Datenschutzerklärung
Diese Seite beschreibt, was ComplyEU heute tatsächlich tut. Sie ersetzt keine Prüfung durch einen Rechtsanwalt.
Verantwortlicher
ComplyEU wird betrieben von Markus Schmetterling, Heggerstraße 23, 45525 Hattingen, Verantwortlicher für die hier beschriebenen Verarbeitungen. Bei Fragen zum Datenschutz erreichen Sie uns über die auf unserer Kontaktseite angegebene Adresse.
Welche Daten wir erheben
Kontodaten (Name, E-Mail-Adresse, Passwort-Hash) bei der Registrierung – oder, wenn Sie sich mit Google, GitHub oder Apple anmelden, den Namen, die E-Mail-Adresse und die Konto-ID, die uns dieser Anbieter übermittelt. Unternehmensdaten (Firmenname, Land), die Sie beim Onboarding angeben. Inhalte, die Sie zur Prüfung hochladen (Website-URLs; Rechnungsdateien sowie die daraus extrahierten Daten). Nutzungsdaten (welche Funktionen Sie nutzen, wie viele Prüfungen Sie durchführen), die zur Durchsetzung der Plan-Limits erforderlich sind. Technische Daten wie Ihre IP-Adresse, wie unter „Hosting“ und „Sicherheit und Missbrauchsschutz“ beschrieben. Zahlungsdaten werden ausschließlich von Lemon Squeezy, unserem Merchant of Record, verarbeitet – wir sehen oder speichern Ihre Kartendaten nie.
Warum wir sie verarbeiten
Um den von Ihnen gebuchten Compliance-Prüfungsdienst bereitzustellen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO); um den Dienst sicher zu betreiben, Nutzungslimits durchzusetzen und Missbrauch zu verhindern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); um Zahlungen abzuwickeln (Vertragserfüllung, über Lemon Squeezy); um gesetzlichen Pflichten wie steuerlichen Aufbewahrungspflichten nachzukommen, soweit anwendbar (Art. 6 Abs. 1 lit. c DSGVO); sowie – nur mit Ihrer Einwilligung – für den Live-Chat und die Messung von Werbeerfolgen (Art. 6 Abs. 1 lit. a DSGVO).
Hosting
Die Website und ihre Serverfunktionen werden von Vercel Inc. (USA) gehostet; die Serverfunktionen laufen in Vercels Region Dublin (Irland). Beim Aufruf einer Seite übermittelt Ihr Browser zwangsläufig Ihre IP-Adresse, die aufgerufene URL, den Zeitpunkt, den Browsertyp und die zuvor besuchte Seite; Vercel verarbeitet diese Daten, um die Seite auszuliefern, und speichert sie kurzzeitig in Server-Logs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einer sicheren, funktionierenden Website. Datenbank, Authentifizierung und Dateispeicher betreiben wir bei Supabase in der EU (AWS-Region Irland).
Sicherheit und Missbrauchsschutz
Um Konten vor dem Erraten von Passwörtern und den Dienst vor Spam zu schützen, speichern wir Ihre IP-Adresse zusammen mit einem Anfragezähler, wenn Sie sich anmelden, registrieren, Ihr Passwort zurücksetzen, den grenzüberschreitenden Check nutzen oder einen Rückruf anfordern; außerdem begrenzen wir, wie viele Konten innerhalb von sieben Tagen von einer IP-Adresse aus angelegt werden können. Diese Einträge werden spätestens nach acht Tagen automatisch gelöscht. Wenn Sie ein Passwort festlegen, prüfen wir über den Dienst „Pwned Passwords“ von Have I Been Pwned, ob es in einem bekannten Datenleck aufgetaucht ist: Dabei verlassen nur die ersten fünf Zeichen eines SHA-1-Hashwerts Ihres Passworts unseren Server – nie das Passwort selbst und nie Ihre IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes und Ihres Kontos).
E-Mails zu Ihrem Konto
E-Mails, die für Ihr Konto nötig sind – etwa die Bestätigung der Registrierung oder das Zurücksetzen des Passworts –, versenden wir über Resend (USA) als E-Mail-Versanddienstleister. Resend verarbeitet dabei Ihre E-Mail-Adresse und den Inhalt dieser E-Mails. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Anmeldung mit Google, GitHub oder Apple
Sofern diese Optionen angeboten werden und Sie eine davon wählen, werden Sie zur Anmeldung an den jeweiligen Anbieter weitergeleitet. Der Anbieter übermittelt uns anschließend Ihren Namen, Ihre E-Mail-Adresse und eine Konto-ID und erfährt, dass Sie sich bei ComplyEU anmelden. Ein Passwort erhalten wir dabei nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung beim Anbieter gilt dessen eigene Datenschutzerklärung.
Grenzüberschreitender USt-Check
Geben Sie in unserem grenzüberschreitenden Check eine USt-IdNr. ein, prüfen wir sie über den VIES-Dienst der Europäischen Kommission. Das Ergebnis – USt-IdNr., ob sie gültig ist, sowie den von VIES zurückgegebenen registrierten Namen und die Anschrift – speichern wir 30 Tage, damit dieselbe Nummer nicht immer wieder abgefragt wird, und löschen es danach automatisch. Für eigene Statistiken erfassen wir nur die anonymen Eckdaten jeder Prüfung (Länder, B2B oder B2C, Waren oder Dienstleistungen, Ergebnis) – keine USt-IdNr., keine IP-Adresse und kein Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Wer die Daten noch sieht
Wir setzen folgende Dienstleister als Auftragsverarbeiter ein (Art. 28 DSGVO): Supabase (Datenbank, Authentifizierung und Dateispeicherung, gehostet in der EU), Vercel (Hosting und cookielose Besuchsstatistik), Resend (E-Mails zu Ihrem Konto), Plausible Insights OÜ, Estland (cookielose Besuchsstatistik, gehostet in der EU), Anthropic (KI-gestützte Erklärung der Prüfergebnisse – Rechnungs- oder Website-Inhalte werden nur zur Erstellung der jeweils angeforderten Erklärung an die Anthropic-API gesendet und nicht zum Training von Modellen verwendet) sowie – nur wenn Sie den Live-Chat im Cookie-Banner erlauben – Tawk.to (Chat-Widget, Chatverlauf und die von Ihnen im Chat angegebenen Kontaktdaten). Lemon Squeezy verkauft unsere Abonnements als Merchant of Record und verarbeitet Ihre Zahlungsdaten nach seiner eigenen Datenschutzerklärung. Mit Ihrer Einwilligung erhält Google Daten zur Messung von Werbeerfolgen – siehe unten.
Conversion-Messung mit Google Ads
Nur wenn Sie im Cookie-Banner „Marketing“ erlauben, laden wir das Conversion-Tag von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es erfasst, ob ein Besuch, der mit einem Klick auf eine unserer Google-Anzeigen begann, zu einer Registrierung geführt hat. Google erhält dabei Ihre IP-Adresse, Geräte- und Browserinformationen sowie die besuchten Seiten und setzt Cookies (siehe Cookie-Richtlinie). Wir nutzen Google weder für Remarketing noch für personalisierte Werbung oder Google Analytics. Daten können an Google LLC in die USA übermittelt werden. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen können.
Übermittlung in Drittländer
Einige unserer Dienstleister haben ihren Sitz in den USA (Vercel, Resend, Anthropic, Tawk.to, Lemon Squeezy sowie Google LLC). Soweit personenbezogene Daten dorthin übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, sofern der Empfänger danach zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Rückruf-Anfragen
Wenn Sie über eines unserer kostenlosen Tools einen Rückruf anfordern, speichern wir die von Ihnen angegebene Telefonnummer sowie Ihre ausdrückliche Einwilligung, zu diesem Zweck kontaktiert zu werden (Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Diese Daten werden ausschließlich verwendet, um den angeforderten Rückruf durchzuführen, und nicht für andere Werbezwecke weiterverwendet.
Wie lange wir sie speichern
Hochgeladene Rechnungen, Website-Scans und deren Ergebnisse werden für den konfigurierten Aufbewahrungszeitraum Ihrer Organisation (standardmäßig 365 Tage) oder bis zur Löschung durch Sie gespeichert, je nachdem, was früher eintritt. Kontodaten speichern wir, bis Sie Ihr Konto löschen. Zum Missbrauchsschutz gespeicherte IP-Adressen werden spätestens nach acht Tagen gelöscht, Ergebnisse von USt-IdNr.-Prüfungen nach 30 Tagen. Sie können jeden einzelnen Scan oder jede Rechnung sowie Ihr gesamtes Konto jederzeit in den Einstellungen löschen. Soweit gesetzliche Aufbewahrungspflichten (etwa steuerliche) bestehen, bewahren wir die betroffenen Daten nur zu diesem Zweck und für diesen Zeitraum auf.
Ihre Rechte
Nach der DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sowie auf Einschränkung bestimmter Verarbeitungen. Soweit wir uns auf ein berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO), können Sie der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Soweit wir uns auf Ihre Einwilligung stützen, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen – für Cookies über „Cookie-Einstellungen“ im Seitenfuß (Art. 7 Abs. 3 DSGVO). Die meisten dieser Rechte können Sie direkt in den Einstellungen wahrnehmen; für alles Weitere kontaktieren Sie uns. Sie haben zudem das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen.
KI und Ihre Daten
Wir verwenden Ihre hochgeladenen Rechnungen, Scan-Ergebnisse oder Kontoinhalte nicht zum Training von KI-Modellen – weder unseren eigenen noch denen Dritter. KI wird ausschließlich zur Erstellung der von Ihnen jeweils angeforderten Erklärung eingesetzt.
Cookies
Welche Cookies und ähnlichen Technologien diese Website verwendet und wie Sie Ihre Auswahl ändern, erfahren Sie in unserer Cookie-Richtlinie.
Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, bevor wir einen neuen Dienst oder eine neue Art von Daten einsetzen. Stand: 23. September 2026.