DSGVO-Konformität

Version 1.3 · Datum des Inkrafttretens: 9. Juli 2026 · Zuletzt aktualisiert: 9. Juli 2026

Übersetzung zu Informations- und Bequemlichkeitszwecken. Nur die englische Fassung dieses Dokuments ist rechtsverbindlich; bei Abweichungen, Unklarheiten oder Widersprüchen ist der englische Text maßgeblich.

Unsere Verpflichtungen

Grundsätze der Datenverarbeitung bei LiKE

Datenminimierung

Wir erheben nur die Daten, die für den Betrieb der Plattform erforderlich sind. Keine übermäßige Datenerhebung.

Zweckbindung

Die Daten werden ausschließlich für die in der Datenschutzerklärung und im DPA (für Geschäftskunden) festgelegten Zwecke verwendet. Kein Weiterverkauf, keine Sekundärnutzung.

Speicherbegrenzung

Daten werden nicht länger als erforderlich aufbewahrt. Die Löschung bei Vertragsbeendigung erfolgt gemäß den Bestimmungen des DPA.

Integrität und Vertraulichkeit

Verschlüsselung, Zugriffskontrolle, Audit-Protokollierung. Wir streben ein hohes Schutzniveau für Ihre Daten an.

Rollen und Verantwortlichkeiten

Wer wofür verantwortlich ist

Lynkora — Auftragsverarbeiter

Wir verarbeiten personenbezogene Daten im Auftrag Ihrer Organisation oder Ihrer selbst als individueller Nutzer, gemäß den Weisungen und Bestimmungen des Auftragsverarbeitungsvertrags.

Zu unseren Pflichten gehören:

✓ Gewährleistung der Datensicherheit

✓ Einhaltung unserer geltenden Auftragsverarbeiterpflichten nach der DSGVO (Art. 28)

✓ Unterstützung der Betroffenenrechte

✓ Protokollierung von Administratorhandlungen und interne Zugriffskontrollen

Ihre Organisation — Verantwortlicher

Sie bestimmen die Zwecke, Mittel und Methoden der Verarbeitung personenbezogener Daten innerhalb von LiKE. Wenn Sie LiKE als Privatperson nutzen (persönlicher Arbeitsbereich), gelten diese Rollen für Sie als Kunde; für Ihre Kontodaten handelt Lynkora als Verantwortlicher (siehe Datenschutzerklärung).

Zu Ihren Pflichten gehören:

✓ Festlegung der Verarbeitungszwecke

✓ Unterrichtung der betroffenen Personen

✓ Verwaltung der Einwilligungen

✓ Rechtmäßigkeit der Verarbeitung

Auftragsverarbeitungsvertrag (DPA) — ein Standard-DPA (einschließlich Standardvertragsklauseln, soweit anwendbar) wird vor dem kostenpflichtigen Business-Onboarding und der Enterprise-Nutzung verfügbar sein. DPA-Anfragen: [email protected].

Unterauftragsverarbeiter

Wir setzen geprüfte Unterauftragsverarbeiter ein (Cloud-Infrastruktur, KI-Anbieter, E-Mail-Zustellung, Web-Analyse — mit Ihrer Einwilligung). Die aktuelle Liste der Unterauftragsverarbeiter ist in der Datenschutzerklärung verfügbar und wird bei jeder Änderung aktualisiert, mit einer Vorankündigung von mindestens 30 Tagen, bevor ein neuer Unterauftragsverarbeiter hinzugefügt wird. Die Benachrichtigungsbedingungen zu Änderungen bei Unterauftragsverarbeitern sind im DPA festgelegt.

Betroffenenrechte

Unterstützung der Betroffenenrechte nach der DSGVO

Recht auf Auskunft (Artikel 15)

Betroffene Personen können sämtliche Informationen anfordern und erhalten, die wir über sie speichern.

Recht auf Berichtigung (Artikel 16)

Betroffene Personen können unrichtige oder unvollständige personenbezogene Daten berichtigen.

Recht auf Löschung (Artikel 17)

„Recht auf Vergessenwerden" — Löschung aller personenbezogenen Daten unter den gesetzlichen Voraussetzungen.

Recht auf Einschränkung (Artikel 18)

Aussetzung der Datenverarbeitung bis zur Beilegung einer Streitigkeit, ohne Löschung der Daten.

Recht auf Datenübertragbarkeit (Artikel 20)

Erhalt der Daten in einem strukturierten Format und Übertragung an einen anderen Dienst.

Widerspruchsrecht (Artikel 21)

Widerspruch gegen die Datenverarbeitung, einschließlich Marketing und Profiling.

Technische Sicherheitsmaßnahmen

DSGVO Artikel 32 — Verschlüsselung, Isolierung, Kontrollen

Verschlüsselung

Im Ruhezustand: verschlüsselte Backups; Hosting auf gesicherter OVHcloud-EU-Infrastruktur; Maßnahmen in den TOM beschrieben.

Bei der Übertragung: TLS 1.2+ für alle Übertragungen (TLS 1.3 für moderne Clients); die interne Verbindung Anwendung↔Datenbank verwendet TLS 1.3.

Mandantenisolierung (Tenant-Isolierung)

Logische Isolierung der Tenant-Daten auf Anwendungsebene: ein obligatorischer Arbeitsbereichs-Filter (Tenant) in jeder Datenabfrage, durch automatisierte Tests in der CI durchgesetzt.

Die Daten jedes Tenants sind auf Anwendungsebene logisch isoliert: obligatorische tenant-bezogene Filterung aller Abfragen, mit Tests zur tenant-übergreifenden Isolierung in der CI.

Zugriffskontrolle

RBAC (rollenbasierte Zugriffskontrolle) für granulare Berechtigungen.

Anmeldung mit E-Mail und Passwort oder mit Google (OAuth); SSO (OIDC) bei geeigneten Tarifen. Einmalige E-Mail-Codes zur Adressverifizierung und zum Zurücksetzen des Passworts.

Audit-Protokollierung

Wesentliche Handlungen mit Bezug zu personenbezogenen Daten werden mit Zeitstempel und Nutzerkennung aufgezeichnet.

Der Zugriff auf die Protokolle ist beschränkt; Audit-Protokolle können nicht über Anwendungsschnittstellen bearbeitet werden.

Datenexport

Integrierter Export in Markdown, HTML, PDF, DOCX und JSON zur Erleichterung des Rechts auf Datenübertragbarkeit.

Kopien der Konto- und personenbezogenen Daten werden auf Anfrage bereitgestellt.

Datenlöschung

Vollständige Löschung der Tenant-Daten bei Vertragsbeendigung oder auf Anfrage.

Einschließlich der automatischen Löschung der Backups nach Ablauf der Aufbewahrungsfrist.

KI-Suche und DSGVO

Wie wir Daten für KI-Funktionen verwenden

Grundsätze der Datenverarbeitung für KI

Verarbeitung nur im Tenant-Bereich: Die KI-Suche arbeitet ausschließlich mit den Daten Ihrer Organisation oder mit Ihren eigenen Daten, sofern Sie den Dienst als Privatperson nutzen. Es besteht kein Zugriff auf Daten anderer Kunden.

NICHT für das Modelltraining verwendet: Lynkora gestattet Drittanbietern von KI nicht, Kundendaten zum Training ihrer Modelle zu verwenden, außer soweit dies gegenüber dem Kunden gesondert offengelegt oder mit ihm vereinbart wurde; es gelten die Business-Datenverarbeitungsverträge der Anbieter (z. B. der OpenAI Business DPA). Einzelheiten finden Sie in den Ergänzenden KI-Bedingungen.

Einschränkung von KI-Funktionen: Administratoren können KI-Funktionen nach Rolle einschränken (granulare KI-Berechtigungen); die klassische Volltextsuche bleibt verfügbar.

Protokollierung von Abfragen: KI-Abfragen werden mit Metadaten (Nutzer, Zeitstempel, Abfragetyp) zu Prüfzwecken protokolliert; personenbezogene Daten in den Protokollen werden nach 90 Tagen anonymisiert.

Datenschutz-Folgenabschätzung (DSFA): Wir können Sie bei der Durchführung einer DSFA unterstützen, um die mit dem KI-Einsatz verbundenen Risiken zu bewerten. Verfügbar im Enterprise-Tarif.

Internationale Datenübermittlungen

DSGVO Kapitel V — Grenzüberschreitende Datenflüsse

Primäre Rechenzentren in der EU

Die zentralen Rechenressourcen befinden sich in der EU. Die Daten verbleiben standardmäßig innerhalb des EWR. Übermittlungen außerhalb des EWR erfolgen nur, wenn geeignete rechtliche Mechanismen vorliegen.

Standardvertragsklauseln (SCC)

Lynkora DOO Beograd ist in Serbien registriert (ein EU-Beitrittskandidat ohne DSGVO-Angemessenheitsbeschluss). Die Übermittlungen stützen sich auf die EU-SCC (Durchführungsbeschluss (EU) 2021/914): Modul 2 (Verantwortlicher → Auftragsverarbeiter) für Übermittlungen EU-Kunde → Lynkora; Modul 3 (Auftragsverarbeiter → Auftragsverarbeiter) für Weiterübermittlungen an US-Unterauftragsverarbeiter (OpenAI, Resend). Kundendaten werden physisch in der EU gespeichert (OVHcloud). Als serbische juristische Person hält Lynkora auch das serbische Gesetz zum Schutz personenbezogener Daten (ZZPL) ein.

EU-US Data Privacy Framework

Für in den USA ansässige Unterauftragsverarbeiter stützen wir uns vorrangig auf das EU-SCC-Modul 3. Das EU-US Data Privacy Framework (in Kraft seit Juli 2023, als Ersatz für den für ungültig erklärten Privacy Shield) gilt als ergänzender Mechanismus, sofern ein Unterauftragsverarbeiter nach dem DPF zertifiziert ist (z. B. Resend).

Meldung von Datenschutzverletzungen

DSGVO Artikel 33, 34 — Verfahren zur Reaktion auf Vorfälle

Erkennung von Vorfällen

Automatisierte Infrastrukturüberwachung und Schutz vor Missbrauch (Ratenbegrenzung, Erkennung anomaler Anfragemuster).

Benachrichtigung an Sie (unverzüglich)

Nach Bestätigung eines Vorfalls, der Ihre Daten betrifft, benachrichtigen wir Sie unverzüglich und geben die Art der Verletzung, die betroffenen Daten, die möglichen Folgen und die ergriffenen Maßnahmen an — damit Sie Ihre eigene 72-Stunden-Pflicht gegenüber der Aufsichtsbehörde erfüllen können.

Ihre Benachrichtigung an betroffene Personen (soweit erforderlich)

Als Verantwortlicher entscheiden Sie, ob betroffene Personen benachrichtigt werden müssen. Wir leisten Unterstützung und stellen Materialien bereit.

Untersuchung und Bericht

Eingehende Untersuchung, forensische Analyse, Ermittlung der Grundursache und Präventionsempfehlungen. Ein Bericht wird innerhalb einer angemessenen Frist nach Abschluss der Untersuchung bereitgestellt.

Benachrichtigung der Aufsichtsbehörde (falls erforderlich)

Erfordert der Vorfall eine Benachrichtigung der Aufsichtsbehörde (DPA), unterstützen wir bei der Erstellung der Dokumentation und der Analyse der bestehenden Pflichten.

Bereit für eine Partnerschaft?

Ein Standard-Auftragsverarbeitungsvertrag (einschließlich SCC, soweit anwendbar) wird vor dem kostenpflichtigen Business-Onboarding verfügbar sein. DPA-Anfragen: [email protected].

Kontakt zum Datenschutz

Kontakte für DSGVO-Anfragen

Datenschutz-Team

E-Mail: [email protected]

Reaktionszeit: an Werktagen, in der Regel innerhalb weniger Tage

Eingetragene Anschrift

Lynkora DOO Beograd

Kneza Miloša 15, 11000 Beograd Serbien

Verfahren für Anfragen: Sie können einen Antrag auf Auskunft, Löschung, Widerspruch oder jedes andere DSGVO-Recht unmittelbar an [email protected] richten. Wir bestätigen den Eingang Ihres Antrags und bearbeiten ihn innerhalb der in DSGVO Artikel 12 vorgesehenen Fristen.