Datenschutzerklärung
Stand: 5. Oktober 2026
Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Plattform ist Picture Perfect Film- & Videoproduktion - Sascha Manke, Westerbachstraße 50, 60489 Frankfurt am Main (siehe Impressum). Bei Fragen zum Datenschutz erreichst du uns unter info@normproof.de.
Zwecke und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten für den Betrieb der Plattform: Nutzerkonten (Name, E-Mail-Adresse), Schulungsteilnahme und -ergebnisse (Wissensabfragen, Zertifikate) sowie von dir hochgeladene Qualifikationsnachweise. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und - für besondere Kategorien - deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Registrierst du dich für einen kostenlosen Testzugang, verarbeiten wir deine Kontaktdaten zusätzlich, um dich zu deinem Testzugang und zu unserem Angebot anzusprechen. Rechtsgrundlage dafür ist unser berechtigtes Interesse an der Ansprache von Interessenten (Art. 6 Abs. 1 lit. f DSGVO); für Werbung per E-Mail oder Telefon ist es deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du bei der Registrierung erteilen kannst und die freiwillig ist. Dieser Ansprache kannst du jederzeit widersprechen und eine erteilte Einwilligung jederzeit widerrufen, ohne dass dir dadurch Nachteile entstehen; eine Nachricht an die oben genannte Adresse genügt.
Ansprache ohne vorherigen Kontakt
Wir sprechen Unternehmen an, zu denen bisher kein Kontakt bestand. Die dafür verwendeten Kontaktdaten stammen nicht von den betroffenen Personen selbst. Die Daten stammen aus dem öffentlich zugänglichen Register des ERFA DIN 2303 (din2303.de), von der Webseite des jeweiligen Unternehmens sowie aus weiteren öffentlich zugänglichen Quellen im Internet. Verarbeitet werden Name, geschäftliche E-Mail-Adresse, Funktion und Firmenzugehörigkeit. Zweck ist die einmalige Vorstellung unseres Angebots. Rechtsgrundlage ist das berechtigte Interesse an Direktwerbung (Art. 6 Abs. 1 Buchstabe f DSGVO). Die Daten werden gespeichert, solange die Ansprache zu diesem Angebot läuft, und gelöscht, sobald ein Widerspruch vorliegt oder feststeht, dass kein Interesse besteht. Eine Weitergabe an Dritte findet nicht statt. Es besteht ein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Der Verwendung der Daten für Werbung kann jederzeit widersprochen werden; danach erfolgt keine weitere Ansprache. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Verantwortlich ist die im Impressum genannte Stelle.
Gesundheitsbezogene Nachweise (Art. 9 DSGVO)
Nachweise wie arbeitsmedizinische Vorsorge (G37) oder Sehtests können Gesundheitsdaten enthalten. Diese Dokumente gehören dir: Du entscheidest über jede Freigabe an deine Firma einzeln und kannst sie jederzeit widerrufen. Ohne deine aktive Freigabe sieht deine Firma das Dokument nicht.
Ärztliche Unterlagen in deinen Nachweisen (Art. 9 DSGVO)
Ärztliche Unterlagen, die du selbst in deine Nachweise lädst, gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); du erteilst sie beim Hochladen und nimmst sie zurück, indem du die Unterlage löschst. Zweck ist allein, dass du sie selbst zur Hand hast. Sie ist ausschließlich für dich sichtbar: nicht für deinen Betrieb und nicht für eine Aufsicht. Auch wir sehen sie nicht ein. Sie wird nicht freigegeben und nicht in Berichte, Prüfungspakete, Datenpakete oder Ausfuhren deines Betriebs aufgenommen; maschinell gelesen wird sie nicht. In dein eigenes Datenpaket nehmen wir sie auf, denn dieses Paket ist unsere Antwort auf dein Auskunfts- und Übertragungsrecht. Die Datei ist verschlüsselt gespeichert; den Schlüssel dazu halten wir, weil sie beim Abruf auf unserem Server entschlüsselt wird. Eine Oberfläche, die sie uns zeigt, gibt es nicht. Eine gesetzliche Aufbewahrungsfrist besteht nicht; die Unterlagen über die Vorsorge führt die Ärztin oder der Arzt. Wir löschen die Unterlage sechs Monate nach Ablauf ihrer Gültigkeit, bei Unterlagen ohne Ablaufdatum sechs Monate nach dem Hochladen, und melden uns vierzehn Tage vorher bei dir; du kannst jederzeit vorher selbst löschen. Gelöscht werden dabei die Datei, jede daraus erzeugte Lesefassung und eine durch eine neue Unterlage ersetzte Vorgängerfassung. Wird dein Konto gelöscht, löschen wir diese Unterlagen vollständig; sie werden nicht aufbewahrt und nicht pseudonymisiert.
Lieferketten-Ansicht (Zulieferer-Verknüpfung)
Betriebe können sich als Auftraggeber und Zulieferer miteinander verknüpfen. Die Verknüpfung entsteht ausschließlich, wenn der Zulieferer eine Einladung aktiv annimmt; dabei wählt er selbst, welche Bereiche er freigibt, und kann die Freigabe jederzeit widerrufen. Übermittelt werden dabei ausdrücklich nur zusammengefasste Zahlen (etwa „12 Nachweise gültig, 2 laufen ab") - niemals Namen, Kontaktdaten oder Dokumente einzelner Beschäftigter des Zulieferers. Gesundheitsbezogene Nachweise (Art. 9 DSGVO) werden nicht durchgereicht, auch nicht als Dokumenttyp. Rechtsgrundlage für die Übermittlung dieser Aggregatwerte ist das berechtigte Interesse beider Betriebe an der Qualitätssicherung in der Lieferkette (Art. 6 Abs. 1 lit. f DSGVO) in Verbindung mit der ausdrücklichen Freigabe des Zulieferers.
Bestell- und Abrechnungsdaten
Bei Lizenz-Bestellungen verarbeiten wir Firmendaten, Bestellmenge, Rechnungsnummer und Zahlungsstatus zur Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Rechnungsrelevante Daten bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre, § 147 AO / § 257 HGB) auf. Die Zahlung erfolgt wahlweise per Rechnung oder über PayPal (siehe Abschnitt „Zahlung über PayPal"). Zahlungskarten- oder Kontodaten verarbeiten wir selbst zu keinem Zeitpunkt.
Zahlung über PayPal
Wenn du die Zahlung per PayPal wählst, wirst du zur Bezahlung auf die Seiten der PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg weitergeleitet. Dabei verarbeitet PayPal als eigenständiger Verantwortlicher die für die Zahlung erforderlichen Daten (unter anderem deine IP-Adresse, deine PayPal-Kontodaten und den Zahlbetrag) nach der eigenen Datenschutzerklärung von PayPal. Wir selbst erhalten und speichern ausschließlich die Vorgangsnummer der Zahlung sowie deren Status (erfolgreich, abgebrochen) - keine Konto-, Karten- oder Adressdaten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Datenschutzerklärung von PayPal findest du unter paypal.com.
Rückmeldung zum Testzugang
Läuft ein Testzugang aus, laden wir per E-Mail zu einer kurzen, freiwilligen Rückmeldung ein. Alle Angaben dort sind optional. Deine E-Mail-Adresse speichern wir dabei nur, wenn du einer Rückfrage ausdrücklich zustimmst. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO), bei der Kontaktaufnahme deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Rückmeldung bleibt auch nach Löschung des Testzugangs gespeichert, dann jedoch ohne Bezug zu einem Nutzerkonto.
KI-Funktionen
Wir setzen KI an mehreren Stellen ein: für die Lesehilfe (Texterkennung und Übersetzung hochgeladener Dokumente), für die Übersetzung von Support-Nachrichten und für die Normauskunft im Kurs, die deine Frage beantwortet. Für alle diese Funktionen gilt: Die Verarbeitung findet ausschließlich auf eigener Infrastruktur in Deutschland statt. Es kommen lokal betriebene Modelle zum Einsatz; externe KI-Dienste (zum Beispiel US-Cloud-Anbieter) werden nicht genutzt, und es werden keine Inhalte an Dritte übermittelt. Die Lesehilfe arbeitet nur auf deine ausdrückliche Anforderung für ein einzelnes Dokument. Anders bei der Hörfassung und den Übersetzungen der Kursinhalte: diese werden an externe Sprach- und Übersetzungsdienste übermittelt. Daten von Teilnehmern sind davon nicht betroffen. Die Kursinhalte können personenbezogene Angaben enthalten, die wir selbst veröffentlichen.
Support-Anfragen
Wenn du uns eine Support-Anfrage schickst, verarbeiten wir deinen Namen, deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei Anfragen ohne bestehenden Vertrag unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Ist deine Nachricht nicht auf Deutsch verfasst, übersetzen wir sie automatisch, damit wir sie bearbeiten können; unsere Antwort übersetzen wir auf demselben Weg zurück. Die Übersetzung wird zusammen mit dem Original gespeichert. Deine Anfrage bewahren wir so lange auf, wie es zur Bearbeitung deines Anliegens und für Rückfragen dazu erforderlich ist.
Auftragsverarbeiter und Empfänger
Das Hosting der Plattform erfolgt bei der Hetzner Online GmbH (Rechenzentrum Nürnberg, Deutschland, AV-Vertrag nach Art. 28 DSGVO). Für den E-Mail-Versand (z. B. Bestätigungs- und Erinnerungs-Mails) nutzen wir die IONOS SE, ein deutsches Unternehmen mit Rechenzentren in Deutschland.
Cloudflare
Die Namensauflösung und der Zugang zur Plattform laufen über die Cloudflare, Inc. Der Aufruf der Seiten erreicht unseren Server in Deutschland über deren Netz. Die verschlüsselte Verbindung endet dabei bei Cloudflare und wird von dort zu unserem Server neu aufgebaut; Cloudflare verarbeitet deshalb nicht nur Verbindungsdaten einschließlich der IP-Adresse, sondern auch die übertragenen Inhalte. Cloudflare handelt dabei als Auftragsverarbeiter nach unseren Weisungen. Das Unternehmen hat seinen Sitz in den Vereinigten Staaten.
Auftragsverarbeitungsvertrag
Als Firmenkunde bist du für die Daten deiner Mitarbeiter verantwortlich und brauchst dafür einen Vertrag über die Verarbeitung im Auftrag (Art. 28 DSGVO). Unser Muster steht dir jederzeit zur Verfügung: https://normproof.org/avv
Anmeldung mit dem Microsoft-Firmenkonto
Sie können Ihr NormProof-Konto mit Ihrem geschäftlichen Microsoft-Konto verknüpfen und sich danach damit anmelden. Das ist freiwillig und ersetzt die Anmeldung mit E-Mail und Passwort nicht. Die Verknüpfung stellen Sie selbst her, angemeldet, in Ihrem Profil. Wir speichern dabei die Kennung Ihres Microsoft-Mandanten, die Kennung Ihres Microsoft-Kontos, den Zeitpunkt und die IP-Adresse der Verknüpfung. Ihren Namen und Ihre E-Mail-Adresse aus der Anmeldung speichern wir nicht; sie werden Ihnen höchstens angezeigt. Eine Zuordnung über die E-Mail-Adresse findet nicht statt, und über diesen Weg entsteht kein neues Konto. Die Anmeldung selbst findet bei dem Anbieter statt, den Ihr Unternehmen dafür einsetzt. Wir übermitteln dorthin keine personenbezogenen Daten; Ihr Browser stellt die Verbindung her, und wir erhalten anschließend das Ergebnis. Dass Sie sich bei NormProof angemeldet haben, wird dabei für Ihr Unternehmen bei dessen Anbieter verarbeitet, nicht durch uns. Private Microsoft-Konten sind ausgeschlossen; die Verknüpfung ist nur mit einem geschäftlichen Konto möglich. Jede Verknüpfung, jede Anmeldung, jedes Lösen und jede abgelehnte Anmeldung wird protokolliert. Sie können die Verknüpfung jederzeit in Ihrem Profil lösen; dazu ist Ihr Passwort nötig, und die gespeicherten Kennungen werden dabei gelöscht. Wenn Sie Ihr Unternehmen verlassen oder Ihr Microsoft-Konto entfällt, melden Sie sich weiter mit E-Mail und Passwort an. Ihre Nachweise bleiben Ihre.
Speicherdauer
Testzugänge (Trial) werden nach Ablauf automatisch gelöscht (inklusive hochgeladener Dokumente). Attestierungs-Einträge bewahren wir für die Dauer des Firmenkontos auf. Nach dessen Ende bleiben sie noch zwölf Monate abrufbar, damit du die Nachweise herunterladen kannst; anschließend werden sie gelöscht. Diese Einträge enthalten Prüfsummen und Metadaten, nicht die Dokumente selbst. Zugriffe auf sensible Bereiche werden protokolliert (Art. 5 Abs. 2 DSGVO). Von allen Daten bestehen Sicherungskopien. Der laufende Sicherungsbestand umfasst die Stände der letzten sieben Tage sowie fünf zusätzliche Wochenstände; einzeln angelegte Sicherungen werden nach 30 Tagen gelöscht. Beide Bestände werden täglich bereinigt, sodass eine Löschung dort spätestens nach diesen Fristen vollzogen ist. Bestehen für eine Person Nachweise, wird ihr Benutzerkonto nach längerer Nichtnutzung nicht gelöscht, sondern pseudonymisiert: Name und E-Mail-Adresse im Konto werden durch eine Kennung ersetzt. Die ausgestellten Nachweise bleiben unverändert erhalten und tragen weiter den Namen, mit dem sie ausgestellt wurden - sie belegen eine bestandene Unterweisung und müssen benennen, wer sie erbracht hat.
Sicherheit und Speicherort
Hochgeladene Dokumente werden verschlüsselt gespeichert (at rest). Die Plattform läuft auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg, Deutschland (ISO-27001-zertifizierter Betreiber, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO). Andere Kunden sehen deine Daten nicht. Innerhalb deines Firmenkontos sieht deine Firma nur, was du ausdrücklich freigegeben hast.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 15-21 DSGVO). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.
Kontakt
Für Datenschutz-Anfragen nutze bitte die Kontaktdaten im Impressum. Wir antworten innerhalb der gesetzlichen Fristen.