Entwurf – juristische Prüfung ausstehend

Mit [PRÜFEN: …] markierte Stellen brauchen eine Geschäftsentscheidung oder eine rechtliche Prüfung. Der Entwurf beschreibt die Datenflüsse der Plattform nach dem technischen Stand vom Oktober 2026 (Entwicklungsumgebung). Vor dem Produktivstart ist er mit der tatsächlichen Produktionsumgebung abzugleichen. [PRÜFEN: Es gibt bisher nur eine Entwicklungsumgebung; Domain, Region und Anbieterkonfiguration der Produktion sind noch nicht festgelegt.]

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf der Plattform appvanced AI Studio („Plattform“, „Studio“) ist:

appvanced Jan Kronenberg Am Fuchsberg 2b
41468 Neuss
Deutschland
Telefon: +49 170 955 3 669
E-Mail: kontakt@appvanced.de

Datenschutzkontakt: kontakt@appvanced.de [PRÜFEN: eigene Datenschutz-Adresse einrichten (z. B. datenschutz@appvanced.de)?]
[PRÜFEN: Ein Datenschutzbeauftragter ist auf appvanced.de nicht genannt. Prüfen, ob eine Benennungspflicht besteht (Art. 37 DSGVO, § 38 BDSG – u. a. bei umfangreicher Verarbeitung im Kerngeschäft); falls ja, Kontaktdaten hier angeben.]

2. Überblick: In welcher Rolle wir Ihre Daten verarbeiten

• Als Verantwortlicher verarbeiten wir die Daten, die wir für Ihr Konto, die Anmeldung, die Verwaltung des KI-Budgets, die Sicherheit der Plattform und die Kommunikation mit Ihnen benötigen.
• Persönliche Arbeitsbereiche: Nutzen Sie als Privatperson Ihren persönlichen Arbeitsbereich, sind wir auch für die Verarbeitung Ihrer Projektinhalte Verantwortlicher. Nutzen Sie ihn beruflich oder gewerblich und bringen Sie dabei personenbezogene Daten Dritter ein, verarbeiten wir diese in Ihrem Auftrag (nächster Punkt). [PRÜFEN: Abgrenzung Verantwortlicher/Auftragsverarbeiter bei persönlichen Arbeitsbereichen.]
• Als Auftragsverarbeiter verarbeiten wir personenbezogene Daten, die Kunden in Team-Arbeitsbereichen in ihre Projekte einbringen (z. B. Namen oder Daten Dritter in Anforderungen, Code oder Testdaten), sowie die Daten der Endnutzer der Apps unserer Kunden, die in den von uns bereitgestellten Backends gespeichert werden. Verantwortlich ist dafür der jeweilige Kunde; es gilt der mit ihm geschlossene Auftragsverarbeitungsvertrag. [PRÜFEN: Auftragsverarbeitungsvertrag erstellen.]
• Partnerorganisationen, die Expertenhilfe leisten, handeln im Verhältnis zum Kunden; wir sind an diesem Verhältnis nicht beteiligt (Abschnitt 6.8).

3. Welche Daten wir verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage

3.1 Aufruf der Website und technische Protokolle

Wenn Sie die Plattform aufrufen, verarbeiten unsere Server und unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser- und Betriebssystemangaben sowie Fehlermeldungen.

• Zweck: Auslieferung der Plattform, Betriebssicherheit, Fehleranalyse, Abwehr von Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb); soweit Sie angemeldet sind, auch Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: Anwendungsprotokolle in der Regel 30 Tage. [PRÜFEN: Die Aufbewahrung des Cloud-Loggings ist nicht ausdrücklich konfiguriert; 30 Tage ist der Anbieter-Standard.]

3.2 Registrierung, Konto und Anmeldung

• Daten: E-Mail-Adresse, Name bzw. Anzeigename, Einladungscode (welcher Code wann von wem eingelöst wurde), Bestätigung des Mindestalters, Zeitpunkt und Fassung der angenommenen AGB und der zur Kenntnis genommenen Datenschutzerklärung, Mitgliedschaften und Rollen in Arbeitsbereichen und Projekten, Sprach-, Profil- und Benachrichtigungseinstellungen, Sitzungsdaten. Wenn Sie die Zwei-Faktor-Authentifizierung nutzen: das TOTP-Geheimnis und Wiederherstellungscodes (beim Authentifizierungsdienstleister gespeichert).
• Ablauf: Die Anmeldung erfolgt über einen Link, den Sie per E-Mail erhalten (Magic Link). Anmeldung, Sitzungsverwaltung und Zwei-Faktor-Authentifizierung wickelt ein spezialisierter Authentifizierungsdienstleister ab (Abschnitt 6.2). Er verarbeitet dafür Ihre E-Mail-Adresse, Ihre Mitgliedschaften und Sitzungsdaten und versendet die Anmelde-E-Mails.
• Persönlicher Arbeitsbereich: Mit der Registrierung legen wir automatisch Ihren persönlichen Arbeitsbereich an; er trägt Ihren Anzeigenamen.
• Zweck: Bereitstellung des Kontos, Zugangskontrolle, Nachweis der angenommenen Vertragsbedingungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für den Nachweis der angenommenen Fassung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Nachweis- und Verteidigungsinteresse).
• Pflicht: Die E-Mail-Adresse ist für die Nutzung erforderlich; ohne sie kann kein Konto angelegt werden.
• Mindestalter: Die Plattform richtet sich nicht an Kinder und Jugendliche. Nutzer müssen mindestens 18 Jahre alt sein. [PRÜFEN: Mindestalter (AGB § 3 Abs. 5).]
• Schutz vor Missbrauch der Registrierung (Friendly Captcha): Auf der Registrierungsseite setzen wir den Bot-Schutz Friendly Captcha der Friendly Captcha GmbH, Deutschland, ein (Abschnitt 6.6). Ihr Browser löst dabei eine Rechenaufgabe (Proof-of-Work); unser Server prüft das Ergebnis beim Anbieter. Dabei werden insbesondere Ihre IP-Adresse und technische Angaben zu Browser und Anfrage an Friendly Captcha übermittelt. Nach Angabe des Anbieters werden keine Cookies gesetzt und kein Tracking betrieben; die Verarbeitung findet in der EU statt. Ist die Prüfung nicht möglich, wird die Registrierung abgelehnt. Außerdem begrenzen wir Registrierungsversuche und können Wegwerf-E-Mail-Adressen ablehnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisierten Massenregistrierungen); für den Zugriff auf Ihr Endgerät § 25 Abs. 2 Nr. 2 TDDDG. Registrierungsversuche speichern wir [30] Tage. [PRÜFEN: Die Registrierung samt Friendly Captcha ist umgesetzt, aber noch nicht freigeschaltet; Anschrift des Anbieters, EU-Endpunkt, Speicherdauer beim Anbieter, AV-Vertrag und Einordnung nach § 25 TDDDG bestätigen.]

3.3 Arbeitsbereiche, Einladungen und Zusammenarbeit

• Daten: Name des Arbeitsbereichs, Art (persönlich/Team), Mitglieder mit Rolle, Einladungen (E-Mail-Adresse der eingeladenen Person, einladende Person, Rolle, Status), Zeitpunkte von Beitritt und Zugriffsende.
• Zweck: Zusammenarbeit im Arbeitsbereich, Rechteverwaltung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für eingeladene Personen, die noch kein Konto haben, Art. 6 Abs. 1 lit. f DSGVO (Interesse des Kunden, Personen zur Zusammenarbeit einzuladen).
• Hinweis: Andere Mitglieder eines Team-Arbeitsbereichs sehen Ihren Namen, Ihre E-Mail-Adresse und Ihre Rolle. Ein persönlicher Arbeitsbereich hat keine weiteren Mitglieder.

3.4 Projekte, Chat mit Maira und KI-Läufe

• Daten: alle Inhalte, die Sie oder Ihre Teammitglieder in ein Projekt einbringen oder dort erzeugen lassen: Chatverläufe mit der KI-Assistentin Maira, Anforderungen und Items, Konzepte, Pläne, Entscheidungen, Code, Dateien, Bilder, Laufprotokolle und -berichte, Projekteinstellungen (einschließlich vom Kunden hinterlegter Zugangsdaten für eigene Dienste, die verschlüsselt in einem Geheimnisspeicher liegen) sowie die Angabe, wer was wann ausgelöst oder entschieden hat.
• Verarbeitung durch KI: Um Antworten zu erzeugen und Läufe auszuführen, senden wir die jeweils benötigten Inhalte (z. B. Ihre Chatnachricht mit dem Gesprächsverlauf, relevante Projektinhalte, Quellcode) über unser KI-Gateway an Anbieter von Sprachmodellen (Abschnitt 6.3). Diese sitzen zum Teil außerhalb der EU (Abschnitt 7). Agenten führen Code in isolierten Ausführungsumgebungen auf unserer Infrastruktur aus.
• Datennutzung durch Modellanbieter: Wir können nicht ausschließen, dass Modellanbieter die übermittelten Inhalte zum Training ihrer Modelle oder für weitere eigene Zwecke nutzen. Ob und wie lange ein Anbieter Inhalte speichert, ob er sie zum Training oder für weitere Zwecke verwendet und wann er sie löscht, richtet sich nach den Bedingungen des jeweiligen Anbieters. Die eingesetzten Anbieter nennen wir in der Liste der Unterauftragsverarbeiter (Anhang A). [PRÜFEN: Bedingungen je Anbieter erheben und in der Liste verlinken; Vereinbarkeit mit Art. 28 Abs. 3 lit. a DSGVO prüfen, soweit wir als Auftragsverarbeiter handeln; ggf. Transparenzhinweis vor dem ersten Chat.]
• Zweck: Erbringung der vertraglich vereinbarten Leistungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit Daten Dritter in Team-Arbeitsbereichen betroffen sind, verarbeiten wir sie im Auftrag des Kunden (Art. 28 DSGVO).
• Hinweis: Bitte geben Sie in Chats und Projekten keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) und keine Daten Dritter ein, die für die App-Entwicklung nicht erforderlich sind. Verwenden Sie für Tests nach Möglichkeit erfundene Daten.

3.5 Inhaltsprüfung, Sicherheit und Missbrauchserkennung

• Inhaltsprüfung: Beim Start von Läufen, beim Einlesen von Repository-Inhalten und bei Eingaben prüfen wir Texte automatisiert auf Angriffe (z. B. Prompt-Injection, Jailbreak-Versuche), schädliche Links und versehentlich enthaltene Geheimnisse (Passwörter, Schlüssel). Dafür nutzen wir eigene Regeln, einen Prüfdienst unseres Cloud-Anbieters in der EU (Abschnitt 6.1) und ein Sprachmodell als Prüfer (Abschnitt 6.3; ohne EU-only ein Anbieter außerhalb der EU). Antworten der KI werden vor der Anzeige auf Geheimnisse und interne Angaben der Plattform gefiltert.
• Missbrauchserkennung: Wir überwachen in den Ausführungsumgebungen Rechenlast und Netzwerkverkehr (Zielhost, Port, Datenmenge, Entscheidung – keine Inhalte), um zweckfremde Nutzung wie Kryptomining, Angriffe oder Datenabfluss zu erkennen. Auffälligkeiten werden dem Arbeitsbereich, Nutzer und Lauf zugeordnet.
• Zweck: Schutz der Plattform, der Kunden und Dritter; Durchsetzung der AGB.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsabwehr); Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: Netzwerkprotokolle und Missbrauchsindikatoren 90 Tage; der Status einer Sperre so lange, wie sie besteht.

3.6 KI-Budget und Abrechnung

• Daten: Startguthaben je Arbeitsbereich; in Team-Arbeitsbereichen Budget und monatliches Ausgabenlimit je Nutzer; in persönlichen Arbeitsbereichen künftig der gebuchte Preisplan, sein Kontingent und dessen Verbrauch sowie Bestätigungen zum Widerrufsrecht; Kosten je KI-Aufruf (Modell, Token-Mengen, Kosten, Zeitpunkt, zugeordneter Nutzer, Projekt und Lauf), Reservierungen, Zuteilungen.
• Zweck: Zuteilung und Begrenzung der KI-Nutzung, Kostentransparenz, später Abrechnung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Abrechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB, § 147 AO.
• [PRÜFEN: Sobald kostenpflichtige Leistungen eingeführt werden: Zahlungsdienstleister, Rechnungsdaten und ggf. Bonitätsprüfung ergänzen.]

3.7 E-Mail-Benachrichtigungen

• Wir versenden Anmelde-E-Mails (über den Authentifizierungsdienstleister) sowie Benachrichtigungen zu Einladungen, Expertenhilfe und Kontovorgängen (über einen E-Mail-Versanddienstleister, Abschnitt 6.5). Benachrichtigungen enthalten keine Projektinhalte, sondern einen festen Text und einen Link in die Plattform. Die Empfängeradresse wird erst beim Versand ermittelt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; optionale Benachrichtigungen können Sie in Ihren Profileinstellungen abbestellen.
• Wir versenden keine Werbe-E-Mails oder Newsletter. [PRÜFEN: Falls künftig Newsletter geplant sind, Einwilligung und Double-Opt-in ergänzen.]

3.8 Code-Repositories (GitHub) und Zugang zu Ihrem Code

• Jedes Projekt erhält ein privates Studio-Repository in einer von uns verwalteten GitHub-Organisation. Prüf- und Build-Schritte laufen teilweise auf Servern von GitHub.
• Kunden-Repository: Sie können ein eigenes Repository über unsere GitHub-App mit dem Projekt verbinden. Dann übernehmen wir Änderungen aus dem gewählten Branch Ihres Repositorys in das Studio und übertragen Änderungen aus dem Studio als Pull Request in Ihr Repository. Über dieses Repository erhalten Sie Ihren Code (Abschnitt 9). Sie können die Verbindung jederzeit durch Deinstallation der GitHub-App beenden.
• Daten: Code und Commit-Daten (einschließlich Name und E-Mail-Adresse in Commit-Metadaten, soweit enthalten), Installations- und Repository-Kennungen, GitHub-Kontoname bei der Verbindung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.9 Vorschau der App

• Für die Vorschau mobiler Apps im Browser laden wir einen Build der App zu einem Dienstleister für Geräte-Emulation hoch (Abschnitt 6.6). Wenn Sie die Vorschau öffnen, lädt Ihr Browser Skripte und ein eingebettetes Fenster direkt von diesem Dienstleister; dabei werden Ihre IP-Adresse und Browserdaten an ihn übermittelt.
• Web-Vorschauen und Backends der Kunden-Apps laufen auf einer von uns selbst betriebenen Instanz in der EU.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.10 Expertenhilfe (nur Team-Arbeitsbereiche)

• Für Kunden: Fordert ein Administrator Expertenhilfe an, erstellt die Plattform eine Fallbeschreibung aus den Projektdaten und zeigt sie passenden, von uns zugelassenen Partnerorganisationen (bei einer offenen Ausschreibung eine Zusammenfassung ohne Namen des Kunden, Projekts oder Repository-Inhalte). Nur wenn der Administrator dies auswählt, erhält der gewählte Partner Name und E-Mail-Adresse der anfragenden Person. Bei Beauftragung lädt der Kunde eine Person des Partners als Experte in das Projekt ein; diese sieht dann die Projektinhalte im Umfang der Expertenrolle (keine Geheimnisse, keine Abrechnungs- und Mitgliederdaten, keine Maira-Chats des Kunden). Jeder Zugriff wird in einem für den Kunden einsehbaren Protokoll erfasst. Wir speichern Anfragen, Zustimmungen (einschließlich Fassung der Hinweistexte und Preis-Momentaufnahme), Angebote, Bewertungen und Entscheidungen.
• Für Partnerorganisationen: Wir verarbeiten die Bewerbungsangaben (Organisation, Rechtsträger, Ansprechpartner, Kompetenzen, Nachweise, Preise, Website, Sprachen), die Entscheidung über die Zulassung und die Annahme der Partner-Plattformbedingungen. Das veröffentlichte Profil (einschließlich Website und Bewertungen) ist für Kunden sichtbar.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit Kunde bzw. Partner); Weitergabe von Name und E-Mail der anfragenden Person: Art. 6 Abs. 1 lit. f DSGVO bzw. Entscheidung des Kunden. [PRÜFEN: Rechtsgrundlage für die optionale Weitergabe der Kontaktdaten (Einwilligung der Person selbst statt Entscheidung des Administrators?).]

3.11 Support und Plattform-Administration

• Mitarbeiter von appvanced mit Administrationsrechten sehen Arbeitsbereiche (persönliche und Team-Arbeitsbereiche) und Mitglieder nur maskiert (z. B. „j•••@firma.de“). Eine Klartextanzeige ist nur mit Begründung möglich und wird protokolliert. Auf Projektinhalte greifen wir nur im Rahmen eines Support-Zugriffs zu, den der Kunde im Einzelfall freigibt; er ist zeitlich begrenzt und für den Kunden protokolliert sichtbar. [PRÜFEN: Admin-Bereich und Support-Zugriff sind beschlossen, aber noch nicht gebaut.]
• Wir werten Nutzungsdaten nur je Arbeitsbereich und je Projekt ohne Namen und Inhalte aus.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Speicherdauer: Protokoll der Administrationsaktionen 3 Jahre ab Ende des Jahres des Eintrags (enthält nur Kennungen und Codes).

3.12 Betrieb, Qualitätssicherung und Verbesserung

• Wir protokollieren Aufrufe an Sprachmodelle (Eingabe, Ausgabe, Modell, Dauer, Kosten, Fehler) in einem selbst betriebenen Analysewerkzeug (Langfuse) und in unserem KI-Gateway, beide auf unserer Infrastruktur in der EU (Google Cloud, GKE). Die Übermittlung von Telemetriedaten durch Langfuse an den Hersteller ist abgeschaltet. Beide Protokolle werden nach 90 Tagen durch automatische Löschjobs gelöscht. Wir nutzen diese Protokolle, um Fehler zu finden, Kosten zu kontrollieren und die Qualität der Agenten zu verbessern. Sie können vollständige Eingaben und Ausgaben einschließlich Projektinhalten enthalten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehleranalyse); Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: 90 Tage, danach werden die Protokolle gelöscht.
• Kein Training durch uns: Wir trainieren keine KI-Modelle mit Ihren Inhalten. Die Auswertung der Protokolle zur Fehleranalyse und Verbesserung der Agenten ist kein Training von Modellen. Zur Datennutzung durch Modellanbieter siehe Abschnitt 3.4.

4. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und Einträge im lokalen Speicher Ihres Browsers. Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein, binden keine Social-Media-Plugins ein und laden Schriftarten von unseren eigenen Servern.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich), Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht erforderlich.

Bei der Anmeldung, bei der Registrierung (Bot-Schutz) und beim Öffnen der App-Vorschau stellt Ihr Browser Verbindungen zu den Diensten aus Abschnitt 6.2 und 6.6 her; diese können eigene technisch notwendige Cookies oder Speichereinträge setzen. [PRÜFEN: Cookies und Gerätedaten, die das Anmelde-SDK und das Vorschau-Skript des Drittanbieters selbst setzen bzw. erheben (Gerätefingerprint?); Einordnung nach § 25 TDDDG.]

5. Speicherdauer im Überblick

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen.

Bei Modellanbietern gelten deren eigene Speicherfristen (Abschnitt 3.4).

[PRÜFEN: Die automatische Löschung nach diesen Fristen ist teilweise beschlossen, aber technisch noch nicht aktiv (die Löschroutine der Datenbank läuft derzeit nur im Zählmodus; die endgültige Löschung von Organisationen und Nutzern ist noch nicht umgesetzt, AIS-1760). Vor dem Produktivstart aktivieren oder Text anpassen.]

6. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag nach Art. 28 DSGVO verarbeiten. Alle Dienstleister – einschließlich aller Anbieter von Sprachmodellen – nennen wir namentlich mit Zweck, Sitz, Verarbeitungsort und Übermittlungsgarantie in unserer Liste der Unterauftragsverarbeiter in Anhang A. Die folgenden Abschnitte fassen sie zusammen. [PRÜFEN: Liste veröffentlichen und pflegen; Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen bzw. nachweisen.]

6.1 Hosting und Infrastruktur – Google Cloud

Die Plattform (Webanwendung, Datenbank, Ausführungsumgebungen der Agenten, KI-Gateway, Geheimnisspeicher, Protokolle, Analysewerkzeug) läuft bei Google Cloud in der Region europe-west1 (Belgien). Der Prüfdienst für Inhalte und Geheimnisse (Model Armor, Sensitive Data Protection) läuft in europe-west4 (Niederlande). Anbieter: Google Cloud EMEA Limited, Irland; ein Zugriff durch die Google LLC, USA, ist nicht ausgeschlossen. [PRÜFEN: Vertragspartner und Cloud Data Processing Addendum bestätigen.]

6.2 Authentifizierung – Stytch

Anmeldung, Sitzungen und Zwei-Faktor-Authentifizierung: Stytch, Inc., USA. Verarbeitet werden E-Mail-Adresse, Name, Mitgliedschaften, Sitzungs- und Gerätedaten sowie TOTP-Daten. [PRÜFEN: Verarbeitungsort, DPF-Zertifizierung bzw. Standardvertragsklauseln, ggf. EU-Datenhaltung bei Stytch.]

6.3 Anbieter von KI-Sprachmodellen

Für Chat, Läufe und Inhaltsprüfung übermitteln wir die jeweils benötigten Inhalte (Eingaben, Gesprächsverlauf, Projektinhalte, Quellcode) über unser selbst betriebenes KI-Gateway an Anbieter von Sprachmodellen:

• Standard (ohne EU-only): Derzeit nutzen wir standardmäßig Modelle von MiniMax, Z.ai (Zhipu AI) und Moonshot AI (Sitz in der Volksrepublik China, Verarbeitung in China bzw. Singapur). Fällt ein Anbieter aus, kann die Plattform auf ein Ausweichmodell eines dieser Anbieter oder von Alibaba Cloud (Qwen, Singapur) umschalten.
• Wählbar: Je Projekt können außerdem Modelle von Anthropic (USA), OpenAI (USA), Google (Vertex AI, globale Verarbeitung), xAI (USA), Mistral AI (Frankreich, EU) und Alibaba Cloud (Singapur) ausgewählt werden.
• EU-only: Aktivieren Sie in den Projekteinstellungen „Routing nur in der EU“, verwenden wir für dieses Projekt ausschließlich Modelle, die Mistral AI über seinen EU-Endpunkt bereitstellt (Verarbeitung in der EU nach Angabe des Anbieters). Im EU-only-Modus gibt es keine Ausweichmodelle außerhalb der EU. EU-only ist nicht voreingestellt.

Zur Nutzung der Inhalte durch die Anbieter (Training, Aufbewahrung, Löschung) siehe Abschnitt 3.4; zu Drittlandübermittlungen Abschnitt 7. Die vollständige, aktuelle Aufstellung mit Modellen enthält die Liste der Unterauftragsverarbeiter. [PRÜFEN: Je Anbieter AV-Vertrag bzw. Datenverarbeitungsbedingungen, Vertragspartner (EU- oder Nicht-EU-Gesellschaft) und Verarbeitungsort bestätigen.]

6.4 GitHub

Code-Hosting der Studio-Repositories, Synchronisation mit Kunden-Repositories und Ausführung von Prüf- und Build-Schritten: GitHub, Inc., USA. [PRÜFEN: DPF-Zertifizierung/Standardvertragsklauseln; bei Kunden-Repositories ist der Kunde selbst Vertragspartner von GitHub.]

6.5 E-Mail-Versand – Brevo

Versand von Benachrichtigungen: Sendinblue SAS (Brevo), Frankreich. Verarbeitet werden E-Mail-Adresse und Versanddaten; die E-Mails enthalten keine Projektinhalte. [PRÜFEN: Verarbeitungsort (EU) und Unterauftragnehmer von Brevo bestätigen; AV-Vertrag.]

6.6 App-Vorschau – Appetize; Bot-Schutz – Friendly Captcha

• Emulation mobiler Geräte im Browser: Appetize.io, Inc., USA. Übermittelt werden der App-Build des Projekts sowie beim Öffnen der Vorschau IP-Adresse und Browserdaten der Nutzer. Die App wird mit dem Projekt gelöscht. [PRÜFEN: Firmenname und Anschrift, Verarbeitungsort, DPF/Standardvertragsklauseln, AV-Vertrag; Hinweis, dass Testdaten in der Vorschau-App beim Anbieter verarbeitet werden.]
• Bot-Schutz bei der Registrierung: Friendly Captcha GmbH, Deutschland (Abschnitt 3.2).

6.7 Selbst betriebene Dienste

Folgende Dienste betreiben wir selbst auf unserer Infrastruktur in der EU (Abschnitt 6.1); dabei findet keine Übermittlung an weitere Dritte statt: KI-Gateway (LiteLLM), Analysewerkzeug für KI-Aufrufe (Langfuse), Backends der Kunden-Apps, Ausführungsumgebungen der Agenten, Netzwerk-Proxy.

6.8 Partnerorganisationen (Expertenhilfe)

Im Rahmen der Expertenhilfe erhalten zugelassene Partnerorganisationen die in Abschnitt 3.10 beschriebenen Daten. Kunde und Partner schließen ihren Vertrag direkt miteinander; wir sind daran nicht beteiligt. Der Partner verarbeitet die Daten in eigener Verantwortung bzw. auf Grundlage einer Vereinbarung mit dem Kunden. Partner sind keine Unterauftragsverarbeiter von appvanced. [PRÜFEN: Rolle des Partners (eigener Verantwortlicher oder Auftragsverarbeiter des Kunden) und Rolle der Plattform bei der Übermittlung; dürfen Partner außerhalb der EU sitzen?]

6.9 Vom Kunden angebundene Dienste

Verbindet der Kunde eigene Dienste (z. B. sein GitHub-Konto bzw. Kunden-Repository oder – künftig – eigene MCP-Server), übermittelt die Plattform Daten auf Veranlassung des Kunden an diese Dienste. Für diese Übermittlung und den Ort der Verarbeitung ist der Kunde verantwortlich.

6.10 Sonstige Empfänger

Behörden, Gerichte und Berater (z. B. Steuerberater, Rechtsanwälte) erhalten Daten nur, soweit wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung oder Abwehr von Ansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

7. Übermittlung in Drittländer

Die Plattform verarbeitet Daten nicht ausschließlich in der EU. Ohne aktivierten EU-only-Modus werden Projektinhalte (Chatnachrichten, Projektinhalte, Quellcode) an Modellanbieter in Drittländern übermittelt, insbesondere in die USA, in die Volksrepublik China und nach Singapur. Weitere Dienstleister (Authentifizierung, Code-Hosting, App-Vorschau) sitzen in den USA.

• Absicherung: Übermittlungen in Drittländer sichern wir über die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) ab und bewerten sie in einer Transfer-Folgenabschätzung; wo erforderlich, ergänzen wir zusätzliche Maßnahmen. Für Empfänger in den USA, die nach dem EU-US Data Privacy Framework zertifiziert sind, stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Für China und Singapur besteht kein Angemessenheitsbeschluss.
• Risiko: In Drittländern kann ein dem EU-Recht gleichwertiges Datenschutzniveau nicht in jedem Fall sichergestellt werden; insbesondere können Behörden dort unter Umständen auf Daten zugreifen, ohne dass Ihnen gleichwertige Rechtsbehelfe zustehen.
• Ihre Wahl: Wenn Sie Übermittlungen von Projektinhalten an Modellanbieter außerhalb der EU vermeiden wollen, aktivieren Sie in den Projekteinstellungen „Routing nur in der EU“ (EU-only). Das gilt je Projekt; Dienstleister außerhalb der Modellanbieter (z. B. Authentifizierung, GitHub, App-Vorschau) bleiben davon unberührt.

Je Empfänger ist die Garantie in der Liste der Unterauftragsverarbeiter angegeben. Eine Kopie der Garantien können Sie unter den Kontaktdaten in Abschnitt 1 anfordern.

[PRÜFEN: Standardvertragsklauseln mit jedem Empfänger in Drittländern und die Transfer-Folgenabschätzungen (insbesondere für China und Singapur) müssen vor dem Produktivstart vorliegen. DPF-Zertifizierung je US-Empfänger prüfen. Für Kundeninhalte in Team-Arbeitsbereichen Übermittlung im Auftragsverarbeitungsvertrag regeln (Modul 3 der Standardvertragsklauseln).]

8. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatisierte Inhaltsprüfung und Missbrauchserkennung kann einzelne Eingaben ablehnen oder einzelne Läufe abbrechen; Sperrungen von Konten oder Arbeitsbereichen beschließt ein Mensch. Die Plattform schlägt Partner für die Expertenhilfe nach einer automatisierten Passung vor; die Auswahl trifft der Kunde. Der Bot-Schutz bei der Registrierung kann eine Registrierung ablehnen, wenn die Prüfung fehlschlägt. [PRÜFEN: Einordnung des automatischen Abbruchs von Läufen, der Markierung von Arbeitsbereichen bei Missbrauchsverdacht und der Ablehnung durch den Bot-Schutz.]

9. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) – Ihr Konto können Sie in den Einstellungen selbst löschen (Abschnitt 5),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20): Ihren Code erhalten Sie in einem gängigen, maschinenlesbaren Format, indem Sie ein eigenes Kunden-Repository verbinden (Abschnitt 3.8). Andere Daten, die Sie uns bereitgestellt haben (z. B. Kontodaten, Chatverläufe), stellen wir Ihnen auf Anfrage an die Kontaktdaten in Abschnitt 1 bereit. [PRÜFEN: Format und Weg für Daten außerhalb des Codes festlegen.]
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Wenden Sie sich dazu an kontakt@appvanced.de. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten (z. B. Inhalte in einem Team-Arbeitsbereich), leiten wir es an den Kunden weiter bzw. unterstützen ihn bei der Beantwortung.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: [zuständige Aufsichtsbehörde] [PRÜFEN: Auf appvanced.de nicht genannt. Bei Sitz in Neuss voraussichtlich die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW); bestätigen und Anschrift ergänzen.]

10. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, u. a. verschlüsselte Übertragung (TLS), Speicherung der Plattformdaten in der EU, Zugriffskontrollen nach Rollen, Verschlüsselung von Zugangsdaten in einem Geheimnisspeicher, isolierte Ausführungsumgebungen für Code, kurzlebige und auf einzelne Repositories beschränkte Zugangsschlüssel, Protokollierung administrativer Zugriffe und optionale Zwei-Faktor-Authentifizierung. [PRÜFEN: Verschlüsselung des Datenverkehrs zwischen den Knoten des Agenten-Clusters ist noch offen (AIS-1964).]

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung mit Versionsnummer finden Sie unter /legal/privacy, die aktuelle Liste der Unterauftragsverarbeiter in Anhang A. Über wesentliche Änderungen informieren wir Sie in der Plattform oder per E-Mail.

Anhang A: Liste der Unterauftragsverarbeiter

A.1 Zweck dieser Liste

Diese Liste nennt alle Dienstleister, die für appvanced Jan Kronenberg, Am Fuchsberg 2b, 41468 Neuss, Deutschland („appvanced“), beim Betrieb des appvanced AI Studio personenbezogene Daten verarbeiten. Sie gilt

• als Liste der Unterauftragsverarbeiter, soweit appvanced Daten im Auftrag von Kunden verarbeitet (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO), und
• als Liste der Auftragsverarbeiter und Empfänger, soweit appvanced selbst Verantwortlicher ist (Datenschutzerklärung Abschnitt 6).

Über Änderungen dieser Liste informieren wir Kunden mit Auftragsverarbeitungsvertrag vorab; sie können einer Änderung nach Maßgabe des Auftragsverarbeitungsvertrags widersprechen. [PRÜFEN: Frist und Verfahren der Vorabinformation festlegen, z. B. 30 Tage per E-Mail an die Inhaber von Team-Arbeitsbereichen.]

Abkürzungen: SCC = Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); TIA = Transfer-Folgenabschätzung; DPF = EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).

Wichtiger Hinweis zu Modellanbietern: Wir können nicht ausschließen, dass Modellanbieter die übermittelten Inhalte zum Training ihrer Modelle oder für weitere eigene Zwecke nutzen. Training, weitere Datennutzung, Aufbewahrung und Löschung richten sich nach den Bedingungen des jeweiligen Anbieters (Spalte „Bedingungen“). appvanced selbst trainiert keine Modelle mit Kundeninhalten.

[PRÜFEN: SCC und TIA müssen für jeden Empfänger in Drittländern vor dem Produktivstart vorliegen. DPF-Zertifizierung je US-Empfänger prüfen und Datum vermerken. Vertragspartner je Anbieter bestätigen (bei mehreren Anbietern gibt es eine EU- oder irische Vertragsgesellschaft).]

A.2 Infrastruktur und Plattformdienste

A.3 Anbieter von Sprachmodellen (über das KI-Gateway)

Alle Modellanbieter erhalten die für den jeweiligen Aufruf benötigten Inhalte: Eingaben und Gesprächsverlauf, Projektinhalte, Quellcode, ggf. Bilder; bei der Inhaltsprüfung den zu prüfenden Text. Welche Anbieter ein Projekt nutzt, hängt von der Einstellung ab:

• Standard = ohne EU-only voreingestellte Modelle der Agentenrollen;
• Ausweich = Ausweichmodell bei Ausfall eines Anbieters (nicht im EU-only-Modus);
• wählbar = je Projekt vom Kunden auswählbar;
• EU-only = einzige Anbieter, wenn im Projekt „Routing nur in der EU“ aktiviert ist.

[PRÜFEN: (1) Die Modellauswahl ändert sich häufig; Verfahren festlegen, wie diese Liste bei jeder Änderung des Gateway-Katalogs (infrastructure/modules/agent-runtime-k8s/litellm.tf) aktualisiert wird. (2) Für jeden Anbieter Datenverarbeitungsbedingungen, Training-Opt-out, Zero-Data-Retention und Aufbewahrungsfristen erheben und verlinken. (3) Ob Modellanbieter Auftragsverarbeiter (Art. 28 DSGVO) sein können, wenn sie Daten für eigene Zwecke nutzen dürfen; ggf. als eigene Verantwortliche einordnen und Rechtsgrundlage der Übermittlung klären.]

A.4 Keine Unterauftragsverarbeiter

Nicht in dieser Liste stehen:

• Selbst betriebene Dienste auf der Google-Cloud-Infrastruktur von appvanced in der EU: KI-Gateway (LiteLLM), Analysewerkzeug für KI-Aufrufe (Langfuse; Protokolle 90 Tage), Backends und Web-Vorschauen der Kunden-Apps, Ausführungsumgebungen der Agenten, Netzwerk-Proxy. Sie sind von Google Cloud (Abschnitt A.2) erfasst.
• Partnerorganisationen der Expertenhilfe: Sie handeln aufgrund eines eigenen Vertrags mit dem Kunden, nicht im Auftrag von appvanced.
• Vom Kunden angebundene Dienste (eigenes GitHub-Konto bzw. Kunden-Repository, künftig eigene MCP-Server): Die Übermittlung veranlasst der Kunde.