Logo
✕ Schließen

Datenschutz

Fassung vom 19. Oktober 2026

1. Verantwortlicher und Kontakt

Verantwortlich für diese Website und die Nutzerkonten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

  • Joachim Vogelsänger, Fallkompass
  • Görgesstraße 13, 21335 Lüneburg
  • E-Mail: admin@fallkompass.com

Stand dieser Erklärung: 19. Oktober 2026.

2. Überblick

Fallkompass ist eine Plattform für Beratungsstellen im Asyl- und Migrationsbereich. Diese Erklärung unterscheidet zwei Bereiche:

  • Website und Nutzerkonten: Wir verarbeiten die Daten der Personen, die sich als Beratende anmelden. Dafür sind wir selbst verantwortlich (Art. 4 Nr. 7 DSGVO: Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet).
  • Fallbearbeitung: Beratungsstellen erfassen in Fallkompass Daten ihrer Klientinnen und Klienten. Verantwortlich ist die jeweilige Beratungsstelle. Wir verarbeiten diese Daten als Auftragsverarbeiter (Art. 28 DSGVO: Dienstleister, der Daten ausschließlich nach Weisung des Verantwortlichen verarbeitet). Klientinnen und Klienten wenden sich bei Fragen zu ihren Daten bitte an ihre Beratungsstelle.

3. Besuch der Website und Cookies

Beim Aufruf der Website verarbeitet unser Server technisch notwendig Ihre IP-Adresse und die Angaben Ihres Browsers, um die Seite auszuliefern und den Dienst abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Der Webserver führt dabei kein Zugriffsprotokoll.

Nach der Anmeldung setzen wir technisch notwendige Cookies ein, die Ihre Anmeldesitzung zuordnen. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich.

4. Hosting und Infrastruktur

Anwendung, Datenbank (PostgreSQL) und Objektspeicher für Falldokumente werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Die Server stehen in Rechenzentren in Deutschland (Nürnberg bzw. Falkenstein). Hetzner verarbeitet die Daten in unserem Auftrag auf Grundlage einer Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Die Schlüssel zur Verschlüsselung der Falldokumente verwaltet ein separater Server in einem eigenen Hetzner-Konto.

5. Welche Daten verarbeitet werden

Nutzerkonten (wir sind verantwortlich). Für Beratende, die sich anmelden, speichern wir Name, E-Mail-Adresse, die zugehörige Organisation und die Zugangsdaten. Zweck ist die Bereitstellung und Absicherung des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Plattform).

Falldaten (die Beratungsstelle ist verantwortlich). Klientenbezogene Falldaten werden unter Initialen und einer automatisch vergebenen Fallnummer angelegt, nicht unter dem vollen Namen. Das ist eine Pseudonymisierung (der Name wird durch ein Kennzeichen ersetzt), keine Anonymisierung: Die Daten bleiben personenbezogen, weil die beratende Person den Fall einer Person zuordnen kann. Die Pseudonymisierung beruht auf der Vorgabe an die Beratungsstellen, Fälle so anzulegen; sie wird organisatorisch, nicht technisch erzwungen. Hochgeladene Dokumente, etwa Anhörungsprotokolle, können vollständige Namen und weitere Angaben enthalten.

Besondere Kategorien. Bei der Fallbearbeitung können Angaben nach Art. 9 DSGVO anfallen (zum Beispiel zu Gesundheit, Religionszugehörigkeit, politischer Überzeugung oder sexueller Orientierung), soweit sie für die Beurteilung des Schutzgesuchs erforderlich sind. Zwecke und Rechtsgrundlagen bestimmt die Beratungsstelle. Wir verarbeiten diese Daten nur auf ihre Weisung.

6. KI-Dienste

Azure OpenAI Service (Microsoft). Für die KI-gestützte Fallanalyse und für Text-Embeddings nutzen wir den Azure OpenAI Service von Microsoft. Text-Embeddings sind Zahlenrepräsentationen von Texten; mit ihnen funktioniert die semantische Suche über Herkunftsländer-Informationen und Rechtsprechung. Der Dienst ist mit dem Deployment-Typ „Data Zone EU" eingerichtet: Verarbeitung und Speicherung sind vertraglich auf die Europäische Union beschränkt. Nach den Angaben des Anbieters werden übermittelte Daten nicht zum Training der Modelle verwendet. Die Übertragung ist durchgehend TLS-verschlüsselt (TLS 1.2 oder höher). Übermittelt werden nur die Textabschnitte, die für die jeweilige Auswertung nötig sind; Metadaten wie IP-Adressen oder Benutzernamen werden nicht weitergegeben. Hochgeladene Falldokumente, etwa Anhörungsprotokolle, werden nicht an KI-Dienste übermittelt.

Microsoft gehört zu einem US-amerikanischen Konzern und unterliegt dem US CLOUD Act. Das ist ein US-Gesetz, das US-Behörden unter Umständen Zugriff auf Daten von US-Unternehmen erlaubt, auch wenn diese im Ausland gespeichert sind.

Perplexity. Für die Recherche aktueller Herkunftsländer-Informationen nutzen wir den Suchdienst von Perplexity AI, Inc. (USA). Übermittelt wird ausschließlich die Bezeichnung des Herkunftslandes als Suchbegriff, keine Fall- oder Klientendaten.

7. E-Mail-Versand

System- und Benachrichtigungs-E-Mails, darunter befristete Download-Links für Auskunftsersuchen nach Art. 15 DSGVO, versenden wir über den E-Mail-Dienstleister Brevo mit Sitz und Serverstandort in der Europäischen Union. Brevo erhält dafür die E-Mail-Adresse der Empfängerin oder des Empfängers und den Inhalt der Nachricht und verarbeitet sie in unserem Auftrag. Verweis- und Benachrichtigungs-E-Mails enthalten keine Falldaten. Die Auskunft selbst steht nicht in der E-Mail, sondern wird über den Link von unserem Server abgerufen.

8. Schutzmaßnahmen

Zum Schutz der Daten (Art. 32 DSGVO) setzen wir unter anderem diese Maßnahmen ein:

  • Alle Verbindungen sind TLS-verschlüsselt; die Zertifikate werden automatisch verwaltet.
  • Falldokumente werden vor der Ablage im Objektspeicher in der Anwendung verschlüsselt (AES-256-GCM). Jedes Dokument erhält einen eigenen Datenschlüssel, der durch einen Schlüssel der jeweiligen Organisation geschützt wird. Dieser Organisationsschlüssel liegt auf einem separaten Server und verlässt ihn nicht. Der Objektspeicher-Betreiber sieht deshalb nur verschlüsselte Dokumente.
  • Die Datenbank liegt auf einem eigenständig verschlüsselten Datenträger, der nach einem Neustart des Servers manuell entsperrt werden muss.
  • Der Serverzugang erfolgt ausschließlich per Schlüssel-Authentifizierung, ohne Passwort-Login und ohne direkten Root-Zugriff. Firewall-Regeln beschränken den Netzwerkzugriff.
  • Die Anmeldung kann mit Zwei-Faktor-Authentifizierung abgesichert werden.
  • Die Daten verschiedener Organisationen sind voneinander getrennt.
  • Klientendaten werden pseudonymisiert angelegt (siehe Abschnitt 5).

9. Speicherung und Löschung

Nutzerkonten. Wir löschen Kontodaten, sobald das Konto nicht mehr benötigt wird und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Falldaten. Falldaten bleiben für die Dauer der aktiven Nutzung durch die Beratungsstelle gespeichert. Abgeschlossene Fälle werden archiviert; archiviert die Beratungsstelle einen abgeschlossenen Fall nicht selbst, geschieht das nach einer festgelegten Frist automatisch. Die Reaktivierung eines archivierten Falls ist nur mit Begründung möglich und wird protokolliert. Die Beratungsstelle kann Fälle und ganze Organisationen löschen. Die Löschung entfernt die Falldaten aus der Datenbank und die zugehörigen Dokumente aus dem Objektspeicher; ein Löschprotokoll hält nur den Nachweis der Löschung fest, keine Falldaten.

10. Ihre Rechte und Beschwerde

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Betrifft Ihre Anfrage Falldaten, wenden Sie sich bitte an die Beratungsstelle, die Ihren Fall bearbeitet; wir unterstützen sie bei der Beantwortung. Für Nutzerkonten erreichen Sie uns unter der in Abschnitt 1 genannten Adresse.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.