Datenschutz beginnt mit einem nachvollziehbaren Datenfluss

Wer Internetauftritte nach Greenwashing-Risiken durchsucht, verarbeitet mehr als die eingegebene Internetadresse. Zur Analyse gehören die angegebene Internetadresse, öffentlich erreichbare Seiteninhalte und die daraus gewonnenen Hinweise. Bei der kostenfreien Analyse kommen eine E-Mail-Adresse, technische Protokolldaten und ein zeitlich begrenzter Ergebniszugang hinzu. Eine belastbare Datenschutzbeschreibung muss deshalb unterscheiden, welche Daten die Kernplattform verarbeitet, welche Systeme an der Analyse beteiligt sind und welche Informationen einen externen Dienst erreichen.

Der GreenClaims Manager unterstützt Unternehmen dabei, Umweltaussagen zu finden und strukturiert einzuordnen. Er liefert Hinweise und Wahrscheinlichkeiten, aber keine verbindliche rechtliche Bewertung. Ebenso wenig ersetzt dieser Artikel eine individuelle datenschutzrechtliche Beratung. Er beschreibt den dokumentierten technischen Aufbau und vermeidet Aussagen, die sich aus Architektur und Betriebsunterlagen nicht ableiten lassen.

Kernbetrieb auf deutscher Infrastruktur

Die dokumentierte Produktionsumgebung des GreenClaims Managers läuft auf einem Server in Deutschland. Die Anwendung wird dort als Docker-basierter Verbund betrieben. Nginx nimmt Webanfragen entgegen und leitet dynamische Aufrufe an PHP-FPM weiter. PostgreSQL speichert Anwendungsdaten, während Redis für Zwischenspeicher- und Sitzungsfunktionen eingesetzt wird. Datenbank und Redis sind in der dokumentierten Netzkonfiguration einem internen Anwendungsnetz zugeordnet und nicht als öffentliche Dienste vorgesehen.

Damit bleibt der Kernbetrieb von einer Übertragung einzelner Umweltaussagen an OpenAI klar getrennt. Eine Infrastruktur innerhalb der EU beseitigt nicht automatisch jedes datenschutzrechtliche Risiko. Sie reduziert jedoch die Zahl der Stellen, an denen Produktdaten regulär verarbeitet werden, und macht den Hauptspeicherort nachvollziehbar. Maßgeblich sind dabei keine pauschalen Konformitäts- oder Sicherheitsformeln, sondern überprüfbare Angaben zu Diensten, Speicherorten, Zugriffswegen und Empfängern.

Eine öffentliche IP-Abfrage kann den Netzbetreiber und den ungefähren Standort zu einem bestimmten Zeitpunkt anzeigen. Als dauerhafter Nachweis für die gesamte Verarbeitungskette reicht sie nicht aus, weil Adressen, Dienste und technische Zuordnungen geändert werden können. Aussagekräftiger sind aktuelle Betriebsunterlagen, die Verantwortlichkeiten, Systeme und Speicherorte gemeinsam erfassen.

So läuft die Analyse eines Internetauftritts ab

Eine Analyse beginnt mit der vom Nutzer eingegebenen URL. Die Anwendung validiert die Adresse, weist lokale und private Zieladressen zurück und begrenzt die Zahl der Anfragen pro IP-Adresse. Für die kostenfreie Analyse werden URL und IP-Adresse zunächst als Analyseauftrag gespeichert. Erst nachdem eine gültige E-Mail-Adresse eingetragen und der Datenschutzhinweis bestätigt wurde, setzt der Hintergrundprozess den Auftrag fort und übergibt ihn an den angebundenen Abrufdienst.

Der Abrufdienst ruft öffentlich erreichbare Inhalte des angegebenen Internetauftritts ab und liefert die Ergebnisse über einen mit einem Zugangsschlüssel geschützten Rückkanal an die Anwendung. Dort werden unter anderem Bearbeitungsstand, betroffene Seiten, erkannte Umweltaussagen, Wahrscheinlichkeiten und Risikostufen gespeichert. Der Ergebniszugang verwendet einen zufällig erzeugten Zugangsschlüssel. Solche Maßnahmen begrenzen typische Fehl- und Missbrauchsszenarien, machen eine Zugangsadresse aber nicht zu einem Ersatz für einen verantwortungsvollen Umgang mit dem Ergebnis.

Auch betriebliche Zugriffe sollten präzise beschrieben werden. Die Anwendung arbeitet mit Konten und Rollen, und öffentlich erreichbare Datenbankdienste sind in der dokumentierten Containerarchitektur nicht vorgesehen. Daraus folgt jedoch nicht, dass Administratoren technisch unter keinen Umständen auf Inhaltsdaten zugreifen könnten. Für Wartung, Fehleranalyse, Wiederherstellung oder die Bearbeitung einer Kundenanfrage kann ein begrenzter betrieblicher Zugriff erforderlich sein. Welche Personen unter welchen Voraussetzungen zugreifen dürfen, gehört in die jeweils aktuelle Dokumentation der technischen und organisatorischen Maßnahmen.

Welche Daten OpenAI erhält

Für die sprachliche Analyse wird die Programmierschnittstelle von OpenAI genutzt. An sie wird ausschließlich der Wortlaut einer einzelnen, isolierten Umweltaussage übertragen, beispielsweise „100 % klimaneutral“. Der GreenClaims Manager sendet dabei keinen umgebenden Seitenkontext.

Diese Trennung ist für die Datenminimierung wesentlich. Weder eine vollständige Seite noch der Text aus benachbarten Abschnitten werden zur Analyse der Umweltaussage mitgesendet. Der Internetauftritt selbst wird zuvor durch die eigene Verarbeitungskette aufbereitet, damit einzelne Aussagen erkannt und getrennt zur Analyse übergeben werden können. Der externe Dienst sieht dadurch nur die für diesen Analyseschritt vorgesehene Umweltaussage, nicht die gesamte Kommunikationsumgebung der gescannten Seite.

Die Nutzung einer Programmierschnittstelle eines US-amerikanischen Anbieters bleibt trotzdem ein externer Verarbeitungsschritt und muss in Datenschutzinformationen sowie, soweit einschlägig, in vertraglichen Unterlagen berücksichtigt werden. Die isolierte Umweltaussage kann im Einzelfall Namen, Produktbezeichnungen oder andere identifizierbare Angaben enthalten. Deshalb wäre auch die pauschale Aussage „Es werden keine personenbezogenen Daten übertragen“ zu weitgehend. Aussagekräftiger sind der eng begrenzte Übertragungsumfang, die Benennung des Empfängers und die für diesen Dienst geltenden Vertrags- und Löschregelungen.

Technische und organisatorische Maßnahmen

Die Projektunterlagen belegen mehrere konkrete Schutzmaßnahmen. Webzugriffe auf die Produktionsumgebung werden über HTTPS bereitgestellt. Nginx trennt öffentlich erreichbare Routen von internen Diensten und blockiert direkte Zugriffe auf PHP-Dateien außerhalb des vorgesehenen Einstiegspunkts sowie Zugriffe auf versteckte Dateien. Die Anwendung validiert Analyseadressen, begrenzt Analyseaufrufe pro IP-Adresse und schützt den Rückruf des Abrufdienstes mit einem eigenen Zugangsschlüssel. Datenbankzugangsdaten und weitere Geheimnisse werden über die serverseitige Umgebung konfiguriert und nicht als Bestandteil des öffentlich zugänglichen Internetauftritts geführt.

Für den Betrieb sind außerdem automatisierte PostgreSQL-Sicherungen dokumentiert. Vor Datenübernahmen wird eine zusätzliche Sicherung angelegt; tägliche Sicherungskopien der Produktionsdaten werden nach der Betriebsdokumentation 30 Tage aufbewahrt. Das bedeutet nicht, dass eine Löschung augenblicklich aus jeder Sicherung verschwindet. Gelöschte aktive Daten können bis zum Ablauf des jeweiligen Sicherungszyklus noch in geschützten Sicherungskopien enthalten sein und würden nur im Rahmen einer Wiederherstellung erneut verarbeitet.

HTTPS schützt Daten auf dem Transportweg. Davon zu unterscheiden sind die Verschlüsselung gespeicherter Daten, die Schlüsselverwaltung und das betriebliche Berechtigungsmodell. Aussagen zu diesen Bereichen sollten sich auf die jeweils aktuelle Dokumentation der technischen und organisatorischen Maßnahmen stützen, in der auch Kontrollverfahren und Zuständigkeiten festgehalten werden.

Daten verwalten und löschen

Die Produktdokumentation beschreibt eine Datenverwaltung, über die Kontoinhaber Analyseergebnisse selektiv entfernen oder die Daten einer Internetadresse zurücksetzen können. Löschaktionen werden mit Benutzer, Zeitpunkt, angewendeten Filtern und Löschzahlen im Prüfprotokoll festgehalten. Das schafft Nachvollziehbarkeit, ohne daraus eine Garantie für „Revisionssicherheit“ oder eine behördliche Anerkennung abzuleiten.

Welche Aufbewahrungsfrist gilt, hängt vom Verarbeitungsvorgang und vom eingesetzten Produktzugang ab. Für die kostenfreie Analyse nennt die funktionale Spezifikation eigene Fristen für personenbezogene Kontaktdaten; die Betriebsdokumentation nennt davon getrennt eine 30-tägige Aufbewahrung der Datenbanksicherungen. Statt einer pauschalen Löschfrist für sämtliche Analyse-, Konto- und Sicherungsdaten sind daher die aktuellen Datenschutzinformationen und vertraglichen Vereinbarungen maßgeblich. Auskunfts-, Export- oder Löschanfragen können über die in der Datenschutzerklärung genannten Kontaktwege gestellt werden.

Verträge und Verantwortlichkeiten

Ob die Papoo Software & Media GmbH für einen konkreten Vorgang Verantwortliche oder Auftragsverarbeiterin ist, richtet sich nach Nutzung und Vertragskonstellation. Soweit eine Verarbeitung im Auftrag vorliegt, müssen die Anforderungen an eine Vereinbarung nach Art. 28 DSGVO, die eingesetzten Unterauftragsverarbeiter und die technischen und organisatorischen Maßnahmen in den Vertragsunterlagen abgebildet werden. Individuelle Zusagen sollten dort stehen und nicht durch einen allgemeinen Fachartikel ersetzt werden.

Dasselbe gilt für Angaben zur Nutzung der über die Programmierschnittstelle übermittelten Daten für Modelltraining oder zur Speicherdauer beim Anbieter der Programmierschnittstelle. Maßgeblich sind die für den verwendeten OpenAI-Dienst wirksam vereinbarten Bedingungen und Einstellungen. Eine zeitlose Garantie im Artikel wäre weniger belastbar als ein Verweis auf aktuelle Vertragsunterlagen, weil Anbieterbedingungen und technische Konfigurationen geändert werden können.

Die Analyse selbst ausprobieren

Die kostenfreie Analyse zeigt den praktischen Ablauf von der URL-Eingabe bis zum Ergebnis. Bitte verwenden Sie nur Internetadressen, die Sie im Rahmen Ihrer Befugnisse analysieren dürfen, und beachten Sie die verlinkten Datenschutzinformationen.

Was eine belastbare Datenschutzdarstellung auszeichnet

Die entscheidende Frage ist, ob sich der Datenweg verständlich erklären und anhand aktueller Unterlagen nachvollziehen lässt. Beim GreenClaims Manager umfasst dieser Weg die deutsche Kerninfrastruktur, den getrennten Abrufdienst, die Speicherung der Analyseergebnisse und die auf einzelne isolierte Umweltaussagen begrenzte Übertragung an OpenAI.

Diese Architektur kann Risiken begrenzen, sie macht sie nicht unmöglich. Deshalb werden Empfänger, Zugriffsmöglichkeiten, Sicherungen und Löschgrenzen hier ausdrücklich benannt. Für die Bewertung Ihrer konkreten datenschutzrechtlichen Pflichten, insbesondere bei besonderen Kategorien personenbezogener Daten oder unternehmensinternen Inhalten, sollten Sie fachkundigen rechtlichen Rat einholen.