CertX
DEEN
Startseite

Datenschutzerklärung

Stand: 24. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:

IP Strategy UG (haftungsbeschränkt), handelnd als „Siyaya Digital“ (Produkt: CertX), Niederrheinstraße 46f, 41472 Neuss, Deutschland. Vertreten durch den Geschäftsführer Ilya Piontek. E-Mail: privacy@siyaya-digital.com.

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO bzw. § 38 BDSG besteht derzeit nicht. Bei Fragen zum Datenschutz wenden Sie sich bitte an die vorstehende Adresse.

2. Geltungsbereich und Rechtsgrundlagen

Diese Erklärung gilt für die Website certx.app und die CertX-Anwendung. Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der DSGVO, dem BDSG und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Rechtsgrundlagen sind je nach Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzungsverhältnis), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, insbesondere Sicherheit und Betrieb).

3. Hosting und Infrastruktur (EU)

Die Anwendung wird in der Europäischen Union betrieben; die Datenhaltung erfolgt in der EU-Region Frankfurt am Main.

Vercel (Hosting/CDN)

Das Frontend und die Server-Funktionen werden über Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, bereitgestellt. Die Server-Funktionen sind auf die EU-Region (Frankfurt, „fra1“) festgelegt. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für etwaige Übermittlungen in die USA werden Standardvertragsklauseln (Art. 46 DSGVO) bzw. – soweit zertifiziert – das EU-US Data Privacy Framework herangezogen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Supabase (Datenbank, Speicher, Authentifizierung)

Datenbank, Datei-Speicher (hochgeladene Zeichnungen) und Authentifizierung werden über Supabase betrieben (Supabase Inc., USA), gehostet in der EU-Region Frankfurt (AWS eu-central-1). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für Drittlandbezüge gelten Standardvertragsklauseln (Art. 46 DSGVO). Die Mandantentrennung wird technisch durch Row-Level-Security (RLS) erzwungen.

4. Server-Logfiles

Beim Aufruf der Website werden technisch notwendige Zugriffsdaten verarbeitet, die Ihr Browser übermittelt:

  • gekürzte/aufgerufene URL und Referrer
  • Datum und Uhrzeit des Zugriffs
  • Browsertyp und Betriebssystem
  • IP-Adresse (zur Auslieferung und Abwehr von Angriffen)

Die Verarbeitung dient der Auslieferung, Stabilität und Sicherheit des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist.

5. Cookies und Einwilligungsverwaltung

Wir setzen technisch notwendige Cookies (Sitzung/Anmeldung, Sprach- und Theme-Einstellung sowie die Speicherung Ihrer Cookie-Einwilligung). Das Speichern bzw. Auslesen dieser Informationen ist nach § 25 Abs. 2 TDDDG unbedingt erforderlich und einwilligungsfrei.

Nicht notwendige Cookies (z. B. Statistik, Marketing) setzen wir nur mit Ihrer Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Über das Cookie-Banner können Sie kategoriebezogen einwilligen oder ablehnen; Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern oder widerrufen.

Aktuell sind keine Statistik- oder Marketing-Dienste aktiv; die entsprechenden Kategorien werden vorgehalten und erst nach Ihrer Einwilligung aktiviert.

6. Schriftarten

Die verwendeten Schriftarten werden lokal von unserem Server ausgeliefert (Self-Hosting). Es findet keine Verbindung zu Google Fonts oder anderen Drittanbietern statt; insbesondere wird Ihre IP-Adresse nicht an Dritte zur Schriftauslieferung übermittelt.

7. Demo-Anfrage über das Formular auf der Startseite

Wenn Sie über das Formular auf der Startseite eine Demo anfragen, verarbeiten wir Name, Firma, geschäftliche E-Mail-Adresse, Ihre optionale Nachricht, die Sprache der Seite sowie den Zeitpunkt der Anfrage. Die Angaben werden in unserer Datenbank in der EU gespeichert (siehe Ziffer 3) und ausschließlich zur Bearbeitung Ihrer Anfrage und zur Vereinbarung der Demo verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch 12 Monate nach Eingang, sofern daraus kein Vertragsverhältnis entsteht.

8. Nutzerkonto, Anmeldung und Zwei-Faktor-Authentisierung

Für die Nutzung von CertX wird ein Konto angelegt. Verarbeitet werden Name, E-Mail-Adresse, Rolle, Mandantenzugehörigkeit, Spracheinstellung sowie Anmelde- und Sicherheitsmetadaten (Zeitpunkt der ersten Anmeldung, Status des Passwortwechsels und der 2FA).

Aus Sicherheitsgründen müssen Sie ein Initialpasswort, das ein Administrator für Sie vergeben hat, bei der ersten Anmeldung ändern und gleich danach eine Zwei-Faktor-Authentisierung (TOTP) einrichten; ohne sie ist CertX nicht nutzbar. Passwörter werden ausschließlich als kryptographischer Hash gespeichert; die TOTP-Geheimnisse werden bei unserem Authentifizierungs-Dienstleister (Supabase) verwaltet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).

Registrierung und Testphase

Unternehmen können sich unter certx.app/signup selbst registrieren. Dabei verarbeiten wir Firma, Ihren Namen, Ihre E-Mail-Adresse, das gewählte Passwort (nur als Hash) und Ihre Bestätigung, für ein Unternehmen zu handeln. Zur Bestätigung der E-Mail-Adresse sendet unser Authentifizierungs-Dienstleister (Supabase) eine E-Mail mit einem Link. Erst nach der Bestätigung legt CertX Ihren Mandanten an; das erste Konto wird dessen Administrator und kann weitere Benutzer anlegen. Die Testphase ist kostenlos und ohne Zahlungsdaten. Die Registrierung wird mit Zeitpunkt und E-Mail-Adresse im Ereignisprotokoll festgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Abo, Zahlung und Nutzungszählung (Dodo Payments)

Bezahlte Tarife werden über Dodo Payments abgewickelt. Dodo Payments tritt als Händler (Merchant of Record) auf: Sie schließen den Kauf mit Dodo Payments ab, Dodo Payments stellt die Rechnungen aus, führt die Umsatzsteuer ab und verarbeitet Ihre Zahlungsdaten (z. B. Karten- oder Kontodaten, Rechnungsadresse, USt-IdNr.) als eigener Verantwortlicher nach seiner Datenschutzerklärung (dodopayments.com). CertX erhält keine Karten- oder Kontodaten. Wir übermitteln an Dodo Payments Ihren Namen und Ihre E-Mail-Adresse für den Bezahlvorgang, die Kennung Ihres Mandanten, den gewählten Tarif, die Anzahl der Benutzer (Tarif Starter) sowie für jede Lesung mit Claude ein Zählereignis (Kennung und Zeitpunkt, keine Zeichnungsinhalte), damit Lesungen über das Kontingent hinaus abgerechnet werden können. Von Dodo Payments erhalten wir Tarif, Status und Laufzeit des Abos sowie Kunden- und Abo-Kennungen. CertX zählt die Lesungen mit Claude je Mandant und Abrechnungszeitraum aus dem Ereignisprotokoll; alle Benutzer des Mandanten sehen diesen Zähler. Dodo Payments kann Daten außerhalb der EU verarbeiten (siehe Ziffer 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Aufbewahrung von Rechnungsdaten richtet sich nach handels- und steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Optional können Sie unter „Profil & Einstellungen → Briefkopf“ Firma, Adresse und ein Logo hinterlegen; CertX druckt sie auf Ihre Prüfprotokolle und Angebotsanfragen. Das Logo liegt im Speicherbereich Ihres Mandanten in der EU.

9. Verarbeitung hochgeladener Zeichnungen und KI-Extraktion

Kernfunktion von CertX ist das Auslesen technischer Zeichnungen. Die hochgeladenen Dateien und daraus extrahierten Merkmale werden mandantengebunden in der EU gespeichert (siehe Ziffer 3).

Zur Extraktion wird der Inhalt serverseitig an die Claude-API übermittelt. Unser Vertragspartner und Auftragsverarbeiter (Art. 28 DSGVO) ist die Anthropic Ireland, Limited, Dublin, Irland; es gilt deren Auftragsverarbeitungsvertrag (Data Processing Addendum), der Bestandteil der Geschäftsbedingungen für die API ist. Die Verarbeitung erfolgt auch in den USA, unter anderem durch die Muttergesellschaft Anthropic, PBC, San Francisco, als Unterauftragsverarbeiter; für diese Übermittlung gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO), die in den Auftragsverarbeitungsvertrag einbezogen sind. Nach den Geschäftsbedingungen für die API werden die übermittelten Inhalte nicht zum Training der Modelle verwendet und nur transient zu Betriebs- und Sicherheitszwecken vorgehalten. Dasselbe gilt für Fragen an den CertX-Butler; der Butler erhält dabei nur Daten Ihres eigenen Mandanten.

Bei jedem Auslesen kann stattdessen die integrierte Leseengine von CertX gewählt werden. Dann liest CertX die Zeichnung selbst – aus der Textebene der PDF oder per Texterkennung auf dem CertX-Server in der EU (Frankfurt) – und übermittelt keine Inhalte dieser Zeichnung an einen KI-Anbieter. Administratoren eines Mandanten können die integrierte Engine für alle Benutzer festlegen; dann wird jede Zeichnung des Mandanten ohne KI-Anbieter gelesen. Legt ein Mandant die integrierte Engine als Standard fest, ist zudem der CertX-Butler ausgeschaltet.

Beim „Privat lesen“ läuft die integrierte Engine im Browser des Benutzers: Die Zeichnung und das Leseergebnis werden weder an CertX noch an Dritte übertragen und nicht gespeichert. Der Browser lädt dafür nur den Programmcode und die Texterkennungsmodelle der Engine von CertX sowie die aus den Korrekturen des Mandanten gelernten Regeln (siehe unten).

Kundendaten auf einer Zeichnung (z. B. Firmenname, Adresse, Namen im Schriftfeld) können vor dem Auslesen geschwärzt werden. Vorschläge dafür (Kundendaten, mögliche Logos, das ganze Schriftfeld) erstellt CertX auf dem CertX-Server in der EU (Frankfurt), ohne KI-Anbieter. Wird eine geschwärzte Zeichnung mit Claude gelesen, übermittelt CertX nur die geschwärzte erste Seite: Die abgedeckten Bereiche sind fest aus dem Bild entfernt und werden nicht übertragen. Angaben aus dem Schriftfeld, die Claude deshalb nicht sieht (z. B. Werkstoff, Zeichnungsnummer), liest CertX auf dem CertX-Server aus der Originaldatei. Administratoren eines Mandanten können das automatische Schwärzen einschalten: Dann schwärzt CertX vor jedem Auslesen mit Claude das Schriftfeld, erkannte Kundendaten und mögliche Logos auf dem CertX-Server; findet CertX kein Schriftfeld und ist nichts geschwärzt, wird die Zeichnung nicht an Claude übermittelt. Soll eine nicht geschwärzte Zeichnung mit Claude gelesen werden, rät CertX zuvor zum Schwärzen; dieser Hinweis lässt sich für das eigene Konto ausschalten.

Der API-Schlüssel ist ein reines Server-Geheimnis; die KI-Verarbeitung erfolgt ausschließlich innerhalb von CertX, mandantengebunden, und wird je Mandant protokolliert: Zeitpunkt, handelnde Person, Modell und Anzahl der verarbeiteten Tokens (zur Abrechnung) – nicht der Inhalt von Butler-Fragen und -Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Technische Zeichnungen können personenbezogene Daten enthalten (z. B. Bearbeiter-Kürzel); übermitteln Sie keine personenbezogenen Daten, die für die Prüfung nicht erforderlich sind.

10. Verbesserung der Erkennung (Korrekturen/Lernschleife)

Korrekturen, die Prüfer an der automatischen Erkennung vornehmen, können zur Verbesserung der zentralen Erkennungs-Engine verwendet werden. Vor einer mandantenübergreifenden Verwendung werden die Daten de-identifiziert: Kunden- und Zeichnungsnamen, Zeichnungsnummern und sonstige identifizierende Angaben werden entfernt; es verbleiben Geometrie- und Merkmalsdaten.

Zur Verbesserung der integrierten Leseengine vergleicht CertX deren Ergebnis mit den Lesungen derselben Zeichnungen durch Claude und den Korrekturen der Prüfer. Administratoren eines Mandanten können diesen Vergleich als Engine-Benchmark für die eigenen Zeichnungen ausführen; er läuft auf dem CertX-Server in der EU (Frankfurt), ohne KI-Anbieter. Protokolliert werden dabei nur Kennzahlen (z. B. Anzahl gefundener Merkmale) und daraus berechnete Zahlenwerte (Lage, Größe, Art eines gelesenen Merkmals) – keine Zeichnungsinhalte. Aus solchen Zahlenwerten berechnete Gewichte (z. B. für den Filter, der Fehltreffer verwirft) werden Teil der Engine für alle Mandanten; sie enthalten keine Zeichnungsinhalte.

Korrigieren, ergänzen, verschieben oder löschen Prüfer Merkmale einer Lesung der integrierten Engine, speichert CertX zu jeder Korrektur, welche Engine gelesen hat und wo das Merkmal auf der Zeichnung lag (Lage und Größe, keine Bilddaten). Daraus lernt die Engine je Mandant: Eine Beschriftung, die auf mehreren Zeichnungen gelöscht wurde, liest sie nicht mehr; eine Beschriftung, die auf mehreren Zeichnungen gleich korrigiert wurde, liest sie künftig in dieser Form. Diese Lernregeln gelten nur für Lesungen des eigenen Mandanten, werden aus dessen Korrekturen berechnet und nicht mandantenübergreifend verwendet. Administratoren sehen sie im Engine-Benchmark und können einzelne Regeln zurücknehmen; das wird protokolliert.

Zum Trainieren der Texterkennung der integrierten Engine können Administratoren eines Mandanten im Engine-Benchmark Trainingsdaten exportieren: kleine Bildausschnitte der Maß- und Merkmalsbeschriftungen ihrer Zeichnungen (nicht ganze Zeichnungen, nicht das Schriftfeld) mit den zugehörigen Werten der Claude-Lesung oder den Korrekturen der Prüfer an Lesungen der integrierten Engine (auch Ausschnitte gelöschter Fehltreffer). Der Export liegt im Speicherbereich des Mandanten, ist über einen eine Stunde gültigen Link abrufbar und wird protokolliert. Siyaya Digital nutzt die Ausschnitte ausschließlich, um die Texterkennung zu trainieren; das Training erfolgt in unserer Entwicklungsumgebung, die KI-gestützte Entwicklungswerkzeuge von Anthropic (USA, siehe Ziffer 9) einsetzt. Die Ausschnitte werden danach gelöscht; in die Engine gehen nur die trainierten Gewichte ein.

Das mandantenübergreifende Master-Dashboard zeigt ausschließlich Kennzahlen (Anzahlen, Genauigkeit in Prozent, Kategorien) – niemals Zeichnungsinhalte. Rechtsgrundlage für die Verbesserung ist Art. 6 Abs. 1 lit. f DSGVO; soweit personenbezogene Daten betroffen sind, stützen wir uns zusätzlich auf eine in den Nutzungsbedingungen erteilte Einwilligung. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen.

11. Keine ausschließlich automatisierte Entscheidung

Die KI-Extraktion ist ein Vorschlag, der von einem Menschen geprüft, korrigiert und freigegeben wird. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt.

12. Empfänger / Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies erforderlich ist. Eingesetzte Auftragsverarbeiter:

  • Vercel Inc. (USA) – Hosting/CDN, Server-Funktionen (EU-Region).
  • Supabase Inc. (USA) – Datenbank, Datei-Speicher, Authentifizierung (Hosting EU/Frankfurt).
  • Anthropic Ireland, Limited (Irland) – KI-Extraktion (Claude-API); Verarbeitung auch in den USA.

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Bei bezahlten Tarifen ist Dodo Payments als Händler (Merchant of Record) eigener Verantwortlicher für die Zahlungsabwicklung (siehe Ziffer 8). Eine Weitergabe zu eigenen Werbezwecken Dritter findet nicht statt.

13. Datenübermittlung in Drittländer

Eine Verarbeitung kann in den USA stattfinden (siehe Ziffer 12). Soweit Daten außerhalb der EU/des EWR verarbeitet werden, gewährleisten wir ein angemessenes Datenschutzniveau durch Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und – soweit der Empfänger zertifiziert ist – durch das EU-US Data Privacy Framework (Art. 45 DSGVO).

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke oder zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist. Konto-, Zeichnungs- und Protokolldaten werden für die Dauer des Nutzungsverhältnisses gespeichert und nach dessen Beendigung gelöscht, soweit keine Aufbewahrungspflichten (z. B. handels-/steuerrechtlich) entgegenstehen. Anschließend werden die Daten gelöscht oder gesperrt.

Sie können Ihr Konto jederzeit selbst löschen (Profil & Einstellungen → Konto löschen); Administratoren Ihres Unternehmens können Konten ebenfalls entfernen. Gelöscht werden Ihre Anmeldedaten, Ihr Profil und Ihr Briefkopf einschließlich Logo. Zeichnungen und Prüfprotokolle gehören Ihrem Unternehmen und bleiben erhalten, ohne Verknüpfung zu Ihrem Konto.

Einzelne Zeichnungen können die Person, die sie hochgeladen hat, und Administratoren löschen – mit Datei, Vorschau, ausgelesenen Merkmalen und Protokoll-Entwürfen. Zeichnungen mit abgeschlossenen Prüfprotokollen bleiben als Qualitätsnachweis erhalten. Endet das Nutzungsverhältnis, löschen wir die Daten Ihres Unternehmens einschließlich aller hochgeladenen Dateien.

Vorgänge in CertX (z. B. Anmeldung, Hochladen, Auslesen, Änderungen und Löschungen) werden mit Zeitpunkt und handelnder Person in einem Ereignisprotokoll festgehalten, um Sicherheit und Nachvollziehbarkeit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Wird ein Konto gelöscht, wird die Verknüpfung zu ihm entfernt; in den Einträgen zur Anlage und zur Löschung des Kontos bleibt die E-Mail-Adresse zum Nachweis erhalten. Ebenso mit Namen und E-Mail-Adresse festgehalten werden Entscheidungen zum Schutz von Kundendaten: die Antwort auf den Hinweis zum Schwärzen vor dem Auslesen mit Claude (mit dem angezeigten Hinweistext), das Aus- und Einschalten dieses Hinweises sowie Änderungen der Leseengine-Einstellungen und des automatischen Schwärzens. Sie dienen dem Nachweis, wer was wann entschieden hat (Art. 6 Abs. 1 lit. f DSGVO). Einträge des Ereignisprotokolls können nachträglich nicht verändert werden.

15. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an privacy@siyaya-digital.com.

16. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf (https://www.ldi.nrw.de).

17. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO): Transportverschlüsselung (TLS/HTTPS), Mandantentrennung per Row-Level-Security, rollenbasierte Zugriffskontrolle, serverseitige Geheimnisverwaltung (kein KI-Schlüssel im Browser) sowie verpflichtende Zwei-Faktor-Authentisierung.

18. Aktualität und Änderungen

Stand dieser Datenschutzerklärung: 24. Oktober 2026. Wir passen diese Erklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert.