CarteBlanche ist ein statisches Informationsangebot. Es gibt keine Benutzerkonten, kein Kontaktformular, keinen Newsletter, keine Reichweitenmessung und keine Werbung. Entsprechend kurz ist die Liste der Verarbeitungen. Diese Erklärung benennt sie vollständig und beschreibt die tatsächlich getroffenen Maßnahmen statt allgemeiner Zusicherungen.
Maßgeblich sind die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).
§ 1 Verantwortlicher und Kontakt
Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist:
- Verantwortlicher
- Nuuk UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Nino Fabrizio Hein - Anschrift
- Wacholderweg 14, 49090 Osnabrück, Deutschland
- info@carteblanche-regulatory.eu
- Telefon
- +49 178 4720845
- Register
- Amtsgericht Osnabrück, HRB 222456
Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO und des § 38 Abs. 1 BDSG liegen nicht vor, weil im Unternehmen nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die Kerntätigkeit weder in einer umfangreichen regelmäßigen Überwachung noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht. Anfragen zum Datenschutz richten Sie an die oben genannte Adresse.
§ 2 Geltungsbereich und betroffene Personen
Diese Erklärung gilt für den Abruf und die Nutzung von CarteBlanche einschließlich der von dieser Seite ausgelieferten Dateien, insbesondere der Datengrundlage unter regelwerk/. Sie gilt nicht für verlinkte Seiten Dritter und nicht für die unter nuuk-insights.com betriebene Plattform, für die eine eigene Datenschutzerklärung besteht.
Betroffene Personen sind ausschließlich Besucherinnen und Besucher dieser Seite. Weitere Kategorien betroffener Personen entstehen nicht, da keine Daten Dritter erhoben, eingereicht oder veröffentlicht werden.
§ 3 Grundsätze der Verarbeitung
Die Verarbeitung folgt den Grundsätzen des Art. 5 DSGVO. Konkret bedeutet das für dieses Angebot:
- Datenminimierung: Es werden keine Daten erhoben, die über das für die Auslieferung der Seite technisch Erforderliche hinausgehen. Die Seite enthält kein Formular und kein Eingabefeld, dessen Inhalt übertragen wird.
- Zweckbindung: Die anfallenden Verbindungsdaten dienen der Auslieferung und der Abwehr von Angriffen. Eine Weiterverarbeitung zu anderen Zwecken, insbesondere zu Werbe-, Profilbildungs- oder Trainingszwecken, findet nicht statt.
- Speicherbegrenzung: Es werden keine Daten über die in § 7 genannten Fristen hinaus aufbewahrt.
- Integrität und Vertraulichkeit: Die Auslieferung erfolgt ausschließlich über eine verschlüsselte Verbindung (TLS).
- Transparenz: Die vollständige Liste der eingebundenen Drittdienste steht in Anlage A, die vollständige Liste der Speicherzugriffe im Endgerät in Anlage B.
§ 4 Verarbeitungen im Einzelnen
4.1 Bereitstellung der Seite und Server-Logfiles
Beim Aufruf übermittelt der Browser technisch notwendige Daten an den ausliefernden Server. Das sind regelmäßig die IP-Adresse des Endgeräts, Datum und Uhrzeit des Abrufs, die angeforderte Ressource, der HTTP-Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) sowie Browser- und Betriebssystemkennung.
Zweck ist die Auslieferung der angeforderten Inhalte, die Gewährleistung der Stabilität und die Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im technisch fehlerfreien und sicheren Betrieb des Angebots. Für den Zugriff auf Informationen im Endgerät, soweit er für die Übertragung erforderlich ist, gilt § 25 Abs. 2 Nr. 2 TDDDG.
Die technische Auslieferung erfolgt derzeit über die Artefakt-Infrastruktur der Anthropic PBC, San Francisco, Kalifornien, Vereinigte Staaten. Die Verbindungsdaten fallen dort an und werden vom Verantwortlichen nicht abgerufen, nicht ausgewertet und nicht mit anderen Datenquellen zusammengeführt. Einzelheiten zur Drittlandübermittlung stehen in § 6, zur Rolle des Dienstleisters in § 5.
4.2 Abruf der Datengrundlage
Nach dem Laden der Seite ruft der Browser die Datei regelwerk/regelwerke.v1.json vom selben Server ab, aus der die Prüfung ihre Schwellenwerte und Fristen bezieht. Dabei fallen dieselben Verbindungsdaten an wie unter 4.1 und keine weiteren. Der Abruf richtet sich an keinen Dritten.
4.3 Eingaben in der Prüfung
Die Eckdaten, die in der Prüfung gesetzt werden, also Rechtsform, Branche, Beschäftigtenzahlen, Umsatz, Bilanzsumme und die Geschäftsmerkmale, werden ausschließlich im Browser des Endgeräts verarbeitet. Die Berechnung läuft vollständig lokal. Diese Werte werden nicht an den Verantwortlichen und nicht an Dritte übertragen, nicht protokolliert und nicht gespeichert. Ein Rückschluss auf ein bestimmtes Unternehmen ist dem Verantwortlichen technisch nicht möglich.
Damit ein Ergebnis wiederhergestellt und weitergegeben werden kann, schreibt die Seite die gesetzten Eckdaten in den Abschnittsteil der Adresse, also in den Teil hinter dem Rautenzeichen. Dieser Teil wird von Browsern grundsätzlich nicht an den Server übertragen und erscheint deshalb auch nicht in den unter 4.1 beschriebenen Protokolldaten. Er bleibt allerdings im Verlauf des eigenen Browsers stehen und wird mitgegeben, wenn der Link weitergereicht wird. Wer das nicht möchte, entfernt den Teil hinter dem Rautenzeichen oder setzt die Eingabe über die Schaltfläche „Zurücksetzen“ zurück, die ihn ebenfalls entfernt.
Auch das Prüfprotokoll und die Ausgabe als JSON-Datei entstehen im Browser. Beim Drucken entscheidet das Betriebssystem über das Ziel; wird in eine Datei gedruckt, verbleibt sie auf dem Endgerät.
4.4 Speicherung im Endgerät
Cookies werden nicht gesetzt. Ein Einwilligungsbanner entfällt deshalb.
Ein einziger Eintrag wird im lokalen Speicher des Browsers abgelegt: Beim Betätigen der Schaltfläche für helle oder dunkle Darstellung wird die getroffene Auswahl unter dem Schlüssel cb-theme gespeichert, damit sie beim nächsten Aufruf erhalten bleibt. Die Speicherung erfolgt nur nach aktiver Betätigung, enthält keinen Personenbezug und wird nicht übertragen. Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG, da die Speicherung für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist; für eine damit einhergehende Verarbeitung gilt Art. 6 Abs. 1 lit. f DSGVO. Der Eintrag lässt sich jederzeit über die Einstellungen des Browsers löschen. Die vollständige Übersicht steht in Anlage B.
4.5 Eingebundene Schriftarten
Die Seite lädt die Schriftarten Source Serif 4, Archivo und JetBrains Mono von Servern der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Abruf werden die IP-Adresse des Endgeräts, die Browserkennung und die aufrufende Adresse an Google übermittelt. Eine Verarbeitung durch die Google LLC in den Vereinigten Staaten ist dabei nicht ausgeschlossen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einer einheitlichen, kontraststarken und gut lesbaren Darstellung auf allen Endgeräten. Zur Drittlandübermittlung siehe § 6.
Als konkrete Minderungsmaßnahme werden ausschließlich Schriftdateien und keine weiteren Ressourcen von dort geladen, es werden keine Cookies dieses Anbieters gesetzt, und die Seite bleibt bei blockiertem Abruf vollständig nutzbar, weil für jede Schriftart eine auf dem Endgerät vorhandene Ersatzschrift hinterlegt ist. Eine Auslieferung der Schriftdateien vom eigenen Server ist für den Betrieb unter eigener Domain vorgesehen; diese Erklärung wird dann entsprechend geändert.
4.6 Verweise auf externe Quellen
Das Quellenverzeichnis und die Detailblätter verweisen auf Seiten Dritter, überwiegend auf Behörden, Kammern und amtliche Veröffentlichungen. Diese Verweise sind einfache Verknüpfungen. Es werden keine Inhalte dieser Seiten nachgeladen, keine Vorschaubilder erzeugt und keine Daten im Voraus übermittelt. Erst beim Anklicken verlassen Sie dieses Angebot; ab diesem Zeitpunkt ist der jeweilige Anbieter verantwortlich.
4.7 Verarbeitungen, die nicht stattfinden
Zur Klarstellung und als abschließende Aufzählung: Dieses Angebot führt keine Reichweiten- oder Nutzungsmessung, keine Analyse-, Statistik- oder Marketingdienste, kein Tracking über Seitenaufrufe hinweg, keine Einbindung sozialer Netzwerke, keine Kartendienste, keine Videoeinbettungen, keine externe Anmeldung, keine Zahlungsabwicklung, kein Kontaktformular, keinen Newsletter, keine Kommentarfunktion, keine Werbung und keine Verarbeitung durch Systeme künstlicher Intelligenz. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden weder erhoben noch verarbeitet.
§ 5 Empfänger und Auftragsverarbeiter
Eine Weitergabe personenbezogener Daten findet ausschließlich an die in Anlage A genannten Stellen und nur im dort beschriebenen Umfang statt. Ein Verkauf, eine Vermietung oder eine Überlassung von Daten zu Werbezwecken erfolgt nicht.
Der technische Dienstleister, über den die Seite ausgeliefert wird, verarbeitet die dabei anfallenden Verbindungsdaten im Rahmen der von ihm bereitgestellten Infrastruktur. Soweit er dabei als Auftragsverarbeiter nach Art. 28 DSGVO tätig wird, gelten dessen Bedingungen zur Datenverarbeitung; soweit er die Daten zu eigenen Zwecken verarbeitet, etwa zur Absicherung des eigenen Netzes, ist er dafür selbst verantwortlich. Beim Betrieb unter eigener Domain wird mit dem dann eingesetzten Hostinganbieter eine Vereinbarung nach Art. 28 DSGVO geschlossen.
Eine Offenlegung gegenüber Behörden erfolgt nur, soweit dazu eine gesetzliche Verpflichtung besteht.
§ 6 Übermittlung in Drittländer
Zwei der beschriebenen Verarbeitungen können eine Übermittlung in die Vereinigten Staaten beinhalten: die technische Auslieferung der Seite (4.1) und der Abruf der Schriftarten (4.5).
Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Empfänger nach diesem Rahmen zertifiziert ist, ergänzend die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Übermittelt werden dabei ausschließlich die in 4.1 und 4.5 genannten Verbindungsdaten. Inhalte, Eingaben oder Ergebnisse der Prüfung werden nicht übermittelt, weil sie das Endgerät nicht verlassen.
§ 7 Speicherdauer und Löschung
- Verbindungs- und Protokolldaten: Löschung durch den technischen Dienstleister nach dessen Fristen, im Regelfall innerhalb weniger Tage bis längstens dreißig Tagen; eine längere Aufbewahrung nur zur Aufklärung eines konkreten sicherheitsrelevanten Vorfalls.
- Eingaben in der Prüfung: keine Speicherung, Verlust beim Verlassen der Seite.
- Darstellungseinstellung im Endgerät: bis zum Löschen durch die Nutzerin oder den Nutzer.
- Zuschriften per E-Mail: Löschung, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens nach sechs Monaten. Für Vorgänge mit handels- oder steuerrechtlicher Relevanz gelten die Fristen des § 257 HGB und des § 147 AO.
Maßgeblich für eine Löschung sind der Wegfall des Zwecks, gesetzliche Aufbewahrungspflichten, laufende Verjährungsfristen und ein konkreter Beweisbedarf.
§ 8 Erforderlichkeit der Bereitstellung
Es besteht keine vertragliche oder gesetzliche Pflicht, personenbezogene Daten bereitzustellen. Die Übermittlung der unter 4.1 genannten Verbindungsdaten ist technisch unvermeidbar, um eine Seite überhaupt abrufen zu können; eine darüber hinausgehende Angabe von Daten ist für die vollständige Nutzung des Angebots nicht erforderlich. Wer die Darstellungseinstellung nicht speichern möchte, nutzt die Schaltfläche schlicht nicht.
§ 9 Keine automatisierte Entscheidung im Einzelfall
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Ausgabe der Prüfung ist das Ergebnis einer offengelegten Berechnung über die eingegebenen Werte. Sie betrifft keine betroffene Person, entfaltet keine rechtliche Wirkung und beeinträchtigt niemanden in ähnlich erheblicher Weise.
§ 10 Datensicherheit
Die nach Art. 32 DSGVO getroffenen Maßnahmen ergeben sich wesentlich aus der Bauweise des Angebots:
- Auslieferung ausschließlich über TLS-verschlüsselte Verbindungen.
- Keine serverseitige Datenbank, keine Benutzerkonten, keine Zugangsdaten und damit kein Bestand, der entwendet werden könnte.
- Keine Entgegennahme von Eingaben über das Netz: Die Prüfung rechnet im Browser, es existiert keine Schnittstelle, an die Daten gesendet werden.
- Keine Einbindung von Skripten Dritter; der gesamte ausgeführte Code wird vom selben Ursprung ausgeliefert und ist einsehbar.
- Verweise auf externe Seiten werden mit
rel="noopener"gesetzt, sodass die Zielseite keinen Zugriff auf das aufrufende Fenster erhält. - Netz- und Infrastruktursicherung, einschließlich Abwehr von Überlastungsangriffen, durch den technischen Dienstleister.
Ein vollständiger Schutz gegen alle denkbaren Angriffe ist technisch nicht erreichbar. Die Maßnahmen werden bei Änderungen am Angebot überprüft. Für den Fall einer Verletzung des Schutzes personenbezogener Daten bestehen die Meldewege nach Art. 33 und 34 DSGVO.
§ 11 Ihre Rechte
Ihnen stehen gegenüber dem Verantwortlichen die folgenden Rechte zu:
- Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
- Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO),
- Widerspruch gegen Verarbeitungen auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).
Anfragen richten Sie formlos an die in § 1 genannte Adresse. Wir beantworten sie unverzüglich, spätestens innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist nach Art. 12 Abs. 3 DSGVO um zwei Monate verlängern, worüber wir Sie dann unterrichten. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Informationen zu Ihrer Identifizierung anfordern (Art. 12 Abs. 6 DSGVO).
Zum praktischen Umfang dieser Rechte ein ehrlicher Hinweis: Da dieses Angebot keine Konten führt und keine Eingaben speichert, liegen beim Verantwortlichen regelmäßig keine Daten vor, die einer bestimmten Person zugeordnet werden könnten. Eine Auskunft wird deshalb in aller Regel ergeben, dass kein zuordenbarer Datenbestand existiert.
Widerspruchsrecht nach Art. 21 DSGVO
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Beschwerde bei einer Aufsichtsbehörde
Unbeschadet anderer Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist:
- Aufsichtsbehörde
- Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover - poststelle@lfd.niedersachsen.de
§ 12 Änderungen dieser Erklärung
Diese Erklärung wird angepasst, wenn sich die Rechtslage, das Angebot oder die eingesetzten Dienstleister ändern. Ein Wechsel des technischen Dienstleisters oder die Umstellung auf eigene Schriftdateien führt zu einer neuen Fassung mit neuem Stand. Maßgeblich ist stets die auf dieser Seite veröffentlichte Fassung mit der oben angegebenen Fassungsnummer und dem dort genannten Datum.
Anlage A — Dienstleister und Übermittlungen
Abschließende Aufstellung aller Stellen, an die beim Aufruf dieser Seite Daten gelangen können.
Anlage B — Speicherzugriffe im Endgerät
Abschließende Aufstellung aller Zugriffe auf Informationen im Endgerät im Sinne des § 25 TDDDG.
cb-theme im lokalen SpeicherMerkt die gewählte helle oder dunkle Darstellung; wird nur nach Betätigung der Schaltfläche gesetztbis zur Löschung durch den Nutzer · § 25 Abs. 2 Nr. 2 TDDDGFassung 1.0 · 13. Oktober 2026Zurück zur Startseite