Stand: 20. August 2026
Dieser Text beschreibt die technisch tatsächlich eingesetzten Dienste und Datenflüsse von Pflichtpilot wahrheitsgemäß (Stand siehe oben). Firmenname und Anschrift sind bewusst als Musterdaten (Max Mustermann-Konvention) gehalten und werden vor dem Live-Gang durch die echten Angaben der betreibenden Rechtseinheit ersetzt – siehe Impressum.
Pflichtpilot GmbH (Muster)
Musterstraße 1, 00000 Musterstadt, Deutschland
Vertreten durch: Max Mustermann (Geschäftsführung)
E-Mail: pflichtpilot@x-ren.com
Vollständige Angaben: siehe Impressum.
Ein:e Datenschutzbeauftragte:r ist nicht bestellt, da nach Art. 37 DSGVO / § 38 BDSG bei unserer Unternehmensgröße (Kleinstunternehmen, unter 20 Personen mit automatisierter Datenverarbeitung als Kerntätigkeit) keine Bestellpflicht besteht. Für Datenschutzanfragen nutzen Sie bitte den Kontakt in Abschnitt 11.
Pflichtpilot verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen – das ist wichtig, damit Sie wissen, welcher Teil dieser Erklärung für welche Daten gilt:
| Wessen Daten | Beispiel | Rolle von Pflichtpilot |
|---|---|---|
| Ihre eigenen Konto-/Firmendaten | Ihre E-Mail-Adresse, Ihr Firmenname, Ihre Compliance-Angaben aus dem Fragebogen | Verantwortlicher im Sinne der DSGVO – diese Datenschutzerklärung deckt diese Verarbeitung vollständig ab. |
| Daten Dritter, die Sie selbst eintragen | Namen/E-Mail-Adressen Ihrer Team-Mitglieder, Kontaktdaten Ihrer Zulieferer | Auftragsverarbeiter für Sie als Verantwortliche:n dieser Daten – geregelt in unserem separaten Auftragsverarbeitungsvertrag (AVV), den Sie als registrierte:r Kund:in mit uns abschließen. Für die Rechtmäßigkeit der Erhebung dieser Daten (z. B. Information Ihrer Mitarbeitenden) sind Sie selbst verantwortlich. |
Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist. Rechtsgrundlage ist je nach Verarbeitung Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung/vorvertragliche Maßnahmen) oder lit. f DSGVO (berechtigtes Interesse).
Diese Liste bildet die tatsächlichen Datenkategorien in unserer Datenbank ab, nicht nur beispielhaft:
| Datenkategorie | Konkrete Felder | Woher |
|---|---|---|
| Konto-/Login-Daten | E-Mail-Adresse, verschlüsseltes Passwort, Firmenname, gewählter Tarif, Rechts-Land | Registrierung, Profil-Seite |
| Betroffenheits-Check (vor Registrierung) | Name, E-Mail, Unternehmen, Telefon (optional), Branche/Sektor, Mitarbeitendenzahl, Umsatz, Bilanzsumme | Kostenloser Check auf der öffentlichen Website |
| Compliance-Fragebogen (Firmenprofil) | Firmenname, Branche, Mitarbeitendenzahl, Datenschutzbeauftragte:r, Tätigkeiten, technische/organisatorische Maßnahmen, Sektor, Umsatz, Bilanzsumme, Standorte, Incident-Verantwortlichkeiten, verantwortliche Person | Von Ihnen im Fragebogen eingegeben |
| Änderungshistorie | Unveränderlicher Snapshot jeder bestätigten Fragebogen-Einreichung inkl. Zeitstempel und bestätigender Person | Automatisch bei jeder Bestätigung |
| Team-Mitglieder (Daten Dritter, s. Abschnitt 2) | Vorname, Nachname, E-Mail-Adresse, Funktion, Schulungs-Zuweisungen und -Ergebnisse | Von Ihnen im Team-Tab eingetragen |
| Zulieferer-Daten (Daten Dritter, s. Abschnitt 2) | Firmenname, Ansprechpartner:in (Vor-/Nachname, E-Mail, Telefon, Titel/Rolle), Antworten auf den Sicherheits-Selbstauskunfts-Fragebogen | Von Ihnen bzw. dem Zulieferer selbst über den personalisierten Link eingetragen |
| Nutzungs-/Zugriffsdaten | IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite (technisch durch Vercel/Supabase, nicht durch eigenes Tracking) | Automatisch bei jedem Seitenaufruf |
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung des Kundenkontos und der Compliance-Auswertung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Kostenloser Betroffenheits-Check | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. lit. a (Einwilligung, Checkbox im Formular) |
| Versand von Schulungs-/Zulieferer-Einladungslinks per E-Mail | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Auftrag der Kund:in), Art. 6 Abs. 1 lit. f (berechtigtes Interesse an Geschäftsorganisation der Kund:in) |
| Bereitstellung der Änderungshistorie/des Audit-Trails | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachweisbarkeit gegenüber Behörden/Auditoren) und Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Nachweispflichten, soweit die Kund:in solchen unterliegt) |
| Sicherheit und Missbrauchsschutz (z. B. Zugriffsprotokolle) | Art. 6 Abs. 1 lit. f DSGVO |
| Reaktion auf Kontaktanfragen | Art. 6 Abs. 1 lit. b, f DSGVO |
Für den Betrieb der Plattform setzen wir folgende Auftragsverarbeiter ein. Eine vollständige, laufend aktuell gehaltene Fassung dieser Liste inklusive direkter Links zu den jeweiligen DPA-Dokumenten finden Sie außerdem unter Eingesetzte Auftragsverarbeiter.
| Anbieter | Zweck | Vertragsentity / Verarbeitungsort | Übermittlungsgrundlage |
|---|---|---|---|
| Supabase | Datenbank & Nutzer-Login (Authentifizierung) | Supabase Pte. Ltd., 65 Chulia Street, #38-02/03, OCBC Centre, Singapur 049513 (Vertragsentity); Hosting Ihrer Daten in Frankfurt, Deutschland (Region eu-central-1) | EU-Standardvertragsklauseln (SCC, irisches Recht) – Singapur hat keinen EU-Angemessenheitsbeschluss, ein DPF-Verweis ist hier nicht möglich. SCC gelten automatisch mit Vertragsschluss. DPA (Stand 01.06.2026). |
| Vercel | Hosting/Auslieferung der Website und der serverseitigen Funktionen | Vercel Inc., Delaware, USA; primäre Verarbeitung laut Vercel-Vertragstext in den USA | SCC + UK IDTA im Rahmen von Vercels Standard-DPA für Pro-/Enterprise-Kund:innen. Dieser Dienst wird auf dem Vercel-Pro-Tarif betrieben, sodass der Standard-DPA gilt und automatisch mit Vertragsschluss bindend ist. DPA (Stand 17.03.2026, wirksam ab 31.03.2026), Sub-Processor-Liste (siehe auch Sub-Processor-Liste dieser Seite). |
| Resend | Versand von Transaktions-E-Mails (Bestätigungen, Einladungslinks, Erinnerungen) | Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114 | DPF-zertifiziert, zusätzlich SCC als Rückfallebene. Automatisch bindend mit Vertragsschluss. DPA (Stand 31.12.2025), Sub-Processor-Liste. |
| Backblaze B2 | Speicherung & Auslieferung von Schulungsvideos. Ihr Browser lädt das Video über eine zeitlich befristete, signierte URL direkt von Backblaze herunter, wobei zwangsläufig Ihre IP-Adresse an Backblaze übermittelt wird. | Backblaze, Inc., 201 Baldwin Ave, San Mateo, CA 94401, USA; Speicherung der Videodateien selbst in der EU-Region eu-central-003 (Amsterdam, Niederlande) | EU-Standardvertragsklauseln (SCC). DPA, Sub-Processor-Liste (siehe auch Sub-Processor-Liste dieser Seite). |
Cloudflare wird ausschließlich auf
Domain-Ebene (DNS, E-Mail-Routing für x-ren.com) eingesetzt und erhält
dabei keinen Zugriff auf Ihre in Pflichtpilot gespeicherten Inhalte. Übermittlungsgrundlage:
EU-Standardvertragsklauseln. DPA (Version 6.4, wirksam ab
03.04.2026), Sub-Processor-Liste.
Uns ist bewusst, dass das EU-US Data Privacy Framework (DPF), auf das sich Resend zusätzlich zu den Standardvertragsklauseln stützt, rechtlich angefochten wird. Die Angemessenheitsentscheidung der EU-Kommission wurde vom Europäischen Gericht im September 2025 bestätigt, eine Berufung ist beim Europäischen Gerichtshof anhängig (Rechtssache C-703/25 P); zusätzlich hat die Organisation noyb (Max Schrems) eine weitere rechtliche Prüfung angekündigt. Für den Fall, dass das DPF künftig angepasst oder für ungültig erklärt wird, stützen wir die Übermittlung an alle betroffenen Anbieter zusätzlich auf Standardvertragsklauseln als Rückfallebene und beobachten die Rechtsentwicklung, um unsere Übermittlungsgrundlage bei Bedarf zeitnah anzupassen.
Ihre Konto- und Compliance-Daten speichern wir, solange Ihr Konto besteht. Sie können Ihre erfassten Compliance-Angaben (Fragebogen, Team, Verlauf, Einstufung) jederzeit selbst über Ihr Konto (Profil & Zurücksetzen) unwiderruflich löschen – ohne dafür bei uns anfragen zu müssen. Nach einer vollständigen Konto-Löschung (auf Anfrage, siehe Abschnitt 11) löschen wir Ihre Daten innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zugriffsprotokolle unserer Hosting-Anbieter werden nach deren jeweils üblichen, kurzen Fristen (typischerweise wenige Wochen) automatisch gelöscht.
Wir verwenden ausschließlich technisch notwendige Cookies (z. B. zur Speicherung Ihrer Cookie-Einwilligung und Ihrer Anmeldesitzung). Für diese ist keine Einwilligung erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TTDSG). Wir setzen aktuell keine Analyse-, Marketing- oder Tracking-Cookies ein. Sollte sich das künftig ändern, holen wir vorab Ihre granulare, jederzeit widerrufbare Einwilligung über den Cookie-Banner ein.
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Als eingeloggte:r Kund:in können Sie Ihr Auskunftsrecht außerdem direkt über einen Selbstbedienungs-Export in Ihrem Profil ausüben. Ihnen steht zudem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu, z. B. bei der für den Sitz der Pflichtpilot GmbH (Muster) zuständigen Landesdatenschutzbehörde.
Für Anfragen zum Datenschutz, einschließlich Löschanfragen zu Ihrem gesamten Konto: pflichtpilot@x-ren.com