Datenschutzerklärung

1. Verantwortlicher

Für die öffentliche Website und die von uns selbst festgelegten Verarbeitungen:

Sparway GmbH
Alter Markt 10, 42275 Wuppertal
Deutschland
Telefon: +49 (0)202 74777822
E-Mail: one@sparway.de · info@sparway.de

SparWay ONE ist eine digitale Prozess- und Vertriebsschicht. Für personenbezogene Daten, die ein Mandant (Vertriebsorganisation oder Anbieter) in der Plattform führt, kann die Sparway GmbH je nach vertraglicher Gestaltung Auftragsverarbeiterin sein. Maßgeblich ist dann der Auftragsverarbeitungsvertrag, nicht diese Website-Erklärung allein.

2. Kontakt Datenschutz

Ein Datenschutzbeauftragter ist in den vorliegenden Unterlagen nicht benannt. Anfragen richten Sie an one@sparway.de.

3. Allgemeine Hinweise

Wir verarbeiten personenbezogene Daten, soweit das für den Betrieb dieses Angebots, die Anbahnung oder Erfüllung von Verträgen oder gesetzliche Pflichten erforderlich ist. Rechtsgrundlagen sind je Vorgang Art. 6 Abs. 1 lit. a, b, c oder f DSGVO. Art. 9 DSGVO wird nur angesprochen, wo besondere Kategorien tatsächlich betroffen sein können (Abschnitt 17).

Nicht jeder Nutzer ist von jedem Modul betroffen. Energie-, Gesundheits-, Versicherungs- und Telekommunikationsprozesse laufen nur, wenn der jeweilige Mandant sie nutzt und ein Vorgang angelegt wird.

4. Hosting und technische Bereitstellung

Die Web-Anwendung wird über einen Hosting-Betrieb ausgerollt (öffentlich dokumentiertes Deploy-Ziel der Anwendung: https://app.sparway.de). Die API läuft auf einem vom Betrieb bereitgestellten Server. Der rechtliche Name aller Hostingunternehmen, der genaue Rechenzentrumsstandort und die vollständige Unterauftragskette sind in den geprüften Projektdateien nicht so belegt, dass sie hier als feststehende Liste stehen dürften.

Empfängerkategorie: technische Dienstleister für Hosting, Betrieb und, soweit eingesetzt, Datenbank- und Queue-Infrastruktur. Die namentliche Benennung erfolgt im Auftragsverarbeitungsvertrag des jeweiligen Mandantenverhältnisses.

Wir behaupten nicht, die Verarbeitung finde in Deutschland statt.

5. Serverprotokolle

Beim Abruf der Website und der API fallen übliche technische Protokolldaten an (unter anderem Zeitpunkt, aufgerufene Adresse, Status, je nach Serverkonfiguration die IP-Adresse und der User-Agent). Zweck: Betrieb, Sicherheit, Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Abwehr von Missbrauch).

Eine fest konfigurierte Löschfrist für Produktionslogs ist im geprüften Bestand nicht hinterlegt.

6. Cookies und Gerätespeicher

Einzelheiten und das technische Inventar stehen in der Cookie- und Speicherübersicht. Kurz:

• Nach der Anmeldung speichert die Web-App ein Zugriffstoken unter sparway_token im localStorage.
• Darstellungspräferenzen: sw-theme, sw-density, sw-sidebar-collapsed.
• Die API kann Session- und CSRF-Cookies setzen, wenn eine Cookie-Sitzung genutzt wird.

7. Einwilligungsmanagement

Ein Cookie-Consent-Banner oder Consent-Management-Platform ist nicht implementiert. Es werden keine Analyse- oder Werbe-Tracker geladen.

In Energievorgängen kann die Plattform vorgangsbezogene Einwilligungen (zum Beispiel zu Tarif- oder Zahlungszwecken) erfassen und widerrufen. Das ist keine Einwilligung in diese Datenschutzerklärung und kein Marketing-Consent.

Die Kenntnisnahme dieser Erklärung ist Information, nicht Vertrag und nicht pauschale Einwilligung in jede Verarbeitung.

8. Kontakt- und Demoanfragen

Das Kontaktformular öffnet eine vorbereitete E-Mail an one@sparway.de. Es gibt keinen serverseitigen Lead-Endpunkt. Name, Unternehmen, E-Mail, optional Telefon, gewählte Rolle und Nachricht verlassen den Browser über Ihr E-Mail-Programm. Rechtsgrundlage typischerweise Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) oder lit. f (Beantwortung). Speicherung beim Empfänger richtet sich nach der geschäftlichen Korrespondenz.

9. Nutzerkonten und Authentifizierung

Konten gibt es für das Haus / den Vertrieb, das Anbieterportal und das Kundenportal. Verarbeitet werden Identifikations- und Zugangsdaten (Name, E-Mail, Passwort-Hash). Passwörter werden nicht im Klartext gespeichert. Optional kann ein zweiter Faktor (TOTP) geführt werden; das zugehörige Geheimnis liegt verschlüsselt vor.

Die Anmeldung erfolgt über die API mit einem persönlichen Zugriffstoken (Laravel Sanctum).

Ein selbstbedienter Passwortreset ist eingerichtet. Sie fordern ihn mit Ihrer E-Mail-Adresse an und erhalten einen einmal verwendbaren Link, der 60 Minuten gilt. Der zugehörige Nachweis wird nur als Hashwert gespeichert und nach Gebrauch gelöscht. Es wird kein Passwort verschickt — weder das alte noch ein neues. Verarbeitet werden dabei Ihre E-Mail-Adresse und der Zeitpunkt der Anfrage; der Link selbst wird nicht protokolliert. Nach dem Setzen werden alle bestehenden Zugriffstokens des Kontos widerrufen.

Unabhängig davon kann ein Zurücksetzen intern durch berechtigte Personen erfolgen; das neue Passwort wird einmalig in der Antwort gezeigt, alte Tokens werden widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Vertriebspartner und Bewerbung

Über „Partner werden“ kann eine Bewerbung mit Firmierung, Vertreterdaten, E-Mail und Passwort angelegt werden. Es entsteht ein Nutzerkonto und ein Bewerbungsvorgang samt Statushistorie und — je nach Verfahren — Nachweisdokumenten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Schritte).

11. Anbieterkonten

Produktanbieter erhalten getrennte Zugänge mit eigenen Rollen. Es werden Organisations-, Tarif-, Auftrags- und Integrationsdaten verarbeitet, soweit der Anbieter die Plattform nutzt. Webhooks können Statusinformationen vom Anbieter entgegennehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Kundenportal

Endkunden können einen Zugang (MySparWay) erhalten. Einladungen werden im System erzeugt; der Klartext des Einladungssatzes geht an die ausstellende Person zurück. Einladungen verschickt SparWay ONE nicht selbst per E-Mail — die Weitergabe an den Endkunden übernimmt die ausstellende Person. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO beim jeweils Verantwortlichen.

13. Dokumente

Vorgänge können Dateien aufnehmen und PDF- oder Vertragsunterlagen erzeugen. Die Beispielkonfiguration speichert Dateien auf einem lokalen Datenträger der Anwendung, nicht auf einem namentlich belegten Cloud-Objektspeicher. Uploads können je nach Inhalt weitere personenbezogene Daten enthalten, auch solche, die das Formular selbst nicht abfragt.

14. Anträge, Aufträge, Provision

Die Plattform führt Vorgänge (unter anderem Energieaufträge, GKV-Anträge), Statuswechsel mit Historie, Unterschriften, Zahlungs- bzw. Mandatsangaben und Provisionsereignisse. Freigegebene Finanzzeilen werden fachlich nicht überschrieben, sondern korrigiert. Angezeigte Provisionswerte können vor einer Buchung vorläufig sein.

Empfänger neben dem Mandanten: der jeweils betroffene Produktanbieter oder die Krankenkasse, soweit der Vorgang an sie übergeben wird.

15. Produktbezogene Verarbeitung

Energie

Angebote, Aufträge, Zählpunkte, Vertrags- und Widerrufsprozesse, SEPA-/Zahlungsdaten (IBAN feldverschlüsselt), Dokumente und Einwilligungen am Auftrag. Nur für Nutzer dieses Moduls.

Gesundheit

Leads, Kassenvergleich, Aufnahmeantrag, Angehörige, Nachweise, Status gegenüber der Kasse. Einzelheiten in Abschnitt 16. Nur für Nutzer dieses Moduls.

Versicherung

Das Produkt ist als Sparte vorgesehen. Diese Erklärung listet keine Versicherungs-Kerndaten, die über allgemeine Vorgangs- und Organisationsdaten hinaus im geprüften Bestand als eigenes Antragsdatenmodell mit Diagnosefeldern belegt wären.

Telekommunikation

Ebenfalls als Sparte vorgesehen. Keine gesonderte, hier namentlich belegte TK-Antragsfeldliste analog zum GKV-Antrag.

16. Gesundheit — besondere Kategorien

Typische Felder eines GKV-Aufnahmeantrags in SparWay ONE sind unter anderem Versichertengruppe, Beschäftigung, Arbeitgeber oder Hochschule, Einkommen, bisherige Krankenkasse, Versicherten- und Rentenversicherungsnummer (verschlüsselt), IBAN (verschlüsselt) sowie Angaben zu mitzuversichernden Personen (einschließlich Kindern: Name, Geburtsdatum, Relation). Stammdaten wie Name und Anschrift des Antragstellers liegen an der Kundenakte, nicht als Kopie im Antrag; ein Snapshot friert den Stand bei Abschluss ein.

Diese Angaben dienen der Durchführung des Aufnahme- bzw. Wechselprozesses. Rechtsgrundlage beim Verantwortlichen ist in der Regel Art. 6 Abs. 1 lit. b DSGVO, ergänzt um gesetzliche Pflichten der jeweiligen Kasse, nicht Art. 6 Abs. 1 lit. f DSGVO für besondere Kategorien.

Werden in hochgeladenen Unterlagen Gesundheitsdaten im Sinne von Art. 9 DSGVO übermittelt, dürfen sie nur verarbeitet werden, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO greift (etwa ausdrückliche Einwilligung oder Versorgung / Mitgliedschaft, soweit einschlägig). Das ist eine vertragliche und organisatorische Pflicht des Verantwortlichen; SparWay ONE verhindert Uploads mit medizinischem Inhalt technisch nicht vollständig.

Empfänger: berechtigte Rollen des Mandanten, die gewählte Krankenkasse im Übermittlungsschritt, technische Betriebshelfer. Zugriff folgt Rollen, Mandant und Vorgang.

Anträge werden nicht gelöscht, sondern storniert. Ein Personenbezug kann über die Anonymisierung der Kundenakte entfernt werden, soweit das fachlich und rechtlich zulässig ist.

17. Kommunikation

SparWay ONE verschickt genau eine transaktionale E-Mail: den Link zum Zurücksetzen des Passworts, und nur auf Ihre eigene Anforderung hin (Abschnitt 11). Andere Vorgänge — Einladungen, Statusänderungen, Rückfragen zu Anträgen — lösen keinen automatischen E-Mail-Versand aus; die zugehörigen Sätze werden an die ausstellende Person zurückgegeben. Es gibt keinen Newsletter und keine Werbe-E-Mails.

Für die Zustellung wird ein externer E-Mail-Dienstleister eingesetzt, der dabei Ihre E-Mail-Adresse und den Inhalt der Nachricht verarbeitet.

WhatsApp, SMS oder vergleichbare Messenger sind nicht als Plattformkanal angebunden. Bitte senden Sie keine sensiblen Unterlagen über unsichere öffentliche Messenger an uns.

18. APIs und Dritte

Anbieter können über konfigurierbare Integrationen und Webhooks angebunden werden. Welche konkreten Produktanbieter in einem Mandanten aktiv sind, ergibt sich aus dem jeweiligen Vertrag, nicht aus einer öffentlichen Partnerliste.

Optional kann für die Zuordnung von Feldern in Tarifdokumenten ein Sprachmodell-Dienst genutzt werden (Schnittstelle zu einem Anbieter in den USA, nur wenn ein API-Schlüssel konfiguriert ist). Ob das in einem Mandanten der Fall ist, steht nicht fest, nur weil der Code die Option enthält. Ist der Dienst aktiv, liegt ein Drittlandtransfer vor; geeignete Garantien und der Auftragsverarbeitungsvertrag müssen dann gesondert geregelt und transparent gemacht werden.

19. Analyse und Tracking

Auf der öffentlichen Website sind keine Analyse- oder Marketing-SDKs (etwa Google Analytics, Meta-Pixel, Hotjar, Matomo, Plausible, Sentry, PostHog) in den Frontend-Abhängigkeiten enthalten.

20. Externe Inhalte

Schriften werden über das Next.js-Schriftmodul eingebunden und mit der Anwendung ausgeliefert. Ein Laufzeitabruf bei Google durch den Browser der Besucherin oder des Besuchers ist dabei nicht vorgesehen.

YouTube, Vimeo, Google Maps oder vergleichbare eingebettete Medien sind in der geprüften öffentlichen Website nicht als Tracking-Embeds eingebaut.

21. Empfänger

Kategorien, soweit einschlägig:

• technische Betriebs- und Hostingdienstleister
• der jeweilige Mandant und seine berechtigten Nutzer
• Produktanbieter oder Krankenkassen, soweit ein Vorgang an sie übergeben wird
• Behörden, soweit eine gesetzliche Pflicht besteht
• optional ein KI-Anbieter für Tarif-Feldzuordnung, nur bei Konfiguration

Eine öffentliche namentliche Unterauftragsverarbeiterliste mit Standorten führen wir nicht, weil Standort und Vertragslage nicht vollständig verifiziert sind. Siehe Trust Center.

22. Drittlandtransfer

Ein belegter Standardtransfer in ein Drittland ist die optionale OpenAI-Schnittstelle (USA), sofern sie eingeschaltet ist. Im Übrigen ist ein Drittlandtransfer nicht ausgeschlossen, solange der Hostingstandort nicht vertraglich feststeht — er wird hier nicht als Tatsache behauptet und nicht als ausgeschlossen behauptet.

23. Speicherdauer

Die Anwendung enthält einen Mechanismus für Aufbewahrungsberichte und Anonymisierung. Konkrete Fristen in Monaten sind in der Standardkonfiguration absichtlich nicht gesetzt; sie sollen nicht aus dem Code geraten werden.

Orientierung, ohne eine Frist festzulegen: handels- und steuerrechtliche Unterlagen können gesetzlichen Aufbewahrungsfristen unterliegen (typischerweise bis zu zehn Jahre für bestimmte Belege). Interessenten ohne Vertrag unterliegen dem nicht in gleicher Weise. Sobald der Zweck entfällt und keine Pflicht entgegensteht, sind Daten zu löschen oder zu anonymisieren (Art. 5 Abs. 1 lit. e DSGVO).

24. Ihre Rechte

Sie haben, soweit die gesetzlichen Voraussetzungen vorliegen:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anträge können Sie an one@sparway.de richten. Betrifft die Verarbeitung einen Mandanten als Verantwortlichen, leiten wir das Anliegen weiter oder nennen den Verantwortlichen, soweit uns das möglich und zulässig ist.

25. Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder dem Ort des mutmaßlichen Verstoßes.

Für die Sparway GmbH mit Sitz in Wuppertal ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) die im Sitzland zuständige Behörde: www.ldi.nrw.de. Die Anschrift der Behörde entnehmen Sie bitte deren aktuellem Internetauftritt.

26. Automatisierte Entscheidungen und Profiling

Ein Kassenvergleich berechnet Platzierungen anhand dokumentierter Kriterien des Moduls. Das unterstützt die Beratung; die Auswahl und Antragstellung bleibt ein menschlich gesteuerter Vorgang. Eine ausschließlich automatisierte Entscheidung mit Rechtswirkung im Sinne von Art. 22 DSGVO über einen Kassenbeitritt durch SparWay ONE allein ist im geprüften Ablauf nicht der Endschritt — der Mensch legt den Antrag an und die Kasse entscheidet über die Mitgliedschaft.

Tarif-CSV-Import kann Felder maschinell vorschlagen. Das ist Unterstützung bei der Datenübernahme, keine automatisierte Ablehnung von Personen.

27. Sicherheit

Umgesetzt und im System nachweisbar sind unter anderem: Mandantentrennung über organisationsbezogene Datensätze, rollenbasierte Berechtigungen, Protokollierung wesentlicher Status- und Kontoereignisse, Hashing von Passwörtern, Feldverschlüsselung ausgewählter besonders schutzbedürftiger Angaben (etwa IBAN und Versichertennummer). Die veröffentlichte Anwendung wird über HTTPS angeboten.

Nicht belegt und daher nicht behauptet: Zertifizierungen, Verschlüsselung ganzer Datenträger, Backup-Intervalle, Hosting ausschließlich in Deutschland. Absolute Sicherheit gibt es nicht.

Mehr dazu, nur soweit belegt: Trust Center und Sicherheit.

28. Änderungen dieser Erklärung

Version 1.0, Stand 31.08.2026. Wesentliche Änderungen werden durch eine neue Version dieser Seite kenntlich gemacht. Eine Annahme älterer Fassungen durch Nutzerinnen und Nutzer wird nicht behauptet; ein entsprechendes Annahmeprotokoll für diese Website existiert nicht.