Letzte Aktualisierung: 15. Mai 2026 · Version 1.0
1. Verantwortliche(r) für die Verarbeitung
Luxgap Sàrl — 2, rue de l'École, L-8376 Kahler, Luxemburg — USt-ID LU30886939 — RCS B231193 — betreibt diese Plattform als gemeinsamer Verantwortlicher mit jeder auf der Startseite aufgeführten Organisation. Jede Organisation bestimmt die Zwecke der Verarbeitung ihrer Meldungen (gesetzliche Verpflichtung — EU-Richtlinie 2019/1937 und luxemburgisches Gesetz vom 16. Mai 2023).
📧 Datenschutzbeauftragter (DSB): Julien Winkin · dpo@luxgap.com
2. Welche Daten wir verarbeiten
Vom Hinweisgeber (Sie)
- Optionale Identität: Name, E-Mail, Telefon (nur wenn Sie sie angeben)
- Kommunikationspräferenz: Plattform-Code, E-Mail oder keine
- Meldungsinhalt: Kategorie, Beschreibung, Zeitraum, Ort, beteiligte Personen, Anhänge
- Technische Daten: gehashte IP (SHA-256, nie im Klartext gespeichert), Browser-User-Agent, Sprachpräferenz (Cookie
lxg_wb_lang)
Von in der Meldung genannten Dritten
- Namen, Funktionen und alle Informationen, die Sie über betroffene Personen liefern
3. Zwecke & Rechtsgrundlage
- Erfüllung rechtlicher Verpflichtungen · Art. 6(1)(c) DSGVO
- Betrieb eines vertraulichen Meldekanals gemäß EU-Richtlinie 2019/1937 und luxemburgischem Gesetz vom 16. Mai 2023.
- Öffentliches Interesse · Art. 6(1)(e) DSGVO
- Untersuchung und Bearbeitung von Verstoßmeldungen.
- Berechtigtes Interesse · Art. 6(1)(f) DSGVO
- Audit-Log für Sicherheit und Nachvollziehbarkeit (Art. 18 Richtlinie).
4. Vertraulichkeit & Zugriff
Ihre Identität ist strikt vertraulich (Art. 16 Richtlinie 2019/1937). Zugriff haben ausschließlich:
- Der/die Luxgap-Berater(in), der/die dem Whistleblowing-Mandat der betroffenen Organisation zugewiesen ist
- Geschäftsführung/Administration Luxgap zur Aufsicht
- Externe Behörden nur mit Ihrer schriftlichen Zustimmung oder bei gesetzlicher Pflicht
5. Speicherdauer
- Offene Meldungen: bis Abschluss der Untersuchung
- Abgeschlossene Meldungen: 5 Jahre nach Abschluss
- Audit-Log: 5 Jahre nach Abschluss
- Anhänge: auf EU-Servern, gelöscht mit der Meldung
- IP-Hash: bei Abschluss gelöscht
6. Ihre Rechte
Nach der DSGVO haben Sie Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17, mit Grenzen — Untersuchungsbedürfnisse), Einschränkung (Art. 18), Übertragbarkeit (Art. 20), Widerspruch (Art. 21).
Zur Ausübung dieser Rechte: E-Mail an dpo@luxgap.com mit Ihrem Referenzcode.
Beschwerde bei der luxemburgischen Aufsichtsbehörde möglich: CNPD — 15, boulevard du Jazz, L-4370 Belvaux — cnpd.public.lu.
7. Sicherheitsmaßnahmen
- EU-Hosting: Server in Frankreich (OVHcloud)
- TLS 1.3-Verschlüsselung für alle Kommunikationen
- SHA-256 gehashte IPs — nie im Klartext
- Referenzcode ~95 Bit Entropie, nie erneut ausgegeben
- Strikte Zugriffskontrolle pro Berater/Organisation
- Vollständiges Audit-Log aller Konsultationen (Art. 18)
- KI-Verarbeitung: optionale Übersetzung (admin-seitig) via Anthropic Claude API. Persönliche Daten des Hinweisgebers werden nicht gesendet; nur der Textinhalt der Meldung.
- Öffentlicher Chat-Assistent: via Anthropic Claude API für allgemeine Fragen. Stateless, nicht gespeichert.
8. Internationale Übermittlungen
Personenbezogene Daten werden innerhalb der EU verarbeitet. Die Anthropic Claude API kann Daten in die USA übermitteln; durch Standardvertragsklauseln (SCC) abgedeckt und EU-US Data Privacy Framework.
9. Cookies
Diese Plattform verwendet ausschließlich technisch notwendige Cookies:
lxg_wb_lang — Ihre Sprachpräferenz, 1 Jahr, HttpOnly + SameSite=Lax
Keine Tracking-Cookies, keine Drittanbieter-Analyse, keine Werbung.
10. Automatisierte Entscheidungen
Keine. Alle Meldungen werden von menschlichen Beratern geprüft.
11. Aktualisierungen
Diese Erklärung kann aktualisiert werden. Aktuelle Version siehe Datum oben.
12. Kontakt
Datenschutzfragen: dpo@luxgap.com
Plattformfragen oder Bug: whistleblowing@luxgap.com