Datenverarbeitung

amber verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach den Anweisungen seiner Kunden im Rahmen der vereinbarten Dienstleistungen.

Umfang und Zweck der Verarbeitung richten sich nach dem jeweiligen Dienstleistungsvertrag und den dazugehörigen Leistungsbeschreibungen. Die Kunden bleiben für die Beurteilung der rechtlichen Zulässigkeit der über die Plattform durchgeführten Verarbeitungsvorgänge verantwortlich.

Zu den verarbeiteten personenbezogenen Daten können gehören:

personenbezogene Stammdaten
Kommunikationsdaten wie Telefonnummern und E-Mail-Adressen
Vertragsstammdaten
Abrechnungs- und Zahlungsdaten
Planungs- und Steuerungsdaten
Informationen, die von Dritten oder aus öffentlichen Verzeichnissen stammen

Zu den betroffenen Personen können gehören:

Kunden
Interessenten
Mitarbeiter
Lieferanten
Vertriebsmitarbeiter
Ansprechpartner

Da bestimmte personenbezogene Daten als Nebenprodukt der Dienstleistungsnutzung anfallen können, lassen sich die genauen Kategorien der betroffenen Personen nicht immer im Voraus bestimmen und können im Einzelfall weiter gefasst sein.

Kunden können Anweisungen bezüglich der Verarbeitung ihrer Daten erteilen, einschließlich Berichtigung, Löschung und Einschränkung. Sollte eine Anweisung im Widerspruch zum geltenden Datenschutzrecht zu stehen scheinen, kann ihre Ausführung ausgesetzt werden, bis sie bestätigt oder geändert wurde.

Zum Schutz personenbezogener Daten werden gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen umgesetzt. Diese Maßnahmen können im Laufe der Zeit aktualisiert werden, sofern das vereinbarte Schutzniveau nicht gemindert wird. Das Informationssicherheits-Managementsystem ist nach ISO 27001 zertifiziert.

Übermittlungen personenbezogener Daten in Länder außerhalb des EWR erfolgen nur, wenn die geltenden Anforderungen gemäß Art. 44 ff. DSGVO erfüllt sind.

Bei Beendigung des Vertragsverhältnisses werden personenbezogene Daten und Datenträger zurückgegeben oder gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Auf Anfrage kann ein dokumentierter Nachweis über die Löschung vorgelegt werden. Die Geheimhaltungspflichten gelten so lange, wie personenbezogene Daten, die von Kunden erhalten oder für diese erhoben wurden, im Geltungsbereich verbleiben.

Die Erbringung der Dienstleistungen kann unter Einbeziehung von Unterauftragsverarbeitern erfolgen. Kunden werden im Voraus über beabsichtigte Änderungen bei den Unterauftragsverarbeitern informiert und können innerhalb von zwei Wochen Widerspruch einlegen, sofern ein wichtiger datenschutzrechtlicher Grund vorliegt. Wird innerhalb dieser Frist kein Widerspruch eingelegt, gilt die Änderung als genehmigt. Alle Unterauftragsverarbeiter sind an Verpflichtungen gebunden, die den geltenden datenschutzrechtlichen Anforderungen entsprechen.

Unterauftragsverarbeiter

Name des Dienstleisters	Standort			Standort des Unterauftragsverarbeiters Hinweise zur Dienstleistung / Sicherheitsmaßnahmen
Telekom Deutschland GmbH	Bonn, Deutschland	T-Cloud Public und T-Systems LLM Hub	Obligatorisch	AVV gemäß Art. 28 DSGVO; Verarbeitung gemäß § 203 StGB als gegeben angegeben
XQueue GmbH (Maileon)	Offenbach am Main, Deutschland	Benutzerinformations-E-Mails	Obligatorisch	Verarbeitungsvertrag gemäß Art. 28 DSGVO; Verarbeitung ausschließlich innerhalb der EU
CORDNET OÜ (Featurebase)	Gemeinde Viimsi, Estland	Hilfezentrum	Obligatorisch	Vertragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO
Microsoft Deutschland GmbH*	München, Deutschland	Azure OpenAI, Region Europa	Optional für GPT-LLMs	AVV gemäß Art. 28 DSGVO
Google Cloud EMEA Ltd*	Dublin, Irland	Google Cloud Platform EMEA	Optional für Claude- und Gemini-LLMs	AVV gemäß Art. 28 DSGVO * Sprachmodell Fable 5 beinhaltet eine 30 tägige Data Retention, siehe: https://support.claude.com/en/articles/15425996-data-retention-practices-for-covered-models
Mistral AI*	Paris, Frankreich	LLM-Hosting / API (große Sprachmodelle)	Optional für Mistral-LLMs	Verarbeitungsvertrag gemäß Art. 28 DSGVO; Unternehmen mit Sitz in der EU, Verarbeitung innerhalb der EU und nicht dem US-amerikanischen CLOUD Act unterworfen
Eleven Labs Inc. (ElevenLabs)*	New York, USA	Text-to-Speech / Sprach-KI (Sprachsynthese)	Optional für Spracheingabe und Sprachausgabe	EU-Standardvertragsklauseln (SCC) und Zertifizierung nach dem EU-US-Datenschutzrahmen; Datenspeicherung in der EU und „Zero-Retention-Modus“ verfügbar
Brave Software Inc.*	San Francisco, USA	Websuch-API	Optionaler Websuch-Anbieter	EU-Standardvertragsklauseln (SCC)
Perplexity AI, Inc.*	San Francisco	Websearch-API	Optionaler Websuchdienstanbieter	EU-Standardvertragsklauseln (SCC)

* Optionale Dienstleister

Optionale Dienstleister können je nach den genutzten Diensten und Funktionen aktiviert oder deaktiviert werden.

Nicht jeder Dienst eines Drittanbieters stellt eine Unterauftragsvergabe dar. Reine Nebendienstleistungen wie Post-, Transport-, Versand-, Reinigungs- oder Telekommunikationsdienste ohne direkten Bezug zur Erbringung von Kundendienstleistungen gelten nicht als Unterauftragsvergabe. Wartungs- und Testdienstleistungen können als Unterauftragsvergabe gelten, sofern sie sich auf IT-Systeme beziehen, die zur Erbringung der Dienstleistungen genutzt werden.