Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Normkreis
verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage (Art. 13 DSGVO).

1. Verantwortlicher

Kowalczyk GmbH
Silberschlag 23
31789 Hameln
Deutschland
Vertreten durch den Geschäftsführer Philipp Kowalczyk
Kontakt: [auszufüllen – identisch mit dem Impressum]

2. Datenschutzbeauftragter

[auszufüllen – benannt oder nicht benannt; die Pflicht hängt an Art. 37 DSGVO
und § 38 BDSG und damit an der Zahl der Beschäftigten]

3. Der öffentliche Betroffenheitscheck verarbeitet nichts auf unserem Server

Der Betroffenheitscheck auf dieser Seite rechnet vollständig im Browser der
Besucherin oder des Besuchers. Die Angaben zu Sektor, Größe und Umsatz
verlassen das Gerät nicht; sie werden weder übertragen noch gespeichert noch
protokolliert. Zugänge zu Normkreis richtet derzeit der Betreiber ein; der
Check endet deshalb mit dem Hinweis „Zugang anfragen“ und überträgt auch dann
nichts. Nur wenn die Selbstregistrierung eingeschaltet ist und jemand
ausdrücklich „mit diesen Angaben ein Konto einrichten“ wählt, werden die
Angaben an uns übermittelt und als Teil des Kundenkontos verarbeitet
(Ziffer 4).

4. Verarbeitung im Kundenkonto

Zweck: Bereitstellung der Anwendung für Unternehmen, mit denen ein Vertrag
besteht. Ein Zugang entsteht über eine Einladung, die der Betreiber oder ein
Inhaber des Mandanten ausstellt.
Daten: Name, E-Mail-Adresse, Passwort (nur als Hash), Rolle je Mandant, der
zweite Faktor (das Geheimnis verschlüsselt, Wiederherstellungscodes nur als
Hash) [auszufüllen – „verschlüsselt“ gilt erst, wenn der Belegschlüssel auf
dem Server eingerichtet ist (Betriebshandbuch V7); vor der Freigabe prüfen], Zeitpunkt der letzten Anmeldung, die Angaben zum Haus, die erfassten
Maßnahmen, Aufgaben und Belege sowie ein Änderungsprotokoll, das festhält, wer
wann was geändert hat.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: bis zur Löschung des Mandanten, die der Inhaber jederzeit
verlangen kann; ein Zugang, der danach keinem Mandanten mehr angehört, wird
mit gelöscht.

Für die Inhalte, die ein Kunde in seinem Mandanten ablegt – Belege, Angaben
zu Beschäftigten, Lieferanten oder Vorfällen –, verarbeiten wir Daten in
seinem Auftrag; dafür gilt der Vertrag zur Auftragsverarbeitung.

5. Rechnungsdaten

Zweck: Abrechnung des Abonnements.
Daten: Rechnungsanschrift, Rechnungs-E-Mail-Adresse, Umsatzsteuer-
Identifikationsnummer des Kunden, gebuchte Bausteine und die ausgestellten
Rechnungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6
Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
Speicherdauer: Rechnungen werden zehn Jahre aufbewahrt (§ 147 AO). Vor der
Löschung eines Mandanten gehen sie als PDF in das Buchhaltungsarchiv der
Kowalczyk GmbH und werden dort getrennt vom Mandanten aufbewahrt; im
Mandanten selbst werden sie mit gelöscht.

6. Betriebssicherheit

Zweck: Erkennen und Abwehren von Angriffen, Betrieb der Server.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem
sicheren Betrieb).
Schutz gegen Passwortraten: Nach fehlgeschlagenen Anmeldungen speichert
Normkreis je eingegebener E-Mail-Adresse und je Quelladresse (IP-Adresse) die
Zahl der Fehlversuche und den Zeitpunkt des letzten. Gespeichert werden nicht
Adresse und IP selbst, sondern nur ihr SHA-256-Hash; ein Zähler, der einen Tag
lang keinen Fehlversuch mehr hatte, wird gelöscht. Nach zehn Fehlversuchen in
Folge steht ein Eintrag im Änderungsprotokoll der Mandanten, denen das Konto
angehört.
Die Anwendung führt kein Zugriffsprotokoll mit IP-Adressen. Der Webserver
protokolliert nur Anmeldeversuche (das Absenden der Anmeldeseite und des
zweiten Faktors): Zeitpunkt, IP-Adresse, aufgerufene Adresse, Antwortcode,
Dauer und Größe der Antwort,
ohne Kopfzeilen; das Protokoll wird nach sieben Tagen gelöscht. Es dient
allein dazu, eine IP-Adresse nach vielen Fehlversuchen für eine Stunde zu
sperren. Fehlermeldungen des Dienstes stehen im Systemprotokoll des Servers.
[auszufüllen – wie lange das Systemprotokoll aufbewahrt wird, auf dem Server
nachmessen]
Sicherungen: Datenbank und Belege werden täglich gesichert; die Belege liegen
dort nur verschlüsselt [auszufüllen – gilt erst nach Einrichtung des
Belegschlüssels (Betriebshandbuch V7); vor der Freigabe prüfen]. Nach einer Löschung bleiben Daten in den Sicherungen,
bis diese ablaufen: auf dem Server sieben Generationen, außer Haus mindestens
30 Tage. [auszufüllen – längste Aufbewahrung der Sicherung außer Haus]

7. Keine Tracker, keine fremden Inhalte

Normkreis bindet keine Schriften, Skripte, Karten oder Analysedienste von
fremden Servern ein. Es werden keine Cookies zu Analyse- oder Werbezwecken
gesetzt. Normkreis setzt nur Cookies, die für den Dienst unbedingt
erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG):

- `nk_session` – die Sitzung nach der Anmeldung, 30 Tage, endet mit der
  Abmeldung;
- `nk_anmeldung` – der Schritt zwischen Passwort und zweitem Faktor,
  10 Minuten;
- `nk_check` – nur bei eingeschalteter Selbstregistrierung: die Angaben aus
  dem Betroffenheitscheck, nachdem jemand sie ausdrücklich übergeben hat,
  15 Minuten.

8. Empfänger und Auftragsverarbeiter

Hosting: netcup GmbH, Karlsruhe [auszufüllen – Sitz mit dem AV-Vertrag
abgleichen]; der Server steht im Rechenzentrum in Nürnberg. Mit netcup besteht
ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO [auszufüllen – erst
stehen lassen, wenn er geschlossen ist].
Sicherung außer Haus: [auszufüllen – Anbieter der Storage Box mit Sitz und
Standort; der AV-Vertrag schließt der Betreiber]
Es gibt keine Unterauftragsverarbeiter in den USA und keine Übermittlung in
Drittländer [auszufüllen – mit den Unterauftragsverarbeitern von netcup und
dem Anbieter der Storage Box abgleichen]. Normkreis versendet keine E-Mails und bindet keinen
Zahlungsdienstleister ein; Rechnungen werden per Überweisung bezahlt.

9. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung
(Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen
nach Art. 6 Abs. 1 lit. f (Art. 21) sowie das Recht auf Beschwerde bei einer
Aufsichtsbehörde (Art. 77).

Zuständige Aufsichtsbehörde:
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover

Stand: November 2026

Datenschutzerklärung · Normkreis