Kevin Adametz
9961fbe8a1
OpenAI: Zero Data Retention derzeit nicht beantragbar; DSE-Entwurf nennt die Standardbehandlung der API (kein Training, bis zu 30 Tage Missbrauchserkennung) und mögliche Verarbeitung in den USA auf Basis von SCCs, keine EU-Datenresidenz. Alle Dienstleisterverträge bestehen seit vor dem Go-Live; die Belege sind Neuausfertigungen vom 13.10.2026. Hetzner Anlage 1 erweitert. Frage 5 um die Impressumsangabe nach § 18 Abs. 2 MStV ergänzt. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2.9 KiB
2.9 KiB
BN-06: Dienstleisterverträge und Übermittlungsgrundlagen
Stand: 13.10.2026 · Belege liegen als PDF/PNG in diesem Ordner (nicht im Repository, siehe .gitignore).
Abschluss: Alle Verträge wurden vor dem Go-Live am 20.07.2026 geschlossen (Betreiberangabe 13.10.2026). Die Belege sind Neuausfertigungen bzw. Downloads vom 13.10.2026; daher tragen alle dieses Datum.
| Dienst | Vertragspartner | Dokument | Fassung / Datum im Beleg | Übermittlung in Drittland | Anmerkung |
|---|---|---|---|---|---|
| Hosting, GlitchTip, Umami (Server) | Hetzner Online GmbH, Gunzenhausen | avv-hetzner.pdf, AV-Vertrag nach Art. 28 DSGVO, Kundennummer im Beleg |
Fassung 1.2 vom 16.02.2026; von Hetzner gezeichnet „Gunzenhausen, den 13.10.2026“ | keine; Verarbeitung nur in EU/EWR (§ 3), Unterauftragnehmer außerhalb der EU nur für Standorte USA/Singapur | Unterschriftsfeld des Auftraggebers leer (Online-Abschluss). Anlage 1 am 13.10.2026 im Konto erweitert: Personenstamm-, Kommunikations-, Vertragsstamm-, Protokoll- sowie Abrechnungs- und Zahlungsdaten. Betroffene laut Formular nur „Kunden und Interessenten des Auftraggebers“; weitere Gruppen bietet das Formular nicht an. |
| E-Mail (Versand, Rückläufer-Postfach) | ALL-INKL.COM – Neue Medien Münnich, Friedersdorf | avv-all-inkl.pdf, Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 |
Stand 25.08.2026; Datum im Beleg 13.10.2026; Kundennummer im Beleg | keine genannt | Unterauftragnehmer Neue Medien Münnich GmbH. |
| Turnstile | Cloudflare, Inc. | cloudflare-dpa.pdf (DPA als Teil der Nutzungsbedingungen, Annahme per Klick) |
ohne Datum im Beleg | USA: EU-US Data Privacy Framework, Status am 13.10.2026 „Active – Re-certification under Review“, nächste Rezertifizierung fällig 15.09.2027 (cloudflare-dpf-2026-10-13-1.png, -2.png); zusätzlich SCCs im DPA |
— |
| Textprüfung (KI) | OpenAI Ireland Ltd. (Kunde mit Sitz im EWR) | openai-dpa.pdf, OpenAI Data Processing Addendum, DocuSign |
Neuausfertigung, beidseitig unterzeichnet am 13.10.2026; Organisations-ID im Beleg | Weitergabe an OpenAI-Gesellschaften außerhalb des EWR auf Basis von SCCs oder Angemessenheitsbeschluss (Ziff. 4) | Feld „Title“ beim Kunden mit „Herr“ ausgefüllt statt Funktion. Keine Zero Data Retention: derzeit nicht beantragbar; openai-zdr.pdf ist der OpenAI-Artikel vom 19.08.2026 (Update 22.09.2026), der ZDR für neuere Modelle ankündigt. Keine EU-Datenresidenz (api.openai.com). |
| Zahlungen | Stripe | stripe-dpa.pdf, Data Processing Agreement als Teil des Stripe-Vertrags |
„Last updated: September 28, 2026“ | Regelungen im DPA | Stripe ist je nach Verarbeitung Auftragsverarbeiter oder selbst Verantwortlicher; die DSE beschreibt Stripe als eigenständig verantwortlich. |
Offen
- Wiedervorlage: ZDR bei OpenAI erneut prüfen, sobald beantragbar; dann DSE-Abschnitt zur Inhaltsprüfung anpassen.