Datenschutzerklärung

GRADIFY GmbH, Kaiser-Friedrich-Ring 21, 40545 Düsseldorf. Geschäftsführer: Dr. David Prinz. Telefon: +49 211 54248090, E-Mail: datenschutz@gradify.de. AG Düsseldorf, HRB 83034, USt-ID: DE317791651.

Die Plattform unterstützt Insolvenzverwalter bei der Liquiditätsplanung. Verarbeitet werden: Kontodaten des Verfahrens (Kontoauszüge, Buchungen, Salden), Verfahrensdaten (Aktenzeichen, Gericht, Stichtage, Vertragsregeln), Nutzerdaten (Name, E-Mail, Anmeldedaten), Protokolldaten (IP-Adresse, Browser, Zugriffszeitpunkte) sowie Bestell- und Zahlfreigaben.

Die Verarbeitung erfolgt im Rahmen eines Auftragsverarbeitungsverhältnisses (Art. 28 DSGVO). Der Insolvenzverwalter bleibt Verantwortlicher für die Verfahrensdaten. Ein AVV wird auf Anfrage bereitgestellt.

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), berechtigtes Interesse für Nutzungsanalyse und IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Hosting: Vercel Inc. (USA), zertifiziert unter dem EU-US Data Privacy Framework. Server-Logfiles (IP, Browser, Zeitpunkt) werden nach max. 30 Tagen gelöscht.

Datenbank: Neon PostgreSQL in Frankfurt am Main (AWS eu-central-1). Alle Verfahrensdaten verbleiben innerhalb der EU.

Im Anwendungsbereich (Admin, Kunden- und Buchhalter-Portal) verwenden wir ausschließlich technisch notwendige Cookies für die Authentifizierung. Auf den öffentlichen Marketing-Seiten (cases.gradify.de) setzen wir zusätzlich optionale Statistik-Cookies — ausschließlich nach Ihrer Einwilligung (siehe Abschnitt „Nutzungsanalyse"). Keine Marketing-Cookies.

Die Authentifizierungs-Cookies sind httpOnly und werden verschlüsselt übertragen. Die Statistik-Cookies (_gfy, _gfv) werden clientseitig nur nach Einwilligung gesetzt und lassen sich jederzeit über die Cookie-Einstellungen widerrufen. Lokaler Speicher (localStorage) wird nur für UI-Einstellungen verwendet (Theme, Consent-Status).

Im Kundenportal erfassen wir zur Qualitätssicherung: aufgerufene Seiten, Verweildauer, Anmeldezeitpunkte, IP-Adresse und Browser-Kennung. Die Erfassung erfolgt über serverseitige API-Aufrufe — keine Tracking-Cookies, keine Drittanbieter-Tools. Alle Daten verbleiben in unserer eigenen Datenbank.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Sie können jederzeit widersprechen (Art. 21 DSGVO) — per E-Mail an datenschutz@gradify.de.

Öffentliche Marketing-Seiten (cases.gradify.de): Hier erfassen wir — ausschließlich mit Ihrer Einwilligung — pseudonyme Nutzungsstatistiken (aufgerufene Seiten, Verweildauer, Scrolltiefe, Klicks auf weiterführende Links). Dabei werden die Cookies _gfy und _gfv gesetzt; zur groben Einordnung des fachlichen Umfelds kann die IP-Adresse zu einer Organisation aufgelöst werden. Die Verarbeitung erfolgt über unsere eigene Infrastruktur (team.gradify.de), nicht über Drittanbieter. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können diese jederzeit über die Cookie-Einstellungen im Seitenfuß widerrufen.

In der Schnell-Prognose können Sie eine BWA hochladen, aus der die Positionen automatisch ausgelesen werden. Die hochgeladene Datei wird in unserer Datenbank gespeichert (siehe Hosting & Infrastruktur). Der Standardweg ist eine rein rechnerische Auslesung des PDF-Textes in unserem eigenen System — dabei werden keine Daten an Dritte übermittelt.

Eine Übermittlung an Google Cloud (Vertex AI) findet nur mit Ihrer Zustimmung statt — beim Hochladen über die Option „Per KI auslesen", oder später über die Schaltfläche „KI-Monatswerte auslesen", die Sie vor der Übermittlung noch einmal bestätigen müssen. Mit der Zustimmung kann Folgendes übermittelt werden, jeweils nur, soweit die rechnerische Auslesung es nicht allein leistet:

• die ausgewerteten Seiten der BWA (als PDF) zusammen mit ihrem Text (Wörter und Zahlen), damit die KI die Positionen, die maßgebliche Spalte und den Zeitraum liest — jede Zahl wird danach in unserem System wörtlich und rechnerisch gegen das Dokument geprüft;
• die PDF-Datei, um die einzelnen Monatswerte auszulesen und um gescannte BWAs ohne maschinenlesbaren Text zu lesen;
• Bilder der ausgewerteten Seiten für eine zweite, unabhängige Prüfung der gelesenen Zahlen.

Die Zustimmung gilt für die jeweilige BWA auch dann, wenn sie erneut ausgelesen wird (etwa nach einer Korrektur des Geschäftsjahrs oder der Auswahl einer anderen Auswertung). Ohne Zustimmung wird Ihre BWA nicht an Google übermittelt.

• Verarbeitungsort: Region europe-west3 (Frankfurt am Main, Deutschland) für Monatswerte, Scans und die zweite Prüfung; das Lesen der Positionen erfolgt in der EU-Multiregion von Google (Endpunkt „eu“). Beide Endpunkte liegen innerhalb der Europäischen Union.
• Zweck: Erkennen der maßgeblichen Tabelle, Auslesen der Monatswerte, Texterkennung bei eingescannten Dokumenten und zweite Prüfung der gelesenen Zahlen.
• Kein Modelltraining: Google verpflichtet sich vertraglich, Kundendaten nicht ohne gesonderte Erlaubnis zum Training von KI-Modellen zu verwenden.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zeitpunkt und Herkunft der Einwilligung werden protokolliert.
• Widerruf: Sie können die Option bei künftigen Uploads abwählen und die KI-Schaltflächen ungenutzt lassen; die Auslesung erfolgt dann ausschließlich rechnerisch. Für eine bereits hochgeladene BWA mit Zustimmung entfernen Sie die BWA und laden sie ohne Häkchen erneut hoch. Ein Widerruf wirkt für die Zukunft — bereits übermittelte Daten kann er nicht zurückholen.
• Entfernen: Eine hochgeladene BWA können Sie jederzeit entfernen. Sie wird damit sofort aus unserem System gelöscht; in unseren verschlüsselten Datensicherungen bleibt sie bis zum Ablauf von deren Aufbewahrung enthalten (siehe Speicherdauer & Löschung). Beim KI-Dienst löscht das Entfernen nichts.
• Speicherdauer: Die hochgeladene BWA-Datei bleibt bei uns gespeichert, bis Sie sie entfernen oder die Geschäftsbeziehung endet. Bilder der Seiten für die zweite Prüfung löschen wir nach Abschluss der Prüfung, spätestens beim nächsten Hochladen einer BWA nach einem Abbruch. Für die Speicherung beim KI-Dienst gelten dessen Bedingungen.

Die Muttergesellschaft von Google Cloud hat ihren Sitz in den USA. Ein behördlicher Zugriff nach US-Recht lässt sich daher nicht vollständig ausschließen, auch wenn die Verarbeitung in der EU stattfindet.

Im Freigabe-Modul wird ein eingereichter Beleg (Rechnung, Zahlungsaufforderung, Erstattungsformular o. Ä.) automatisch mit den Angaben der Anfrage abgeglichen. Die Prüfung läuft, wenn eine Anfrage mit Beleg eingereicht oder ein Beleg nachgereicht wird, sowie bei Auslösen von „Erneut prüfen“.

• Dienst und Verarbeitungsort: Google Cloud (Vertex AI), Region europe-west3 (Frankfurt am Main, Deutschland), über einen regionalen Endpunkt innerhalb der Europäischen Union. Ist dieser Zugang nicht verfügbar, unterbleibt die Prüfung — eine Übermittlung an einen anderen Ort findet nicht statt.
• Übermittelte Daten: die Beleg-Datei (PDF oder Bild) vollständig. Belege können personenbezogene Daten enthalten, etwa Namen, Anschriften und Bankverbindungen.
• Zweck: Auslesen von Gläubiger, Rechnungsdatum, Betrag, Leistungsdatum und IBAN des Zahlungsempfängers und Abgleich mit den Angaben der Anfrage. Das Ergebnis ist ein Hinweis für die freigebende Person; über die Freigabe entscheidet ein Mensch.
• Kein Modelltraining: Google verpflichtet sich vertraglich, Kundendaten nicht ohne gesonderte Erlaubnis zum Training von KI-Modellen zu verwenden.
• Rechtsgrundlage: Die Belegprüfung ist Bestandteil der Freigabe-Funktion und erfolgt im Rahmen der Auftragsverarbeitung für den Insolvenzverwalter (Art. 28 DSGVO); Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Eine gesonderte Einwilligung wird dafür nicht eingeholt.
• Speicherdauer: Beleg und Prüfergebnis bleiben als Teil der Verfahrensdaten bei uns gespeichert (siehe „Speicherdauer & Löschung“). Für die Speicherung beim KI-Dienst gelten dessen Bedingungen.

Die Muttergesellschaft von Google Cloud hat ihren Sitz in den USA. Ein behördlicher Zugriff nach US-Recht lässt sich daher nicht vollständig ausschließen, auch wenn die Verarbeitung in der EU stattfindet.

• Verfahrensdaten: Dauer der Geschäftsbeziehung, dann gesetzliche Aufbewahrungsfristen (6 Jahre § 257 HGB, 10 Jahre § 147 AO).
• Nutzungsprotokolle: Dauer der Geschäftsbeziehung, dann nach gesetzlichen Aufbewahrungsfristen.
• Server-Logfiles: Max. 30 Tage.
• Session-Daten: 8–24 Stunden (automatisch).
• Datensicherungen: Die Datenbank wird nächtlich verschlüsselt gesichert. Tägliche Stände bewahren wir 30 Tage auf, den Stand vom Monatsersten 13 Monate. Was Sie bei uns löschen, verschwindet damit sofort aus dem laufenden System und aus den Sicherungen, sobald deren Aufbewahrung abgelaufen ist — spätestens nach 13 Monaten.

Nach Verfahrensende: vollständige Löschung oder Datenexport auf Anfrage.

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21 DSGVO). Kontakt: datenschutz@gradify.de.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Postfach 20 04 44, 40102 Düsseldorf, Tel. +49 211 38424-0, poststelle@ldi.nrw.de.