Auftragsverarbeitung

1. Geltungsbereich

Laden Sie Dokumente mit personenbezogenen Daten hoch oder beobachten Sie Quellen, die solche enthalten, verarbeiten wir diese Daten in Ihrem Auftrag. Dieser Abschnitt ist der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und dem Datenschutzgesetz der VAE und Teil der Nutzungsbedingungen. Sie sind Verantwortlicher, wir sind Auftragsverarbeiter.

2. Unsere Pflichten

• Wir verarbeiten die Daten nur nach Ihren dokumentierten Weisungen, die sich aus dem Vertrag und Ihren Einstellungen im Dienst ergeben, es sei denn, das Gesetz verlangt etwas anderes; halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen.
• Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Wir treffen die unten genannten technischen und organisatorischen Maßnahmen und halten sie aktuell.
• Wir unterstützen Sie bei Anfragen betroffener Personen und bei Ihren Pflichten zu Sicherheit, Meldung von Datenpannen und Folgenabschätzungen, soweit die Art der Verarbeitung das zulässt.
• Eine Verletzung des Schutzes Ihrer Daten melden wir Ihnen unverzüglich, spätestens 72 Stunden nachdem wir davon erfahren.
• Bei Vertragsende löschen wir die Daten, soweit uns das Gesetz nicht zur Aufbewahrung verpflichtet. Bis dahin können Sie sie unter Einstellungen exportieren.
• Wir stellen Ihnen die Informationen zur Verfügung, die den Nachweis der Einhaltung ermöglichen. Weitere Prüfungen sind nach angemessener Ankündigung einmal jährlich auf Ihre Kosten möglich.

3. Technische und organisatorische Maßnahmen

• Mandantentrennung in der Datenbank (Row Level Security), bei jeder Abfrage geprüft.
• Passwörter als scrypt-Hashes, Sitzungen als gehashte Tokens.
• Verschlüsselte Verbindungen (TLS) zwischen Ihrem Browser und dem Dienst.
• Ausgehende Abrufe in private und interne Netze gesperrt.
• Dokumente außerhalb des öffentlichen Webverzeichnisses, ausgeliefert nur über Freigabelinks, die Sie steuern.
• Löschung entsprechend der Verlaufsdauer des Tarifs; Zugriff nur für die Personen, die den Dienst betreiben.

4. Unterauftragsverarbeiter

Resend (E-Mail), Anthropic (nur bei aktivierten KI-Zusammenfassungen), Railway (Hosting und Datenbank). Paddle handelt bei Zahlungen als eigener Verantwortlicher. Neue Unterauftragsverarbeiter kündigen wir 30 Tage vorher per E-Mail an; widersprechen Sie aus wichtigem Grund, können Sie vor der Änderung kündigen.

Stand: 16. Oktober 2026.