{"title":"Vertrag über die Auftragsverarbeitung – KEKSONAUT","version":"2026-10-29.1-ee8dac7c8e86","hash":"02fab8ac7a8cefbf3c9923f68e87f4c05d79911ff8c0c1325764a9ddb3e63392","text":"# Vertrag über die Auftragsverarbeitung – KEKSONAUT\n\nAVV-Version: 2026-10-29.1-ee8dac7c8e86\nBetriebsangaben verifiziert am 2026-10-29T17:52:18.000Z.\n\n## Vertragsparteien und elektronischer Abschluss\n\nVerantwortlicher ist die natürliche oder juristische Person, für deren Organisation das Konto geführt wird. Die bei der Registrierung und im Organisationsprofil angegebenen Daten ordnen den Vertrag diesem Verantwortlichen zu. Die bei der Registrierung handelnde Person erklärt mit der gemeinsamen Annahme der AGB und dieses Vertrags, für die Organisation vertretungsberechtigt zu sein.\n\nAuftragsverarbeiter: rocket-ship, Inhaber Florian Bischof\nAnschrift: An der Halde 7, 89081 Ulm, DE\nDatenschutzkontakt und dokumentierte Weisungen: support@keksonaut.com\n\nDieser Vertrag einschließlich der Anlagen 1 bis 3 ist Bestandteil der AGB. Sein vollständiger Wortlaut ist vor der Registrierung elektronisch zugänglich. Bei der Registrierung nimmt die berechtigte Person mit einer gemeinsamen Erklärung die AGB und diesen Vertrag für ihre Organisation an; eine zusätzliche Unterschrift oder ein gesonderter Abschluss nach der Registrierung ist nicht erforderlich. Der Vertrag gilt auch bei unentgeltlicher Nutzung und für weitere Organisationen, die im Rahmen des Nutzungsvertrags angelegt werden. Bei Widersprüchen zu datenschutzbezogenen Regelungen des Nutzungsvertrags geht dieser Vertrag vor. Die Bereitstellung setzt weiterhin vollständige, vom Betreiber verifizierte Betriebsangaben einschließlich aller Anlagen voraus.\n\nDer vollständige Wortlaut einschließlich Anlagen, Version und SHA-256-Dokumenthash wird mit Organisationskennung, Herkunft und tatsächlichem serverseitigem Erfassungszeitpunkt unveränderlich dokumentiert. Bei der Registrierung wird zusätzlich die Benutzerkennung der handelnden Person zugeordnet; vorhandene Nachweise zur gemeinsamen AGB-Annahme bleiben in ihrer ursprünglichen Form erhalten. Bei bestehenden Kundenkonten wird die Übernahme in den gemeinsamen Vertragsablauf als systemseitige Bestandsmigration mit eigener Migrationskennung dokumentiert. Dieser Systemnachweis ist keine nachträgliche Kundenerklärung und datiert keine Zustimmung zurück. Bereits vorhandene Annahmenachweise werden nicht überschrieben. Mitglieder der Organisation können den Vertrag und die zugehörigen Nachweise herunterladen. Änderungen erhalten eine neue Version und einen neuen Hash; soweit eine Vertragsänderung eine Zustimmung oder Mitteilung erfordert, wird sie nach den dafür geltenden Regeln einbezogen. Eine neue Dokumentversion allein gilt nicht als neue Kundenzustimmung.\n\nVertragssprache ist Deutsch; verbindlich ist ausschließlich diese deutsche Fassung. Die englische und die spanische Fassung, die der Auftragsverarbeiter zum Lesen bereitstellt, sind unverbindliche Übersetzungen und nicht Bestandteil des Vertrags; bei Abweichungen gilt die deutsche Fassung.\n\n## 1. Gegenstand, Dauer und Zweck\n\nDer Auftragsverarbeiter betreibt KEKSONAUT, eine Plattform zur Verwaltung von Cookie-Einwilligungen. Im Auftrag des Verantwortlichen liefert er Banner-Konfigurationen und das Consent-Skript aus, nimmt Einwilligungsereignisse entgegen, speichert und stellt Nachweise sowie aggregierte Auswertungen bereit, führt Website-Scans durch, übermittelt auf Weisung Ereignisse an konfigurierte Webhooks und sichert beziehungsweise löscht die Daten. Einzelheiten zu Art, Zweck, Daten und betroffenen Personen stehen in Anlage 1.\n\nDie Verarbeitung dient dem Einholen, Verwalten und Nachweisen von Einwilligungen auf den Websites des Verantwortlichen sowie dem sicheren Betrieb dieser Leistung. Die Daten werden nicht für Werbung, Profilbildung oder eine Zusammenführung über Websites verschiedener Kunden hinweg verwendet.\n\nDer Vertrag gilt während der Nutzung und darüber hinaus, soweit Daten des Verantwortlichen noch verarbeitet werden. Vertraulichkeit, Unterstützung, Kontrolle und Löschungspflichten bestehen bis zum Abschluss der Verarbeitung fort. Konto-, Vertrags-, Abrechnungs- und Supportdaten, die der Anbieter für seine eigene Geschäftsbeziehung verarbeitet, sind nicht Gegenstand dieser Auftragsverarbeitung; dafür gelten seine Datenschutzhinweise.\n\n## 2. Weisungen und Verantwortung\n\nDie Verarbeitung erfolgt ausschließlich auf dokumentierte Weisungen des Verantwortlichen. Dieser Vertrag, die Website-Einstellungen, die gewählte Aufbewahrung, Veröffentlichungen, Exporte und die selbst konfigurierten Webhook-Ziele dokumentieren die Weisungen. Ergänzende Weisungen übermittelt der Verantwortliche in Textform an den oben genannten Datenschutzkontakt. Mündliche Weisungen sind in Textform zu bestätigen. Weisungen dürfen die für den Verantwortlichen handelnde Person und autorisierte Mitglieder der Organisation erteilen. Die Berechtigungen im Dashboard bleiben maßgeblich.\n\nIst eine Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben, informiert der Auftragsverarbeiter den Verantwortlichen vorab über diese Pflicht, soweit das Recht dies erlaubt. Der Auftragsverarbeiter weist unverzüglich auf eine Weisung hin, die seiner Ansicht nach Datenschutzrecht verletzt, und setzt die beanstandete Verarbeitung bis zur Klärung aus. Er informiert, wenn er die vereinbarten Pflichten nicht mehr erfüllen kann.\n\nDer Verantwortliche bestimmt Rechtsgrundlage, Inhalte des Banners, Dienste, Domains und Aufbewahrung und erfüllt die Informationspflichten gegenüber Besuchern. Er richtet nur Webhooks ein, deren Empfänger berechtigt sind. Soweit diese außerhalb des EWR verarbeiten, verantwortet er die dokumentierte Übermittlungsweisung und erforderlichen Garantien. Betriebsstandorte und eigene Unterauftragsverarbeiter des Auftragsverarbeiters stehen ausschließlich in Anlage 3; andere Übermittlungen erfolgen nicht ohne zulässige Weisung und die erforderlichen datenschutzrechtlichen Voraussetzungen.\n\n## 3. Vertraulichkeit und Sicherheit\n\nZugriff erhalten ausschließlich Personen, die ihn für die Leistung benötigen und zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dies gilt auch nach dem Ende ihrer Tätigkeit. Der Auftragsverarbeiter kontrolliert Berechtigungen und schützt die Daten durch geeignete technische und organisatorische Maßnahmen. Anlage 2 beschreibt die Maßnahmen und die verifizierten Betriebsangaben sowie bekannte Grenzen. Eine Zertifizierung oder ein bestimmtes Verfügbarkeitsniveau wird dadurch nicht zugesagt.\n\nDie Maßnahmen werden unter Berücksichtigung der Risiken und des Stands der Technik überprüft und erforderlichenfalls angepasst. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken. Wesentliche Änderungen, die den Auftrag betreffen, werden dem Verantwortlichen dokumentiert mitgeteilt.\n\n## 4. Unterauftragsverarbeiter\n\nDer Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 3 vollständig benannten Unterauftragsverarbeiter und die dort beschriebene Verarbeitung. Der Auftragsverarbeiter verpflichtet sie vertraglich zu mindestens den für die Verarbeitung maßgeblichen Datenschutzpflichten dieses Vertrags und bleibt für deren Erfüllung gegenüber dem Verantwortlichen verantwortlich.\n\nEine beabsichtigte Ergänzung oder Ersetzung teilt der Auftragsverarbeiter rechtzeitig vor dem Einsatz in Textform mit Angaben zu Anbieter, Verarbeitung und Standort mit. Der Verantwortliche erhält Gelegenheit, aus begründeten Datenschutzgründen zu widersprechen, bevor der neue Anbieter Daten erhält. Bis zur Klärung darf die betroffene Verarbeitung nicht mit diesem Anbieter beginnen. Können die Parteien keine datenschutzgerechte Lösung vereinbaren, kann der Verantwortliche die betroffene Leistung beenden. Die bloße Veröffentlichung einer neuen Liste ersetzt weder diese Mitteilung noch das Widerspruchsrecht. Die geänderten Anlagen werden versioniert und nach diesen Regeln mitgeteilt; eine zusätzliche Unterschrift im Dashboard ist dafür nicht vorgesehen.\n\n## 5. Unterstützung und Betroffenenrechte\n\nDer Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie bei seinen Sicherheits-, Melde-, Folgenabschätzungs- und Konsultationspflichten. Die Anwendung bietet CSV-Auswertungen und Organisationslöschung; vollständige Datensatzauskünfte, einzelne Berichtigungen, Löschungen oder Einschränkungen erfolgen bei Bedarf auf dokumentierte Weisung über den Datenschutzkontakt. Fehlende Dashboard-Funktionen heben diese Unterstützungspflichten nicht auf.\n\nAnfragen betroffener Personen leitet der Auftragsverarbeiter unverzüglich weiter und beantwortet sie grundsätzlich nur nach Weisung. Da keine Besucherkennung gespeichert wird, prüft der Verantwortliche zusammen mit dem Auftragsverarbeiter, welche Nachweise eine sichere Zuordnung ermöglichen. Zusätzliche Besucherkennungen werden dafür nicht vorsorglich erhoben. Der Auftragsverarbeiter liefert vorhandene Informationen so rechtzeitig, dass der Verantwortliche seine gesetzlichen Fristen einhalten kann; drohende Verzögerungen teilt er unverzüglich mit.\n\n## 6. Datenschutzverletzungen\n\nWird eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich über den oben genannten Kontaktweg. Die Meldung umfasst, soweit verfügbar, Art und Umfang, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Kontakt für Rückfragen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Abhilfemaßnahmen. Fehlende Informationen werden ohne vermeidbare Verzögerung nachgereicht. Der Auftragsverarbeiter dokumentiert den Vorfall, begrenzt Folgen und unterstützt die Meldung an Aufsicht oder Betroffene. Eine automatisierte Meldung oder eine Rund-um-die-Uhr-Rufbereitschaft wird nicht zugesagt; das ändert die Pflicht zur unverzüglichen Meldung nicht.\n\n## 7. Rückgabe, Löschung und Ende der Nutzung\n\nDer Verantwortliche bestimmt die Aufbewahrungsfrist der Einwilligungsnachweise je Website innerhalb des verfügbaren Bereichs. Nach Ablauf entfernt ein täglicher Löschlauf die betreffenden Nachweise; Betriebsunterbrechungen können diesen Lauf verzögern. Die konkret geltenden weiteren Speicherfristen stehen in Anlage 2.\n\nVor Beendigung kann der Verantwortliche die angebotenen Exporte nutzen und eine vollständige Rückgabe in einem gängigen elektronischen Format an den Datenschutzkontakt anweisen. Nach Abschluss der Leistung werden nach Wahl des Verantwortlichen die Daten zurückgegeben und bestehende Kopien gelöscht oder ausschließlich gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Erforderliche gesetzliche Speicherung wird auf den Pflichtumfang beschränkt und die Verarbeitung dafür gesperrt. Die Löschung der Organisation ist eine dokumentierte Löschweisung und nimmt eingebundene Banner und Rechtstexte außer Betrieb. Bei einem technischen Teilfehler wird die Löschung als unvollständig gemeldet und ist zu wiederholen; ein Teilfehler gilt nicht als abgeschlossene Löschung.\n\nBackup-Kopien werden nicht weiter produktiv genutzt und spätestens mit der in Anlage 2 ausgewiesenen Sicherungsfrist entfernt. Bei Wiederherstellung sind bereits erfolgte Löschweisungen erneut umzusetzen. Auf Wunsch bestätigt der Auftragsverarbeiter den Abschluss der Rückgabe oder Löschung. Der elektronische Vertragsnachweis wird mit der Organisation gelöscht; der Verantwortliche kann ihn vorher herunterladen. Gesetzlich notwendige Geschäftsunterlagen unter eigener Verantwortlichkeit des Anbieters fallen nicht unter diese Weisung.\n\n## 8. Nachweise und Kontrolle\n\nDer Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Erfüllung dieses Vertrags bereit, einschließlich der verifizierten Maßnahmen und Unterauftragsverarbeiterangaben. Er ermöglicht und unterstützt Überprüfungen und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten unabhängigen Prüfer. Dabei werden Sicherheitsanforderungen, Vertraulichkeit und Rechte anderer Kunden gewahrt. Angemessene Terminabsprachen dürfen dringende Kontrollen nach Vorfällen oder konkrete aufsichtsrechtliche Anforderungen nicht verhindern. Eine Zertifizierung ersetzt diese Rechte nicht. Der Auftragsverarbeiter kooperiert mit der zuständigen Aufsichtsbehörde und führt das für seine Auftragsverarbeitungen erforderliche Verzeichnis.\n\n## Anlage 1 – Verarbeitung, Daten und betroffene Personen\n\nBetroffene Personen sind Besucher der Websites des Verantwortlichen. Die Verarbeitung umfasst Entgegennahme, Aufzeichnung, Speicherung, Auswertung, Abruf, beauftragte Übermittlung, Sicherung und Löschung.\n\nEin Einwilligungsnachweis enthält Website- und Organisationszuordnung, Ereignistyp (Alle akzeptieren, Auswahl speichern oder Änderung), Kategorie- und Dienstentscheidungen, Serverzeit, gemeldete Banner-Versionsnummer und serverseitig ermittelte veröffentlichte Banner-Version, Hostname aus Origin beziehungsweise Referer, Herkunftsprüfung gegen hinterlegte Domains, einen auf die Website bezogenen HMAC-SHA-256-IP-Hash (auf 128 Bit gekürzt) und den vom Server empfangenen User-Agent (höchstens 512 Zeichen). Es wird keine Besucher- oder Sitzungskennung und kein Seitenpfad erhoben. Früher gespeicherte Pfade werden beim Start des Löschworkers und täglich entfernt; Exporte enthalten diese Altpfade auch vor Abschluss der Bereinigung nicht.\n\nNur eine Entscheidung, die mindestens eine nicht erforderliche Kategorie oder einen angebotenen Dienst einer solchen Kategorie freigibt, wird als Nachweis gespeichert. Ablehnungen, vollständiger Widerruf und das bloße Anzeigen des Banners werden nicht als Nachweis gespeichert oder per Webhook weitergeleitet. Legacy-Besucherkennungen, Sitzungen und gespeicherte Ablehnungen werden durch den Bereinigungslauf entfernt.\n\nDie Entscheidung selbst speichert das Skript im Browser des Besuchers, je nach Einstellung des Verantwortlichen im localStorage (Voreinstellung) oder im sessionStorage jeweils als Eintrag „cm:consent“ oder in einem Cookie der Website „cm_consent_<Einstellungskennung>“ (Path=/, SameSite=Lax, auf HTTPS-Seiten Secure, Laufzeit höchstens die eingestellte Gültigkeit der Entscheidung); eine Besucherkennung vergibt es nicht. Meldet der Browser ein Datenschutzsignal, das die Website beachtet (Global Privacy Control, voreingestellt; Do Not Track, wählbar), behandelt das Skript dies als Ablehnung und speichert keine Entscheidung. Schaltet der Verantwortliche in einem Tarif, der sie enthält, die HTTP-Consent-Cookie-Sicherung über eine verifizierte Subdomain seiner Website ein, die er an den Auftragsverarbeiter weiterleitet, sendet das Skript jede Entscheidung einschließlich Ablehnungen an diese Subdomain. Der Auftragsverarbeiter setzt dort das Cookie „__Host-cm_<Einstellungskennung>“ mit der signierten Auswahl bis zu deren Ablauf und das Cookie „__Host-cm_revoked_<Einstellungskennung>“ mit einem Zufallswert für bis zu 730 Tage, Letzteres auch schon vor einer Entscheidung (HttpOnly, Secure, SameSite=Strict), und liest beide bei Abrufen ohne lokal gespeicherte Entscheidung sowie bei Widerruf, Zurücksetzen und, wenn das Skript ein Datenschutzsignal beachtet, bei jedem Seitenaufruf; eine gesicherte Auswahl löscht er dann. Auswahl und Zufallswert speichert er dabei nicht. Wird die Sicherung abgeschaltet oder entfällt sie mit dem Tarif, lässt er bei jedem Seitenaufruf noch vorhandene Cookies dieser Sicherung verfallen.\n\nBeim Ausliefern von Skript, Konfiguration und Erklärungen werden technisch IP-Adresse und HTTP-Header verarbeitet. Zugriffs- und Fehlerprotokolle sowie Sicherungen sind in Anlage 2 beschrieben. Abrufe werden je Website und Tag ohne Besucherzuordnung für Auswertungen und Tarifkontingente gezählt. Die Installation wird anhand von Abrufen der hinterlegten Domain geprüft. Website-Scans erfassen Cookies, Dienste, URLs und technische Befunde; sofern gescannte Inhalte ausnahmsweise personenbezogene Angaben enthalten, sind auch diese umfasst. Webhooks enthalten die Entscheidung, Website-/Ereigniskennung und Serverzeit, aber weder IP-Hash noch User-Agent.\n\nBesondere Kategorien personenbezogener Daten, Besuchernamen und Kontaktdaten sind nicht vorgesehen. Der Verantwortliche darf solche Daten nicht gezielt in die Verarbeitung einbringen. Es findet keine Geolokalisierung oder Browser-Fingerprinting durch das Consent-Skript statt.\n\n## Anlage 2 – Technische und organisatorische Maßnahmen und Fristen\n\nAnwendungsseitige Maßnahmen: kurzlebige Zugriffstoken, rotierende HttpOnly-Refresh-Cookies, Zwei-Faktor-Anmeldung mit zeitbasierten Einmalcodes (TOTP) und Wiederherstellungscodes, für alle Benutzer wählbar und für Plattformadministratoren des Auftragsverarbeiters verpflichtend, Begrenzung der Anmeldeversuche je IP-Adresse sowie je Anmeldeadresse und Konto mit wachsender Wartezeit nach wiederholten Fehlversuchen (Passwort bis 15 Minuten, Zweitfaktor-Codes bis 1 Stunde), Rollen owner/admin/editor/billing, organisationsbezogene Datenabfragen und API-Schlüssel, keine öffentliche Lese-API für einzelne Einwilligungsnachweise, Ratenbegrenzung und Eingabevalidierung. Die gemeinsame Annahme von AGB und AVV bei der Registrierung wird serverseitig geprüft und dokumentiert; bei weiteren Organisationen gelten die Berechtigungen des angemeldeten Benutzers. Bestandsmigrationen erhalten einen gesonderten Systemnachweis ohne erfundene Annahmeerklärung einer Person. Vertrags- und Annahmenachweise können über die Anwendung nicht nachträglich verändert werden.\n\nConsent-IP-Adressen werden nur als websitebezogene Hashwerte gespeichert. Request-Protokolle kürzen IP-Adressen und redigieren Zugangsdaten. Einwilligungsnachweise enthalten serverseitige Zeit-, Versions- und Herkunftsangaben. Webhooks sind HMAC-signiert und beschränkt auf konfigurierte Empfänger; interne Zielnetze werden durch SSRF-Schutz ausgeschlossen. Datenschutz- und sicherheitsrelevante Aktionen werden protokolliert.\n\nDie Produktionskonfiguration sieht TLS über den vorgeschalteten Webserver, Sicherheitsheader, authentifizierte nicht öffentlich exponierte Datenbank und Redis, Container unter einem eigenen Benutzer, getrennten Scanner-Worker, Neustartregeln, Healthchecks, zeitlich begrenzte Containerlogs, tägliche Datenbanksicherungen und deren verschlüsselte Kopie außerhalb des Servers vor. Ob und wie diese Maßnahmen auf dem tatsächlich eingesetzten Host umgesetzt sind, wurde für dieses Vertragsangebot durch den Betreiber geprüft und wird durch die folgenden Betriebsangaben konkretisiert:\n\n- Orte der Verarbeitung: Lauterbourg, Frankreich (EU): Rechenzentrum der Contabo GmbH (betrieben von der Contabo France SAS), eigener virtueller Server des Betreibers, auf dem seit dem 29.10.2026 ausschließlich KEKSONAUT läuft; Standort vom Betreiber im Contabo-Kundenbereich bestätigt; Frankfurt am Main, Deutschland (EU): Google Cloud Storage, Region europe-west3, ausschließlich verschlüsselte Sicherungskopien (seit 29.10.2026)\n- Fernadministration: Die Administration durch den Betreiber erfolgt ausschließlich aus Deutschland.\n- Hostzugang, Firewall, Zutritt und Berechtigungskontrolle: Eigener virtueller Server (Contabo Cloud VPS), auf dem seit dem 29.10.2026 ausschließlich KEKSONAUT betrieben wird; Anwendungen oder Container anderer Mandanten laufen darauf nicht (bis dahin ein gemeinsam genutzter Server). Die physische Hardware und das Rechenzentrum betreibt Contabo; für Zutritt und Zugang dort gelten die Maßnahmen des Contabo-AVV. Zugang zum Server hat ausschließlich der Betreiber: Root-Anmeldung per SSH nur mit Schlüssel, Passwortanmeldung gesperrt. Die Firewall (ufw) lässt nur SSH (22), HTTP (80) und HTTPS (443) zu. Container veröffentlichen Ports nur auf 127.0.0.1 hinter dem Reverse Proxy; MongoDB und Redis haben keine veröffentlichten Ports und verlangen Authentifizierung.\n- Verschlüsselung gespeicherter Daten und Sicherungen: Datenbank und lokale MongoDB-Sicherungen (gzip-Archive) auf dem virtuellen Server sind nicht zusätzlich verschlüsselt; eine Datenträgerverschlüsselung des Servers ist nicht eingerichtet, eine Verschlüsselung auf Ebene des Hostinganbieters ist nicht nachgewiesen. Die externen Sicherungskopien verschlüsselt restic vor der Übertragung auf dem Server (AES-256 mit Poly1305-Authentifizierung); der Schlüssel liegt ausschließlich beim Betreiber, Google erhält nur verschlüsselte Daten. Übertragungen erfolgen per TLS.\n- Sicherungsverfahren, Aufbewahrung, Speicherort und Wiederherstellungsprüfung: Ein Sidecar erstellt täglich gzip-komprimierte MongoDB-Archive auf der Serverfestplatte; sie werden nach 30 Tagen gelöscht (im Regelbetrieb spätestens am 32. Tag; schlägt eine Sicherung fehl, erst nach der nächsten erfolgreichen), die sieben jüngsten bleiben stets erhalten. Seit dem 29.10.2026 kopiert ein Systemdienst zweimal täglich diese Archive und die Serverkonfiguration als mit restic auf dem Server verschlüsselte Sicherungsstände in einen Google-Cloud-Storage-Bucket in der Region europe-west3 (Frankfurt am Main). Dort werden die Stände der letzten 30 Tage und je ein Stand der letzten 12 Monate aufbewahrt; nicht mehr benötigte Daten entfernt jeder Lauf vollständig, auch nach einer fehlgeschlagenen Sicherung, gelöschte Objekte bleiben noch 30 Tage wiederherstellbar (Soft Delete) und sind danach endgültig gelöscht. Wöchentlich werden 10 % der externen Sicherungsdaten zur Prüfung gelesen; Erfolg oder Fehler jedes Laufs meldet ein Heartbeat an die Überwachung. Wiederherstellungsproben der lokalen Archive sind für den 08.08.2026 und den 29.10.2026 protokolliert.\n- Monitoring, Fehlererfassung und Alarmierung: Docker-Healthchecks prüfen API, Scanner-Worker, MongoDB, Redis und den Backup-Prozess. Seit dem 29.10.2026 prüft der externe Dienst Better Stack die öffentlichen Endpunkte (Verfügbarkeit, TLS-Zertifikate) und empfängt Heartbeats der lokalen und der externen Sicherung sowie einer Serverprüfung (Plattenbelegung, Zertifikate); diese Abrufe und Meldungen enthalten keine Auftragsdaten. Alarme gehen per E-Mail und Push an den Betreiber; eine Rufbereitschaft wird nicht zugesagt. Fehlerberichte von API und Scanner-Worker gehen an eine vom Betreiber selbst betriebene GlitchTip-Instanz auf demselben Server (errors.keksonaut.com); sie enthalten die Fehlermeldung mit Stack und von einer Anfrage nur Methode und Pfad, keine Header, Cookies, Query-Parameter oder Benutzerdaten, und werden nach 30 Tagen gelöscht. Ein externer Fehlerkollektor eines Dritten wird nicht eingesetzt.\n\nSpeicherfristen: Einwilligungsnachweise je Website 30 bis 1.095 Tage, Standard 365 Tage, täglicher Löschlauf. Webhook-Zustellungsnachweise einschließlich Ereigniskopie 30 Tage; erledigte Queue-Aufträge 1 Tag und fehlgeschlagene 7 Tage, zusätzlich Mengenbegrenzungen. Scan-Daten 180 Tage. Audit- und Produktprotokolle 730 Tage, E-Mail-Protokolle 365 Tage. Containerprotokolle (Anwendungsprotokolle mit gekürzten IP-Adressen) speichert das Systemjournal des Servers höchstens 7 Tage. Zugriffsprotokolle des Webservers (nur das Netz der Client-Adresse, IPv4 /24, IPv6 /48, ohne User-Agent und Referer) werden spätestens nach 7 Tagen, seine Fehlerprotokolle spätestens nach 15 Tagen gelöscht; Fehlerprotokolle können vollständige IP-Adressen enthalten. Sicherungen: lokal 32 Tage; verschlüsselte Kopien außerhalb des Servers im Regelbetrieb höchstens 400 Tage nach Erstellung der jeweiligen Sicherung, danach endgültig gelöscht.\n\nBekannte Grenzen: Keine zugesagte Zertifizierung. Einzelne Betroffenenanfragen und vollständige Datensatzrückgabe werden über den Datenschutzkontakt bearbeitet. Der tatsächlich bestätigte Stand zu Backups, ruhender Verschlüsselung und Überwachung steht oben; darüber hinaus werden weder eine Datenträgerverschlüsselung noch eine Rufbereitschaft oder Wiederherstellungsziele zugesagt. Die verifizierten Betriebsmaßnahmen werden regelmäßig sowie nach wesentlichen Änderungen überprüft.\n\n## Anlage 3 – Genehmigte Unterauftragsverarbeiter und Übermittlungen\n\n1. Contabo GmbH\n   Anschrift: Welfenstraße 22, 81541 München, Deutschland\n   Leistung: Bereitstellung des virtuellen Servers (Rechenzentrum, Hardware, Netzwerk), auf dem der Dienst einschließlich Datenbank, Protokollen und lokaler Datenbanksicherungen läuft.\n   Verarbeitungsort: Lauterbourg, Frankreich (EU); das Rechenzentrum betreibt die Contabo France SAS, 2 rue Taunus, 67630 Lauterbourg, als Unterauftragnehmer der Contabo GmbH (Contabo-AVV, Anlage 3).\n   AVV abgeschlossen am: 2026-10-29\n   Drittlandstatus und gegebenenfalls Übermittlungsgarantien: Keine Drittlandübermittlung: Verarbeitung im Rechenzentrum Lauterbourg (Frankreich, EU); Administration durch den Betreiber ausschließlich aus Deutschland. Für die Verarbeitung durch Contabo gelten die Standorte und Garantien des am 29.10.2026 für diesen Server abgeschlossenen Contabo-AVV.\n\n2. Google Cloud EMEA Limited\n   Anschrift: 70 Sir John Rogerson’s Quay, Dublin 2, Irland\n   Leistung: Speicherung der externen Sicherungskopien (MongoDB-Archive und Serverkonfiguration) in Google Cloud Storage. Google erhält ausschließlich Daten, die restic auf dem Server verschlüsselt hat, und keinen Schlüssel.\n   Verarbeitungsort: Frankfurt am Main, Deutschland (EU), Region europe-west3; ruhende Daten werden nur in dieser Region gespeichert (Google Cloud Service Specific Terms, Data Location).\n   AVV abgeschlossen am: 2026-10-29\n   Drittlandstatus und gegebenenfalls Übermittlungsgarantien: Ruhende Daten nur in der EU-Region europe-west3. Unterauftragsverarbeiter von Google (Google LLC und verbundene Unternehmen sowie Supportdienstleister) können zur Wartung und für Support aus Drittländern begrenzt zugreifen (cloud.google.com/terms/subprocessors). Für die USA gilt die Zertifizierung von Google LLC nach dem Datenschutzrahmen EU-USA (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), im Übrigen gelten die Standardvertragsklauseln des Google Cloud Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO). Zusätzliche Maßnahme: Verschlüsselung auf dem Server mit Schlüssel ausschließlich beim Betreiber, sodass bei solchen Zugriffen nur verschlüsselte Daten zugänglich sind. Änderungen der Unterauftragsverarbeiter von Google teilt der Auftragsverarbeiter nach Abschnitt 4 mit, sobald Google sie ankündigt; Kontrollen bei Google erfolgen über die Zertifikate und Berichte, die Google nach dem Cloud Data Processing Addendum bereitstellt.\n\nDiese Liste umfasst die tatsächlichen Empfänger der Auftragsdaten einschließlich Hosting, externer Sicherung und Fehlererfassung, soweit eingesetzt. Vom Verantwortlichen selbst konfigurierte Webhook-Empfänger sind seine angewiesenen Empfänger. Reine Konto-E-Mail- und Zahlungsanbieter erhalten keine Einwilligungsnachweise; ihre Verarbeitung unter eigener Verantwortlichkeit des Anbieters wird in dessen Datenschutzhinweisen erklärt. Bevor ein solcher Anbieter Auftragsdaten erhält, ist er nach Abschnitt 4 aufzunehmen.\n\nRechtsgrundlage dieses Vertrags: Art. 28 DSGVO, einschließlich elektronischer Form nach Absatz 9. Offizielle Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de\n","ready":true,"configurationError":null,"required":true,"legalVersion":"2026-10-30.1"}