Datenverarbeitung und Infrastruktur
Diese Richtlinie erläutert, wie Daten, die im Rahmen der Plattform CXR App verarbeitet werden, in Bezug auf technische Infrastruktur, Systemarchitektur, Hosting-Struktur und externe Dienstleister gehandhabt werden. CXR App wird von der Visual Memory Works GmbH („VMW“) angeboten und betrieben. Sie ist Ihr Ansprechpartner für Vertrieb, Abrechnung, Zahlungsabwicklung und Support.
Die Plattform ist eine cloudbasierte Softwareinfrastruktur, die über das Internet bereitgestellt wird. Für Kontinuität, Sicherheit und Leistung der Dienste können verschiedene technische Komponenten, Rechenzentren und Dienstleister gemeinsam genutzt werden.
ROLLEN BEI DER DATENVERARBEITUNG
Die auf der Plattform verarbeiteten Daten werden je nach Umfang und Zweck unterschiedlichen Rollen zugeordnet:
- Für Konto-, Abonnement-, Zahlungs- und Sicherheitsdaten der Nutzenden der Plattform sowie für Support- und Kontaktanfragen und den Betrieb der Website kann VMW Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sein. Näheres regeln die Datenschutzerklärung und die Datenschutzhinweise nach DSGVO.
- Laden Kundinnen und Kunden (Unternehmen) Daten ihrer eigenen Kundschaft, ihrer Gäste oder Besucher oder sonstiger Dritter auf die Plattform hoch oder erfassen sie solche Daten über ihre Apps, können diese Unternehmen Verantwortliche sein. In diesem Fall handelt VMW als technische Infrastrukturanbieterin und Auftragsverarbeiterin im Sinne von Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.
Die Einordnung der Rollen erfolgt nach der DSGVO und dem sonstigen anwendbaren Datenschutzrecht.
INFRASTRUKTUR UND HOSTING-ARCHITEKTUR
Die Dienste der Plattform werden auf einer skalierbaren und sicheren Cloud-Infrastruktur gehostet. Die Systemarchitektur kann aus Anwendungsservern, Datenbanken, Dateispeichersystemen und Netzwerkkomponenten bestehen.
Zur Sicherstellung der Dienstkontinuität können Backup-Systeme, Lastverteilung und Sicherheitsebenen eingesetzt werden. Die technische Infrastruktur kann im Laufe der Zeit aktualisiert und weiterentwickelt werden.
RECHENZENTREN UND GEOGRAFISCHER STANDORT
Die Informationswebsite cxr.app wird auf einem Webserver in der Türkei betrieben. Beim Aufruf der Website werden dort die technisch erforderlichen Zugriffsdaten verarbeitet, die Ihr Browser übermittelt (zum Beispiel IP-Adresse, Datum und Uhrzeit, aufgerufene Seite).
Die Anwendungen von CXR App (Linke, Catalog, Menux, Eventix, Momento und Selecto) sollen für den europäischen Dienst auf die Infrastruktur von Hetzner in Deutschland umgestellt werden; diese Umstellung ist geplant und nicht abgeschlossen. Für die Zielinfrastruktur sind drei Server in Deutschland sowie eine getrennte Backup- bzw. Cloud-Umgebung mit einer Übernahmeregelung (Failover) vorgesehen. Bis zum Abschluss der Umstellung können Verarbeitungen auf der bisherigen Infrastruktur stattfinden; wir aktualisieren diesen Text nach dem Abschluss.
Das E-Mail-Hosting für das Postfach info@visualmemoryworks.de erfolgt in Deutschland. Website und Anwendungen sind getrennte Systeme mit eigenen Datenflüssen; aus der Sprache einer Seite lässt sich nicht auf den Hostingstandort schließen.
Da für die Türkei kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO besteht, richtet sich die Verarbeitung der Zugriffsdaten auf dem Webserver in der Türkei nach Art. 46 oder Art. 49 DSGVO. Auf Anfrage teilen wir Ihnen mit, welche Garantie für diese Übermittlung besteht.
Werden personenbezogene Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums übermittelt, erfolgt dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Weitere Informationen enthält das Dokument Internationale Datenübermittlungen.
EXTERNE TECHNOLOGIEN UND DIENSTLEISTER
Beim Betrieb der Plattform können externe Technologien und Dienstleister folgender Art eingesetzt werden:
- Cloud- und Hosting-Dienste (Hetzner)
- Datenbank- und Datenspeichersysteme
- E-Mail- und Benachrichtigungsdienste
- Zahlungs- und Finanzsysteme (Stripe)
- Sicherheits- und Überwachungswerkzeuge
- Technologien der künstlichen Intelligenz (OpenAI, Anthropic, Google) und der Datenanalyse
Diese Dienstleister dürfen nur in dem Umfang auf Daten zugreifen, der für die Erbringung der Dienste erforderlich ist, und sind im Rahmen ihrer vertraglichen Pflichten zur Wahrung der Datensicherheit verpflichtet. Weitere Informationen enthält das Dokument Drittanbieter, Auftragsverarbeiter und Unterauftragsverarbeiter.
Die Rolle der Dienstleister im Datenschutz hängt von der jeweiligen Verarbeitung ab. Hosting-, E-Mail- und vergleichbare Infrastrukturdienstleister handeln in der Regel als Auftragsverarbeiter im Auftrag und nach Weisung von VMW (Art. 28 DSGVO). Anbieter von KI-Funktionen können je nach Dienst und Konfiguration Auftragsverarbeiter oder für eigene Zwecke eigenständige Verantwortliche sein. Zahlungsdienstleister wie Stripe verarbeiten Zahlungsdaten teils im Auftrag ihrer Geschäftskunden, teils als eigenständige Verantwortliche für eigene Zwecke, etwa zur Betrugsprävention oder zur Erfüllung eigener rechtlicher Pflichten; Einzelheiten beschreiben die Anbieter in ihren Datenschutzhinweisen (für Stripe: Stripe Privacy Center). Übermittlungen in Länder außerhalb der EU/des EWR erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
KÜNSTLICHE INTELLIGENZ UND AUTOMATISIERTE VERARBEITUNG
Einige Funktionen der Plattform können mit Technologien der künstlichen Intelligenz und der automatisierten Datenverarbeitung zusammenarbeiten. Diese Systeme können für Funktionen wie Textverarbeitung, Datenanalyse, Erstellung von Vorschlägen, Klassifizierung oder Inhaltserstellung eingesetzt werden.
Für KI-Funktionen können Dienste von OpenAI, Anthropic und Google eingesetzt werden. Vertragspartner, Verarbeitungsorte und Übermittlungsgrundlagen richten sich nach dem tatsächlich genutzten Dienst und den Vertragsbedingungen des jeweiligen Anbieters. Dass die Anwendungen auf Servern in Deutschland betrieben werden sollen, bedeutet nicht, dass alle KI-Verarbeitungen in Deutschland stattfinden; sie können auch außerhalb Deutschlands und außerhalb der EU bzw. des EWR erfolgen. Eine solche Übermittlung erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
Weitere Informationen enthält das Dokument Einsatz künstlicher Intelligenz und Datenverarbeitung.
ZUGRIFFSVERWALTUNG UND SICHERHEIT
In der Infrastruktur der Plattform werden technische und organisatorische Sicherheitsmaßnahmen umgesetzt, zum Beispiel:
- technische Maßnahmen zur Verhinderung unbefugten Zugriffs
- rollenbasierte Beschränkung von Zugriffsberechtigungen
- Verschlüsselung und Methoden zur sicheren Datenübertragung
- regelmäßige Systemaktualisierungen und Sicherheitsprüfungen
- Überwachung und Handhabung möglicher Sicherheitsverletzungen
Weitere Informationen enthält das Dokument Sicherheit und Infrastruktur.
ÄNDERUNGEN
Diese Richtlinie kann bei Änderungen der eingesetzten Infrastrukturtechnologien, der Dienstleister oder der Rechtslage aktualisiert werden. Der jeweils aktuelle Text gilt ab dem Tag seiner Veröffentlichung.
Fragen zu dieser Richtlinie richten Sie bitte an die Visual Memory Works GmbH, Elbestraße 10, 45768 Marl, Deutschland, E-Mail: info@visualmemoryworks.de.