Datenschutzerklärung

1. Verantwortlicher

[BETREIBER-NAME]
[ANSCHRIFT]
E-Mail: [DATENSCHUTZ-KONTAKT — E-Mail]

2. Überblick über die Verarbeitung

diempuprofis.de ist eine Plattform für MPU-Berater (SaaS-Verwaltungssoftware) mit öffentlichem Auftritt (Beraterverzeichnis, Ratgeber, Forum) und einem eingeschränkten Klientenportal. Je nach Rolle verarbeiten wir unterschiedliche Daten:

• Berater: Account, Profil/Kanzlei-Stammdaten, Abo (Stripe), Klienten-CRM, Termine, Beratungsdokumentation, Dokumente, Rechnungen, Einstellungen, Audit-Protokoll
• Klienten (Portal): Zugang nur nach Einladung; sichtbar sind ausschließlich vom Berater freigegebene Termine und Dokumente sowie Portal-Nachrichten
• Besucher: Kontaktanfragen, Forum (Lesen öffentlich; Schreiben nur Berater), technische Protokolldaten

3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Im Rahmen der MPU-Beratung können Gesundheitsdaten und Daten zu Suchtverhalten, Strafverfahren und Fahreignung verarbeitet werden (z. B. in Notizen, Sitzungsdokumentation, Klientenbeschreibungen, hochgeladenen Gutachten und Abstinenznachweisen).

Rechtsgrundlage: In der Regel Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) — erfasst in der App über die Einwilligungsverwaltung pro Klient. Der Berater ist für die Einholung und Dokumentation der Einwillung gegenüber seinem Klienten verantwortlich.

Technische Schutzmaßnahmen:

• Application-Level-Verschlüsselung sensibler Freitextfelder (AES-256-GCM, serverseitig)
• Row Level Security (RLS) in der Datenbank — strikte Berater-Isolation
• Serverseitige Berechtigungsprüfung vor jeder Datenoperation
• Klientenportal: kein direkter Datenzugriff auf interne Felder (Notizen, Sitzungen)
• Signierte, kurzlebige URLs für Dokumenten-Downloads

4. Hosting & Infrastruktur

4.1 Web-Anwendung (Vercel)

Die Next.js-Anwendung wird bei Vercel Inc. gehostet. Beim Aufruf werden Server-Logdaten (IP-Adresse, Zeitstempel, User-Agent, angeforderte URL) verarbeitet. AVV erforderlich: [Vercel AVV — Adresse laut Vertrag]

4.2 Datenbank, Authentifizierung & Dateispeicher (Supabase)

PostgreSQL-Datenbank, Supabase Auth (Session/JWT) und Storage-Buckets (Klientendokumente, Kanzlei-Logos, DSGVO-Exporte) werden über Supabase betrieben — Region Frankfurt (eu-central-1), soweit im Projekt konfiguriert. AVV erforderlich: [Supabase AVV — Adresse laut Vertrag]

5. Zahlungsabwicklung (Stripe)

Für Berater-Abonnements nutzen wir Stripe Payments Europe Ltd. Stripe verarbeitet Zahlungsdaten (z. B. Karteninformationen) direkt auf den Stripe-Servern; wir speichern keine vollständigen Kartendaten. AVV: [Stripe AVV — Adresse laut Vertrag]

6. E-Mail-Versand (Resend)

Transaktions-E-Mails (Willkommen, Terminerinnerungen, Portal-Einladungen, Passwort-Reset über Supabase Auth) werden über Resend versendet. AVV: [Resend AVV — Adresse laut Vertrag]

7. Cookies, Session-Speicher & localStorage

Wir setzen keine Marketing- oder Analyse-Cookies ein. Es werden ausschließlich technisch notwendige Mechanismen verwendet:

• Supabase Auth Session-Cookies — für Login und Authentifizierung (Berater-Dashboard, Klientenportal)
• Stripe — beim Checkout-Redirect können auf der Stripe-Domain Session-Cookies gesetzt werden (Zahlungsabwicklung)
• localStorage — optionaler Hinweisbanner auf öffentlichen Seiten speichert, ob der Datenschutzhinweis gelesen wurde (kein Tracking, keine Weitergabe an Dritte)

Ein Cookie-Consent-Banner für Marketing/Tracking ist daher nicht erforderlich. Rechtsgrundlage für technisch notwendige Cookies/Sessions: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f (berechtigtes Interesse an sicherer Bereitstellung).

8. Audit-Logging (technische und organisatorische Maßnahme)

Sicherheitsrelevante Aktionen (Login, Logout, fehlgeschlagene Anmeldungen, Dokumentenzugriff, Exporte, Admin-Aktionen u. a.) werden in einem append-only Audit-Log protokolliert (IP-Adresse, User-Agent, Zeitstempel). Zweck: Nachvollziehbarkeit, Missbrauchserkennung, TOM nach Art. 32 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Aufbewahrungsfristen

• Rechnungen: Aufbewahrung gemäß GoBD und steuerrechtlichen Pflichten (regelmäßig 10 Jahre); bei Klientenlöschung Anonymisierung der Rechnungsdaten unter Wahrung der Aufbewahrungspflicht
• Klientendaten: Bis zur Löschung durch den Berater (DSGVO-Funktionen in der App) oder Vertragsende; danach Löschung bzw. Anonymisierung unter Beachtung gesetzlicher Aufbewahrung
• Audit-Log: Nach interner Richtlinie / gesetzlicher Grundlage — Richtwert mindestens 12 Monate für Sicherheitsereignisse
• Kontaktanfragen: Bis zur Bearbeitung, längstens 24 Monate

10. Ihre Rechte als betroffene Person

Sie haben gegenüber dem Verantwortlichen u. a. folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

In der App integriert (Berater → Klienten): Datenauskunft exportieren (Art. 15/20), Einwilligung erfassen/widerrufen, endgültige Klientenlöschung (Art. 17) unter Beachtung der Rechnungs-Aufbewahrung. Klienten im Portal können sich an ihren Berater oder an [DATENSCHUTZ-KONTAKT — E-Mail] wenden.

11. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Behörde Ihres Wohnsitzes oder unseres Sitzes: [ZUSTÄNDIGE AUFSICHTSBEHÖRDE — Name, Anschrift, URL]

12. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder Rechtslage ändert. Stand: [STAND-DATUM]