Datenschutzerklärung
Stand: Oktober 2026
1. Verantwortlicher
Lovis Görg, Visible Scale, E-Mail info@visiblescale.com, Telefon +49 1575 6769001. Die Anschrift steht im Impressum. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nach unserer Einschätzung nicht gesetzlich vorgeschrieben (Offen für die Fachperson). Bei Fragen zum Datenschutz schreiben Sie an die E-Mail-Adresse oben.
Nutzen Sie die Anwendung im Auftrag Ihres Unternehmens (Pilot oder Betrieb), ist Ihr Unternehmen für die Dokumente und Vorgänge verantwortlich, und wir verarbeiten sie als Auftragsverarbeiter nach dem Vertrag mit Ihrem Unternehmen. Für Ihr Konto und die Anmeldung bleiben wir verantwortlich.
2. Was wir verarbeiten, wozu und auf welcher Grundlage
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Testzugang bereitstellen: Konto anlegen, Code einlösen, Anwendung nutzen | Name, E-Mail, Firma, Rolle, Einladungscode, Beispieldaten und Ihre Eingaben im Test | Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen, der kostenlose Test ist ein Nutzungsvertrag) |
| Anmeldung per Einmal-Code | E-Mail, Einmal-Code (nur als Hash, 10 Minuten gültig), Zeitpunkt, IP-Adresse nur als Hash (verknüpft mit dem Code und, nach einer erfolgreichen Anmeldung, als Merkmal "bekanntes Netz"), Sitzung (Kennung nur als Hash) | Art. 6 Abs. 1 lit. b DSGVO, für die Sicherheit Art. 6 Abs. 1 lit. f DSGVO |
| Sicherheit und Schutz vor Missbrauch: Ratenbegrenzung, Fehlersuche | IP-Adresse (für die Ratenbegrenzung als Hash), Fehlerprotokolle ohne Inhalte | Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: Betrieb und Sicherheit der Anwendung |
| Protokoll der Handlungen in der Anwendung (wer hat wann was freigegeben) | Nutzer-ID, Aktion, Zeitpunkt, Prüfsumme, kein Klartext | Art. 6 Abs. 1 lit. b DSGVO und lit. f DSGVO (Nachvollziehbarkeit) |
| Support, wenn Sie uns bitten, in Ihren Mandanten zu schauen | der betroffene Vorgang, Grund des Zugriffs | Ihre Freigabe, Art. 6 Abs. 1 lit. b DSGVO. Jeder Zugriff wird protokolliert |
| Antwort auf Ihre Anfragen per E-Mail | E-Mail-Adresse, Inhalt Ihrer Nachricht | Art. 6 Abs. 1 lit. b oder lit. f DSGVO |
| Dokumente und Vorgänge im Pilot | siehe Vertrag zur Auftragsverarbeitung | Verantwortlicher ist Ihr Unternehmen |
Die Bereitstellung der Daten für den Testzugang ist für den Vertrag erforderlich. Ohne sie können wir den Zugang nicht einrichten (Art. 13 Abs. 2 lit. e DSGVO).
Im Testzugang laden Sie bitte keine Patienten- oder Gesundheitsdaten und keine Dokumente mit personenbezogenen Daten Dritter hoch. Die Anwendung soll Uploads mit typischen Mustern (zum Beispiel einer Krankenversichertennummer) zurückweisen [geplant, VIS-509; Satz erst veröffentlichen, wenn die Vorprüfung läuft]. Rechtsgrundlage für Gesundheitsdaten gibt es in diesem Testzugang nicht.
3. KI-Verarbeitung
Die Anwendung nutzt ein KI-Modell (Claude) über Amazon Bedrock in einer EU-Region (Frankfurt, EU-Inferenzprofil). Ihre Eingaben werden für die Antwort an das Modell gesendet und dort nicht gespeichert (Speichermodus "none"), Modellanbieter haben keinen Zugriff auf Eingaben und Antworten (https://docs.aws.amazon.com/bedrock/latest/userguide/data-protection.html). Die KI erzeugt Vorschläge. Jede Entscheidung trifft ein Mensch. Eine automatisierte Entscheidung mit rechtlicher Wirkung für Sie findet nicht statt (Art. 22 DSGVO, Art. 13 Abs. 2 lit. f DSGVO). Vorschläge der KI sind in der Anwendung als "KI-Vorschlag" gekennzeichnet [noch nicht gebaut, die Oberfläche sagt heute "Vorschlag"; vor Veröffentlichung gegen die Oberfläche prüfen]. Offen für die Fachperson: Prüfung KI-Verordnung Art. 4 und Art. 50 (VIS-517).
4. Empfänger und Drittländer
- Amazon Web Services EMEA SARL (Luxemburg) als unser Auftragsverarbeiter: Rechenzentrum in Frankfurt (eu-central-1) für Datenbank, Dateien, Anwendung, E-Mail-Versand und -Eingang, Texterkennung, KI und Sicherungen. Die Sicherungskopie liegt in Irland (eu-west-1). Die Daten bleiben in der Europäischen Union. Eine Übermittlung in ein Drittland findet nach unserer Konfiguration nicht statt. Rechtsgrundlage der Zusammenarbeit ist der AWS-Vertrag zur Auftragsverarbeitung (https://d1.awsstatic.com/legal/aws-gdpr/AWS_GDPR_DPA.pdf). Amazon ist ein Konzern mit Sitz in den USA, offen für die Fachperson ist, ob dieser Hinweis genügt.
- Vercel wird nur für Vorschauen von Programmänderungen genutzt und erhält keine Daten aus der Anwendung.
- Keine Weitergabe an Werbe- oder Analysedienste. Wir setzen keine Analyse- und Tracking-Werkzeuge ein.
Dritte, die Ihr Unternehmen an die Anwendung anbindet (zum Beispiel KI-Anbieter über MCP), sind nicht unsere Empfänger. Der MCP-Zugang ist noch nicht verfügbar.
5. Cookies und ähnliche Technik
Wir speichern nur das, was für die Anmeldung und den Betrieb unbedingt erforderlich ist (Sitzung, Sicherheitsmerkmal). Das ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig (https://www.gesetze-im-internet.de/ttdsg/__25.html, geprüft 16.10.2026). Es gibt keinen Cookie-Banner, weil es keine einwilligungspflichtigen Cookies gibt. Wir laden keine Schriften, Skripte oder Bilder von fremden Servern (vor dem Start gegen den Build zu prüfen, Offen).
6. Speicherdauer
Konto und Login-Daten: bis zum Ende des Zugangs. Beim Testzugang 14 Tage Laufzeit, Löschung 7 Tage nach Ablauf. Einmal-Codes und Sitzungen: gelöscht ab 24 Stunden nach ihrem Ablauf, mit der nächsten Anmeldung in der Anwendung (Code nach 10 Minuten, Sitzung nach 8 Stunden ungültig). Merkmal "bekanntes Netz" (Hash aus E-Mail und IP-Adresse): 30 Tage. In der Datenbank speichern wir die IP-Adresse nicht im Klartext. Anwendungs- und Fehlerprotokolle: 30 Tage. Rate-Limit-Speicher: 24 Stunden. Protokoll der Handlungen: [24 Monate, offen, siehe loeschfristen.md]. Sicherungen: höchstens 35 Tage, gelöschte Daten bleiben bis dahin dort. Vollständige Tabelle: loeschfristen.md.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Soweit wir keine Einwilligung einholen, gibt es nichts zu widerrufen. Eine formlose Nachricht an info@visiblescale.com genügt. Bei Daten Ihres Unternehmens wenden Sie sich zuerst an Ihr Unternehmen.
8. Beschwerde
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Postfach 20 04 44, 40102 Düsseldorf
Telefon +49 211 38424-0, E-Mail poststelle@ldi.nrw.de, https://www.ldi.nrw.de (Anschrift geprüft am 16.10.2026 auf https://www.ldi.nrw.de/kontakt)
9. Keine Aufzeichnung von Gesprächen
Wir zeichnen Gespräche mit Interessenten und Kunden nicht auf und lassen sie nicht transkribieren.
10. Änderungen
Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt der Stand oben.