Datenschutz­erklärung

Fassung 1.0Stand 13. Oktober 2026Art. 13, 14 DSGVO

CarteBlanche ist ein statisches Informationsangebot. Es gibt keine Benutzerkonten, kein Kontaktformular, keinen Newsletter, keine Reichweitenmessung und keine Werbung. Entsprechend kurz ist die Liste der Verarbeitungen. Diese Erklärung benennt sie vollständig und beschreibt die tatsächlich getroffenen Maßnahmen statt allgemeiner Zusicherungen.

Maßgeblich sind die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

§ 1 Verantwortlicher und Kontakt

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist:

Verantwortlicher

Nuuk UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Nino Fabrizio Hein

Anschrift

Wacholderweg 14, 49090 Osnabrück, Deutschland

E-Mail

info@carteblanche-regulatory.eu

Telefon

+49 178 4720845

Register

Amtsgericht Osnabrück, HRB 222456

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO und des § 38 Abs. 1 BDSG liegen nicht vor, weil im Unternehmen nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die Kerntätigkeit weder in einer umfangreichen regelmäßigen Überwachung noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht. Anfragen zum Datenschutz richten Sie an die oben genannte Adresse.

§ 2 Geltungsbereich und betroffene Personen

Diese Erklärung gilt für den Abruf und die Nutzung von CarteBlanche einschließlich der von dieser Seite ausgelieferten Dateien, insbesondere der Datengrundlage unter regelwerk/. Sie gilt nicht für verlinkte Seiten Dritter und nicht für die unter nuuk-insights.com betriebene Plattform, für die eine eigene Datenschutzerklärung besteht.

Betroffene Personen sind ausschließlich Besucherinnen und Besucher dieser Seite. Weitere Kategorien betroffener Personen entstehen nicht, da keine Daten Dritter erhoben, eingereicht oder veröffentlicht werden.

§ 3 Grundsätze der Verarbeitung

Die Verarbeitung folgt den Grundsätzen des Art. 5 DSGVO. Konkret bedeutet das für dieses Angebot:

• Datenminimierung: Es werden keine Daten erhoben, die über das für die Auslieferung der Seite technisch Erforderliche hinausgehen. Die Seite enthält kein Formular und kein Eingabefeld, dessen Inhalt übertragen wird.
• Zweckbindung: Die anfallenden Verbindungsdaten dienen der Auslieferung und der Abwehr von Angriffen. Eine Weiterverarbeitung zu anderen Zwecken, insbesondere zu Werbe-, Profilbildungs- oder Trainingszwecken, findet nicht statt.
• Speicherbegrenzung: Es werden keine Daten über die in § 7 genannten Fristen hinaus aufbewahrt.
• Integrität und Vertraulichkeit: Die Auslieferung erfolgt ausschließlich über eine verschlüsselte Verbindung (TLS).
• Transparenz: Die vollständige Liste der eingebundenen Drittdienste steht in Anlage A, die vollständige Liste der Speicherzugriffe im Endgerät in Anlage B.

§ 4 Verarbeitungen im Einzelnen

4.1 Bereitstellung der Seite und Server-Logfiles

Beim Aufruf übermittelt der Browser technisch notwendige Daten an den ausliefernden Server. Das sind regelmäßig die IP-Adresse des Endgeräts, Datum und Uhrzeit des Abrufs, die angeforderte Ressource, der HTTP-Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) sowie Browser- und Betriebssystemkennung.

Zweck ist die Auslieferung der angeforderten Inhalte, die Gewährleistung der Stabilität und die Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im technisch fehlerfreien und sicheren Betrieb des Angebots. Für den Zugriff auf Informationen im Endgerät, soweit er für die Übertragung erforderlich ist, gilt § 25 Abs. 2 Nr. 2 TDDDG.

Die technische Auslieferung erfolgt über die IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Die Server stehen in der Europäischen Union. Die Verbindungsdaten fallen dort an und werden vom Verantwortlichen nicht abgerufen, nicht ausgewertet und nicht mit anderen Datenquellen zusammengeführt. Mit dem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; zur Rolle des Dienstleisters siehe § 5.

4.2 Abruf der Datengrundlage

Nach dem Laden der Seite ruft der Browser die Datei regelwerk/regelwerke.v1.json vom selben Server ab, aus der die Prüfung ihre Schwellenwerte und Fristen bezieht. Dabei fallen dieselben Verbindungsdaten an wie unter 4.1 und keine weiteren. Der Abruf richtet sich an keinen Dritten.

4.3 Eingaben in der Prüfung

Die Eckdaten, die in der Prüfung gesetzt werden, also Rechtsform, Branche, Beschäftigtenzahlen, Umsatz, Bilanzsumme und die Geschäftsmerkmale, werden ausschließlich im Browser des Endgeräts verarbeitet. Die Berechnung läuft vollständig lokal. Diese Werte werden nicht an den Verantwortlichen und nicht an Dritte übertragen, nicht protokolliert und nicht gespeichert. Ein Rückschluss auf ein bestimmtes Unternehmen ist dem Verantwortlichen technisch nicht möglich.

Damit ein Ergebnis wiederhergestellt und weitergegeben werden kann, schreibt die Seite die gesetzten Eckdaten in den Abschnittsteil der Adresse, also in den Teil hinter dem Rautenzeichen. Dieser Teil wird von Browsern grundsätzlich nicht an den Server übertragen und erscheint deshalb auch nicht in den unter 4.1 beschriebenen Protokolldaten. Er bleibt allerdings im Verlauf des eigenen Browsers stehen und wird mitgegeben, wenn der Link weitergereicht wird. Wer das nicht möchte, entfernt den Teil hinter dem Rautenzeichen oder setzt die Eingabe über die Schaltfläche „Zurücksetzen“ zurück, die ihn ebenfalls entfernt.

Auch das Prüfprotokoll und die Ausgabe als JSON-Datei entstehen im Browser. Beim Drucken entscheidet das Betriebssystem über das Ziel; wird in eine Datei gedruckt, verbleibt sie auf dem Endgerät.

4.4 Speicherung im Endgerät

Cookies werden nicht gesetzt. Ein Einwilligungsbanner entfällt deshalb.

Im lokalen Speicher des Browsers werden zwei Einträge abgelegt, beide ohne Personenbezug und ohne Übertragung an den Verantwortlichen oder an Dritte. Cookies werden nicht gesetzt.

Unter dem Schlüssel cb-datenschutz wird festgehalten, wie beim Datenschutzhinweis entschieden wurde. Ohne diesen Eintrag erschiene der Hinweis bei jedem Aufruf erneut. Gespeichert werden ausschließlich die getroffene Wahl und das Datum, zu dem sie getroffen wurde.

Unter dem Schlüssel cb-theme wird die gewählte helle oder dunkle Darstellung gespeichert, damit sie beim nächsten Aufruf erhalten bleibt. Dieser Eintrag entsteht nur, wenn im Datenschutzhinweis die Kategorie „Komfort“ aktiviert und anschließend die Schaltfläche für die Darstellung betätigt wird. Wird die Kategorie abgewählt, wird ein vorhandener Eintrag gelöscht und die Wahl der Darstellung gilt nur für die laufende Sitzung.

Rechtsgrundlage für den Zugriff auf das Endgerät ist in beiden Fällen § 25 Abs. 2 Nr. 2 TDDDG: Die Einträge sind für den ausdrücklich gewünschten Dienst unbedingt erforderlich, nämlich für die Umsetzung der getroffenen Entscheidung selbst und für die gewünschte Darstellung. Eine Einwilligung wäre danach nicht erforderlich; der Datenschutzhinweis stellt die Wahl gleichwohl zur Verfügung und benennt diese Einordnung. Für eine damit einhergehende Verarbeitung gilt Art. 6 Abs. 1 lit. f DSGVO.

Die Entscheidung lässt sich jederzeit über den Punkt „Datenschutzeinstellungen“ in der Fußzeile jeder Seite ändern oder widerrufen; beide Einträge lassen sich außerdem über die Einstellungen des Browsers löschen. Die vollständige Übersicht steht in Anlage B.

4.5 Eingebundene Schriftarten

Die Seite verwendet die Schriftarten Source Serif 4, Archivo und JetBrains Mono. Die Schriftdateien liegen unter fonts/ auf demselben Server wie die Seite und werden von dort ausgeliefert. Es wird dabei keine Verbindung zu Google oder einem anderen Dritten aufgebaut, und es werden keine Daten an Dritte übermittelt. Beim Abruf fallen dieselben Verbindungsdaten an wie unter 4.1 und keine weiteren.

Die Schriften stehen unter der SIL Open Font License 1.1, die das Ausliefern vom eigenen Server ausdrücklich gestattet. Der Lizenztext liegt unter fonts/LIZENZ.txt bei. Bleibt der Abruf einer Schriftdatei aus, bleibt die Seite vollständig nutzbar, weil für jede Schriftart eine auf dem Endgerät vorhandene Ersatzschrift hinterlegt ist.

4.6 Verweise auf externe Quellen

Das Quellenverzeichnis und die Detailblätter verweisen auf Seiten Dritter, überwiegend auf Behörden, Kammern und amtliche Veröffentlichungen. Diese Verweise sind einfache Verknüpfungen. Es werden keine Inhalte dieser Seiten nachgeladen, keine Vorschaubilder erzeugt und keine Daten im Voraus übermittelt. Erst beim Anklicken verlassen Sie dieses Angebot; ab diesem Zeitpunkt ist der jeweilige Anbieter verantwortlich.

4.7 Verarbeitungen, die nicht stattfinden

Zur Klarstellung und als abschließende Aufzählung: Dieses Angebot führt keine Reichweiten- oder Nutzungsmessung, keine Analyse-, Statistik- oder Marketingdienste, kein Tracking über Seitenaufrufe hinweg, keine Einbindung sozialer Netzwerke, keine Kartendienste, keine Videoeinbettungen, keine externe Anmeldung, keine Zahlungsabwicklung, kein Kontaktformular, keinen Newsletter, keine Kommentarfunktion, keine Werbung und keine Verarbeitung durch Systeme künstlicher Intelligenz. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden weder erhoben noch verarbeitet.

§ 5 Empfänger und Auftragsverarbeiter

Eine Weitergabe personenbezogener Daten findet ausschließlich an die in Anlage A genannten Stellen und nur im dort beschriebenen Umfang statt. Ein Verkauf, eine Vermietung oder eine Überlassung von Daten zu Werbezwecken erfolgt nicht.

Der technische Dienstleister, über den die Seite ausgeliefert wird, verarbeitet die dabei anfallenden Verbindungsdaten im Rahmen der von ihm bereitgestellten Infrastruktur. Soweit er dabei als Auftragsverarbeiter nach Art. 28 DSGVO tätig wird, gelten dessen Bedingungen zur Datenverarbeitung; soweit er die Daten zu eigenen Zwecken verarbeitet, etwa zur Absicherung des eigenen Netzes, ist er dafür selbst verantwortlich. Beim Betrieb unter eigener Domain wird mit dem dann eingesetzten Hostinganbieter eine Vereinbarung nach Art. 28 DSGVO geschlossen.

Eine Offenlegung gegenüber Behörden erfolgt nur, soweit dazu eine gesetzliche Verpflichtung besteht.

§ 6 Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

Die technische Auslieferung erfolgt über einen Dienstleister mit Sitz und Serverstandort in Deutschland (4.1). Die Schriftarten liegen auf demselben Server (4.5). Es sind keine weiteren Dienste eingebunden, die Daten an Dritte übermitteln könnten; die abschließende Aufstellung steht in Anlage A. Sollte sich daran etwas ändern, wird diese Erklärung vorher angepasst.

§ 7 Speicherdauer und Löschung

• Verbindungs- und Protokolldaten: Löschung durch den technischen Dienstleister nach dessen Fristen, im Regelfall innerhalb weniger Tage bis längstens dreißig Tagen; eine längere Aufbewahrung nur zur Aufklärung eines konkreten sicherheitsrelevanten Vorfalls.
• Eingaben in der Prüfung: keine Speicherung, Verlust beim Verlassen der Seite.
• Darstellungseinstellung im Endgerät: bis zum Löschen durch die Nutzerin oder den Nutzer.
• Zuschriften per E-Mail: Löschung, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens nach sechs Monaten. Für Vorgänge mit handels- oder steuerrechtlicher Relevanz gelten die Fristen des § 257 HGB und des § 147 AO.

Maßgeblich für eine Löschung sind der Wegfall des Zwecks, gesetzliche Aufbewahrungspflichten, laufende Verjährungsfristen und ein konkreter Beweisbedarf.

§ 8 Erforderlichkeit der Bereitstellung

Es besteht keine vertragliche oder gesetzliche Pflicht, personenbezogene Daten bereitzustellen. Die Übermittlung der unter 4.1 genannten Verbindungsdaten ist technisch unvermeidbar, um eine Seite überhaupt abrufen zu können; eine darüber hinausgehende Angabe von Daten ist für die vollständige Nutzung des Angebots nicht erforderlich. Wer die Darstellungseinstellung nicht speichern möchte, nutzt die Schaltfläche schlicht nicht.

§ 9 Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Ausgabe der Prüfung ist das Ergebnis einer offengelegten Berechnung über die eingegebenen Werte. Sie betrifft keine betroffene Person, entfaltet keine rechtliche Wirkung und beeinträchtigt niemanden in ähnlich erheblicher Weise.

§ 10 Datensicherheit

Die nach Art. 32 DSGVO getroffenen Maßnahmen ergeben sich wesentlich aus der Bauweise des Angebots:

• Auslieferung ausschließlich über TLS-verschlüsselte Verbindungen.
• Keine serverseitige Datenbank, keine Benutzerkonten, keine Zugangsdaten und damit kein Bestand, der entwendet werden könnte.
• Keine Entgegennahme von Eingaben über das Netz: Die Prüfung rechnet im Browser, es existiert keine Schnittstelle, an die Daten gesendet werden.
• Keine Einbindung von Skripten Dritter; der gesamte ausgeführte Code wird vom selben Ursprung ausgeliefert und ist einsehbar.
• Verweise auf externe Seiten werden mit rel="noopener" gesetzt, sodass die Zielseite keinen Zugriff auf das aufrufende Fenster erhält.
• Netz- und Infrastruktursicherung, einschließlich Abwehr von Überlastungsangriffen, durch den technischen Dienstleister.

Ein vollständiger Schutz gegen alle denkbaren Angriffe ist technisch nicht erreichbar. Die Maßnahmen werden bei Änderungen am Angebot überprüft. Für den Fall einer Verletzung des Schutzes personenbezogener Daten bestehen die Meldewege nach Art. 33 und 34 DSGVO.

§ 11 Ihre Rechte

Ihnen stehen gegenüber dem Verantwortlichen die folgenden Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).

Anfragen richten Sie formlos an die in § 1 genannte Adresse. Wir beantworten sie unverzüglich, spätestens innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist nach Art. 12 Abs. 3 DSGVO um zwei Monate verlängern, worüber wir Sie dann unterrichten. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Informationen zu Ihrer Identifizierung anfordern (Art. 12 Abs. 6 DSGVO).

Zum praktischen Umfang dieser Rechte ein ehrlicher Hinweis: Da dieses Angebot keine Konten führt und keine Eingaben speichert, liegen beim Verantwortlichen regelmäßig keine Daten vor, die einer bestimmten Person zugeordnet werden könnten. Eine Auskunft wird deshalb in aller Regel ergeben, dass kein zuordenbarer Datenbestand existiert.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerde bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist:

Aufsichtsbehörde

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover

E-Mail

poststelle@lfd.niedersachsen.de

§ 12 Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Rechtslage, das Angebot oder die eingesetzten Dienstleister ändern. Ein Wechsel des technischen Dienstleisters oder die Umstellung auf eigene Schriftdateien führt zu einer neuen Fassung mit neuem Stand. Maßgeblich ist stets die auf dieser Seite veröffentlichte Fassung mit der oben angegebenen Fassungsnummer und dem dort genannten Datum.

Anlage A — Dienstleister und Übermittlungen

Abschließende Aufstellung aller Stellen, an die beim Aufruf dieser Seite Daten gelangen können.

Anlage B — Speicherzugriffe im Endgerät

Abschließende Aufstellung aller Zugriffe auf Informationen im Endgerät im Sinne des § 25 TDDDG.

Fassung 1.0 · 13. Oktober 2026Zurück zur Startseite