Compliance-Paket für Kunden

Documentation Index

Fetch the complete documentation index at: https://docs.genie-app.de/llms.txt

Use this file to discover all available pages before exploring further.

Adressaten: Kunden, deren Einkauf und deren Datenschutzbeauftragte (DSB). Dieses Paket übergeben wir, wenn ein Kunde den AVV, die dokumentierten technischen und organisatorischen Maßnahmen (TOM), die Liste der Unterauftragsverarbeiter, das Datenschutz- bzw. Löschkonzept und unsere Prozesse zur Erfüllung von Betroffenenrechten anfordert. Wir führen ein internes Evidenzpaket, das an ISO-27001-Controls (Annex A) ausgerichtet ist; eine ISO-Zertifizierung besteht zum heutigen Stand nicht. Das Paket ist auf Anfrage verfügbar. Beide Dokumente werden synchron gehalten. Gliederung:

0. Über uns — Firmierung und Verantwortliche
1. Rollenmodell — Verantwortlicher und Auftragsverarbeiter
2. Auftragsverarbeitungsvertrag (AVV) — Mustervereinbarung
3. High-Level-Architektur und Datenflüsse
4. Unterauftragsverarbeiter — wen wir einsetzen und wofür
5. Verarbeitete Daten, betroffene Personen, Zwecke
6. Technische Maßnahmen (TOM nach Art. 32 DSGVO)
7. Organisatorische Maßnahmen
8. Datenschutz- und Löschkonzept
9. Erfüllung von Betroffenenrechten
10. Wie wir die tatsächliche Löschung sicherstellen
11. Kontakte und Änderungsmitteilungen

---

​

0. Über uns — Firmierung und Verantwortliche

• Vollständige juristische Firmierung: [TBD]
• Anschrift: [TBD]
• Vertretungsberechtigte: [TBD]
• Handelsregister: [TBD — HRB / Amtsgericht]
• USt-IdNr.: [TBD]
• Datenschutzbeauftragte: Claire Fahmy (privacy@genie-app.de)
• EU-Representative (Art. 27 DSGVO): nicht erforderlich — Sitz in der EU
• Hauptansprechpartner Security / Privacy: privacy@genie-app.de / security@genie-app.de

---

​

1. Rollenmodell — Verantwortlicher und Auftragsverarbeiter

Genie verarbeitet personenbezogene Daten in mehreren klar getrennten Rollen:

• Auftragsverarbeiter im Sinne von Art. 28 DSGVO — für Daten, die unmittelbar im Rahmen der Genie-Dienste anfallen (Identitäts- und Profildaten, Chat- und Projektinhalte, kundenseitige Konfigurationen, weisungsgebundene Betriebs­verarbeitung). Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde. Rechtsgrundlage und Pflichten siehe §2 (AVV).
• Eigene Verantwortlichkeit von Genie für eingegrenzte Zwecke. Soweit Genie personenbezogene Daten zur Erfüllung eigener gesetzlicher Verpflichtungen, zur Abrechnung, zur Gewährleistung der Sicherheit und Integrität der Plattform, zur Missbrauchs­prävention oder zur Durchsetzung eigener Rechtsansprüche verarbeitet, erfolgt dies in eigener Verantwortlichkeit gemäß Art. 4 Nr. 7 DSGVO. Dies betrifft insbesondere steuer- und handels­rechtliche Aufbewahrungs­pflichten, Sicherheits- und Audit-Logs, Incident-Response-Prozesse, Missbrauchs­erkennung sowie Compliance- und Nachweis­pflichten. Die jeweiligen Rechtsgrundlagen sind in §5.3 dokumentiert.
• Kundeneigene Supabase-Projekte — weisungsgebundene Verarbeitung. Inhalte kundeneigener Supabase-Projekte verarbeitet Genie grundsätzlich nicht zu eigenen Zwecken und agiert insoweit ausschließlich weisungsgebunden. Der Kunde bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Genie hält ausschließlich Management-API-Credentials und hat keine operative Sichtbarkeit auf den Inhalt dieser Datenbanken. Soweit technische Administrations- oder Supportzugriffe erforderlich sind, erfolgen diese ausschließlich auf dokumentierte Weisung des Verantwortlichen oder zur Vertragserfüllung; sie sind zugriffsprotokolliert (§6.1, §7.6) und unterliegen dem Vier-Augen-Prinzip nach §7.7.

​

1.1 Shared Responsibility — Verantwortungs­abgrenzung Kunde / Genie

Genie stellt die Plattform und die zugrunde liegenden Verarbeitungs­funktionen bereit. Der Kunde bleibt verantwortlich für die Rechtmäßigkeit der in seine Projekte eingebrachten Inhalte, Datenkategorien und Verarbeitungs­zwecke. Das umfasst insbesondere:

• Inhalte und Datenkategorien, die der Kunde über Prompts, Uploads, eigene Datenmodelle oder Edge Functions verarbeitet;
• die Auswahl und Konfiguration optionaler LLM-Anbieter im jeweiligen Workspace (§4);
• Datenflüsse zwischen kundeneigenen Edge Functions und Drittsystemen;
• die Bewertung, ob die jeweilige Verarbeitung eine DSFA (§5.6) oder eine ausdrückliche Einwilligung der Betroffenen erfordert;
• die Information der eigenen Endnutzer nach Art. 13 / 14 DSGVO.

Genie unterstützt den Kunden bei der Wahrnehmung dieser Verantwortung durch dokumentierte Konfigurations­optionen, dieses Compliance-Paket und ergänzende Informationen auf Anfrage.

---

​

2. Auftragsverarbeitungsvertrag (AVV) — Mustervereinbarung

Unseren Standard-AVV stellen wir auf Anfrage an privacy@genie-app.de als gegengezeichnete PDF bereit. Die folgende Vorlage entspricht inhaltlich dieser PDF und kann durch den DSB des Kunden vorab geprüft werden.

​

2.1 Vertragsparteien

• Verantwortlicher: der im Genie-Bestellformular benannte Kunde.
• Auftragsverarbeiter: die im Genie-Bestellformular benannte Genie-Gesellschaft (siehe §0).

​

2.2 Gegenstand und Dauer der Verarbeitung

Verarbeitung personenbezogener Daten zum Zweck der Erbringung des Genie-Dienstes gemäß Bestellformular. Der AVV läuft für die Laufzeit des zugrunde liegenden Hauptvertrags und endet mit der Löschung der Kundendaten gemäß §8.

​

2.3 Art und Zweck der Verarbeitung

Betrieb einer gehosteten Anwendungs­entwicklungs­plattform: Identität, Projekthosting, LLM-gestützte Codegenerierung, Deployment in ein kundeneigenes Supabase-Projekt, Observability und Kundensupport. Verarbeitungen in eigener Verantwortlichkeit von Genie (insbesondere Abrechnung, steuer- und handelsrechtliche Aufbewahrung, Sicherheits- und Audit-Logs, Incident Response, Missbrauchs­prävention) sind nicht Gegenstand dieses AVV; siehe §1 und §5.3.

​

2.4 Art der personenbezogenen Daten und Kategorien betroffener Personen

Siehe §5 dieses Dokuments; dieser Abschnitt ist durch Verweis Bestandteil des AVV.

​

2.5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

• verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Bestellformular, dieser AVV und Tickets über privacy@genie-app.de gelten als dokumentierte Weisungen);
• verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit;
• setzt die TOM nach §6 um und hält sie aktuell;
• setzt Unterauftragsverarbeiter nur gemäß §4 ein und kündigt das Hinzunehmen oder Ersetzen mindestens 30 Tage vorher an (Widerspruchsrecht nach Art. 28 Abs. 2 DSGVO);
• unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten nach §9;
• unterstützt bei Sicherheitsvorfällen, DSFA und vorheriger Konsultation gemäß Art. 28 Abs. 3 lit. f DSGVO;
• löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten bei Vertragsende zurück (§8 / §10);
• stellt alle zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Audits nach §2.7.

​

2.6 Unterauftragsverarbeiter

Aufgeführt in §4. Die zum Zeitpunkt der Unterzeichnung gültige Liste ist die vereinbarte Ausgangslage; nachfolgende Änderungen erfolgen nach dem 30-Tage-Verfahren oben.

​

2.7 Auditrechte

Der Verantwortliche kann die Einhaltung des AVV prüfen:

• durch Einsicht in dieses Dokument und das verlinkte, an ISO-27001-Controls ausgerichtete Evidenzpaket;
• durch Anforderung der aktuellen SOC-2-Type-II- oder gleichwertigen Auditberichte unserer Unterauftragsverarbeiter;
• soweit verfügbar, durch Bereitstellung standardisierter Security- und Datenschutz-Questionnaires (z. B. CAIQ, SIG Lite, VSA) und Evidenz­dokumente (Pentest-Zusammen­fassungen, ISO-27001-aligniertes Evidenzpaket, AVVs der Subprozessoren) auf Anfrage über privacy@genie-app.de;
• einmal pro Kalenderjahr durch ein Vor-Ort- oder Remote-Audit mit mindestens 30 Tagen Vorlauf, auf Kosten des Verantwortlichen, zu üblichen Geschäftszeiten und vorbehaltlich einer beiderseits akzeptierten Geheimhaltungsvereinbarung; bei begründetem Anlass (z. B. Sicherheits­vorfall mit Kundenbezug) auch außerplanmäßig.

​

2.8 Internationale Datenübermittlungen

Die primäre Verarbeitung erfolgt in AWS eu-central-1 (Deutschland). Übermittlungen an Unterauftragsverarbeiter außerhalb EU/EWR (z. B. LLM-Anbieter in den USA) erfolgen auf Grundlage der EU-Standardvertragsklauseln (2021/914) und, soweit anwendbar, des EU–US Data Privacy Framework. Teams-Konten / Workspaces — EU-Datenhaltung: Für Kunden mit einem Teams-Plan ist die Verarbeitung und Speicherung personenbezogener Nutzerdaten so konfiguriert, dass sie innerhalb der EU stattfindet. Sofern ein Dienst eine deutsche Region anbietet (z. B. AWS eu-central-1, Deutschland), wird diese bevorzugt genutzt. LLM-Inferenz für Teams-Nutzer wird über AWS Bedrock (eu-central-1) geroutet; im Rahmen dieser Konfiguration ist nicht vorgesehen, dass Prompts und Completions die EU verlassen.

​

2.9 Haftung und Laufzeit

Gemäß zugrunde liegendem Bestellformular. Kündigung, anwendbares Recht und Gerichtsstand folgen ebenfalls dem Bestellformular.

---

​

3. High-Level-Architektur und Datenflüsse

Die folgende Übersicht beschreibt, welche Komponenten im Betrieb der Genie-Plattform zusammenwirken und welche Daten zwischen ihnen fließen. Detaillierte Regions- und Compliance-Angaben pro Unterauftragsverarbeiter siehe §4. Die primäre Datenhaltung erfolgt in AWS eu-central-1 (Deutschland). Für Teams-Konten wird die LLM-Inferenz über AWS Bedrock (eu-central-1) geroutet; im Rahmen dieser Konfiguration werden Prompts und Completions nicht außerhalb der EU verarbeitet.

---

​

4. Unterauftragsverarbeiter — wen wir einsetzen und wofür

Für jeden gelisteten Unterauftragsverarbeiter liegt ein unterzeichneter AVV bzw. liegen Standardvertragsklauseln vor. Die Tabelle hier ist die kundenseitige Sicht.

​

Standardpfad und Drittlandsstrategie

Genie verarbeitet personenbezogene Daten standardmäßig in der EU. Für DSGVO-sensible Konstellationen — insbesondere für Teams-Workspaces und alle größeren Unternehmens­kunden — gilt:

• EU-only-Standard (Teams). LLM-Inferenz für Teams-Konten ist so konfiguriert, dass sie über AWS Bedrock (eu-central-1, Deutschland) geroutet wird. Im Rahmen dieser Konfiguration werden Prompts und Completions nach unserem Kenntnisstand nicht außerhalb der EU verarbeitet. Die übrigen Kerndienste (AWS Aurora, S3, DynamoDB, KMS, Auth0, Vercel Functions, Resend, Supabase-Provisionierung) sind ebenfalls EU-resident. Wir empfehlen diesen Pfad als Enterprise- und DSGVO-Standardpfad.
• Vertragliche Zusagen zu No-Training-on-Inputs. Soweit LLM-Anbieter produktive Kundendaten erhalten, liegen uns vertragliche Zusagen zu Zero-Data-Retention bzw. No-Training-on-Inputs vor (Anthropic, OpenAI, AWS Bedrock, Google Vertex). Diese Zusagen sind durch die jeweiligen DPAs und Provider-Statements abgesichert; auditierbare Nachweise (DPA-Auszüge, Provider-Statements) werden auf Anfrage über privacy@genie-app.de bereitgestellt. Für Google Vertex ist die einschlägige Zusage öffentlich im Google Cloud Data Processing Addendum (CDPA) dokumentiert, das Google Cloud Platform einschließlich Vertex AI umfasst (Stand: Juni 2026).
• US-Anbieter — optionaler Opt-in, nicht der Default. Anthropic und OpenAI (außerhalb von Bedrock), Perplexity, Replicate, Hugging Face, xAI sowie ggf. Voyage werden ausschließlich für Starter- / Genie-Pläne oder nach expliziter Aktivierung durch den Kunden in den Projekt­einstellungen verwendet. Für Teams-Kunden sind sie nicht der Default-Pfad und können vollständig deaktiviert werden (siehe „Provider-Deaktivierung” unten).
• Drittlandtransfer-Grundlagen. Übermittlungen außerhalb EU/EWR erfolgen auf Basis der EU-Standardvertragsklauseln (Modul 2 / 3, Durchführungs­beschluss 2021/914) sowie, soweit anwendbar, des EU–US Data Privacy Framework. Für jeden US-Provider mit Zugriff auf personenbezogene Daten liegt ein internes Transfer Impact Assessment (TIA) gemäß EDSA-Empfehlungen 01/2020 vor. TIAs werden mindestens jährlich und anlassbezogen aktualisiert (z. B. bei wesentlichen Änderungen der US-Überwachungs­gesetzgebung). Zusammen­fassungen der TIAs werden auf Anfrage bereitgestellt.
• Datenminimierung bei Drittlandtransfer. Übermittelt werden ausschließlich die für die Inferenz erforderlichen Prompt- und Completion-Daten. Stabile interne Identifier werden, soweit technisch möglich, vor Übermittlung gegen Pseudonyme ersetzt; produktive Nutzeridentitäten (E-Mail, Klarname, Auth0-IDs) sollen nach unserer Implementierung kein Bestandteil der LLM-Payloads sein. Klartext-Secrets, MCP-Credentials und Billing-Bodies sind durch dokumentierte Filter- und Logging-Regeln aus den Payloads ausgeschlossen (§6.1).
• Provider-Deaktivierung. Kunden können in den Workspace-Einstellungen einzelne LLM-Anbieter deaktivieren. Teams-Kunden können den Provider-Scope auf „EU-only / AWS Bedrock” beschränken; in dieser Konfiguration werden Anfragen an US-Anbieter technisch unterbunden. Eine zentrale Übersicht aktiver Provider pro Workspace ist in den Admin-Einstellungen einsehbar.

​

Eingesetzte Unterauftragsverarbeiter

Die folgenden Dienste sind direkt in den Betrieb der Genie-Plattform und der Nutzer-Apps eingebunden. Sie verarbeiten personenbezogene Daten von Endnutzern.

---

​

5. Verarbeitete Daten, betroffene Personen, Zwecke

Bestandteil des AVV (§2.4).

​

5.1 Kategorien betroffener Personen

• Endnutzer des Kundenaccounts (natürliche Personen, die sich bei Genie anmelden).
• Empfänger von E-Mails, die der Kunde über seine Edge Functions per Resend-Proxy versendet.
• Besucher kundengehosteter Anwendungen (nur insoweit der Kunde deren Daten in seinem eigenen Supabase-Projekt erfasst — diese Daten sind für Genie nicht sichtbar, siehe §1).

​

5.2 Kategorien personenbezogener Daten

Genie ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt. Kunden werden angewiesen, solche Daten nur nach eigener rechtlicher Prüfung und nur in hierfür vorgesehenen Konfigurationen zu verarbeiten. Soweit Kunden derartige Daten in ihre Prompts, Uploads oder kundeneigenen Supabase-Projekte einspeisen, liegt diese Verarbeitung in ihrer Verantwortung (§1, §1.1).

​

5.3 Zwecke und Rechtsgrundlagen

Soweit Genie als Auftragsverarbeiter tätig ist, bestimmt der Kunde die Rechtsgrundlage. Die folgende Übersicht beschreibt ergänzend typische Zwecke sowie Verarbeitungen, bei denen Genie eigenständig Verantwortlicher ist (vgl. §1). Die Interessens­abwägungen zu Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) sind intern dokumentiert und werden im Rahmen des AVV-Onboardings auf Anfrage bereitgestellt.

​

5.4 Umgang mit LLM-Daten

• Modelltraining. Wir nutzen produktive Kundendaten nicht zum Modelltraining. Soweit unsere LLM-Anbieter vertragliche Zusagen zu Zero-Data-Retention bzw. No-Training-on-Inputs abgegeben haben (Anthropic, OpenAI, AWS Bedrock, Google Vertex), sind diese Zusagen in den jeweiligen DPAs / Provider-Statements dokumentiert; auditierbare Auszüge stellen wir auf Anfrage bereit. Für Google Vertex ist diese Zusage öffentlich im Google Cloud Data Processing Addendum (CDPA) einsehbar, das Vertex AI umfasst (Stand: Juni 2026). Für Teams-Pläne ist die Inferenz so konfiguriert, dass sie über AWS Bedrock (eu-central-1) läuft; ein direkter Datenfluss an Anthropic oder OpenAI ist in dieser Konfiguration nicht vorgesehen.
• Prompt-Leakage-Prävention. Der Prompt-Kontext wird strikt auf den jeweiligen Nutzer und sein Projekt eingegrenzt; eine projekt­übergreifende Verarbeitung in einer gemeinsamen LLM-Session findet nicht statt. Datenbankzugriffe sind durch Row-Level Security und nutzerskopierte Anwendungs­kontexte abgesichert (siehe §6.1).
• Embeddings. In der Genie-Infrastruktur werden derzeit keine Embeddings persistiert. Sofern Kunden über Edge Functions in ihrem eigenen Supabase-Projekt Embeddings erzeugen oder ablegen, liegt deren Speicherung in der Verantwortung des Kunden (siehe §1).
• LLM-Traces (Braintrust).
  • Zweck. Qualitäts­überwachung, Regressions­erkennung und Debugging der LLM-gestützten Funktionen. Eine Nutzung zu Profiling-, Marketing- oder Trainings­zwecken erfolgt nicht.
  • Teams-Ausschluss. Workspaces mit Teams-Plan sind technisch so konfiguriert, dass sie vom Trace-Export an Braintrust ausgeschlossen sind. Spans aus Teams-Workspaces werden im Rahmen dieser Konfiguration nicht an Braintrust übermittelt; die Konfiguration ist im Code dokumentiert und Bestandteil der Code-Review-Pflicht (§6.2).
  • Datenminimierung. Für die übrigen Pläne werden ausschließlich AI-bezogene Spans exportiert (filterAISpans); allgemeine Anwendungs- oder Request-Logs, Klartext-Secrets, MCP-Credentials und Billing-Bodies sind durch dokumentierte Filterregeln ausgeschlossen. Stabile interne Identifier werden vor Übermittlung pseudonymisiert.
  • Zweckbindung und Retention. Traces werden ausschließlich für die oben genannten Zwecke verarbeitet; Retention 30 Tage, danach automatisierte Löschung.
  • Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabilem Betrieb und Sicherheit der KI-Funktionen; Interessens­abwägung dokumentiert, §5.3).
  • Zugriffsbeschränkung. Zugriff auf Traces ist ausschließlich Personen mit dokumentierter Produktiv­berechtigung möglich, MFA-geschützt, rollenbasiert (§7.7) und vollständig protokolliert (§6.1, §7.6).
  • Drittland. Braintrust wird in der EU-Region betrieben; soweit für einzelne Sub-Komponenten anwendbar, liegen Standardvertragsklauseln vor.
• Provider-Deaktivierung. Optionale LLM-Anbieter (Mistral, xAI, Replicate, Voyage, Perplexity, Hugging Face) werden nur dann aktiviert, wenn der Kunde sie in seinen Projekt­einstellungen explizit konfiguriert.

​

5.5 Datenschutzprinzipien (Art. 5 und Art. 25 DSGVO)

Genie setzt die Grundsätze des Art. 5 DSGVO im Design der Plattform um:

• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Es werden nur die für den jeweiligen Zweck erforderlichen Datenkategorien erhoben (§5.2). Sensible Felder (Klartext-Secrets, MCP-Credentials, Billing-Bodies, PII) sind durch dokumentierte Filter- und Logging-Regeln aus Logs, Telemetrie und LLM-Traces ausgeschlossen (§6.1, §5.4). Bei Drittland­transfer werden Identifier pseudonymisiert (§4 Standardpfad).
• Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Verarbeitungs­zwecke und zugehörige Rechtsgrundlagen sind in §5.3 dokumentiert. Eine Weiterverarbeitung zu nicht kompatiblen Zwecken findet nicht statt; insbesondere werden produktive Kundendaten nicht zu Trainings-, Profiling- oder Marketing­zwecken verwendet.
• Speicher­begrenzung (Art. 5 Abs. 1 lit. e DSGVO). Pro Kategorie definierte Aufbewahrungs­fristen (§8.2) werden technisch durchgesetzt: TTLs auf transientem State, Workflow-getriebene Löschung (§10.1), zeitlich begrenzte Backup-Retention.
• Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO). Verschlüsselung in Transit und at Rest, signierte Tokens, signierte Webhooks und Append-only-Audit-Logs (§6.1, §6.2).
• Rechenschafts­pflicht (Art. 5 Abs. 2 DSGVO). Dieses Paket, das Evidenzpaket nach §2.7 sowie das Dateninventar nach §10.3 sind die zentralen Nachweis­instrumente.
• Privacy by Design und by Default (Art. 25 DSGVO). Datenschutz­anforderungen sind in den Standard-Entwicklungs- und Review-Prozessen verankert (§6.2 Change Management). Neue Speicher oder Unterauftrags­verarbeiter werden gemäß §10.3 nur über die Dateninventar-Eingangskontrolle aufgenommen, die u. a. Zweck, Rechtsgrundlage, Aufbewahrung und Drittland­status festlegt. Default-Einstellungen sind datenschutz­freundlich (EU-Routing aktiviert, optionale Provider deaktiviert).
• Need-to-know. Zugriffe auf produktive Kundendaten erfolgen ausschließlich rollenbasiert und anlass­bezogen (§7.6, §7.7).
• Minimale Retention. Im Zweifel gilt die kürzere Frist; ausgenommen sind gesetzliche Aufbewahrungs­pflichten (Steuer, HGB).

​

5.6 Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine generelle Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) durch den Auftrags­verarbeiter besteht nach Art. 35 DSGVO nicht; die DSFA-Pflicht trifft den jeweiligen Verantwortlichen. Genie unterstützt den Verantwortlichen bei der Erstellung und Pflege seiner DSFA durch:

• die in diesem Paket dokumentierten Datenkategorien, Verarbeitungs­zwecke, Rechtsgrundlagen und TOM,
• Bereitstellung weiterer Detail-Informationen auf Anfrage (z. B. konkrete LLM-Provider-Konfiguration, Drittland­transfer-Mechanismen, Subprozessor-Compliance-Berichte, TIA-Zusammen­fassungen).

Intern erfolgt eine risiko­basierte Bewertung möglicher DSFA-relevanter Verarbeitungs­vorgänge anlass­bezogen und mindestens jährlich. Bewertet werden insbesondere LLM-gestützte Funktionen, Subprozessor-Wechsel mit Drittland­bezug sowie wesentliche Änderungen an Verarbeitungs­zwecken oder Datenkategorien. Die Bewertungen werden dokumentiert und sind Bestandteil des internen Evidenzpakets.

---

​

6. Technische Maßnahmen (TOM, Art. 32 DSGVO)

Dokumentiert nach Art. 32 DSGVO. Wir haben technische und organisatorische Maßnahmen implementiert, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungs­systeme und -dienste sicherzustellen.

​

6.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b)

​

6.2 Integrität (Art. 32 Abs. 1 lit. b)

​

6.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)

​

6.4 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)

• Aurora-PITR (35 Tage) wird mindestens quartalsweise in Staging geübt.
• Disaster-Recovery-Runbook liegt im privaten Ops-Repo; RPO ≤ 5 min, RTO ≤ 4 h für die Genie-Control-Plane. Kundenseitige Supabase-Projekte erben Supabases eigene DR-Posture.
• Über die rein technische Wiederherstellung hinaus ist der Kommunikations- und Eskalationsprozess im Business Continuity Plan (§6.9) beschrieben.

​

6.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a)

• Der Audit-Trail wird bei Account-Löschung in place anonymisiert — der gesetzliche Nachweis bleibt erhalten, ohne PII zu speichern.
• Der Nachweis der Löschung wird pseudonymisiert geführt, ohne den Identifier selbst aufzubewahren.

​

6.6 Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d)

Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird im Rahmen dieser Überprüfungen regelmäßig bewertet, dokumentiert und evaluiert (Art. 32 Abs. 1 lit. d DSGVO). Befunde fließen in den jährlichen TOM-Review ein; wesentliche Abweichungen werden in nachverfolgbaren Folgemaßnahmen behoben und im Evidenzpaket dokumentiert.

​

6.7 Vulnerability- und Patch-Management

• Kontinuierliches Dependency-Scanning bei jedem Commit (siehe §6.6); Befunde werden zentral nachverfolgt.
• Kritikalitäts­klassifizierung erkannter Schwachstellen nach CVSS v3.1 mit folgenden Ziel-Behebungs­fristen:

• Out-of-Band-Releases für Critical-Findings sind möglich; sie folgen einem verkürzten, jedoch ebenfalls dokumentierten Review-Pfad (siehe §6.2).
• Externer Penetrationstest jährlich (Bestand, vgl. §6.6); identifizierte Findings werden nach derselben Kritikalitäts­matrix bearbeitet.

​

6.8 Vorfall-Reaktion (Art. 33 / 34 DSGVO)

• 24/7-On-Call-Rotation; Triage-SLA 30 Minuten.
• Betroffene Kunden werden unverzüglich informiert, sobald hinreichend gesicherte Erkenntnisse über einen meldepflichtigen Vorfall vorliegen. Die 72-Stunden-Frist gegenüber der zuständigen Aufsichts­behörde wird vom Verantwortlichen eingehalten; wir stellen die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen unverzüglich bereit.
• Vollständiger Lebenszyklus, Beweissicherung und Post-Mortem-Kadenz sind intern dokumentiert und werden bei Audits auf Anfrage bereitgestellt.

​

6.9 Business Continuity Plan

Abgrenzung: §6.3 beschreibt technische Redundanz, §6.4 die technische Wiederherstellbarkeit. Der Business Continuity Plan ergänzt dies um die organisatorische Ausfall- und Kommunikationsorganisation.

• Ausfallorganisation. 24/7-On-Call-Rotation mit definiertem Eskalationspfad (On-Call → Incident Commander → Executive Sponsor).
• Kommunikationsprozesse. Status-Updates an betroffene Kunden über status.genie-app.de und per E-Mail an den hinterlegten Hauptkontakt. Sicherheits­relevante Meldungen zusätzlich über security@genie-app.de (siehe §11).
• Verantwortlichkeiten. Der Incident Commander koordiniert die technische Wiederherstellung; der Privacy Lead bewertet Meldepflichten gemäß Art. 33 / 34 DSGVO; der Executive Sponsor entscheidet über externe Kommunikation.
• Übung. Die jährliche SEV-1-Tabletop-Übung (siehe §6.6) deckt sowohl die DR- als auch die BCP-Kommunikations­prozesse ab.

​

6.10 Auftragskontrolle / Unterauftragsverarbeiter (Art. 28 DSGVO)

Siehe §2.6 / §4: SOC-2-Report oder gleichwertig eingeholt, AVV unterzeichnet, Register jährlich überprüft, 30 Tage Vorlauf vor Aufnahme oder Wechsel eines Unterauftragsverarbeiters.

---

​

7. Organisatorische Maßnahmen

Ergänzend zu den technischen Maßnahmen in §6 sind die folgenden organisatorischen Maßnahmen implementiert.

​

7.1 Security Awareness und Trainings

Mitarbeitende mit Zugriff auf produktive Systeme oder Kundendaten durchlaufen ein Security- und Datenschutz-Training beim Onboarding sowie regelmäßige Auffrischungen. Spezialisierte Trainings (z. B. sicheres Coding) ergänzen die Basis.

​

7.2 Vertraulichkeit, NDAs und Joiner-Mover-Leaver

Alle Mitarbeitenden sind vertraglich zur Vertraulichkeit verpflichtet. Onboarding, Rollenwechsel und Offboarding folgen einem dokumentierten Prozess, der das Vergeben, Anpassen und Entziehen von Zugriffsrechten regelt. Berechtigungen werden bei Ausscheiden unverzüglich entzogen.

​

7.3 Asset- und Endpoint-Management

Unternehmensgeräte werden zentral inventarisiert und verwaltet. Verschlüsselung der Festplatte, Bildschirmsperre, automatische Updates und Endpoint-Schutz sind verpflichtend.

​

7.4 Lieferanten- und Drittparteienmanagement

Unterauftragsverarbeiter werden vor Einsatz auf datenschutz- und sicherheits­relevante Anforderungen geprüft (SOC-2- bzw. ISO-27001-Berichte, AVV, ggf. SCC). Bestand siehe §4. Jährliches Re-Assessment (siehe §6.6).

​

7.5 Zugangs- und Passwort-Policy, MFA

Identitätsbasierte Anmeldungen erfolgen über einen zentralen Identity Provider mit erzwungener Multi-Faktor-Authentifizierung für alle Mitarbeitenden­konten und insbesondere für jeden Produktiv­zugriff. Passwort­anforderungen entsprechen anerkannten Standards (NIST SP 800-63B).

​

7.6 Mitarbeiterzugriffe auf Kundendaten

Zugriffe auf produktive Kundendaten erfolgen ausschließlich nach dem Need-to-know-Prinzip, sind rollenbasiert vergeben, MFA-geschützt und werden protokolliert. Break-Glass-Zugriffe sind technisch möglich, werden vor oder unverzüglich nach dem Zugriff dokumentiert, vom Privacy Lead nachgehalten und im quartalsweisen Access-Review (siehe §6.6) überprüft. Es existiert keine generelle Lese­berechtigung auf Kundendaten ohne dokumentierten Anlass.

​

7.7 Internes Berechtigungs- und Rollenkonzept

Zur Umsetzung der Anforderungen aus Art. 32 DSGVO sowie §6.1 (Least Privilege) ist ein dokumentiertes Rollenmodell etabliert. Die folgenden Rollen verfügen über klar abgegrenzte Berechtigungs­profile; Zuweisungen werden zentral im Identity Provider verwaltet, beim Onboarding / Rollenwechsel / Offboarding (§7.2) angepasst und im quartalsweisen Access-Review (§6.6) überprüft. Jede Berechtigungs­änderung (Neuvergabe, Anpassung, Entzug) wird im Identity Provider und in den jeweiligen Zielsystemen vollständig protokolliert. Produktive Zugriffe werden durchgehend in einem zentralen Audit-Log erfasst (§6.2). Eine generische „Admin”-Rolle mit ungefiltertem Datenzugriff existiert nicht; produktiver Vollzugriff ist ausschließlich über die zeitlich limitierte Break-Glass-Rolle erreichbar.

---

​

8. Datenschutz- und Löschkonzept

Wir löschen auf drei Granularitäten und end-to-end auditierbar. Produktive Löschungen werden innerhalb der DSGVO-Frist von 30 Tagen angestoßen und abgeschlossen, soweit keine gesetzlichen Aufbewahrungs­pflichten oder Backup-Retentionen entgegenstehen (siehe §8.2 und §10.5).

​

8.1 Inventar — wo liegen personenbezogene Daten

• AWS — Primäre Datenhaltung: Nutzerprofile, Projekte, Chatnachrichten, Uploads, Secrets, Audit-Logs, Deployment-Metadaten, transiente Workflow-Zustände.
• Auth0 — Authentifizierungsdaten (E-Mail, MFA-Faktoren, Anmelde-IP).
• Stripe — Abrechnungsdaten (Name, Adresse, Zahlungsmittel-Token, Rechnungen).
• Supabase — Kundeneigene App-Datenbank (Inhalt liegt in der Verantwortung des Kunden, siehe §1).
• Braintrust — LLM-Traces und Observability-Daten (30 Tage Retention; Teams-Workspaces ausgeschlossen, §5.4).
• Resend — Transaktionale E-Mails (Empfängeradresse, Inhalt).

​

8.2 Aufbewahrungsfristen

​

8.3 Account-Löschung (Art. 17 DSGVO)

Wird vom Kunden in /account/settings ausgelöst und durch Tippen der E-Mail bestätigt. Die Orchestrierung läuft als durabler Workflow (deleteAccountWorkflow) und übersteht Abstürze und Deploys.

1. Pre-Flight (synchron). Session prüfen, doppelte Anfragen deduplizieren, Löschjob mit 14-Tage-Vorlauf anlegen.
2. Deaktivierung (sofort, reversibel). Anmeldung blockieren, laufende Subscriptions auf Ablauf zum Periodenende setzen, kundenseitige Datenbank pausieren.
3. 14-Tage-Karenzfrist. Der Kunde kann in den Settings abbrechen.
4. Irreversible Kaskade (in dieser Reihenfolge):
   • Alle laufenden Hintergrundprozesse für diesen Nutzer abbrechen.
   • Alle Projekte des Nutzers vollständig löschen.
   • Gespeicherte Dateien und Uploads entfernen; CDN-Cache invalidieren.
   • Alle Datenbankeinträge in Abhängigkeitsreihenfolge löschen; Audit-Log-Einträge anonymisieren.
   • Externe Konten bei Stripe, Supabase und Auth0 kündigen.
5. Audit. Pseudonymisierter Löschnachweis wird gespeichert (kein personenbezogener Identifier).

​

8.4 Projekt-Löschung

Gleiche Workflow-Form, 7-Tage-Karenzfrist, auf ein einzelnes Projekt beschränkt.

​

8.5 Gezielte Datensatz-Löschung

Der Kunde kann die Löschung bestimmter Datensätze verlangen (eine einzelne hochgeladene Datei, ein einzelner Chat-Thread, eine Push-Subscription) ohne Account-weite Löschung. Anfragen über privacy@genie-app.de oder Support-Ticket.

​

8.6 Propagation an Unterauftragsverarbeiter

Jede externe Kündigung hat einen dokumentierten Endpunkt und idempotentes Retry-with-Backoff. Fehler werden in Admin-Tools sichtbar. Etwaige externe Reste werden durch §10 erfasst.

​

8.7 Löschung auf dokumentierte Weisung des Verantwortlichen

Über die im Self-Service angebotenen Löschpfade (§8.3 – §8.5) hinaus führen wir Löschungen auch auf dokumentierte Weisung des Verantwortlichen aus. Solche Weisungen sind AVV-Bestandteil (§2.5):

• Eingang und Identitäts­prüfung. Schriftliche oder ticket­basierte Anweisung über privacy@genie-app.de durch eine im Bestellformular benannte Ansprech­person; Identitäts­prüfung gemäß §9.1.
• Scope-Varianten.
  • Tenant-/Workspace-Löschung — vollständige Entfernung eines Workspaces inklusive aller zugehörigen Projekte, Uploads und Audit-Anonymisierung.
  • Teil-Löschung — gezielte Entfernung einzelner Datenkategorien (z. B. bestimmte Uploads, bestimmte Chat-Threads, bestimmte Push-Subscriptions) auf Verlangen des Verantwortlichen.
  • Betroffenen­spezifische Löschung — Löschung aller einer betroffenen Person zuordenbaren Daten auf Weisung des Verantwortlichen.
• Ausführung. Über denselben durablen Workflow wie die Self-Service-Löschung (§10.1). Idempotente Schritte, Retry-with-Backoff, Propagation an Subprozessoren (§8.6). Vier-Augen-Prinzip durch den Privacy Lead (§7.7).
• Support- und Eskalations­prozess. Der Eingang wird innerhalb von 3 Werktagen bestätigt; die Bearbeitung wird mit Ticket-ID nachverfolgt. Bei Rückfragen erfolgt direkte Abstimmung mit der benannten Ansprech­person des Verantwortlichen.
• Nachweis­barkeit. Der Verantwortliche erhält eine schriftliche Vollzugs­bestätigung mit pseudonymisiertem Löschnachweis (§10.6). Auf Anfrage stellen wir eine Nachweis­zusammen­fassung im Rahmen der AVV-Berichts­pflichten bereit.
• SLA. Ausführung innerhalb der DSGVO-Frist von 30 Tagen; schneller, sofern die Karenzfrist nach §8.3 vom Verantwortlichen verkürzt wird oder es sich um eine Teil-Löschung handelt.

---

​

9. Erfüllung von Betroffenenrechten

​

9.1 Identitätsprüfung vor Auskunft

Auskunfts- und Löschungsanfragen außerhalb der App werden erst nach Verifikation der Kontrolle über die hinterlegte E-Mail-Adresse beantwortet (Challenge-Link) oder, bei reinen Abrechnungsanfragen, über eine Stripe-Customer-Portal-Session.

​

9.2 Dokumentation der DSAR-Bearbeitung

Das interne Runbook zur Bearbeitung von DSAR liegt im privaten Ops-Repo. Jede DSAR-Anfrage wird mit Ticket-ID, Eingangsdatum, Identitäts­prüfung, Bearbeitungs­schritten, beteiligten Systemen und Abschluss­datum dokumentiert. Auf Anfrage erhält der Verantwortliche eine Zusammen­fassung des Bearbeitungs­stands und der durchgeführten Maßnahmen.

---

​

10. Wie wir die tatsächliche Löschung sicherstellen

​

10.1 Durable Orchestrierung

Löschungen laufen als Workflow mit At-least-once-Ausführung und Crash-Resume. Die 14-Tage-Karenzfrist ist ein Workflow-sleep — eine geplante Löschung kann uns über Deploys hinweg nicht verloren gehen. Jeder externe Aufruf ist in Retry-with-Backoff eingehüllt.

​

10.2 Idempotente Schritte

Jeder Schritt ist so entworfen, dass er gefahrlos erneut ausgeführt werden kann. Eine erneute vollständige Löschung ist ein No-op; eine erneute Teil-Löschung vollendet die fehlenden Teile.

​

10.3 Inventargetrieben, nicht featuregetrieben

Das Dateninventar ist die Quelle der Wahrheit. Neue Datenspeicher oder Unterauftragsverarbeiter müssen im selben Schritt ins Inventar aufgenommen werden.

​

10.4 Cache- und CDN-Invalidierung

Nach dem Löschen der Dateien werden alle CDN-Caches invalidiert, sodass gelöschte Inhalte nicht mehr abrufbar sind.

​

10.5 Backups bewusst berücksichtigt

Datenbank-Backups behalten gelöschte Daten noch 35 Tage. Während der Backup-Retention sind die Daten nicht produktiv zugänglich und werden nicht aktiv verarbeitet; ein Zugriff erfolgt ausschließlich im Rahmen eines kontrollierten Disaster-Recovery-Vorgangs (§6.4) und nur durch berechtigte SRE-Rollen (§7.7). Bei einer Wiederherstellung wird der Löschjob unmittelbar erneut ausgeführt. Nach 35 Tagen sind die Daten auch aus den Backups verschwunden.

​

10.6 Audit-Beleg

Für jede abgeschlossene Löschung wird ein pseudonymisierter Nachweis mit Zeitstempel gespeichert — beantwortet „habt ihr diesen Betroffenen gelöscht?” ohne den Identifier selbst aufzubewahren (Art. 17 + Art. 5 Abs. 2 DSGVO).

​

10.7 Behandlung des Append-only-Audit-Logs

Der Audit-Log ist technisch append-only. Zur Erfüllung von Löschanfragen werden betroffene Einträge in-place anonymisiert: alle personenbezogenen Felder werden durch Platzhalter ersetzt. Dieser Vorgang ist ausschließlich dem automatisierten Löschjob vorbehalten.

​

10.8 TTLs auf transientem State

Kurzlebige Zeilen werden durch die TTL des Stores selbst entfernt, auch wenn ein Löschjob sie übersehen hätte.

​

10.9 Periodische Verifikation

Quartalsweise prüfen wir gelöschte Accounts stichprobenartig auf Rückstände bei allen Unterauftragsverarbeitern. Die Prüfung wird intern dokumentiert.

---

​

11. Kontakte und Änderungsmitteilungen

• Datenschutz / DSAR / AVV-Anfragen: privacy@genie-app.de
• Sicherheitsmeldungen: security@genie-app.de
• Mitteilungen über Wechsel von Unterauftragsverarbeitern: Kunden erhalten mindestens 30 Tage vor Beginn der Verarbeitung durch einen neuen Unterauftragsverarbeiter eine E-Mail. Widersprüche nach Art. 28 Abs. 2 DSGVO werden über privacy@genie-app.de bearbeitet.
• Dokumentenversion: Dieses Paket wird jährlich und bei jeder wesentlichen Änderung der Liste der Unterauftragsverarbeiter oder der TOM überprüft.