Datenschutzerklärung für den Kummerkasten der Blueprint AG

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist die Blueprint AG, Lindberghstraße 17, 80939 München, vertreten durch den Vorstand Gerhard Meier und Roland Deffner. Die Kontaktdaten entnehmen Sie dem Impressum dieses Portals.

2. Datenschutzbeauftragter

Datenschutzbeauftragter der Blueprint AG ist Sandor Ertl, erreichbar unter Telefon +49-89-450 80 69-21 und E-Mail S.Ertl@blueprint.de. In Datenschutzfragen zu diesem Portal erreichen Sie außerdem die betreibende Meldestelle unter den in Ziffer 18 genannten Kontaktdaten.

3. Betrieb der Meldestelle und Auftragsverarbeitung

Die interne Meldestelle wird von der intelligent piXel GmbH, Enzianstraße 4a, 82319 Starnberg, als unabhängige externe Meldestelle nach § 14 Abs. 1 HinSchG betrieben. Datenschutzrechtlich handelt die intelligent piXel GmbH als Auftragsverarbeiter der Blueprint AG nach Art. 28 DSGVO. Die Prüfung und Bearbeitung Ihrer Meldung erfolgt fachlich unabhängig, die intelligent piXel GmbH handelt dabei innerhalb des gesetzlich und vertraglich festgelegten Aufgabenbereichs eigenständig. Die datenschutzrechtliche Einordnung als Auftragsverarbeiter nach Art. 28 DSGVO bleibt hiervon unberührt. Die Blueprint AG hat keinen administrativen Zugriff auf die Plattform oder die Server.

4. Grundsätze der Verarbeitung

Wir verarbeiten so wenige Daten wie möglich. Eine Meldung ist ohne Angabe personenbezogener Daten möglich. Wir verknüpfen technisch anfallende Verbindungsdaten wie IP-Adressen nicht mit dem Inhalt Ihrer Meldung, mit Ihrer Fall-Kennung oder mit Ihrer Identität, und wir setzen keine Verfahren ein, um Sie zu identifizieren. Zu den technisch notwendigen Server-Logfiles siehe Ziffer 6.

5. Zweck und allgemeine Rechtsgrundlage

Zweck der Verarbeitung ist die Entgegennahme, Prüfung, Bearbeitung, Dokumentation und Beantwortung von Meldungen nach dem Hinweisgeberschutzgesetz sowie das Ergreifen angemessener Folgemaßnahmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Pflichten aus dem HinSchG, insbesondere den §§ 10 bis 18 HinSchG. Gehen über den Kummerkasten Meldungen ein, die nicht unmittelbar in den Anwendungsbereich des Hinweisgeberschutzgesetzes fallen, verarbeiten wir diese auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht insbesondere in der Aufklärung und Verhinderung von Compliance-, Ethik- und sonstigen betrieblichen Regelverstößen.

6. Aufruf des Portals und Server-Logfiles

Beim Aufruf des Portals ist die Übertragung technisch notwendiger Verbindungsdaten unvermeidbar. Zum Schutz des Systems verarbeiten wir technisch notwendige Server-Logfiles einschließlich der IP-Adresse. Diese Daten dienen ausschließlich der Abwehr von Angriffen und der Aufrechterhaltung des sicheren Betriebs. Sie werden nicht mit dem Inhalt einer Meldung, mit einer Fall-Kennung oder mit der Identität einer hinweisgebenden Person verknüpft. Die Protokolle werden nach 14 Tagen automatisiert gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Portal nach Art. 6 Abs. 1 lit. f DSGVO.

7. Schriftliche Meldung

Wenn Sie das Online-Formular nutzen, verarbeiten wir den von Ihnen eingegebenen Inhalt der Meldung, freiwillig gemachte Angaben, einen von Ihnen optional angegebenen Namen sowie hochgeladene Dateien. Ein Name wird nur gespeichert, wenn Sie ihn freiwillig angeben. Für den späteren Zugriff auf Ihren Fall erhalten Sie eine zufällige Fall-Kennung und wählen ein Passwort. Das Passwort speichern wir ausschließlich als nicht rückrechenbaren Hash. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG.

8. Telefonische Meldung mit Sprachassistent

Für den telefonischen Meldeweg setzen wir einen KI-gestützten Sprachassistenten ein, der Sie durch das Gespräch führt und in mehreren Sprachen antwortet, damit Sprachbarrieren keine Rolle spielen. Der Assistent wandelt das Gesprochene in Text um. Diese Sprachverarbeitung und die Transkription erbringt die X.AI LLC als Auftragsverarbeiter. Ihre Absenderrufnummer wird nicht gespeichert. Die technische Telefonanbindung erbringt die Twilio Ireland Limited. Das Transkript des Gesprächs wird in den Kummerkasten übernommen und dort wie eine schriftliche Meldung vertraulich weiterbearbeitet. Wenn Sie stattdessen eine Nachricht auf dem Anrufbeantworter hinterlassen, ist technisch sichergestellt, dass Ihre Stimme nicht zur Identifizierung verwendet werden kann. Die Nachricht wird in Text umgewandelt und wie eine schriftliche Meldung weiterbearbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG.

9. Persönliches Gespräch

Auf Wunsch führen wir mit Ihnen ein persönliches Gespräch, auch als Videogespräch. Hierfür verarbeiten wir die Angaben, die Sie zur Terminvereinbarung machen, sowie die im Gespräch mitgeteilten Informationen. Videotelefonate werden zu keinem Zeitpunkt aufgezeichnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG.

10. Fallzugang und Kommunikation

Über Ihre Fall-Kennung und Ihr Passwort können Sie den Bearbeitungsstand einsehen und mit der Meldestelle kommunizieren, ohne Ihre Identität preiszugeben. Wir verarbeiten hierzu die Kennung, den Passwort-Hash, den Nachrichtenverlauf sowie Bearbeitungs- und Fristendaten.

11. Anonyme Meldung

Sie können anonym melden. Wenn Sie keine Angaben zu Ihrer Person machen, verarbeiten wir keine Daten, die Sie identifizieren. Wir unternehmen keinen Versuch, Ihre Identität zu ermitteln.

12. Besondere Kategorien personenbezogener Daten

Eine Meldung kann besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten, etwa Angaben zur Gesundheit, wenn Sie oder betroffene Personen diese nennen. Sie kann außerdem personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO enthalten, etwa strafrechtliche Vorwürfe. Wir verarbeiten solche Daten nur, soweit dies für die Bearbeitung Ihrer Meldung erforderlich ist. Rechtsgrundlage für Daten nach Art. 9 DSGVO ist Art. 9 Abs. 2 lit. g DSGVO in Verbindung mit § 10 HinSchG. Die Verarbeitung von Daten nach Art. 10 DSGVO stützt sich auf § 10 HinSchG als gesetzliche Grundlage.

13. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir folgende Auftragsverarbeiter ein: die Hetzner Online GmbH für das Hosting, die X.AI LLC für den Sprachassistenten und die Transkription sowie die Twilio Ireland Limited für die Telefonanbindung. Alle sind vertraglich nach Art. 28 DSGVO gebunden und geben dieselben Datenschutzpflichten an ihre eigenen Unterauftragsverarbeiter weiter. Die aktuellen Unterauftragsverarbeiter der genannten Anbieter können Sie deren jeweils öffentlich geführten Listen entnehmen. Die beteiligten Telekommunikationsanbieter verarbeiten Verbindungsdaten im Rahmen ihrer eigenen datenschutzrechtlichen Verantwortlichkeit. An die Blueprint AG werden Informationen nur insoweit weitergegeben, wie dies zur Durchführung gesetzlich vorgesehener Folgemaßnahmen erforderlich ist. Die Identität hinweisgebender Personen bleibt dabei nach den §§ 8 und 9 HinSchG geschützt.

14. Verarbeitung in Drittländern

Das Hosting erfolgt auf Servern in Deutschland. Die X.AI LLC ist ein Unternehmen mit Sitz in den USA. Auch bei einer vorrangigen Datenhaltung in der Europäischen Union kann eine Verarbeitung in den USA nicht vollständig ausgeschlossen werden. Für diese Übermittlungen bestehen geeignete Garantien nach Art. 44 ff. DSGVO. Bei der X.AI LLC erfolgt die Absicherung über die Standardvertragsklauseln der Europäischen Kommission, bei der Twilio Ireland Limited über Binding Corporate Rules, ergänzende Standardvertragsklauseln und das Data Privacy Framework. Uns ist bewusst, dass für Übermittlungen in Drittländer trotz dieser Garantien ein Restrisiko des Zugriffs durch dortige Behörden nicht vollständig ausgeschlossen werden kann. Wir haben die eingesetzten Anbieter mit Blick hierauf ausgewählt und die Verarbeitung auf das Notwendige beschränkt.

15. Speicherdauer und Löschung

Ihre Meldung und die zugehörige Dokumentation werden drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). Beim Sprachassistenten der X.AI LLC ist Zero Data Retention aktiviert, es werden nach Abschluss der Verarbeitung keine Inhalte gespeichert, und es findet kein Training von KI-Modellen mit Ihren Daten statt. Die maßgebliche Aufbewahrung erfolgt ausschließlich im Kummerkasten. Nach Ablauf der Aufbewahrungsfrist werden die Daten automatisiert gelöscht.

16. Vertraulichkeit Ihrer Identität

Ihre Identität wird nach § 8 HinSchG vertraulich behandelt, auch gegenüber der Blueprint AG. Die intelligent piXel GmbH ist eine externe, unabhängige Stelle, die Ihre Vertraulichkeit mit allen erforderlichen Mitteln schützt. Die Blueprint AG hat keinen administrativen Zugriff auf die Plattform oder die Server und erhält keine Kenntnis von Ihrer Identität. Informationen werden an die Blueprint AG nur insoweit weitergegeben, wie dies für gesetzlich vorgesehene Folgemaßnahmen erforderlich ist. Ihre Identität wird dabei nach den §§ 8 und 9 HinSchG geschützt und darf nur in den gesetzlich geregelten Ausnahmefällen offengelegt werden.

17. Datensicherheit

Die Übertragung erfolgt durchgängig verschlüsselt über TLS. Der Zugriff auf Meldungen ist ausschließlich der unabhängigen externen Meldestelle vorbehalten und durch Zwei-Faktor-Authentifizierung gesichert. Passwörter werden ausschließlich als Hash gespeichert. Technisch notwendige Server-Logfiles werden getrennt von den Meldungsdaten geführt und nach 14 Tagen gelöscht (siehe Ziffer 6). Der Betrieb erfolgt auf einem gesicherten Server in der Europäischen Union.

18. Ihre Rechte

Sie haben im gesetzlich vorgesehenen Rahmen die folgenden Rechte, soweit deren Voraussetzungen vorliegen und soweit dies mit der Vertraulichkeit nach § 8 HinSchG vereinbar ist:

• Recht auf Auskunft (Art. 15 DSGVO),
• Recht auf Berichtigung (Art. 16 DSGVO),
• Recht auf Löschung (Art. 17 DSGVO). Solange und soweit wir gesetzlich zur Dokumentation und Aufbewahrung verpflichtet sind (§ 11 HinSchG, Art. 17 Abs. 3 lit. b DSGVO), löschen wir erst nach Wegfall dieser Pflicht, spätestens drei Jahre nach Abschluss des Verfahrens,
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO), soweit dessen Voraussetzungen erfüllt sind. Da die Verarbeitung auf einer rechtlichen Verpflichtung beruht, ist dieses Recht hier regelmäßig nicht einschlägig,
• Recht auf Widerspruch (Art. 21 DSGVO), soweit die Verarbeitung auf einem berechtigten Interesse beruht,
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft, soweit eine Verarbeitung auf einer Einwilligung beruht.

Ihre Betroffenenrechte können Sie grundsätzlich gegenüber der Blueprint AG als Verantwortlicher geltend machen, deren Kontaktdaten sich aus dem Impressum ergeben. Zusätzlich steht Ihnen die betreibende Meldestelle als Ansprechpartner zur Verfügung: intelligent piXel GmbH, Enzianstraße 4a, 82319 Starnberg, my@intelligent-pixel.com (verschlüsselt über Proton Mail).

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

19. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Der Sprachassistent nimmt Ihre Meldung entgegen und wandelt sie in Text um, er trifft keine Entscheidung über Ihren Fall. Die Prüfung und Bearbeitung erfolgt durch die zuständige Person der Meldestelle.

20. Schutz vor Repressalien

Als hinweisgebende Person sind Sie nach § 36 HinSchG vor Repressalien geschützt, einschließlich einer Beweislastumkehr zu Ihren Gunsten. Einzelheiten enthält der Repressalienschutz-Hinweis dieses Portals.

21. Cookies und Reichweitenmessung

Wir verwenden keine Analyse- oder Tracking-Dienste. Wir setzen ausschließlich eine technisch notwendige Sitzung ein, die für den Zugang zu Ihrem Fall erforderlich ist. Rechtsgrundlage für die Speicherung dieser technisch notwendigen Information ist § 25 Abs. 2 Nr. 2 TDDDG, eine Einwilligung ist hierfür nicht erforderlich.

22. Schriftarten und Symbole

Die auf diesem Portal verwendeten Schriftarten (Google Fonts) und Symbole (Lucide) werden lokal auf unserem eigenen Server bereitgestellt. Beim Aufruf der Seite werden dafür keine Verbindungen zu Servern von Google oder anderen Dritten aufgebaut, und es werden keine Daten, insbesondere keine IP-Adressen, an Dritte übermittelt.

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf diesem Portal veröffentlichte Fassung. Stand dieser Fassung ist der 17. Juli 2026.

24. Maßgebliche Sprachfassung

Diese Seite liegt auch in englischer Übersetzung vor. Bei Abweichungen gilt ausschließlich die deutsche Fassung.