1. Verantwortlicher
Kapther – Kappelmeier & Günther GbR Beratung
vertreten durch die Gesellschafter Maximilian Kappelmeier und Benjamin Günther
Gaisbornstraße 12, 56566 Neuwied
E-Mail: kontakt@kapther.de
Datenschutzbeauftragter:
Benjamin Günther
Kappelmeier & Günther GbR Beratung
Gaisbornstraße 12, 56566 Neuwied
E-Mail: kontakt@kapther.de
2. Verantwortlichkeit / Rollen
Für die bei Besuch und Registrierung der Plattform anfallenden Daten (Account-, Abrechnungs- und Nutzungsdaten) ist der Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Für die im Rahmen der Arbeitssicherheitsdokumentation eingegebenen Beschäftigtendaten ist der jeweilige Arbeitgeber (Kunde) Verantwortlicher; der Anbieter verarbeitet diese Daten ausschließlich als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Anfragen betroffener Personen zu Beschäftigtendaten richten Sie bitte an Ihren Arbeitgeber.
3. Erhebung und Speicherung personenbezogener Daten
Beim Besuch der Plattform werden automatisch folgende Daten erhoben:
- IP-Adresse des anfragenden Rechners
- Datum und Uhrzeit des Zugriffs
- Name und URL der abgerufenen Seite
- Übertragene Datenmenge
- Erfolgsmeldung des Abrufs
- Browsertyp und -version
- Betriebssystem
Bei der Registrierung und Nutzung der Plattform erheben wir zusätzlich: Name, E-Mail-Adresse, Firmenname sowie die im Rahmen der Arbeitssicherheitsdokumentation eingegebenen Daten.
4. Nutzung der Daten
Die erhobenen Daten werden ausschließlich für folgende Zwecke verwendet:
- Bereitstellung und Verbesserung der SaaS-Plattform (Art. 6 Abs. 1 lit. b DSGVO)
- Vertragserfüllung im Bereich Arbeitssicherheitsdokumentation
- Sicherstellung der Systemsicherheit und -stabilität (Art. 6 Abs. 1 lit. f DSGVO)
5. Weitergabe von Daten
Eine Weitergabe personenbezogener Daten an Dritte erfolgt nicht, es sei denn, dies ist zur Vertragserfüllung erforderlich oder wir sind gesetzlich dazu verpflichtet (z. B. auf Anordnung einer Aufsichtsbehörde oder eines Gerichts). Die eingesetzten Auftragsverarbeiter (Hosting, E-Mail-Versand, KI) sind im Auftragsverarbeitungsvertrag abschließend benannt und werden dort aktuell gehalten.
6. Cookies
Die Plattform verwendet ausschließlich technisch notwendige Session-Cookies für die Authentifizierung (Login). Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Die Session-Cookies werden nach dem Abmelden bzw. nach Ablauf der Sitzungsdauer automatisch gelöscht.
7. Rechte der betroffenen Person
Sie haben gemäß DSGVO folgende Rechte:
- Auskunftsrecht (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO), sofern keine gesetzlichen Aufbewahrungspflichten bestehen
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruchsrecht (Art. 21 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@kapther.de. Betrifft Ihre Anfrage Beschäftigtendaten, die wir im Auftrag Ihres Arbeitgebers verarbeiten, leiten wir sie an diesen weiter.
8. Beschwerderecht bei einer Aufsichtsbehörde
Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.
Zuständige Aufsichtsbehörde (Sitz des Verantwortlichen in Rheinland-Pfalz):
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP)
Hintere Bleiche 34
55116 Mainz
E-Mail: poststelle@datenschutz.rlp.de
9. Speicherdauern
Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:
- Vertragsdaten: Dauer des Vertragsverhältnisses + 30 Tage Datenübernahme
- Rechnungsdaten: 10 Jahre (§ 147 AO, § 257 HGB)
- Unterweisungsnachweise: Mindestens 2 Jahre (eigene Festlegung; das ArbSchG nennt keine Aufbewahrungsfrist)
- Gefährdungsbeurteilungen: Mindestens 5 Jahre
- CMR-Expositionsverzeichnis: 40 Jahre (§ 10a Abs. 2 GefStoffV)
- Verbandbuch: 5 Jahre (DGUV)
- Server-Logs: 7 Tage
- Bewerberdaten: 6 Monate nach Abschluss des Verfahrens
10. Hosting
Die Plattform wird bei Railway (Railway Corp., Sitz San Francisco/USA) betrieben. Die Server-Region ist Amsterdam/Niederlande (europe-west4) und liegt damit in der EU; der Umzug aus der vorherigen Region Singapur erfolgte am 13.08.2026. Dort wird der Plattform-Datenbestand gespeichert; dieser kann besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Angaben aus Verbandbuch, arbeitsmedizinischer Vorsorge oder Expositionsverzeichnis) umfassen. Diese Daten werden zusätzlich verschlüsselt gespeichert; die Schlüssel liegen bei uns. Eine Speicherung des Plattform-Datenbestandes in einem Drittland findet nicht mehr statt. Da der Anbieter seinen Sitz in den USA hat, ist ein administrativer Zugriff aus einem Drittland nicht vollständig auszuschließen; hierfür gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).
10a. E-Mail-Versand
Für den Versand von System-E-Mails (z. B. Erinnerungen, Bestätigungslinks, Benachrichtigungen) setzen wir Resend (Resend, Inc., USA) als primären Versanddienstleister sowie Zoho (EU-Endpunkt) ein. Übermittelt werden dabei die Empfängeradresse, der Betreff und der Inhalt der jeweiligen Nachricht. Die Übermittlung an Resend in die USA ist durch die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) abgesichert; mit den Dienstleistern bestehen Auftragsverarbeitungsverträge (Art. 28 DSGVO). Inhalte des Plattform-Datenbestandes werden nicht übermittelt, sondern nur die jeweils versandte Nachricht.
11. KI-gestützter Plattform-Assistent
Für den KI-gestützten Plattform-Assistenten und für KI-gestützte Entwürfe (z. B. Vorschläge zu Gefährdungsbeurteilungen) nutzen wir die Schnittstelle von Anthropic, PBC (USA). An die KI werden ausschließlich anonymisierte Inhalte ohne Personenbezug übermittelt; ein Rückschluss auf einzelne Beschäftigte ist dabei ausgeschlossen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht an die KI übermittelt. Mit Anthropic besteht ein Datenverarbeitungsvertrag; eine Nutzung der übermittelten Inhalte zum Training der Modelle ist vertraglich ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung eines Hilfe-Systems). Für die automatische Suche nach Sicherheitsdatenblättern nutzen wir zusätzlich die Such-Schnittstelle von Serper (USA); dorthin werden ausschließlich Produkt- und Herstellerbezeichnungen übermittelt, keine personenbezogenen Daten.
Stand: 13.08.2026