Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag regelt, wie Sizewright personenbezogene Daten im Auftrag von Unternehmern verarbeitet, die Sizewright nutzen. Er gilt ab dem 15. Oktober 2026 und ist Bestandteil unserer AGB. Ein Inhaber oder Admin eines Workspace nimmt ihn in den Workspace-Einstellungen an; wir speichern, welche Fassung von wem und wann angenommen wurde.

Parteien

Verantwortlicher: Der Unternehmer, der diesen Vertrag in den Einstellungen seines Sizewright-Workspace annimmt („Sie“)
Auftragsverarbeiter: Sizewright („wir“)
Kontakt für diesen Vertrag: support@sizewright.com

1. Begriffsbestimmungen

1.1 Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) gibt.

1.2 In diesem Vertrag bedeutet:

Personenbezogene Kundendaten: die personenbezogenen Daten in Ihren Kundeninhalten im Sinne der AGB, die wir bei der Bereitstellung von Sizewright in Ihrem Auftrag verarbeiten.
Unterauftragsverarbeiter: ein Dritter, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.
Standardvertragsklauseln: die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission erlassenen Klauseln.
Workspace: ein Workspace in Sizewright, dessen Inhaber oder Admin Sie sind.

Andere definierte Begriffe haben die Bedeutung, die ihnen die AGB geben.

2. Gegenstand und Rollen

2.1 Dieser Vertrag gilt für personenbezogene Kundendaten, die wir verarbeiten, wenn wir Ihnen als Unternehmer Sizewright bereitstellen. Anlage 1 beschreibt die Verarbeitung.

2.2 Sie sind Verantwortlicher für die personenbezogenen Kundendaten, und wir sind Ihr Auftragsverarbeiter. Handeln Sie selbst als Auftragsverarbeiter für Ihre eigenen Kunden, etwa als Agentur, sind wir Ihr Unterauftragsverarbeiter, und Sie bestätigen, dass Ihre Kunden Sie ermächtigt haben, uns zu den Bedingungen dieses Vertrags einzusetzen.

2.3 Personenbezogene Daten über die Personen, die Sizewright nutzen, etwa Konto-, Abrechnungs- und Sicherheitsdaten, verarbeiten wir als Verantwortlicher für eigene Zwecke. Diese Verarbeitung beschreibt unsere Datenschutzerklärung; dieser Vertrag gilt für sie nicht.

2.4 Sie sind für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Kundendaten verantwortlich, einschließlich einer Rechtsgrundlage dafür und der Information der betroffenen Personen, etwa der Personen auf Bildern, die Sie hochladen, oder der Kunden, die Banner über Freigabe-Links prüfen.

3. Weisungen

3.1 Wir verarbeiten personenbezogene Kundendaten nur auf Ihre dokumentierte Weisung, es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.2 Ihre Weisungen sind dieser Vertrag, die AGB und die Art, wie Sie Sizewright nutzen und konfigurieren, etwa wenn Sie Inhalte hochladen, Jobs starten, Freigabe-Links teilen, Banner exportieren oder Inhalte löschen. Weitere Weisungen sind schriftlich zu erteilen, müssen mit der Art der Leistung vereinbar sein und können von einer Vereinbarung über etwaige dadurch entstehende Kosten abhängig gemacht werden.

3.3 Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

3.4 Wir verarbeiten personenbezogene Kundendaten nicht für eigene Zwecke. Wir verkaufen sie nicht und nutzen sie nicht zum Training von KI-Modellen. Personenbezogene Kundendaten werden nur an KI-Anbieter gesendet, um die Generierung, Analyse oder Prüfung durchzuführen, die Sie angefordert haben.

4. Vertraulichkeit

4.1 Wir gewährleisten, dass sich alle zur Verarbeitung personenbezogener Kundendaten befugten Personen vertraglich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Zugriff erhalten nur Personen, die ihn benötigen. Unser Support-Team kann einen Workspace nur einsehen, um Ihnen zu helfen oder ein Problem zu untersuchen: Es muss dafür einen Grund erfassen, jede Sitzung endet nach höchstens 60 Minuten, währenddessen lässt sich weder die Abrechnung ändern noch etwas löschen, und jede Sitzung wird protokolliert.

5. Sicherheit

5.1 Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, wie es Art. 32 DSGVO verlangt.

5.2 Wir können diese Maßnahmen an die Entwicklung der Technik und der Bedrohungen anpassen, sofern das Gesamtschutzniveau nicht sinkt.

5.3 Sie sind für die Sicherheit Ihrer eigenen Nutzung von Sizewright verantwortlich, einschließlich der Passwörter und der Zwei-Faktor-Authentifizierung Ihrer Nutzerinnen und Nutzer, der Rollen, die Sie Workspace-Mitgliedern zuweisen, und der Auswahl der Personen, mit denen Sie Freigabe-Links teilen.

6. Unterauftragsverarbeiter

6.1 Sie erteilen uns eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen. Die Unterauftragsverarbeiter, die wir zum Zeitpunkt Ihrer Annahme dieses Vertrags einsetzen, sind auf unserer Seite Unterauftragsverarbeiter aufgeführt.

6.2 Wir beauftragen jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag, der ihm Datenschutzpflichten auferlegt, die mindestens denselben Schutz bieten wie dieser Vertrag. Wir bleiben Ihnen gegenüber dafür verantwortlich, dass unsere Unterauftragsverarbeiter ihre Pflichten erfüllen.

6.3 Wir informieren Sie mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, indem wir das Änderungsprotokoll auf der Seite Unterauftragsverarbeiter aktualisieren und die Inhaber der Workspaces, die diesen Vertrag angenommen haben, per E-Mail benachrichtigen.

6.4 Sie können innerhalb dieser 30 Tage aus berechtigten Gründen des Datenschutzes Einspruch gegen einen neuen Unterauftragsverarbeiter erheben, indem Sie an support@sizewright.com schreiben. Wir besprechen Ihren Einspruch dann nach Treu und Glauben und bieten, wo möglich, eine Alternative an. Können wir den Einspruch nicht ausräumen, können Sie die betroffene Leistung vor Wirksamwerden der Änderung beenden, indem Sie Ihren Tarif kündigen, und wir erstatten den nicht genutzten Teil des laufenden bezahlten Zeitraums sowie den Wert der nicht genutzten Credits aus Credit-Paketen.

6.5 Müssen wir einen Unterauftragsverarbeiter dringend ersetzen, etwa wegen eines Sicherheitsvorfalls oder weil der Unterauftragsverarbeiter seine Leistung einstellt, können wir dies sofort tun und informieren Sie so bald wie möglich. Ihr Einspruchsrecht nach Ziffer 6.4 bleibt bestehen.

7. Übermittlungen in Drittländer

7.1 Wir übermitteln personenbezogene Kundendaten in ein Land außerhalb des Europäischen Wirtschaftsraums nur im Einklang mit Kapitel V DSGVO: auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, einschließlich des EU-US-Datenschutzrahmens (EU-US Data Privacy Framework) für danach zertifizierte Unterauftragsverarbeiter, oder auf Grundlage der mit dem Unterauftragsverarbeiter abgeschlossenen Standardvertragsklauseln (Modul drei: Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), erforderlichenfalls mit zusätzlichen Maßnahmen.

7.2 Haben Sie Ihren Sitz außerhalb des Europäischen Wirtschaftsraums und verlangt die DSGVO es, gelten für die Übermittlung personenbezogener Kundendaten von uns an Sie die Standardvertragsklauseln (Modul vier: Übermittlung von Auftragsverarbeitern an Verantwortliche), die durch Verweis in diesen Vertrag einbezogen werden.

7.3 Soweit zwischen Ihnen und uns Standardvertragsklauseln gelten, gilt Folgendes: Die optionale Kopplungsklausel findet keine Anwendung; Parteien und Verarbeitung sind die in diesem Vertrag und seinen Anlagen beschriebenen; die Klauseln unterliegen niederländischem Recht; und Streitigkeiten werden von den Gerichten der Niederlande entschieden.

7.4 Die Seite Unterauftragsverarbeiter gibt für jeden Unterauftragsverarbeiter an, wo er Daten verarbeitet und welcher Übermittlungsmechanismus gilt.

8. Unterstützung

8.1 Anfragen betroffener Personen. Sizewright gibt Ihnen die Werkzeuge, die meisten Anfragen selbst zu beantworten: Sie können Inhalte einsehen, exportieren, berichtigen und löschen, Freigabe-Links deaktivieren und Workspaces löschen. Erhalten wir eine Anfrage einer betroffenen Person zu personenbezogenen Kundendaten, leiten wir sie unverzüglich an Sie weiter und beantworten sie nicht selbst, außer um die Person an Sie zu verweisen, sofern Sie uns nicht anders anweisen. Können Sie eine Anfrage mit den Werkzeugen nicht beantworten, unterstützen wir Sie mit geeigneten Maßnahmen.

8.2 Folgenabschätzungen und Konsultationen. Wir unterstützen Sie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen einer Aufsichtsbehörde, soweit sie unsere Verarbeitung betreffen, unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen.

8.3 Kosten. Unterstützung, die über die Werkzeuge in Sizewright und über das hinausgeht, was das Gesetz von uns verlangt, können wir zu angemessenen Sätzen berechnen. Wir nennen Ihnen die voraussichtlichen Kosten, bevor wir beginnen.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft, unverzüglich, nachdem sie uns bekannt geworden ist. Unser Ziel ist eine Meldung innerhalb von 48 Stunden. Wir senden die Meldung per E-Mail an die Inhaber der betroffenen Workspaces.

9.2 Die Meldung beschreibt, soweit uns zu diesem Zeitpunkt bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktperson. Können wir nicht alle Informationen zugleich bereitstellen, stellen wir sie ohne weitere unangemessene Verzögerung schrittweise zur Verfügung.

9.3 Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen, dokumentieren die Verletzung und unterstützen Sie bei der Erfüllung Ihrer eigenen Pflichten zur Meldung an die Aufsichtsbehörde und zur Benachrichtigung der betroffenen Personen. Nach unserem Verfahren für Datenschutzverletzungen bewerten wir jeden Vorfall innerhalb von 24 Stunden.

9.4 Die Meldung einer Verletzung an Sie ist kein Anerkenntnis eines Verschuldens oder einer Haftung.

10. Löschung und Rückgabe

10.1 Während der Laufzeit dieses Vertrags können Sie personenbezogene Kundendaten jederzeit exportieren und löschen: Banner in ihren Exportformaten exportieren, über den Datenexport in den Kontoeinstellungen eine Kopie der Daten und Dateien eines Workspace herunterladen (für Inhaber von Workspaces) sowie Dateien, Kampagnen, Brand Kits und ganze Workspaces löschen. Diese Werkzeuge dienen der Rückgabe der personenbezogenen Kundendaten.

10.2 Die Löschung erfolgt wie folgt:

wenn Sie einen Workspace löschen, werden seine Datensätze sofort und seine gespeicherten Dateien innerhalb einer Stunde gelöscht;
wird das Konto des Inhabers gelöscht, werden das Konto und die ihm gehörenden Workspaces ohne weitere Mitglieder nach einer Karenzzeit von 14 Tagen gelöscht;
Dateien, die Sie aus einer Bibliothek löschen, werden nach 30 Tagen gelöscht, sofern kein aktives Banner sie noch verwendet;
Kopien in unseren Sicherungen werden innerhalb von 30 Tagen überschrieben.

10.3 Wir dürfen personenbezogene Kundendaten nach der Löschung nur aufbewahren, soweit wir nach dem Recht der Union oder der Mitgliedstaaten zu ihrer Speicherung verpflichtet sind, und nur so lange, wie dieses Recht es verlangt. In diesem Fall gelten die Pflichten aus diesem Vertrag für diese Daten weiter.

10.4 Auf Anfrage bestätigen wir die Löschung schriftlich.

11. Informationen und Überprüfungen

11.1 Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, darunter diesen Vertrag, die Maßnahmen in Anlage 2, die Liste der Unterauftragsverarbeiter und, höchstens einmal im Jahr, Antworten auf angemessene Sicherheitsfragebögen.

11.2 Reichen diese Informationen nicht aus oder verlangt eine Aufsichtsbehörde es, können Sie die Einhaltung dieses Vertrags durch uns selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer unter folgenden Bedingungen überprüfen (Audit):

Sie kündigen das Audit mindestens 30 Tage im Voraus an und beschreiben seinen Umfang;
das Audit findet während der Geschäftszeiten statt, ohne den Betrieb der Leistung zu stören und ohne Zugriff auf Daten anderer Kunden oder auf Informationen, die unsere Sicherheit gefährden würden;
ein Audit findet höchstens einmal in 12 Monaten statt, es sei denn, es gab eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, oder eine Aufsichtsbehörde verlangt es;
Sie tragen die Kosten des Audits, und wir können angemessene Kosten für unseren Zeitaufwand berechnen;
Sie stellen uns den Auditbericht zur Verfügung.

12. Haftung

Die Haftung jeder Partei aus diesem Vertrag unterliegt den Beschränkungen der AGB, soweit Art. 82 DSGVO und anderes zwingendes Recht dies zulassen. Dieser Vertrag beschränkt die Rechte betroffener Personen nicht.

13. Laufzeit

13.1 Dieser Vertrag tritt mit seiner Annahme in den Workspace-Einstellungen in Kraft und gilt, solange wir personenbezogene Kundendaten für Sie verarbeiten.

13.2 Pflichten, die ihrem Wesen nach über das Ende dieses Vertrags hinaus fortbestehen, etwa zur Vertraulichkeit und zur Löschung, gelten weiter.

14. Änderungen

14.1 Wir können diesen Vertrag ändern, etwa wenn sich das Gesetz oder unsere Unterauftragsverarbeiter ändern. Über wesentliche Änderungen informieren wir mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail an die Inhaber der Workspaces, die ihn angenommen haben, und die Plattform bittet einen Inhaber oder Admin, die neue Fassung anzunehmen. Gesetzlich vorgeschriebene Änderungen können früher wirksam werden.

14.2 Für Änderungen der Liste der Unterauftragsverarbeiter gilt Ziffer 6.

15. Vorrang und anwendbares Recht

15.1 In Fragen der Verarbeitung personenbezogener Daten geht dieser Vertrag den AGB vor. Die Standardvertragsklauseln gehen, soweit sie gelten, diesem Vertrag vor.

15.2 Dieser Vertrag unterliegt niederländischem Recht. Für Streitigkeiten ist ausschließlich das zuständige Gericht in Amsterdam, Niederlande, zuständig.

Anlage 1: Einzelheiten der Verarbeitung

Gegenstand und Dauer

Die Bereitstellung von Sizewright an Sie nach den AGB, für die Laufzeit dieses Vertrags und bis die personenbezogenen Kundendaten nach Ziffer 10 gelöscht sind.

Art und Zweck

Speichern und Hosten von Inhalten; Analyse von Briefings, Brand Kits, Bildern und importierten Websites mit KI-Modellen für Sprache und Bildanalyse; Generieren, Bearbeiten und Erweitern von Bildern; Zusammensetzen, Rendern und Prüfen von Bannern; Teilen von Bannern mit prüfenden Personen über Freigabe-Links; Exportieren von Dateien; Übermittlung von Inhalten an Unterauftragsverarbeiter, soweit für diese Schritte erforderlich; und Löschen von Inhalten. Zweck ist die Erbringung der Leistung, die Sie nutzen, wie in den AGB beschrieben.

Kategorien betroffener Personen

Personen, die auf Bildern zu sehen sind, die Sie hochladen, importieren oder auswählen.
Personen, die in Briefings, Brand Kits, CSV-Dateien, Texten und Kommentaren genannt oder beschrieben werden.
Ihre Kundinnen und Kunden und deren Kontaktpersonen, einschließlich der Personen, die über Freigabe-Links prüfen.
Mitglieder Ihres Workspace, soweit sie in Kundeninhalten vorkommen, etwa in Kommentaren und Erwähnungen.
Personen, deren Daten auf Websites erscheinen, die Sie in ein Brand Kit importieren.

Kategorien personenbezogener Daten

Namen, E-Mail-Adressen, Funktionsbezeichnungen und andere Kontaktdaten.
Bilder, die Personen zeigen, und andere Abbildungen von Personen.
Personenbezogene Daten in Texten, die Sie bereitstellen, etwa Briefings, Werbetexte, Rechtstexte, CSV-Dateien und Kommentare.
Kommentare, Änderungswünsche und Freigabeentscheidungen prüfender Personen mit ihrem Namen und ihrer E-Mail-Adresse.

Besondere Kategorien personenbezogener Daten

Sizewright ist nicht für besondere Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen bestimmt. Nehmen Sie solche Daten nicht in Kundeninhalte auf, es sei denn, Sie haben dafür eine Rechtsgrundlage und die Verarbeitung ist erforderlich. Bilder von Personen können besondere Kategorien offenbaren, etwa die Gesundheit oder religiöse Überzeugungen; Sie sind dafür verantwortlich, für ihre Verwendung eine Rechtsgrundlage zu haben.

Häufigkeit

Fortlaufend, solange Sie Sizewright nutzen.

Speicherdauer

Wie in Ziffer 10 und in der Tabelle zur Speicherdauer in unserer Datenschutzerklärung beschrieben.

Anlage 2: Technische und organisatorische Maßnahmen

Zugang und Authentifizierung

Anmeldung mit E-Mail-Adresse und Passwort, mit Bestätigung der E-Mail-Adresse, Passwörtern mit mindestens 10 Zeichen und einem Abgleich mit Passwörtern, die aus Datenlecks bekannt sind; wahlweise Anmeldung mit Google.
Zwei-Faktor-Authentifizierung mit einer Authenticator-App und einmalig verwendbaren Backup-Codes, für jedes Konto verfügbar und für unsere Beschäftigten verpflichtend.
Sitzungen in HTTP-only- und Secure-Cookies mit einer Lebensdauer von 30 Tagen, eine Geräteliste, Abmeldung je Gerät und überall.
Sensible Aktionen, etwa die Änderung des Passworts oder der E-Mail-Adresse, das Abschalten der Zwei-Faktor-Authentifizierung oder das Löschen eines Kontos oder Workspace, erfordern eine Anmeldung innerhalb der letzten 15 Minuten oder eine erneute Passwortprüfung mit dem zweiten Faktor.
Bot-Schutz bei Registrierung, Anmeldung, Zurücksetzen des Passworts und Änderung der E-Mail-Adresse; Ratenbegrenzungen bei Anmeldung, Registrierung, Zurücksetzen des Passworts und Zwei-Faktor-Prüfung.
Sicherheits-E-Mails bei Anmeldungen von unbekannten Geräten und bei Änderungen des Passworts, der E-Mail-Adresse und der Zwei-Faktor-Einstellungen.

Trennung der Kunden und Berechtigungen

Jede Abfrage ist auf den Workspace der angemeldeten Person beschränkt, der aus der authentifizierten Sitzung und nie aus Eingaben des Clients übernommen wird, sodass ein Workspace nicht auf die Daten eines anderen Workspace zugreifen kann.
Berechtigungen je Workspace-Rolle (Inhaber, Admin, Mitglied, Lesezugriff), serverseitig bei jedem Lese- und Schreibzugriff geprüft.

Zugriff durch unsere Beschäftigten

Plattformrollen für Beschäftigte (Support und Admin), für beide mit verpflichtender Zwei-Faktor-Authentifizierung.
Support-Zugriff auf den Workspace eines Kunden nur mit erfasstem Grund, für höchstens 60 Minuten je Sitzung, mit sichtbarem Hinweisbanner, ohne die Möglichkeit, die Abrechnung zu ändern oder etwas zu löschen, und mit vollständiger Audit-Protokollierung.

Freigabe-Links

Links tragen ein zufälliges 256-Bit-Token, das wir nur als SHA-256-Hashwert speichern.
Links laufen ab, können deaktiviert werden, können ein Passwort erfordern und sind von Suchmaschinen ausgeschlossen.

Verschlüsselung und Standort

Ausschließlich HTTPS, mit HSTS.
Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt. Die Datenbank läuft in einer EU-Region, und der Dateispeicher wird im EU-Rechtsraum gehalten.

Anwendungssicherheit

Eine Content Security Policy und Sicherheits-Header, die Framing, Content-Type-Sniffing und nicht benötigte Browserfunktionen blockieren.
Schutz vor Cross-Site Request Forgery durch Origin-Prüfungen; Signaturprüfung eingehender Webhooks.
Validierung aller Eingaben; Bannervorschauen, die in einer Sandbox ohne Skripte gerendert werden.
Uploads werden auf ihre Größe geprüft und anhand ihres Inhalts statt ihres Namens erkannt; Bilder werden von unserem Verarbeitungs-Worker dekodiert, der fehlerhafte Dateien ablehnt; SVG-Dateien werden von Skripten, Event-Handlern und externen Verweisen bereinigt; Schriften werden geparst und validiert.
Schutz vor Anfragen an interne Netze beim Abruf von Websites für den Markenimport, mit Grenzen für Weiterleitungen, Zeit und Größe.
Signierte und zeitlich begrenzte Anfragen zwischen der Webanwendung und dem Verarbeitungs-Worker, mit Schutz vor Replay-Angriffen.
Ratenbegrenzungen je IP-Adresse am Netzwerkrand (Edge) und je Konto und Workspace bei kostenpflichtigen Aktionen.

Protokollierung und Audit

Strukturierte Protokolle ohne Geheimnisse, Tokens oder vollständige Kartendaten; IP-Adressen in Sitzungen werden 90 Tage aufbewahrt.
Ein Audit-Protokoll, das nur ergänzt, aber nicht geändert werden kann, über Handlungen von Beschäftigten, Rollenänderungen, Support-Zugriffe, Credit-Korrekturen, Änderungen der Abrechnung und Sicherheitsereignisse, aufbewahrt für ein Jahr.

Verfügbarkeit und Sicherungen

Zeitpunktgenaue Wiederherstellung der Datenbank (Point-in-Time-Restore); Sicherungen werden innerhalb von 30 Tagen überschrieben.
Automatisierte Löschroutinen, die Daten am Ende der Fristen in Ziffer 10 löschen.

Entwicklung und Betrieb

Geheimnisse (Secrets) werden in der Hosting-Umgebung verwahrt, nie im Code-Repository, mit Secret-Scanning.
Abhängigkeiten werden mit gebündelten Updates aktuell gehalten und durch Sicherheitsaudits geprüft.

Vorfälle

Ein Verfahren für Datenschutzverletzungen: Bewertung innerhalb von 24 Stunden, Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, soweit vorgeschrieben, und Benachrichtigung der Kunden nach Ziffer 9.

Datenminimierung gegenüber KI-Anbietern

KI-Anbieter erhalten nur, was ein Schritt braucht, nie E-Mail-Adressen von Konten oder Abrechnungsdaten, und nur zur Ausführung der angeforderten Arbeit.
Wir fordern den Anbieter für Bildgenerierung auf, die Eingaben und Ausgaben unserer Anfragen nicht zu speichern, und dort generierte Dateien verfallen nach einem Tag.

Anlage 3: Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter mit ihrem Zweck, den Daten, die sie verarbeiten, ihrem Standort und dem Übermittlungsmechanismus steht zusammen mit einem datierten Änderungsprotokoll auf unserer Seite Unterauftragsverarbeiter.