Datenschutzerklärung

1. Verantwortlicher

Niklas Nengelken IT-Beratung
Zaunstraße 62
50859 Köln
Deutschland

E-Mail: datenschutz@nenguard.de

2. Erhobene Daten

Bei der Nutzung von NENGuard werden folgende personenbezogene Daten verarbeitet:

• Registrierungsdaten: E-Mail-Adresse, Name, Praxisname, Bundesland.
• Praxisdaten: Checklisten, Fristen, Vorfälle, Assets, Schulungsfortschritte, Risikobewertungen, Dokumente — diese Daten werden verschlüsselt auf EU-Servern gespeichert.
• Protokolldaten (Audit-Log): In der App ausgelöste Aktionen werden mit Zeitstempel und Nutzerzuordnung im Audit-Log Ihrer Praxis protokolliert. Zweck ist der Compliance-Nachweis.
• Push-Registrierung: Wenn Sie Benachrichtigungen erlauben, registriert sich Ihr Gerät beim Apple-Push-Dienst. Frist-Erinnerungen werden als lokale Benachrichtigungen auf Ihrem Gerät erzeugt.

3. Rechtsgrundlagen (Art. 6 DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Bereitstellung der App-Funktionen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Gewährleistung der IT-Sicherheit sowie Nachweisbarkeit durchgeführter Maßnahmen (Audit-Log).
• Einwilligung (Art. 6 Abs. 1 lit. a): Push-Benachrichtigungen.

4. Datenverarbeitung & Hosting

• Supabase (EU-Region): Datenbank und Authentifizierung — Hosting in der EU.
• Apple (Apple Inc., USA): Anmeldung mit Apple (Sign in with Apple) sowie der Apple-Push-Dienst (APNs) für Benachrichtigungen.
• GitHub (GitHub Inc., USA): Hosting der aus der App verlinkten Website nenguard.de (AGB, Datenschutz, Support). Beim Aufruf verarbeitet GitHub Verbindungsdaten (u. a. Ihre IP-Adresse).

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt (Supabase). In folgenden Fällen werden personenbezogene Daten in die USA übermittelt: bei der Anmeldung mit Apple und beim Apple-Push-Dienst (Apple Inc.) sowie beim Aufruf der verlinkten Website nenguard.de, deren Verbindungsdaten (u. a. die IP-Adresse) durch GitHub Inc. verarbeitet werden. Grundlage dieser Drittlandübermittlungen (Art. 44 ff. DSGVO) sind für Apple Inc. die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und für GitHub Inc. der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), unter dem GitHub zertifiziert ist.

Supabase ist als Auftragsverarbeiter per Auftragsverarbeitungsvertrag (Art. 28 DSGVO) gebunden. Apple und GitHub handeln in eigener datenschutzrechtlicher Verantwortung; insoweit gelten deren eigene Datenschutzbestimmungen.

5. Datensicherheit

• Verschlüsselung: AES-256-GCM für sensible Daten. Zugangsdaten im Geräte-Tresor sind zusätzlich Zero-Knowledge-verschlüsselt — der Server sieht ausschließlich den Chiffretext.
• TLS-Transportverschlüsselung (App Transport Security, mindestens TLS 1.2).
• Zugriffskontrolle: Row-Level-Security (RLS) auf Datenbankebene, rollenbasierter Zugriff.
• Authentifizierung: Sichere Passwortspeicherung; Anmeldung per E-Mail/Passwort oder mit Apple (Sign in with Apple).
• Biometrische Tresor-Freigabe: Vor dem Anzeigen bzw. Entschlüsseln gespeicherter Geräte-Zugangsdaten kann eine Freigabe per Face ID/Touch ID (mit Geräte-Code als Rückfallebene) verlangt werden. Biometrische Daten verbleiben dabei auf dem Gerät (Secure Enclave); die App erhält ausschließlich das Ja/Nein-Ergebnis.
• Lokale Sicherheit: Keychain für Tokens und Schlüssel, Jailbreak-Erkennung.

6. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15): Welche Daten über Sie gespeichert sind.
• Berichtigung (Art. 16): Korrektur unrichtiger Daten.
• Löschung (Art. 17): Löschung Ihrer Daten („Recht auf Vergessenwerden“).
• Einschränkung (Art. 18): Einschränkung der Verarbeitung.
• Datenübertragbarkeit (Art. 20): Export Ihrer Daten in maschinenlesbarem Format.
• Widerspruch (Art. 21): Widerspruch gegen die Verarbeitung.
• Widerruf der Einwilligung (Art. 7 Abs. 3): Jederzeit ohne Angabe von Gründen.

Richten Sie Anfragen an: datenschutz@nenguard.de

Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

7. Speicherdauer

• Accountdaten: Bis zur Löschung des Accounts.
• Praxisdaten: Bis zur Löschung durch den Nutzer oder bis zur Löschung des Accounts.
• Audit-Log: Für die Dauer des Bestehens der Organisation; es erfolgt keine automatische Löschung. Bei Löschung Ihres Nutzerkontos werden Ihre eigenen Audit-Einträge gelöscht und E-Mail-Angaben in verbleibenden Einträgen bereinigt; bei Löschung der Organisation werden deren Audit-Einträge gelöscht.

Für gesetzliche Aufbewahrungspflichten (bis zu 10 Jahre) steht ein CSV-/PDF-Export zur Verfügung; deren Erfüllung obliegt der Praxis selbst.

8. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO statt.

9. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die aktuelle Version ist stets in der App unter Einstellungen > Datenschutz abrufbar.

Stand: Juli 2026