ESG-Regulierungs-CheckBeta-Version

Datenschutzerklärung ESG-Regulierungs-Check

Stand: 9. Oktober 2026

Diese Erklärung gilt für den ESG-Regulierungs-Check unter ki-textil-mode.de/esg und schuckert.cloud/regulierungs-check. Für den übrigen Internetauftritt des Verbandes gilt die allgemeine Datenschutzerklärung von textil+mode.

1. Verantwortlicher

Gesamtverband der deutschen Textil- und Modeindustrie e. V.
Wallstraße 58/59, 10179 Berlin
Telefon +49 30 726220-0
E-Mail: info@textil-mode.de

In Datenschutzfragen erreichen Sie uns unter datenschutz@textil-mode.de.

2. Welche Daten wir verarbeiten

2.1 Zugangsdaten

Bei der Registrierung erheben wir Ihre E-Mail-Adresse, die Angabe, bei welchem Mitgliedsverband von textil+mode Sie Mitglied sind (Auswahl aus einer Liste, „Kein Mitglied“ eingeschlossen), und den Zeitpunkt der Registrierung. Ihr Passwort legen Sie erst nach der Freischaltung fest, mit einem Code aus der Freischalt-Nachricht. Das Passwort speichern wir ausschließlich als bcrypt-Hash; es lässt sich daraus nicht zurückrechnen, und wir können es nicht einsehen.

Eine Registrierung ist zunächst eine Anfrage: Der Zugang wird erst nutzbar, wenn die Administration ihn freischaltet. Dafür sieht sie Ihre E-Mail-Adresse, den angegebenen Verband und den Zeitpunkt der Anfrage und erhält darüber eine E-Mail. Wir speichern zusätzlich, ob und wann der Zugang freigeschaltet wurde, und die Sprache der Anfrage für die Freischalt-Nachricht. Lehnt die Administration eine Anfrage ab, löschen wir sie samt aller Angaben in der Anwendung sofort; unbearbeitete Anfragen löschen wir nach 30 Tagen. Die Benachrichtigung über die Anfrage liegt im E-Mail-Postfach der Administration.

Der angegebene Verband bleibt nach der Freischaltung am Konto gespeichert und steht der Administration in der Kontenübersicht zur Verfügung.

Beim Freischalten legt die Administration fest, ob der Zugang dauerhaft gilt oder ein Testzugang für 48 Stunden ist. Die 48 Stunden beginnen mit Ihrer ersten Anmeldung. Bei einem Testzugang speichern wir zusätzlich den Zeitpunkt, zu dem er endet, und ob das Konto danach gesperrt wurde. Nach Ablauf ist die Anmeldung nicht mehr möglich; gelöscht wird dabei nichts – Ihre Angaben und Prüfergebnisse bleiben erhalten, und die Administration kann den Zugang jederzeit dauerhaft freischalten. Über die Freischaltung und über den Ablauf erhalten Sie je eine Nachricht.

Die Administration kann ein Konto entfernen. Dabei werden Konto, Unternehmensangaben, Prüfergebnisse und Versandprotokoll gelöscht wie bei einer Löschung durch Sie selbst. Sie erhalten darüber eine Nachricht; der Versand dieser einen Nachricht wird – wie jeder andere – für 30 Tage protokolliert.

Zusätzlich halten wir den Zeitpunkt Ihrer letzten Anmeldung fest. Er zeigt uns, welche Konten noch genutzt werden. Gespeichert wird ausschließlich dieser eine Zeitpunkt – keine Verlaufsliste und keine IP-Adresse; jede Anmeldung überschreibt den vorherigen Wert.

2.2 Unternehmensangaben

Sie tragen die Merkmale Ihres Unternehmens selbst ein: Bezeichnung, Beschäftigtenzahl weltweit und in Deutschland, Nettoumsatz weltweit und in der EU, Bilanzsumme, Gesamtenergieverbrauch in Deutschland, Rechtsform, Konzernstellung, Branche, Produktkategorien, Geschäftsmodell / Tätigkeitsbereich, Rolle in der Wertschöpfungskette, eingesetzte Materialien, Absatzmärkte, Standorte sowie die Angaben zu Endkundengeschäft, Kapitalmarktorientierung, Umweltaussagen im Marketing, zur Einfuhr in die EU, zu Abwasser aus Textilherstellung oder -veredlung und aus gewerblicher Wäscherei an einem Standort in Deutschland, dazu, ob Ihre Produkte Stoffe der ECHA-Kandidatenliste (SVHC) über 0,1 % enthalten, und – bei Medizin- und Gesundheitstextilien – zu Ihrer Tätigkeit mit Medizinprodukten (Herstellung, Import/Handel, Aufbereitung).

Für die Bezeichnung des Unternehmens empfehlen wir ein Pseudonym. Die Auswertung braucht den echten Namen nicht — er geht in die Prüfung nicht ein (siehe Ziffer 5).

2.3 Prüfergebnisse

Das Ergebnis einer Prüfung speichern wir Ihrem Konto zugeordnet, damit Sie es beim nächsten Aufruf wiederfinden und als PDF herunterladen können.

2.4 Missbrauchsabwehr: Anmeldeversuche und Nutzungshäufigkeit

Um das Durchprobieren von Passwörtern zu unterbinden, speichern wir zu jedem fehlgeschlagenen Anmeldeversuch die eingegebene E-Mail-Adresse, die IP-Adresse und den Zeitpunkt.

Damit niemand unsere Dienste in Schleife aufrufen oder massenhaft Konten anlegen kann, zählen wir außerdem mit, wie oft von einer IP-Adresse aus registriert, ein neues Passwort angefordert, die Stammdaten automatisch ausgefüllt und eine Prüfung gestartet wird. Gespeichert werden dabei die IP-Adresse, der Anlass und der Zeitpunkt – auch dann, wenn der Vorgang gelingt. Ein Bezug zu Ihrem Konto entsteht dadurch nicht.

Alle diese Einträge löschen wir automatisch nach drei Stunden.

2.5 Zurücksetzen des Passworts

Fordern Sie ein neues Passwort an, schicken wir Ihnen einen sechsstelligen Zahlencode per E-Mail. Gespeichert werden der Zeitpunkt der Anforderung, ein Hashwert des Codes, sein Ablaufzeitpunkt (30 Minuten) und die Zahl der Fehlversuche. Der Code selbst wird nicht gespeichert.

Kommt die E-Mail nicht an, kann die Administration ersatzweise einen einmaligen Link zum Zurücksetzen erzeugen, der 24 Stunden gilt. Auch davon speichern wir nur einen Hashwert, nicht den Link selbst.

2.6 Server-Protokolle

Der Webserver protokolliert beim Abruf technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, verweisende Seite und Browserkennung.

2.7 Versand von E-Mails

Wenn Sie sich registrieren, ein neues Passwort anfordern oder Ihr Passwort ändern, schicken wir Ihnen eine E-Mail. Darüber halten wir fest, an welche Adresse sie ging, zu welchem Anlass, wann, ob die Übergabe an den Versanddienst gelang und – falls nicht – woran sie scheiterte. Den Inhalt, den Betreff und die enthaltenen Links speichern wir nicht.

3. Zwecke und Rechtsgrundlagen

4. Hosting

Die Anwendung läuft auf einem virtuellen Server der Hostinger International Ltd. Der Server steht in einem Rechenzentrum in Frankfurt am Main, Deutschland. Ihre Zugangsdaten, Unternehmensangaben und Prüfergebnisse liegen dort in einer SQLite-Datenbank innerhalb der Anwendung; sie verlassen den Server nur in dem unter Ziffer 5 bis 7 beschriebenen Umfang. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4.1 Versand der E-Mails

Versendet wird über ein E-Mail-Postfach der Hostinger International Ltd., desselben Anbieters, bei dem auch der Server steht (Ziffer 4). Es handelt sich um ein gewöhnliches Postfach, nicht um einen Werbeversanddienst: Die Nachrichten enthalten kein Zählpixel und keine nachverfolgten Links, es wird nicht erfasst, ob oder wann Sie eine Nachricht öffnen. Wir versenden weder Newsletter noch Werbung.

5. Auswertung durch künstliche Intelligenz

Von den 30 Regulierungen der Prüfung entscheidet die Anwendung 15 selbst, nach festen Regeln aus den Angaben Ihres Profils: die EU-Nachhaltigkeitsberichterstattung (CSRD), das CSRD-Umsetzungsgesetz, das CSR-Richtlinie-Umsetzungsgesetz, die Taxonomie-Verordnung, das Hinweisgeberschutzgesetz, die Informationspflicht nach Art. 33 REACH, die SCIP-Meldepflicht, die Pflichten für behandelte Waren nach der Biozid-Verordnung, die Verordnung über persönliche Schutzausrüstung, die Medizinprodukte-Verordnung, die Schuhkennzeichnung, das Energieeffizienzgesetz, Anhang 38 der Abwasserverordnung sowie die Herstellerverantwortung für Textilien in Frankreich und in den Niederlanden. Für diese 15 geht keine Anfrage an Google.

Die Einschätzung zu den übrigen 15 Regulierungen erstellt ein Sprachmodell des Anbieters Google (Gemini, aufgerufen über die Schnittstelle generativelanguage.googleapis.com). Das Modell läuft nicht auf unserem Server, sondern bei Google. Bei jeder Prüfung werden dorthin übertragen:

• der Text der jeweiligen Regulierung, und
• diejenigen Merkmale Ihres Unternehmensprofils, die für genau diese Regulierung Bedeutung haben (etwa Beschäftigtenzahl, Umsatz, Rechtsform, Branche, Materialien).

Nicht übertragen werden Ihre E-Mail-Adresse, Ihr Passwort und die von Ihnen eingetragene Bezeichnung des Unternehmens. Die Anwendung stellt technisch sicher, dass die Bezeichnung in keiner Anfrage enthalten ist, und weist das Modell zusätzlich an, kein Unternehmen namentlich zu benennen.

Übermittelt wird nie das vollständige Profil, sondern je Regulierung nur der Ausschnitt, der für genau diese Regulierung erheblich ist — bei der Verpackungsverordnung etwa Branche, Produktkategorien, Rolle in der Wertschöpfungskette, Absatzmärkte und die Angabe zum Import aus Nicht-EU-Ländern, bei der Lieferkettenrichtlinie Beschäftigtenzahl, Umsatz, Rechtsform, Konzernstellung und Standorte. Von den 21 Merkmalen des Profils stehen höchstens sieben in einer Anfrage. Da weder Name noch Kennung mitgehen, entsteht bei Google kein Datensatz, der Zahlen einem bestimmten Unternehmen zuordnet.

Innerhalb einer Anfrage stehen die dort erforderlichen Merkmale allerdings nebeneinander; bei einigen Regulierungen gehören Beschäftigtenzahl und Umsatz zusammen dazu, weil die Schwellenwerte beides voraussetzen. Eine ungewöhnliche Kombination von Merkmalen kann theoretisch Rückschlüsse zulassen, auch ohne Namen. Deshalb die Empfehlung, für die Bezeichnung des Unternehmens ein Pseudonym zu wählen.

Die Antworten des Modells speichern wir zwischen. Der Schlüssel dieses Zwischenspeichers ist ein Hashwert der übermittelten Merkmale; zwei Unternehmen mit derselben Ausgangslage erhalten deshalb dieselbe Begründung. Ein Rückschluss auf ein bestimmtes Unternehmen ist daraus nicht möglich.

Die übermittelten Inhalte werden von Google nicht zum Training von Modellen verwendet. Wir nutzen die Schnittstelle kostenpflichtig; für diese Nutzung sagt Google zu, Eingaben und Ausgaben nicht zur Verbesserung seiner Modelle heranzuziehen.

Die Übermittlung an Google kann eine Verarbeitung außerhalb der Europäischen Union nach sich ziehen. Google stützt sich hierfür auf die Standardvertragsklauseln der EU-Kommission und auf den EU-US Data Privacy Framework. Einzelheiten finden Sie in den Datenschutzhinweisen von Google.

6. Automatisches Ausfüllen der Stammdaten

Sie können die Stammdaten wahlweise automatisch vorbelegen lassen. Nur in diesem Fall — und nur, wenn Sie die Schaltfläche betätigen — wird die von Ihnen eingetragene Bezeichnung des Unternehmens an Wikipedia und Wikidata übermittelt, gegebenenfalls die dort verzeichnete Unternehmenswebsite abgerufen und der gefundene Text zusammen mit der Bezeichnung an das unter Ziffer 5 genannte Sprachmodell gesendet. Wenn Sie das nicht möchten, füllen Sie das Formular von Hand aus; die Prüfung selbst funktioniert unabhängig davon.

7. Regulierungs-Assistent

Nach der Anmeldung steht unten rechts ein Chat bereit, der Fragen zu den Regulierungen der Prüfung beantwortet. Die Antworten erstellt das unter Ziffer 5 genannte Sprachmodell von Google. Mit jeder Frage werden dorthin übertragen:

• Ihre Frage und die letzten Nachrichten des laufenden Gesprächs,
• die Angaben Ihres Unternehmensprofils und das Ergebnis Ihrer letzten Prüfung, damit die Antwort zu Ihrem Unternehmen passt, und
• Auszüge aus den Gesetzestexten, die zur Frage passen.

Anders als bei der Prüfung geht hier das ganze Profil mit, nicht nur ein Ausschnitt. Nicht übertragen werden auch hier Ihre E-Mail-Adresse, Ihr Passwort und die Bezeichnung des Unternehmens. Schreiben Sie bitte keine Namen oder anderen personenbezogenen Daten in Ihre Fragen, denn was Sie eingeben, geht unverändert an das Modell.

Gespräche speichern wir nicht. Der Verlauf liegt nur in Ihrem Browser, im Sitzungsspeicher des geöffneten Tabs, und ist weg, sobald Sie den Tab schließen oder „Neu“ wählen. Auf dem Server halten wir je Frage nur den Zeitpunkt fest, um die Zahl der Fragen pro Stunde zu begrenzen; diese Einträge werden nach drei Stunden gelöscht. Die Server-Protokolle enthalten Dauer und Umfang einer Antwort, nicht ihren Inhalt.

Fragen lassen sich auch sprechen. In Chrome, Edge und Safari wandelt die Spracherkennung Ihres Browsers das Gesprochene in Text um; der Browser schickt die Aufnahme dafür in der Regel an seinen Hersteller (Chrome an Google, Edge an Microsoft, Safari an Apple). In Firefox nimmt das Fenster die Frage auf und schickt die Aufnahme über unseren Server an das unter Ziffer 5 genannte Sprachmodell, das sie in Text umwandelt. Die Aufnahme wird dabei nicht gespeichert. Das Mikrofon wird nur aktiv, wenn Sie das Mikrofon-Symbol antippen und es im Browser freigegeben haben.

Die Antworten des Assistenten sind allgemeine Informationen und keine Rechtsberatung.

8. Cookies

Wir setzen ein einziges Cookie. Es hält Ihre Anmeldung und Ihre Sprachwahl fest, ist signiert und für die Nutzung der Anwendung technisch erforderlich. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir verwenden keine Cookies zur Reichweiten- messung, keine Analysedienste und keine Werbenetzwerke.

9. Speicherdauer

• Zugangsdaten einschließlich des Zeitpunkts der letzten Anmeldung, Unternehmensangaben und Prüfergebnisse: bis Sie Ihr Konto löschen. Das können Sie jederzeit selbst tun, unter „Passwort ändern“ im Abschnitt „Konto löschen“; die Daten werden dabei sofort und vollständig entfernt.
• Offene Zugangsanfragen, die nicht freigeschaltet werden: 30 Tage.
• Fehlgeschlagene Anmeldeversuche: drei Stunden.
• Anforderungen zum Zurücksetzen des Passworts: der Zahlencode aus der E-Mail verfällt nach 30 Minuten, der Code aus der Freischalt-Nachricht nach sieben Tagen, ein ersatzweise von der Administration erzeugter Link nach 24 Stunden; der Vorgang bleibt zur Nachvollziehbarkeit gespeichert, bis das Konto gelöscht wird.
• Versandprotokoll der E-Mails: 30 Tage; beim Löschen des Kontos werden die Einträge zu Ihrer Adresse sofort mit entfernt.
• Zeitpunkte der Fragen an den Regulierungs-Assistenten (zur Begrenzung der Fragen pro Stunde): drei Stunden. Die Gespräche selbst speichern wir nicht.
• Server-Protokolle: bis zu sieben Tage.

10. Empfänger

Über die unter Ziffer 4 bis 7 genannten Dienstleister hinaus geben wir Ihre Daten nicht weiter. Ein Verkauf oder eine Überlassung zu Werbezwecken findet nicht statt.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Soweit wir die Verarbeitung auf ein berechtigtes Interesse stützen, können Sie ihr nach Art. 21 DSGVO widersprechen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dazu an datenschutz@textil-mode.de. Ihr Konto samt aller Unternehmensangaben und Prüfergebnisse können Sie außerdem jederzeit selbst löschen: angemeldet unter „Passwort ändern“, Abschnitt „Konto löschen“. Die Löschung geschieht sofort und ist endgültig.

Erhalten bleibt allein der Zwischenspeicher der Begründungen aus Ziffer 5. Er enthält weder Ihren Namen noch Ihre Kennung, ist über einen Hashwert der Merkmale adressiert und wird von allen Nutzerinnen und Nutzern gemeinsam verwendet; ein Bezug zu Ihnen lässt sich daraus nicht herstellen.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, für uns die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

12. Keine automatisierte Entscheidung im Einzelfall

Die Prüfergebnisse sind eine unverbindliche erste Orientierung. Es ergeht keine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt; eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO liegt nicht vor. Die Ergebnisse werden teils nach festen Regeln aus Ihren Angaben berechnet, teils von einer künstlichen Intelligenz erzeugt (siehe Ziffer 5); in beiden Fällen können sie unvollständig oder unrichtig sein.