Auftragsverarbeitungsvertrag (AVV) für den Cloud-Dienst fairyfly

Stand: 13. November 2026 · Version 1.0

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag ist auch in englischer Übersetzung verfügbar; rechtlich maßgeblich ist die deutsche Fassung.

zwischen dem Kunden im Sinne der Nutzungsbedingungen für den Cloud-Dienst fairyfly (https://fairyfly.io/agb) – „Verantwortlicher“ –

und der

DataZoo GmbH, Quellenstraße 7, 70376 Stuttgart, Deutschland, vertreten durch die Geschäftsführer Dr. Simon Müller und Joachim Rosskopf, Amtsgericht Stuttgart, HRB 769481 – „Auftragsverarbeiter“ oder „DataZoo“ –

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch DataZoo im Auftrag des Verantwortlichen bei der Erbringung des Cloud-Dienstes fairyfly unter fairyfly.io („Dienst“) nach den Nutzungsbedingungen für den Cloud-Dienst fairyfly („Nutzungsbedingungen“).

2. Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen und die Speicherfristen beschreibt Anlage 1.

3. Die Dauer dieses Vertrags entspricht der Laufzeit des Vertrags nach den Nutzungsbedingungen. Die Pflichten aus diesem Vertrag gelten darüber hinaus, solange DataZoo personenbezogene Daten des Verantwortlichen verarbeitet (§ 11).

§ 2 Geltungsbereich, Verantwortlichkeit

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er entscheidet insbesondere, welche Personen er einlädt, welche Desktops er koppelt, welche KI-Assistenten er verbindet, welche Daten diese aus SAP abrufen, ob Änderungen in SAP erlaubt sind und ob das Audit-Trail mit Bildschirmfotos eingeschaltet wird.

2. Dieser Vertrag gilt für alle Verarbeitungen nach Anlage 1. Bei Widersprüchen geht dieser Vertrag für die Verarbeitung im Auftrag den Nutzungsbedingungen vor.

3. Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die DataZoo selbst Verantwortlicher ist. Dazu gehören die Website fairyfly.io, die Registrierung, Vertragsabwicklung und Abrechnung mit dem Verantwortlichen, die Kommunikation mit DataZoo, gesetzliche Aufbewahrungspflichten und die Sicherheit und Missbrauchsabwehr des Dienstes einschließlich des gesperrten Audit-Logs (400 Tage) und der technischen Betriebs-Logs (30 Tage). Einzelheiten enthält die Datenschutzerklärung unter https://fairyfly.io/datenschutz.

4. Die Anbieter der KI-Assistenten, die der Verantwortliche mit dem Dienst verbindet, sind keine Unterauftragsverarbeiter von DataZoo. Der Verantwortliche nutzt sie auf Grundlage eigener Verträge (§ 7 der Nutzungsbedingungen).

§ 3 Weisungen

1. DataZoo verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, DataZoo ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt DataZoo dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Die Weisungen sind abschließend dokumentiert in

   • diesem Vertrag und den Nutzungsbedingungen,
   • den Einstellungen und Handlungen, die Eigentümer und Administratoren des Verantwortlichen in der Web-Anwendung vornehmen (z. B. Nutzer einladen oder entfernen, Desktops koppeln oder sperren, Änderungen in SAP erlauben, Audit-Trail und Aufbewahrungsdauer festlegen, SIEM anbinden, Anmeldung beschränken, Organisation schließen), und
   • den Aufrufen der KI-Assistenten, die der Verantwortliche verbindet und die seine Nutzer veranlassen, im Rahmen dieser Einstellungen.

3. Einzelweisungen erteilen Eigentümer oder Administratoren des Verantwortlichen in Textform an cloud@fairyfly.io. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Antrag auf Leistungsänderung. Kann DataZoo eine solche Weisung nicht umsetzen, teilt DataZoo dies dem Verantwortlichen mit.

4. DataZoo informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von DataZoo gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. DataZoo kann die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 4 Pflichten des Auftragsverarbeiters

1. DataZoo verarbeitet die personenbezogenen Daten nur im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen und nicht für eigene Zwecke; § 2 Abs. 3 bleibt unberührt.

2. Die Daten werden in Rechenzentren in der Europäischen Union gespeichert (Anlage 3). Ausnahmen: Der Load Balancer und Google Cloud Armor arbeiten am globalen Netzrand von Google; die TLS-Verbindung kann dort auch außerhalb der EU enden. E-Mails verarbeitet Google Workspace nach dessen Bedingungen. Für Übermittlungen in ein Drittland gilt § 9.

3. DataZoo führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

4. DataZoo hat keinen Datenschutzbeauftragten benannt. Ansprechpartner für den Datenschutz ist DataZoo unter cloud@fairyfly.io. Der Verantwortliche nennt DataZoo auf Anfrage einen Ansprechpartner; im Zweifel gelten die Eigentümer der Organisation als Ansprechpartner.

5. DataZoo informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen, und über Anfragen von Behörden zu Daten des Verantwortlichen, soweit dies rechtlich zulässig ist.

§ 5 Vertraulichkeit

1. DataZoo gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

2. Zugriff auf personenbezogene Daten des Verantwortlichen erhalten nur die Personen bei DataZoo, die ihn für Betrieb und Support des Dienstes benötigen, und nur in dem dafür erforderlichen Umfang. Die Pflicht zur Vertraulichkeit gilt über das Ende ihrer Tätigkeit hinaus.

§ 6 Technische und organisatorische Maßnahmen

1. DataZoo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Sie sind Bestandteil dieses Vertrags.

2. Die Maßnahmen unterliegen dem technischen Fortschritt. DataZoo darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht sinken. Wesentliche Änderungen dokumentiert DataZoo und aktualisiert Anlage 2.

3. Für die Sicherheit der Bereiche, die der Verantwortliche selbst betreibt (insbesondere PCs mit der Desktop-Anwendung, SAP-Systeme, Anmeldekonten der Nutzer, SIEM und die verbundenen KI-Assistenten), ist der Verantwortliche verantwortlich (§§ 4 und 5 der Nutzungsbedingungen).

§ 7 Unterstützung des Verantwortlichen

1. Rechte der betroffenen Personen. DataZoo unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO. Viele Anliegen kann der Verantwortliche selbst in der Web-Anwendung erledigen (z. B. Nutzer entfernen, Audit-Daten als CSV/JSON und Audit-Trail-Sitzungen als ZIP exportieren). Wendet sich eine betroffene Person direkt an DataZoo, leitet DataZoo das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, außer auf Weisung des Verantwortlichen.

2. Weitere Pflichten. DataZoo unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch die Informationen in diesem Vertrag, in Anlage 2 und in der Datenschutzerklärung.

3. Für Unterstützungsleistungen, die über die Funktionen des Dienstes und die Informationen nach Absatz 2 hinausgehen, kann DataZoo eine angemessene Vergütung verlangen, wenn DataZoo dies vorher in Textform ankündigt. Das gilt nicht, wenn die Unterstützung auf einem Verstoß von DataZoo gegen diesen Vertrag oder die DSGVO beruht.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt DataZoo die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3; sie gelten als genehmigt.

2. DataZoo informiert die Eigentümer der Organisation mindestens vier Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail) und aktualisiert Anlage 3 auf fairyfly.io. Die Mitteilung nennt den Unterauftragsverarbeiter, seine Leistung, den Ort der Verarbeitung und die Grundlage einer etwaigen Drittlandübermittlung.

3. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen in Textform an cloud@fairyfly.io widersprechen. Die Parteien bemühen sich dann um eine einvernehmliche Lösung. Kommt keine Lösung zustande, kann der Verantwortliche den Vertrag jederzeit nach § 14 Abs. 2 der Nutzungsbedingungen beenden; DataZoo kann den Vertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen, wenn DataZoo den Dienst ohne ihn nicht erbringen kann.

4. DataZoo erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet DataZoo gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

5. Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen Dritter, bei denen DataZoo keine personenbezogenen Daten des Verantwortlichen im Auftrag verarbeiten lässt, und Dienste, die der Verantwortliche selbst auswählt oder mit eigenem Vertrag nutzt (Anlage 3, Teil B).

§ 9 Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums durch DataZoo oder seine Unterauftragsverarbeiter erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

2. Die eingesetzten Unterauftragsverarbeiter gehören zu einem Konzern mit Sitz in den USA. Für etwaige Übermittlungen in die USA gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die in den Auftragsverarbeitungsbedingungen von Google Cloud und Google Workspace enthalten sind; soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Einzelheiten je Unterauftragsverarbeiter nennt Anlage 3.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. DataZoo meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem DataZoo sie bekannt geworden ist, auch wenn noch nicht alle Angaben vorliegen. Die Meldung geht per E-Mail von cloud@fairyfly.io an die Eigentümer der Organisation. Ansprechpartner von DataZoo für den Vorfall ist cloud@fairyfly.io. Ist der Versand per E-Mail nicht möglich, weist DataZoo auf https://fairyfly.io (ohne personenbezogene Daten und ohne Namen von Kunden) darauf hin, dass sich die Eigentümer unter cloud@fairyfly.io melden sollen.

2. Die Meldung enthält, soweit DataZoo bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, einen Ansprechpartner, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Angaben, die noch nicht vorliegen, reicht DataZoo schrittweise nach.

3. DataZoo ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Verantwortlichen ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen (Art. 33, 34 DSGVO) nimmt der Verantwortliche vor; DataZoo unterstützt ihn dabei (§ 7 Abs. 2).

§ 11 Löschung und Rückgabe nach Vertragsende

1. Während der Vertragslaufzeit löscht DataZoo personenbezogene Daten nach den Speicherfristen in Anlage 1 und auf Weisung des Verantwortlichen, z. B. wenn ein Administrator einen Nutzer oder Desktop entfernt.

2. Rückgabe. Der Verantwortliche kann seine Audit-Daten bis zum Ende des Vertrags selbst exportieren (CSV/JSON; Audit-Trail-Sitzungen als ZIP), bei einer Kündigung durch DataZoo bis zu deren Wirksamwerden. Schließt der Verantwortliche die Organisation selbst, wählt er damit die Löschung der übrigen Daten nach Absatz 3.

3. Löschung. Die Löschung beginnt erst mit dem Ende des Vertrags: mit dem Schließen der Organisation durch den Verantwortlichen (§ 14 Abs. 2 der Nutzungsbedingungen) oder mit dem Wirksamwerden einer anderen Kündigung; dann schließt DataZoo die Organisation. Ab diesem Zeitpunkt

   • löscht DataZoo sofort die E-Mail-Adressen, Namen und Anbieter-Kennungen aller Nutzer, sperrt die Desktops und löscht deren Rechnernamen,
   • löscht DataZoo unverzüglich die Bildschirmfotos und Feldänderungen des Audit-Trails,
   • löscht DataZoo die übrigen Datensätze der Organisation (insbesondere Organisation mit Name und Domain, Nutzer, Desktops, Einladungen) 90 Tage nach dem Schließen automatisch endgültig,
   • löscht DataZoo Daten, für die Anlage 1 eine eigene Frist nennt (insbesondere Schrittprotokolle des Audit-Trails und Nutzungszähler: 400 Tage; Kopien versandter E-Mails: höchstens 12 Monate), spätestens mit Ablauf dieser Frist.

   Kopien gelöschter Daten in den Datenbanksicherungen und in der Wiederherstellung auf einen früheren Zeitpunkt sind spätestens 7 Tage nach der jeweiligen Löschung ebenfalls entfernt (Anlage 2 Abschnitt 4).

4. Ausgenommen sind Daten, die DataZoo nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, und Daten, die DataZoo als Verantwortlicher verarbeitet (§ 2 Abs. 3). Vom Datensatz der Organisation selbst bleiben nach der endgültigen Löschung nur deren Kennung, die Zeitpunkte (Anlage, Schließung, Löschung) und die Kunden- und Abonnementkennung bei Paddle (Verbindung zu Abrechnungsunterlagen) erhalten.

5. Auf Anfrage in Textform bestätigt DataZoo dem Verantwortlichen die Löschung.

§ 12 Nachweise und Kontrollen

1. DataZoo stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung, insbesondere diesen Vertrag mit seinen Anlagen, Auskünfte in Textform und, soweit vorhanden, Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate und Prüfberichte).

2. DataZoo ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei. Der Prüfer darf kein Wettbewerber von DataZoo sein und muss zur Vertraulichkeit verpflichtet sein. Inspektionen kündigt der Verantwortliche mit angemessener Frist, in der Regel mindestens 14 Tage vorher, in Textform an; sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Ohne besonderen Anlass (z. B. eine Verletzung nach § 10) finden sie höchstens einmal im Kalenderjahr statt.

3. Die Rechenzentren betreibt der Unterauftragsverarbeiter Google Cloud (Anlage 3). Kontrollen dort erfolgen über die Nachweise nach Absatz 1, soweit der Unterauftragsverarbeiter keine Inspektion vor Ort zulässt.

4. Jede Partei trägt ihre eigenen Kosten der Kontrolle. § 7 Abs. 3 gilt entsprechend für Aufwand, der über Absatz 1 hinausgeht.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gilt § 13 der Nutzungsbedingungen.

§ 14 Laufzeit, Änderungen, Schlussbestimmungen

1. Dieser Vertrag kommt zusammen mit dem Vertrag nach den Nutzungsbedingungen zustande (§ 2 der Nutzungsbedingungen) und wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Er endet mit diesem Vertrag; § 1 Abs. 3 und § 11 bleiben unberührt.

2. Änderungen dieses Vertrags erfolgen nach § 15 der Nutzungsbedingungen; für die Unterauftragsverarbeiter gilt § 8.

3. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

4. Im Übrigen gelten die Nutzungsbedingungen, insbesondere § 16 (anwendbares Recht, Gerichtsstand).

Anlage 1 – Gegenstand, Arten von Daten, betroffene Personen

1. Art und Zweck der Verarbeitung

DataZoo betreibt für den Verantwortlichen den Dienst fairyfly: ein Cloud-Gateway, das KI-Assistenten des Verantwortlichen über das Model Context Protocol (MCP) mit der Desktop-Anwendung fairyfly auf Windows-PCs des Verantwortlichen verbindet, und eine Web-Anwendung zur Verwaltung. Die Verarbeitung umfasst:

• Anmeldung der Nutzer, Verwaltung der Organisation, der Nutzer, der Einladungen, der Desktops und der KI-Verbindungen,
• Weiterleitung der Aufrufe der KI-Assistenten an den Desktop und der Ergebnisse zurück; SAP-Inhalte liegen dabei nur für die Dauer des einzelnen Aufrufs im Arbeitsspeicher und werden vom Gateway nicht gespeichert und nicht protokolliert,
• Anzeige, Export und – falls eingerichtet – Weiterleitung der Audit-Einträge der Organisation an deren SIEM,
• Speicherung und Anzeige des Audit-Trails mit Bildschirmfotos, falls der Verantwortliche es einschaltet,
• Erfassung der Nutzung (Operationen) für das Freikontingent, die Abrechnung und die Anzeige in der Web-Anwendung,
• Versand von E-Mails an Nutzer (Einladungen, Budget-Hinweise, tägliche Nutzungszusammenfassung ohne Angaben zu einzelnen Nutzern),
• Löschung nach den Fristen unten und nach § 11.

Zweck ist die Erbringung des Dienstes nach den Nutzungsbedingungen.

2. Kategorien betroffener Personen

• Nutzer des Verantwortlichen (Eigentümer, Administratoren, Mitglieder), in der Regel Mitarbeiter oder vom Verantwortlichen beauftragte Personen,
• eingeladene Personen,
• Personen, deren Daten in SAP angezeigt und über den Dienst weitergeleitet oder im Audit-Trail aufgezeichnet werden (z. B. Mitarbeiter, Kunden, Lieferanten, Geschäftspartner und Ansprechpartner des Verantwortlichen).

3. Arten personenbezogener Daten und Speicherfristen

Alle Löschungen und Fristen in dieser Tabelle betreffen den aktiven Datenbestand. Kopien in den Datenbanksicherungen und in der Wiederherstellung auf einen früheren Zeitpunkt (Anlage 2 Abschnitt 4) sind spätestens 7 Tage nach der Löschung ebenfalls entfernt; das gilt auch für Daten, die „sofort“ gelöscht werden. Bildschirmfotos des Audit-Trails werden nicht gesichert.

4. Besondere Kategorien personenbezogener Daten

Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Je nachdem, welche SAP-Inhalte der Verantwortliche über den Dienst abruft oder im Audit-Trail aufzeichnet (z. B. aus Personalanwendungen), können sie dennoch betroffen sein. Der Verantwortliche entscheidet darüber und prüft die Zulässigkeit.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung und Pseudonymisierung

• Verschlüsselung aller Verbindungen mit TLS 1.2 oder höher; verschlüsselte Verbindung zwischen Gateway und Desktop (WebSocket über TLS); verschlüsselte Verbindung zwischen den Gateway-Instanzen.
• Verschlüsselung gespeicherter Daten.
• Bildschirmfotos des Audit-Trails in einem privaten Speicher, verschlüsselt mit einem eigenen Schlüssel in Cloud KMS (HSM), der alle 90 Tage rotiert wird.
• Signierte Aufrufe mit HSM-geschützten Schlüsseln je Organisation (Cloud KMS).
• Für KI-Verbindungen speichert der Dienst nur Hashwerte der Aktualisierungs-Token; Einladungscodes nur als Hashwerte.
• Beim Koppeln wird die IP-Adresse auf die ersten drei Blöcke gekürzt und nur 5 Minuten gespeichert.
• Konten werden über Aussteller und Konto-Kennung des Anmeldeanbieters erkannt.
• Der private Schlüssel des Desktops verlässt den PC nicht; er ist unter Windows mit DPAPI geschützt.

2. Vertraulichkeit

Zutrittskontrolle. DataZoo betreibt keine eigenen Rechenzentren. Der Dienst läuft bei Google Cloud (Anlage 3); die physische Sicherheit der Rechenzentren richtet sich nach den Auftragsverarbeitungsbedingungen von Google Cloud.

Zugangskontrolle.

• Anmeldung der Nutzer nur über OpenID Connect bei Google oder Microsoft Entra ID; DataZoo erhält und speichert keine Passwörter. Persönliche Microsoft-Konten werden abgelehnt.
• Der Verantwortliche kann die Anmeldung auf seine Google-Workspace-Domain oder seinen Entra-Mandanten beschränken.
• Sitzungscookie mit den Attributen HttpOnly, Secure und SameSite=Lax; Sitzungsdauer 8 Stunden; Schutz des Anmeldevorgangs durch einen Zustandswert mit 10 Minuten Gültigkeit.
• Zugriffs-Token der KI-Verbindungen gelten 10 Minuten, Aktualisierungs-Token 30 Tage (rollierend).
• Desktops werden nur nach Bestätigung im Browser durch den angemeldeten Nutzer gekoppelt; die Bestätigungsseite zeigt die gekürzte IP-Adresse und den ungefähren Standort der Anfrage. Ein Kopplungsangebot gilt 5 Minuten.
• Beim Entfernen eines Nutzers endet dessen Zugang sofort und seine Desktops werden gesperrt.
• Web Application Firewall (Google Cloud Armor) mit Begrenzung der Anfragen je IP-Adresse.

Zugriffskontrolle.

• Rollen Eigentümer, Administrator und Mitglied mit abgestuften Rechten.
• Ändernde Aktionen in SAP sind standardmäßig gesperrt („Nur lesen“); Änderungen benötigen die Freigabe der Organisation und eine Bestätigung durch die Person am PC.
• Bildschirmfotos des Audit-Trails können nur Eigentümer und Administratoren der Organisation sowie die Person am PC für ihre eigenen Sitzungen einsehen; jeder Abruf wird protokolliert.
• Bei DataZoo erhalten nur die Personen Zugriff, die ihn für Betrieb und Support benötigen; Aktionen von Betreibern des Dienstes werden mit deren E-Mail-Adresse im Audit-Log protokolliert.
• Zugriffe auf gespeicherte Daten außerhalb des Dienstes werden protokolliert.
• Zugangsdaten und Schlüssel des Dienstes liegen in Google Secret Manager bzw. Cloud KMS.

Trennungskontrolle. Trennung der Organisationen in allen Datenpfaden; eigene Signaturschlüssel je Organisation.

Datenminimierung.

• SAP-Inhalte (Bildschirminhalte, Feldwerte, Argumente, Ergebnisse) werden vom Gateway nicht gespeichert und nicht protokolliert.
• Das Audit-Trail mit Bildschirmfotos ist standardmäßig ausgeschaltet. Passwortfelder werden immer, Bankfelder standardmäßig bereits auf dem PC unkenntlich gemacht; ein PC, der nicht schwärzen kann, sendet keine Bildschirmfotos. Während das Audit-Trail läuft, sieht die Person am PC einen Hinweis.
• Die tägliche Nutzungszusammenfassung enthält nur Gesamtzahlen der Organisation.
• Die Web-Anwendung verwendet keine Analyse- oder Tracking-Werkzeuge und lädt keine externen Schriftarten; die Desktop-Anwendung sendet keine Telemetrie.

3. Integrität

Weitergabekontrolle. Verschlüsselte Übertragung (Abschnitt 1). Audit-Einträge gehen an ein SIEM nur, wenn der Verantwortliche es einrichtet.

Eingabekontrolle. Für jeden Aufruf eines KI-Assistenten und jede administrative Aktion schreibt der Dienst einen Audit-Eintrag (Zeitpunkt, Nutzer, KI-Client, Funktion, Entscheidung, Bestätigung am Desktop, Ergebnis, Desktop, Anfrage-ID; ohne SAP-Inhalte). Das Audit-Log liegt 400 Tage in einem gesperrten Speicher, der eine vorzeitige Änderung oder Löschung technisch ausschließt. Der Verantwortliche kann die Einträge seiner Organisation einsehen, exportieren und an sein SIEM weiterleiten.

4. Verfügbarkeit und Belastbarkeit

• Betrieb auf Google Cloud in den Regionen nach Anlage 3; Datenbank (Firestore) als Multi-Region-Datenbank in der EU (eur3: Belgien und Niederlande).
• Schutz vor Überlastung durch Begrenzung der Anfragen je IP-Adresse (Google Cloud Armor).
• Die Datenbank wird täglich gesichert; zusätzlich ist eine Wiederherstellung auf jeden Zeitpunkt der letzten 7 Tage möglich. Sicherungen liegen in der EU (eur3) und werden nach 7 Tagen gelöscht; gelöschte Daten sind spätestens 7 Tage nach ihrer Löschung auch aus allen Sicherungen entfernt. Bildschirmfotos des Audit-Trails werden nicht gesichert. Die Wiederherstellung aus der Sicherung wird monatlich getestet und protokolliert.

5. Löschung

• Täglicher automatischer Löschlauf: Entfernte Nutzer, Desktops, Einladungen und geschlossene Organisationen werden 90 Tage nach dem jeweiligen Ereignis endgültig gelöscht.
• Bildschirmfotos des Audit-Trails werden nach der gewählten Frist automatisch gelöscht (Lebenszyklusregeln, ohne verzögerte Wiederherstellung); Betriebs- und Server-Logs nach 30 Tagen.
• Kopien in den Datenbanksicherungen sind spätestens 7 Tage nach der Löschung entfernt (Abschnitt 4).

6. Sicherheitsvorfälle

• DataZoo unterhält ein dokumentiertes Verfahren zur Behandlung von Sicherheitsvorfällen und dokumentiert jede Verletzung des Schutzes personenbezogener Daten.

Anlage 3 – Unterauftragsverarbeiter

A. Genehmigte Unterauftragsverarbeiter

B. Keine Unterauftragsverarbeiter von DataZoo

Die folgenden Stellen erhalten Daten in eigener Verantwortung oder auf Grundlage eigener Verträge des Verantwortlichen; sie sind keine Unterauftragsverarbeiter von DataZoo:

• die Anbieter der KI-Assistenten, die der Verantwortliche verbindet (z. B. Anthropic, OpenAI, Microsoft, Google),
• das SIEM des Verantwortlichen,
• Google und Microsoft als Anmeldeanbieter (Anmeldung per OpenID Connect; Prüfung von Google-Zugriffstoken bei Gemini Enterprise),
• Google Public DNS (Abfrage nur des Domainnamens zur Domainbestätigung),
• GitHub, Inc. (Download und Update-Prüfung der Desktop-Anwendung; öffentliche GitHub Issues für den Support, § 8 Abs. 4 der Nutzungsbedingungen),
• Microsoft (Microsoft Store) für die Store-Version der Desktop-Anwendung,
• Paddle.com Market Ltd. (London, Vereinigtes Königreich) als Merchant of Record für Zahlung, Rechnungen und Umsatzsteuer (§ 9 der Nutzungsbedingungen); Paddle ist für die Zahlungsdaten eigenständig verantwortlich.