Datenschutzerklärung

Stand: 14. Oktober 2026

1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

BERYK Consulting GmbH

Friedrichstr. 155, 10117 Berlin

E-Mail: contact@quupp.com

Vertreten durch: André Rüdiger

2 Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Der Dienst richtet sich an Unternehmer.

3 Hosting, Server-Logfiles und Anmeldeprotokoll

3.1 Die Anwendung betreiben wir selbst auf Servern der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in Deutschland. Dort liegen auch Datenbank und Dokumentenspeicher, der Mailserver und unsere Instanz zur Reichweitenmessung. netcup verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

3.2 Bei jedem Aufruf unserer Plattform können Systeme, die der Bereitstellung dienen, Daten und Informationen erfassen (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp). Diese Angaben dienen der technischen Bereitstellung und der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nicht für Werbung genutzt. Ein Dienst, der IP-Adressen zur Reputationsprüfung an Dritte übermittelt, ist nicht eingebunden.

3.3 Für die Sicherheit der Nutzerkonten führen wir ein Anmeldeprotokoll. Es enthält E-Mail-Adresse, IP-Adresse, das Ereignis (zum Beispiel Anmeldung, fehlgeschlagene Anmeldung, Passwortänderung, Kontolöschung), das Ergebnis und den Zeitpunkt. Zu jeder Sitzung speichern wir die IP-Adresse bei der Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Nachvollziehbarkeit von Kontoänderungen). Die Fristen stehen in Ziffer 15.

4 Registrierung und Nutzerkonto

4.1 Zur Nutzung des Dienstes ist eine Registrierung als Unternehmer erforderlich. Wir verarbeiten hierbei Vor- und Nachname, E-Mail-Adresse und das Passwort als Hash, außerdem den Namen auf der Rechnung, die Rechnungsadresse, die Umsatzsteuer-Identifikationsnummer, soweit sie anzugeben ist, und optional die Handelsregisternummer. Wer die optionale Zwei-Faktor-Authentifizierung aktiviert, hinterlegt bei uns ein verschlüsseltes TOTP-Geheimnis. Rechtsgrundlage für die Kontodaten ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für das optionale TOTP ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Nutzerkontos).

4.2 Bei der Anmeldung zur Testphase kann der Teilnehmer freiwillig einwilligen, per E-Mail Informationen zum Dienst zu erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit gegenüber contact@quupp.com widerrufen werden. Nachrichten, die die Testteilnahme selbst betreffen, senden wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

5 Prüfung der Rechnungsangaben

5.1 Bevor wir die Zahlung per Rechnung freigeben, prüfen wir die Angaben aus der Registrierung. Dafür übermitteln wir die Umsatzsteuer-Identifikationsnummer, die Firma und die Anschrift an das Mehrwertsteuer-Informationsaustauschsystem VIES der Europäischen Kommission und an das Bundeszentralamt für Steuern (BZSt), An der Küppe 1, 53225 Bonn. Beide bestätigen, ob die Nummer gültig ist und ob Name und Anschrift dazu passen.

5.2 Firma und Name der registrierenden Person gleichen wir außerdem mit den Sanktionslisten der Europäischen Union und der Vereinigten Staaten (OFAC) ab. Die Listen laden wir herunter. Der Abgleich findet auf unseren eigenen Systemen statt, es werden dabei keine Namen an Dritte übermittelt.

5.3 Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, soweit wir zur Prüfung von Umsatzsteuer-Identifikationsnummern und zur Einhaltung von Sanktionen verpflichtet sind, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Forderungsausfällen und vor Geschäften mit sanktionierten Personen). Jede Prüfung speichern wir als Nachweis mit Zeitpunkt, Listenstand, Ergebnis und der Antwort von VIES und BZSt. Der Nachweis bleibt auch nach Löschung des Kontos 10 Jahre erhalten.

6 Dokumenten-Upload und KI-gestützte Analyse

6.1 Der Kernfunktion des Dienstes liegt zugrunde, dass Nutzer Dokumente hochladen, die zur Erbringung der vertraglich geschuldeten Analyseleistung verarbeitet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Enthalten die Dokumente personenbezogene Daten Dritter, verarbeiten wir sie als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag.

6.2 Einen Teil der Analyse erledigen KI-Modelle, die wir selbst betreiben. Dabei verlassen die Textabschnitte unsere Systeme nicht. Für die übrige Analyse übermitteln wir Textabschnitte der hochgeladenen Dokumente an folgende Auftragsverarbeiter gemäß Art. 28 DSGVO:

• IONOS Cloud GmbH, Elgendorfer Str. 57, 56410 Montabaur – Verarbeitung in Deutschland
• OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix – Verarbeitung in Frankreich (Gravelines), solange nicht auf Wunsch ausschließlich Deutschland vereinbart ist

Wird auf Wunsch ausschließlich eine Verarbeitung in Deutschland vereinbart, nutzen wir für die Inferenz nur unsere eigenen Modelle und IONOS Cloud. Das Hosting bleibt bei der netcup GmbH in Deutschland. Die Anbieter verarbeiten die Inhalte nur, um das Analyseergebnis zu erzeugen, und speichern sie nicht dauerhaft. Eine Nutzung zum Training von KI-Modellen ist vertraglich ausgeschlossen. Die Anbieter erfassen nur Metadaten wie Zeitpunkt, verwendetes Modell und Umfang der Anfrage, um den Dienst abzurechnen und zu betreiben.

6.3 Datenbank und Objektspeicher für die Dokumente hostet die netcup GmbH in Deutschland. Kundendokumente werden nicht an einen Zahlungs- oder Rechnungsdienst gegeben.

6.4 Hochgeladene Dokumente und die hieraus erzeugten Analyseergebnisse werten wir nicht für eigene Zwecke aus. Zulässig sind nur zusammengefasste Betriebskennzahlen ohne Dokumentinhalt und ohne Personenbezug, nämlich Laufzeiten, Fehlerraten und Klassifikationsstatistik. Diese Kennzahlen sind keine personenbezogenen Daten. Eine Berufung auf berechtigtes Interesse an den Dokumentinhalten erfolgt nicht.

7 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Das Hochladen besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO ist nicht erlaubt. Dazu gehören insbesondere Gesundheitsdaten, Daten zum Sexualleben oder zur sexuellen Orientierung, genetische und biometrische Daten zur eindeutigen Identifizierung, Daten zur rassischen und ethnischen Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und Gewerkschaftszugehörigkeit. Der Nutzer sichert zu, dass hochgeladene Dokumente solche Daten nicht enthalten. Eine Einwilligung in die Verarbeitung dieser Daten wird nicht eingeholt, weil ihre Verarbeitung nicht vorgesehen ist.

8 Rechnungen und Zahlung

8.1 Rechnungen erstellen wir mit Lexware Office, einem Dienst der Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, die in unserem Auftrag tätig ist (Art. 28 DSGVO). Lexware erhält dafür Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer, E-Mail-Adresse für den Rechnungsversand und die Rechnungspositionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertragserfüllung sowie handels- und steuerrechtliche Pflichten). Kundendokumente werden dafür nicht übermittelt.

8.2 Zahlungen per Kreditkarte und SEPA-Lastschrift zieht die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ein. Sie erhält dafür Firma, Rechnungsdaten und Zahlungsdaten, nicht die hochgeladenen Dokumente.

9 E-Mail-Versand

Bestätigungscodes, Einladungen, Passwort-Links, Rechnungen und Hinweise zum Konto versenden wir über den Mailserver bei der netcup GmbH. Zu jeder versandten Nachricht protokollieren wir Empfänger, Art der Nachricht, Betreff, Zeitpunkt und Zustellstatus, damit eine fehlgeschlagene Zustellung nachvollziehbar ist. Codes und Nachrichtentext bleiben aus dem Protokoll draußen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den Versand und Art. 6 Abs. 1 lit. f DSGVO für das Protokoll.

10 Kundenbetreuung

Für die Betreuung unserer Kunden nutzen wir ein CRM-System, das wir selbst auf unseren Servern bei der netcup GmbH betreiben. Dort legen wir Vor- und Nachname, E-Mail-Adresse, Firma und Rechnungsanschrift der Nutzer an. Bei jeder Anmeldung vermerken wir Zeitpunkt und IP-Adresse. Die Daten gehen an keinen externen Anbieter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Betreuung des Vertrags und Art. 6 Abs. 1 lit. f DSGVO für die Anmeldehinweise (Unterstützung bei Rückfragen und Erkennen ungewöhnlicher Zugriffe).

11 Bewertungen und Feedback

11.1 Nutzer können im Arbeitsbereich freiwillig Sterne und Kommentare zu einzelnen Funktionen abgeben. Wir speichern sie zum Konto und nutzen sie zur Verbesserung des Dienstes (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

11.2 Nach einer Leistung können wir per E-Mail um eine Bewertung bitten. Der Link in der Nachricht ist persönlich und zeitlich begrenzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Dienstes) in Verbindung mit § 7 Abs. 3 UWG. Einer solchen Anfrage kann jederzeit an contact@quupp.com widersprochen werden, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

12 Cookies, lokale Speicherung und Reichweitenmessung

12.1 Wir setzen diese Cookies und keine Analyse- oder Marketing-Cookies:

• rp_session ist technisch notwendig für Anmeldung und Sitzung. Es wird bei Anmeldung, Registrierung, Live-Demo und dem Annehmen einer Einladung gesetzt, gilt zwölf Stunden und ist nur für den Server lesbar. Abmelden und Kontolöschung entfernen es. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO, § 25 Abs. 2 TDDDG.
• rp_consent speichert die Entscheidung im Cookie-Banner (nur notwendige oder alle). Es ist notwendig, damit der Banner nicht auf jeder Seite wiederkehrt, und gilt ein Jahr.
• rp-lang speichert eine über den Schalter gewählte Sprache (Deutsch oder Englisch) für ein Jahr. Es wird nur gesetzt, wenn im Banner „Alle akzeptieren“ gewählt ist und die Sprache geändert wird. Ohne diese Zustimmung folgt die Oberfläche der Browsersprache.

12.2 Im Speicher des Browsers legen wir außerdem Einträge ab, die für die Bedienung notwendig sind (§ 25 Abs. 2 TDDDG):

• rp-nav-collapsed und rp-project-nav-collapsed merken sich, ob die Navigation eingeklappt ist. Sie bleiben bis zum Löschen der Browserdaten bestehen.
• rp-signup-email und rp-signup-mail-failed zeigen nach der Registrierung, an welche Adresse der Bestätigungscode ging. Sie gelten nur bis zum Schließen des Tabs.
• rp-demo-notice merkt sich, dass der Hinweis zur Live-Demo gelesen wurde. Er gilt nur bis zum Schließen des Tabs.

12.3 Die öffentliche Website, also Startseite, Hilfe und Rechtstexte, lädt ein Skript von unserer eigenen Umami-Instanz unter uma.quupp.com, die auf unseren Servern bei der netcup GmbH läuft. Es setzt kein Cookie und speichert nichts auf dem Gerät. Gemessen werden die aufgerufene Seite, der Referrer, der Browser und das Gerät. Ein Nutzerkonto und Dokumentinhalte werden nicht erfasst. Anmeldung, Arbeitsbereich und Administration bleiben außen vor. Rechtsgrundlage ist das berechtigte Interesse an einer anonymen Reichweitenmessung dieser Seiten (Art. 6 Abs. 1 lit. f DSGVO).

13 Empfänger

14 Übermittlung in Drittländer

Wir übermitteln personenbezogene Daten nicht in Länder außerhalb der EU oder des EWR. Unsere Auftragsverarbeiter für Hosting, KI-Analyse und Rechnungen verarbeiten die Daten ausschließlich in der EU. Die Sanktionslisten der Vereinigten Staaten laden wir herunter, ohne Daten dorthin zu senden.

15 Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Einzelnen:

• Rechnungsdaten bewahren wir nach §§ 257 HGB, 147 AO bis zu 10 Jahre auf.
• Nachweise der Prüfung nach Ziffer 5 bewahren wir 10 Jahre auf, auch nach Löschung des Kontos.
• Hochgeladene Dokumente und Analyseergebnisse speichern wir, bis der Nutzer sie löscht, längstens bis 30 Tage nach Ende des Nutzungsvertrags. Nach Kündigung eines kostenpflichtigen Abonnements bleiben Projekte 30 Tage exportierbar und werden danach gelöscht. Selbst hochgeladene Dokumente bleiben in dieser Zeit über „Mein Bereich“ → „Meine Dokumente“ zugänglich.
• Anmeldeprotokoll, Mailprotokoll und Verarbeitungsprotokolle löschen wir nach 30 Tagen. Eine abweichende Frist legen wir in der Administration fest, sie beträgt höchstens 10 Jahre. Registrierung, Passwortänderung und Freigaben bleiben als Nachweis am Konto vermerkt, bis es gelöscht ist, und werden danach mit derselben Frist gelöscht.
• Sitzungen enden nach zwölf Stunden oder mit dem Abmelden.
• Sicherungskopien werden nach 30 Tagen überschrieben. Gelöschte Daten verschwinden damit spätestens 30 Tage nach der Löschung auch aus den Sicherungen.
• Einträge im CRM löschen wir nach Ende der Kundenbeziehung, soweit keine Aufbewahrungspflicht entgegensteht.

16 Kontakt per E-Mail und Kontaktformular

Wenn Sie uns an contact@quupp.com schreiben oder das Kontaktformular nutzen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und die Angaben aus Ihrer Nachricht, um sie zu beantworten. Die Nachricht aus dem Formular senden wir über unseren Mailserver an contact@quupp.com. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Nachrichten werden gelöscht, sobald der Vorgang erledigt ist und keine Aufbewahrungspflicht entgegensteht.

17 Erforderlichkeit der Angaben

Kontodaten und die hochgeladenen Dokumente sind erforderlich, um den Vertrag zu erfüllen. Ohne sie kann der Dienst nicht erbracht werden. Für die Zahlung per Rechnung sind außerdem die Angaben für die Prüfung nach Ziffer 5 erforderlich. Die Handelsregisternummer, die Zwei-Faktor-Authentifizierung und die Einwilligung in Informationen zum Dienst sind freiwillig. Eine gesetzliche Pflicht, uns die Daten bereitzustellen, besteht nicht.

18 Automatisierte Entscheidungsfindung

18.1 Der Risk Score bewertet Projekte, nicht Personen.

18.2 Die Prüfung nach Ziffer 5 läuft automatisch. Ist sie erfolgreich, wird die Zahlung per Rechnung freigegeben. Ist sie nicht erfolgreich oder steht ein Ergebnis aus, bleiben Kreditkarte und SEPA-Lastschrift verfügbar, und ein Administrator prüft den Fall von Hand und kann die Zahlung per Rechnung freigeben. Auf Wunsch erläutern wir das Ergebnis, nehmen eine Stellungnahme entgegen und prüfen erneut. Eine Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber eine rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, fällt damit nicht allein automatisiert.

19 Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Das betrifft bei uns die Server-Logfiles, das Anmeldeprotokoll, die Sicherheit des Nutzerkontos einschließlich der optionalen Zwei-Faktor-Authentifizierung, die Prüfung nach Ziffer 5, soweit sie nicht auf einer Pflicht beruht, die Anmeldehinweise im CRM, das Mailprotokoll und die Reichweitenmessung. Einer Bitte um Bewertung per E-Mail können Sie jederzeit ohne Angabe von Gründen widersprechen. Der Widerspruch ist an contact@quupp.com zu richten. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

20 Weitere Betroffenenrechte

Ihnen stehen außerdem folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung wenden Sie sich an contact@quupp.com.

21 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist regelmäßig die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes, für uns:

Berliner Beauftragte für Datenschutz und Informationsfreiheit

Alt-Moabit 59–61, 10555 Berlin

22 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Es gilt die jeweils aktuelle, auf der Plattform veröffentlichte Fassung.