Datenschutzerklärung

Stand: Oktober 2026

Diese Anwendung ist ein internes Werkzeug des Instituts, bei dem Sie beschäftigt sind. Sie läuft im Haus des Instituts und in seinem Netz. Verantwortlich für die Verarbeitung Ihrer Daten ist das Institut, nicht der Hersteller der Software. Die Fristen auf dieser Seite sind die, die das Institut eingestellt hat.

1. Verantwortliche Stelle

Das Institut hat die verantwortliche Stelle noch nicht eingetragen.

2. Datenschutzbeauftragter

Das Institut hat seinen Datenschutzbeauftragten noch nicht eingetragen.

3. Welche Daten, wozu, auf welcher Grundlage, wie lange

Daten	Zweck	Rechtsgrundlage	Speicherdauer
Ihr Konto: dienstliche E-Mail-Adresse (verschlüsselt), Passwort (nur als Hash), Team, Bereich, Berechtigungsstufe	Anmeldung und Zugriffsrechte	Art. 6 Abs. 1 Buchst. b und c DSGVO (Beschäftigungsverhältnis; Pflicht des Instituts zu einer ordnungsgemäßen Geschäftsorganisation, § 25a KWG)	bis das Institut das Konto löscht
Sicherheitsprotokoll: An- und Abmeldungen, Fehlversuche, Sperren, Änderungen an Konten und Rechten, Abrufe gespeicherter Verträge, Ansehen der Protokolle – mit Konto und Zeitpunkt	Nachweis, wer wann was getan hat; Kontrolle der Zugriffe	Art. 6 Abs. 1 Buchst. c DSGVO mit § 25a Abs. 1 KWG	mindestens 5 Jahre ab dem Ende des Jahres des Eintrags
Rechneradresse (IP-Adresse) und Browserkennung zu diesen Einträgen	Erkennen und Aufklären von Angriffen und Missbrauch	Art. 6 Abs. 1 Buchst. c mit Art. 32 DSGVO und den Pflichten des Instituts nach der Verordnung (EU) 2022/2554 (DORA)	12 Monate, dann leert die Anwendung sie; der Eintrag bleibt
Änderungsverlauf: wer Klauseln, Regeln und Einstellungen wann geändert hat, mit altem und neuem Wert	Nachweis, welche Fassung wann galt	Art. 6 Abs. 1 Buchst. c DSGVO mit § 257 HGB und § 147 AO	solange die Fassung gilt, danach mindestens 10 Jahre
Freigaben und Änderungsanträge: wer eingereicht, geprüft und entschieden hat (E-Mail-Adresse verschlüsselt)	Nachweis des Vier-Augen-Prinzips	Art. 6 Abs. 1 Buchst. c DSGVO mit § 25a KWG, § 257 HGB und § 147 AO	solange die Fassung gilt, danach mindestens 10 Jahre
Gespeicherte Verträge mit Ersteller, Kunden- und Darlehensnummer (verschlüsselt) – nur, wenn das Institut das Vertragsarchiv eingeschaltet hat	Nachweis erstellter Verträge	Art. 6 Abs. 1 Buchst. c DSGVO mit § 257 HGB und § 147 AO	mindestens 10 Jahre ab dem Ende des Jahres der Erstellung
Fehlgeschlagene Anmeldung für eine Adresse, zu der es kein Konto gibt: die eingegebene Adresse, Rechneradresse und Browserkennung – das kann eine fremde Person sein	Schutz vor Angriffen auf die Anmeldung	Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse an der Sicherheit)	12 Monate, dann geleert
Technische Logdateien des Servers: Betriebsmeldungen mit Konto-Nummer, Rechneradresse nur gekürzt, keine E-Mail-Adressen	Betrieb und Fehlersuche	Art. 6 Abs. 1 Buchst. c mit Art. 32 DSGVO	30 Tage; Ersatz für Protokolleinträge, die die Datenbank nicht annahm, 365 Tage

Eine längere Frist stellt das Institut nur mit Begründung ein; vor Ablauf der Frist lassen sich die Einträge nicht löschen (Art. 17 Abs. 3 Buchst. b DSGVO). Danach löscht sie ein Löschlauf, den das Institut startet. Sicherungen der Datenbank enthalten dieselben Daten; das Institut legt fest, wie lange es sie aufbewahrt.

4. Vertragstexte und Kundendaten

Die Vertragstexte entstehen auf dem Server aus den Klauseln und Ihren Eingaben, zum Beispiel Kunden- und Darlehensnummer, Namen, Beträgen und Kontoverbindungen. Aufbewahrt werden sie nur, wenn das Institut das Vertragsarchiv eingeschaltet hat – dann verschlüsselt, und jeder Abruf steht im Sicherheitsprotokoll.

5. Wer die Daten sieht

Die Protokolle sehen nur Konten mit dem Recht „Audit-Logs“ – ab Werk die Administration, wenn das Institut es so festlegt auch die Revision. Jedes Ansehen steht selbst im Protokoll.
Wie die Protokolle ausgewertet werden dürfen, regelt das Institut mit seiner Arbeitnehmervertretung. Eine Leistungs- oder Verhaltenskontrolle nimmt die Anwendung nicht von sich aus vor.
E-Mails (Anmeldecode, Passwort-Link, Einladung) gehen über den Mailserver des Instituts.
Der Hersteller der Software hat keinen Zugang. Hilft er bei einer Störung oder einem Update und kann dabei Daten sehen, tut er das im Auftrag des Instituts (Art. 28 DSGVO).
Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

6. Cookies

Die Anwendung setzt nur Cookies, die für den Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); sie braucht dafür keine Einwilligung. Tracking und Analyse gibt es nicht.

Cookie	Zweck	Laufzeit
Sitzung	hält Sie angemeldet	bis zur Abmeldung, höchstens bis zum Ablauf der Sitzung
Schutz vor gefälschten Anfragen (CSRF)	stellt sicher, dass eine Änderung von dieser Anwendung kommt	Sitzung
Zweiter Anmeldeschritt	verbindet die Eingabe des Codes mit dem Passwort davor	wenige Minuten
Bekannter Browser	erkennt den Browser, an dem Sie sich schon angemeldet haben, damit Fremde Ihr Konto nicht durch falsche Passwörter sperren können; enthält keine Zugangsdaten	180 Tage nach Ihrer letzten Anmeldung

7. Ihre Rechte

Auskunft über Ihre Daten (Art. 15 DSGVO)
Berichtigung falscher Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO), soweit keine Pflicht zur Aufbewahrung besteht
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit für die Angaben Ihres Kontos (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf dem berechtigten Interesse beruhen (Art. 21 DSGVO)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Wenden Sie sich dafür an die verantwortliche Stelle oder den Datenschutzbeauftragten (Abschnitte 1 und 2).

8. Pflicht zur Angabe, keine automatisierte Entscheidung

Ohne Konto können Sie die Anwendung nicht nutzen. Die Regeln der Anwendung schlagen Klauseln für einen Vertrag vor; über Sie als Person entscheidet die Anwendung nichts automatisch (Art. 22 DSGVO).

Stand: Oktober 2026 · Vorlage des Herstellers, ergänzt durch die Angaben des Instituts