Auftragsverarbeitungsvertrag

Diese Vereinbarung regelt, wie LW IT Solutions Company Lukas Wójcik mit dem Dienst Answely personenbezogene Daten im Auftrag seiner Kunden verarbeitet (Art. 28 DSGVO). Sie beschreibt nicht nur Pflichten, sondern auch, was der Dienst tatsächlich tut und wo seine Grenzen liegen. Wo etwas vorbereitet, aber noch nicht in Betrieb ist, steht das ausdrücklich da.

1. Parteien, Abschluss und Rangfolge

Die Vereinbarung wird geschlossen zwischen dem Kunden, der ein Konto bei Answely führt (der „Verantwortliche“ oder „Kunde“), und LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, USt-IdNr. PL7252266190 (der „Betreiber“ oder „Auftragsverarbeiter“).

Sie kommt mit der Annahme der Nutzungsbedingungen zustande, deren Bestandteil sie ist, und gilt für jede Website, die der Kunde in seinem Konto anlegt. Auf Anfrage stellt der Betreiber sie zusätzlich als unterzeichnete PDF-Datei bereit. Eine gesonderte Unterschrift ist für die Wirksamkeit nicht erforderlich; Art. 28 Abs. 9 DSGVO lässt die elektronische Form genügen.

Soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht, geht diese Vereinbarung den Nutzungsbedingungen und allen anderen Absprachen vor. Bestandteile sind die Anlagen 1 bis 3: die Beschreibung der Verarbeitung, die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter.

2. Begriffe

Verantwortlicher: der Kunde, der über Zwecke und Mittel der Verarbeitung auf seiner Website entscheidet – vor allem darüber, ob und wie er die Antwortbox einbindet und welche Funktionen er einschaltet.
Auftragsverarbeiter: der Betreiber, der die Daten nach Anlage 1 im Auftrag und auf Weisung des Kunden verarbeitet.
Besucher: eine Person, die eine Website des Kunden aufruft und die Antwortbox benutzt oder deren Browser das Skript answely.js lädt.
Antwortbox: die vom Skript answely.js angezeigte Box auf der Website des Kunden, die eine Frage mit einer KI-generierten, gekennzeichneten Antwort aus den Inhalten dieser Website beantwortet.
Index: die vom Betreiber gespeicherte, durchsuchbare Fassung der Inhalte des Kunden (Seiten, Abschnitte, daraus berechnete Vektoren).
Site: eine im Konto angelegte Website mit eigenem Schlüssel, eigenen Einstellungen und eigenem Index.
Personenbezogene Daten im Auftrag: alle Daten nach Anlage 1, die einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können.
Unterauftragsverarbeiter: jeder Dritte, den der Betreiber zur Verarbeitung von Daten im Auftrag hinzuzieht.

3. Gegenstand, Rollen und Umfang

3.1 Was im Auftrag geschieht

Answely beantwortet Fragen, die Besucher auf der Website des Kunden stellen, mit einer kurzen, KI-generierten Antwort, die nur auf belegten Abschnitten der Inhalte des Kunden beruht und ihre Quellen verlinkt. Dazu baut der Betreiber einen Index dieser Inhalte auf, nimmt Fragen entgegen, sucht passende Abschnitte, lässt ein Sprachmodell daraus eine Antwort formulieren und liefert sie an den Browser des Besuchers aus.

Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern (nur soweit in Anlage 1 genannt), Abfragen, Verwenden, Übermitteln an den Browser des Besuchers, Einschränken und Löschen. Kategorien betroffener Personen: Besucher der Websites des Kunden und Personen, die in den Inhalten des Kunden genannt sind. Die Einzelheiten je Funktion stehen in Anlage 1.

In der Grundeinstellung einer neuen Site werden Fragen und Antworten nicht gespeichert. Jede weitere Speicherung entsteht nur, weil der Kunde eine Funktion einschaltet; Anlage 1 nennt für jede Funktion, ob sie Daten speichert und wie lange.

3.2 Was nicht unter diese Vereinbarung fällt

Für die folgenden Verarbeitungen ist der Betreiber selbst Verantwortlicher; sie richten sich nach der Datenschutzerklärung und nicht nach dieser Vereinbarung:

das Kundenkonto, die Mitglieder eines Arbeitsbereichs, Anmeldung, Abrechnung, Rechnungen und Support,
die Website answely.com samt ihrer Seitenstatistik und dem öffentlichen Website-Schnellcheck („Website prüfen“), den jeder ohne Konto nutzen kann,
die Antwortbox in der eigenen Entwickler-Dokumentation von Answely,
die Protokolle und Sicherungen, soweit sie Daten des Kundenkontos betreffen.

3.3 Herkunft der Daten

Daten erreichen den Betreiber auf vier Wegen, die alle in dieselbe Verarbeitung führen:

aus dem Browser des Besuchers über das eingebundene Skript answely.js (Fragen, Sprache, Seitenadressen, Bewertungen),
durch den Abruf öffentlich erreichbarer Seiten auf den Domains, deren Inhaberschaft der Kunde nachgewiesen hat (Index),
durch Übermittlungen, die der Kunde selbst auslöst: die Push-Schnittstelle, das WordPress-Plugin, im Konto hinterlegte Prüffragen, Glossar, Regeln und Bereiche,
durch öffentliche KI-Clients, wenn der Kunde den MCP-Suchzugang ausdrücklich freigibt.

3.4 KI-Verarbeitung: ausschließlich auf Servern in der EU, kein Training

Sprachmodell und Einbettungsmodell laufen ausschließlich auf Servern in der EU: auf eigener Hardware des Betreibers in Łódź, Polen, im selben internen Netz wie der Server des Dienstes. Die Rechner mit den Sprachmodellen werden vom Dienst nie angerufen; sie holen Aufträge über eine verschlüsselte, mit einem Geheimnis signierte Verbindung ab und liefern die Ergebnisse zurück. Ein KI-Dienst eines Dritten ist an der Verarbeitung nicht beteiligt.

Der Dienst startet technisch nur, wenn jeder eingetragene KI-Endpunkt auf einer Freigabeliste von Servern in der EU steht. Ein Ausweich-Anbieter für das Sprachmodell ist technisch vorbereitet, aber nicht in Betrieb; er dürfte nur unter den Bedingungen von Abschnitt 8.3 eingesetzt werden.

Daten im Auftrag werden nicht zum Training und nicht zur Feinabstimmung von Modellen verwendet. Für ein solches Training gibt es im Dienst keinen Weg.

3.5 Sites aus reactive.chat

Kunden von reactive.chat, einem weiteren Dienst desselben Betreibers, erhalten Antworten derselben Art („Smart Answers“). Für diese Sites kommen die Antworten aus der Wissensbasis von reactive.chat, und die Verarbeitung richtet sich nach den Verträgen, die der Kunde mit reactive.chat geschlossen hat. Diese Vereinbarung gilt für sie nur ergänzend. Datenschutzerklärung und Auftragsverarbeitungsvertrag von reactive.chat nennen diese Antworten („Smart Answer“) ausdrücklich als Dienst von Answely.

4. Weisungen

Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ihn zu einer anderen Verarbeitung; in diesem Fall teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, soweit das Recht das nicht verbietet.

Die Weisungen bestehen aus dieser Vereinbarung, den Nutzungsbedingungen und den Einstellungen, die der Kunde im Konto wählt. Dazu gehören insbesondere „Antwort-Cache erlauben“, der Einwilligungsmodus, die Frageanalyse und ihr Löschknopf, Ausschlüsse vom Index, die Erweiterungen jeder Site, die Gestaltung der Box und die Löschung von Sites und Konto. Jede Einstellung wirkt als Weisung ab dem Zeitpunkt, zu dem sie gespeichert ist.

Weitere Weisungen erteilt der Kunde in Textform an support@answely.com. Hält der Betreiber eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

5. Pflichten des Kunden

Rechtsgrundlage: Der Kunde sorgt dafür, dass die Verarbeitung auf seiner Website eine Rechtsgrundlage hat, typischerweise sein berechtigtes Interesse an der Beantwortung von Fragen oder eine Einwilligung.
Information der Besucher: Der Kunde informiert die Besucher in seiner Datenschutzerklärung. Passende Textbausteine für jede Einstellung stehen unter Textbaustein für die Datenschutzerklärung.
Einwilligung, wo nötig: Verlangt das für seine Website geltende Recht vor dem Zugriff auf das Endgerät eine Einwilligung, nutzt der Kunde den Einwilligungsmodus (data-consent="required"). Answely liest das Einwilligungssignal; es holt die Einwilligung nicht selbst ein.
Inhalte: Der Kunde ist für die Inhalte verantwortlich, aus denen Antworten entstehen. Er nimmt Seiten mit personenbezogenen Daten, die nicht jeder Besucher erfahren soll, vom Index aus (Ausschlusspfade, noindex, data-answely-ignore).
Push und WordPress: Über die Push-Schnittstelle und das WordPress-Plugin spielt der Kunde nur Inhalte ein, die er öffentlich, also gegenüber jedem Besucher, beantworten lassen darf. Mit jeder Übermittlung sichert er das zu.
Geschützte Bereiche: Nicht öffentliche Inhalte darf der Kunde nur über geschützte Wissensbereiche einspielen, sobald diese für ihn freigegeben sind (Anlage 1, Abschnitt Q), und nur so, dass sie ausschließlich berechtigten Nutzern beantwortet werden. Für die Vergabe der Berechtigungen ist der Kunde verantwortlich.
Keine besonderen Kategorien: Der Kunde spielt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) in den Index ein, weder über den Abruf noch über Push, WordPress oder hochgeladene Dateien.
Prüffragen und Einstellungen: Prüffragen, Glossar, Regeln und Live-Datenquellen enthalten keine personenbezogenen oder vertraulichen Angaben; sie sind öffentliche Testfälle und Konfiguration.
KI-Kennzeichnung: Der Kunde entfernt oder verdeckt den Hinweis, dass eine Antwort KI-generiert ist, nicht (Art. 50 der KI-Verordnung (EU) 2024/1689). Ab dem Tarif Pro darf er den Wortlaut anpassen, nicht aber den Hinweis abschalten.
Zugangsdaten: Der Kunde hält Push-Token, Schlüssel und Zugänge zu seinem Konto geheim und widerruft sie, wenn sie in falsche Hände geraten sein könnten.

6. Pflichten des Betreibers

Weisungsbindung und Zweckbindung: Der Betreiber verarbeitet die Daten nur für die Zwecke in Anlage 1 und nicht für eigene Zwecke – nicht für Werbung, nicht für Profile, nicht zum Training von Modellen.
Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Den Dienst betreibt derzeit der Inhaber selbst; weitere Personen erhalten Zugang nur nach Verpflichtung zur Vertraulichkeit.
Keine Inhalte in Protokollen: Fragen und Antworten erscheinen in keinem Protokoll des Dienstes, des Indexers, der KI-Rechner oder des Webservers. Sie werden nicht redaktionell gelesen.
Datenschutz durch Voreinstellung: Neue Sites starten ohne Speicherung von Fragen und Antworten, ohne Frageanalyse und ohne jede zuschaltbare Funktion aus Anlage 1. Das Skript setzt keine Cookies und erzeugt keine Kennung des Besuchers.
Unterstützung: Der Betreiber unterstützt den Kunden bei Anträgen betroffener Personen (Abschnitt 10) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Für eine Datenschutz-Folgenabschätzung stellt er seine eigene Bewertung des Dienstes bereit (Datenschutz-Folgenabschätzung).
Mitteilung: Der Betreiber teilt dem Kunden unverzüglich mit, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt, und wenn eine Aufsichtsbehörde wegen der Daten des Kunden an ihn herantritt.
Kontaktstelle: Datenschutzangelegenheiten aus dieser Vereinbarung erreichen den Betreiber unter support@answely.com.

Kein Datenschutzbeauftragter. Ein Datenschutzbeauftragter ist nicht benannt. Nach Einschätzung des Betreibers liegt keiner der Fälle des Art. 37 Abs. 1 DSGVO vor: Der Betreiber ist ein Einzelunternehmen; die Kerntätigkeit von Answely besteht im Beantworten einzelner, selbst gestellter Fragen ohne Kennung des Besuchers, nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen, und sie besteht nicht in der umfangreichen Verarbeitung besonderer Kategorien. Die Bewertung steht mit Begründung in Abschnitt 9 des Verzeichnisses von Verarbeitungstätigkeiten. Ändert sich das, wird eine Benennung hier veröffentlicht und der Aufsichtsbehörde mitgeteilt.

7. Sicherheit der Verarbeitung

Der Betreiber trifft dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören unter anderem Transportverschlüsselung auf jedem öffentlichen Weg, Antworten nur für Hosts mit nachgewiesener Inhaberschaft, getrennte Schlüssel und Indexe je Site, gekürzte IP-Adressen in Zählern und Protokollen, ein Missbrauchsschutz ohne Speicherung der IP-Adresse, eine Zwei-Faktor-Pflicht für den Administrationsbereich, signierte Verbindungen der KI-Rechner und die verschlüsselte Ablage ausgelagerter Kopien.

Vollständig und fortgeschrieben stehen die Maßnahmen – auch die, die es bewusst noch nicht gibt – in den technischen und organisatorischen Maßnahmen (Anlage 2). Der Betreiber darf sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

8.1 Allgemeine Genehmigung und Liste

Der Kunde erteilt dem Betreiber die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter hinzuzuziehen. Die aktuelle Liste mit Zweck, Datenkategorien, Ort und Grundlage steht unter Unterauftragsverarbeiter (Anlage 3).

An der Beantwortung einer Frage selbst ist kein Dritter beteiligt: Das Skript sendet ausschließlich an die eigene Infrastruktur des Betreibers, und das Sprachmodell läuft auf eigener Hardware. Daten im Auftrag erreichen Dritte nur in zwei Fällen:

Eine nächtliche ausgelagerte Kopie aller Datenbanken des Servers – also auch des Index, der Frageanalyse und der Einstellungen der Sites – liegt bei Google Ireland Limited (Google Cloud Storage, Region Warschau). Sie wird vor der Übertragung auf dem eigenen Server verschlüsselt, einschließlich der Datei- und Verzeichnisnamen; die Schlüssel liegen nur beim Betreiber. Google kann den Inhalt nicht lesen, bleibt aber Unterauftragsverarbeiter – die Verschlüsselung ist eine Schutzmaßnahme, keine Änderung der Rolle.
E-Mails des Betreibers an den Kunden laufen über Namecheap Private Email (Namecheap, Inc., Phoenix, Arizona, USA); über denselben Anbieter gehen auch E-Mails des Kunden an Adressen unter @answely.com ein. Daten im Auftrag enthält vor allem der monatliche Wissenslücken-Bericht, den der Kunde einschalten kann: Er enthält Gruppen maskierter Fragen aus der Frageanalyse und das Firmenlogo des Kunden. Daneben können Mails mit Bezug zu einer Site, etwa Hinweise zu Kontingent oder Domain-Nachweis, oder Supportanfragen, in die der Kunde selbst Inhalte einfügt, Daten im Auftrag enthalten. Namecheap ist deshalb Unterauftragsverarbeiter; Grundlage ist sein Data Processing Addendum mit den EU-Standardvertragsklauseln (Abschnitt 9).

8.2 Ankündigung und Widerspruch

Der Betreiber unterrichtet den Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt oder ein bestehender ersetzt wird, per E-Mail an die Adresse des Kontos. Innerhalb dieser Frist kann der Kunde aus berechtigtem Datenschutzgrund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Kunde die betroffene Leistung zum Zeitpunkt der Änderung kündigen; bereits Bezahltes für die Zeit danach wird anteilig erstattet, wie es Abschnitt 14.3 der Nutzungsbedingungen regelt.

Der Betreiber legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die diese Vereinbarung vorsieht, und haftet dem Kunden gegenüber für deren Einhaltung wie für eigenes Handeln.

8.3 Ein weiterer KI-Anbieter nur unter fünf Bedingungen

Ein Anbieter für Sprachmodell oder Einbettung außerhalb der eigenen Hardware wird nur eingesetzt, wenn alle folgenden Bedingungen erfüllt sind:

Er verarbeitet ausschließlich in der EU.
Er hat mit dem Betreiber einen Auftragsverarbeitungsvertrag geschlossen, der Training und Feinabstimmung mit den Daten ausschließt und keine Speicherung über die Verarbeitung der einzelnen Anfrage hinaus zulässt.
Er steht auf der Liste der Unterauftragsverarbeiter.
Die Kunden wurden 30 Tage vorher nach Abschnitt 8.2 unterrichtet und konnten widersprechen.
Sein Endpunkt steht auf der technischen Freigabeliste von Servern in der EU, ohne die der Dienst nicht startet.

Derzeit ist kein solcher Anbieter in Betrieb. Vorbereitet ist ein Ausweich-Anbieter mit Sitz in Frankreich; seine Freigabe ist technisch gesperrt, bis Vertrag, Standort und Speicherbedingungen geklärt sind.

8.4 Gegenstellen, die der Kunde selbst bestimmt

Einige Funktionen verbinden Answely mit Systemen, die der Kunde selbst bestimmt: seine WordPress-Installation, öffentliche Datenquellen für Live-Daten, Ziele seiner Aktions- und Supportlinks, KI-Clients, die seinen öffentlichen MCP-Zugang abfragen, und – sobald freigegeben – sein Anbieter für Anmeldungen. Diese Gegenstellen sind keine Unterauftragsverarbeiter des Betreibers. Die Verbindung entsteht nur, wenn der Kunde die Funktion einschaltet; das Vertragsverhältnis zu ihnen besteht zwischen dem Kunden und dem jeweiligen Betreiber. Welche Daten dabei fließen, beschreibt Anlage 1; Daten der Besucher gehen an keine dieser Gegenstellen automatisch.

9. Internationale Übermittlungen

Daten im Auftrag werden in der EU verarbeitet: auf eigener Hardware in Polen und, für die verschlüsselte ausgelagerte Kopie, in einem Speicher in Warschau. Die KI-Verarbeitung findet ausschließlich auf Servern in der EU statt (Abschnitt 3.4); Fragen und Antworten aus der Antwortbox verlassen die EU dabei nicht.

Eine Übermittlung in ein Drittland gibt es für Daten im Auftrag nur über den E-Mail-Anbieter: E-Mails des Betreibers an den Kunden – vor allem der Wissenslücken-Bericht mit Gruppen maskierter Fragen, wenn der Kunde ihn einschaltet – und E-Mails des Kunden an Adressen unter @answely.com laufen über Namecheap Private Email (Namecheap, Inc., USA). Grundlage ist das Data Processing Addendum von Namecheap mit den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), angenommen am 01.08.2026. Der Kunde berücksichtigt das, bevor er den Wissenslücken-Bericht einschaltet, und nennt es gegebenenfalls in seiner eigenen Datenschutzerklärung; ohne den Bericht verlassen Fragen von Besuchern die EU nicht.

Abrechnungsdaten des Kunden, die an einen Zahlungsdienstleister mit Konzernteil in den USA gehen, betreffen das Kundenkonto und nicht die Daten im Auftrag (siehe Datenschutzerklärung).

10. Rechte betroffener Personen

Der Betreiber unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung dabei, Anträge nach Art. 15 bis 22 DSGVO zu beantworten. Erhält der Betreiber einen Antrag unmittelbar von einem Besucher, leitet er ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, außer der Kunde weist ihn dazu an.

Eine Grenze wird offen benannt: Answely vergibt keine Kennung an Besucher und speichert keine vollständige IP-Adresse. In der Grundeinstellung gibt es zu einem einzelnen Besucher deshalb keine zuordenbaren Daten. Auch die Frageanalyse speichert Fragen ohne IP-Adresse und ohne Kennung; eine Frage lässt sich daher in der Regel nur über ihren Wortlaut finden. Nach Art. 11 DSGVO muss der Betreiber keine zusätzlichen Daten erheben, nur um eine Person zuordnen zu können.

Was der Kunde selbst tun kann: Einträge der Frageanalyse per Knopf löschen, Seiten vom Index ausschließen oder über die Push-Schnittstelle zurückziehen, eine Site oder das Konto löschen und alle Daten des Kontos als JSON- oder CSV-Datei herunterladen.

11. Verletzungen des Schutzes personenbezogener Daten

Wird dem Betreiber eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Kunden betrifft, benachrichtigt er den Kunden unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt wurde, an die E-Mail-Adresse des Kontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und eine Kontaktstelle. Was bei der ersten Meldung noch nicht bekannt ist, reicht der Betreiber nach, sobald er es weiß.

Der Betreiber dokumentiert jede Verletzung mit Sachverhalt, Auswirkungen und Abhilfe und legt diese Dokumentation dem Kunden mit der Benachrichtigung vor. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Besucher bleiben Sache des Kunden; der Betreiber unterstützt ihn dabei.

Meldeadresse für Sicherheitsvorfälle: support@answely.com

12. Aufbewahrung, Rückgabe und Löschung

12.1 Fristen im laufenden Betrieb

Die Fristen je Funktion stehen in Anlage 1. Sie laufen automatisch ab und werden nicht von Hand angestoßen. Jede Frist ist im Code hinterlegt und wird durch Prüfungen mit vorgestellter Uhr belegt.

12.2 Löschung einer Site oder des Kontos, Ende des Vertrags

Löscht der Kunde eine Site oder sein Konto, endet die Verarbeitung sofort: Die Box antwortet für diese Site nicht mehr. Index, Frageanalyse, Prüfberichte, Indexkopien und alle anderen Daten dieser Site entfernt der Betreiber aus dem laufenden System binnen 24 Stunden. Eine Warteschlange holt Löschungen nach, die der Dienst nicht sofort annehmen kann, und schreibt nach 12 Stunden einen Fehler in das Protokoll des Betreibers.

Vorher kann der Kunde seine Daten selbst im Konto herunterladen (JSON oder CSV). Eine Rückgabe in anderer Form schuldet der Betreiber nicht; die Inhalte des Index stammen ohnehin von der Website des Kunden. Mit dem Ende des Vertrags gilt dasselbe wie für die Löschung des Kontos. Eine längere Aufbewahrung findet nur statt, soweit Unionsrecht oder polnisches Recht sie verlangt; für Daten im Auftrag ist das derzeit nicht der Fall.

12.3 Sicherungen, mit Zahlen

Aus dem laufenden System gelöschte Daten bleiben in Sicherungskopien erhalten, bis diese ablaufen. Das wird hier gesagt statt überspielt, weil es die längste Zeit ist, die ein gelöschter Datensatz irgendwo überdauern kann:

Eigene Sicherungen auf dem Server: 30 Tage, rollierend.
Unverschlüsselte Gesamtkopie (Abzüge aller Datenbanken des Servers und Dateikopie von /var/www samt Konfigurationsdateien) auf einem USB-Datenträger am Server in Łódź, aus der die ausgelagerte Kopie entsteht: höchstens 8 Tage.
Ausgelagerte, verschlüsselte Kopien bei Google Cloud Storage in Warschau: Tageskopien 7 Tage, Wochenkopien 364 Tage.

Gelöschte Daten können in den ausgelagerten Kopien also bis zu 364 Tage nach der Löschung enthalten sein – verschlüsselt, mit Schlüsseln nur beim Betreiber. Eine gezielte Löschung innerhalb einer Kopie findet nicht statt: Eine Kopie ist ein geschlossenes Abbild eines Zeitpunkts, und sie zu öffnen, zu verändern und wieder zu verschließen, nähme ihr diese Eigenschaft.

Sicherungskopien dienen ausschließlich der Wiederherstellung nach einem Verlust. Sie werden nicht durchsucht, nicht ausgewertet und nicht offengelegt. Wird eine Kopie zurückgespielt, löscht der Betreiber die Daten, die nach dem Datum der Kopie gelöscht wurden, erneut, soweit sie sich bestimmen lassen. Für Sites erledigt das der tägliche Abgleich der Konto-App, der Sites im Dienst löscht, die das Konto nicht mehr kennt; für Konten und die Frageanalyse gibt es dafür kein eigenes technisches Verfahren. Ein Zurückspielen folgt nur auf einen Verlust; geschieht es, teilt der Betreiber es den betroffenen Kunden mit.

13. Nachweise und Prüfungen

Der Betreiber stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei.

Vorrangig erfolgt der Nachweis durch diese Vereinbarung, die technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter, die Datenschutz-Folgenabschätzung und schriftliche Antworten auf angemessene Fragen. Eine Prüfung vor Ort kann der Kunde verlangen, wenn diese Unterlagen nicht ausreichen, eine Aufsichtsbehörde sie verlangt oder eine Verletzung nach Abschnitt 11 seine Daten betroffen hat. Er kündigt sie mindestens 30 Tage vorher in Textform an; bei einer Verletzung genügt eine angemessen kürzere Frist. Je Kalenderjahr ist eine Prüfung vor Ort ohne Anlass kostenfrei; eine Prüfung wegen einer Verletzung ist immer kostenfrei. Darüber hinaus trägt der Kunde den Aufwand, soweit er den üblichen Rahmen übersteigt.

Bei einer Prüfung vor Ort ist zu beachten, dass der Dienst auf eigener Hardware an einem nicht öffentlichen Ort läuft, an dem auch andere Dienste desselben Betreibers betrieben werden. Der Betreiber kann verlangen, dass die Prüfung so durchgeführt wird, dass Daten anderer Kunden und anderer Dienste nicht offengelegt werden.

Externe Penetrationstests sind derzeit nicht beauftragt, und es bestehen keine Zertifizierungen. Das steht hier ausdrücklich, damit ein Schweigen nicht als das Gegenteil gelesen wird. Zwingende Prüfrechte nach Art. 28 Abs. 3 lit. h DSGVO und die Befugnisse der Aufsichtsbehörden bleiben unberührt.

14. Laufzeit, Änderungen, Recht und Sprachfassung

Laufzeit: Die Vereinbarung gilt, solange der Betreiber Daten im Auftrag des Kunden verarbeitet, einschließlich der Zeit bis zum Ablauf der Sicherungskopien nach Abschnitt 12.3.
Änderungen: Änderungen dieser Vereinbarung kündigt der Betreiber mindestens 30 Tage vorher per E-Mail an; Abschnitt 8.2 gilt entsprechend. Änderungen, die das Schutzniveau nur erhöhen oder nur Tatsachen nachtragen, gelten mit ihrer Veröffentlichung.
Recht und Gerichtsstand: Es gilt polnisches Recht unter Einschluss der DSGVO. Gerichtsstand für Kaufleute ist Łódź; zwingende Vorschriften zugunsten von Verbrauchern bleiben unberührt.
Salvatorische Klausel: Ist eine Bestimmung unwirksam, bleibt der Rest wirksam; an die Stelle tritt die gesetzliche Regelung, insbesondere Art. 28 Abs. 3 DSGVO.
Sprachfassung: Bei Abweichungen zwischen den Sprachfassungen ist die englische Fassung maßgeblich; die deutsche und die polnische Fassung sind Übersetzungen zur Information.

Anlage 1 – Beschreibung der Verarbeitung

1.1 Für alle Funktionen gemeinsam

Verantwortlicher: der Kunde, dem die Site gehört.
Betroffene Personen: Besucher der Websites des Kunden; Personen, die in den Inhalten des Kunden genannt sind; bei geschützten Bereichen die berechtigten Nutzer des Kunden.
Ort: Server in der EU – eigene Hardware des Betreibers in Łódź, Polen; ausgelagerte verschlüsselte Kopie in Warschau, Polen. Ausnahme: E-Mails an den Kunden, insbesondere der Wissenslücken-Bericht, über Namecheap Private Email in den USA (Abschnitt 9).
Besondere Kategorien: nicht vorgesehen. Gibt ein Besucher solche Daten in eine Frage ein, werden sie nur zur Beantwortung verarbeitet und bei ausgeschaltetem „Antwort-Cache erlauben“ nicht gespeichert. In den Index dürfen sie nach Abschnitt 5 nicht gelangen.
Dauer: für die Laufzeit des Vertrags, mit den Fristen, die je Funktion genannt sind; danach Löschung nach Abschnitt 12.
Vorgabe: Alle Funktionen ab Abschnitt B sind je Site zuschaltbar und für neue Sites ausgeschaltet, außer wo anders angegeben.

A. Antwortbox (Grundfunktion)

Gegenstand: Beantwortung einer Frage, die ein Besucher auf der Website des Kunden in die Suche oder die Box eingibt.
Art: Empfang der Frage, Abgleich mit dem Index, Formulierung der Antwort durch das Sprachmodell, Auslieferung an den Browser mit Quellenlinks; Zählung ohne Inhalt; Missbrauchsschutz.
Zweck: Besucher erhalten eine belegte Antwort aus den Inhalten des Kunden. Gibt es keinen Beleg, sagt die Box das, statt zu raten.
Datenarten: Frage (höchstens 300 Zeichen), Sprache, Adresse der aktuellen und der verweisenden Seite ohne Parameter und Anker, IP-Adresse (nur für den Missbrauchsschutz als Hash und gekürzt in Zählern und Protokollen), technische Angaben des Abrufs.
Gespeichert bei ausgeschaltetem „Antwort-Cache erlauben“ (Vorgabe): Frage und Antwort gar nicht; sie liegen nur während der Verarbeitung im Arbeitsspeicher und auf dem verschlüsselten Weg zu den KI-Rechnern.
Gespeichert bei eingeschaltetem „Antwort-Cache erlauben“: die Antwort samt Quellen unter einem Hash der Frage; der Zwischenspeicher hält sie 24 Stunden.
Im Browser des Besuchers: keine Cookies; nur bei eingeschaltetem „Antwort-Cache erlauben“ im sessionStorage die Einstellungen der Box für 5 Minuten. Antworten legt die Box im Browser nur bei Sites aus reactive.chat ab (Abschnitt R), dort für 10 Minuten.
Zähler ohne Inhalt: Zeitpunkt, gekürzte IP-Adresse, Kennung der Site, Länge der Frage, Ergebnis, Dauer; die Zähler werden nach 7 Tagen gelöscht.
Missbrauchsschutz: ein Hash aus IP-Adresse und täglich wechselndem Zufallswert, der höchstens 2 Minuten lebt.
Tagessalz: Der Zufallswert selbst lebt höchstens 2 Tage.
Zugriffsprotokoll des Webservers: gekürzte IP-Adresse, Zeit, Pfad ohne Parameter, Status, Größe, Dauer, Host – ohne Frage und Antwort; es wird nach 7 Tagen gelöscht.
Monatszahlen je Site: Zahl der Antworten je Monat ohne Personenbezug, für Kontingent und Abrechnung; aufbewahrt 400 Tage.
KI-Kennzeichnung: Jede Antwort ist sichtbar als KI-generiert gekennzeichnet (Art. 50 KI-Verordnung); der Hinweis ist nicht abschaltbar.

B. Einwilligungsmodus

Gegenstand und Zweck: Der Kunde kann einstellen, dass die Box erst nach der Zustimmung des Besuchers arbeitet (data-consent="required").
Art: Das Skript liest das Signal des Einwilligungswerkzeugs des Kunden im Browser (unter anderem consented.eu und TCF werden erkannt). Steht data-consent="required" im Einbettungscode, sendet es vor der Zustimmung keine Anfrage an Answely, auch nicht für die Einstellungen der Box. Wird der Modus nur im Konto eingeschaltet, lädt die Box vorher ihre Einstellungen und hält erst die Frage zurück.
Datenarten: keine zusätzlichen; an den Anbieter des Einwilligungswerkzeugs sendet Answely nichts.

C. Index durch Abruf öffentlicher Seiten

Gegenstand: Aufbau und Pflege des Index aus den öffentlichen Seiten der Domains, deren Inhaberschaft der Kunde nachgewiesen hat.
Art: Abruf per GET ohne Cookies und Zugangsdaten, unter Beachtung von robots.txt und noindex; Zerlegen in Abschnitte; Berechnen von Vektoren auf eigenen KI-Rechnern; Speichern. PDF-Dateien werden gelesen; enthalten sie keinen Text, erkennt eine Texterkennung ihn lokal auf dem Server, ohne fremden Dienst, in einem privaten temporären Ordner, der danach gelöscht wird.
Zweck: Grundlage jeder Antwort.
Datenarten: Inhalte der öffentlichen Seiten, einschließlich der dort genannten Personen (etwa Ansprechpartner), Abschnitte, Vektoren, Adressen.
Betroffene: Personen, die in den Inhalten des Kunden genannt sind.
Dauer: bis die Seite entfernt, ausgeschlossen oder die Site gelöscht wird; nach Löschung der Site binnen 24 Stunden.

D. Push-Schnittstelle (ab Tarif Pro)

Gegenstand: Der Kunde übermittelt Inhalte aus seinen Systemen direkt in den Index, statt sie abrufen zu lassen.
Art: Annahme über einen Token je Site, der beim Betreiber nur als Hash gespeichert wird; nur für Adressen auf Hosts mit nachgewiesener Inhaberschaft; Weiterverarbeitung wie in Abschnitt C.
Zweck und Weisung: Aktualität des Index. Der Kunde spielt nur Inhalte ein, die er öffentlich beantworten lassen darf, und keine besonderen Kategorien (Abschnitt 5).
Datenarten und Dauer: wie Abschnitt C.

E. WordPress-Plugin-Synchronisation

Gegenstand: Das Answely-Plugin in der WordPress-Installation des Kunden meldet veröffentlichte Inhalte, Änderungen, geänderte Permalinks und Rückzüge über die Push-Schnittstelle.
Art: ausdrückliches Opt-in im Plugin; nur veröffentlichte, öffentlich sichtbare Inhalte; keine Ausführung von Shortcodes. Der Push-Token liegt nur in der wp-config.php des Kunden, nie in der Datenbank, der Oberfläche oder im Browser.
Datenarten: öffentliche Inhalte und der technische Serverabruf der WordPress-Installation; keine Daten von Besuchern der WordPress-Seite.
Hinweis: Sonderfälle wie Mitgliederbereiche oder noindex klärt der Kunde vor dem Einschalten. Vor einer Deinstallation arbeitet das Plugin seine Löschaufträge ab, damit zurückgezogene Inhalte auch den Index verlassen.
Dauer: wie Abschnitt C.

F. Frageanalyse, Bewertungen und Wissenslücken-Bericht (ab Tarif Pro)

Gegenstand: Der Kunde sieht, welche Fragen auf seiner Website gestellt werden und welche ohne belegte Antwort bleiben.
Voraussetzung: Opt-in des Kunden für die Site, Tarif ab Pro, eingeschaltetes „Antwort-Cache erlauben“.
Art: Je Antwort wird ein Eintrag gespeichert; E-Mail-Adressen, Telefonnummern, IBAN-ähnliche Ziffernfolgen, Links und lange Zahlen werden vor dem Speichern unkenntlich gemacht; ähnliche Fragen werden nachts mit dem Einbettungsmodell auf eigenen KI-Rechnern gruppiert, die Vektoren dafür nur im Arbeitsspeicher.
Datenarten: maskierte Frage, Kalendertag ohne Uhrzeit, Sprache, Ergebnis, Adressen der zitierten Seiten, Dauer und – wenn der Besucher „hilfreich“ oder „nicht hilfreich“ wählt – seine Bewertung zusammen mit einer zufälligen Kennung der Antwort. Nicht gespeichert: IP-Adresse, Kennungen des Browsers, Antworttext, Adresse der Seite, auf der gefragt wurde.
Ausgabe: Der Kunde sieht nur Gruppen ab zwei Fragen, nie einzelne Fragen.
Dauer: Einträge der Frageanalyse werden nach 90 Tagen gelöscht, stündlich geprüft; sofort mit der Site oder auf Knopfdruck des Kunden.
Wissenslücken-Bericht: Auf eigenes Opt-in je Site erhält der Eigentümer des Arbeitsbereichs höchstens eine E-Mail je Monat mit denselben Gruppen wie im Konto, mit Abmeldelink. Der Versand läuft über den E-Mail-Anbieter des Betreibers, Namecheap Private Email in den USA (Abschnitte 8.1 und 9); die maskierten Gruppentexte verlassen damit die EU. Der Postausgang hält die Mail für Wiederholungen.
Grenze: Die Maskierung erkennt Muster, keine Bedeutung. Namen, Diagnosen oder Anschriften in Worten bleiben lesbar. Der Kunde schaltet die Frageanalyse deshalb nur ein, wenn seine Besucher darüber informiert sind.

G. Produkt- und Dokumentationsbereiche, Aktions- und Supportlinks

Gegenstand: bis zu zehn Bereiche, auf die der Kunde die Suche begrenzen kann; Aktions- und Supportlinks, die die Box anbietet.
Art: Die Kennung des gewählten Bereichs wird mit der Frage gesendet. Links öffnen sich erst auf Klick; Answely hängt weder Frage noch Verlauf an ihre Adresse an. Bei fehlender Antwort kann der Besucher Frage, Verlauf und Quellen in seinem Browser kopieren und selbst an den Support übergeben; dabei wird nichts an Answely übertragen.
Grenze: Bereiche sind keine Zugangskontrolle für vertrauliche Inhalte.
Dauer: Bereiche und Links bleiben als Einstellungen bis zur Änderung oder Löschung der Site.

H. Antworttests

Gegenstand: bis zu zehn Prüffragen mit erwarteten Stichwörtern, Quellen und Ablehnungen, die der Kunde hinterlegt.
Art: Nach Änderungen am Index oder an der Konfiguration oder auf Auftrag des Kunden werden die Prüffragen beantwortet und bewertet; die Testantworten werden nicht dauerhaft gespeichert.
Datenarten: die Prüffragen als Einstellungen; Berichte mit Fallnummern, Ergebnissen, Laufzeiten, Indexversion und Prüfsummen, ohne Frage- und Antworttexte.
Dauer: Prüffragen bis zur Änderung oder Löschung der Site; der aktuelle Bericht und ein Vorgänger höchstens 30 Tage ab dem letzten Prüflauf, bei Löschung der Site sofort.

I. Öffentlicher MCP-Suchzugang

Gegenstand: Öffentliche KI-Clients können den freigegebenen Index der Site durchsuchen.
Art: reine Textsuche ohne Sprachmodell; keine Aktionen, kein Hochladen. Abrufe werden durch den bestehenden Missbrauchsschutz begrenzt.
Datenarten: die Suchanfrage des Clients und Auszüge aus dem öffentlichen Index. Suchanfragen werden weder in der Frageanalyse noch im Zwischenspeicher abgelegt; das Zugriffsprotokoll des Webservers gilt wie in Abschnitt A.
Grenze: Der Zugang ist öffentlich. Er steht nicht zur Verfügung, solange geschützte Bereiche eingeschaltet sind. Was der KI-Client mit den Auszügen tut, liegt beim Betreiber des Clients.

J. Gezielte Rückfragen, Regelberater, Belegvorschau und Tiefensuche

Gegenstand: Funktionen, mit denen die Box nachfragt, nach Regeln des Kunden eine Empfehlung gibt, ihre Belege zeigt oder vertieft sucht.
Art: Rückfragen und Regeln sind Konfiguration des Kunden; die Auswahl des Besuchers lebt nur im Arbeitsspeicher der Box und der laufenden Anfrage. Die Belegvorschau zeigt die tatsächlich verwendeten Abschnitte mit dem Zeitpunkt ihres Abrufs. Die Tiefensuche nimmt auf ausdrücklichen Wunsch des Besuchers höchstens acht Auszüge derselben Site hinzu.
Datenarten und Dauer: wie Abschnitt A; es entsteht kein Profil des Besuchers und keine zusätzliche Speicherung.

K. Indexfreigabe mit Kandidat und vorherigem Index

Gegenstand: Ein neuer Index wird erst veröffentlicht, wenn er die Antworttests besteht; der vorherige Stand bleibt für einen Rückwechsel.
Art und Datenarten: bis zu zwei weitere Kopien der öffentlichen Seiten, Abschnitte und Vektoren der Site. Löschungen und Rückzüge werden in beide Kopien übernommen. Technische Freigabeberichte ohne Fragen und Antworten liegen höchstens 30 Tage in Redis.
Dauer: Der Kandidat bis zum nächsten Lauf; der vorherige Stand bis zur nächsten erfolgreichen Freigabe oder bis zur Löschung der Site – eine eigene zeitliche Frist hat er nicht.

L. Dokumentations-Copilot

Gegenstand: Entwurf für eine fehlende Dokumentationsseite aus vorhandenen Abschnitten und einer redaktionellen Frage des Kunden.
Art: Der Entwurf entsteht in der Antwort an das Konto und lebt nur im Browser des Kunden; der Betreiber speichert ihn nicht und veröffentlicht nichts.
Datenarten: öffentliche Abschnitte des Index, die Frage des Kunden.

M. Live-API-Daten

Gegenstand: Die Box zeigt einen aktuellen Wert (etwa Verfügbarkeit oder Öffnungszeit) aus einer öffentlichen Datenquelle des Kunden.
Art: Der Server des Betreibers ruft höchstens zwei fest hinterlegte öffentliche HTTPS-JSON-Endpunkte auf Hosts mit nachgewiesener Inhaberschaft ab, je Abruf höchstens 2 Sekunden und 64 KiB, ohne Zugangsdaten und ohne Parameter.
Datenarten: Der Endpunkt sieht nur den technischen Abruf des Servers; Frage, IP-Adresse oder Kennung des Besuchers werden nicht weitergegeben. Der Wert geht mit Abrufzeit an die Box und wird nicht zwischengespeichert.

N. Erfolg und A/B-Vergleich

Gegenstand: Der Kunde sieht, ob Antworten als „gelöst“ oder „nicht gelöst“ gemeldet werden und ob eigene Ziele erreicht werden; optional im Vergleich zweier Darstellungen.
Voraussetzung: Opt-in des Kunden; im Einwilligungsmodus gelten dieselben Regeln wie für die Box; ein Widerruf verhindert weitere Meldungen.
Art und Datenarten: eine zufällige Kennung der Antwort, Vergleichsgruppe, Site, Ablaufzeit und ein Prüfwert der Konfiguration in einem signierten Beleg, der höchstens 24 Stunden gilt und im Browser nur im Arbeitsspeicher liegt. Keine Fragen, Antworten, Seitenadressen, Cookies oder Profile.
Dauer: Kennungen zum Ausschluss doppelter Meldungen und tägliche Summen höchstens 30 Tage in Redis; der Bericht im Konto zeigt nur Summen je Gruppe.

O. Antwortdiagnose und Antwortvergleich

Gegenstand: Der Kunde lässt sich zeigen, wie eine Antwort auf eine eigene Frage entsteht, oder vergleicht Antworten des aktiven und eines neuen Index.
Art: private Aufträge im Konto; Ergebnisse nur im Arbeitsspeicher, höchstens 15 Minuten nach Abschluss, ohne Ablage in Datenbank, Redis oder Protokollen. Das Löschen der Site beendet laufende Aufträge.
Datenarten: Fragen des Kunden, Abschnitte des Index, erzeugte Antworten.

P. Suchglossar, Gültigkeit und Priorität von Quellen, Agenturvorlagen

Gegenstand: Synonyme je Sprache, Gültigkeitszeiträume und Vorrang für Quellen, Vorlagen für Gestaltung und Antwortverhalten innerhalb eines Arbeitsbereichs.
Datenarten: reine Konfiguration des Kunden; Vorlagen übernehmen keine Rechte, Token oder Anschlüsse.
Dauer: bis zur Änderung oder Löschung der Site.

Q. Geschützte Wissensbereiche (für eine spätere Freigabe vorbereitet)

Stand: technisch vorbereitet; derzeit ist kein Anbieter für Anmeldungen angebunden und kein geschützter Bereich in Betrieb. Vor einer Freigabe wird diese Anlage ergänzt.
Gegenstand: Antworten aus nicht öffentlichen Inhalten nur für Nutzer, die der Kunde berechtigt hat.
Art: Die Website des Kunden übergibt ein Zugriffstoken seines Anmeldeanbieters. Der Dienst prüft Signatur, Laufzeit, Aussteller, Empfänger und Gruppen lokal mit fest hinterlegten öffentlichen Schlüsseln, ohne den Anbieter abzurufen. Die Angaben im Token werden nicht gespeichert und nicht an das Sprachmodell gegeben; das Modell erhält nur die erlaubten Abschnitte und die Frage. Antworten aus geschützten Bereichen werden weder im Zwischenspeicher noch im Browser zwischengespeichert.
Weisung: Der Kunde spielt nicht öffentliche Inhalte nur über geschützte Bereiche ein und vergibt die Berechtigungen selbst (Abschnitt 5). Ein einmal geschützter Bestand kann nicht wieder öffentlich geschaltet werden.
Datenarten und Dauer: die geschützten Inhalte wie Abschnitt C; die Fristen des Index gelten.

R. Sites aus reactive.chat

Gegenstand: Antworten derselben Art für Kunden von reactive.chat, aus deren Wissensbasis.
Art und Datenarten: Frage und Sprache; für die Übergabe an den Chat zusätzlich die Besucheradresse und die Kennung, die das Chat-Widget von reactive.chat bereits vergibt. Ist „Antwort-Cache erlauben“ aus, kommt ein signierter Verlauf aus Frage, Antwort und bis zu drei Quellen hinzu, 24 Stunden gültig und nur im Browser des Besuchers gehalten; erst wenn der Besucher im Chat eine Folgefrage absendet, wird er an reactive.chat übergeben und dort als Beginn des Gesprächs gespeichert; hat der Besucher seine Daten bei reactive.chat gelöscht oder ist der Verlauf nicht mehr verwendbar, beginnt die Folgefrage ein neues Gespräch ohne diesen Verlauf. Ist „Antwort-Cache erlauben“ an, gibt es keinen signierten Verlauf: reactive.chat führt Suchfrage und Antwort bereits nach seinen Regeln als Gespräch, und die Folgefrage setzt es fort. Gespeichert wird nur, was die Einstellungen in reactive.chat vorsehen.
Grundlage: die Verträge mit reactive.chat (Abschnitt 3.5).

Fristen im Überblick

Fragen und Antworten in der Grundeinstellung: keine Speicherung.
Zwischenspeicher der Antworten (nur bei „Antwort-Cache erlauben“): 24 Stunden.
Browser (nur bei „Antwort-Cache erlauben“): Einstellungen 5 Minuten; Antworten nur bei Sites aus reactive.chat, 10 Minuten.
Zähler ohne Inhalt: 7 Tage.
Missbrauchsschutz: Hash 2 Minuten.
Zugriffsprotokoll des Webservers: 7 Tage.
Monatszahlen je Site: 400 Tage.
Frageanalyse: 90 Tage, im Bericht nur Gruppen ab zwei Fragen.
Prüfberichte und Freigabeberichte: höchstens 30 Tage.
Erfolg und A/B: tägliche Summen höchstens 30 Tage, Belege höchstens 24 Stunden.
Antwortdiagnose: höchstens 15 Minuten nach Abschluss, nur im Arbeitsspeicher.
Index, Kopien und Einstellungen: bis zur Löschung der Site, dann binnen 24 Stunden.
Eigene Sicherungen auf dem Server: 30 Tage.
Unverschlüsselte Gesamtkopie auf dem USB-Datenträger am Server: höchstens 8 Tage.
Ausgelagerte verschlüsselte Kopien: Tageskopien 7 Tage, Wochenkopien 364 Tage.

Anlage 2 – Technische und organisatorische Maßnahmen

Siehe Technische und organisatorische Maßnahmen. Sie sind Bestandteil dieser Vereinbarung in ihrer jeweils veröffentlichten Fassung.

Anlage 3 – Unterauftragsverarbeiter

Siehe Unterauftragsverarbeiter. Änderungen dieser Liste richten sich nach Abschnitt 8.2.

Zugehörige Dokumente: Datenschutzerklärung, Textbaustein für die Datenschutzerklärung, Datenschutz-Folgenabschätzung, KI-Verordnung.

Version 1.0 – Stand 18.10.2026

Wie können wir helfen?