Datenschutzerklärung - Rechtsscan

Stand: 14.08.2026

1. Verantwortlicher

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen ist:
Jens Bracht
Mannheim, Deutschland
E-Mail: support@rechtsscan.de

Ein Datenschutzbeauftragter ist derzeit nicht benannt, da nach aktuellem Stand keine gesetzliche Benennungspflicht besteht. Sollte sich dies ändern, werden die entsprechenden Kontaktdaten hier ergänzt.

2. Wichtiger Rollenhinweis: Datenschutzerklärung und AVV

Diese Datenschutzerklärung betrifft Verarbeitungen personenbezogener Daten, bei denen der Anbieter selbst Verantwortlicher im Sinne der DSGVO ist, insbesondere Account-, Vertrags-, Zahlungs-, Kommunikations-, Website- und Analysedaten.

Soweit Kunden im Rahmen von Rechtsscan Inhalte oder Dokumente zur Analyse hochladen, verarbeitet der Anbieter darin enthaltene personenbezogene Daten grundsätzlich als Auftragsverarbeiter des jeweiligen Kunden. Einzelheiten dazu regelt der gesonderte Auftragsverarbeitungsvertrag (AVV), der vor der ersten Nutzung akzeptiert wird.

3. Hosting und technischer Betrieb

Die Anwendung wird nach aktuellem Stand vollständig in Deutschland bei der Hetzner Online GmbH betrieben. Datenbank und Dateispeicher werden self-hosted betrieben; eine Übermittlung an Supabase Inc. findet nach aktuellem Stand nicht statt.

Zweck der Verarbeitung ist der sichere und stabile technische Betrieb der Website und Anwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der zuverlässigen, sicheren und effizienten Bereitstellung des Dienstes.

4. Server-Logfiles

Beim Aufruf der Website oder Anwendung werden technisch notwendige Zugriffsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Ressource, Referrer-URL, Browsertyp, Betriebssystem, User-Agent sowie technische Status- und Fehlermeldungen gehören.

Die Verarbeitung erfolgt zur Sicherstellung des technischen Betriebs, zur Fehleranalyse, zur Systemsicherheit und zur Abwehr missbräuchlicher Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Server-Logfiles werden automatisch nach 7 Tagen überschrieben. Request-Logs mit IP-Adressen werden nicht persistiert.

5. Cookies, lokale Speichertechnologien und Einwilligung

Rechtsscan verwendet technisch notwendige Cookies oder vergleichbare Speichertechnologien, soweit diese für den Betrieb der Website, Login, Sicherheit, Session-Verwaltung, Consent-Verwaltung oder Vertragsdurchführung erforderlich sind. Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 2 TDDDG; Rechtsgrundlage für die anschließende Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Analyse- und Marketing-Dienste werden nur nach vorheriger aktiver Einwilligung aktiviert. Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 1 TDDDG; Rechtsgrundlage für die anschließende Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

6. Nutzerkonto und Registrierung

Bei Registrierung und Nutzung eines Nutzerkontos verarbeiten wir insbesondere E-Mail-Adresse, Passwort in gehashter Form, optional Name und Unternehmen/Firma, Vertrags- und Tarifinformationen, Unternehmerstatus im Sinne des § 14 BGB, Login- und Kontostatusdaten sowie Nutzungs- und Kontingentinformationen.

Die Verarbeitung erfolgt zur Einrichtung, Verwaltung und Durchführung des Nutzerkontos sowie zur Erfüllung des Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Hochgeladene Inhalte und Analyse mit Rechtsscan

Wenn Kunden Dokumente oder Inhalte zur Analyse hochladen, können diese personenbezogene Daten enthalten. Der Kunde entscheidet eigenständig, welche Inhalte hochgeladen werden, und bleibt für die Rechtmäßigkeit dieser Verarbeitung verantwortlich.

Die Verarbeitung hochgeladener Inhalte erfolgt zur Durchführung des Scans und zur Bereitstellung des Ergebnisses. Soweit personenbezogene Daten Dritter in den hochgeladenen Inhalten enthalten sind, erfolgt diese Verarbeitung im Auftrag des Kunden auf Grundlage des AVV.

Kunden sollten keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder besonders vertrauliche Informationen hochladen, sofern dies für den Scan nicht erforderlich und rechtlich zulässig ist.

Upload-Daten werden direkt gelöscht nach erfolgreichem Scan. 

Analyseergebnisse werden gelöscht nach: 

- Free/Starter: 90 Tage ab Scan-Erstellung

• Pro/Team: bis zu 36 Monate (wählbar)

Sofern ein Kunde bei einer Rückmeldung zu einem Analyseergebnis ausdrücklich der Einsichtnahme in das betreffende Scan-Ergebnis zustimmt, kann der Anbieter dieses zur Bearbeitung der Rückmeldung einsehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Qualitätssicherung und Verbesserung des Dienstes.

8. Einsatz von KI-Systemen / Anthropic

Zur Durchführung der automatisierten Analyse setzt der Anbieter den KI-Dienstleister Anthropic ein. Die hochgeladenen Inhalte werden dabei nicht zur freien Erzeugung individueller rechtlicher Bewertungen verwendet, sondern anhand eines vom Anbieter vorgegebenen, festen Prüf- und Kriterienkatalogs abgeglichen. Das ausgegebene Ergebnis besteht aus den auf diesen Katalog bezogenen, standardisierten Hinweisen.

Verarbeitet werden können hierzu Inhalte, Auszüge aus Inhalten, Prompts, technische Metadaten sowie die katalogbasierten Analyseergebnisse, soweit dies für die Durchführung des Scans erforderlich ist.

Soweit der Anbieter im Rahmen hochgeladener Kundeninhalte als Auftragsverarbeiter handelt, erfolgt der Einsatz von Anthropic nach Maßgabe des AVV und der dort benannten Unterauftragsverarbeiterregelungen.

Eine Nutzung hochgeladener Kundeninhalte zu Trainingszwecken erfolgt nicht, soweit dies technisch und vertraglich durch die eingesetzten Dienste gewährleistet ist. Etwaige Übermittlungen in Drittstaaten erfolgen nur nach Maßgabe der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien wie Standardvertragsklauseln oder eines Angemessenheitsbeschlusses, soweit anwendbar.

Der Prüf- und Kriterienkatalog wird vom Anbieter unabhängig von hochgeladenen Kundeninhalten erstellt, gepflegt und weiterentwickelt. Eine Auswertung einzelner Kundeninhalte zur Erweiterung des Katalogs findet nicht statt.

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO findet nicht statt. Die Analyseergebnisse stellen unverbindliche Hinweise dar; über deren Bewertung und Umsetzung entscheidet ausschließlich der Kunde.

9. Abonnement, Zahlung und Rechnungsstellung

Für kostenpflichtige Tarife verarbeiten wir Vertrags-, Tarif-, Abrechnungs- und Zahlungsinformationen. Die Zahlungsabwicklung erfolgt über Stripe. Dabei können insbesondere Stripe-Kundennummer, Tarif, Transaktionsstatus, Zahlungsart, Rechnungsdaten und Kontingentinformationen verarbeitet werden. Vollständige Zahlungsdaten, insbesondere Kreditkartendaten, werden grundsätzlich durch Stripe verarbeitet und nicht dauerhaft durch uns gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungspflichten, insbesondere handels- und steuerrechtliche Pflichten.

10. Webanalyse mit Google Analytics 4

Wir verwenden Google Analytics 4, einen Webanalysedienst von Google, ausschließlich nach Ihrer vorherigen Einwilligung. Google Analytics 4 hilft uns zu verstehen, wie Website und Anwendung genutzt werden, damit wir Rechtsscan verbessern, Fehler erkennen und die Nutzerführung optimieren können.

Im Rahmen von Google Analytics 4 können insbesondere Nutzungsereignisse, Seitenaufrufe, technische Geräte- und Browserinformationen, ungefähre Standortinformationen, Interaktionen, Consent-Informationen, pseudonyme Kennungen und Conversion-Ereignisse verarbeitet werden.

Google Analytics 4 wird erst aktiviert, wenn Sie über das Consent-Banner eingewilligt haben. Rechtsgrundlage für den Zugriff auf Ihr Endgerät ist § 25 Abs. 1 TDDDG; Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Google gibt an, dass Google Analytics IP-Adressen von Nutzern aus der EU, dem EWR, der Schweiz und dem Vereinigten Königreich nicht protokolliert oder speichert und IP-Adressen vor der Protokollierung über EU-/UK-/CH-Domains und Server verwirft. Gleichwohl können bei der Nutzung von Google-Diensten Daten an Google-Unternehmen, insbesondere Google LLC in den USA, übermittelt werden.

Die Drittlandübermittlung stützen wir, soweit erforderlich, auf die jeweils anwendbaren datenschutzrechtlichen Garantien, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Außerdem gelten die Datenverarbeitungsbedingungen für Google-Werbeprodukte bzw. Google Analytics, soweit einschlägig.

Die Datenaufbewahrung in Google Analytics ist eingestellt auf: 14 Monate

Eine Zusammenführung der in Google Analytics verarbeiteten Daten mit unmittelbar identifizierenden Daten, wie E-Mail-Adresse oder Nutzer-ID, erfolgt nicht, soweit nicht ausdrücklich gesondert informiert und hierfür eine wirksame Einwilligung eingeholt wurde.

11. Google Ads und Marketing-Conversions

Google Ads wird derzeit nicht eingesetzt. Sollte Google Ads künftig eingesetzt werden, wird die Datenschutzerklärung vor Aktivierung entsprechend aktualisiert und die Verarbeitung erfolgt nur, soweit hierfür eine geeignete Rechtsgrundlage besteht, insbesondere eine vorherige Einwilligung, soweit erforderlich.

12. E-Mail-Kommunikation

Für transaktionale E-Mails, insbesondere Registrierungsbestätigungen, Sicherheitsinformationen, Abo-, Quota-, Rechnungs- oder Kündigungshinweise, verarbeiten wir Ihre E-Mail-Adresse sowie die jeweils erforderlichen Kommunikationsinhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation für Vertrag oder Konto erforderlich ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Für Marketing-E-Mails verwenden wir Ihre E-Mail-Adresse nur nach ausdrücklicher Einwilligung im Double-Opt-in-Verfahren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Der Nachweis der Einwilligung, insbesondere Zeitpunkt, IP-Adresse und technische Bestätigungsdaten, wird dokumentiert.

Einwilligungsnachweise für Marketing-E-Mails werden gespeichert für: 3 Jahre nach Widerruf

Der Versand transaktionaler oder Marketing-E-Mails kann über einen E-Mail-Dienstleister erfolgen.

E-Mail-Dienstleister: Mailjet

13. Empfänger und Dienstleister

Personenbezogene Daten können an technische Dienstleister übermittelt werden, soweit dies zur Bereitstellung, Sicherung, Analyse, Abrechnung oder Kommunikation erforderlich ist. Dazu gehören insbesondere Hosting-Dienstleister, Zahlungsdienstleister, E-Mail-Dienstleister, Analyse-Dienstleister und, im Rahmen der Auftragsverarbeitung für hochgeladene Inhalte, KI-Dienstleister.

Mit Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO, soweit erforderlich.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Accountdaten: für die Dauer des Vertragsverhältnisses und anschließend nach Maßgabe gesetzlicher Aufbewahrungs- oder Verjährungsfristen.
• Rechnungs- und Buchungsdaten: entsprechend gesetzlicher handels- und steuerrechtlicher Aufbewahrungsfristen.
• Marketing-Einwilligungen: bis zum Widerruf; Nachweise können zur Rechtsverteidigung für einen angemessenen Zeitraum aufbewahrt werden.
• Upload-Daten und Analyseergebnisse: gemäß Abschnitt 7 und AVV.
• Google-Analytics-Daten: gemäß der in Abschnitt 10 genannten Einstellung.

Datenbankbackups werden täglich automatisch erstellt und 7 Tage aufbewahrt, danach automatisch überschrieben.

15. Technische und organisatorische Maßnahmen

Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Missbrauch, unbefugten Zugriff und unbefugte Offenlegung zu schützen. Dazu gehören insbesondere TLS-verschlüsselte Übertragung, Zugriffsbeschränkungen, Mandantentrennung, rollenbasierte Berechtigungen, technische Protokollierung und Löschkonzepte.

Eine gesonderte Verschlüsselung ruhender Daten („encryption at rest“) ist derzeit nicht aktiviert. Der Schutz gespeicherter Daten erfolgt durch alternative technische und organisatorische Maßnahmen, insbesondere Zugriffsbeschränkungen, Berechtigungskonzepte, Mandantentrennung und Hosting in Deutschland.

16. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft gemäß Art. 15 DSGVO,
• Berichtigung gemäß Art. 16 DSGVO,
• Löschung gemäß Art. 17 DSGVO,
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Widerspruch gemäß Art. 21 DSGVO,
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft gemäß Art. 7 Abs. 3 DSGVO.

Wenn wir Daten im Auftrag eines Kunden verarbeiten, leiten wir Betroffenenanfragen, soweit möglich und erforderlich, an den jeweiligen Kunden als Verantwortlichen weiter.

17. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig kann insbesondere die Aufsichtsbehörde Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes sein.

Für Baden-Württemberg ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

18. Pflicht zur Bereitstellung personenbezogener Daten

Bestimmte personenbezogene Daten sind für Registrierung, Vertragsschluss, Nutzung des Dienstes, Abrechnung oder technische Bereitstellung erforderlich. Ohne diese Daten kann der Dienst ganz oder teilweise nicht bereitgestellt werden.

19. Aktualität und Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungsvorgänge, eingesetzte Dienstleister, rechtliche Anforderungen oder technische Rahmenbedingungen ändern.