Datenschutzerklärung

Diese Erklärung beschreibt, welche Daten wir beim Betrieb des Sachkundewerks
verarbeiten, warum wir das tun und welche Rechte Sie dabei haben.

Verantwortlicher

[Firmenname]
[Anschrift]
E-Mail: [E-Mail-Adresse], Telefon: [Telefonnummer]

[Falls benannt: Unsere Datenschutzbeauftragte / unser Datenschutzbeauftragter ist
erreichbar unter [Name, Kontakt].]

Grundsätze

Wir verarbeiten nur, was für den Betrieb des Portals nötig ist. Das Portal läuft auf
einem eigenen Server [Standort ergänzen]; die Verbindung ist durchgehend mit TLS
verschlüsselt. Passwörter speichern wir ausschließlich als Argon2id-Hash — sie sind auch
für uns nicht lesbar. Hochgeladene Dokumente liegen verschlüsselt (AES-256-GCM).

Konto und Einrichtung

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort. Zur
Bestätigung senden wir Ihnen einen sechsstelligen Code, der 30 Minuten gilt.

Im Einrichtungsassistenten kommen hinzu: Anrede und Name, Firmenname, Telefonnummer,
Webseite, Anschrift, Rechtsform, Gründungsstand und geplantes Gründungsdatum, die
angestrebten Erlaubnisse nach § 34d, § 34f und § 34i GewO samt Ihrer Tätigkeit
(Makler, gebundener Vertreter, Honorarberater), bereits vorhandene Erlaubnisse mit
Registernummer sowie bei juristischen Personen die Handelsregisternummer und die
Geschäftsführer, Gesellschafter und sachkundigen Aufsichtspersonen mit Namen,
E-Mail-Adresse und der Angabe, ob ein Sachkundenachweis vorliegt.

Aus Ihrer Postleitzahl ermitteln wir die zuständige Industrie- und Handelskammer sowie
das zuständige Finanzamt. Dafür nutzen wir Verzeichnisse, die auf unserem eigenen Server
liegen — es findet **keine Abfrage bei Dritten** statt.

Zweck: Bereitstellung des Portals und Erstellung Ihres persönlichen Fahrplans.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Aufgaben und Fristen

Zu jeder Aufgabe Ihrer Checkliste speichern wir den Bearbeitungsstand, das von Ihnen
angegebene Ausstellungsdatum der jeweiligen Unterlage und optionale Notizen. Aus dem
Ausstellungsdatum berechnen wir die Restgültigkeit (Behördenunterlagen dürfen bei der
IHK höchstens drei Monate alt sein) und erinnern Sie rechtzeitig.

Zweck: Vertragserfüllung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Hochgeladene Dokumente

Sie entscheiden selbst, welche Unterlagen Sie ablegen. Gespeichert werden die Datei
selbst sowie Bezeichnung, ursprünglicher Dateiname, Dateityp, Größe, Ablagefach,
Ausstellungsdatum und die Zuordnung zu einer Aufgabe.

Zu diesen Unterlagen können Nachweise gehören, die besonders sensibel sind:
**Führungszeugnisse enthalten Angaben über Straftaten** im Sinne des Art. 10 DSGVO,
Insolvenz- und Schuldnerverzeichnisauskünfte betreffen Ihre wirtschaftlichen
Verhältnisse. Diese Daten verarbeiten wir ausschließlich auf Ihre Veranlassung und zu
dem Zweck, den Sie selbst bestimmen: der Vorbereitung Ihres Erlaubnisantrags.

Die Dateien werden mit AES-256-GCM verschlüsselt gespeichert, unter zufälligen Namen und
ausschließlich Ihrem Konto zugeordnet. Ein Zugriff durch andere Nutzerinnen und Nutzer
ist technisch ausgeschlossen. **Dokumenteninhalte werden niemals an Dritte übermittelt** —
insbesondere nicht an den Anbieter des KI-Assistenten.

Zweck: Vertragserfüllung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Verarbeitung
erfolgt auf Ihre Veranlassung und unter Ihrer Kontrolle. Sie können jedes Dokument
jederzeit selbst löschen; es wird dann samt Datei unwiderruflich entfernt.

Fortbildungsnachweise

Tragen Sie Weiterbildungsstunden ein, speichern wir Thema, Anbieter, Stundenzahl, Datum,
den betroffenen Paragrafen und — falls hochgeladen — das Zertifikat.

Zweck: Nachweis der gesetzlichen Weiterbildungspflicht. Rechtsgrundlage:
Art. 6 Abs. 1 lit. b DSGVO.

Anmeldung, Sitzungen und Cookies

Wir setzen zwei technisch notwendige Cookies:

• **skw_sitzung** — hält Sie angemeldet. Es enthält ein Zufallstoken; in unserer

Datenbank liegt davon nur ein Hashwert. Standardgültigkeit: 12 Stunden.

• **skw_csrf** — schützt Formulare vor Fälschung (Cross-Site-Request-Forgery).

Beide sind für Skripte gesperrt (HttpOnly), auf diese Website beschränkt (SameSite) und
werden im Betrieb nur über verschlüsselte Verbindungen übertragen (Secure). Sie
enthalten keine Werbe- oder Trackingkennungen. Eine Einwilligung ist dafür nicht
erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); ein Cookie-Banner entfällt.

Zu jeder Sitzung speichern wir Beginn, letzte Aktivität, Ablaufzeitpunkt, IP-Adresse und
Browserkennung (User-Agent), um Missbrauch zu erkennen.

Sicherheitsprotokoll

Sicherheitsrelevante Vorgänge protokollieren wir mit Zeitpunkt und IP-Adresse:
Registrierung, An- und Abmeldung, fehlgeschlagene Anmeldeversuche, Kontosperren,
Passwortänderungen, Bestätigungscodes, Zugriffe auf Dokumente, Änderungen am Profil und
am Abonnement. Nach fünf Fehlversuchen sperren wir ein Konto für 15 Minuten; die Zahl
der Anmeldeversuche je IP-Adresse ist ebenfalls begrenzt.

Zweck: Schutz vor unbefugtem Zugriff und Missbrauch. Rechtsgrundlage:
Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit eines
Portals, in dem besonders schutzwürdige Unterlagen liegen. Speicherdauer: [Frist
festlegen, empfohlen 90 Tage].

E-Mail-Versand

Wir versenden Bestätigungscodes, Links zum Zurücksetzen des Passworts, Hinweise zu
bestehenden Konten sowie Erinnerungen an ablaufende Fristen und den Nachtrag der
Handelsregisternummer. Versandweg: [Mailserver/Anbieter ergänzen].
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-Assistent (nur mit Ihrer Einwilligung)

Der Assistent ist freiwillig; das Portal ist ohne ihn vollständig nutzbar. Erst nach
Ihrer ausdrücklichen Einwilligung übermitteln wir an [Anbieter, Anschrift]:

• Ihre Frage im Wortlaut,
• einen pseudonymen Sachstand: Rechtsform, angestrebte Paragrafen, Ihre Tätigkeit,

Name der zuständigen IHK, Bundesland und die Anzahl offener Aufgaben,

• bis zu sechs vorangegangene Beiträge desselben Gesprächs.

**Nicht übermittelt werden:** Name, Anschrift, E-Mail-Adresse, Telefonnummer,
Kundennummer, Firmenname, Handelsregister- und Registernummern, Angaben zu
Geschäftsführern sowie sämtliche hochgeladenen Dokumente und deren Inhalte.

Der Gesprächsverlauf wird bei uns gespeichert, damit Sie ihn nachlesen können, und
spätestens nach 90 Tagen automatisch gelöscht. Sie können ihn jederzeit selbst löschen.
Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; der
Verlauf wird dann sofort gelöscht. Die Rechtmäßigkeit der bis dahin erfolgten
Verarbeitung bleibt unberührt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
[Zu ergänzen: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie die Grundlage des
Drittlandtransfers, etwa Standardvertragsklauseln nach Art. 46 DSGVO.]

Abonnement und Zahlung

Schließen Sie ein Abonnement ab, wickelt [Zahlungsdienstleister, Anschrift] die Zahlung
ab. **Karten- und Bankdaten geben Sie ausschließlich dort ein; sie erreichen unsere
Server nicht.** Bei uns gespeichert werden lediglich die dortige Kunden- und
Abonnement-Kennung, das gewählte Paket, der Zahlungsstatus, das Ende der bezahlten
Laufzeit sowie — falls Sie kündigen — der von Ihnen angegebene Kündigungsgrund und eine
freiwillige Anmerkung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
[Zu ergänzen: Auftragsverarbeitungsvertrag und Drittlandtransfer.]

Empfehlungen unserer Partner

Klicken Sie auf eine Partner-Empfehlung, protokollieren wir den Zeitpunkt, den Partner
und Ihr Konto, um vermittelte Abschlüsse abrechnen zu können. An den Partner selbst
übermitteln wir dabei keine Daten; Sie gelangen lediglich auf dessen Website, wo dann
deren Datenschutzbestimmungen gelten.

Zweck: Nachweis vermittelter Abschlüsse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

Über die oben genannten Dienstleister hinaus geben wir Ihre Daten nicht weiter. Eine
Übermittlung erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind. Dienstleister mit
Zugang zu personenbezogenen Daten sind vertraglich nach Art. 28 DSGVO gebunden.

Speicherdauer im Überblick

• Konto, Unternehmens- und Erlaubnisdaten: bis zur Löschung Ihres Kontos; danach nur,

soweit handels- oder steuerrechtliche Aufbewahrungspflichten bestehen.

• Hochgeladene Dokumente: bis Sie sie löschen oder Ihr Konto beenden.
• Sitzungen: bis zum Ablauf (Standard 12 Stunden) oder bis zur Abmeldung.
• Bestätigungscodes und Passwort-Links: 30 Minuten beziehungsweise 2 Stunden;

Reste werden spätestens nach 7 Tagen entfernt.

• Verlauf des KI-Assistenten: längstens 90 Tage.
• Sicherheitsprotokoll: [Frist festlegen].
• Abrechnungsdaten: nach den gesetzlichen Aufbewahrungsfristen.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie
Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21).
Eine erteilte Einwilligung können Sie jederzeit widerrufen.

Viele dieser Rechte können Sie direkt im Portal ausüben: Daten ändern Sie im Profil,
Dokumente und den KI-Verlauf löschen Sie selbst. Für alles Weitere genügt eine
Nachricht an [E-Mail-Adresse].

Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist
[Aufsichtsbehörde mit Anschrift].

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt. Der
KI-Assistent gibt allgemeine Auskünfte; Entscheidungen über Ihren Erlaubnisantrag trifft
allein die zuständige Behörde.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich das Portal oder die Rechtslage ändert.
Stand: [Datum].