Teydra Lab

Teydra Lab · Produktinformation

AVV

Die AVV-Seite beschreibt die Auftragsverarbeitung für End-User-Daten, Unterauftragsverarbeiter, technische Maßnahmen und Meldepflichten.

Seiteninhalt

AVV | Teydra Lab

Zurück

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO – Stand:

1. Vertragsparteien

Verantwortlicher (Auftraggeber): Der Kunde, der die SaaS-Plattform Teydra Lab nutzt und über seinen Chatbot personenbezogene Daten von End-Usern verarbeitet.

Auftragsverarbeiter (Auftragnehmer): Meral Anna Hees (Teydra Lab) Ludwig-Richter-Straße 4a/Top3 5020 Salzburg, Österreich E-Mail: official@teydralab.com

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten von End-Usern, die mit dem vom Kunden konfigurierten KI-Chatbot interagieren. Dazu gehören – soweit vom Verantwortlichen genutzt – auch hochgeladene Bilder und Videos, Livestreams sowie deren technische Bereitstellung in Chatbot, Social-System und Zuschaueransichten. Die Verarbeitung dient der Bereitstellung der vom Kunden im Dashboard konfigurierten Funktionen.

2.2 Dauer

Die Verarbeitung erfolgt für die Dauer der Vertragslaufzeit (Nutzung der Plattform). Bei Account-Löschung werden Datenbankdaten kaskadiert und zugehörige externe Medienobjekte über serverseitige Löschprozesse entfernt.

2.3 Art der Daten

Chat-Nachrichten (Fragen und Antworten der End-User)

Freiwillige Angaben der End-User im Chat (z. B. Name, E-Mail über Datenabfragen)

Antworten aus strukturierten Datenabfragen (Data Queries)

Verlauf eines vom Verantwortlichen zur Speicherung freigegebenen Gesprächsablaufs: getippte Antworten, angeklickte Auswahl-Schaltflächen und die Zeitpunkte dieser Schritte

Technische Metadaten (Konversations-ID, Zeitstempel, erkannte Sprache)

Bei Einbettungsprüfung und -diagnose: normalisierter Website-Hostname, privater beziehungsweise öffentlicher Freigabestatus, technische Prüfzeitpunkte und eng begrenzte Einbau-/Laufzeitcodes; für diesen Zweck keine vollständigen Seitenadressen, Seiteninhalte oder Konsolentexte

Beim Live-Seitenkontext, der im KI-Chat auf freigegebenen eingebetteten Websites nach der Chat-Einwilligung automatisch zur Verfügung steht: Pfad und Titel der aktuell geöffneten Seite sowie eine jeweils frisch erzeugte, strukturierte Beschreibung sichtbarer Texte, Bedienelemente, Zustände und Positionen. In geschützten Bereichen wird ohne gesonderten Klick des End-Users nur die vom Verantwortlichen fest ausgezeichnete oder technisch statische Seitenstruktur verarbeitet; dynamische oder private Seiteninhalte werden erst nach einer vom End-User angeklickten Freigabe-Schaltfläche für den aktuellen Browser-Tab und Seitenpfad einbezogen. Werte aus Eingabefeldern, Passwörter und als ausgeschlossen markierte Bereiche werden nicht erfasst.

Vom Verantwortlichen oder seinen autorisierten Nutzern hochgeladene Bilder, Profilbilder, Chatbot-Symbole, Videos und Livestream-Inhalte

Medien-Metadaten wie zufällige Medienkennung, ursprünglicher Dateiname, vom Nutzer vergebener Anzeigename, externe Bildadresse, Dateityp, Dateigröße, Dauer, Verarbeitungsstatus, Zeitstempel sowie technische Abruf- und Wiedergabedaten

Bei Widget-Anhängen: freiwillig gesendete Dateien beliebiger Formate, Dateimetadaten und technische Gesprächszuordnung. Der bewusste Sendeklick nach dem sichtbaren Anhangshinweis beauftragt die KI-Auslesung genau dieser Dateien für höchstens 24 Stunden in derselben Browsersitzung: Bilder beziehungsweise verkleinerte Analysebilder, zeitlich verteilte Videoframes, begrenzt extrahierte Dokument-, Tabellen-, Präsentations- und Archivtexte sowie verfügbare Tonspur-Transkripte. Nicht lesbare, verschlüsselte und nicht unterstützte Formate bleiben private Download-Dateien. Eine Weitergabe an verbundene Systeme benötigt deren eigene konkrete Freigabe.

Bei visueller Nutzung des Konfigurations-Agenten: vom Verantwortlichen ausgewählte Bilder, höchstens acht begrenzte Einzelbilder eines ausgewählten Videos sowie eine datenschutzreduzierte grafische Karte sichtbarer Bedienelemente und eigener Bildschirm-Markierungen; keine Eingabewerte, kein HTML und kein Roh-Screenshot

Bei Nutzung der Entwickler-Funktionen: vom Verantwortlichen konfigurierte Seiten-Erweiterungen (Texte, Links) sowie der im aktiven Owner-Vorgang aus einer vorab festgelegten Liste automatisch nacheinander erfasste, im Browser gerenderte Inhalt eigener – auch zugangsbeschränkter – Webseiten, der als Wissensquelle des Chatbots gespeichert wird. Dieser Inhalt kann personenbezogene Daten enthalten; der Verantwortliche entscheidet eigenverantwortlich, welche Seiten er für die Erfassung freigibt.

Der Live-Seitenkontext dient ausschließlich dazu, die aktuelle Anfrage zu beantworten oder dem End-User durch Scrollen und visuelle Markierungen Orientierung auf der Seite zu geben. Der Chatbot kann darüber keine Seitenelemente anklicken, Formulare ausfüllen oder absenden. Vollständige Seiten-Snapshots werden nach dem jeweiligen Modelllauf nicht als dauerhafter Bestandteil des Gesprächsarchivs oder eines Agenten-Fortsetzungsstands gespeichert.

2.4 Betroffene Personen

End-User, die mit dem eingebetteten Chatbot des Kunden interagieren, autorisierte Mitarbeiter, deren Supportprofile und zugeordnete Gesprächsbeiträge im Auftrag des Verantwortlichen verarbeitet werden, Zuschauer von Videos oder Livestreams sowie natürliche Personen, die in vom Verantwortlichen hochgeladenen Medien erkennbar sind.

2a. Autorisierte Nutzer des Verantwortlichen

Vom Verantwortlichen eingeladene Mitarbeiter oder sonstige Teamnutzer gelten als autorisierte Nutzer des Verantwortlichen. Ihre Handlungen innerhalb der ihnen freigegebenen Bereiche gelten als Weisungen oder Nutzungshandlungen des Verantwortlichen.

Der Verantwortliche ist für die Verwaltung dieser Zugriffe, die interne Rollenverteilung und den Entzug nicht mehr erforderlicher Berechtigungen verantwortlich.

Der Verantwortliche stellt sicher, dass autorisierte Nutzer nach seinen internen Vorgaben informiert und berechtigt sind. Soweit im Beschäftigtenkontext Informations-, Mitbestimmungs- oder Betriebsratsrechte bestehen, bleiben diese Pflichten beim Verantwortlichen.

Human Takeover setzt aktivierte Gesprächsspeicherung und die vorgesehenen Freigaben voraus. Der Widget-Assistent kann auf Wunsch des End-Users oder bei einer fachlichen beziehungsweise technischen Grenze Unterstützung anfordern und bleibt im gemeinsamen Gespräch aktiv. Autorisierte Nutzer erhalten den relevanten Verlauf, neue Nachrichten und technische Anfrage- und Zuordnungsdaten. Supportprofile enthalten interne und öffentliche Anzeigenamen, optionale Profilbilder, Sprachen, Fachgebiete, Arbeitszeiten und Zeitzone. Kurzlebige Erreichbarkeit und Auslastung werden aus geöffnetem Arbeitsbereich beziehungsweise Heartbeat, Arbeitszeit, laufenden Gesprächen und einer internen Routing-Grenze abgeleitet. Diese Daten dienen der Zuordnung von Anfragen. End-User sehen den öffentlichen Anzeigenamen, das optionale Profilbild und die an sie gerichteten Nachrichten; interne Notizen, Mitarbeiterkoordination und Antwortvorschläge dürfen End-Usern nicht offengelegt werden.

Für die freiwillige Diktierfunktion im Supportprofil kann eine Audioaufnahme von höchstens zwei Minuten über Groq/Whisper transkribiert werden; die Audiodatei wird nur flüchtig verarbeitet und nicht dauerhaft gespeichert, das Transkript zunächst als bearbeitbarer Profiltext übernommen. Bei aktiviertem Human Takeover kann die KI nach der vorgesehenen Mitarbeiter-Kenntnisnahme abgeschlossene Supportgespräche auswerten, um allgemeine Wissensentwürfe und getrennte Vorschläge zur Mitarbeiterexpertise zu erzeugen; ohne aktuelle Kenntnisnahme kann der Mitarbeiter Human Takeover nicht bearbeiten. Dafür werden relevante Gesprächsauszüge über die bereits offengelegte und für diesen Zweck freigegebene OpenRouter-Route mit Makora beziehungsweise Fireworks verarbeitet. Sie trainiert keine Modelle. Personenbezogene und vertrauliche Einzelheiten sind aus allgemeinen Wissensentwürfen auszuschließen; vor ihrer allgemeinen Verwendung im Chatbot ist eine berechtigte Person für die inhaltliche Prüfung und Freigabe zuständig. Erlernte Fachgebiete bleiben korrigier- und löschbar; bei späteren gelösten Gesprächen können neue Vorschläge entstehen, solange Human Takeover genutzt wird. Sie sind nicht für automatische Personalentscheidungen oder Leistungsbewertungen bestimmt.

Der Verantwortliche bestimmt die zulässige Rechtsgrundlage und erfüllt die Informationspflichten gegenüber End-Usern und Mitarbeitern; technische Freigaben und Kenntnisnahmen ersetzen dies nicht. Der operative Human-Takeover-Verlauf wird sieben Tage nach Abschluss, das allgemeine Gesprächsarchiv 30 Tage nach der letzten Aktivität gelöscht. Nicht freigegebene Wissensentwürfe werden nach 30 Tagen entfernt. Von personenbezogenen Besucherdetails bereinigte Expertisebelege enthalten keine Kopie des Originalgesprächs; die Verbindung zu gelöschten Ursprungsgesprächen wird entfernt. Sie und die erlernten Fachgebiete bleiben bis zum Zurücksetzen, Entzug der Human-Takeover-Berechtigung oder Löschen des betreffenden Profils beziehungsweise Kontos gespeichert. Ein Zurücksetzen löscht die erlernten Fachgebiete und ihre Belege; die Selbstauskunft bleibt bestehen. Solange der Mitarbeiter Human Takeover weiter nutzt, können aus späteren gelösten Gesprächen neue Vorschläge entstehen. Bereits freigegebenes Botwissen wird gesondert bearbeitet oder gelöscht und spätestens mit dem zugehörigen Bot beziehungsweise Konto entfernt.

3. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt die nachfolgend genannten Unterauftragsverarbeiter für die jeweils bezeichneten Verarbeitungen ein. Die öffentliche Produktionsumgebung mit Datenbank, Authentifizierung, Edge Functions und übernommenem Datei-Speicher wird als selbst gehostete Supabase-Software bei HostUp AB in Stockholm/Älvsjö, Schweden, betrieben. Dort werden Nutzerkonten, Chatbots und zugehörige Konfigurations-, Wissensbasis-, Gesprächs- und technische Daten verarbeitet. Supabase Cloud in Frankfurt bleibt für die getrennte interne Testumgebung im Einsatz. Stillgelegte Rückfallkopien des früheren Cloud-Produktionsbestands können zeitlich begrenzt bis zur bestätigten Löschung erhalten bleiben; sie sind kein laufendes Produktionsbackend.

Dienstleister

Sitz

Verarbeitungsort

Zweck

Datenkategorien

Transfer

Supabase, Inc. (Supabase Cloud)

USA

Frankfurt, DE

Getrennte interne Testumgebung; gegebenenfalls stillgelegte zeitlich begrenzte Rückfallkopie des früheren Produktionsbestands bis zur bestätigten Löschung

Account-, Chatbot-, Konfigurations-, Wissensbasis-, Konversations- und Token-Metadaten

DPA mit SCCs

HostUp AB (Rechenzentrum: Obehosting AB)

Schweden

Stockholm/Älvsjö, Schweden

Öffentliche Produktion mit selbst gehosteter Datenbank, Authentifizierung, Edge Functions und übernommenem Datei-Speicher

Nutzerkonten, Chatbots und zugehörige Konfigurations-, Wissensbasis-, Gesprächs- und technische Daten

Die öffentliche HostUp-DPA v2.0 ist Bestandteil der Vertragsbedingungen des bei HostUp aktivierten Dienstes

Netlify, Inc.

Globales CDN / EU soweit verfügbar

Website-, App- und Widget-Hosting

IP-Adresse, Request-Metadaten, technische Logdaten

EU-US DPF + SCCs

Cloudflare, Inc.

R2: EU-Jurisdiktion; Stream und Auslieferung: globales Netzwerk

Bild- und Dateispeicher einschließlich eines getrennten privaten Speichers für Besucheranhänge mit den unten festgelegten Löschfristen, Medienauslieferung, Videoverarbeitung und Livestreaming

Medieninhalte und Besucheranhänge, zufällige Medienkennungen, Datei- und Videometadaten, IP-, Request-, Geräte-, Ingest- und Wiedergabedaten

Scaleway S.A.S.

Frankreich

Paris, FR (fr-par)

Serverless Website-Crawling-, Knowledge- und Setup-Worker; nach technischer Aktivierung direkte textbasierte Inferenz über Generative APIs in Paris (fr-par), einschließlich getrennter Ersatztranskription der Widget-Spracheingabe sowie begrenzter Ersatzübersetzung nicht-rechtlicher Widget-Texte und ausdrücklich angeforderter Betreiberhinweis-Entwürfe

Öffentliche Seiteninhalte der angegebenen Domains, ausdrücklich freigegebene Owner-Captures, Domains, Bot-/Setup-Metadaten sowie – für die begrenzten Inferenzaufgaben – Chatnachrichten, Wissensauszüge, Bot-Konfiguration und erforderlicher Kontext. Keine Bilder, Videos, Audiodateien, Zugangsdaten oder Zahlungsdaten in der Text-Route. Bei der getrennten Ersatztranskription im Widget: Audio bis fünf Minuten, Transkript, Sprache und begrenzter Begriffskontext.

EU-Verarbeitung in Paris; Scaleway-DPA und AI Services Specific Conditions. Generative APIs: standardmäßig keine Speicherung von Prompt-/Antwortinhalten; vollständige HTTP-Requests bei ungewöhnlichen Fehlern oder Missbrauch bis zu zwei Wochen; anonymisierte aggregierte Nutzungsdaten bis zu sechs Monate. Drittlandzugriffe richten sich nach den einschlägigen Vertragsbedingungen und Schutzmechanismen.

OpenAI, Inc.

KI-Chat einschließlich bewusst gesendeter Bilder, Videoframes und serverseitig begrenzt extrahierter Anhangstexte bei entsprechender Modellauswahl, Text-Tools, freigegebene Fallback-Verarbeitung und Embeddings/Vektorsuche der Wissensbasis

Chatnachrichten, bewusst gesendete Bilder, Videoframes, extrahierte Dokument-, Tabellen-, Präsentations- und Archivtexte, Transkripte und Dateimetadaten; Wissensbasis-Auszüge und Text-Tool-Inhalte und der für die jeweils freigegebene Funktion erforderliche Kontext

Google LLC (Gemini, APIs, Vertex AI)

KI-Chat und freigegebene Fallback-Verarbeitung einschließlich möglicher Demo-Chat- und Embedding-Routen, Website-Extraktion, Google Docs/Sheets-Import, Kalender-Anbindung, Analysen und fest ausgewählte Inferenz von Claude Opus 5 und Claude Fable 5.1 hinter OpenRouter

Chatnachrichten, bewusst gesendete Bilder, Videoframes und serverseitig begrenzt extrahierte Anhangstexte bei entsprechender Modellauswahl, Website-Textauszüge, Import-/Kalenderdaten, Human-Takeover-Analysekontext, sowie öffentlich zugängliche Webseiten-Metadaten (Titel, Beschreibung, Theme-Color, Logo-URL-Kandidaten) für die Branding-Analyse

Perplexity AI, Inc.

Such-augmentierter KI-Chat

Chatnachrichten, serverseitig begrenzt extrahierte Anhangstexte und Recherchekontext

SCCs

Alibaba (Netherlands) B.V. (Alibaba Cloud Model Studio)

Niederlande

Frankfurt, DE (eu-central-1)

Automatische Übersetzung nicht-rechtlicher Widget-Texte einschließlich sichtbarer Chat-Embed-Labels und Artikelinhalte sowie bewusst angeforderte Entwürfe eigener Betreiberhinweise mit Qwen-MT Flash

Vom Verantwortlichen konfigurierte Bot-Namen, Eingabe- und Launcher-Beschriftungen, Begrüßungen, Hint-Bubbles, Vorschlagsfragen sowie sichtbare Labels und Artikelinhalte konfigurierter Chat-Embeds; bei gesonderter Anforderung der eigene Betreiberhinweis; keine normalen Besucher-Chatnachrichten für diesen Zweck

EU-Verarbeitung; Alibaba-Cloud-DPA und SCCs für etwaige konzerninterne Drittlandzugriffe

OpenRouter, Inc.

API-Vermittlung für Widget-Antworten mit DeepSeek V4 Flash, Grok 4.6, Claude Opus 5, Claude Fable 5.1 und GPT-6 Astra, Text-, Konfigurations-, Website- und Wissensverarbeitung, Analyse von Chat-Inhalten, bestätigte Besucheranhang-Auslesung sowie öffentliche Demo- und Analysezwecke

Chatnachrichten, Wissensbasis- und Website-Auszüge, Konfigurations- und Text-Tool-Inhalte, vom Verantwortlichen ausgewählte Bilder sowie vom End-User bestätigte Bilder, Videoframes, extrahierte Dokumenttexte, Dateinamen, Tonspur-Transkripte, konkrete Auslesefrage und Analysekontext

Deep Infra Inc. (DeepInfra, über OpenRouter)

Fest ausgewählte Text- und Bildinferenz für Website-Crawling, Wissensbasis-Aufbau, Bot-Konfiguration und freigegebene Konfigurationsbilder, öffentliche Branding-/Demo-Aufgaben sowie normale Besucherantworten nach aktueller Vertragsfreigabe

Freigegebene Seiten- und Dokumenttexte, Quellenmetadaten, Wissensauszüge, Bot-Konfiguration, ausdrücklich freigegebene und bereinigte Owner-Captures, bestätigte Konfigurationsbilder, öffentliche Logo-/Bildkandidaten und Chatnachrichten; besondere Kategorien personenbezogener Daten, Zugangsdaten und Zahlungsdaten sind für diesen Standardpfad nicht vorgesehen

OpenRouter-DPA mit SCCs und vertraglichen Pflichten für nachgelagerte Inferenz; technisch erzwungenes ZDR ohne Betreiber-Fallback, vorbehaltlich gesetzlicher und notwendiger Sicherheitsausnahmen

A2 Labs Inc. d/b/a Makora Inc.

Primärer fest ausgewählter Inferenzendpoint für DeepSeek V4 Flash hinter OpenRouter

Chatnachrichten, Wissensbasis- und Website-Auszüge, Konfigurations- und Text-Tool-Inhalte sowie Analysekontext; im ZDR-Betrieb keine dauerhafte Inhaltsprotokollierung

SCCs gemäß Makora-DPA

Fireworks AI, Inc.

Fest ausgewählter Vision-Inferenzendpoint für DeepSeek V4 Flash Vision Exp hinter OpenRouter zur Analyse von Chat-Inhalten, zur visuellen Prüfung ausdrücklich ausgewählter Bilder, begrenzter Videoframes und eigener Bildschirm-Markierungen im Konfigurations-Agenten; zugleich geprüfter Ersatzendpoint für die Textinferenz von DeepSeek V4 Flash, wenn Makora vorübergehend nicht verfügbar oder rate-limitiert ist

Vom Verantwortlichen ausgewählte Originalbilder, begrenzte Videoframes, datenschutzreduzierte Bildschirmkarte, Medienname, begrenzte Unternehmens-Wissensbasis sowie vom End-User bestätigte Bilder, Videoframes, extrahierte Dokumenttexte, Tonspur-Transkripte, konkrete Auslesefrage und Analyse- beziehungsweise Konfigurationskontext; beim Text-Fallback außerdem Chatnachrichten, Wissensbasis- und Website-Auszüge sowie Konfigurations- und Text-Tool-Inhalte; im ZDR-Betrieb keine dauerhafte Inhaltsprotokollierung

SCCs in der Auftragsverarbeitungskette

xAI LLC

Fest ausgewählter ZDR-Inferenzendpoint für Grok 4.6 hinter OpenRouter in Produktstufe 2

Chatnachrichten, Wissensauszüge und Werkzeugkontext; keine dauerhafte Inhaltsprotokollierung im angeforderten ZDR-Betrieb

Microsoft Corporation (Azure)

Fest ausgewählter ZDR-Inferenzendpoint für GPT-6 Astra hinter OpenRouter in Produktstufe 3

Kanonischer Beratungsauftrag, relevante Belege und bisheriger Gesprächskontext; keine dauerhafte Inhaltsprotokollierung im angeforderten ZDR-Betrieb

EU-US DPF + SCCs in der Auftragsverarbeitungskette

Groq, Inc.

Audio-Transkription (Konfigurations-Assistent und freiwillige Human-Takeover-Profil-Diktate im Dashboard, Spracheingabe im Chatbot-Widget sowie Tonspur einer direkt abrufbaren Chat-Embed- oder vom End-User bestätigten Widget-Videodatei bis 25 MB)

Audiodaten beziehungsweise bestätigte Videodatei zur Tonspur-Transkription und Transkriptionsmetadaten

Stripe, Inc.

EU/USA nach Anbieterangaben

Zahlungsabwicklung, gespeicherte Zahlungsmethoden, Off-Session-Zahlungen und Rechnungsabruf

Name, Rechnungsadresse, Zahlungs-, Rechnungs-, PaymentMethod-Referenzdaten und Transaktionsdaten

IONOS SE

Deutschland

EU

Transaktionale System-E-Mails

Kontakt-/Account-E-Mail-Adresse, Betreff, Mailinhalt, Versandmetadaten

EU-intern (DSGVO)

a9t9 software GmbH (OCR.Space)

EU (DE, FR, FI)

Texterkennung

Hochgeladene Dokumentinhalte zur Texterkennung

Bei der beabsichtigten Aufnahme oder Ersetzung eines Unterauftragsverarbeiters wird der Verantwortliche mindestens 30 Tage vor dessen beabsichtigter Nutzung informiert. Der Verantwortliche kann vor dessen Einsatz Einspruch erheben. Diese Regeln gelten auch bei einem Wechsel der Hosting-Infrastruktur. Scaleway S.A.S. ist bereits als Unterauftragsverarbeiter für Website-Crawling, Knowledge- und Setup-Aufgaben aufgeführt. Die hier ergänzte direkte Textinferenz über Scaleway Generative APIs ändert den beschriebenen Zweck und die Kategorien der verarbeiteten Inhalte; sie wird deshalb in dieser AVV-Fassung konkret beschrieben und setzt deren einmalige aktive Zustimmung voraus. Diese Freigabe gilt nicht für neue rechtliche Anbieter oder zusätzliche, hier nicht beschriebene Zwecke und Datenkategorien.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag in Textform auf Datenschutzpflichten, die den für die jeweilige Verarbeitung geltenden Pflichten dieses AVV im Wesentlichen entsprechen, insbesondere auf geeignete technische und organisatorische Maßnahmen. Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Maßgabe von Art. 28 Abs. 4 DSGVO verantwortlich.

4. KI-Anbieter- und Modellrouting

Mit einmaliger aktiver Zustimmung zu dieser AVV-Fassung weist der Verantwortliche den Auftragsverarbeiter gemäß Art. 28 Abs. 3 lit. a DSGVO an, ausgewählte textbasierte Aufgaben direkt über Scaleway Generative APIs in Paris (fr-par) auszuführen. Das geplante Standardmodell ist DeepSeek V4.1 Flash mit der von Scaleway Runtime bestätigten Modellkennung deepseek-v4.1-flash. Die Route umfasst begrenzte Konfigurationsagent-, Website-/Wissensaufbereitungs-, normale Widget- und öffentliche Demo-Aufgaben. Übermittelt werden nur der jeweilige Textauftrag, Chatnachrichten oder freigegebene Seitentexte, passende Wissensauszüge, notwendige Bot-Konfiguration und der erforderliche Kontext. Bilder, Videos, Audio, Zugangsdaten und Zahlungsdaten sind von dieser Text-Route ausgeschlossen. Für die bezeichneten Tier-1-Textaufgaben bildet Scaleway die zentrale Standardroute; sie kann außerdem als begrenzter Rückfall für andere kompatible Textaufgaben eingesetzt werden, wenn dies für denselben Zweck, dieselben Datenkategorien und Schutzbedingungen freigegeben ist. Die in den höheren Produktstufen und für Bild-, Audio- oder Embedding-Aufgaben beschriebenen Routen bleiben eigenständig. Mit der aktiven Zustimmung zu dieser Fassung wird zusätzlich folgende Audioverarbeitung angewiesen: Scaleway Whisper Large v3 in Paris (Frankreich) kann als höchstens ein Ersatzdienst für die Widget-Spracheingabe eine bis zu fünf Minuten lange Aufnahme und begrenzten Begriffskontext (Firmenname, Begriffe, Wissensauszug) verarbeiten. Teydra speichert Audio nicht dauerhaft. Scaleway verwendet Inhalte nicht zum Modelltraining und speichert regulär keine Anfrageinhalte. Bei ungewöhnlichen Fehlern oder Missbrauchsprüfung können vollständige Anfragen einschließlich Audio und Kontext bis zu zwei Wochen gespeichert werden, anonymisierte aggregierte Nutzungsdaten bis zu sechs Monate. Die Abrechnung bleibt beim gewählten Primärmodell. Der Verantwortliche legt im Dashboard eine Produktstufe und, wo verfügbar, eine Modellpräferenz fest. Mit der einmaligen Zustimmung zu dieser AVV-Fassung erteilt er die hierin beschriebenen Weisungen unabhängig davon, welches der dafür freigegebenen Modelle gerade ausgewählt ist. Innerhalb der in Ziffer 3 für den jeweiligen Zweck aufgeführten Anbieter, Modelle, Datenkategorien, Personengruppen, Regionen und Schutzmaßnahmen darf Teydra Lab für neue Anfragen das Modell wechseln oder eine bereits für genau diesen Zweck offengelegte Anbieterroute auswählen. Dazu zählen Konfigurationsagent, Websiteverwaltung/Wissensaufbereitung und normale Widget-Antworten, soweit die jeweilige Route in Ziffer 3 offengelegt ist. Ein Modell- oder Anbieterwechsel innerhalb dieses klar begrenzten, bereits beschriebenen Umfangs erfordert keine erneute Annahme bei jeder Funktion oder Umschaltung. Direkte Scaleway-Aufrufe und OpenRouter-Aufrufe bleiben voneinander getrennte Routen; ein Wechsel zwischen diesen Wegen findet nur statt, wenn die jeweilige Route in Ziffer 3 für denselben Zweck, dieselben Datenkategorien und ihre jeweilige Region/Übermittlung ausdrücklich offengelegt ist. Für andere freigegebene Aufgaben können die in Ziffer 3 genannten Modelle weiter verwendet werden: OpenRouter wird je Modell auf die dort aufgeführten Inferenzanbieter Makora, Fireworks, xAI, Google Vertex oder Microsoft Azure begrenzt. Für DeepSeek-V4-Flash-Vision-Aufgaben bleibt Fireworks der fest ausgewählte Bildendpoint; diese Bildverarbeitung wird nicht auf die textbasierte Scaleway-Route verlagert.

Änderungen der Präferenz wirken für neue Chat-Interaktionen; bereits abgeschlossene Verarbeitungen werden nicht rückwirkend geändert

Objektive Routinggründe sind insbesondere Verfügbarkeit, Kapazität, technische Kompatibilität, Sicherheit, Missbrauchsschutz, Antwortqualität und angemessene Kostensteuerung

Eine Modellwahl, ein Wechsel der Modellfamilie oder ein Wechsel zwischen bereits für denselben Zweck offengelegten Anbieter-Routen ist Teil dieser einmaligen Weisung und löst keine weitere Annahme pro Aufgabe, Chatbot, Feature oder Modell-Toggle aus. Das gilt nur, wenn Zwecke und Verarbeitungsarten, Datenkategorien, betroffene Personengruppen, Regionen, Drittlandübermittlungen und Schutzmaßnahmen innerhalb des in Ziffer 3 beschriebenen Rahmens bleiben

Ein neuer rechtlicher Anbieter, ein zusätzlicher Zweck oder eine wesentliche Erweiterung von Datenarten, Personengruppen, Regionen oder Schutzrisiken ist nicht umfasst. Dafür gelten die Vorabinformation und das Widerspruchsverfahren aus Ziffer 3; eine erforderliche neue Vertragsfreigabe wird nicht durch diese Modellweisung ersetzt

Die Datenschutzerklärung beschreibt die zugelassenen Anbieter und die jeweils begrenzten Routen, einschließlich der direkten Scaleway-Route ohne OpenRouter-Vermittlung

Für direkte Scaleway Generative APIs gilt standardmäßige Zero Data Retention für Prompt- und Antwortinhalte. Scaleway kann vollständige HTTP-Requests bei ungewöhnlichen Fehlern oder Missbrauch bis zu zwei Wochen speichern und einsehen; aggregierte anonymisierte Nutzungsdaten können bis zu sechs Monate aufbewahrt werden. Die Inhalte werden laut Anbieter nicht zum Training oder zur Verbesserung der Basismodelle verwendet

Modell- und Fehlerfallbacks für die beschriebenen Textaufgaben bleiben auf die dort offengelegten Anbieter, Modelle, Regionen und Schutzbedingungen begrenzt. Scaleway Generative APIs mit DeepSeek V4.1 Flash sind die zentrale Standardroute für die bezeichneten Tier-1-Aufgaben und können für andere kompatible Textaufgaben als begrenzter Rückfall dienen; die bestehenden OpenRouter-Routen bleiben nur für die jeweils ausdrücklich beschriebenen Aufgaben und Anbieter freigegeben

Für DeepSeek V4 Flash Vision Exp zur Analyse von Chat-Inhalten wird OpenRouter technisch auf Fireworks, Zero Data Retention und abgelehnte Datensammlung begrenzt; Anbieter-Fallbacks sind gesperrt

Für Grok 4.6 wird OpenRouter auf xAI, für Claude Opus 5 und Claude Fable 5.1 auf Google Vertex und für GPT-6 Astra auf Microsoft Azure begrenzt; Datensammlung und Anbieter-Fallbacks sind gesperrt

Für Grok 4.6, Claude Opus 5 und GPT-6 Astra wird Zero Data Retention verlangt. Für Claude Fable 5.1 steht derzeit kein ZDR-Endpoint zur Verfügung; für diese offengelegte Ausnahme gelten die Aufbewahrungs- und Sicherheitsbedingungen von Google Cloud

Für die unmittelbar bei OpenAI, Google Gemini und Perplexity genutzten Wege besteht derzeit keine gesonderte Zero-Retention-Vereinbarung. Dort gelten die veröffentlichten Standardbedingungen des jeweiligen Anbieters für API-Kunden einschließlich einer befristeten Speicherung zur Missbrauchs- und Sicherheitsprüfung; eine Verwendung der Inhalte zum Modelltraining findet nach diesen Bedingungen nicht statt. Entsprechende Vereinbarungen sind beantragt; ihr Abschluss wird über eine neue Fassung dieses Vertrags offengelegt

Groq ist kein allgemeiner Ersatz für normale Widget-Antworten, sondern bleibt auf die in Ziffer 3 und der Datenschutzerklärung genannten Transkriptionszwecke beschränkt

Alibaba Cloud Model Studio ist kein Anbieter für normale Chat-Antworten, sondern auf die Übersetzung fester Widget-Texte nach Ziffer 4.3 beschränkt

Bereits laufende Konversationen werden nicht rückwirkend umgestellt

4.1 Begrenzung auf offengelegte Anbieter

Das Routing für die in Ziffer 3 beschriebenen Chat-, Konfigurations-, Website- und Wissensaufgaben ist auf die dort aufgeführten und genehmigten Unterauftragsverarbeiter begrenzt, einschließlich Scaleway S.A.S. für die direkte Textinferenz über Generative APIs in Paris. Die Auswahl eines passenden Modells innerhalb der beschriebenen Aufgabe und der gewählten Produktstufe ist Bestandteil der dokumentierten Weisung des Verantwortlichen aus dieser Klausel.

Kein neuer rechtlicher Anbieter wird von dieser Weisung erfasst; Scaleway ist bereits für die in Ziffer 3 beschriebenen Worker-Aufgaben benannt und wird hier für die beschriebenen direkten Textinferenz-Aufgaben und die gesonderte Ersatztranskription im Widget freigegeben

Die Abrechnung gegenüber dem Verantwortlichen richtet sich unverändert nach der von ihm gewählten Preis- und Leistungsstufe; weder die Wahl eines Modells innerhalb dieser Stufe noch ein Ersatz-Anbieter verursacht höhere Kosten

Die einmalige Zustimmung zu dieser AVV-Fassung erteilt die begrenzte Weisung für die hier genannten Aufgaben; neue Modellpräferenzen oder Toggles innerhalb desselben Umfangs erfordern keine weitere Zustimmung

Gelingt auch über die Ersatz-Anbieter keine Antwort, wird die betroffene Funktion vorübergehend als „nicht verfügbar" angezeigt; es werden keine weiteren Daten verarbeitet

Ist das Nutzungsguthaben des Verantwortlichen aufgebraucht, wird je Gespräch einmalig ein letzter Modellaufruf beim Standardanbieter ausgeführt, um dem Besucher einen kurzen Abschlusshinweis in der Gesprächssprache auszugeben. Übermittelt werden nur die letzten Nachrichten des laufenden Gesprächs; danach erfolgt bis zur Aufladung kein weiterer Modellaufruf für dieses Gespräch

4.2 Neue KI-Anbieter

Soll ein neuer rechtlicher KI-Anbieter aufgenommen oder ersetzt werden, gilt das Informations- und Widerspruchsverfahren aus Ziffer 3. Ein neuer Anbieter wird vor Abschluss dieses Verfahrens nicht eingesetzt. Die Datenschutzerklärung wird als Information bereitgestellt und nicht als Einwilligung behandelt. Bei einer wesentlichen Änderung von Zweck, Datenarten, Personengruppen, Region oder Schutzmaßnahmen wird der Umfang gesondert beschrieben und die dafür erforderliche Vertragsfreigabe eingeholt. Eine reine Modellwahl innerhalb des bereits angenommenen Umfangs löst keine neue Annahme aus.

Für die Spracheingabe im Widget ist nach einem Ausfall des gewählten Groq- oder OpenAI-Transkriptionsdienstes höchstens ein Ersatzdienst zulässig: Scaleway Whisper Large v3 in Paris gemäß der gesonderten Weisung in Ziffer 3. Es gelten die dort genannten Datenarten, Aufbewahrungsausnahmen und Schutzbedingungen. Teydra speichert Audio nicht dauerhaft; die Abrechnung bleibt an das gewählte Primärmodell gebunden. Bei einem vollständigen Ausfall bleibt ausschließlich die Spracheingabe vorübergehend nicht verfügbar.

4.3 Übersetzung von Widget-Texten

Mit Aktivierung der mehrsprachigen Oberfläche weist der Verantwortliche den Auftragsverarbeiter an, die in Ziffer 3 beschriebenen nicht-rechtlichen Widget-Texte einschließlich sichtbarer Labels und Artikelinhalte konfigurierter Chat-Embeds über Alibaba Cloud Model Studio mit Qwen-MT Flash in die ausgewählten Oberflächensprachen zu übersetzen. Ist diese Route technisch nicht verfügbar oder liefert sie keine verwendbare Antwort, darf ausschließlich für denselben Übersetzungsauftrag ersatzweise das in Ziffer 3 beschriebene Textmodell DeepSeek V4.1 Flash direkt über Scaleway Generative APIs in Paris (fr-par) eingesetzt werden. Übermittelt werden nur die betreffenden Widget-Texte, Sprachangaben, geschützten Begriffe und der erforderliche Übersetzungskontext; normale Besuchergespräche werden nicht für diese Übersetzung übermittelt. Dieselbe Ersatzroute gilt für den nachfolgend ausdrücklich angeforderten Betreiberhinweis-Entwurf. Die für Scaleway in Ziffer 3 genannten Speicher- und Schutzbedingungen gelten auch hier. Feste Datenschutz- und Bedingungstexte werden nicht maschinell erzeugt oder veröffentlicht. Für den eigenen ergänzenden Betreiberhinweis kann der Verantwortliche nach ausdrücklicher Bestätigung einen unverbindlichen maschinellen Entwurf anfordern. Dieser wird getrennt angezeigt, nicht automatisch gespeichert oder veröffentlicht und erst verwendet, wenn der Verantwortliche ihn selbst prüft, manuell in das Zielsprachfeld einfügt und veröffentlicht. Diese Verarbeitung ist vom Routing normaler Chat-Antworten getrennt. Die gespeicherten Übersetzungen sind Teil der Chatbot-Konfiguration. Private operative Auftragsdaten werden nach erfolgreicher Verarbeitung von den Ausgangstexten bereinigt und spätestens nach einem Tag gelöscht; ein gesonderter inhaltlicher Übersetzungsverlauf wird nicht geführt. Schlägt die Übersetzung fehl oder ist der aktuelle Legal-Status nicht feststellbar, bleibt nur diese Übersetzungsfunktion begrenzt und der Kernchat erreichbar.

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter gewährleistet folgende Schutzmaßnahmen gemäß Art. 32 DSGVO:

5.1 Verschlüsselung

TLS/HTTPS-Verschlüsselung für alle Datenübertragungen

Das produktive HostUp-Laufzeitvolume (ext4) ist nicht volume-verschlüsselt; HostUp DPA v2.0 beschreibt Serverplatten und Anbieter-Backups des VPS-Standarddienstes ebenfalls als nicht im Ruhezustand verschlüsselt. Teydra erstellt davon getrennte portable Offsite-Sicherungen mit AES-GCM-Verschlüsselung. Diese Sicherungsverschlüsselung bedeutet keine Verschlüsselung des HostUp-Laufzeitvolumes. Die getrennte Supabase-Cloud-Testdatenbank in Frankfurt nutzt die dort ausgewiesene At-Rest-Verschlüsselung.

Automatische At-Rest-Verschlüsselung der Medienobjekte in Cloudflare R2

5.2 Zugriffskontrolle

Row-Level Security (RLS) in Supabase für nutzerbasierte Datenisolierung

Service Role Keys nur in serverseitigen Edge Functions

Keine unbeschränkten Datenbankzugänge oder geheimen Datenbank-Zugangsdaten in Frontend-Clients; Zugriffe erfolgen über begrenzte Supabase-APIs beziehungsweise RPCs unter Anwendung von RLS und rollenbezogenen Berechtigungen

Kurzlebige, auf eine vorbereitete Datei begrenzte Upload-Adressen; Veröffentlichung erst nach serverseitiger Größen-, Typ-, Signatur- und Berechtigungsprüfung

Besucheranhänge sind zusätzlich an Chatbot, Gespräch und gehashte Browser-Sitzung gebunden; ein berechtigter Mitarbeiter erhält Originalinhalte nur über eine kurzlebige Download-Adresse

5.3 Authentifizierung

Supabase Auth mit E-Mail-Verifizierung

Passwörter werden ausschließlich als kryptografischer Hash gespeichert

5.4 Datenminimierung

Automatische Löschung von Konversationsdaten 30 Tage nach der letzten Aktivität der jeweiligen Konversation

Automatische Löschung nicht abgeschlossener Bild-Uploads nach spätestens 24 Stunden und von Livestream-Aufzeichnungen standardmäßig nach 30 Tagen, sofern sie nicht ausdrücklich dauerhaft gespeichert werden

Die dateigebundene KI-Zugriffsfreigabe für Widget-Anhänge gilt höchstens 24 Stunden. Gesendete Originale, technische Metadaten, Analysekopien, Videoframes, extrahierte Inhalte und Beschreibungen gespeicherter Gespräche werden mit dem Gespräch spätestens 30 Tage nach dessen letzter Aktivität gelöscht. Ungesendete Uploads und Dateien ohne Gesprächsspeicherung bleiben höchstens 24 Stunden verfügbar. Technisch fehlgeschlagene Objektlöschungen im getrennten privaten Speicher werden erneut versucht.

Analyse, Suchbegriffe und Vektor eines Chat-Inhalts werden mit dessen Entfernung beziehungsweise spätestens mit der Chatbot- oder Account-Löschung gelöscht

Sprache des Chats: Browser-Sprachen in Präferenzreihenfolge sowie die von der Website angegebene Sprache und Übersetzungsfreigabe

Alibaba Cloud erhält für die Übersetzungsfunktion nur feste Konfigurationstexte, nicht den laufenden Besucher-Chat; API-Schlüssel und Frankfurt-Endpoint bleiben serverseitig

IP-Adressen werden serverseitig durch Supabase verarbeitet und nicht dauerhaft in identifizierbarer Form gespeichert

5.5 Pseudonymisierung

UUIDs für Chatbots und Konversationen (kein Klartextbezug zu natürlichen Personen)

5.6 Datensicherung

Datensicherung und Wiederherstellung richten sich nach der für das eingesetzte Supabase-Projekt tatsächlich aktivierten und regelmäßig überprüften Backup-Konfiguration

Umfang, Aufbewahrung und Wiederherstellbarkeit der aktivierten Sicherungen werden intern dokumentiert und bei wesentlichen Änderungen überprüft; eine bestimmte Point-in-Time-Recovery-Leistung wird nur geschuldet, wenn sie ausdrücklich vereinbart oder für das Projekt aktiviert ist

5.7 Netzwerksicherheit

CORS-Regeln unterscheiden zwischen authentifizierten App-/Administrationszugriffen und ausdrücklich öffentlichen Widget-Endpunkten; Origins, Methoden und Header werden auf den jeweiligen technischen Zweck begrenzt, wobei öffentliche Einbettungen nur dort offen zugänglich sind, wo dies für das Widget erforderlich ist

Vertrauliche API-Schlüssel verbleiben serverseitig in Umgebungsvariablen; das öffentliche Embed-Script verwendet ausschließlich einen auf den Widget-Zugriff beschränkten Supabase-Anon-Key

6. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen ergeben sich aus:

Der Konfiguration im Dashboard (Provider-Wahl, Wissensbasis, Automatisierungen)

Diesem AVV

Individuellen schriftlichen Weisungen per E-Mail

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, wird er den Verantwortlichen unverzüglich darauf hinweisen.

7. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle mit der Verarbeitung personenbezogener Daten betrauten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Diese Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

8. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei:

Der Beantwortung von Anfragen betroffener Personen gemäß Art. 15–22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO)

Der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen der Aufsichtsbehörde gemäß Art. 35–36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO)

Der Auftragsverarbeiter stellt hierfür die technisch verfügbaren Informationen und Exportfunktionen bereit. Der Datenexport erfolgt im JSON-Format über die bereitgestellte Export-Funktion im Dashboard.

9. Löschung & Rückgabe

Account-Löschung: Alle zugehörigen Daten (Chatbot-Konfiguration, Wissensbasis, Konversationen, Token-Guthaben, Einstellungen und Medien-Metadaten) werden kaskadiert gelöscht; zugehörige Objekte in Cloudflare R2 und Stream werden über den serverseitigen Löschprozess entfernt

Konversationsdaten: Automatische Löschung 30 Tage nach der letzten Aktivität der jeweiligen Konversation

Medien: Veröffentlichte Bilder und Videos werden bei Löschung oder Ersetzung durch den Verantwortlichen entfernt; Livestream-Aufzeichnungen werden standardmäßig nach 30 Tagen gelöscht, sofern sie nicht ausdrücklich dauerhaft gespeichert wurden

Besucheranhänge: Die dateigebundene KI-Zugriffsfreigabe gilt höchstens 24 Stunden. Gesendete Originale, technische Runtime-Metadaten, Analysekopien, Videoframes, extrahierte Inhalte, Bestätigungsdaten, Beschreibungen und Anhangshinweise gespeicherter Gespräche werden mit dem Gespräch spätestens 30 Tage nach dessen letzter Aktivität gelöscht. Ungesendete Uploads und Anhänge ohne Gesprächsspeicherung bleiben höchstens 24 Stunden verfügbar. Bei einer ausdrücklich beauftragten Übernahme in ein Support- oder Zielsystem gelten dort dessen offengelegte Löschregeln.

Chat-Inhalte: Abgeleitete Namen, Beschreibungen, Verwendungsregeln und Vektoren werden bei Entfernung des Inhalts, des Chatbots oder des Accounts gelöscht

Datenexport: Vor einer Account-Löschung kann der Verantwortliche seine Daten über die bereitgestellte Export-Funktion im JSON-Format herunterladen (Art. 20 DSGVO)

Nach Vertragsende und Ablauf eventueller Aufbewahrungsfristen werden alle personenbezogenen Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Dies kann erfolgen durch:

Einsicht in Dokumentationen und Nachweise

Schriftliche Auskunftsersuchen

Vor-Ort-Prüfungen nach angemessener Vorankündigung (mindestens 14 Tage)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Vor-Ort-Prüfungen sind grundsätzlich auf eine Prüfung pro Kalenderjahr beschränkt. Diese Begrenzung gilt nicht nach einer erheblichen Datenschutzverletzung, bei einem konkret begründeten Verdacht auf einen erheblichen Verstoß, auf Anordnung einer zuständigen Aufsichtsbehörde oder soweit zwingendes Recht eine weitere Prüfung erfordert. Die Kosten einer Vor-Ort-Prüfung (insbesondere Reise-, Personal- und Beratungskosten) trägt der Verantwortliche, sofern die Prüfung keine Verstöße des Auftragsverarbeiters offenlegt und nicht durch einen vom Auftragsverarbeiter zu vertretenden Anlass erforderlich wurde.

11. Meldepflichten bei Datenpanne

Der Auftragsverarbeiter informiert den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten unverzüglich und ohne unangemessene Verzögerung (Art. 33 Abs. 2 DSGVO). Soweit zum Zeitpunkt der ersten Meldung noch nicht alle Informationen vorliegen, werden verfügbare Angaben zunächst übermittelt und weitere Informationen ohne unangemessene Verzögerung nachgereicht. Die Meldung enthält, soweit jeweils verfügbar:

Art der Datenpanne

Betroffene Datenkategorien und ungefähre Anzahl der Betroffenen

Wahrscheinliche Folgen

Ergriffene und vorgeschlagene Maßnahmen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den Betroffenen.

Datenpannen bei Unterauftragsverarbeitern: Wird dem Auftragsverarbeiter eine Datenpanne bei einem Unterauftragsverarbeiter (z. B. OpenAI, Google, Stripe) bekannt, informiert er den Verantwortlichen unverzüglich und leitet alle verfügbaren Informationen des Unterauftragsverarbeiters weiter. Der Auftragsverarbeiter wirkt auf den Unterauftragsverarbeiter ein, um die Ursache zu beheben und weitere Datenpannen zu verhindern.

12. Datenschutzbeauftragter & Kontakt

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Ob eine Benennung gesetzlich erforderlich ist, richtet sich nach den Voraussetzungen des Art. 37 DSGVO und nicht allein nach der Rechtsform des Unternehmens.

Ansprechpartner für Datenschutzangelegenheiten: E-Mail: official@teydralab.com

Zuständige Aufsichtsbehörde: Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien www.dsb.gv.at

Projekte und öffentliche Quellen