Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

1. Wie dieses Verzeichnis zu lesen ist

Dies ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO für Answely. Es ist keine Datenschutzerklärung. Seine Aufgabe ist, einer Aufsichtsbehörde, einem Kunden, der seine eigene Dokumentation aufbauen muss, oder der nächsten Person, die eine Frage beantworten muss, zu zeigen, was tatsächlich verarbeitet wird, wo es liegt, wer es bekommt und wie lange es bleibt. Wir veröffentlichen es, weil unsere Kunden für die Verarbeitung in der Antwortbox selbst Verantwortliche sind und diese Angaben für ihr eigenes Verzeichnis und ihre eigene Folgenabschätzung brauchen.

Drei Regeln haben die Abfassung bestimmt.

• Eine Aussage steht nur dort, wo Code, Datenbankschema, Konfiguration oder eine dokumentierte Messung sie trägt. Wo etwas nicht belegt ist, steht ein sichtbarer Platzhalter statt eines plausibel klingenden Satzes.
• Die Aufbewahrung wird zweimal angegeben: einmal für das, was ein Aufräumlauf tatsächlich löscht, und einmal für das, was kein Lauf erfasst (Abschnitt 6). Eine Frist, die nur für die Hälfte der Tabellen gilt, ist schlechter als eine benannte Lücke.
• Funktionen, die im Code vorbereitet, aber nicht eingeschaltet sind, werden als vorbereitet bezeichnet und nicht als Betrieb beschrieben. Das gilt besonders für den EU-Ausweich-Anbieter für das Sprachmodell und für geschützte Wissensbereiche.

Messgrundlage: Grundlage ist der Code-Stand der Entwicklungsumgebung vom 11.10.2026; Tabellen, Felder, Aufräumläufe, eingestellte Fristen und nicht geheime Konfiguration wurden am 12.10.2026 mit dem laufenden Betrieb der Entwicklungsumgebung abgeglichen. Answely ist noch nicht im Produktivbetrieb; Zeilenzahlen und Datenmengen wurden für diese Fassung nicht gemessen. Zeilenzahlen je Tabelle und die Zahl der Kunden und Sites auf dem Produktivsystem werden nach der Inbetriebnahme mit Datum der Messung ergänzt.

Bewusst weggelassen: interne Netzadressen, Rechnernamen außer öffentlichen Domains, Zugangsdaten, Schlüssel und Kennungen einzelner Kunden. Ein veröffentlichtes Verzeichnis darf nicht selbst zum Angriffsplan werden.

Einstellbare Fristen: Sechs Fristen stellt der Betreiber im Administrationsbereich ein. Sie erscheinen hier als Platzhalter, die beim Anzeigen durch den aktuell eingestellten Wert ersetzt werden: 60 (Seitenstatistik), 365 (Prüfprotokoll), 90 (Fehlerprotokoll), 30 (Postausgang), 1095 (Supportanfragen) und 30 (Datenbanksicherungen auf dem Server).

2. Der Rechtsträger, und warum dieses Verzeichnis zwei Hälften hat

Feld	Eintrag
Rechtsträger	LW IT Solutions Company Lukas Wójcik, Einzelunternehmen (jednoosobowa działalność gospodarcza), eingetragen in CEIDG
Anschrift	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen
Steuerliche Kennung	USt-IdNr. PL7252266190
Kontakt für Datenschutz	support@answely.com (allgemein, Datenschutz, Behörden, Support)
Produkt	Answely – KI-Antwortbox für die Suche auf Websites (answely.com, Antwort-Dienst api.answely.com, Skript answely.js)
Vertreter nach Art. 27	Entfällt. Der Rechtsträger ist in der Union (Polen) niedergelassen.
Datenschutzbeauftragter	Nicht benannt. Bewertung nach Art. 37 in Abschnitt 9.
Zuständige Aufsichtsbehörde	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa

Derselbe Rechtsträger betreibt auch reactive.chat, MousePlayer, consented.eu und Stats4U. Diese Produkte haben eigene Verzeichnisse; hier steht nur, was Answely betrifft, einschließlich der Stellen, an denen Answely mit reactive.chat und consented.eu zusammenarbeitet.

Answely nimmt gegenüber zwei Personengruppen zwei verschiedene Rollen ein.

• Teil A (Abschnitte 3 und 4) – Art. 30 Abs. 2. Für alles, was Besucher auf der Website eines Kunden in die Antwortbox eingeben, und für den Index der Kundenseiten ist Answely Auftragsverarbeiter (Art. 28 DSGVO). Verantwortlicher ist der Kunde, dem die Website gehört. Grundlage ist der Auftragsverarbeitungsvertrag.
• Teil B (Abschnitt 5) – Art. 30 Abs. 1. Für die Website answely.com, das Kundenkonto, die Abrechnung, den Support, den öffentlichen Schnellcheck, die eigene Demo, Protokolle und Sicherungskopien ist Answely selbst Verantwortlicher.
• Abschnitte 6 bis 8 gelten für beide Hälften: Aufbewahrung, automatisierte Entscheidungen und die allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
• Abschnitt 10 nennt die Lücken, deren Bestehen belegt ist. Ein Verzeichnis ist ein Arbeitsmittel, keine Bescheinigung.

Die Trennung ist im Code umgesetzt und hat technische Folgen: Kunden (Konto-App) und Besucher (Antwort-Dienst) liegen in zwei getrennten Datenbanken (answely_konto bzw. answely), die Antwortbox setzt keine Cookies und vergibt keine Besucherkennung, und Daten von Besuchern gelangen nie zu Stripe oder in die Abrechnung.

3. Teil A – Art. 30 Abs. 2: Verarbeitungen im Auftrag der Kunden

A.0 Beteiligte

Feld	Eintrag
Auftragsverarbeiter	LW IT Solutions Company Lukas Wójcik, Anschrift wie oben, support@answely.com
Verantwortliche	Die Kunden, die auf ihrer Website das Skript answely.js einbinden oder Inhalte über die Push-Schnittstelle, das WordPress-Plugin oder den MCP-Zugang bereitstellen. Jeder Verantwortliche ist im System über seinen Arbeitsbereich (Workspace) und die Schlüssel seiner Websites gekennzeichnet; Kontaktdaten liegen in der Konto-App.
Liste der Verantwortlichen	Wird im System geführt und hier nicht abgeschrieben: Eigentümer je Arbeitsbereich mit Firma, Anschrift und Domains stehen in der Konto-App. Einen eigenen Abruf dieser Liste gibt es im Administrationsbereich nicht (Abschnitt 10, L11).
Kunden von reactive.chat	Für Sites aus reactive.chat (Mandant rc:) ist Verantwortlicher der jeweilige reactive.chat-Kunde; die Verarbeitung erfolgt im Rahmen der reactive.chat-Verträge desselben Rechtsträgers (A.20). Datenschutzerklärung und AVV von reactive.chat nennen diese Antworten („Smart Answer“) ausdrücklich als Dienst von Answely.
Vertreter	Entfällt (in Polen niedergelassen).
Datenschutzbeauftragter	Nicht benannt – Abschnitt 9.
Technische und organisatorische Maßnahmen	Abschnitt 8 und TOM. Sie gelten für jede Verarbeitung in Teil A und werden nicht je Tätigkeit wiederholt.
Weisungen	Die Einstellungen je Website in der Konto-App sind die dokumentierten Weisungen des Kunden: „Antwort-Cache erlauben“ an oder aus, Frageanalyse, Einwilligungsmodus, Erweiterungen, Ausschlusspfade. Für neue Websites ist „Antwort-Cache erlauben“ aus, alle Erweiterungen sind aus.

A.1 Beantwortung von Fragen in der Antwortbox

Feld	Eintrag
Zweck	Eine kurze, belegte Antwort auf die Frage eines Besuchers aus den öffentlichen Inhalten der Website des Kunden, mit Links zu den Quellen.
Betroffene	Besucher der Websites der Kunden, die eine Frage in die Suche oder Antwortbox eingeben.
Daten, die den Browser verlassen	Frage (höchstens 300 Zeichen), Sprache, Adresse der aktuellen und der verweisenden Seite jeweils ohne Parameter und Anker, bei Bereichen die Kennung des gewählten Bereichs, bei Folgefragen der bisherige Verlauf der laufenden Box (nur im Arbeitsspeicher des Browsers gehalten). Technisch unvermeidlich: die IP-Adresse des Browsers und der User-Agent im Verbindungsaufbau.
Was der Server damit tut	Die Frage wird mit dem Index der Website abgeglichen (Einbettung mit einem eigenen, ebenfalls selbst gehosteten Einbettungsmodell und Volltextsuche). Ist ein Beleg stark genug, formuliert ein Sprachmodell daraus eine Antwort – unsere eigene KI, selbst gehostet auf zwei eigenen Rechnern, die sich bei Auslastung oder Ausfall vertreten; sonst kommt ohne Modellaufruf ein fester Text „keine belegte Antwort“. Die Antwort wird gestreamt.
Wo verarbeitet	Arbeitsspeicher des Antwort-Dienstes auf dem eigenen Server in Łódź. Für Einbettung und Antwort legt der Dienst einen Auftrag in seine Auftragsbörse im Arbeitsspeicher; ein Worker auf einem der eigenen KI-Server im internen Netz in Łódź holt ihn per signiertem Abruf (HMAC) über TLS ab, rechnet und liefert das Ergebnis zurück. Der Server ruft die KI-Server nie selbst an.
Gespeichert	Bei „Antwort-Cache erlauben“ aus (Vorgabe neuer Websites): Frage und Antwort werden nicht gespeichert. Sie erscheinen in keinem Protokoll des Antwort-Dienstes, des Indexers, des Workers oder des Webservers. Bei „Antwort-Cache erlauben“ an: siehe A.2 und A.7.
Empfänger	Keine Dritten. Die KI-Server sind eigene Hardware, keine Unterauftragsverarbeiter (Abschnitt 4).
Drittland	Keines.
Löschfrist	Keine Speicherung über die Dauer der Anfrage hinaus. Der Auftrag in der Börse verfällt, sobald er erledigt, abgebrochen oder nicht abgeholt ist.
KI-Kennzeichnung	Jede Antwort trägt einen nicht abschaltbaren Hinweis nach Art. 50 der KI-Verordnung; ab Plan Pro mit eigenem Wortlaut des Kunden.
Kein Training	Weder Seiteninhalte noch Fragen noch Antworten werden zum Training oder zur Feinabstimmung von Modellen verwendet; im Code gibt es dafür keinen Weg.
Einwilligungsmodus	Mit data-consent="required" sendet der Browser vor der Zustimmung des Besuchers keine einzige Anfrage an Answely; das Einwilligungsbanner von consented.eu und TCF-Banner werden erkannt. Ist der Einwilligungsmodus nur im Konto eingeschaltet und der Einbettungscode ohne das Attribut, ruft die Box zuerst ihre Einstellungen ab (bei „Antwort-Cache erlauben“ an auch in den sessionStorage) und sendet bis zur Zustimmung keine Frage. Ob der Kunde das verlangt, entscheidet er als Verantwortlicher.
Rechtsgrundlage (vom Verantwortlichen bestimmt)	Typischerweise Art. 6 Abs. 1 lit. f DSGVO (Beantwortung einer selbst gestellten Frage) oder Einwilligung; für den Zugriff auf das Endgerät (sessionStorage, A.5) die nationale Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie.

A.2 Antwort-Zwischenspeicher (nur mit „Antwort-Cache erlauben“)

Feld	Eintrag
Zweck	Eine wiederholte gleiche Frage nicht neu berechnen (Last, Antwortzeit).
Voraussetzung	Der Kunde hat „Antwort-Cache erlauben“ für die Website eingeschaltet.
Daten	Antworttext und Quellen; Schlüssel ist ein Hash aus Website, Bereich, Sprache und Frage – die Frage selbst steht nicht im Schlüssel.
Wo	Redis auf dem eigenen Server, eigener Zugangsnutzer und Präfix je Umgebung.
Löschfrist	Zwischenspeicher der Antworten: 24 Stunden; ändert sich der Index der Website (neue Indexversion), werden ältere Einträge nicht mehr verwendet und laufen mit dieser Frist ab
Empfänger, Drittland	Keine.
Nicht zwischengespeichert	Antworten aus geschützten Wissensbereichen (A.18), Antworten bei laufender Diagnose (A.19), MCP-Suchen (A.17), Schnellcheck (B.13).

A.3 Zähler ohne Inhalt

Feld	Eintrag
Zweck	Betrieb, Fehlersuche, Kontingent und Tageszahlen für den Kunden, ohne Inhalte zu speichern.
Daten	Zeitpunkt, gekürzte IP-Adresse (IPv4 ohne letztes Oktett, IPv6 auf /48), Kennung der Website, Länge der Frage, Ergebnis (Antwort, keine Antwort, Fehler), Dauer. Nie Frage, Antwort oder Seitenadresse.
Wo	Tabelle sa_zaehler in der Datenbank des Antwort-Dienstes.
Löschfrist	Zähler ohne Inhalt: 7 Tage, stündlicher Aufräumlauf im Antwort-Dienst
Kunde sieht	Nur Tageszahlen je Website, keine Einzelzeilen.
Empfänger, Drittland	Keine.

A.4 Missbrauchsschutz, Drossel und Überlastschutz

Feld	Eintrag
Zweck	Anfragen je Absender begrenzen, Angriffe abwehren, die eigene KI-Kapazität vor Überlast schützen.
Daten	Hash aus IP-Adresse und einem täglich wechselnden Zufallswert; die IP-Adresse selbst wird dafür nicht gespeichert.
Wo	Redis (ohne Redis nur im Arbeitsspeicher des Prozesses).
Löschfrist	Missbrauchsschutz-Hash: höchstens 2 Minuten. Zufallswert (Tagessalz): höchstens 2 Tage.
Grenzen	Drossel: höchstens 60 Abrufe je Minute und IP über alle öffentlichen Endpunkte. Unabhängig davon lässt der Dienst nur eine begrenzte Zahl gleichzeitiger Antworten zu (Vorgabe sechs insgesamt, drei je Website); darüber antwortet er mit HTTP 429; die Box zeigt dann den Hinweis, kurz zu warten, und nimmt erst nach der genannten Wartezeit (Retry-After, höchstens 300 Sekunden, nur im Arbeitsspeicher der Seite) wieder eine Frage an, die Suche des Kunden bleibt.
Empfänger, Drittland	Keine.

A.5 Speicher im Browser des Besuchers

Feld	Eintrag
Zweck	Die Einstellungen der Box nicht bei jedem Seitenaufruf neu laden und eine gerade gegebene Antwort beim Zurückblättern wieder zeigen – beides nur bei eingeschaltetem „Antwort-Cache erlauben“.
Daten	Nur bei „Antwort-Cache erlauben“: öffentliche Einstellungen der Box; nur bei Websites, die über reactive.chat angebunden sind, zusätzlich Antworten samt Quellen (der Schlüssel eines Antworteintrags enthält die gestellte Frage). Bei „Antwort-Cache erlauben“ aus (Vorgabe) und bei geschützten Wissensbereichen legt die Box nichts im Browser ab. Keine Cookies, keine Besucherkennung, keine Abrufe bei Dritten.
Wo	sessionStorage des Browsers – auf dem Endgerät des Besuchers, nicht bei Answely.
Löschfrist	Einstellungen der Box für 5 Minuten; Antworten (nur über reactive.chat) für 10 Minuten; spätestens mit dem Schließen des Tabs
Gesprächsverlauf	Nur im Arbeitsspeicher der geöffneten Seite; beim Neuladen oder Bereichswechsel weg.
Empfänger	Keine.

A.6 Monatszahlen je Website

Feld	Eintrag
Zweck	Kontingent und Abrechnung der Antworten je Monat, Warnung bei 80 % und bei 100 %.
Daten	Kennung der Website, Monat, Zahl der Antworten. Kein Personenbezug zu Besuchern.
Wo	Tabelle sa_kontingent.
Löschfrist	Monatszahlen je Website: 400 Tage nach der letzten Änderung; sofort mit der Website

A.7 Frageanalyse und Bewertung

Feld	Eintrag
Zweck	Dem Kunden zeigen, welche Fragen gestellt werden und welche ohne belegte Antwort bleiben, damit er seine Inhalte verbessern kann.
Voraussetzung	Ausdrückliches Opt-in des Kunden je Website, Plan ab Pro und eingeschaltetes „Antwort-Cache erlauben“. Vorgabe: aus.
Daten	Frage maskiert (E-Mail-Adressen auch in verschleierter Schreibweise, Telefonnummern, IBAN-ähnliche Ziffernfolgen, Links, Zahlen ab sechs Ziffern werden vor dem Speichern unkenntlich gemacht), Kalendertag ohne Uhrzeit, Sprache, Ergebnis, Adressen der zitierten Quellen, Dauer, eine zufällige Kennung der Antwort, ein Hash der vereinheitlichten maskierten Frage als Gruppierschlüssel und – freiwillig – die Bewertung „hilfreich“ oder „nicht hilfreich“. Für die Bewertung sendet der Browser nur eine zufällige Kennung der Antwort und die Wahl.
Nicht gespeichert	IP-Adresse, Kennungen des Browsers, Antworttext, Adresse der Seite, auf der gefragt wurde, Gesprächsverlauf.
Gruppierung	Nachts ab 02:00 UTC bildet der Indexer Gruppen ähnlicher Fragen. Dafür werden die maskierten Fragen auf eigenen KI-Servern eingebettet; die Vektoren leben nur im Arbeitsspeicher. Gespeichert werden Gruppen (ae_fragen_gruppen) und Zuordnungen (ae_fragen_zuordnung).
Kunde sieht	Nur Gruppen ab 2 Fragen; nie eine einzelne Frage.
Wo	Tabellen ae_fragen, ae_fragen_gruppen, ae_fragen_zuordnung.
Löschfrist	Einträge der Frageanalyse: 90 Tage ab dem Kalendertag, stündlicher Aufräumlauf; sofort mit der Website oder auf Knopfdruck des Kunden
Gruppen eines Laufs	werden ersetzt, sobald ein neuerer Lauf vorliegt, und fallen spätestens nach einer Woche weg.
Empfänger, Drittland	Keine; nur wenn der Kunde den Wissenslücken-Bericht einschaltet, gehen Gruppentexte per E-Mail in die USA (A.8).
Rechtsgrundlage (vom Verantwortlichen bestimmt)	Typischerweise Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der eigenen Inhalte); Textbaustein für die Datenschutzerklärung des Kunden: Textbaustein.

A.8 Wissenslücken-Bericht per E-Mail

Feld	Eintrag
Zweck	Monatlich die häufigsten offenen Fragen des Vormonats an den Kunden schicken.
Voraussetzung	Opt-in je Website im Reiter „Fragen“, nur mit laufender Frageanalyse (A.7). Abbestellbar über einen signierten Link in jeder Mail ohne Anmeldung.
Daten	Name oder Domain der Website, Monatssumme, je bis zu zehn Gruppen der Text der Gruppe (eine maskierte Frage als Vertreter), Anzahl und Quote. Nur Gruppen ab 2 Fragen. Im Kopf das Firmenlogo des Empfängers, abgerufen über einen signierten Link von answely.com.
Empfänger, Drittland	Eigentümer des Arbeitsbereichs, in seiner Sprache. Versand über den Postausgang (B.9) und den E-Mail-Anbieter Namecheap Private Email (Namecheap, Inc., USA) als Unterauftragsverarbeiter. Drittland: USA, Grundlage EU-Standardvertragsklauseln im Data Processing Addendum von Namecheap (Art. 46 Abs. 2 lit. c DSGVO).
Häufigkeit	Höchstens eine Mail je Website und Monat, Lauf am 1. bis 3. des Monats um 06:00 UTC; ein Monat ohne Fragen schickt nichts.
Löschfrist	Die Kopie im Postausgang: 30 Tage
Hinweis	Die maskierten Gruppentexte verlassen damit die Datenbank und liegen im Postfach des Kunden. Die Maskierung erfasst Namen und Beschreibungen in Worten nicht (DSFA, R2).

A.9 Index der öffentlichen Seiten des Kunden

Feld	Eintrag
Zweck	Die Grundlage, aus der Antworten entstehen.
Betroffene	Personen, die auf den öffentlichen Seiten des Kunden genannt sind (etwa Ansprechpartner, Autoren, Teammitglieder).
Voraussetzung	Domain-Nachweis des Kunden (Startseite, DNS-Eintrag oder Datei /.well-known/answely.txt). Schlägt er 14 Tage lang fehl, wird die Box abgeschaltet.
Abruf	Nur öffentlich erreichbare Seiten der bestätigten Hosts, nur per GET, ohne Cookies und Zugangsdaten, unter Beachtung von robots.txt, noindex, Ausschlusspfaden und data-answely-ignore; keine internen oder reservierten Netze, auch nicht nach einer Weiterleitung. Kennung des Abrufers: AnswelyBot.
PDF und OCR	PDFs werden lokal in Text umgewandelt. Enthält ein PDF keinen extrahierbaren Text und hat der Kunde OCR eingeschaltet, wird es lokal mit Poppler und Tesseract erkannt – in einem privaten temporären Ordner, der danach gelöscht wird, mit Zeit-, Seiten- und Ressourcengrenzen. Keine fremde OCR-Schnittstelle.
Daten	Adresse, Titel, Text, Abschnitte und daraus berechnete Vektoren (mit einem eigenen, ebenfalls selbst gehosteten Einbettungsmodell), Zeitpunkt des Abrufs, technische Merkmale (ETag, Prüfsumme), Quellenart (Abruf, Push).
Wo	Tabellen ae_dokumente, ae_abschnitte, ae_indexstand, ae_indexlauf; Vektoren zusätzlich als Zwischenspeicher im Arbeitsspeicher des Antwort-Dienstes.
Einbettung	Abschnitte werden auf eigenen KI-Servern eingebettet (Auftragsbörse wie in A.1).
Löschfrist	Seiten, die verschwinden oder auf noindex gehen, fallen beim nächsten Lauf heraus. Mit der Löschung der Website oder des Kontos wird der Index binnen 24 Stunden entfernt; eine Warteschlange (ae_loeschungen) holt nach und meldet nach zwölf Stunden einen Fehler. Kopien siehe A.11 und B.16.
Empfänger, Drittland	Keine.

A.10 Push-Schnittstelle und WordPress-Synchronisation

Feld	Eintrag
Zweck	Inhalte ohne Abruf in den Index bringen oder entfernen (ab Plan Pro).
Daten	Vom Kunden gesendete Texte mit Adresse auf einem bestätigten Host, Titel, Löschaufträge.
Weg	Token je Website, gespeichert nur als SHA-256-Hash; Drossel je Website; Eingang in ae_push_eingang, Verarbeitung durch den Indexer, danach wie A.9.
WordPress-Plugin	Ausdrückliches Opt-in im Plugin; überträgt nur veröffentlichte, öffentliche Beiträge und Seiten, Änderungen, Permalinkwechsel und Rückzüge; keine Ausführung von Shortcodes; das Token steht nur in der wp-config.php der WordPress-Installation, nie in Optionen, Oberfläche oder Browser. Answely sieht die Inhalte und den technischen Abruf des WordPress-Servers, keine Besucher-IP.
Pflicht des Kunden	Er spielt nur Inhalte ein, die er öffentlich beantworten lassen darf, und keine besonderen Kategorien personenbezogener Daten (Nutzungsbedingungen und AVV; DSFA R6). Nicht-öffentliche Inhalte gehören ausschließlich in geschützte Wissensbereiche (A.18), sobald diese freigegeben sind.
Löschfrist	Eingang: gelöscht nach Verarbeitung, sonst mit der Website. Inhalte: wie A.9.

A.11 Indexfreigabe: Kandidat und vorheriger Index

Feld	Eintrag
Zweck	Einen neuen Index erst veröffentlichen, wenn er vollständig ist und die Antworttests (A.12) bestanden hat; einen Rückwechsel auf den vorherigen Stand ermöglichen.
Voraussetzung	Erweiterung „Indexfreigabe“ je Website eingeschaltet, mindestens eine positive Prüffrage.
Daten	Bis zu zwei weitere Kopien der öffentlichen Seiten, Abschnitte und Vektoren der Website: den Kandidaten und den vorherigen Stand. Sie liegen unter internen, aus dem Site-Schlüssel abgeleiteten Schlüsseln in denselben Tabellen wie A.9 und sind nicht öffentlich abfragbar.
Löschfrist	Kandidat: bis zum nächsten Lauf. Vorheriger Stand: bis zur nächsten erfolgreichen Freigabe oder bis zur Löschung der Website – keine eigene zeitliche Frist. Entfernte Seiten, noindex-Seiten und Push-Löschungen werden in beide Kopien weitergegeben und warten nicht auf Tests.
Freigabeberichte	Technischer Status in Redis ohne Frage- und Antworttexte, höchstens 30 Tage.
Empfänger, Drittland	Keine.

A.12 Antworttests

Feld	Eintrag
Zweck	Mit bis zu zehn Prüffragen des Kunden erkennen, ob ein neuer Index oder eine neue Einstellung Antworten verschlechtert.
Daten	Prüffragen mit erwarteten Stichwörtern, Quellen oder erwarteter Ablehnung (Teil der Konfiguration der Website und des Kontoexports). Bei einem Lauf entstehen echte Antworten im Arbeitsspeicher.
Bericht	Fallnummern, Prüfergebnisse, Laufzeiten, Indexversion und Prüfsummen, keine Frage- oder Antworttexte; aktueller Bericht und ein Vorgänger.
Löschfrist	Prüffragen bis zur Änderung oder Löschung der Website. Berichte höchstens 30 Tage ab dem letzten Lauf, sofort mit der Website.
Hinweis an Kunden	Öffentliche Testfälle ohne personenbezogene oder vertrauliche Angaben verwenden.

A.13 Bereiche, Rückfragen, Regelberater, Aktions- und Supportlinks

Feld	Eintrag
Zweck	Die Suche auf Produkt- oder Dokumentationsbereiche (bis zu zehn) begrenzen, mehrdeutige Fragen mit einer festen Rückfrage klären, mit vorgegebenen Auswahlfragen zu einer freigegebenen Empfehlung führen, nach einer belegten Antwort bis zu drei freigegebene Links zeigen, bei fehlender Antwort an den Support verweisen.
Daten	Konfiguration des Kunden (öffentlich). Beim Besucher: gewählter Bereich und Auswahl, nur im Arbeitsspeicher der Box und der laufenden Anfrage.
Kopierfunktion	Auf ausdrücklichen Klick kopiert der Browser Frage, Verlauf und Quellen in die Zwischenablage des Besuchers. Keine Übertragung an Answely oder an das Supportziel; Answely hängt nichts an Ziel-Adressen an.
Grenze	Bereiche sind keine Zugriffskontrolle für vertrauliche Inhalte. Rückfrage und Regelberater rufen kein Modell auf und belasten das Kontingent nicht.
Empfänger	Erst der Klick des Besuchers öffnet ein Ziel des Kunden; für die Verarbeitung dort ist dessen Betreiber zuständig.
Löschfrist	Keine Speicherung beim Besucher über die Seite hinaus.

A.14 Belegvorschau und Tiefensuche

Feld	Eintrag
Zweck	Die Abschnitte zeigen, auf denen eine Antwort beruht; auf ausdrücklichen Wunsch des Besuchers gründlicher suchen.
Daten	Öffentliche Indexinhalte und Abrufzeitpunkt. Tiefensuche: höchstens acht Auszüge, je 4 000 und zusammen 16 000 Zeichen, gleiche Website und gleicher Bereich, höchstens ein zusätzlicher Modellaufruf.
Gespeichert	Nichts Zusätzliches.

A.15 Erfolg und A/B-Vergleich

Feld	Eintrag
Zweck	Messen, ob Antworten weiterhelfen („gelöst“ oder „nicht gelöst“, angezeigte Antworten, vom Kunden gemeldete Ziele) und zwei Darstellungen vergleichen (A: Quellenlinks, B: Belegvorschau).
Voraussetzung	Opt-in des Kunden je Website; die Einwilligungsregeln der Box gelten auch für diese Meldungen, ein Widerruf verhindert weitere.
Daten	Ein signierter Beleg je Antwort mit zufälliger Antwortkennung, Vergleichsgruppe, Website, Ablaufzeit und Fingerabdruck der Konfiguration. Der Browser hält ihn nur im Arbeitsspeicher. Keine Fragen, Antworten, Seitenadressen, keine Besucherkennung, keine Cookies.
Wo	Redis: Kennungen zum Ausschluss doppelter Meldungen und tägliche Summen je Gruppe.
Löschfrist	Beleg gültig höchstens 24 Stunden. Redis-Einträge laufen nach 30 Tagen ab.
Kunde sieht	Nur Gruppensummen über die letzten 30 Kalendertage.

A.16 Live-API-Daten

Feld	Eintrag
Zweck	Einen aktuellen Wert (etwa Öffnungszeit, Lagerstand, Status) aus einer öffentlichen Schnittstelle des Kunden in die Antwort aufnehmen.
Daten im Abruf	Keine Besucherdaten: Answely ruft einen fest hinterlegten öffentlichen HTTPS-JSON-Endpunkt auf einem bestätigten Host ab – ohne Frage, ohne IP-Adresse oder Kennung des Besuchers, ohne Zugangsdaten und Parameter. Höchstens zwei Quellen, je Abruf höchstens zwei Sekunden und 64 KiB, nur öffentliche Zieladressen.
Empfänger	Der Betreiber des Endpunkts (in der Regel der Kunde selbst) sieht den technischen Abruf des Answely-Servers.
Gespeichert	Kein eigener Zwischenspeicher; Wert, Einheit, Quelle und Abrufzeit gehen nur in die laufende Antwort.

A.17 Öffentlicher MCP-Suchzugang

Feld	Eintrag
Zweck	KI-Clients (etwa Entwicklungsumgebungen) eine reine Textsuche in der öffentlichen Dokumentation des Kunden anbieten.
Voraussetzung	Ausdrücklich je bestätigter Website eingeschaltet; Vorgabe aus. Abgeschaltet, sobald geschützte Wissensbereiche aktiv sind.
Daten	Suchbegriff (höchstens 300 Zeichen) und optional ein Bereich; Antwort: höchstens fünf Auszüge aus dem öffentlichen Index. Keine KI-Berechnung, keine Schreibvorgänge.
Gespeichert	Nicht als Frageanalyse, nicht im Antwort-Zwischenspeicher. Für die Begrenzung gilt der Missbrauchsschutz aus A.4; das Webserver-Protokoll bleibt (B.1).
Empfänger	Wer den Zugang kennt; er ist öffentlich. Die Verarbeitung im KI-Client liegt in dessen Verantwortung.

A.18 Geschützte Wissensbereiche (vorbereitet, nicht freigegeben)

Feld	Eintrag
Stand	Im Code vorbereitet und geprüft; noch kein Identitätsanbieter angebunden, keine vertraulichen Kundendokumente aktiviert. Für eine spätere Freigabe vorgesehen.
Zweck	Antworten aus Dokumenten, die nur bestimmte Nutzergruppen des Kunden sehen dürfen.
Daten	Zugriffstoken der Host-Anwendung des Kunden (JWT RS256 nach RFC 9068) mit Kennung des Nutzers, Client, Token-Kennung und Gruppen.
Verarbeitung	Nur lokale Prüfung von Signatur, Zeit, Aussteller und Zielgruppe gegen fest hinterlegte öffentliche Schlüssel; kein Abruf von Schlüsseln oder Nutzerdaten bei Dritten. Die Inhalte des Tokens werden nicht gespeichert und nicht an das Sprachmodell gegeben; das Modell erhält nur die Frage und die erlaubten Abschnitte.
Kein Zwischenspeicher	Antworten aus geschützten Bereichen werden weder im Server noch im Browser zwischengespeichert.
Grenze	Ein geschützter Bestand lässt sich nicht wieder auf öffentlich umschalten; dafür ist eine neue Website vorgesehen. Die geschützten Dokumente selbst liegen im Index (A.9, A.11) mit denselben Fristen und ohne zusätzliche Verschlüsselung.

A.19 Werkzeuge des Kunden mit Kundeninhalten

Feld	Eintrag
Antwortdiagnose	Private Aufträge aus dem Konto zeigen Abruf, Auswahl, Belege und Ablehnungsgründe zu einer Frage des Kunden. Ergebnisse nur im Arbeitsspeicher des Antwort-Dienstes, höchstens zwei laufende und 32 vorgehaltene Aufträge, Abbruch nach 15 Minuten Laufzeit und Löschung 15 Minuten nach Abschluss; keine Datenbank-, Redis- oder Protokollablage; die Löschung der Website beendet laufende Aufträge.
Antwortvergleich	Aktiver und neuer Index oder zwei Konfigurationen werden mit echten Antworten verglichen; Inhalte wie bei der Diagnose nur im Arbeitsspeicher.
Agenturvorlagen	Freigegebene Gestaltungs- und Antwortfelder und das Suchglossar lassen sich auf andere Websites desselben Arbeitsbereichs übertragen; Vorschau höchstens 25 Minuten in der Sitzung der Konto-App, signierter Freigabebeleg zehn Minuten. Keine Übernahme von Rechten, Tokens oder Anschlüssen.
Dokumentations-Copilot	Aus einer Inhaltslücke entsteht ein Entwurf aus bis zu fünf vorhandenen Passagen samt Quellen; der Entwurf existiert nur in der Antwort und im Browser, ohne serverseitige Speicherung, und wird nie automatisch veröffentlicht.
Suchglossar, Gültigkeit und Priorität von Quellen	Konfiguration der Website; kein Personenbezug zu Besuchern.
Betroffene	Mittelbar Personen in den Inhalten des Kunden.

A.20 Sites aus reactive.chat (Motor reactivechat)

Feld	Eintrag
Zweck	Jeder Kunde von reactive.chat erhält Smart Answers (Answely) dazu; Antworten kommen aus der Wissensbasis von reactive.chat.
Daten	Frage, Besucheradresse (nur mit Proxy-Schlüssel des Chatservers) und die Besucherkennung des reactive.chat-Widgets für die Übergabe an den Chat. Bei „Antwort-Cache erlauben“ aus zusätzlich ein signierter Verlauf (Frage mit höchstens 300 Zeichen, Antwort, bis zu drei Quellen, Website, Besucherkennung), 24 Stunden gültig, nur im Arbeitsspeicher des Browsers.
Empfänger	reactive.chat, gleicher Rechtsträger, mit dessen eigener KI-Infrastruktur. Der Motor ist nur für diese Sites zugelassen, nie für Answely-Kunden.
Speicherung	Nach den Regeln von reactive.chat; der flüchtige Modus wirkt bis in den Chatserver, bis der Besucher im Chat eine Folgefrage absendet: Dann übernimmt reactive.chat Frage, Antwort und Quellen aus dem signierten Verlauf einmalig als Beginn des Gesprächs in den gespeicherten Chatverlauf; die Box weist vorher darauf hin. Hat der Besucher seine Daten bei reactive.chat gelöscht oder ist der Verlauf nicht mehr verwendbar, beginnt die Folgefrage ein neues Gespräch ohne diesen Verlauf. Ist „Antwort-Cache erlauben“ an, gibt es keinen signierten Verlauf: reactive.chat führt Suchfrage und Antwort bereits nach seinen Regeln als Gespräch, und die Folgefrage setzt es fort.
Rechtsgrundlage	Verträge zwischen reactive.chat und seinem Kunden; Datenschutzerklärung und AVV von reactive.chat nennen diese Verarbeitung ausdrücklich (Smart Answer).

4. Teil A – Empfänger, Unterauftragsverarbeiter und Drittlandübermittlungen

4.1 Infrastruktur: kein Hosting-Anbieter

Answely läuft auf eigener Hardware des Rechtsträgers in Łódź, Polen. Webserver (nginx als Weiche vor Apache mit PHP-FPM), Konto-App, Antwort-Dienst, Indexer, MariaDB und Redis laufen auf einem eigenen Server hinter einem eigenen Router; Answely verbindet sich zu Datenbank und Redis nur über die lokale Schleife; die Datenbanknutzer von Answely sind nur lokal zugelassen. Datenbankserver und Redis lauschen zusätzlich auf der Adresse des Servers im internen Netz, weil andere Dienste desselben Betreibers sie nutzen; die Firewall des Servers lässt dort nur einen der KI-Rechner zur Datenbank durch und niemanden zu Redis. Die Sprachmodelle sind unsere eigene KI, die wir selbst auf eigener Hardware betreiben (selbst gehostet), und laufen auf zwei eigenen Servern im internen Netz in Łódź, mit einem verkleinerten Sprachmodell eines Dritten in fester Revision; ist einer ausgelastet oder fällt er aus, übernimmt der andere. Ein dritter eigener Rechner formuliert keine Antworten; er übernimmt Arbeiten im Hintergrund wie die Einbettungen bei Indexläufen und die nächtliche Gruppierung. Die Einbettung läuft mit einem eigenen, ebenfalls selbst gehosteten Einbettungsmodell auf eigenen Rechnern in diesem Netz. Die Server werden mit anderen eigenen Produkten des Betreibers geteilt; der Bildteil der Modellsoftware ist eingeschaltet, Answely sendet nur Text. Diese Rechner nehmen keine Verbindungen an: Worker auf ihnen holen Aufträge per signiertem Long-Poll ab und liefern Ergebnisse zurück. Ein Reranker ist derzeit abgeschaltet. Es gibt deshalb für den Betrieb keinen Hosting-Anbieter und keinen KI-Anbieter als Unterauftragsverarbeiter.

4.2 Unterauftragsverarbeiter, die Daten aus Teil A erhalten können

Unterauftragsverarbeiter	Zweck	Standort	Garantie	Daten aus Teil A
Google Ireland Ltd. (Google Cloud Storage)	Ausgelagerte, vor der Übertragung auf dem eigenen Server verschlüsselte Sicherungskopie aller Datenbanken und Webverzeichnisse des Servers	Bucket in europe-central2 (Warschau), Speicherklasse Standard, nicht öffentlich	Google Cloud Datenverarbeitungsbedingungen, die für das Cloud-Projekt (Firmenkonto) angenommen sind	Alles, was in den Datenbanken liegt: Index, Frageanalyse, Zähler, Monatszahlen, Push-Eingang, Konfiguration – nur als verschlüsselte Blöcke; Datei- und Verzeichnisnamen ebenfalls verschlüsselt; Schlüssel nur beim Betreiber
Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email)	Versand von Mails an Kunden, Empfang eingehender Mails an @answely.com	USA	Data Processing Addendum von Namecheap mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), angenommen am 01.08.2026	Vor allem der Wissenslücken-Bericht (A.8): maskierte Gruppentexte und Firmenlogo; daneben Mails mit Bezug zu einer Site und Supportmails, in die der Kunde selbst Inhalte einfügt

Stripe erhält nie Daten aus Teil A (siehe B.7).

4.3 Keine Unterauftragsverarbeiter – mit Begründung

• Eigene KI-Server: eigene Hardware desselben Rechtsträgers, kein Dritter.
• reactive.chat: gleicher Rechtsträger; nur für Sites aus reactive.chat (A.20).
• consented.eu: eigenes Produkt desselben Rechtsträgers; wird von der Antwortbox nur erkannt, nicht aufgerufen. Setzt ein Kunde consented.eu auf seiner eigenen Website ein, ist das sein Vertrag mit consented.eu; Answely liest dann nur das Signal im Browser und sendet nichts an consented.eu.
• Let's Encrypt: stellt TLS-Zertifikate aus und sieht nur Domainnamen.
• Namecheap als Registrar: Registrierung von answely.com und autoritatives DNS; nur Domaindaten des Betreibers. (Namecheap Private Email steht wegen der E-Mails in 4.2.)
• GeoIP: das Land wird aus einer lokalen Datenbankdatei bestimmt, kein Geodienst.
• Telegram: nur falls eingerichtet; ein internes Signal mit festem Text ohne personenbezogene Daten (etwa „eine Komponente antwortet nicht“).

4.4 Vorbereitet, nicht aktiv: EU-Ausweich-Anbieter für das Sprachmodell

Für Lastspitzen und Ausfälle ist ein Worker für Scaleway Generative APIs (Paris) technisch vorbereitet. Er ist nicht aktiv (Schalter eu_freigegeben steht auf falsch), es gibt keinen Zugang und keinen Vertrag. Einbettungen blieben auch dann auf dem eigenen Server. Der Antwort-Dienst startet nur mit KI-Endpunkten, die auf einer Freigabeliste von Endpunkten in der EU stehen. Ein weiterer KI-Anbieter wird nur eingesetzt, wenn er in der EU verarbeitet, einen Auftragsverarbeitungsvertrag mit den Zusagen „kein Training“ und „keine Speicherung über die Verarbeitung hinaus“ hat, in der Liste der Unterauftragsverarbeiter steht und die Kunden 30 Tage vorher informiert wurden, mit Widerspruchsrecht. Anbieter außerhalb der EU sind ausgeschlossen. Hinweis aus der Prüfung vom 09.10.2026: Die Datenschutzangaben von Scaleway sehen für Fehler- und Missbrauchsanalysen eine Speicherung vollständiger HTTP-Inhalte bis zu zwei Wochen vor; das erfüllt die Zusage „keine Speicherung über die Verarbeitung hinaus“ in der heutigen Form nicht und ist vor jeder Aktivierung vertraglich zu klären.

4.5 Vom Kunden selbst eingeschaltete Empfänger

• Live-API-Ziel (A.16): sieht den technischen Abruf des Answely-Servers, keine Besucherdaten.
• Aktions- und Supportziele (A.13): erhalten nur, was der Besucher nach seinem Klick dort selbst eingibt.
• KI-Clients am MCP-Zugang (A.17): erhalten Auszüge aus dem öffentlichen Index.
• Identitätsanbieter des Kunden (A.18): wird von Answely nicht angerufen.

4.6 Drittlandübermittlungen in Teil A

Eine: E-Mails an Kunden laufen über Namecheap Private Email (Namecheap, Inc., USA), Grundlage EU-Standardvertragsklauseln im Data Processing Addendum von Namecheap (Art. 46 Abs. 2 lit. c DSGVO). Daten aus Teil A sind dabei vor allem die maskierten Gruppentexte des Wissenslücken-Berichts (A.8), nur wenn der Kunde ihn einschaltet. Fragen und Antworten aus der Antwortbox (A.1 bis A.7) verlassen die EU sonst nicht; die KI-Verarbeitung läuft ausschließlich auf Servern in der EU. Die KI-Server stehen in Polen, die ausgelagerte Sicherungskopie liegt verschlüsselt in Warschau. Google Ireland Ltd. ist Tochter eines US-Konzerns; ein Zugriff von dort träfe nur verschlüsselte Blöcke, deren Schlüssel Google nicht hat.

5. Teil B – Art. 30 Abs. 1: Verarbeitungen in eigener Verantwortung

Verantwortlicher ist in allen Fällen LW IT Solutions Company Lukas Wójcik. Speicherort ist, wenn nicht anders angegeben, der eigene Server in Łódź; jede Datenbank liegt zusätzlich in den Sicherungskopien (B.16).

B.1 Zugriffsprotokoll des Webservers (answely.com, api, cdn)

Feld	Eintrag
Zweck	Betrieb, Fehlersuche, Sicherheit.
Betroffene	Besucher von answely.com, Kunden, Besucher der Kundenseiten (Abrufe von answely.js und der API), Abrufer des MCP-Zugangs.
Daten	Gekürzte IP-Adresse (IPv4 ohne letztes Oktett, IPv6 auf /48), Zeitpunkt, Methode, Pfad ohne Parameter, Protokoll, Status, Größe, Dauer, aufgerufener Host. Kein Browser, keine verweisende Seite, nie Frage oder Antwort. Die Fehlerprotokolle des Webservers enthalten keine Client-Adresse.
Löschfrist	Zugriffsprotokoll: 7 Tage (tägliche Drehung, älteres wird gelöscht)
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO.
Vorgeschaltete nginx-Weiche	Führt für Answely kein eigenes Zugriffsprotokoll (abgeschaltet); ihr Fehlerprotokoll nur für kritische Fehler, bisher leer (Stand der Entwicklungsumgebung 12.10.2026). Im Livebetrieb gilt dieselbe Einstellung.

B.2 Seitenstatistik der Anwendung

Feld	Eintrag
Zweck	Verbesserung und Absicherung des Angebots ohne Cookies und ohne Dienste Dritter.
Betroffene	Besucher von answely.com, angemeldete Kunden.
Daten	Gekürzte IP-Adresse (seit 07.10.2026; Altdaten einmal gekürzt), Land (vor dem Kürzen bestimmt), aufgerufene Adresse einschließlich etwaiger Parameter, vollständige verweisende Seite, Browserkennung (User-Agent) und daraus abgeleitet Browser, Gerät, Betriebssystem, Sprache, bei Angemeldeten die Kontonummer.
Wo	Tabelle access_logs der Konto-App.
Löschfrist	Seitenstatistik: 60 Tage, täglicher Aufräumlauf
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO.

B.3 Einwilligungsbanner auf answely.com

Feld	Eintrag
Zweck	Einwilligungen für nicht notwendige Dienste auf answely.com einholen und nachweisen.
Technik	Das Banner von consented.eu (eigenes Produkt desselben Rechtsträgers) wird nur geladen, wenn eine gültige Property-Kennung konfiguriert ist; der Lader steht vor jedem anderen Skript und kann Muster bis zur Einwilligung sperren.
Daten, Cookies, Frist	Cookie consented mit der Entscheidung im Browser, 12 Monate; kurz ein Probe-Cookie __ce_probe, sofort wieder gelöscht. Nachweis bei consented.eu: zufällige Kennung der Einwilligung, Auswahl, Fassung des Banners, Zeitpunkt, Hash der IP-Adresse, Sprache, Land und Region, Browserfamilie, Mobilgerät ja/nein, Domain, Hash der Seitenadresse, Zeit bis zur Entscheidung; gelöscht nach 36 Monaten. Im Livebetrieb ist die Property für answely.com bei consented.eu veröffentlicht, und das Banner wird ausgeliefert.
Cookies der Anwendung	bpid (Sitzung) und, nur bei „angemeldet bleiben“, bp_remember für höchstens 30 Tage.
Rechtsgrundlage	Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht) bzw. lit. f.

B.4 Kundenkonto, Arbeitsbereiche und Firmenlogo

Feld	Eintrag
Zweck	Vertrag: Registrierung, Verwaltung von Websites, Zusammenarbeit im Team.
Betroffene	Kunden (Unternehmen und Verbraucher), Mitglieder von Arbeitsbereichen, eingeladene Personen.
Daten	E-Mail-Adresse, Vor- und Nachname, Kundenart, Land, bei Unternehmen Firma und Anschrift, USt-IdNr., Passwort nur als Hash, Sprache, Tarif und geplanter Tarifwechsel, Einstellungen, Zwei-Faktor-Geheimnis (falls eingerichtet), Zeitpunkt und IP-Adresse (ungekürzt) der letzten Anmeldung, Ergebnis der VIES-Prüfung (B.8). Bis zur Bestätigung der E-Mail-Adresse das bei der Registrierung mitgegebene Ziel innerhalb von answely.com (etwa die Kasse eines gewählten Tarifs); es wird mit der Bestätigung oder nach Ablauf des Bestätigungslinks gelöscht. Arbeitsbereiche mit Mitgliedern und Rollen; Einladungen mit E-Mail-Adresse. Firmenlogo: neu kodiert, außerhalb des Anwendungsverzeichnisses gespeichert.
Wo	Tabellen users, workspaces, workspace_users, workspace_invites, sites der Konto-App; Logos im Datenverzeichnis außerhalb des Anwendungsbaums.
Empfänger	Mitglieder desselben Arbeitsbereichs; Stripe für die Abrechnung (B.7).
Löschfrist	Bis zur Löschung des Kontos, dann sofort; das Logo wird mit dem Konto oder beim Ersetzen gelöscht. Nicht angenommene Einladungen nach ihrem Ablauf; angenommene bleiben bis zur Löschung des Arbeitsbereichs (Abschnitt 6.5). Arbeitsbereiche mit weiteren Mitgliedern gehen bei der Löschung an ein anderes Mitglied über – vorrangig an den am längsten beteiligten Administrator des Arbeitsbereichs, sonst an das am längsten beteiligte Mitglied.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO.

B.5 Anmeldung, Sitzungen, Anmeldeversuche, Zwei-Faktor

Feld	Eintrag
Zweck	Sicherheit des Kontos, Anzeige und Beenden von Sitzungen.
Daten	Je Sitzung IP-Adresse (ungekürzt), Browser, Betriebssystem, Gerät, Zeitpunkte, Beendigung; Merker für „angemeldet bleiben“ (remember_tokens, nur als Hash); Anmeldeversuche mit IP-Adresse, eingegebener E-Mail-Adresse und Erfolg; eine erfolgreiche Anmeldung löscht die fehlgeschlagenen Anmeldeversuche derselben IP-Adresse. Registrierungsversuche mit IP-Adresse, ohne E-Mail-Adresse, in einem eigenen Fenster, das eine Anmeldung nicht aufhebt. Begrenzung von Anmelde- und Zwei-Faktor-Versuchen je Konto und je IP-Adresse (auth_attempt_buckets): nur HMAC-Schlüssel, Zählerstand und Ablaufzeit, keine E-Mail- oder IP-Adresse im Klartext.
Wo	login_sessions, remember_tokens, login_attempts, auth_attempt_buckets.
Löschfrist	Anmeldeversuche (auch Registrierungsversuche): 7 Tage. Begrenzungseinträge: nach Ablauf ihres Fensters (Vorgabe 15 Minuten). Abgelaufene Merker: täglich. Sitzungen: beendete 30 Tage nach dem Ende, nicht mehr genutzte 30 Tage nach der letzten Nutzung (Abschnitt 6.1), sonst bis zur Löschung des Kontos.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b und f DSGVO.

B.6 Zustimmungsnachweise, Bestätigung des sofortigen Beginns, Widerrufe

Feld	Eintrag
Zweck	Nachweis, welcher Fassung von Nutzungsbedingungen, Auftragsverarbeitungsvertrag, Datenschutzerklärung und Widerrufsbelehrung zugestimmt wurde; bei Verbrauchern Bestätigung des sofortigen Beginns, Vertragsschluss und Widerruf über die Widerrufsfunktion.
Daten	Dokument, Fassung, Anlass, Wortlaut, Zeitpunkt, IP-Adresse, Browser; beim Widerruf Zeitpunkt und Abo.
Wo	legal_consents, widerrufe.
Löschfrist	Solange das Konto besteht; nach der Löschung des Kontos, sobald der Nachweis älter als 4 Jahre ist, also spätestens 4 Jahre nach der Löschung des Kontos (täglicher Aufräumlauf).
Rechtsgrundlage	Art. 6 Abs. 1 lit. c und f DSGVO.

B.7 Abrechnung, Rechnungen und Zusatzpakete

Feld	Eintrag
Zweck	Vertrag und steuerliche Pflichten.
Daten	Stripe-Kundennummer, Tarif, Abrechnungszeitraum; je Rechnung Nummer, Art, Status, Beträge, Steuerstatus laut Stripe Tax, Reverse Charge, USt-IdNr. und Land wie auf der Rechnung, Links zur Rechnung bei Stripe; Zusatzpakete zu je 1 000 Antworten mit Status. Zahlungsdaten (Karte, Konto) gibt es nur bei Stripe.
Wo	rechnungen, ae_pakete, stripe_events (nur Ereigniskennung, Art, Status, Fehlertext).
Empfänger	Stripe Payments Europe, Ltd., Dublin – Zahlungen, Rechnungen, Stripe Tax, Kundenportal. Zahlungsarten Karte und SEPA-Lastschrift, gegebenenfalls BLIK und Przelewy24. Soweit gesetzlich vorgeschrieben, Rechnungen an Unternehmen in Polen: Nationales System für elektronische Rechnungen (KSeF) des Finanzministeriums (Ministerstwo Finansów), übermittelt über eine Erweiterung unseres Zahlungsdienstleisters oder von Hand.
Drittland	Stripe Payments Europe kann an Stripe, Inc. (USA) übermitteln: EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln. Nur Kundendaten, nie Besucherdaten.
Löschfrist	Rechnungen: 5 Jahre ab Ende des Kalenderjahres ihrer Entstehung (Art. 86 i. V. m. Art. 70 Ordynacja podatkowa), danach im täglichen Aufräumlauf gelöscht, auch bei bestehendem Konto; bei Kontolöschung wird die Verbindung zum Konto entfernt. Zahlungsereignisse von Stripe: nach 90 Tagen, außer noch in Verarbeitung befindlichen. Pakete: bis zur Kontolöschung; nie abgeschlossene Kassen gelten nach zwei Tagen als abgebrochen und werden nach 90 Tagen gelöscht.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b und c DSGVO.

B.8 Prüfung der USt-IdNr. über VIES

Feld	Eintrag
Zweck	Nachweis für steuerfreie Rechnungen im Reverse-Charge-Verfahren.
Daten	Land und Nummer, eigene USt-IdNr. als Anfragender; Ergebnis, Name und Anschrift laut VIES, Abfragenummer, Zeitpunkt (Spalten in users).
Empfänger	Europäische Kommission (VIES) – eigenständig verantwortlich, kein Auftragsverarbeiter.
Löschfrist	Solange das Konto besteht.
Rechtsgrundlage	Art. 6 Abs. 1 lit. c DSGVO.

B.9 Transaktions-E-Mails und Postausgang

Feld	Eintrag
Zweck	Bestätigung, Passwort zurücksetzen, Einladungen, Indexlauf, Kontingentwarnungen, Zahlungsausfall, Kündigung, Löschbestätigung, Wissenslücken-Bericht.
Daten	Empfängeradresse, Betreff, Inhalt (enthält Bestätigungs- und Rücksetz-Links mit gültigen Token).
Wo	Postausgang mail_outbox.
Empfänger	Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email), Auftragsverarbeiter. In der Entwicklung wird nur über einen lokalen Transport versendet.
Drittland	USA (Namecheap): EU-Standardvertragsklauseln im Data Processing Addendum von Namecheap (Art. 46 Abs. 2 lit. c DSGVO), angenommen am 01.08.2026.
Löschfrist	Postausgang: 30 Tage; bei Kontolöschung sofort alle Mails an diese Adresse
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO; Wissenslücken-Bericht im Auftrag des Kunden (A.8).

B.10 Prüfprotokoll und Fehlerprotokoll

Feld	Eintrag
Zweck	Nachvollziehbarkeit wichtiger Vorgänge, Sicherheit, Fehlersuche.
Daten	Prüfprotokoll: Aktion, Ziel, Details, IP-Adresse (ungekürzt), Land, Konto. Fehlerprotokoll: Meldung, Kontext, Konto.
Wo	audit_logs, error_logs.
Löschfrist	Prüfprotokoll: 365 Tage. Fehlerprotokoll: 90 Tage.
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO.

B.11 Supportanfragen

Feld	Eintrag
Zweck	Anfragen von Kunden und Interessenten beantworten, auch ohne Anmeldung.
Daten	E-Mail-Adresse, Anlass, Nachricht, IP-Adresse (ungekürzt), Land, Browser, Seite, auf der geschrieben wurde, Sprache, Status, Kontonummer falls angemeldet.
Wo	support_requests.
E-Mail	Anfragen per E-Mail an support@answely.com und Antworten per E-Mail laufen über Namecheap Private Email (Namecheap, Inc., USA; Standardvertragsklauseln, siehe B.9).
Signal	Telegram erhält nur den festen Text „neue Supportanfrage“, ohne Inhalt oder Adresse.
Support-KI	Im Code vorhanden: Auf Knopfdruck eines Menschen im Administrationsbereich kann eine Nachricht übersetzt oder ein Antwortentwurf erstellt werden, auf den eigenen KI-Servern; an das Modell gehen nur Nachrichtentext, Anlass und Seitenpfad, E-Mail-Adressen und Ziffernfolgen ab sechs Stellen geschwärzt; nichts geht ohne menschliche Prüfung hinaus; die Kopie (support_ki) fällt mit der Anfrage. In der Entwicklungsumgebung nicht eingeschaltet (kein Worker-Schlüssel gesetzt, Stand 12.10.2026), im Livebetrieb ebenfalls nicht.
Löschfrist	1095 Tage ab der letzten Antwort, ohne Antwort ab dem Eingang, im täglichen Aufräumlauf (einstellbar, Abschnitt 6.1); die KI-Entwürfe (support_ki) fallen mit der Anfrage. Auch nach einer Kontolöschung bleiben Anfragen bis zum Ablauf dieser Frist.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b und f DSGVO.

B.12 Websites, Domain-Nachweis und Kontingentwarnungen

Feld	Eintrag
Zweck	Verwaltung der Websites eines Kunden als Vertragsgegenstand.
Daten	Domain, weitere Hosts, Name, Gestaltung, Einstellungen, Erweiterungen, Nachweisstatus, Opt-ins.
Wo	sites der Konto-App und Konfiguration im Antwort-Dienst (sa_sites).
Nachweis	Täglich um 04:00 UTC nachgeprüft; schlägt er 14 Tage lang fehl, wird die Box abgeschaltet.
Warnungen	Kontingent bei 80 % und bei 100 %, stündlich geprüft, per Mail.
Löschfrist	Mit der Website oder dem Konto sofort; im Antwort-Dienst binnen 24 Stunden; der Nachweis der erledigten Löschung (ae_loeschungen: Site-Schlüssel, Arbeitsbereich, Zeitpunkte) bleibt danach noch einen Monat.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO.

B.13 Öffentlicher Website-Schnellcheck („Website prüfen“)

Feld	Eintrag
Zweck	Interessenten ohne Konto zeigen, wie gut ihre Website für Answely lesbar ist.
Betroffene	Nutzer des Formulars; Personen auf den abgerufenen öffentlichen Seiten.
Daten	Eingegebene HTTPS-Adresse, optional eine Beispielfrage; HMAC-Kennung aus der IP-Adresse für die Begrenzung. Abruf von höchstens drei öffentlichen HTML-Seiten, je vier Abschnitte, unter Beachtung von robots.txt und noindex, ohne Zugangsdaten, keine internen Netze.
Gespeichert	Nichts dauerhaft: die Stichprobe lebt nur im Arbeitsspeicher, keine Ablage als Index, Frageanalyse oder Zwischenspeicher. Das Ergebnis (geprüfte Adressen, Beispielantwort, Quellen) hält der Antwort-Dienst nach Abschluss höchstens 2 Minuten im Arbeitsspeicher, abrufbar nur mit einer HMAC-Kennung aus einem Zufallswert in der Sitzung (bpid) des Browsers, der die Prüfung gestartet hat. Begrenzungsdaten höchstens 2 Minuten (eine Prüfung je Absender und Minute, drei insgesamt je Minute). Zugriffsprotokoll und Seitenstatistik (B.1, B.2) bleiben.
Lücke	Keine offene. Der frühere feste Ersatzschlüssel für die HMAC-Kennung ist entfernt; fehlt das Anwendungsgeheimnis oder ist es kürzer als 16 Zeichen, lehnt die Konto-App den Schnellcheck ab (Stand 16.10.2026).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. lit. f.

B.14 Live-Demo auf der Entwicklerdokumentation

Feld	Eintrag
Zweck	Answely auf der eigenen Dokumentation (/docs) vorführen. Die Demo auf der Startseite ist eine Attrappe ohne Anfrage an den Antwort-Dienst.
Daten	Wie A.1, aber im eigenen Namen für die eigene Website.
Vorgabe	Demo-Website mit „Antwort-Cache erlauben“ aus und ohne Frageanalyse.
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO.

B.15 Datenexport und Kontolöschung

Feld	Eintrag
Zweck	Betroffenenrechte (Art. 15, 17, 20) in Selbstbedienung.
Export	Alle Daten des Kontos als JSON oder CSV, über eine weiße Liste von Tabellen und Feldern, einschließlich Websites, Konfiguration, Prüffragen und Frageanalyse; die Zahl der Exporte je Stunde ist begrenzt.
Löschung	Sofort: Konto, Sitzungen, Merker, Pakete, Mails an diese Adresse, Arbeitsbereiche ohne weitere Mitglieder samt Websites; Rechnungen verlieren die Verbindung zum Konto. Im Antwort-Dienst binnen 24 Stunden: Index samt Kopien, Frageanalyse, Monatszahlen, Push-Eingang, Berichte.
Bleibt	Zähler ohne Inhalt der Websites, die nicht vorzeitig gelöscht werden, sondern nach 7 Tagen ablaufen (A.3); Rechnungen, Zustimmungsnachweise und Widerrufe (B.6, B.7); Sicherungskopien bis zu ihrem Ablauf (B.16).

B.16 Datenbanksicherungen und ausgelagerte verschlüsselte Kopien

Feld	Eintrag
Zweck	Verfügbarkeit und Wiederherstellung nach Ausfall oder Fehler (Art. 32 Abs. 1 lit. c). Keine andere Verwendung.
Daten	Alle Datenbanken (Konto-App und Antwort-Dienst) und Dateien, also alles aus Teil A und Teil B einschließlich Firmenlogos.
Stufe 1 – auf dem Server	Nächtlich um 03:00 UTC ein geprüfter Abzug jeder Answely-Datenbank; sonntags eine Wiederherstellungsprobe in eine Wegwerf-Datenbank. Nicht verschlüsselt, auf demselben Server.
Frist Stufe 1	Datenbanksicherungen auf dem Server: 30 Tage, aufgeräumt erst nach einer guten neuen Sicherung
Stufe 2 – ausgelagert	Nächtlich eine Kopie aller Datenbanken des Servers und des gesamten Webverzeichnisses, vor der Übertragung verschlüsselt (rclone crypt, auch Datei- und Verzeichnisnamen), in einen nicht öffentlichen Bucket bei Google Cloud Storage in Warschau. Schlüssel nur beim Betreiber.
Frist Stufe 2	Ausgelagerte Kopien: Tageskopien 7 Tage, Wochenkopien 364 Tage.
Vorstufe der Auslagerung	Vor der Verschlüsselung entsteht nachts eine unverschlüsselte Tageskopie aus Abzügen aller Datenbanken des Servers und einer Dateikopie von /var/www samt Konfigurationsdateien auf einer lokalen USB-Platte am Server in Łódź; dort liegt sie höchstens 8 Tage und wird dann gelöscht.
Folge	Gelöschte Daten verschwinden aus dem laufenden System sofort beziehungsweise binnen 24 Stunden, aus den Kopien erst mit deren Ablauf. Bei einer Wiederherstellung werden zwischenzeitlich gelöschte Daten erneut gelöscht; die Konto-App gleicht dafür täglich Websites im Antwort-Dienst ab, die sie nicht mehr kennt. Für Konten und die Frageanalyse gibt es dafür kein eigenes technisches Verfahren; sie werden erneut gelöscht, soweit sie sich bestimmen lassen.
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO; für Daten aus Teil A im Rahmen des AVV (Art. 28 Abs. 3 lit. c, Art. 32).

B.17 Überwachung und Alarm

Feld	Eintrag
Zweck	Ausfälle erkennen.
Daten	Zustand der Komponenten, Antwortzeiten, Tagesstatus (system_status_logs, system_components); kein Inhalt, keine Besucherdaten.
Empfänger	Eintrag in den Urgent Logs des Administrationsbereichs, offen bis zum Abhaken; Telegram nur mit festem Text ohne Einzelheiten.
Löschfrist	Statuszeilen 400 Tage.
Grenzen	Eine offene Löschung, die nach 12 Stunden noch nicht ausgeführt ist, erzeugt nur einen Eintrag im Fehlerprotokoll des Betreibers, keinen aktiven Alarm. Ein Herzschlag an einen äußeren Dienst ist nicht eingerichtet; die Überwachung kann einen Totalausfall des Servers nicht selbst melden. Die Komponenten Website und Indexer sind in der Produktion eingeschaltet, in der Entwicklungsumgebung nicht.

B.18 Formularschutz formconfirmed (öffentliche Formulare von answely.com)

Feld	Eintrag
Zweck	Anmeldung, Registrierung, „Passwort vergessen?“, „Neues Passwort wählen“, Supportformular und Schnellcheck vor automatisierten Einsendungen schützen.
Technik	Eigenes Produkt von formexposed desselben Rechtsträgers auf demselben Server in Łódź. Das Skript von formconfirmed.com lädt nur auf Seiten mit einem dieser Formulare (Support: beim Öffnen), der Browser löst eine signierte Aufgabe (Rechennachweis); answely.com legt das Prüfzeichen mit IP-Adresse, Fallenfeld, E-Mail-Adresse (nur bei Registrierung, „Passwort vergessen?“ und Support), bei der Registrierung Vor- und Nachname (bei formconfirmed nur im Arbeitsspeicher) und beim Support dem Nachrichtentext zur Prüfung vor (cfg/formconfirmed_lib.php). Aufgabe an den Formularzweck gebunden (expected_purpose). Zeitgrenze 5 s; Ausfallregel vom 02.11.2026: nicht erreichbar, unklare Antwort oder nicht bestätigtes Prüfzeichen = ablehnen mit „erneut versuchen“, kein stilles Durchlassen; „markieren“ ist keine Freigabe.
Daten	Prüfzeichen (Aufgabe, Rechenergebnis, Zeitpunkte, Falle, Browser-Signale webdriver und echte Eingaben), IP-Adresse, Seitenadresse, Browserkennung, E-Mail-Adresse, Nachrichtentext; nie das Passwort.
Empfänger	Keiner außerhalb des Rechtsträgers. Abgelehnte oder markierte Einsendungen stehen ohne Prüfzeichen und IP-Adresse im Fehlerprotokoll (B.10).
Löschfrist	Bei formconfirmed: Hash des gekürzten Adressbereichs mit Tagesschlüssel am Prüfergebnis höchstens 1 Stunde, am verbrauchten Prüfzeichen etwa 11 Minuten, im Aufgabenzähler etwa 1 Stunde; Prüfergebnisse ohne Hash 30 Tage; Ergebnis zur E-Mail-Domain höchstens 7 Tage, die Adresse nie im Klartext; Text nur im Arbeitsspeicher (Sprachmodell auf eigenen KI-Rechnern in der EU, ohne Speicherung und Training); Fingerabdrücke der Kampagnenerkennung (Text, E-Mail-Adresse, Link-Domains; HMAC, nicht umkehrbar) 30 Tage, websiteübergreifend abgeglichen in eigener Verantwortung des Betreibers von formconfirmed (derselbe Rechtsträger, Art. 6 Abs. 1 lit. f DSGVO); Protokoll des Webservers von formconfirmed.com 14 Tage.
Belege und Zustandsangaben	Mengenlimit „Passwort vergessen?“ 3 je Stunde und 10 je Tag je Adresse (auth_attempt_buckets, HMAC, bis Fensterende). Beleg je Absendung (fc_handler_receipts: Hash aus Zweck, Sitzungsmerkmal, zufälliger Vorgangsnummer und E-Mail-Adresse, Zustand, Zeit) 7 Tage. Kennung der formconfirmed-Prüfung mit Zustand und Verknüpfung zur Mail (fc_ops_queue, fc_ops_mail) 30 Tage; an formconfirmed meldbar nur Kennung und Zustand, signiert (cfg/fc_ops_client.php, Melde-Lauf derzeit nur auf dev). Kennung der Prüfung zu Registrierung und Supportanfrage (fc_rueckmeldungen) 30 Tage; Rückmeldung an /v1/feedback nur mit Kennung und „Spam“/„kein Spam“: E-Mail bestätigt = kein Spam (automatisch), Anfrage beantwortet = kein Spam, Anfrage als Spam gelöscht = Spam (manuell).
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten, des Supportkanals und des Schnellchecks); im Browser technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb nicht über das Einwilligungsbanner.
Grenzen	Abgelehnt wird bei „sperren“. Bei „markieren“ fordert das Formular die zweite Stufe von formconfirmed an (Bestätigen-Knopf, neue, aufwendigere Aufgabe); angenommen wird nur, wenn die erneute Prüfung „zulassen“ ergibt, ein zweites „markieren“ wird abgelehnt. reCAPTCHA ist keine zweite Prüfung bei Verdacht; nur bei einer Störung von formconfirmed (nicht erreichbar, eigene Konfiguration, service_unavailable) lässt ein strenges Google reCAPTCHA v3 (Wert mindestens 0,7) beim nächsten Absenden zu – reCAPTCHA wird nur dann geladen (Datenschutzerklärung 3.8); dabei können auch Menschen abgewiesen werden, etwa über VPN oder Rechenzentrumsnetze. Im Administrationsbereich lässt sich auf „nur sperren“ umstellen.

6. Aufbewahrung – was die Aufräumläufe erfassen und was nicht

Fristen entstehen bei Answely auf vier Wegen: durch den täglichen Aufräumlauf der Konto-App, durch den stündlichen Aufräumlauf des Antwort-Dienstes, durch das Ablaufdatum von Einträgen in Redis oder im Arbeitsspeicher und durch die Löschung einer Website oder eines Kontos. Was keiner dieser Wege erfasst, bleibt – das steht in 6.5.

6.1 Täglicher Aufräumlauf der Konto-App (03:00 UTC)

Eine einzige Funktion enthält alle Fristen der Konto-App; ein Prüfstand weist jede Frist mit zurückdatierten Zeilen nach.

Tabelle	Inhalt	Frist
access_logs	Seitenstatistik	60 Tage, einstellbar
audit_logs	Prüfprotokoll	365 Tage, einstellbar
error_logs	Fehlerprotokoll	90 Tage, einstellbar
mail_outbox	Postausgang	30 Tage, einstellbar
login_attempts	Anmeldeversuche	7 Tage, fest
auth_attempt_buckets	Begrenzung von Anmelde- und Zwei-Faktor-Versuchen (pseudonymisiert)	Ende des Fensters, Vorgabe 15 Minuten
fc_handler_receipts, fc_ops_queue, fc_ops_mail	Belege und Zustandsangaben zum Formularschutz (B.18)	Belege 7 Tage (zusätzlich stündlich), Zustandsangaben 30 Tage
remember_tokens	Merker „angemeldet bleiben“	nach Ablauf
workspace_invites	nicht angenommene Einladungen	nach Ablauf
system_status_logs	Tagesstatus der Komponenten	400 Tage
legal_consents, widerrufe	Nachweise gelöschter Konten	spätestens 4 Jahre nach der Löschung
ae_pakete	abgebrochene Kassen	nach 90 Tagen
support_requests, support_ki	Supportanfragen samt KI-Entwürfen	1095 Tage ab der letzten Antwort (ohne Antwort ab Eingang), einstellbar
login_sessions	beendete oder nicht mehr genutzte Sitzungen	30 Tage nach dem Ende bzw. der letzten Nutzung
rechnungen	Rechnungen, auch bestehender Konten	5 Jahre ab Ende des Kalenderjahres ihrer Entstehung
stripe_events	Zahlungsereignisse von Stripe, außer noch in Verarbeitung befindlichen	nach 90 Tagen

Einstellbar heißt: Der Betreiber setzt den Wert im Administrationsbereich; die Rechtstexte zeigen automatisch den eingestellten Wert. Ein Wert unter eins schaltet die Löschung für diese Tabelle ab – das ist eine Bedienfalle, die bisher nur durch Sorgfalt abgesichert ist. Die Vorgabewerte im Code (Seitenstatistik 60, Prüfprotokoll 365, Fehlerprotokoll 90, Postausgang 30, Supportanfragen 1095, Sicherung 14) gelten, solange nichts eingestellt ist.

Im selben Statuslauf: die Löschwarteschlange für Websites (alle fünf Minuten, Fehler nach zwölf Stunden, erledigte Einträge einen Monat als Nachweis), der tägliche Abgleich verwaister Websites im Antwort-Dienst, die Nachprüfung der Domain-Nachweise und der Wissenslücken-Bericht.

6.2 Stündlicher Aufräumlauf des Antwort-Dienstes

Tabelle	Inhalt	Frist
sa_zaehler	Zähler ohne Inhalt	7 Tage
sa_kontingent	Monatszahlen je Website	400 Tage nach letzter Änderung
ae_fragen	Einträge der Frageanalyse	90 Tage ab Kalendertag
ae_fragen_gruppen, ae_fragen_zuordnung	Gruppen und Zuordnungen	nach einer Woche ohne neueren Lauf

6.3 Fristen durch Ablauf in Redis und im Arbeitsspeicher

Ort	Inhalt	Frist
Redis	Antwort-Zwischenspeicher (nur „Antwort-Cache erlauben“)	24 Stunden
Redis	Missbrauchsschutz-Hash	2 Minuten
Redis	Zufallswert der Drossel	2 Tage
Redis	Freigabeberichte der Indexfreigabe	30 Tage
Redis	Berichte der Antworttests	30 Tage
Redis	Erfolg und A/B: Kennungen und tägliche Summen	30 Tage
Redis	Indexer-Sperren und Warteschlange	bis zur Erledigung
Arbeitsspeicher	Auftragsbörse der KI-Worker	bis zur Erledigung oder Frist
Arbeitsspeicher	Diagnose und Antwortvergleich	15 Minuten nach Abschluss
Arbeitsspeicher	Schnellcheck-Stichprobe; Schnellcheck-Ergebnis	Ende der Prüfung; Ergebnis höchstens 2 Minuten nach Abschluss
Arbeitsspeicher	Vektoren der Frageanalyse-Gruppierung	Ende des Laufs
Browser	nur bei „Antwort-Cache erlauben“: Einstellungen der Box und Antworten	5 bzw. 10 Minuten

6.4 Löschung mit einer Website oder einem Konto

Die Löschung einer Website in der Konto-App ruft den Antwort-Dienst auf. Dort werden in einem Zug entfernt: Konfiguration, Monatszahlen, Frageanalyse mit Gruppen, Dokumente und Abschnitte aller drei Indexstände (aktiv, Kandidat, vorheriger), Indexläufe, Push-Eingang, Berichte der Antworttests und der Indexfreigabe; laufende Diagnosen werden beendet. Nimmt der Dienst die Löschung nicht sofort an, steht sie in der Warteschlange; Ziel ist die Löschung binnen 24 Stunden, ein Fehler wird nach zwölf Stunden gemeldet. Die Löschung eines Kontos löst dasselbe für jede Website seiner Arbeitsbereiche ohne weitere Mitglieder aus.

Nicht mit der Website gelöscht werden die Zähler ohne Inhalt (A.3); sie laufen mit dem stündlichen Aufräumlauf nach 7 Tagen ab.

6.5 Nicht erfasst – Daten ohne zeitliche Frist

Die folgenden Daten erfasst kein Aufräumlauf. Sie bleiben, bis das Konto oder die Website gelöscht wird, oder darüber hinaus.

Daten	Tabelle	Was tatsächlich geschieht	Bewertung
Angenommene Einladungen mit E-Mail-Adresse	workspace_invites	Kein Lauf; gelöscht nur mit dem Arbeitsbereich.	geringe Bedeutung, Frist ergänzen
Letzte Anmeldung mit voller IP-Adresse	users	Bei jeder Anmeldung überschrieben; bleibt bis zur Kontolöschung.	vertretbar, nur der letzte Wert
Nachweise lebender Konten	legal_consents, widerrufe	Bleiben, solange das Konto besteht.	gewollt
Ergebnis der VIES-Prüfung	users	Bleibt, solange das Konto besteht.	gewollt
Konfiguration und Prüffragen	sites, sa_sites	Bis zur Löschung der Website.	gewollt
Index und Kopien	ae_dokumente, ae_abschnitte, ae_indexstand, ae_indexlauf	Bis zur Löschung der Website; der vorherige Index bis zur nächsten Freigabe.	gewollt, aber ohne zeitliche Obergrenze (DSFA R13)
Inhalte der Rechtstexte, Blog, CMS	cms_pages, blog_posts, legal_versions	Unbefristet.	keine personenbezogenen Daten Dritter
Ausrollprotokoll	deploy_runs	Unbefristet.	nur Betreiber
Reste der Vorlage	objects, demo_rows	Von Answely nicht benutzt und leer (12.10.2026); objects fällt mit dem Arbeitsbereich.	keine Daten

6.6 Sicherungskopien – das lange Ende

Die Fristen in 6.1 bis 6.4 gelten für das laufende System. Jede Datenbank liegt zusätzlich in den Abzügen auf dem Server (30 Tage, unverschlüsselt), als unverschlüsselter Tagesabzug auf einer USB-Platte am Server (höchstens 8 Tage) und in den ausgelagerten, verschlüsselten Kopien in Warschau (Tageskopien 7 Tage, Wochenkopien 364 Tage). Daten, die im laufenden System gelöscht werden, leben dort weiter, bis die jeweilige Kopie abläuft – im ungünstigsten Fall knapp ein Jahr. Sie werden in dieser Zeit nicht verwendet und nicht gelesen; nur eine Wiederherstellung würde sie zurückholen, und dann sind zwischenzeitliche Löschungen zu wiederholen. Alle Löschzusagen in unseren Rechtstexten beziehen sich deshalb auf das laufende System; die Sicherungskopien sind ausdrücklich ausgenommen.

7. Automatisierte Entscheidungsfindung, Profiling und Bewertung

Answely trifft keine Entscheidungen im Sinne von Art. 22 DSGVO, weder gegenüber Besuchern noch gegenüber Kunden.

• Antworten: Die Box beantwortet Fragen; sie entscheidet nichts über den Besucher. Ob eine Antwort gezeigt wird, hängt allein von der Stärke des Belegs im Index ab, nicht von der Person.
• Keine Profile: keine Besucherkennung, keine Cookies, keine Verknüpfung über Seiten oder Tage. Die Frageanalyse gruppiert Fragen, nicht Personen. Erfolg und A/B vergleichen Gruppen von Antworten; die Vergleichsgruppe wird zufällig je Box zugeteilt und lebt nur im Arbeitsspeicher der Seite.
• Drossel und Überlast: Zu viele Anfragen von einer Adresse oder zu viel Last führen zu HTTP 429 – die Box bittet für einen Moment um Geduld und nimmt erst nach der Wartezeit wieder Fragen an, die Suche des Kunden bleibt. Das ist eine technische Begrenzung ohne Rechtswirkung.
• Formularschutz: formconfirmed bewertet einzelne Einsendungen an öffentlichen Formularen (B.18). Bei „sperren“ oder „markieren“ wird nur diese Einsendung abgelehnt; sie kann wiederholt oder per E-Mail an support@answely.com gerichtet werden. Das ist ein technischer Schutz ohne Rechtswirkung; ein Profil über Personen entsteht nicht, der Ruf gilt einem gekürzten Adressbereich unter einem Tages-Pseudonym.
• Domain-Nachweis und Kontingent: Schlägt der Nachweis 14 Tage lang fehl oder ist das Kontingent erschöpft, wird die Box der betroffenen Website abgeschaltet. Das betrifft den Vertrag mit dem Kunden; der Kunde wird vorher gewarnt und kann jederzeit eingreifen.
• Kennzeichnung: Jede Antwort ist als KI-generiert gekennzeichnet (Art. 50 KI-Verordnung). Einzelheiten: KI-Verordnung.

8. Technische und organisatorische Maßnahmen (Art. 32) – allgemeine Beschreibung

Die vollständige Beschreibung steht in den TOM. Zusammengefasst:

• Datenschutz durch Voreinstellung: „Antwort-Cache erlauben“ aus, Frageanalyse aus, alle Erweiterungen aus, MCP aus; keine Cookies und keine Besucherkennung im Skript; gekürzte IP-Adressen in Zählern, Webserver-Protokoll und Seitenstatistik.
• Keine Inhalte in Protokollen: Frage, Antwort, Kontext und Verlauf erscheinen in keinem Protokoll des Antwort-Dienstes, des Indexers, der KI-Worker oder des Webservers.
• KI ausschließlich in der EU: Der Antwort-Dienst startet nur mit KI-Endpunkten auf der Freigabeliste; heute ist das ausschließlich die eigene Auftragsbörse, aus der Worker auf den eigenen KI-Servern abholen.
• Worker-Prinzip: Die KI-Server nehmen keine Verbindungen an; jeder Abruf und jede Rückgabe ist mit HMAC signiert und läuft über TLS. Unangemeldete Worker werden abgewiesen.
• Zugang: Serverzugang per SSH, von außen nur mit Schlüssel, mit Kennwort nur aus privaten Netzen (seit 16.10.2026); Administrationsbereich mit Zwei-Faktor-Anmeldung; Admin-Schnittstelle des Antwort-Dienstes nur auf der lokalen Schleife mit Token, das zeitkonstant verglichen wird; Push-Token nur als Hash.
• Trennung: eigene Datenbanken für Konto-App und Antwort-Dienst, eigener Redis-Nutzer mit Präfix je Umgebung, Index je Website, Antworten nur aus dem Index der Website, auf der gefragt wird, CORS nur für nachgewiesene Hosts; Entwicklung und Produktion getrennt.
• Integrität der Antworten: Belegpflicht, Quellen sichtbar, Links nur https auf Hosts der Website, Ausgabe nur als Text, KI-Kennzeichnung gegen Ausblenden geschützt.
• Verfügbarkeit: nächtliche geprüfte Abzüge mit wöchentlicher Wiederherstellungsprobe, ausgelagerte verschlüsselte Kopie, Überwachung mit Alarm (ohne äußeren Herzschlag; offene Löschungen nur im Fehlerprotokoll, siehe B.17); fallen die KI-Rechner aus, verschwindet die Box und die Website des Kunden bleibt nutzbar.
• Löschung: Aufräumläufe nach Abschnitt 6, jede Frist durch einen Prüfstand mit vorgestellter Uhr belegt; ein weiterer Prüfstand gleicht die Zahlen der Rechtstexte mit dem Code ab.
• Organisation: Ein-Personen-Betrieb; Zugriff auf Produktivdaten hat nur der Inhaber. Verletzungen werden dokumentiert und Kunden spätestens 48 Stunden nach Kenntnis gemeldet.

8.1 Maßnahmen, die nachweislich NICHT bestehen

Ein Verzeichnis, das nur aufzählt, was vorhanden ist, verschweigt, was fehlt und deshalb noch geprüft werden müsste. Folgendes gibt es heute nicht:

• Keine Verschlüsselung im Ruhezustand auf dem eigenen Server: Datenbanken, Redis, Logos und die Abzüge auf dem Server liegen unverschlüsselt auf dem Datenträger. Unverschlüsselt ist auch die Tageskopie auf der USB-Platte am Server vor der Übertragung (Datenbank-Abzüge und Dateikopie von /var/www samt Konfigurationsdateien, also auch Zugangsdaten der Anwendungen; höchstens 8 Tage). Verschlüsselt ist nur die ausgelagerte Kopie.
• Kein TLS zwischen Anwendung und Datenbank oder Redis: beide laufen auf demselben Rechner über die lokale Schleife; das Risiko ist dadurch begrenzt, aber nicht null.
• Kein Rechenzentrum: Die Server werden im Eigenbetrieb in geschlossenen Räumlichkeiten in Łódź betrieben. Zutritt hat ausschließlich der Inhaber; der Raum ist abgeschlossen und videoüberwacht, weitere Personen haben keinen Zutritt.
• KI-Kapazität nur auf eigener Hardware an einem Ort: Die Antworten erzeugen zwei eigene KI-Server im selben Netz am selben Ort, geteilt mit anderen eigenen Produkten; eine Reserve mit einem anderen Sprachmodell gibt es nicht. Fallen beide aus, gibt es keine Antworten. Der EU-Ausweich-Anbieter ist vorbereitet, aber nicht aktiv. Ein Lasttest am 09.10.2026 mit 480 Anfragen je Minute über 300 Sekunden ist nicht bestanden (86,3 % der Anfragen abgewiesen, überwiegend HTTP 429).
• Kein Protokoll darüber, wer im Administrationsbereich welche Kundendaten angesehen hat; das Prüfprotokoll erfasst Änderungen, nicht Lesezugriffe.
• Keine zeitliche Obergrenze für den vorherigen Index bei der Indexfreigabe (A.11).
• Keine Benennung eines Datenschutzbeauftragten (Abschnitt 9).
• Keine geprüfte Maskierung von Namen und Beschreibungen in Worten in der Frageanalyse; maskiert werden nur Muster (A.7).
• Keine Zeilenzahlen aus dem Produktivbetrieb in diesem Verzeichnis (Abschnitt 1).

9. Datenschutzbeauftragter – Bewertung nach Art. 37 DSGVO

Ein Datenschutzbeauftragter ist nicht benannt. Art. 37 Abs. 1 bindet Verantwortliche und Auftragsverarbeiter gleichermaßen; die Frage ist also Answelys eigene.

Art. 37 Abs. 1	Prüfung	Ergebnis
lit. a	Behörde oder öffentliche Stelle	Nicht einschlägig; privates Einzelunternehmen.
lit. b	Kerntätigkeit erfordert umfangreiche regelmäßige und systematische Überwachung	Nicht erfüllt. Kerntätigkeit ist die Beantwortung von Fragen aus öffentlichen Inhalten. Es gibt keine Besucherkennung, keine Cookies, keine Verknüpfung von Anfragen über Seiten oder Tage und keine Profile. Die Frageanalyse ist ein Opt-in und speichert keine IP-Adresse und keine Kennung.
lit. c	Kerntätigkeit ist umfangreiche Verarbeitung besonderer Kategorien (Art. 9, 10)	Nicht erfüllt. Besondere Kategorien werden nicht gezielt verarbeitet; sie können zufällig im Freitext einer Frage stehen (DSFA R1), werden im Vorgabemodus aber nicht gespeichert.

Ergebnis: Nach heutigem Stand besteht keine gesetzliche Pflicht zur Benennung. Diese Bewertung ist neu zu treffen, wenn Answely geschützte Wissensbereiche freigibt, Kunden aus dem Gesundheits- oder Rechtsbereich mit Frageanalyse aufnimmt oder die Zahl der Besucher stark wächst; im Übrigen wird sie mindestens jährlich überprüft. Eine weitergehende Pflicht nach polnischem Recht (Art. 37 Abs. 4) besteht nach unserer Einschätzung nicht: Das polnische Datenschutzgesetz vom 10. Mai 2018 bestimmt nur, welche öffentlichen Stellen unter Art. 37 Abs. 1 lit. a fallen. Externer Datenschutzrat wurde nicht eingeholt. Die Freigabe dieser Bewertung ist in der Datenschutz-Folgenabschätzung, Abschnitt 10.2, vermerkt.

10. Bekannte Lücken

Nr.	Lücke	Wirkung	Nächster Schritt
L1	Supportanfragen ohne Löschfrist, mit voller IP-Adresse	erledigt 16.10.2026: Löschung 1095 Tage nach der letzten Antwort samt KI-Entwürfen (6.1)	eingestellten Wert im Livebetrieb prüfen
L2	Sitzungen ohne Löschfrist, mit voller IP-Adresse	erledigt 16.10.2026: beendete und nicht mehr genutzte Sitzungen werden 30 Tage nach dem Ende bzw. der letzten Nutzung gelöscht (6.1)	–
L3	Rechnungen werden nach Ablauf der Aufbewahrungspflicht nicht gelöscht	erledigt 16.10.2026: Löschung 5 Jahre nach Ende des Kalenderjahres ihrer Entstehung, auch bei bestehendem Konto (6.1)	–
L4	Gelöschte Daten bleiben in verschlüsselten Wochenkopien bis zu 364 Tage	lange Restlaufzeit	in allen Rechtstexten offenlegen; Verfahren nach Wiederherstellung
L5	Abzüge auf dem Server und Tageskopie auf der USB-Platte (samt Dateikopie und Konfigurationsdateien) unverschlüsselt; keine Verschlüsselung im Ruhezustand	Diebstahl des Datenträgers legt alles offen	Datenträgerverschlüsselung prüfen
L6	Kontaktadresse für Datenschutz	erledigt 11.10.2026, geändert 18.10.2026: support@answely.com	in alle Rechtstexte übernommen
L7	E-Mail-Anbieter	erledigt 11.10.2026: Namecheap Private Email (USA), Data Processing Addendum mit Standardvertragsklauseln, angenommen am 01.08.2026	–
L8	Vertragsstand Google Cloud nicht dokumentiert	erledigt: Google Cloud Datenverarbeitungsbedingungen, die für das Cloud-Projekt angenommen sind (4.2)	–
L9	Protokollierung der nginx-Weiche	geprüft 12.10.2026: in der Entwicklungsumgebung kein Zugriffsprotokoll, Fehlerprotokoll nur kritisch	Einstellung für den Livebetrieb übernehmen
L10	HMAC-Kennung im Schnellcheck mit Ersatzschlüssel, falls das Geheimnis fehlt	erledigt 16.10.2026: Ersatzschlüssel entfernt, ohne Geheimnis lehnt die Konto-App den Schnellcheck ab	Geheimnis im Livebetrieb setzen
L11	Kein Abruf der Liste der Verantwortlichen	Art. 30 Abs. 2 lit. a nur mittelbar erfüllt	Exportknopf im Admin
L12	Einordnung der reactive.chat-Sites nicht abschließend geprüft	erledigt: Datenschutzerklärung und AVV von reactive.chat nennen Smart Answer als Dienst von Answely (Bedingung B6 der DSFA)	–
L13	Kapazität unter Spitzenlast nicht nachgewiesen	Box fällt bei Last aus	zusätzliche EU-Kapazität, erneuter Lasttest
L14	SSH-Anmeldung mit Kennwort zugelassen	erledigt 16.10.2026: von außen nur mit Schlüssel, mit Kennwort nur aus privaten Netzen	–
L15	Überwachung ohne äußeren Herzschlag; offene Löschung ohne aktiven Alarm	Ausfall oder hängende Löschung bleibt unbemerkt	Herzschlag einrichten, Alarm bei offener Löschung
L16	Datenbank und Redis lauschen auch im internen Netz	größere Angriffsfläche, nur durch die Firewall begrenzt	nur lokal binden, soweit andere Dienste es zulassen

11. Pflege dieses Verzeichnisses

• Verantwortlich für die Pflege ist Lukas Wójcik, Inhaber.
• Überprüfung mindestens jährlich und vor jeder Änderung an KI-Anbietern, Ausweich-Endpunkten, Speicherorten, Unterauftragsverarbeitern, neuen Erweiterungen oder Fristen.
• Jede neue Funktion, die Daten speichert oder an einen neuen Ort bringt, braucht vor der Freigabe einen Eintrag hier und eine Prüfung in der Datenschutz-Folgenabschätzung.
• Die Fristen, die auch in der Datenschutzerklärung stehen, prüft der Rechtstext-Prüfstand bei jeder Änderung gegen den Code.
• Datierte Fassungen werden in der Versionsverwaltung des Projekts aufbewahrt.

Verwandte Dokumente: Datenschutzerklärung, Auftragsverarbeitungsvertrag, TOM, Unterauftragsverarbeiter, Datenschutz-Folgenabschätzung, Auskunft und Löschung.

Version 1.6 – Stand 06.11.2026