird angepasst, wenn sich die Anwendung oder die Dienstleister ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung.