Datenschutzerklärung für das Kundenportal

Stand: Oktober 2026

Diese Datenschutzerklärung informiert Sie nach Art. 13 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie das Kundenportal „NORM Prüfmanager“ unter kunden.norm-ps.de nutzen, zu welchen Zwecken das geschieht und welche Rechte Sie haben. Für unsere übrige Website gilt die Datenschutzerklärung der Website.

1. Verantwortlicher

NORM Prüfservice GmbH
Marthastraße 49
46537 Dinslaken
Telefon: 02327 36979-0
E-Mail: info@norm-ps.de
Geschäftsführer: Christof Szczepanik

2. Ansprechpartner für den Datenschutz

Ihr Ansprechpartner für Fragen zum Datenschutz ist Osman Öztürk, erreichbar unter der oben genannten Anschrift sowie per E-Mail an info@norm-ps.de (Betreff „Datenschutz“).

3. Zweck des Kundenportals

Über das Kundenportal stellen wir unseren Kunden Prüfprotokolle, Prüfdokumentationen, Gebäude- und Verteilerinformationen sowie zugehörige Fotos zur Verfügung, die im Rahmen unserer Prüfaufträge entstanden sind. Zugänge erhalten ausschließlich Kunden und von ihnen benannte Personen; eine freie Registrierung gibt es nicht. Zugänge werden von uns oder von Administratoren Ihres Unternehmens angelegt.

4. Welche Daten wir verarbeiten, wozu und wie lange

4.1 Benutzerkonto

Daten: E-Mail-Adresse, Passwort (ausschließlich als nicht umkehrbarer Hash), Rolle (Benutzer oder Administrator), Zuordnung zu Ihrem Unternehmen.
Zweck: Anmeldung und Bereitstellung der Dokumente Ihres Unternehmens.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit unserem Kunden). Sind Sie als Beschäftigter eines Kunden selbst nicht Vertragspartner, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das unseres Kunden liegt in der sicheren Bereitstellung der Prüfunterlagen an die von ihm benannten Personen.
Speicherdauer: bis der Zugang entfernt wird. Entfernt ein Administrator Ihres Unternehmens Sie aus der letzten zugeordneten Firma, wird Ihr Zugang mit allen zugehörigen Daten (siehe 4.4 und 4.5) gelöscht.

Administratoren Ihres Unternehmens sehen die E-Mail-Adressen und Rollen der Benutzer, die derselben Firma zugeordnet sind.

4.2 Anmeldeprotokoll

Daten: Datum, Uhrzeit, IP-Adresse und Art des Ereignisses bei Anmeldungen, fehlgeschlagenen Anmeldeversuchen, Passwortänderungen, Passwort-Zurücksetzungen sowie beim Ein- und Ausschalten der Zwei-Faktor-Anmeldung.
Zweck: Schutz Ihres Zugangs und unserer Systeme, Erkennen und Aufklären von Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit der Verarbeitung (Art. 32 DSGVO).
Speicherdauer: 180 Tage, danach automatische Löschung.

Zum Schutz vor dem Erraten von Passwörtern speichern wir fehlgeschlagene Anmeldeversuche zusätzlich mit E-Mail-Adresse und IP-Adresse für höchstens 24 Stunden.

4.3 Aktivitätsprotokoll

Daten: Datum, Uhrzeit, Benutzerkonto und Firma bei Seitenaufrufen im Portal, beim Herunterladen von Dokumenten und beim Öffnen von Prüfprotokollen. Eine IP-Adresse wird hier nicht gespeichert.
Zweck: Nachweis, dass und wann Prüfunterlagen bereitgestellt und abgerufen wurden; Kennzeichnung neuer Dokumente.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Speicherdauer: 365 Tage, danach automatische Löschung.

4.4 Zwei-Faktor-Anmeldung (freiwillig)

Sie können Ihren Zugang zusätzlich mit einem Code aus einer Authenticator-App oder per E-Mail schützen.
Daten: gewähltes Verfahren, bei der App ein geheimer Schlüssel (verschlüsselt gespeichert), Notfall-Codes (nur als Hash gespeichert), bei „Diesem Gerät vertrauen“ ein Gerätemerkmal (nur als Hash gespeichert, siehe Abschnitt 5).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; die Nutzung ist freiwillig.
Speicherdauer: bis Sie die Zwei-Faktor-Anmeldung ausschalten oder Ihr Zugang gelöscht wird; gemerkte Geräte höchstens 30 Tage, Codes per E-Mail 10 Minuten.

Bei der Einrichtung in einer Authenticator-App speichert die App selbst den Schlüssel auf Ihrem Gerät. Für die Datenverarbeitung durch den App-Anbieter gelten dessen Datenschutzbestimmungen; wir erhalten von der App keine Daten.

4.5 Einladungs- und Passwort-Links

Für die Einladung neuer Benutzer und das Zurücksetzen von Passwörtern versenden wir Einmal-Links per E-Mail. Gespeichert wird nur ein Hash des Links. Einladungslinks sind 7 Tage, Links zum Zurücksetzen 60 Minuten gültig und werden nach Benutzung oder Ablauf gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.6 Zustimmung zu den Nutzungsbedingungen

Vor der ersten Nutzung stimmen Sie einmalig unseren Nutzungsbedingungen zu. Wir speichern dazu Ihr Benutzerkonto, die Fassung der Nutzungsbedingungen und den Zeitpunkt der Zustimmung, um sie nachweisen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Angaben werden gelöscht, wenn Ihr Zugang gelöscht wird.

4.7 Bewertungen

Nach einem Auftrag können Sie freiwillig eine Bewertung mit Sternen und einer Anmerkung abgeben. Wir speichern die Bewertung zusammen mit Ihrem Benutzerkonto und der Auftragsnummer, um unsere Leistungen zu verbessern und Rückfragen zu ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Qualitätssicherung. Speicherdauer: 3 Jahre, danach werden die Bewertungen gelöscht.

4.8 Prüfunterlagen

Die im Portal angezeigten Prüfprotokolle, Dokumente und Fotos stammen aus unserer Auftragsabwicklung. Sie enthalten Angaben zu Ihrem Unternehmen, Ihren Standorten und Anlagen sowie die Namen der Prüfer. Sie werden für die Dauer der Geschäftsbeziehung und darüber hinaus nach den gesetzlichen Aufbewahrungsfristen gespeichert (insbesondere § 257 HGB und § 147 AO, bis zu zehn Jahre). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

4.9 Server-Protokolle beim Hosting

Beim Aufruf des Portals verarbeitet der Webserver technisch bedingt die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge sowie Browser- und Betriebssystemangaben. Diese Daten sind zur Auslieferung der Seiten und zur Gewährleistung der Sicherheit erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden wöchentlich rotiert und nach höchstens vier Wochen gelöscht.

5. Cookies

Das Portal verwendet ausschließlich technisch erforderliche Cookies (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Analyse-, Werbe- oder Tracking-Cookies eingesetzt und keine Inhalte von Drittanbietern (z. B. Schriftarten, Karten, Statistikdienste) geladen.

6. Empfänger und Auftragsverarbeiter

Innerhalb unseres Unternehmens erhalten nur die Mitarbeiter Zugriff, die ihn für die Auftragsabwicklung und den Kundenservice benötigen.

Hosting: Das Portal und seine Datenbank werden betrieben bei der IP-Projects GmbH & Co. KG, Am Vogelherd 14, 97295 Waldbrunn. Die Server stehen in nach ISO 27001 zertifizierten Rechenzentren in Frankfurt am Main bzw. Eschborn (Deutschland). Mit IP-Projects besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. IP-Projects setzt für Teilleistungen weitere Unterauftragsverarbeiter ein (Rechenzentrumsbetrieb, Systemadministration, u. a. die Plesk International GmbH, Schaffhausen, Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission).

E-Mail-Versand: Einladungen, Links zum Zurücksetzen des Passworts, Anmeldecodes und Benachrichtigungen versenden wir über Microsoft 365 der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Dabei werden Ihre E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Mit Microsoft besteht ein Vertrag zur Auftragsverarbeitung. Eine Verarbeitung in den USA kann nicht ausgeschlossen werden; die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

7. Sicherheit

Die Verbindung zum Portal ist durchgehend per TLS (HTTPS) verschlüsselt. Passwörter werden nur als Hash gespeichert, Schlüssel der Zwei-Faktor-Anmeldung verschlüsselt. Jeder Zugriff auf Dokumente wird serverseitig auf die Berechtigung für das jeweilige Unternehmen geprüft. Wir treffen weitere technische und organisatorische Maßnahmen nach Art. 32 DSGVO und überprüfen sie regelmäßig.

8. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Ohne E-Mail-Adresse und Passwort ist die Nutzung des Portals nicht möglich. Die Prüfunterlagen erhalten Sie auf Wunsch auch auf anderem Weg. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

9. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Bestimmungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Wenden Sie sich dazu an die in Abschnitt 1 oder 2 genannten Kontaktdaten.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich das Portal oder die rechtlichen Anforderungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.