Datenschutzerklärung

Entwurf — nicht anwaltlich geprüft. Stand: [Datum]. Gilt für den Uregistry-MCP-Dienst (mcp.uregistry.de, mcp-dev.uregistry.de), die Konto-Seite mcp.uregistry.de/konto und die Anfrageformulare auf uregistry.de. Platzhalter in eckigen Klammern sind vor der Veröffentlichung zu füllen; Stellen mit „[zu bestätigen]“ hängen von der Umsetzung ab.

1. Überblick

Uregistry wandelt Jahresabschlüsse, die Ihr KI-Assistent für Sie aufbereitet, in das XML-Format der Publikations-Plattform des Unternehmensregisters um und prüft sie formal.

Das Wichtigste in Kürze:

• Inhalte Ihrer Unterlagen speichern wir nicht. Zahlen, Texte, Firmenname und andere Inhalte, die Ihr KI-Assistent an Uregistry sendet, werden nur im Arbeitsspeicher verarbeitet, um die Antwort zu erzeugen, und danach verworfen. Sie erscheinen in keinem Protokoll.
• Für die Nutzung brauchen Sie ein Konto mit E-Mail-Adresse. Dazu speichern wir, welche Nutzungsbedingungen Sie wann akzeptiert haben.
• Wir erfassen grob, wie weit Sie im Ablauf kommen (z. B. „XML erstellt“), ohne Inhalte, um den Dienst zu verbessern.
• E-Mails zu Neuigkeiten und Umfragen erhalten Sie nur, wenn Sie das ausdrücklich wünschen und bestätigen.
• Wir setzen keine Werbe- oder Analyse-Cookies auf der Konto-Seite und keine Tracking-Pixel in E-Mails ein [zu bestätigen].

2. Verantwortlicher

[Vorname Nachname] Uregistry — Einzelunternehmer [Straße Hausnummer], [PLZ Ort], Deutschland E-Mail: [datenschutz@uregistry.de]

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine gesetzliche Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

3. Nutzung des MCP-Dienstes (Werkzeugaufrufe)

Was passiert: Ihr KI-Assistent (z. B. Claude, ChatGPT, Le Chat) ruft die Werkzeuge von Uregistry auf und übermittelt dabei Inhalte Ihres Jahresabschlusses (z. B. Bilanz, Anhang, Registerangaben, Feststellungsdatum, ggf. Namen von Geschäftsführern in der Unterzeichnung). Uregistry prüft und wandelt diese Inhalte um und gibt das Ergebnis an Ihren Assistenten zurück.

Speicherung: keine. Die Inhalte werden nur für die Dauer des einzelnen Aufrufs im Arbeitsspeicher verarbeitet. Sie werden weder gespeichert noch protokolliert noch an Dritte weitergegeben. Auf unserem Server läuft kein KI-Modell.

Rolle: Soweit diese Inhalte personenbezogene Daten enthalten, verarbeiten wir sie im Auftrag des Nutzers (Art. 28 DSGVO); die Vereinbarung dazu ist Teil der Nutzungsbedingungen (Anlage „Auftragsverarbeitung“).

Ihr KI-Assistent ist nicht Teil von Uregistry. Was der Anbieter Ihres KI-Assistenten mit Ihren Unterlagen tut, richtet sich nach Ihrem Vertrag mit diesem Anbieter und dessen Datenschutzhinweisen.

Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Rechenzentrum in Deutschland (Nürnberg oder Falkenstein). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

4. Technische Protokolle und Schutz vor Überlastung

Protokolle: Pro Werkzeugaufruf protokollieren wir: Zeitpunkt, aufgerufenes Werkzeug, Dauer, Ergebnisklasse (gültig / ungültig / Fehler), Fehlercodes mit Anzahl, Größenklasse der Eingabe (gerundet), Name und Version Ihres KI-Programms, Protokollversion und Version unseres Regelwerks. Keine IP-Adressen, keine Inhalte, keine Konto-Kennung. Das Zugriffsprotokoll des Webservers ist abgeschaltet oder anonymisiert.

Begrenzung der Aufrufe: Um Überlastung zu verhindern, zählen wir Aufrufe je IP-Adresse nur im Arbeitsspeicher (höchstens ein Tag). IP-Adressen werden nie auf einen Datenträger geschrieben.

Zweck und Rechtsgrundlage: sicherer und stabiler Betrieb, Fehlersuche, Verbesserung der Prüfregeln; berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Rohprotokolle 14 Tage. Danach bleiben nur tägliche Gesamtzahlen (z. B. Aufrufe je Werkzeug, Fehlercodes), die keinen Personenbezug haben.

Verfügbarkeitsprüfung: Ein externer Dienst [Anbieter, Sitz in der EU] ruft unseren Server regelmäßig auf, um Ausfälle zu melden. Dabei werden keine Daten von Nutzern verarbeitet.

5. Konto, Anmeldung und Zustimmung zu den Nutzungsbedingungen

Was wir speichern:

• E-Mail-Adresse und eine interne Konto-Kennung;
• Version, Prüfsumme und Zeitpunkt der akzeptierten Nutzungsbedingungen;
• Ihre Bestätigung, als Unternehmer zu handeln, mit Zeitpunkt;
• freiwillig: Ihre Rolle (Geschäftsführung, Steuerberatung, Buchhaltung, Sonstige);
• Stand Ihrer Einwilligung in E-Mails (Abschnitt 8);
• technische Anmelde- und Sitzungsdaten (Einmal-Code bzw. Anmelde-Link, Zugangs- und Erneuerungs-Token, Zeitpunkt der letzten Anmeldung).

Zwecke und Rechtsgrundlagen:

• Konto, Anmeldung, Zugang zum Dienst: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
• Nachweis, welche Nutzungsbedingungen Sie akzeptiert haben: berechtigtes Interesse an der Abwehr und Durchsetzung von Ansprüchen, Art. 6 Abs. 1 lit. f DSGVO.
• Rolle: berechtigtes Interesse, unsere Nutzergruppen zu verstehen, Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist freiwillig.

Ohne E-Mail-Adresse können wir kein Konto anlegen und Sie können den Dienst nicht nutzen.

Geschlossener Test und Warteliste: Die ersten 50 Konten erhalten Zugang zum geschlossenen Test. Bei späteren Anmeldungen speichern wir dieselben Angaben und setzen Sie auf eine Warteliste, um Sie bei Freigabe zu informieren (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: bis Sie Ihr Konto löschen (Seite „Konto löschen“) oder nach 24 Monaten ohne Anmeldung. Dann löschen wir E-Mail-Adresse, Rolle und Nutzungsereignisse sofort. Einen Mindestnachweis (Konto-Kennung, Version der Nutzungsbedingungen, Zeitpunkt, Unternehmer- Bestätigung) bewahren wir drei Jahre auf (regelmäßige Verjährungsfrist, § 195 BGB) und löschen ihn danach.

Anbieter: Anmeldung und Speicherung laufen über Supabase (Supabase Pte. Ltd., [Anschrift], Singapur). Die Daten liegen in einem Rechenzentrum in der EU ([Region, z. B. Frankfurt]). Supabase und seine Unterauftragnehmer können von außerhalb der EU auf die Daten zugreifen, etwa für Support und Betrieb. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission; die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie auf Anfrage. Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung.

Speicherung im Browser: Die Konto-Seite speichert Ihre Anmeldesitzung im Browser (Cookie oder lokaler Speicher). Das ist für die Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Nutzungsereignisse (Fortschritt im Ablauf)

Was wir speichern: Zu Ihrem Konto speichern wir mit Zeitpunkt, wenn

• die Anleitung geladen wurde,
• die Pflichtenprüfung aufgerufen wurde,
• ein Abschnitt formal geprüft wurde (nur Anzahl),
• eine Einreichungsdatei erstellt wurde (gültig / ungültig).

Bei einer gültigen Einreichungsdatei zusätzlich: die von Ihnen bestätigte Größenklasse, die Art der Einreichung (Offenlegung / Hinterlegung), die Zeichenzahl gerundet auf 1.000 und die geschätzte Ersparnis. Daraus leiten wir einen Fortschrittsstand ab (z. B. „in Arbeit“, „XML erstellt“). Nie gespeichert werden Firmenname, Zahlen oder Texte Ihres Abschlusses.

Zwecke: verstehen, wo Nutzer im Ablauf hängen bleiben, den Dienst verbessern und — nur wenn Sie E-Mails eingewilligt haben (Abschnitt 8) — Nutzern, die nach 14 Tagen keine Einreichungsdatei erstellt haben, eine kurze Umfrage senden.

Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Dienstes, Art. 6 Abs. 1 lit. f DSGVO. Sie können jederzeit widersprechen (Abschnitt 11); dann speichern wir für Ihr Konto keine Nutzungsereignisse mehr [Umsetzung zu bestätigen].

Speicherdauer: bis zur Löschung Ihres Kontos. Anbieter: Supabase (Abschnitt 5).

7. Transaktionale E-Mails

Wir senden Ihnen E-Mails, die für den Dienst nötig sind: Anmelde-Link bzw. Einmal-Code, Begrüßung mit Hinweis auf den geschlossenen Test, Information bei Freigabe von der Warteliste, Änderungen der Nutzungsbedingungen und Sicherheitshinweise. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Dafür ist keine Einwilligung nötig.

Anbieter: Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA), mit Vertrag zur Auftragsverarbeitung. Die Anmelde-Mails erzeugt Supabase (Abschnitt 5) und versendet sie über Resend als Mailserver. Resend speichert Daten in den USA. Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); zusätzlich enthält der Vertrag die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer bei Resend: E-Mails und Versandprotokolle (Empfängeradresse, Zeitpunkt, Zustellstatus) 30 Tage.

Keine Öffnungs- und Klickmessung: Wir messen nicht, ob Sie diese E-Mails öffnen oder Links anklicken.

8. E-Mails mit Neuigkeiten und Feedback-Umfragen (nur mit Einwilligung)

Wenn Sie das freiwillige Kästchen „Updates und kurze Feedback-Umfragen per E-Mail“ ankreuzen, erhalten Sie solche E-Mails. Das Kästchen lässt sich nur setzen, wenn Sie mit dem Einmalcode angemeldet sind, den wir an genau diese E-Mail-Adresse geschickt haben. Damit ist bestätigt, dass die Adresse Ihnen gehört; eine gesonderte Bestätigungs-E-Mail senden wir deshalb nicht. Feedback-Umfragen zählen rechtlich als Werbung und laufen deshalb ebenfalls nur über diese Einwilligung.

Gespeichert: E-Mail-Adresse, Zeitpunkt der Einwilligung, Wortlaut (Version) der Einwilligung, die Art der Bestätigung (Anmeldung mit Einmalcode), ggf. Zeitpunkt des Widerrufs.

Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG. Den Nachweis der Einwilligung bewahren wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO auf.

Widerruf: jederzeit über den Abmeldelink in jeder E-Mail, den Schalter in Ihrem Konto oder eine Nachricht an uns. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Öffnungs- und Klickmessung: Wir messen nicht, ob Sie E-Mails öffnen oder Links anklicken [zu bestätigen beim gewählten Anbieter].

Anbieter: [festlegen vor der ersten solchen E-Mail: Brevo (Sendinblue SAS, Paris, Frankreich) oder Resend (Abschnitt 7)]. Antworten auf Umfragen werden [Werkzeug / Speicherort festlegen] gespeichert und nur ausgewertet, um den Dienst zu verbessern.

9. Anfrageformulare auf uregistry.de

Dieser Zweck ist vom MCP-Dienst getrennt. Wenn Sie über ein Formular auf uregistry.de eine Anfrage senden, speichern wir: Vor- und Nachname, Unternehmen, E-Mail-Adresse, freiwillig Telefonnummer, Interesse, Frist und Nachricht, Ihre Einwilligung, Sprache, Herkunftsseite, Browserkennung und IP-Adresse [zu prüfen: IP-Adresse und Browserkennung künftig nicht mehr speichern].

Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage, Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; Missbrauchsschutz (IP-Adresse), Art. 6 Abs. 1 lit. f DSGVO.

Speicherung: in derselben Supabase-Datenbank wie die Konten (Abschnitt 5), aber in getrennten Tabellen. Wir führen Anfragen und Konten nicht zusammen [zu bestätigen].

Speicherdauer: [z. B. 12 Monate nach Abschluss der Anfrage], sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Freiwilliger Beitrag und Kontakt per E-Mail

Freiwilliger Beitrag: Nach einer gültigen Einreichungsdatei zeigt Uregistry einen Link zu Revolut, über den Sie freiwillig einen Beitrag leisten können. Wir verknüpfen Beiträge nicht mit Ihrem Konto. Für die Zahlung ist Revolut ([Gesellschaft, Sitz]) eigenständig verantwortlich. Wir erhalten von Revolut den Namen des Zahlenden, Betrag und Zeitpunkt und bewahren diese Angaben für unsere Buchführung auf (Art. 6 Abs. 1 lit. c DSGVO; bis zu 10 Jahre nach § 147 AO, § 257 HGB).

Kontakt per E-Mail: Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen sie, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht. Unser Support beantwortet nur technische Fragen.

11. Empfänger und Übermittlung in Drittländer

Empfänger Ihrer Daten sind ausschließlich die genannten Dienstleister: Hetzner (Abschnitt 3), Supabase (Abschnitt 5), Resend (Abschnitt 7), der Anbieter für Neuigkeiten (Abschnitt 8) und für Beiträge Revolut (Abschnitt 10). Inhalte Ihrer Unterlagen erreichen nur unseren Server bei Hetzner. Eine Übermittlung in ein Drittland findet nur bei Supabase (Abschnitt 5) und Resend (Abschnitt 7) statt.

Wir verkaufen keine Daten, nutzen keine Werbenetzwerke und treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Wenden Sie sich dazu an [datenschutz@uregistry.de]. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der für uns zuständigen Behörde: [Landesbeauftragte/r für Datenschutz des Bundeslandes des Wohnsitzes, Anschrift].

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.