DSGVO-Konformität

Version 1.4 · Datum des Inkrafttretens: 1. Oktober 2026 · Zuletzt aktualisiert: 1. Oktober 2026

Übersetzung zu Informations- und Bequemlichkeitszwecken. Nur die englische Fassung dieses Dokuments ist rechtsverbindlich; bei Abweichungen, Unklarheiten oder Widersprüchen ist der englische Text maßgeblich.

Diese Verpflichtungen gelten nach der EU-Datenschutz-Grundverordnung und für Kunden im Vereinigten Königreich nach der UK GDPR und dem Data Protection Act 2018.

Unsere Verpflichtungen

Grundsätze der Datenverarbeitung bei LiKE

Datenminimierung

Wir erheben nur die Daten, die für den Betrieb der Plattform erforderlich sind. Keine übermäßige Datenerhebung.

Zweckbindung

Die Daten werden ausschließlich für die in der Datenschutzerklärung und im DPA (für Geschäftskunden) festgelegten Zwecke verwendet. Kein Weiterverkauf, keine Sekundärnutzung.

Speicherbegrenzung

Daten werden nicht länger als erforderlich aufbewahrt. Die Löschung bei Vertragsbeendigung erfolgt gemäß den Bestimmungen des DPA.

Aufzeichnungen zum Nachweis der Wahrung gesetzlicher Rechte — Erstattungs- und Widerrufsentscheidungen sowie die zur Bestimmung Ihres Rechtsstatus verwendeten Daten — werden für die in der Datenschutzerklärung genannten Zeiträume aufbewahrt.

Integrität und Vertraulichkeit

Verschlüsselung, Zugriffskontrolle, Audit-Protokollierung. Wir streben ein hohes Schutzniveau für Ihre Daten an.

Rollen und Verantwortlichkeiten

Wer wofür verantwortlich ist

Lynkora — Auftragsverarbeiter

Wir verarbeiten personenbezogene Daten im Auftrag Ihrer Organisation oder Ihrer selbst als individueller Nutzer, gemäß den Weisungen und Bestimmungen des Auftragsverarbeitungsvertrags.

Zu unseren Pflichten gehören:

• ✓ Gewährleistung der Datensicherheit

• ✓ Einhaltung unserer geltenden Auftragsverarbeiterpflichten nach der DSGVO (Art. 28)

• ✓ Unterstützung der Betroffenenrechte

• ✓ Protokollierung von Administratorhandlungen und interne Zugriffskontrollen

Ihre Organisation — Verantwortlicher

Sie bestimmen die Zwecke, Mittel und Methoden der Verarbeitung personenbezogener Daten innerhalb von LiKE. Wenn Sie LiKE als Privatperson nutzen (persönlicher Arbeitsbereich), gelten diese Rollen für Sie als Kunde; für Ihre Kontodaten handelt Lynkora als Verantwortlicher (siehe Datenschutzerklärung).

Zu Ihren Pflichten gehören:

• ✓ Festlegung der Verarbeitungszwecke

• ✓ Unterrichtung der betroffenen Personen

• ✓ Verwaltung der Einwilligungen

• ✓ Rechtmäßigkeit der Verarbeitung

Auftragsverarbeitungsvertrag (DPA) — der DPA, einschließlich der Standardvertragsklauseln, soweit anwendbar, ist Bestandteil der Nutzungsvereinbarung und gilt für Ihre Organisation ab der Annahme der Nutzungsvereinbarung; eine gesonderte Unterschrift ist nicht erforderlich. Die aktuelle Fassung ist zusammen mit den übrigen rechtlichen Dokumenten veröffentlicht. DPA-Anfragen: [email protected].

Unterauftragsverarbeiter

Wir setzen geprüfte Unterauftragsverarbeiter ein (Cloud-Infrastruktur, KI-Anbieter, E-Mail-Zustellung, Web-Analyse — mit Ihrer Einwilligung). Die aktuelle Liste der Unterauftragsverarbeiter ist in der Datenschutzerklärung verfügbar und wird bei jeder Änderung aktualisiert, mit einer Vorankündigung von mindestens 30 Tagen, bevor ein neuer Unterauftragsverarbeiter hinzugefügt wird. Die Benachrichtigungsbedingungen zu Änderungen bei Unterauftragsverarbeitern sind im DPA festgelegt.

Unternehmensübertragung

Überträgt Lynkora sein Geschäft ganz oder teilweise (Verschmelzung, Übernahme, Umstrukturierung oder Verkauf), geht der Auftragsverarbeitungsvertrag mit dem Vertrag über, und der Rechtsnachfolger übernimmt die Pflichten von Lynkora als Auftragsverarbeiter. Wir benachrichtigen Sie mindestens 30 Tage im Voraus; akzeptieren Sie den Rechtsnachfolger nicht, können Sie den Vertrag kündigen und die Löschung oder Rückgabe Ihrer Daten nach Maßgabe des DPA verlangen.

Betroffenenrechte

Unterstützung der Betroffenenrechte nach der DSGVO

Recht auf Auskunft (Artikel 15)

Betroffene Personen können sämtliche Informationen anfordern und erhalten, die wir über sie speichern.

Recht auf Berichtigung (Artikel 16)

Betroffene Personen können unrichtige oder unvollständige personenbezogene Daten berichtigen.

Recht auf Löschung (Artikel 17)

„Recht auf Vergessenwerden" — Löschung aller personenbezogenen Daten unter den gesetzlichen Voraussetzungen.

Recht auf Einschränkung (Artikel 18)

Aussetzung der Datenverarbeitung bis zur Beilegung einer Streitigkeit, ohne Löschung der Daten.

Recht auf Datenübertragbarkeit (Artikel 20)

Erhalt der Daten in einem strukturierten Format und Übertragung an einen anderen Dienst.

Widerspruchsrecht (Artikel 21)

Widerspruch gegen die Datenverarbeitung, einschließlich Marketing und Profiling.

Rechte im Zusammenhang mit automatisierter Entscheidungsfindung (Article 22)

Wird eine Entscheidung mit automatisierten Mitteln getroffen, können betroffene Personen das Eingreifen einer Person verlangen, ihren Standpunkt darlegen und das Ergebnis anfechten. Siehe „Bestimmung Ihres Rechtsstatus" unten.

Beschränkungen nach Erstattungen

Die Zahl der gezählten Erstattungen und die daraus folgende Beschränkung für neue Käufe werden automatisch anhand eines objektiven Kriteriums berechnet: wie viele Erstattungen von Zahlungen für ein Abonnement, für ein Upgrade oder für zusätzliche Sitze für diese Organisation auf Anfrage des Kunden erfolgt sind. Die Berechnung bewertet die Person nicht und verwendet kein Profiling. Die Beschränkung betrifft ausschließlich neue Käufe: Der Zugang zum Dienst, der bereits bezahlte Zeitraum, der Datenexport und die gesetzlichen Rechte, einschließlich des Widerrufsrechts, bleiben unberührt. Jede solche Beschränkung wird auf Anfrage beim Support von einem Menschen geprüft und kann vor Ablauf der Frist aufgehoben werden; die Entscheidung des Mitarbeiters wird mit ihrer Begründung festgehalten. Aus diesen Gründen ist die Berechnung keine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne des Art. 22 DSGVO.

Bestimmung Ihres Rechtsstatus

Wie wir festlegen, welches Rechtsregime für Ihren Kauf gilt

Was wir feststellen

Beim Kauf eines Abonnements stellen wir fest, ob Sie als Verbraucher oder im Rahmen einer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit abschließen. Davon hängt ab, welche Bedingungen für Sie gelten und wie ein Erstattungs- oder Widerrufsverlangen behandelt wird.

Was wir dafür heranziehen

Ihre eigene Erklärung zum Zweck des Kaufs, abgegeben beim Bezahlvorgang; die von Ihnen angegebenen Unternehmensdaten (Firmenname, Umsatzsteuer-Identifikationsnummer und das Ergebnis ihrer Prüfung im EU-VIES-Register); das Land des Zahlungsmittels nach Angabe des Merchant of Record; sowie die in der Datenschutzerklärung beschriebenen Signale aus der Registrierung. Ihre Erklärung hat Vorrang — die übrigen Signale sind lediglich unterstützend.

Warum dies keine Entscheidung im Sinne von Article 22 ist

Der automatisierte Teil dieses Vorgangs entscheidet ausschließlich darüber, ob ein Verlangen automatisch bearbeitet oder einer Person vorgelegt wird. Er kann ein Verlangen nicht ablehnen, kein Recht entziehen und keinen Kauf blockieren. Widersprechen sich die Signale oder ist das Ergebnis unklar, gilt das Verbraucherregime, bis eine Person den Fall geprüft hat. Die Verarbeitung entfaltet daher keine rechtliche Wirkung und beeinträchtigt Sie nicht in ähnlich erheblicher Weise im Sinne von Article 22(1) GDPR.

Garantien, die wir in jedem Fall gewähren

Sie können eine Überprüfung des auf Sie angewandten Regimes durch eine Person verlangen, Ihren Standpunkt darlegen und das Ergebnis anfechten — per E-Mail an [email protected]. Wir dokumentieren jede Feststellung samt der Version der angewandten Regel und dem Zeitpunkt der Entscheidung und teilen Ihnen auf Anfrage mit, welche Signale herangezogen wurden.

Aufbewahrung

Daten zur Vertragspartei und Routing-Entscheidungen werden für die Vertragsdauer zuzüglich drei Jahren aufbewahrt; Aufzeichnungen über Erstattungs- und Widerrufsentscheidungen drei Jahre ab der Entscheidung. Beides dient als Nachweis, dass das richtige Rechtsregime angewandt und gesetzliche Rechte gewahrt wurden (Article 17(3)(e) GDPR). Die vollständige Aufbewahrungstabelle finden Sie in der Datenschutzerklärung.

Technische Sicherheitsmaßnahmen

DSGVO Artikel 32 — Verschlüsselung, Isolierung, Kontrollen

Verschlüsselung

Im Ruhezustand: verschlüsselte Backups; Hosting auf gesicherter OVHcloud-EU-Infrastruktur; Maßnahmen in den TOM beschrieben.

Bei der Übertragung: TLS 1.2+ für alle Übertragungen (TLS 1.3 für moderne Clients); die interne Verbindung Anwendung↔Datenbank verwendet TLS 1.3.

Mandantenisolierung (Tenant-Isolierung)

Logische Isolierung der Tenant-Daten auf Anwendungsebene: ein obligatorischer Arbeitsbereichs-Filter (Tenant) in jeder Datenabfrage, durch automatisierte Tests in der CI durchgesetzt.

Die Daten jedes Tenants sind auf Anwendungsebene logisch isoliert: obligatorische tenant-bezogene Filterung aller Abfragen, mit Tests zur tenant-übergreifenden Isolierung in der CI.

Zugriffskontrolle

RBAC (rollenbasierte Zugriffskontrolle) für granulare Berechtigungen.

Anmeldung mit E-Mail und Passwort oder mit Google (OAuth); SSO (OIDC) bei geeigneten Tarifen. Einmalige E-Mail-Codes zur Adressverifizierung und zum Zurücksetzen des Passworts.

Audit-Protokollierung

Wesentliche Handlungen mit Bezug zu personenbezogenen Daten werden mit Zeitstempel und Nutzerkennung aufgezeichnet.

Der Zugriff auf die Protokolle ist beschränkt; Audit-Protokolle können nicht über Anwendungsschnittstellen bearbeitet werden.

Datenexport

Integrierter Export in Markdown, HTML, PDF, DOCX und JSON zur Erleichterung des Rechts auf Datenübertragbarkeit.

Kopien der Konto- und personenbezogenen Daten werden auf Anfrage bereitgestellt.

Datenlöschung

Vollständige Löschung der Tenant-Daten bei Vertragsbeendigung oder auf Anfrage.

Einschließlich der automatischen Löschung der Backups nach Ablauf der Aufbewahrungsfrist.

KI-Suche und DSGVO

Wie wir Daten für KI-Funktionen verwenden

Grundsätze der Datenverarbeitung für KI

Verarbeitung nur im Tenant-Bereich: Die KI-Suche arbeitet ausschließlich mit den Daten Ihrer Organisation oder mit Ihren eigenen Daten, sofern Sie den Dienst als Privatperson nutzen. Es besteht kein Zugriff auf Daten anderer Kunden.

NICHT für das Modelltraining verwendet: Lynkora gestattet Drittanbietern von KI nicht, Kundendaten zum Training ihrer Modelle zu verwenden, außer soweit dies gegenüber dem Kunden gesondert offengelegt oder mit ihm vereinbart wurde; es gelten die Business-Datenverarbeitungsverträge der Anbieter (z. B. der OpenAI Business DPA). Einzelheiten finden Sie in den Ergänzenden KI-Bedingungen.

Einschränkung von KI-Funktionen: Administratoren können KI-Funktionen nach Rolle einschränken (granulare KI-Berechtigungen); die klassische Volltextsuche bleibt verfügbar.

Protokollierung von Abfragen: KI-Abfragen werden mit Metadaten (Nutzer, Zeitstempel, Abfragetyp) zu Prüfzwecken protokolliert; personenbezogene Daten in den Protokollen werden nach 90 Tagen anonymisiert.

Datenschutz-Folgenabschätzung (DSFA): Wir können Sie bei der Durchführung einer DSFA unterstützen, um die mit dem KI-Einsatz verbundenen Risiken zu bewerten. Verfügbar im Enterprise-Tarif.

Internationale Datenübermittlungen

DSGVO Kapitel V — Grenzüberschreitende Datenflüsse

Primäre Rechenzentren in der EU

Die zentralen Rechenressourcen befinden sich in der EU. Die Daten verbleiben standardmäßig innerhalb des EWR. Übermittlungen außerhalb des EWR erfolgen nur, wenn geeignete rechtliche Mechanismen vorliegen.

Standardvertragsklauseln (SCC)

Lynkora DOO Beograd ist in Serbien registriert (ein EU-Beitrittskandidat ohne DSGVO-Angemessenheitsbeschluss). Die Übermittlungen stützen sich auf die EU-SCC (Durchführungsbeschluss (EU) 2021/914): Modul 2 (Verantwortlicher → Auftragsverarbeiter) für Übermittlungen EU-Kunde → Lynkora; Modul 3 (Auftragsverarbeiter → Auftragsverarbeiter) für Weiterübermittlungen an US-Unterauftragsverarbeiter (OpenAI, Resend). Kundendaten werden physisch in der EU gespeichert (OVHcloud). Als serbische juristische Person hält Lynkora auch das serbische Gesetz zum Schutz personenbezogener Daten (ZZPL) ein.

EU-US Data Privacy Framework

Für in den USA ansässige Unterauftragsverarbeiter stützen wir uns vorrangig auf das EU-SCC-Modul 3. Das EU-US Data Privacy Framework (in Kraft seit Juli 2023, als Ersatz für den für ungültig erklärten Privacy Shield) gilt als ergänzender Mechanismus, sofern ein Unterauftragsverarbeiter nach dem DPF zertifiziert ist (z. B. Resend, Cloudflare).

Meldung von Datenschutzverletzungen

DSGVO Artikel 33, 34 — Verfahren zur Reaktion auf Vorfälle

Erkennung von Vorfällen

Automatisierte Infrastrukturüberwachung und Schutz vor Missbrauch (Ratenbegrenzung, Erkennung anomaler Anfragemuster).

Benachrichtigung an Sie (unverzüglich)

Nach Bestätigung eines Vorfalls, der Ihre Daten betrifft, benachrichtigen wir Sie unverzüglich und geben die Art der Verletzung, die betroffenen Daten, die möglichen Folgen und die ergriffenen Maßnahmen an — damit Sie Ihre eigene 72-Stunden-Pflicht gegenüber der Aufsichtsbehörde erfüllen können.

Ihre Benachrichtigung an betroffene Personen (soweit erforderlich)

Als Verantwortlicher entscheiden Sie, ob betroffene Personen benachrichtigt werden müssen. Wir leisten Unterstützung und stellen Materialien bereit.

Untersuchung und Bericht

Eingehende Untersuchung, forensische Analyse, Ermittlung der Grundursache und Präventionsempfehlungen. Ein Bericht wird innerhalb einer angemessenen Frist nach Abschluss der Untersuchung bereitgestellt.

Benachrichtigung der Aufsichtsbehörde (falls erforderlich)

Erfordert der Vorfall eine Benachrichtigung der Aufsichtsbehörde (DPA), unterstützen wir bei der Erstellung der Dokumentation und der Analyse der bestehenden Pflichten.

Bereit für eine Partnerschaft?

Der Auftragsverarbeitungsvertrag (einschließlich SCC, soweit anwendbar) ist Bestandteil der Nutzungsvereinbarung und gilt ab deren Annahme; eine gesonderte Unterschrift ist nicht erforderlich. DPA-Anfragen: [email protected].

Kontakt zum Datenschutz

Kontakte für DSGVO-Anfragen

Datenschutz-Team

E-Mail: [email protected]

Reaktionszeit: an Werktagen, in der Regel innerhalb weniger Tage

Eingetragene Anschrift

Lynkora DOO Beograd

Kneza Miloša 15, 11000 Beograd Serbien (Handelsregisternr. MB 22195689, Steuernr. PIB 115706177)

Vertreter in der EU und im Vereinigten Königreich

Unsere Vertreter nach Artikel 27 DSGVO und Artikel 27 UK GDPR sind, soweit benannt, auf der Seite „Vertreter“ (/legal/de/representatives) aufgeführt.

Verfahren für Anfragen: Sie können einen Antrag auf Auskunft, Löschung, Widerspruch oder jedes andere DSGVO-Recht unmittelbar an [email protected] richten. Wir bestätigen den Eingang Ihres Antrags und bearbeiten ihn innerhalb der in DSGVO Artikel 12 vorgesehenen Fristen.