Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO):
GK Consultancy, Inhaber: Gio Kevanishvili
E-Mail: info@gk-consultancy.de

2. Verarbeitete Daten

Im Rahmen des Self-Checks verarbeiten wir folgende personenbezogenen Daten, sofern Sie diese aktiv angeben:

• E-Mail-Adresse
• Name (optional)
• Institut / Institutstyp (optional)
• Ihre Antworten im Fragebogen (inhaltliche Angaben zur Risikoeinschätzung)

3. Zwecke der Verarbeitung

• Bereitstellung des individuellen Risikoprofil-Entwurfs
• Kontaktaufnahme zur Beantwortung Ihrer Anfrage
• Übermittlung ergänzender Unterlagen auf Wunsch
• Dokumentation Ihrer Einwilligung (Wortlaut, Version, Zeitstempel) zum Nachweis nach Art. 7 Abs. 1 DSGVO

4. Rechtsgrundlagen

Die Verarbeitung Ihrer über den Self-Check übermittelten Angaben erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; getrennt dokumentiert mit Wortlaut, Version und Zeitstempel) sowie ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Als konkrete berechtigte Interessen benennen wir:

• Bearbeitung Ihrer Anfrage und Bereitstellung des individuellen Risikoprofil-Entwurfs / Beratungsangebots.
• Betriebssicherheit, Missbrauchs- und Betrugsprävention (u. a. Rate-Limiting: max. 3 Einsendungen je E-Mail innerhalb von 24 Stunden; kurzfristige Verarbeitung technischer Verbindungsdaten wie IP-Adresse und HTTP-Metadaten zur Abwehr automatisierter Angriffe).
• Nachweisführung über erteilte Einwilligungen nach Art. 7 Abs. 1 DSGVO.

5. Speicherdauer

Ihre über den Self-Check übermittelten Daten (E-Mail, ggf. Name und Institut, Fragebogen-Antworten, berechnetes Ergebnis, Einwilligungs-Nachweis) werden für maximal 12 Monate ab Übermittlung gespeichert und anschließend gelöscht, sofern in diesem Zeitraum keine Rückmeldung Ihrerseits erfolgt und keine Vertragsanbahnung oder ein Beratungsverhältnis zustande kommt.

Kommt es zu einer Mandats- oder Vertragsanbahnung, richtet sich die weitere Speicherung nach den gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO, § 257 HGB — bis zu 10 Jahre) sowie den zur Durchführung des Mandats erforderlichen Zwecken.

Ein Widerruf Ihrer Einwilligung oder ein Löschverlangen führt zur vorzeitigen Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Auftragsverarbeiter, Hosting und Drittlandtransfers

Zur Bereitstellung der Anwendung setzen wir folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Für jeden Anbieter nennen wir den Verarbeitungsort und – bei Drittlandtransfer – den konkreten Übermittlungsmechanismus nach Kapitel V DSGVO:

• Supabase (Datenbank, in der Ihre Self-Check-Daten gespeichert werden).
  Verarbeitungsregion (projektspezifisch, verifiziert aus der Projektkonfiguration): EU – AWS eu-west-3 (Paris, Frankreich).
  Drittlandtransfer: Für die Speicherung Ihrer Inhaltsdaten findet nach dieser Konfiguration kein Drittlandtransfer statt (Speicherort in der EU).
  Anbieterentität / Konzernstruktur (Muttergesellschaft Supabase Inc., USA): TBD – Konzern- und Support-Zugriffe aus den USA sowie der konkret genutzte Transfermechanismus (EU-Standardvertragsklauseln gemäß Durchführungsbeschluss 2021/914 und/oder EU-US Data Privacy Framework) sind manuell durch GK Consultancy anhand des DPA/AVV mit Supabase zu ergänzen.
• Lovable (Hosting-Plattform, Auslieferung der Web-Anwendung, siehe auch Abschnitt 8).
  Anbieter / Sitz: TBD – Name der vertragschließenden Gesellschaft (z. B. Lovable AB, Schweden) und Sitz manuell durch GK Consultancy aus dem AVV zu ergänzen; nicht aus dem Projekt-Setup verifizierbar.
  Drittlandtransfer: TBD – konkreter Übermittlungsmechanismus (SCCs 2021/914 und/oder DPF) ist im AVV mit Lovable zu prüfen und hier einzutragen.
• Cloudflare, Inc. (USA) – Edge-Netzwerk / CDN / DDoS-Schutz für die Auslieferung der Seite. Dabei werden technisch bedingt IP-Adresse und HTTP-Metadaten kurzzeitig verarbeitet (Server-Logs, Sicherheit).
  Drittlandtransfer: TBD – Nach eigenen Angaben ist Cloudflare Inc. unter dem EU-US Data Privacy Framework zertifiziert und bietet zusätzlich EU-Standardvertragsklauseln (2021/914) an. Der für die Auslieferung dieser Website konkret geltende Mechanismus (DPF und/oder SCCs) ist manuell durch GK Consultancy anhand des mit Lovable geschlossenen AVV bzw. des Cloudflare-DPA zu bestätigen.
• Mailgun / Sinch Email – Versand der Benachrichtigungs-E-Mail an GK Consultancy über die Subdomain mail.notify.gk-consultancy.de, bereitgestellt über die Lovable-Plattform.
  Drittlandtransfer: TBD – die konkret vertragschließende Sinch-/Mailgun-Entität (z. B. Sinch America LLC, USA), das genutzte Rechenzentrum (US-/EU-Region) und der Übermittlungsmechanismus (EU-US DPF und/oder SCCs 2021/914) sind manuell durch GK Consultancy anhand des Sinch/Mailgun-DPA zu ergänzen.

Mit allen genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Soweit oben ausdrücklich „TBD" markiert ist, sind die entsprechenden Angaben (Anbieterentität, Sitz, konkreter Drittlandmechanismus) noch manuell aus den jeweiligen Auftragsverarbeitungsverträgen zu übernehmen; wir haben sie bewusst nicht geraten.

7. Schriftarten (Google Fonts)

Diese Website bindet die Schriftart „Inter" über die von Google LLC (USA) betriebenen Server fonts.googleapis.com und fonts.gstatic.com ein. Dabei stellt Ihr Browser eine Verbindung zu Google her; hierbei werden IP-Adresse und technische Header übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen, performanten Darstellung). Wenn Sie das nicht wünschen, können Sie externe Schriftarten in Ihrem Browser blockieren; die Seite bleibt funktional.

8. Cookies, lokale Speicherung und plattformseitige Telemetrie

Von uns selbst werden keine Cookies zu Analyse- oder Marketingzwecken gesetzt und keine eigenen Tracking-, Analyse- oder Werbe-Skripte eingebunden (kein Google Analytics, kein Facebook Pixel, kein Matomo o. ä.). Technisch notwendige lokale Zwischenspeicherung Ihrer Fragebogen-Antworten erfolgt ausschließlich in Ihrem Browser (localStorage, Schlüssel gk-selfcheck-progress-v1) und wird nicht an uns übertragen. Der gespeicherte Fortschritt enthält einen Zeitstempel und wird beim nächsten Aufruf automatisch verworfen, wenn er älter als 24 Stunden ist; Sie können ihn jederzeit manuell löschen, indem Sie die Website-Daten in Ihrem Browser leeren.

Diese Anwendung wird auf der Hosting-Plattform Lovable (GPTEng.co UG, Schweden) betrieben. Die Plattform bindet beim Auslieferen der Seite serverseitig zwei plattformeigene Skripte ein, auf die wir als Betreiber der Website keinen Einfluss haben und die sich nicht deaktivieren lassen. Wir informieren hierüber nach Art. 13 DSGVO:

• Flock (/~flock.js)
  Anbieter: Lovable / GPTEng.co UG, Schweden (Auslieferung über Cloudflare, Inc., USA).
  Zweck: Reichweitenmessung der Hosting-Plattform (Seitenaufrufe / page_hit-Events).
  Verarbeitete Daten: User-Agent, Sprach-/Locale-Einstellung, aus der IP-Adresse abgeleitetes Land, Referrer, aufgerufener Pfad und URL.
  Gesetzte Kennungen: Cookie session-id (Session-Kennung).
  Speicherdauer: 30 Minuten (rollierende Session).
  Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Plattformbetreibers am Betrieb und der Reichweitenmessung der Hosting-Infrastruktur).
• Lovable Events (/__l5e/events.js)
  Anbieter: Lovable / GPTEng.co UG, Schweden (Auslieferung über Cloudflare, Inc., USA).
  Zweck: Plattformseitige Event-Telemetrie und Wiedererkennung von Sessions.
  Verarbeitete Daten / gesetzte Kennungen: im localStorage Ihres Browsers werden die Werte __lovable_anonymous_id (pseudonyme Geräte-Kennung) und __lovable_session (Session-Kennung) abgelegt; übermittelt werden zugehörige Ereignisdaten an die Plattform.
  Speicherdauer: __lovable_anonymous_id bis zur manuellen Löschung durch Sie (Löschen der Website-Daten im Browser); __lovable_session für die Dauer der jeweiligen Sitzung.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Plattformbetreibers am stabilen Betrieb und an der Fehleranalyse der Hosting-Infrastruktur).

Sie können diese plattformseitige Speicherung unterbinden, indem Sie in Ihrem Browser Cookies und localStorage für diese Website blockieren oder nach dem Besuch löschen. Die Funktion des Self-Checks bleibt davon im Wesentlichen erhalten.

9. Betroffenenrechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@gk-consultancy.de.