Stand: Oktober 2026 (v3)
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
KI·SUM·AI - Kisum GmbH
Sonnwendjochstr. 6
81825 München, Deutschland
E-Mail: info@compliancelint.com
Wir können folgende Kategorien personenbezogener Daten erheben:
203.0.113.x — niemals die vollständige Adresse) und den User-Agent-String. E-Mail-Adressen und vollständige IP-Adressen werden vor der Speicherung entfernt (Scrubbing).Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen nach DSGVO:
4.1 Erforderliche Cookies und Browser-Speicher
Wir verwenden keine Analyse- oder Werbe-Cookies und keinen Analysedienst eines Drittanbieters. Wir verwenden ausschließlich Cookies und Browser-Speicher, die für angeforderte Kontofunktionen, die Sicherheit, von Ihnen gewählte Oberflächeneinstellungen oder zur Speicherung einer Datenschutzentscheidung erforderlich sind:
cl_session: verschlüsseltes HttpOnly-Cookie für die Authentifizierungssitzung;cl_csrf: Cookie zum Schutz vor Cross-Site-Request-Forgery;gh_oauth_state / g_oauth_state: kurzlebige Statuswerte für die Anmeldung über GitHub oder Google;cl_pending_invite: kurzlebiges Team-Einladungstoken für den Anmeldevorgang;cl_return_to: speichert für höchstens 10 Minuten die gleichursprüngliche Seite, zu der nach der Anmeldung zurückgekehrt werden soll;compliancelint-sidebar-collapsed (localStorage): merkt sich den von Ihnen gewählten Zustand der Seitenleiste; undcl_sentry_opt_out (localStorage): wird nur gespeichert, wenn Sie dem Browser-Fehlerreporting widersprechen, und ausschließlich dazu verwendet, diese Entscheidung zu berücksichtigen.Diese Technologien werden nicht für Werbung, websiteübergreifendes Tracking oder Nutzerprofile verwendet. Soweit § 25 TDDDG anwendbar ist, stützen wir ihren Einsatz auf § 25 Abs. 2 Nr. 2 TDDDG, weil sie für eine von Ihnen angeforderte Funktion, für die Sicherheit dieser Funktion oder zur Umsetzung einer von Ihnen gewählten Einstellung bzw. Datenschutzentscheidung unbedingt erforderlich sind. Soweit personenbezogene Daten verarbeitet werden, ist die anwendbare Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für angeforderte Konto- bzw. Dienstfunktionen erforderlich ist, Art. 6 Abs. 1 lit. f DSGVO für verhältnismäßige Maßnahmen zur Sicherheit des Dienstes und damit verbundene berechtigte Interessen oder Art. 6 Abs. 1 lit. c DSGVO, soweit die Verarbeitung zur Erfüllung einer datenschutzrechtlichen Verpflichtung erforderlich ist.
4.2 Minimale serverseitige Seitenstatistik
Um auf grober Ebene zu verstehen, welche Bereiche von ComplianceLint genutzt werden, führen wir minimale Statistiken auf unserem eigenen Server. Es wird kein Analyse-Skript und kein Analysedienst eines Drittanbieters eingesetzt. Wir setzen oder lesen für diesen Zweck weder Analyse-Cookies noch Kennungen im Browser-Speicher.
Für jeden vollständigen Seitenladevorgang, der von unserem Server verarbeitet wird – zum Beispiel wenn eine Seite direkt geöffnet, neu geladen oder von einer anderen Website aus aufgerufen wird – erhöhen wir den aggregierten Zähler für das jeweilige Datum und die jeweilige Seite. In-App-Navigationen innerhalb von ComplianceLint werden nicht gezählt. Query-Strings und datensatzbezogene Kennungen werden entfernt, bevor der Zähler gespeichert wird. Die Statistikkomponente verwendet weder IP-Adressen, User-Agent-Header, Referer-Header, Cookie-Werte, Session-IDs, Account-IDs noch Werte aus dem Browser-Speicher als Analyse-Eingaben. Wir berechnen keine eindeutigen Besucher und erkennen Besucher weder über mehrere Anfragen noch über mehrere Tage hinweg wieder. Automatisierte Zugriffe werden nur ausgeschlossen, wenn sie bereits unabhängig von der Statistik im Rahmen der Sicherheits- bzw. Anfrageverarbeitung als solche klassifiziert wurden.
Die gespeicherte Seitenstatistik enthält ausschließlich Datum, normalisierte Routenvorlage und Anzahl der Seitenaufrufe. Tägliche Statistikzeilen werden nach 24 Monaten gelöscht. Der Zugriff ist auf die Geschäftsleitung der Kisum GmbH beschränkt. Wir verwenden diese Statistiken nicht für Werbung, Profiling, automatisierte Entscheidungen oder nutzerbezogene Auswertungen.
Technische Zugriffs- und Anwendungsprotokolle, die für den Betrieb, die Sicherheit und die Fehlerbehebung des Dienstes verwendet werden, sind gesondert in Abschnitt 4.3 unten beschrieben. Sie sind nicht Teil des in diesem Abschnitt beschriebenen Seitenstatistik-Datensatzes.
Soweit bei der Erstellung dieser minimalen Statistiken personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Dienst mit einer besonders datensparsamen Methode zu betreiben, seine Nutzung auf grober Ebene zu verstehen und ihn zu verbessern. Gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung besteht das Widerspruchsrecht nach Art. 21 DSGVO.
4.3 Technische und Sicherheitsprotokolle
Für den Betrieb, die Absicherung und die Fehlerbehebung des Dienstes erstellt unser Reverse-Proxy ein technisches Zugriffsprotokoll für HTTP-Anfragen. Es enthält den Zeitpunkt, eine maskierte IP-Adresse (/24 bei IPv4, /48 bei IPv6), Anfragemethode, Host und Pfad, Statuscode, Antwortgröße und Dauer der Anfrage. Anfrage-Header und Query-Strings werden nicht protokolliert. Zugriffsprotokolldateien werden höchstens 14 Tage gespeichert und können durch die größenbasierte Rotation früher gelöscht werden. Wir verwenden diese Protokolle nicht für Analysen, Werbung oder Profiling. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb des Dienstes, einschließlich der Erkennung von Missbrauch und Angriffen sowie der Diagnose technischer Probleme (Art. 6 Abs. 1 lit. f DSGVO).
Die Anwendung schreibt außerdem Betriebsprotokolle, etwa zu Fehlern, Job-Ergebnissen und Request-IDs. E-Mail-Adressen und IP-Adressen werden entfernt, bevor Einträge geschrieben werden. Diese Protokolle sind auf drei Dateien mit jeweils 10 MB begrenzt und werden höchstens 14 Tage gespeichert. Sie werden ausschließlich für Betrieb, Sicherheit und Fehlerbehebung und nicht für Analysen, Werbung oder Profiling verwendet. Es gilt dieselbe Rechtsgrundlage.
4.4 Interne Betriebsstatistiken
Wir erstellen außerdem interne aggregierte Statistiken aus Betriebsdaten, die wir bereits zur Bereitstellung von ComplianceLint und zur Verwaltung von Abonnements verarbeiten, zum Beispiel die Anzahl von Accounts, Scans, Evidence Items, erzeugten PDFs oder Compliance Packs sowie begonnenen oder beendeten Abonnements innerhalb eines bestimmten Zeitraums. Dadurch entsteht kein zusätzliches Nutzertracking, und es werden keine neuen Datenkategorien erhoben.
Für die Aggregation werden nur die Felder verwendet, die zur Berechnung der jeweiligen Kennzahl erforderlich sind. Die daraus entstehenden Management-Statistiken enthalten aggregierte Zählwerte und keine nutzerbezogene Analyse und sind ausschließlich für die Geschäftsleitung der Kisum GmbH zugänglich. Sie dienen der internen Steuerung des Dienstes, der Produktplanung und der Unternehmensverwaltung. Wir verwenden sie weder zur Erstellung von Nutzerprofilen noch für automatisierte Entscheidungen über Nutzer. Soweit bei der Aggregation personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.
Fehler-Tracking. Sentry (EU-Instanz) erfasst unbehandelte Ausnahmen, damit wir Fehler beheben können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Netz- und Informationssicherheit, EwGr. 49). Datenminimierung: IP-Adressen, Cookies, Header, Performance-Spans und Session-Replay werden nicht übermittelt; E-Mail-Adressen und IP-Adressen werden aus Breadcrumbs und Events vor der Übermittlung entfernt.
Wir nutzen eine kleine Anzahl von Auftragsverarbeitern für Hosting, Fehler-Tracking, transaktionalen E-Mail-Versand, Abrechnung und Authentifizierung. Jeder ist vertraglich nach Art. 28 DSGVO verpflichtet, personenbezogene Daten ausschließlich nach unseren dokumentierten Weisungen zu verarbeiten.
Die aktuelle Subprocessor-Liste — mit Zweck, Verarbeitungsregion und Übermittlungsmechanismus nach Kapitel V DSGVO — wird unter folgender stabilen URL gepflegt: /legal/sub-processors. Wir werden Kunden vor dem Einsatz neuer Auftragsverarbeiter schriftlich benachrichtigen.
Für Datenübermittlungen in Drittstaaten stützen wir uns, soweit anwendbar, auf EU-Standardvertragsklauseln, das EU–US Data Privacy Framework sowie ergänzende Sicherheitsmaßnahmen gemäß Kapitel V DSGVO.
Wir erheben IP-Adressen und Zeitstempel bei der Nutzung unserer API, um unbefugte Konto-Weitergabe zu erkennen und unseren Dienst zu schützen. Diese Daten werden auf Basis unseres berechtigten Interesses zur Missbrauchsprävention verarbeitet (Art. 6 Abs. 1 lit. f DSGVO).
API-Nutzungsdaten (IP-Adresse, Zeitstempel, API-Key-Präfix) werden 30 Tage gespeichert und danach automatisch gelöscht. Wir speichern niemals den vollständigen API-Schlüssel in den Überwachungs-Logs.
ComplianceLint verarbeitet beschränkte Fehler-Logs, Audit-Logs und Diagnose-Metadaten, um den Dienst zu betreiben, zu sichern, zu debuggen und seine Nutzung nachweisbar zu machen. Anwendungs-generierte Logs werden primär auf EU-gehosteter Infrastruktur gespeichert, die von der KI·SUM·AI - Kisum GmbH und ihrem Hosting-Anbieter Hetzner in Deutschland betrieben wird. Sofern einschlägig, nutzen wir zudem die in §5 aufgelisteten Auftragsverarbeiter (am wichtigsten Sentry EU für ergänzendes Fehler-Tracking).
Log-Inhalte. Logs können enthalten: Zeitstempel, Konto- oder Benutzer-ID, Ereignistyp, betroffene Funktion, gekürzten IP-Präfix (letztes Oktett auf Null gesetzt), User-Agent-String, Request-Route, Fehler-ID, Stack-Trace-Metadaten und Abrechnungs-Ereignis-IDs. Kundenquellcode, Geheimnisse, Request-Bodies, hochgeladene Dateien und Produktionsdaten werden nicht geloggt.
Rechtsgrundlage. Fehler- und Audit-Logs werden nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet (berechtigtes Interesse an Dienst-Sicherheit, Integrität und Betriebs-Zuverlässigkeit). Soweit Log-Einträge Teil von Aufzeichnungen sind, die einer gesetzlichen Aufbewahrungs- pflicht unterliegen, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO; die einschlägigen Aufbewahrungsfristen sind im Auftragsverarbeitungsvertrag unter /legal/avv § 13 geregelt.
Speicherdauer. Fehler-Logs: bis zu 90 Tage. Audit-Logs: bis zu 365 Tage für Sicherheit, Kundenseitige Beweis-Exporte, Abrechnungs-Integrität und Rechtsansprüche. Soweit Log-Einträge einer gesetzlichen Aufbewahrungspflicht (Handels- bzw. Steuerrecht) unterliegen, werden diese Einträge zugriffsbeschränkt für die gesetzliche Frist aufbewahrt, wie nach Art. 17 Abs. 3 lit. b DSGVO zulässig, und anschließend gelöscht.
Sicherheit. Anwendungsdaten werden auf EU-gehosteter Infrastruktur (Hetzner DE) verschlüsselt gespeichert und über TLS transportverschlüsselt. Der Zugriff ist auf autorisiertes Personal mit rollenbasierter Zugriffskontrolle beschränkt.
Automatisierte Entscheidungen. Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen über natürliche Personen, die rechtliche oder ähnlich erhebliche Auswirkungen im Sinne des Art. 22 DSGVO entfalten.
Aufsichtsbehörde. Sie können Beschwerde bei der zuständigen Datenschutz- Aufsichtsbehörde einlegen, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), www.lda.bayern.de.
Auftragsverarbeitungsvertrag. Kunden, die als Verantwortliche handeln, werden durch unseren bereits vorab unterzeichneten Auftragsverarbeitungs- vertrag (Art. 28 DSGVO) unter /legal/avv abgedeckt, der mit der Registrierung als angenommen gilt. Eine gegengezeichnete PDF-Ausfertigung ist auf Anfrage über info@compliancelint.com erhältlich.
Nach DSGVO haben Sie folgende Rechte:
Zur Wahrnehmung dieser Rechte kontaktieren Sie uns unter info@compliancelint.com.
Bei datenschutzbezogenen Fragen erreichen Sie uns unter: info@compliancelint.com