Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten in justReporting comply und connect, dem Bereich für Kanzlei und Mandanten der justReporting GmbH Wirtschaftsprüfungsgesellschaft, nach der Datenschutz-Grundverordnung (DSGVO). justReporting connect dient dem geschützten Austausch von Unterlagen und Informationen zwischen der Kanzlei und ihren Mandanten.

1. Verantwortliche Stelle

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen. Für Anliegen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten.

2. Zwecke und Rechtsgrundlagen der Verarbeitung

• Anmeldung ohne Passwort (Einmalcode): Zur sicheren Authentifizierung versenden wir einen zeitlich begrenzten Einmalcode per E-Mail. Verarbeitet werden E-Mail-Adresse und Anmeldezeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertragsanbahnung/-durchführung, sicherer Betrieb). Die E-Mail mit dem Code nennt außerdem, wann und mit welchem Gerät (Browser und Betriebssystem) er angefordert wurde, und den ungefähren Ort. Den Ort ermitteln wir aus der IP-Adresse auf unserem eigenen Server mit der Datenbank „IP to City Lite“ von DB-IP (db-ip.com, Lizenz CC BY 4.0); dabei geht keine Anfrage an einen Dritten, und der Ort wird nur in diese E-Mail geschrieben, in connect nicht gespeichert. So erkennen Sie eine Anforderung, die nicht von Ihnen kam (Art. 6 Abs. 1 lit. f DSGVO).
• Datenanfragen, Antworten und Datei-Uploads: Im Rahmen des Mandats tauschen Kanzlei und Mandant Unterlagen aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie die berufsrechtlichen Pflichten der Wirtschaftsprüfer.
• Geldwäscherechtliche Sorgfaltspflichten: Soweit gesetzlich erforderlich (GwG), verarbeiten wir Identifizierungs- und Risikodaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. dem Geldwäschegesetz. Diese Daten unterliegen dem Informationsweitergabe-Verbot (§ 47 GwG) und sind technisch streng zugriffsbeschränkt. Die Bereitstellung dieser Daten ist gesetzlich vorgeschrieben; ohne sie darf das Mandat nicht begründet oder fortgeführt werden.
• Abgleich mit politisch exponierten Personen: Zur Erfüllung von § 10 Abs. 1 Nr. 4 GwG führen wir eine Liste politisch exponierter Personen (§ 1 Abs. 12 GwG, auch ehemalige Amtsträger der letzten fünf Jahre) und ihrer Familienmitglieder (§ 1 Abs. 13 GwG) mit Name, Namensvarianten, Geburtsdatum, Amt und Amtszeit bzw. Verwandtschaftsbeziehung. Quelle: Wikidata. Die Liste wird täglich neu erstellt. Wir gleichen sie mit Vertragspartnern, wirtschaftlich Berechtigten, Vertretungsberechtigten und auftretenden Personen unserer Mandanten ab; das Ergebnis bewahren wir in der Geldwäsche-Akte auf (§ 8 Abs. 4 GwG). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 10 Abs. 1 Nr. 4, 11a Abs. 1 GwG sowie Art. 6 Abs. 1 lit. f DSGVO (wirksame Geldwäscheprävention); Widerspruch nach Art. 21 DSGVO ist möglich.
• Registerangaben (GLEIF): Für Identifizierung und Recherche fragen wir Firmenname oder LEI bei der Global Legal Entity Identifier Foundation, Basel (Schweiz, Angemessenheitsbeschluss der EU-Kommission), ab. Übermittelt wird nur der Suchbegriff, kein Bezug zu einem Mandat.
• Unternehmensrecherche: Für die Recherche zu Unternehmen nutzen wir neben den Registerangaben aus GLEIF Unternehmensdaten aus Wikidata (eine wöchentlich übernommene Kopie in connect) und, nur innerhalb von justReporting, aus Orbis (Moody's / Bureau van Dijk) zu Größe, Kennzahlen, Gesellschaftern und Konzern. Darin können Namen natürlicher Personen als Gesellschafter oder wirtschaftliche Eigentümer stehen. Die Kopie aus Wikidata wird bei jeder Übernahme vollständig ersetzt; sie steht allen Kanzleien zur Verfügung, die connect nutzen, und jede Kanzlei verantwortet ihre eigene Recherche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Recherche zu bestehenden und möglichen Geschäftsbeziehungen); Widerspruch nach Art. 21 DSGVO ist möglich.
• Serverprotokolle: Für Betrieb und Sicherheit protokolliert unser Server Zugriffe (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortstatus, Browserkennung) sowie Betriebs- und Fehlermeldungen von connect; diese können im Einzelfall Angaben aus connect enthalten. Die Protokolle bleiben auf unserem Server in Deutschland, werden nur bei Anlass gelesen und nicht weitergegeben. Zugriffsprotokolle des Webservers löschen wir nach 14 Tagen, die übrigen Protokolle nach 30 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Aufklärung von Störungen und Angriffen).
• Abgleich mit dem Berufsregister: Hinterlegt eine Kanzlei ihre Registernummern, liest connect einmal in der Woche die öffentlichen Angaben des Berufsregisters der Wirtschaftsprüferkammer zur Gesellschaft und zu ihren Wirtschaftsprüfern (Name, berufliche Anschrift und Kontaktdaten, Funktionen; nicht Geburtstag und Geburtsort) und vergleicht sie mit den Angaben der Kanzlei, damit Änderungen der Kammer unverzüglich mitgeteilt werden (§ 40 Abs. 2 WPO). Die Ergebnisse sieht nur die jeweilige Kanzlei; sie werden nach einem Jahr gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 40 Abs. 2 WPO, für die Einträge von Personen Art. 6 Abs. 1 lit. f DSGVO; Widerspruch nach Art. 21 DSGVO ist möglich.
• Protokollierung (Prüfspur): Sicherheitsrelevante Vorgänge werden mit Zeitpunkt, IP-Adresse und Geräteangabe protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachweis- und Sicherheitsinteresse, Manipulationsschutz).

3. Berufsgeheimnis

Alle in comply und connect verarbeiteten Mandantendaten unterliegen der beruflichen Verschwiegenheitspflicht (§ 43 WPO, § 203 StGB). Zugriff besteht ausschließlich für die jeweils berechtigten Personen; eine Mandantentrennung wird technisch auf Anwendungs- und Datenbankebene erzwungen.

4. Hosting und eingesetzte Dienste (Auftragsverarbeiter)

Mit den nachstehenden Dienstleistern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

5. Speicherdauer

Mandatsbezogene Unterlagen werden entsprechend den berufs- und handelsrechtlichen Aufbewahrungsfristen (u. a. § 51b WPO) revisionssicher vorgehalten und nicht vorzeitig gelöscht; eine Löschung erfolgt nach Ablauf der Fristen. Anmelde-Einmalcodes verfallen nach wenigen Minuten; Protokolldaten werden für den Nachweiszweck vorgehalten.

6. Empfänger

Eine Weitergabe an Dritte erfolgt nur, soweit dies zur Erfüllung des Mandats erforderlich ist, eine gesetzliche Pflicht besteht oder eine Einwilligung vorliegt. Die unter Ziffer 4 genannten Auftragsverarbeiter handeln ausschließlich nach unseren Weisungen. Unternehmensdaten aus Wikidata (Ziffer 2, Unternehmensrecherche) stehen allen Kanzleien zur Verfügung, die connect nutzen.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Einen maschinenlesbaren Export Ihrer in comply und connect gespeicherten Daten können Sie in Ihrem Konto selbst anstoßen. Zudem besteht ein Beschwerderecht bei einer Aufsichtsbehörde. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, www.ldi.nrw.de.

Die Löschung Ihrer Daten können Sie in connect auch direkt beantragen: in Ihrem Konto mit „Löschung beantragen“. Über den Antrag entscheidet die Kanzlei, über die Sie connect nutzen, unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); Daten, die sie aufbewahren muss, bleiben bis zum Ende der Frist gespeichert (Art. 17 Abs. 3 Buchst. b DSGVO).

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

8. Cookies

comply und connect verwenden ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie für die Anmeldung sowie ein Cookie zum Schutz vor seitenübergreifender Anforderungsfälschung (CSRF). Beide sind für den Betrieb erforderlich; eine Einwilligung ist hierfür nicht nötig. Es findet kein Tracking und keine Reichweitenmessung statt.

E-Mails von connect zeigen das justReporting-Logo. Ihr E-Mail-Programm lädt es beim Anzeigen von connect.justreporting.eu, also von unserem eigenen Server, nicht von einem Dritten. Die Adresse des Logos ist für alle E-Mails gleich; der Abruf wird keiner E-Mail und keiner Person zugeordnet und nicht ausgewertet.

Stand: Oktober 2026