Separate Annex-Dokumente. Die folgenden Inhalte sind zusätzlich als eigenständig versendbare Annexe verfügbar — geeignet für Einkaufs-, DSB- oder Audit-Prozesse, in denen nur ein Teilaspekt geprüft wird:
- Annex A — Liste der Unterauftragsverarbeiter (entspricht §4)
- Annex B — Technische und organisatorische Maßnahmen (TOM) (entspricht §6 + §7)
- Annex C — AI Data Processing Addendum (bündelt §1.1, §4 Standardpfad, §5.4, §5.6)
Hinweis: Felder zur juristischen Firmierung in §0 sind aktuell mit
[TBD] markiert und werden vor Versand an einen konkreten Kunden ausgefüllt. Bitte vor Weitergabe prüfen.- Über uns — Firmierung und Verantwortliche
- Rollenmodell — Verantwortlicher und Auftragsverarbeiter
- Auftragsverarbeitungsvertrag (AVV) — Mustervereinbarung
- High-Level-Architektur und Datenflüsse
- Unterauftragsverarbeiter — wen wir einsetzen und wofür
- Verarbeitete Daten, betroffene Personen, Zwecke
- Technische Maßnahmen (TOM nach Art. 32 DSGVO)
- Organisatorische Maßnahmen
- Datenschutz- und Löschkonzept
- Erfüllung von Betroffenenrechten
- Wie wir die tatsächliche Löschung sicherstellen
- Kontakte und Änderungsmitteilungen
0. Über uns — Firmierung und Verantwortliche
- Vollständige juristische Firmierung:
[TBD] - Anschrift:
[TBD] - Vertretungsberechtigte:
[TBD] - Handelsregister:
[TBD — HRB / Amtsgericht] - USt-IdNr.:
[TBD] - Datenschutzbeauftragte: Claire Fahmy (
privacy@genie-app.de) - EU-Representative (Art. 27 DSGVO): nicht erforderlich — Sitz in der EU
- Hauptansprechpartner Security / Privacy:
privacy@genie-app.de/security@genie-app.de
1. Rollenmodell — Verantwortlicher und Auftragsverarbeiter
Genie verarbeitet personenbezogene Daten in mehreren klar getrennten Rollen:- Auftragsverarbeiter im Sinne von Art. 28 DSGVO — für Daten, die unmittelbar im Rahmen der Genie-Dienste anfallen (Identitäts- und Profildaten, Chat- und Projektinhalte, kundenseitige Konfigurationen, weisungsgebundene Betriebsverarbeitung). Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde. Rechtsgrundlage und Pflichten siehe §2 (AVV).
- Eigene Verantwortlichkeit von Genie für eingegrenzte Zwecke. Soweit Genie personenbezogene Daten zur Erfüllung eigener gesetzlicher Verpflichtungen, zur Abrechnung, zur Gewährleistung der Sicherheit und Integrität der Plattform, zur Missbrauchsprävention oder zur Durchsetzung eigener Rechtsansprüche verarbeitet, erfolgt dies in eigener Verantwortlichkeit gemäß Art. 4 Nr. 7 DSGVO. Dies betrifft insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten, Sicherheits- und Audit-Logs, Incident-Response-Prozesse, Missbrauchserkennung sowie Compliance- und Nachweispflichten. Die jeweiligen Rechtsgrundlagen sind in §5.3 dokumentiert.
- Kundeneigene Supabase-Projekte — weisungsgebundene Verarbeitung. Inhalte kundeneigener Supabase-Projekte verarbeitet Genie grundsätzlich nicht zu eigenen Zwecken und agiert insoweit ausschließlich weisungsgebunden. Der Kunde bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Genie hält ausschließlich Management-API-Credentials und hat keine operative Sichtbarkeit auf den Inhalt dieser Datenbanken. Soweit technische Administrations- oder Supportzugriffe erforderlich sind, erfolgen diese ausschließlich auf dokumentierte Weisung des Verantwortlichen oder zur Vertragserfüllung; sie sind zugriffsprotokolliert (§6.1, §7.6) und unterliegen dem Vier-Augen-Prinzip nach §7.7.
1.1 Shared Responsibility — Verantwortungsabgrenzung Kunde / Genie
Genie stellt die Plattform und die zugrunde liegenden Verarbeitungsfunktionen bereit. Der Kunde bleibt verantwortlich für die Rechtmäßigkeit der in seine Projekte eingebrachten Inhalte, Datenkategorien und Verarbeitungszwecke. Das umfasst insbesondere:- Inhalte und Datenkategorien, die der Kunde über Prompts, Uploads, eigene Datenmodelle oder Edge Functions verarbeitet;
- die Auswahl und Konfiguration optionaler LLM-Anbieter im jeweiligen Workspace (§4);
- Datenflüsse zwischen kundeneigenen Edge Functions und Drittsystemen;
- die Bewertung, ob die jeweilige Verarbeitung eine DSFA (§5.6) oder eine ausdrückliche Einwilligung der Betroffenen erfordert;
- die Information der eigenen Endnutzer nach Art. 13 / 14 DSGVO.
2. Auftragsverarbeitungsvertrag (AVV) — Mustervereinbarung
Unseren Standard-AVV stellen wir auf Anfrage anprivacy@genie-app.de als gegengezeichnete PDF bereit. Die folgende Vorlage entspricht inhaltlich dieser PDF und kann durch den DSB des Kunden vorab geprüft werden.
2.1 Vertragsparteien
- Verantwortlicher: der im Genie-Bestellformular benannte Kunde.
- Auftragsverarbeiter: die im Genie-Bestellformular benannte Genie-Gesellschaft (siehe §0).
2.2 Gegenstand und Dauer der Verarbeitung
Verarbeitung personenbezogener Daten zum Zweck der Erbringung des Genie-Dienstes gemäß Bestellformular. Der AVV läuft für die Laufzeit des zugrunde liegenden Hauptvertrags und endet mit der Löschung der Kundendaten gemäß §8.2.3 Art und Zweck der Verarbeitung
Betrieb einer gehosteten Anwendungsentwicklungsplattform: Identität, Projekthosting, LLM-gestützte Codegenerierung, Deployment in ein kundeneigenes Supabase-Projekt, Observability und Kundensupport. Verarbeitungen in eigener Verantwortlichkeit von Genie (insbesondere Abrechnung, steuer- und handelsrechtliche Aufbewahrung, Sicherheits- und Audit-Logs, Incident Response, Missbrauchsprävention) sind nicht Gegenstand dieses AVV; siehe §1 und §5.3.2.4 Art der personenbezogenen Daten und Kategorien betroffener Personen
Siehe §5 dieses Dokuments; dieser Abschnitt ist durch Verweis Bestandteil des AVV.2.5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter:- verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Bestellformular, dieser AVV und Tickets über
privacy@genie-app.degelten als dokumentierte Weisungen); - verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit;
- setzt die TOM nach §6 um und hält sie aktuell;
- setzt Unterauftragsverarbeiter nur gemäß §4 ein und kündigt das Hinzunehmen oder Ersetzen mindestens 30 Tage vorher an (Widerspruchsrecht nach Art. 28 Abs. 2 DSGVO);
- unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten nach §9;
- unterstützt bei Sicherheitsvorfällen, DSFA und vorheriger Konsultation gemäß Art. 28 Abs. 3 lit. f DSGVO;
- löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten bei Vertragsende zurück (§8 / §10);
- stellt alle zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Audits nach §2.7.
2.6 Unterauftragsverarbeiter
Aufgeführt in §4. Die zum Zeitpunkt der Unterzeichnung gültige Liste ist die vereinbarte Ausgangslage; nachfolgende Änderungen erfolgen nach dem 30-Tage-Verfahren oben.2.7 Auditrechte
Der Verantwortliche kann die Einhaltung des AVV prüfen:- durch Einsicht in dieses Dokument und das verlinkte, an ISO-27001-Controls ausgerichtete Evidenzpaket;
- durch Anforderung der aktuellen SOC-2-Type-II- oder gleichwertigen Auditberichte unserer Unterauftragsverarbeiter;
- soweit verfügbar, durch Bereitstellung standardisierter Security- und Datenschutz-Questionnaires (z. B. CAIQ, SIG Lite, VSA) und Evidenzdokumente (Pentest-Zusammenfassungen, ISO-27001-aligniertes Evidenzpaket, AVVs der Subprozessoren) auf Anfrage über
privacy@genie-app.de; - einmal pro Kalenderjahr durch ein Vor-Ort- oder Remote-Audit mit mindestens 30 Tagen Vorlauf, auf Kosten des Verantwortlichen, zu üblichen Geschäftszeiten und vorbehaltlich einer beiderseits akzeptierten Geheimhaltungsvereinbarung; bei begründetem Anlass (z. B. Sicherheitsvorfall mit Kundenbezug) auch außerplanmäßig.
2.8 Internationale Datenübermittlungen
Die primäre Verarbeitung erfolgt in AWS eu-central-1 (Deutschland). Übermittlungen an Unterauftragsverarbeiter außerhalb EU/EWR (z. B. LLM-Anbieter in den USA) erfolgen auf Grundlage der EU-Standardvertragsklauseln (2021/914) und, soweit anwendbar, des EU–US Data Privacy Framework. Teams-Konten / Workspaces — EU-Datenhaltung: Für Kunden mit einem Teams-Plan ist die Verarbeitung und Speicherung personenbezogener Nutzerdaten so konfiguriert, dass sie innerhalb der EU stattfindet. Sofern ein Dienst eine deutsche Region anbietet (z. B. AWS eu-central-1, Deutschland), wird diese bevorzugt genutzt. LLM-Inferenz für Teams-Nutzer wird über AWS Bedrock (eu-central-1) geroutet; im Rahmen dieser Konfiguration ist nicht vorgesehen, dass Prompts und Completions die EU verlassen.2.9 Haftung und Laufzeit
Gemäß zugrunde liegendem Bestellformular. Kündigung, anwendbares Recht und Gerichtsstand folgen ebenfalls dem Bestellformular.3. High-Level-Architektur und Datenflüsse
Die folgende Übersicht beschreibt, welche Komponenten im Betrieb der Genie-Plattform zusammenwirken und welche Daten zwischen ihnen fließen. Detaillierte Regions- und Compliance-Angaben pro Unterauftragsverarbeiter siehe §4.
Die primäre Datenhaltung erfolgt in AWS eu-central-1 (Deutschland). Für Teams-Konten wird die LLM-Inferenz über AWS Bedrock (eu-central-1) geroutet; im Rahmen dieser Konfiguration werden Prompts und Completions nicht außerhalb der EU verarbeitet.
4. Unterauftragsverarbeiter — wen wir einsetzen und wofür
Für jeden gelisteten Unterauftragsverarbeiter liegt ein unterzeichneter AVV bzw. liegen Standardvertragsklauseln vor. Die Tabelle hier ist die kundenseitige Sicht.Standardpfad und Drittlandsstrategie
Genie verarbeitet personenbezogene Daten standardmäßig in der EU. Für DSGVO-sensible Konstellationen — insbesondere für Teams-Workspaces und alle größeren Unternehmenskunden — gilt:- EU-only-Standard (Teams). LLM-Inferenz für Teams-Konten ist so konfiguriert, dass sie über AWS Bedrock (
eu-central-1, Deutschland) geroutet wird. Im Rahmen dieser Konfiguration werden Prompts und Completions nach unserem Kenntnisstand nicht außerhalb der EU verarbeitet. Die übrigen Kerndienste (AWS Aurora, S3, DynamoDB, KMS, Auth0, Vercel Functions, Resend, Supabase-Provisionierung) sind ebenfalls EU-resident. Wir empfehlen diesen Pfad als Enterprise- und DSGVO-Standardpfad. - Vertragliche Zusagen zu No-Training-on-Inputs. Soweit LLM-Anbieter produktive Kundendaten erhalten, liegen uns vertragliche Zusagen zu Zero-Data-Retention bzw. No-Training-on-Inputs vor (Anthropic, OpenAI, AWS Bedrock, Google Vertex). Diese Zusagen sind durch die jeweiligen DPAs und Provider-Statements abgesichert; auditierbare Nachweise (DPA-Auszüge, Provider-Statements) werden auf Anfrage über
privacy@genie-app.debereitgestellt. Für Google Vertex ist die einschlägige Zusage öffentlich im Google Cloud Data Processing Addendum (CDPA) dokumentiert, das Google Cloud Platform einschließlich Vertex AI umfasst (Stand: Juni 2026). - US-Anbieter — optionaler Opt-in, nicht der Default. Anthropic und OpenAI (außerhalb von Bedrock), Perplexity, Replicate, Hugging Face, xAI sowie ggf. Voyage werden ausschließlich für Starter- / Genie-Pläne oder nach expliziter Aktivierung durch den Kunden in den Projekteinstellungen verwendet. Für Teams-Kunden sind sie nicht der Default-Pfad und können vollständig deaktiviert werden (siehe „Provider-Deaktivierung” unten).
- Drittlandtransfer-Grundlagen. Übermittlungen außerhalb EU/EWR erfolgen auf Basis der EU-Standardvertragsklauseln (Modul 2 / 3, Durchführungsbeschluss 2021/914) sowie, soweit anwendbar, des EU–US Data Privacy Framework. Für jeden US-Provider mit Zugriff auf personenbezogene Daten liegt ein internes Transfer Impact Assessment (TIA) gemäß EDSA-Empfehlungen 01/2020 vor. TIAs werden mindestens jährlich und anlassbezogen aktualisiert (z. B. bei wesentlichen Änderungen der US-Überwachungsgesetzgebung). Zusammenfassungen der TIAs werden auf Anfrage bereitgestellt.
- Datenminimierung bei Drittlandtransfer. Übermittelt werden ausschließlich die für die Inferenz erforderlichen Prompt- und Completion-Daten. Stabile interne Identifier werden, soweit technisch möglich, vor Übermittlung gegen Pseudonyme ersetzt; produktive Nutzeridentitäten (E-Mail, Klarname, Auth0-IDs) sollen nach unserer Implementierung kein Bestandteil der LLM-Payloads sein. Klartext-Secrets, MCP-Credentials und Billing-Bodies sind durch dokumentierte Filter- und Logging-Regeln aus den Payloads ausgeschlossen (§6.1).
- Provider-Deaktivierung. Kunden können in den Workspace-Einstellungen einzelne LLM-Anbieter deaktivieren. Teams-Kunden können den Provider-Scope auf „EU-only / AWS Bedrock” beschränken; in dieser Konfiguration werden Anfragen an US-Anbieter technisch unterbunden. Eine zentrale Übersicht aktiver Provider pro Workspace ist in den Admin-Einstellungen einsehbar.
Eingesetzte Unterauftragsverarbeiter
Die folgenden Dienste sind direkt in den Betrieb der Genie-Plattform und der Nutzer-Apps eingebunden. Sie verarbeiten personenbezogene Daten von Endnutzern.5. Verarbeitete Daten, betroffene Personen, Zwecke
Bestandteil des AVV (§2.4).5.1 Kategorien betroffener Personen
- Endnutzer des Kundenaccounts (natürliche Personen, die sich bei Genie anmelden).
- Empfänger von E-Mails, die der Kunde über seine Edge Functions per Resend-Proxy versendet.
- Besucher kundengehosteter Anwendungen (nur insoweit der Kunde deren Daten in seinem eigenen Supabase-Projekt erfasst — diese Daten sind für Genie nicht sichtbar, siehe §1).
5.2 Kategorien personenbezogener Daten
Genie ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt. Kunden werden angewiesen, solche Daten nur nach eigener rechtlicher Prüfung und nur in hierfür vorgesehenen Konfigurationen zu verarbeiten. Soweit Kunden derartige Daten in ihre Prompts, Uploads oder kundeneigenen Supabase-Projekte einspeisen, liegt diese Verarbeitung in ihrer Verantwortung (§1, §1.1).
5.3 Zwecke und Rechtsgrundlagen
Soweit Genie als Auftragsverarbeiter tätig ist, bestimmt der Kunde die Rechtsgrundlage. Die folgende Übersicht beschreibt ergänzend typische Zwecke sowie Verarbeitungen, bei denen Genie eigenständig Verantwortlicher ist (vgl. §1). Die Interessensabwägungen zu Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) sind intern dokumentiert und werden im Rahmen des AVV-Onboardings auf Anfrage bereitgestellt.5.4 Umgang mit LLM-Daten
- Modelltraining. Wir nutzen produktive Kundendaten nicht zum Modelltraining. Soweit unsere LLM-Anbieter vertragliche Zusagen zu Zero-Data-Retention bzw. No-Training-on-Inputs abgegeben haben (Anthropic, OpenAI, AWS Bedrock, Google Vertex), sind diese Zusagen in den jeweiligen DPAs / Provider-Statements dokumentiert; auditierbare Auszüge stellen wir auf Anfrage bereit. Für Google Vertex ist diese Zusage öffentlich im Google Cloud Data Processing Addendum (CDPA) einsehbar, das Vertex AI umfasst (Stand: Juni 2026). Für Teams-Pläne ist die Inferenz so konfiguriert, dass sie über AWS Bedrock (
eu-central-1) läuft; ein direkter Datenfluss an Anthropic oder OpenAI ist in dieser Konfiguration nicht vorgesehen. - Prompt-Leakage-Prävention. Der Prompt-Kontext wird strikt auf den jeweiligen Nutzer und sein Projekt eingegrenzt; eine projektübergreifende Verarbeitung in einer gemeinsamen LLM-Session findet nicht statt. Datenbankzugriffe sind durch Row-Level Security und nutzerskopierte Anwendungskontexte abgesichert (siehe §6.1).
- Embeddings. In der Genie-Infrastruktur werden derzeit keine Embeddings persistiert. Sofern Kunden über Edge Functions in ihrem eigenen Supabase-Projekt Embeddings erzeugen oder ablegen, liegt deren Speicherung in der Verantwortung des Kunden (siehe §1).
- LLM-Traces (Braintrust).
- Zweck. Qualitätsüberwachung, Regressionserkennung und Debugging der LLM-gestützten Funktionen. Eine Nutzung zu Profiling-, Marketing- oder Trainingszwecken erfolgt nicht.
- Teams-Ausschluss. Workspaces mit Teams-Plan sind technisch so konfiguriert, dass sie vom Trace-Export an Braintrust ausgeschlossen sind. Spans aus Teams-Workspaces werden im Rahmen dieser Konfiguration nicht an Braintrust übermittelt; die Konfiguration ist im Code dokumentiert und Bestandteil der Code-Review-Pflicht (§6.2).
- Datenminimierung. Für die übrigen Pläne werden ausschließlich AI-bezogene Spans exportiert (
filterAISpans); allgemeine Anwendungs- oder Request-Logs, Klartext-Secrets, MCP-Credentials und Billing-Bodies sind durch dokumentierte Filterregeln ausgeschlossen. Stabile interne Identifier werden vor Übermittlung pseudonymisiert. - Zweckbindung und Retention. Traces werden ausschließlich für die oben genannten Zwecke verarbeitet; Retention 30 Tage, danach automatisierte Löschung.
- Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabilem Betrieb und Sicherheit der KI-Funktionen; Interessensabwägung dokumentiert, §5.3).
- Zugriffsbeschränkung. Zugriff auf Traces ist ausschließlich Personen mit dokumentierter Produktivberechtigung möglich, MFA-geschützt, rollenbasiert (§7.7) und vollständig protokolliert (§6.1, §7.6).
- Drittland. Braintrust wird in der EU-Region betrieben; soweit für einzelne Sub-Komponenten anwendbar, liegen Standardvertragsklauseln vor.
- Provider-Deaktivierung. Optionale LLM-Anbieter (Mistral, xAI, Replicate, Voyage, Perplexity, Hugging Face) werden nur dann aktiviert, wenn der Kunde sie in seinen Projekteinstellungen explizit konfiguriert.
5.5 Datenschutzprinzipien (Art. 5 und Art. 25 DSGVO)
Genie setzt die Grundsätze des Art. 5 DSGVO im Design der Plattform um:- Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Es werden nur die für den jeweiligen Zweck erforderlichen Datenkategorien erhoben (§5.2). Sensible Felder (Klartext-Secrets, MCP-Credentials, Billing-Bodies, PII) sind durch dokumentierte Filter- und Logging-Regeln aus Logs, Telemetrie und LLM-Traces ausgeschlossen (§6.1, §5.4). Bei Drittlandtransfer werden Identifier pseudonymisiert (§4 Standardpfad).
- Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Verarbeitungszwecke und zugehörige Rechtsgrundlagen sind in §5.3 dokumentiert. Eine Weiterverarbeitung zu nicht kompatiblen Zwecken findet nicht statt; insbesondere werden produktive Kundendaten nicht zu Trainings-, Profiling- oder Marketingzwecken verwendet.
- Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Pro Kategorie definierte Aufbewahrungsfristen (§8.2) werden technisch durchgesetzt: TTLs auf transientem State, Workflow-getriebene Löschung (§10.1), zeitlich begrenzte Backup-Retention.
- Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO). Verschlüsselung in Transit und at Rest, signierte Tokens, signierte Webhooks und Append-only-Audit-Logs (§6.1, §6.2).
- Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Dieses Paket, das Evidenzpaket nach §2.7 sowie das Dateninventar nach §10.3 sind die zentralen Nachweisinstrumente.
- Privacy by Design und by Default (Art. 25 DSGVO). Datenschutzanforderungen sind in den Standard-Entwicklungs- und Review-Prozessen verankert (§6.2 Change Management). Neue Speicher oder Unterauftragsverarbeiter werden gemäß §10.3 nur über die Dateninventar-Eingangskontrolle aufgenommen, die u. a. Zweck, Rechtsgrundlage, Aufbewahrung und Drittlandstatus festlegt. Default-Einstellungen sind datenschutzfreundlich (EU-Routing aktiviert, optionale Provider deaktiviert).
- Need-to-know. Zugriffe auf produktive Kundendaten erfolgen ausschließlich rollenbasiert und anlassbezogen (§7.6, §7.7).
- Minimale Retention. Im Zweifel gilt die kürzere Frist; ausgenommen sind gesetzliche Aufbewahrungspflichten (Steuer, HGB).
5.6 Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Eine generelle Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) durch den Auftragsverarbeiter besteht nach Art. 35 DSGVO nicht; die DSFA-Pflicht trifft den jeweiligen Verantwortlichen. Genie unterstützt den Verantwortlichen bei der Erstellung und Pflege seiner DSFA durch:- die in diesem Paket dokumentierten Datenkategorien, Verarbeitungszwecke, Rechtsgrundlagen und TOM,
- Bereitstellung weiterer Detail-Informationen auf Anfrage (z. B. konkrete LLM-Provider-Konfiguration, Drittlandtransfer-Mechanismen, Subprozessor-Compliance-Berichte, TIA-Zusammenfassungen).
6. Technische Maßnahmen (TOM, Art. 32 DSGVO)
Dokumentiert nach Art. 32 DSGVO. Wir haben technische und organisatorische Maßnahmen implementiert, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste sicherzustellen.6.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b)
6.2 Integrität (Art. 32 Abs. 1 lit. b)
6.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)
6.4 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)
- Aurora-PITR (35 Tage) wird mindestens quartalsweise in Staging geübt.
- Disaster-Recovery-Runbook liegt im privaten Ops-Repo; RPO ≤ 5 min, RTO ≤ 4 h für die Genie-Control-Plane. Kundenseitige Supabase-Projekte erben Supabases eigene DR-Posture.
- Über die rein technische Wiederherstellung hinaus ist der Kommunikations- und Eskalationsprozess im Business Continuity Plan (§6.9) beschrieben.
6.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a)
- Der Audit-Trail wird bei Account-Löschung in place anonymisiert — der gesetzliche Nachweis bleibt erhalten, ohne PII zu speichern.
- Der Nachweis der Löschung wird pseudonymisiert geführt, ohne den Identifier selbst aufzubewahren.
6.6 Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d)
Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird im Rahmen dieser Überprüfungen regelmäßig bewertet, dokumentiert und evaluiert (Art. 32 Abs. 1 lit. d DSGVO). Befunde fließen in den jährlichen TOM-Review ein; wesentliche Abweichungen werden in nachverfolgbaren Folgemaßnahmen behoben und im Evidenzpaket dokumentiert.
6.7 Vulnerability- und Patch-Management
- Kontinuierliches Dependency-Scanning bei jedem Commit (siehe §6.6); Befunde werden zentral nachverfolgt.
- Kritikalitätsklassifizierung erkannter Schwachstellen nach CVSS v3.1 mit folgenden Ziel-Behebungsfristen:
- Out-of-Band-Releases für Critical-Findings sind möglich; sie folgen einem verkürzten, jedoch ebenfalls dokumentierten Review-Pfad (siehe §6.2).
- Externer Penetrationstest jährlich (Bestand, vgl. §6.6); identifizierte Findings werden nach derselben Kritikalitätsmatrix bearbeitet.
6.8 Vorfall-Reaktion (Art. 33 / 34 DSGVO)
- 24/7-On-Call-Rotation; Triage-SLA 30 Minuten.
- Betroffene Kunden werden unverzüglich informiert, sobald hinreichend gesicherte Erkenntnisse über einen meldepflichtigen Vorfall vorliegen. Die 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde wird vom Verantwortlichen eingehalten; wir stellen die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen unverzüglich bereit.
- Vollständiger Lebenszyklus, Beweissicherung und Post-Mortem-Kadenz sind intern dokumentiert und werden bei Audits auf Anfrage bereitgestellt.
6.9 Business Continuity Plan
Abgrenzung: §6.3 beschreibt technische Redundanz, §6.4 die technische Wiederherstellbarkeit. Der Business Continuity Plan ergänzt dies um die organisatorische Ausfall- und Kommunikationsorganisation.- Ausfallorganisation. 24/7-On-Call-Rotation mit definiertem Eskalationspfad (On-Call → Incident Commander → Executive Sponsor).
- Kommunikationsprozesse. Status-Updates an betroffene Kunden über
status.genie-app.deund per E-Mail an den hinterlegten Hauptkontakt. Sicherheitsrelevante Meldungen zusätzlich übersecurity@genie-app.de(siehe §11). - Verantwortlichkeiten. Der Incident Commander koordiniert die technische Wiederherstellung; der Privacy Lead bewertet Meldepflichten gemäß Art. 33 / 34 DSGVO; der Executive Sponsor entscheidet über externe Kommunikation.
- Übung. Die jährliche SEV-1-Tabletop-Übung (siehe §6.6) deckt sowohl die DR- als auch die BCP-Kommunikationsprozesse ab.
6.10 Auftragskontrolle / Unterauftragsverarbeiter (Art. 28 DSGVO)
Siehe §2.6 / §4: SOC-2-Report oder gleichwertig eingeholt, AVV unterzeichnet, Register jährlich überprüft, 30 Tage Vorlauf vor Aufnahme oder Wechsel eines Unterauftragsverarbeiters.7. Organisatorische Maßnahmen
Ergänzend zu den technischen Maßnahmen in §6 sind die folgenden organisatorischen Maßnahmen implementiert.7.1 Security Awareness und Trainings
Mitarbeitende mit Zugriff auf produktive Systeme oder Kundendaten durchlaufen ein Security- und Datenschutz-Training beim Onboarding sowie regelmäßige Auffrischungen. Spezialisierte Trainings (z. B. sicheres Coding) ergänzen die Basis.7.2 Vertraulichkeit, NDAs und Joiner-Mover-Leaver
Alle Mitarbeitenden sind vertraglich zur Vertraulichkeit verpflichtet. Onboarding, Rollenwechsel und Offboarding folgen einem dokumentierten Prozess, der das Vergeben, Anpassen und Entziehen von Zugriffsrechten regelt. Berechtigungen werden bei Ausscheiden unverzüglich entzogen.7.3 Asset- und Endpoint-Management
Unternehmensgeräte werden zentral inventarisiert und verwaltet. Verschlüsselung der Festplatte, Bildschirmsperre, automatische Updates und Endpoint-Schutz sind verpflichtend.7.4 Lieferanten- und Drittparteienmanagement
Unterauftragsverarbeiter werden vor Einsatz auf datenschutz- und sicherheitsrelevante Anforderungen geprüft (SOC-2- bzw. ISO-27001-Berichte, AVV, ggf. SCC). Bestand siehe §4. Jährliches Re-Assessment (siehe §6.6).7.5 Zugangs- und Passwort-Policy, MFA
Identitätsbasierte Anmeldungen erfolgen über einen zentralen Identity Provider mit erzwungener Multi-Faktor-Authentifizierung für alle Mitarbeitendenkonten und insbesondere für jeden Produktivzugriff. Passwortanforderungen entsprechen anerkannten Standards (NIST SP 800-63B).7.6 Mitarbeiterzugriffe auf Kundendaten
Zugriffe auf produktive Kundendaten erfolgen ausschließlich nach dem Need-to-know-Prinzip, sind rollenbasiert vergeben, MFA-geschützt und werden protokolliert. Break-Glass-Zugriffe sind technisch möglich, werden vor oder unverzüglich nach dem Zugriff dokumentiert, vom Privacy Lead nachgehalten und im quartalsweisen Access-Review (siehe §6.6) überprüft. Es existiert keine generelle Leseberechtigung auf Kundendaten ohne dokumentierten Anlass.7.7 Internes Berechtigungs- und Rollenkonzept
Zur Umsetzung der Anforderungen aus Art. 32 DSGVO sowie §6.1 (Least Privilege) ist ein dokumentiertes Rollenmodell etabliert. Die folgenden Rollen verfügen über klar abgegrenzte Berechtigungsprofile; Zuweisungen werden zentral im Identity Provider verwaltet, beim Onboarding / Rollenwechsel / Offboarding (§7.2) angepasst und im quartalsweisen Access-Review (§6.6) überprüft.
Jede Berechtigungsänderung (Neuvergabe, Anpassung, Entzug) wird im Identity Provider und in den jeweiligen Zielsystemen vollständig protokolliert. Produktive Zugriffe werden durchgehend in einem zentralen Audit-Log erfasst (§6.2). Eine generische „Admin”-Rolle mit ungefiltertem Datenzugriff existiert nicht; produktiver Vollzugriff ist ausschließlich über die zeitlich limitierte Break-Glass-Rolle erreichbar.
8. Datenschutz- und Löschkonzept
Wir löschen auf drei Granularitäten und end-to-end auditierbar. Produktive Löschungen werden innerhalb der DSGVO-Frist von 30 Tagen angestoßen und abgeschlossen, soweit keine gesetzlichen Aufbewahrungspflichten oder Backup-Retentionen entgegenstehen (siehe §8.2 und §10.5).8.1 Inventar — wo liegen personenbezogene Daten
- AWS — Primäre Datenhaltung: Nutzerprofile, Projekte, Chatnachrichten, Uploads, Secrets, Audit-Logs, Deployment-Metadaten, transiente Workflow-Zustände.
- Auth0 — Authentifizierungsdaten (E-Mail, MFA-Faktoren, Anmelde-IP).
- Stripe — Abrechnungsdaten (Name, Adresse, Zahlungsmittel-Token, Rechnungen).
- Supabase — Kundeneigene App-Datenbank (Inhalt liegt in der Verantwortung des Kunden, siehe §1).
- Braintrust — LLM-Traces und Observability-Daten (30 Tage Retention; Teams-Workspaces ausgeschlossen, §5.4).
- Resend — Transaktionale E-Mails (Empfängeradresse, Inhalt).
8.2 Aufbewahrungsfristen
8.3 Account-Löschung (Art. 17 DSGVO)
Wird vom Kunden in/account/settings ausgelöst und durch Tippen der E-Mail bestätigt. Die Orchestrierung läuft als durabler Workflow (deleteAccountWorkflow) und übersteht Abstürze und Deploys.
- Pre-Flight (synchron). Session prüfen, doppelte Anfragen deduplizieren, Löschjob mit 14-Tage-Vorlauf anlegen.
- Deaktivierung (sofort, reversibel). Anmeldung blockieren, laufende Subscriptions auf Ablauf zum Periodenende setzen, kundenseitige Datenbank pausieren.
- 14-Tage-Karenzfrist. Der Kunde kann in den Settings abbrechen.
- Irreversible Kaskade (in dieser Reihenfolge):
- Alle laufenden Hintergrundprozesse für diesen Nutzer abbrechen.
- Alle Projekte des Nutzers vollständig löschen.
- Gespeicherte Dateien und Uploads entfernen; CDN-Cache invalidieren.
- Alle Datenbankeinträge in Abhängigkeitsreihenfolge löschen; Audit-Log-Einträge anonymisieren.
- Externe Konten bei Stripe, Supabase und Auth0 kündigen.
- Audit. Pseudonymisierter Löschnachweis wird gespeichert (kein personenbezogener Identifier).
8.4 Projekt-Löschung
Gleiche Workflow-Form, 7-Tage-Karenzfrist, auf ein einzelnes Projekt beschränkt.8.5 Gezielte Datensatz-Löschung
Der Kunde kann die Löschung bestimmter Datensätze verlangen (eine einzelne hochgeladene Datei, ein einzelner Chat-Thread, eine Push-Subscription) ohne Account-weite Löschung. Anfragen überprivacy@genie-app.de oder Support-Ticket.
8.6 Propagation an Unterauftragsverarbeiter
Jede externe Kündigung hat einen dokumentierten Endpunkt und idempotentes Retry-with-Backoff. Fehler werden in Admin-Tools sichtbar. Etwaige externe Reste werden durch §10 erfasst.8.7 Löschung auf dokumentierte Weisung des Verantwortlichen
Über die im Self-Service angebotenen Löschpfade (§8.3 – §8.5) hinaus führen wir Löschungen auch auf dokumentierte Weisung des Verantwortlichen aus. Solche Weisungen sind AVV-Bestandteil (§2.5):- Eingang und Identitätsprüfung. Schriftliche oder ticketbasierte Anweisung über
privacy@genie-app.dedurch eine im Bestellformular benannte Ansprechperson; Identitätsprüfung gemäß §9.1. - Scope-Varianten.
- Tenant-/Workspace-Löschung — vollständige Entfernung eines Workspaces inklusive aller zugehörigen Projekte, Uploads und Audit-Anonymisierung.
- Teil-Löschung — gezielte Entfernung einzelner Datenkategorien (z. B. bestimmte Uploads, bestimmte Chat-Threads, bestimmte Push-Subscriptions) auf Verlangen des Verantwortlichen.
- Betroffenenspezifische Löschung — Löschung aller einer betroffenen Person zuordenbaren Daten auf Weisung des Verantwortlichen.
- Ausführung. Über denselben durablen Workflow wie die Self-Service-Löschung (§10.1). Idempotente Schritte, Retry-with-Backoff, Propagation an Subprozessoren (§8.6). Vier-Augen-Prinzip durch den Privacy Lead (§7.7).
- Support- und Eskalationsprozess. Der Eingang wird innerhalb von 3 Werktagen bestätigt; die Bearbeitung wird mit Ticket-ID nachverfolgt. Bei Rückfragen erfolgt direkte Abstimmung mit der benannten Ansprechperson des Verantwortlichen.
- Nachweisbarkeit. Der Verantwortliche erhält eine schriftliche Vollzugsbestätigung mit pseudonymisiertem Löschnachweis (§10.6). Auf Anfrage stellen wir eine Nachweiszusammenfassung im Rahmen der AVV-Berichtspflichten bereit.
- SLA. Ausführung innerhalb der DSGVO-Frist von 30 Tagen; schneller, sofern die Karenzfrist nach §8.3 vom Verantwortlichen verkürzt wird oder es sich um eine Teil-Löschung handelt.
9. Erfüllung von Betroffenenrechten
9.1 Identitätsprüfung vor Auskunft
Auskunfts- und Löschungsanfragen außerhalb der App werden erst nach Verifikation der Kontrolle über die hinterlegte E-Mail-Adresse beantwortet (Challenge-Link) oder, bei reinen Abrechnungsanfragen, über eine Stripe-Customer-Portal-Session.9.2 Dokumentation der DSAR-Bearbeitung
Das interne Runbook zur Bearbeitung von DSAR liegt im privaten Ops-Repo. Jede DSAR-Anfrage wird mit Ticket-ID, Eingangsdatum, Identitätsprüfung, Bearbeitungsschritten, beteiligten Systemen und Abschlussdatum dokumentiert. Auf Anfrage erhält der Verantwortliche eine Zusammenfassung des Bearbeitungsstands und der durchgeführten Maßnahmen.10. Wie wir die tatsächliche Löschung sicherstellen
10.1 Durable Orchestrierung
Löschungen laufen als Workflow mit At-least-once-Ausführung und Crash-Resume. Die 14-Tage-Karenzfrist ist ein Workflow-sleep — eine geplante Löschung kann uns über Deploys hinweg nicht verloren gehen. Jeder externe Aufruf ist in Retry-with-Backoff eingehüllt.
10.2 Idempotente Schritte
Jeder Schritt ist so entworfen, dass er gefahrlos erneut ausgeführt werden kann. Eine erneute vollständige Löschung ist ein No-op; eine erneute Teil-Löschung vollendet die fehlenden Teile.10.3 Inventargetrieben, nicht featuregetrieben
Das Dateninventar ist die Quelle der Wahrheit. Neue Datenspeicher oder Unterauftragsverarbeiter müssen im selben Schritt ins Inventar aufgenommen werden.10.4 Cache- und CDN-Invalidierung
Nach dem Löschen der Dateien werden alle CDN-Caches invalidiert, sodass gelöschte Inhalte nicht mehr abrufbar sind.10.5 Backups bewusst berücksichtigt
Datenbank-Backups behalten gelöschte Daten noch 35 Tage. Während der Backup-Retention sind die Daten nicht produktiv zugänglich und werden nicht aktiv verarbeitet; ein Zugriff erfolgt ausschließlich im Rahmen eines kontrollierten Disaster-Recovery-Vorgangs (§6.4) und nur durch berechtigte SRE-Rollen (§7.7). Bei einer Wiederherstellung wird der Löschjob unmittelbar erneut ausgeführt. Nach 35 Tagen sind die Daten auch aus den Backups verschwunden.10.6 Audit-Beleg
Für jede abgeschlossene Löschung wird ein pseudonymisierter Nachweis mit Zeitstempel gespeichert — beantwortet „habt ihr diesen Betroffenen gelöscht?” ohne den Identifier selbst aufzubewahren (Art. 17 + Art. 5 Abs. 2 DSGVO).10.7 Behandlung des Append-only-Audit-Logs
Der Audit-Log ist technisch append-only. Zur Erfüllung von Löschanfragen werden betroffene Einträge in-place anonymisiert: alle personenbezogenen Felder werden durch Platzhalter ersetzt. Dieser Vorgang ist ausschließlich dem automatisierten Löschjob vorbehalten.10.8 TTLs auf transientem State
Kurzlebige Zeilen werden durch die TTL des Stores selbst entfernt, auch wenn ein Löschjob sie übersehen hätte.10.9 Periodische Verifikation
Quartalsweise prüfen wir gelöschte Accounts stichprobenartig auf Rückstände bei allen Unterauftragsverarbeitern. Die Prüfung wird intern dokumentiert.11. Kontakte und Änderungsmitteilungen
- Datenschutz / DSAR / AVV-Anfragen:
privacy@genie-app.de - Sicherheitsmeldungen:
security@genie-app.de - Mitteilungen über Wechsel von Unterauftragsverarbeitern: Kunden erhalten mindestens 30 Tage vor Beginn der Verarbeitung durch einen neuen Unterauftragsverarbeiter eine E-Mail. Widersprüche nach Art. 28 Abs. 2 DSGVO werden über
privacy@genie-app.debearbeitet. - Dokumentenversion: Dieses Paket wird jährlich und bei jeder wesentlichen Änderung der Liste der Unterauftragsverarbeiter oder der TOM überprüft.