Hinweis zu öffentlichen Registern

Dieser Dienst wird von Stonewake, Inhaber: Luca Diaz Hilterscheid, Märkische Heide 5, 14532 Kleinmachnow, Deutschland ("wir") betrieben und ist Recherchesoftware für Banken. Ein Teil ihrer Aufgabe besteht darin, amtliche Unternehmensregister und Amtsblätter abzubilden: das öffentliche Verzeichnis darüber, welche Gesellschaften es gibt, wer sie führt, wem sie gehören und was amtliche Bekanntmachungen über sie sagen.

Öffentliche Register veröffentlichen einen begrenzten Satz personenbezogener Daten über Personen, die in geschäftlicher Funktion handeln. Weil wir diese Daten bei den Registern und nicht bei den betroffenen Personen erheben, verpflichtet uns Art. 14 DSGVO, diese Personen zu informieren. Alle betroffenen Personen einzeln zu informieren, wäre bei Datenbeständen dieses Umfangs unmöglich und unverhältnismäßig (Art. 14 Abs. 5 lit. b DSGVO); dieser dauerhaft veröffentlichte Hinweis ist die Ausgleichsmaßnahme, die das Gesetz dafür vorsieht. Er nennt konkret und vollständig: was wir verarbeiten, aus welchen namentlich genannten Quellen, warum, wie lange, wer die Daten erhält und welche Rechte Sie haben.

Wir erstellen keine Verbraucherprofile. Wir bilden zu keiner Person einen Score, ein Rating oder eine Rangfolge. Unsere Software zeigt Banken das, was das öffentliche Register selbst angibt, mit einer Quellenangabe zum Registereintrag für jede einzelne Angabe.

Stonewake, Inhaber: Luca Diaz Hilterscheid, Märkische Heide 5, 14532 Kleinmachnow, Deutschland.
Datenschutzkontakt: contact@stonewake.ai.

Für diese Verarbeitung, den Graphen der Registerpublizität, sind wir Verantwortlicher. Beauftragt eine Bank gesondert eine Recherche zu einer benannten Person (im Rahmen ihrer eigenen Sorgfaltspflichten), ist diese Bank Verantwortliche und wir handeln als ihr Auftragsverarbeiter; siehe unsere Datenschutzerklärung, Abschnitt 5.

Wir verarbeiten ausschließlich das, was das Quellregister oder Amtsblatt selbst veröffentlicht:

• Den Namen der Person, wie das Register ihn führt
• Die Registerfunktion im Wortlaut (zum Beispiel "Geschäftsführer", "director", "person with significant control")
• Die Gesellschaft, auf die sich die Funktion bezieht, und die Datumsangaben, die das Register nennt
• Bei britischen Einträgen zu wirtschaftlich Berechtigten (persons with significant control und Register of Overseas Entities): das Teilgeburtsdatum (Monat und Jahr), das Companies House selbst veröffentlicht, ausschließlich zur Unterscheidung namensgleicher Personen
• Bei norwegischen Aktionärseinträgen: Geburtsjahr sowie Postleitzahl und Ort, die das Aktionärsregister der Skatteetaten selbst veröffentlicht, ausschließlich zur Unterscheidung namensgleicher Personen
• Bei estnischen Einträgen: das Geburtsdatum und, bei wirtschaftlich Berechtigten, das Wohnsitzland, die die Open-Data-Dateien des Registers selbst veröffentlichen, sowie den vom Register selbst gehashten Personencode (der Personencode selbst wird nie veröffentlicht und nie gespeichert), ausschließlich zur Unterscheidung namensgleicher Personen
• Bei lettischen Einträgen zu wirtschaftlich Berechtigten: das Teilgeburtsdatum (Monat und Jahr), die Staatsangehörigkeit und den maskierten Personencode genau so, wie das Register sie veröffentlicht, ausschließlich zur Unterscheidung namensgleicher Personen; der maskierte Code wird nie demaskiert und nie in ein Datum umgerechnet
• Bei slowakischen Einträgen: Geburtsdatum, Staatsangehörigkeit, Anschrift und die Angabe des Registers selbst, ob der wirtschaftlich Berechtigte ein öffentlicher Funktionsträger ist, genau so, wie das Register sie innerhalb des zitierten Registereintrags veröffentlicht; die Anschrift wird nie zur Identifizierung oder Zuordnung einer Person verwendet
• Angaben zur wirtschaftlichen Berechtigung so, wie das Register sie angibt: in den Beteiligungsbandbreiten des Registers, soweit das Register Bandbreiten angibt, oder als die Anteilszahlen des Registers und den Prozentsatz, der sich daraus rechnerisch ergibt, niemals als erfundene Werte
• Insolvenz- und Vollstreckungsbekanntmachungen, die eine Person in kaufmännischer Funktion nennen, und zwar nur, solange die Quelle sie selbst veröffentlicht

Anschriften oder Geburtsdaten über das hinaus, was das Register selbst veröffentlicht, sowie Daten aus sozialen Netzwerken, von Auskunfteien oder von Datenhändlern erheben wir nie. Registereinträge, die einem eigenen Schutzregime des Registers unterliegen (zum Beispiel im britischen Register als "super-secure" geschützte Personen), werden vollständig übersprungen und niemals rekonstruiert.

Datenschutzaufsichtsbehörden lehnen pauschale Verweise auf "öffentliche Quellen" zu Recht ab. Dies sind die Register und Amtsblätter, die unsere Software heute verarbeitet:

• Äriregister (avaandmed.ariregister.rik.ee): die Open-Data-Dateien des estnischen Handelsregisters (e-Business Register), die Gesellschafterdatei (osanikud, unmittelbare Gesellschafter laut Register) und die Datei der wirtschaftlich Berechtigten (tegelikud kasusaajad), täglich veröffentlicht vom estnischen Zentrum für Register und Informationssysteme (RIK)
• BORME (boe.es): das Boletín Oficial del Registro Mercantil, das amtliche Bekanntmachungsblatt des spanischen Handelsregisters, über den Open-Data-Kanal der Agencia Estatal Boletín Oficial del Estado; Erklärungen zur Einpersonengesellschaft (declaración de unipersonalidad), die eine natürliche Person als Alleingesellschafter nennen
• Companies House (find-and-update.company-information.service.gov.uk): das britische Handelsregister, einschließlich der Bestellung von Organen, des Registers der persons with significant control (PSC) und der eingereichten Abschlüsse
• GLEIF (gleif.org): die öffentlichen LEI-Daten der Global Legal Entity Identifier Foundation, einschließlich der Datensätze zu Konzernbeziehungen
• Handelsregister (handelsregister.de): das deutsche Handelsregister, über Registerauszüge auf Abruf
• Insolvenzbekanntmachungen (insolvenzbekanntmachungen.de): das amtliche deutsche Portal für Insolvenzbekanntmachungen
• Latvijas Republikas Uzņēmumu reģistrs (ur.gov.lv, über data.gov.lv): die gesetzlichen Angaben des lettischen Unternehmensregisters zu wirtschaftlich Berechtigten (patiesie labuma guvēji), die tägliche Open-Data-Datei des Registers selbst
• Register of Overseas Entities (find-and-update.company-information.service.gov.uk): das britische Register ausländischer Rechtsträger mit Grundbesitz im Vereinigten Königreich, über einen eingefrorenen Auszug 2025 des Open-Ownership-Datensatzes BODS UK (bods-data.openownership.org), ausschließlich für Beteiligungen wirtschaftlich Berechtigter, die das Register seither beendet hat; aktuelle Einträge stammen unmittelbar von Companies House
• Register partnerov verejného sektora (rpvs.gov.sk): das slowakische Register der Partner des öffentlichen Sektors beim Justizministerium der Slowakischen Republik, mit den durch eine berechtigte Person geprüften wirtschaftlich Berechtigten (konečný užívateľ výhod); es erfasst nur Rechtsträger, die mit dem slowakischen öffentlichen Sektor Verträge schließen
• Skatteetaten Aksjonærregisteret (skatteetaten.no): das Aktionärsregister der norwegischen Steuerverwaltung, jährliche Auszüge der Aktionärsbücher, die auf Anfrage nach dem norwegischen Informationsfreiheitsrecht herausgegeben werden
• Zefix und SHAB (zefix.ch, shab.ch): der schweizerische Zentrale Firmenindex und das Schweizerische Handelsamtsblatt

Wird eine neue Quelle im Produkt freigeschaltet, wird dieser Hinweis um ihre Nennung ergänzt, bevor ihre Daten Kunden angezeigt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse. Verfolgt werden diese Interessen:

• Registerpublizität ist der Zweck dieser Register. Handelsregister und Amtsblätter veröffentlichen diese Tatsachen aufgrund gesetzlichen Auftrags gerade deshalb, damit Dritte sich darauf verlassen können; Rechtssicherheit und die Transparenz des Handelsverkehrs beruhen auf dieser Publizität. Der Gerichtshof der Europäischen Union hat diese Funktion personenbezogener Handelsregisterdaten in C-398/15 (Manni) bestätigt.
• Banken sind gesetzlich verpflichtet zu wissen, mit wem sie es zu tun haben. Regulierte Banken müssen feststellen, wer ihre Gegenparteien führt und wer wirtschaftlich Berechtigter ist (Sorgfaltspflichten nach dem deutschen GwG und dem EU-Rechtsrahmen zur Geldwäschebekämpfung). Unsere Nutzer sind diese Verpflichteten und handeln in dieser Eigenschaft. Für Daten zu wirtschaftlich Berechtigten hält das EU-Recht den Zugang der Verpflichteten zur Erfüllung ihrer Sorgfaltspflichten ausdrücklich aufrecht (C-37/20).
• Unser eigenes Interesse besteht darin, diese rechtmäßige Abfrage mit Quellenangaben statt mit Screenshots anzubieten: jede Angabe rückverfolgbar bis zu ihrem Registereintrag.

Beauftragt eine Bank eine Prüfung zu einer bestimmten Person, ist diese Bank für ihre Weisung verantwortlich, muss ihren Zweck dokumentieren, und wir handeln ausschließlich auf dokumentierte Weisung.

• Registerfunktionen und Beteiligungsverhältnisse: solange das Quellregister sie veröffentlicht, vorbehaltlich Ihres Widerspruchs (unten). Tatsachen, die durch neuere Registereinträge überholt sind, kennzeichnen wir als historisch, so wie die Register es selbst tun; gelöscht werden sie nicht stillschweigend, denn die Sorgfaltsprüfung gleicht gerade mit dem historischen Bestand ab.
• Insolvenzbekanntmachungen mit Personennamen: höchstens 180 Tage. Damit bleibt jede Kopie innerhalb der sechsmonatigen Löschfrist des Quellregisters selbst (§ 3 InsBekV). Die Löschung ist in der Software technisch durchgesetzt, läuft täglich, und die Zahl der gelöschten Datensätze wird protokolliert und geprüft. Private Kopien dürfen das Register nicht überdauern; das sehen wir genauso, und die Löschung ist eingebaut.
• Einträge aus dem Schuldnerverzeichnis (§ 882b ff. ZPO): Unsere Software fragt das Schuldnerverzeichnis nie selbst ab; der Zugang ist gesetzlich beschränkt (§ 882f ZPO), und einen automatisierten Abruf gibt es nicht. Hat eine Bank eine solche Auskunft selbst beim amtlichen Portal eingeholt, kann sie das Ergebnis im Produkt für ihre eigene Sorgfaltsakte festhalten; dieser Datensatz gehört der Bank, ist zweckgebunden, nur für diese Bank sichtbar und wird nach höchstens 1.095 Tagen gelöscht (innerhalb der gesetzlichen Dreijahresfrist des § 882e ZPO). Für diese Aufzeichnung ist die Bank Verantwortliche (siehe oben "Wer verantwortlich ist").

Empfänger sind unsere Kundenbanken und vergleichbare regulierte Finanzinstitute, auf vertraglicher Grundlage und im Rahmen ihrer Sorgfaltsprüfungen. Die Daten werden in einem geschlossenen Produkt angezeigt, das nur nach Anmeldung zugänglich ist; wir veröffentlichen Registerdaten nicht erneut im offenen Netz, betreiben keine öffentliche Personensuche und verkaufen niemals personenbezogene Daten. Die technischen Dienstleister, die unsere Infrastruktur betreiben, sind in der Datenschutzerklärung, Abschnitt 7, aufgeführt.

Registerdaten stammen aus Registern der EU und des EWR (einschließlich Norwegens), des Vereinigten Königreichs und der Schweiz. Sie werden in der Produktdatenbank auf unserer eigenen Infrastruktur in Finnland (Europäische Union) gespeichert und auf EU-Infrastruktur verarbeitet; das vollständige Bild der Übermittlungen einschließlich der technischen Auftragsverarbeiter steht in der Datenschutzerklärung, Abschnitte 7 und 8.

• Keine Scores. Zu keiner natürlichen Person gibt es bei uns einen Bonitätsscore, einen Risikoscore, ein Rating, eine Rangfolge, eine Ampel oder einen Wahrscheinlichkeitswert, nirgends: nicht in der Datenbank, nicht in der Oberfläche, nicht in Berichten. Automatisierte Prüfungen in unserer Build-Pipeline setzen das durch. Die deutschen Regeln zu Auskunfteien (§ 31 BDSG) und die EU-Rechtsprechung zum Scoring (C-634/21) ziehen eine Grenze, die wir bewusst deutlich unterschreiten.
• Keine Prognosen. Eine Registertatsache wird als belegte Tatsache angezeigt oder gar nicht; als Vorhersage über eine Person wird sie nie dargestellt.
• Keine automatisierten Entscheidungen. Nichts im Produkt entscheidet etwas über eine Person (Art. 22 DSGVO). Banken ist es vertraglich untersagt, unsere Ausgaben als alleinige Grundlage automatisierter Entscheidungen über natürliche Personen zu verwenden.
• Keine Anreicherung. Daten aus sozialen Netzwerken, von Auskunfteien oder von Datenhändlern werden Registertatsachen nicht beigemischt. Namensgleiche Personen führen wir nie ohne einen vom Register veröffentlichten Anker zu einem Datensatz zusammen; im Zweifel bleiben die Datensätze getrennt.

Maßgeblich bleiben die Register. Jede Angabe in Stonewake trägt eine Quellenangabe mit dem Register, der Registerkennung, dem Abrufdatum und einem Link zum Registereintrag, damit sich jede Angabe an der Quelle prüfen lässt. Ein falscher Registereintrag lässt sich nur beim Register selbst berichtigen; wir übernehmen Berichtigungen, sobald das Register sie veröffentlicht, sowie auf Ihre Anfrage hin (siehe Rechte unten).

Ihnen stehen uns gegenüber für diese Verarbeitung die Rechte aus Art. 15 bis 21 DSGVO zu: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch.

Widerspruch (Art. 21 DSGVO). Schreiben Sie an contact@stonewake.ai. Wir entscheiden innerhalb eines Monats nach Eingang. Der deutschen Rechtsprechung folgend unterscheiden wir zwei Fälle, und wir benennen unsere Praxis offen:

• Einträge, deren Veröffentlichungszweck entfallen ist: zum Beispiel eine alte Insolvenzbekanntmachung jenseits der Löschfrist des Registers oder eine Funktion bei einer längst aufgelösten Gesellschaft. Eine Anzeigesperre gewähren wir ohne Weiteres, ohne dass Sie eine besondere Beeinträchtigung nachweisen müssen.
• Tatsachen, die ein Register derzeit aufgrund gesetzlicher Pflicht veröffentlicht: zum Beispiel eine aktuelle Geschäftsführung. Hier überwiegt in der Regel die Registerpublizität; wir prüfen jeden Fall einzeln, wägen belegte besondere Umstände ab, antworten mit Begründung und verweisen für die Berichtigung des zugrunde liegenden Eintrags auf das Register.

Eine gewährte Sperre wirkt sofort für alle Nutzer unserer Software, über sämtliche Kunden hinweg.

Beschwerden. Ihnen steht das Recht zu, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat Ihres Wohnsitzes oder Arbeitsplatzes. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow, lda.brandenburg.de.

Geht eine neue Registerquelle live oder ändern sich Speicherdauern oder Empfänger, wird zuerst dieser Hinweis aktualisiert und die Fassung sowie das Gültigkeitsdatum oben ändern sich. Die aktuelle Fassung steht stets unter dieser Adresse.