Rechtliche Sorgfalt ist Standard, kein Aufpreis.
Zu jedem Projekt gehören der Auftragsverarbeitungsvertrag mit Leistungsschein, die Löschfristen je Datenart und der fertige Eintrag für Ihr Verarbeitungsverzeichnis — als Teil der Leistung, nicht gegen Aufpreis. Datenschutz, KI-Verordnung und Vertragswerk denken wir von Anfang an mit, nicht als Nacharbeit kurz vor dem Start. Und wir formulieren bewusst „geprüft" — nicht „zertifiziert" und nicht „rechtssicher garantiert".
Vier Bereiche, die von Anfang an mitlaufen.
Zu allen vier Bereichen liefern wir die Unterlagen, die Ihr Datenschutzbeauftragter oder Ihre Kanzlei für eine Prüfung braucht.
Datenschutz
Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Löschkonzept, Verarbeitungsverzeichnis. Hosting und Verarbeitung in Eygelshoven (Niederlande).
KI-Verordnung
Risikoeinordnung jedes Systems, Dokumentations- und Protokollierungspflichten, Nachweis menschlicher Aufsicht — von Anfang an mitgedacht.
Website & Consent
Einwilligungsmechanik nach DSGVO und § 25 TDDDG, mit Nachweisführung und regelmäßiger Prüfung auf neue Skripte.
Vertragswerk
AGB, Nutzungsrechte statt Rechteübertragung, Haftung, Mitwirkungspflichten — verständlich und fair formuliert.
Mitbestimmung von Anfang an mitgedacht.
Systeme, die die Arbeit von Mitarbeitern bewerten oder überwachbar machen, berühren die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG — das gilt etwa für die Bildprüfung am POS. Bei vielen Anbietern ist das der Punkt, an dem Projekte monatelang liegenbleiben.
Für Kunden mit Betriebsrat unterstützen wir das Gespräch auf Anfrage — mit den technischen Fakten, die der Betriebsrat sehen will: Vorschlagscharakter, dokumentierte Aufsicht, keine Auswertung auf Einzelpersonen ohne gesonderte Vereinbarung.
- Vorschlagscharakter statt Vorgabe — die Entscheidung trifft ein Mensch
- Menschliche Aufsicht dokumentiert und protokolliert
- Keine Auswertung auf Einzelpersonen ohne gesonderte Vereinbarung
- Auf Anfrage Unterstützung beim Gespräch mit Ihrem Betriebsrat
Die DSFA ist Pflicht. Wir liefern die Vorarbeit.
Bei jedem Anwendungsfall mit Beschäftigten-, Standort- oder Bewerberbezug prüfen wir vor dem Angebot, ob Art. 35 DSGVO eine Datenschutz-Folgenabschätzung verlangt — und halten das Ergebnis schriftlich fest, auch wenn es „nein“ lautet. Bei Bildprüfung am POS ist die Antwort in aller Regel „ja“: systematische Beobachtung von Beschäftigten steht auf der Muss-Liste der deutschen Aufsichtsbehörden.
Das ist kein Kleingedrucktes, sondern ein Terminfaktor. Wer es erst nach dem Setup erfährt, verliert Wochen. Deshalb sagen wir es vor dem Angebot — und liefern die technische Beschreibung, aus der Ihr Datenschutzbeauftragter die Folgenabschätzung erstellen kann.
- Beschreibung der Verarbeitung, Datenkategorien und Empfänger
- Technische und organisatorische Maßnahmen dokumentiert
- Zulieferung für die Risikobewertung Ihres Datenschutzbeauftragten
- Die Folgenabschätzung selbst verantwortet Ihr Unternehmen — wir liefern zu
Was wir zusagen — und was nicht.
Vertrauen entsteht nicht durch das Wort „Sicherheit", sondern durch Zahlen, die man nachlesen kann. Hier stehen die, die in jedem Auftragsverarbeitungsvertrag mit uns wiederkehren — und danach die Grenzen, die wir nicht überschreiten.
| Punkt | Zusage |
|---|---|
| Verarbeitungsort | Serverstandorte in der EU; eine Übermittlung in ein Drittland ist nicht vorgesehen und bedarf einer gesonderten Vereinbarung. Jeder Unterauftragsverarbeiter steht namentlich mit Verarbeitungsort in Anlage 2 des Vertrags. Was wir nicht ausschließen können, solange uns ein Anbieter seine eigene Kette nicht nennt, steht unten unter „Was wir nicht zusagen" — nicht als Zusage, die wir nicht prüfen können. |
| Zugang und Anmeldung | Namentliche Konten, Zwei-Faktor-Anmeldung, Rechte nach Rolle. Sammel-Logins gibt es nicht — kommt kein persönlicher Zugang zustande, kommt das Projekt nicht zustande. |
| Trennung | Ein Datenraum je Kunde: eigene Datenbank, eigene Zugangsdaten, eigenes Erkennungsmodell. Kein kundenübergreifendes Training. |
| Löschfristen | Prozess-Screening: 60 Tage nach Ergebnisabgabe. Automation-Rescue: 30 Tage. Zugriffsprotokolle: 90 Tage. Bei Vertragsende wählen Sie zwischen Rückgabe und Löschung — ohne Ihre Wahl wird nach 30 Tagen gelöscht, das Modell eingeschlossen. |
| Meldeweg | Bei einer Datenschutzverletzung Erstmeldung an Ihren benannten Empfänger innerhalb von 24 Stunden, vollständige Angaben nach Art. 33 Abs. 3 DSGVO innerhalb von 72 Stunden — damit Sie Ihre eigene Frist halten können. |
| Datenrückgabe | Ihre Daten in einem gängigen Format. Das für Sie trainierte Modell wird gelöscht, nicht weiterverwendet; ein Export der Modellgewichte gehört nicht dazu. |
| Betrieb | Rückmeldung bei Störung bis zum Ende des nächsten Werktags, Servicefenster werktags 18–22 Uhr und samstags 10–16 Uhr. Fällt die Automatisierung aus, geht kein Vorgang verloren: Rückfall auf den manuellen Weg, Warteschlange bleibt, Sie werden benachrichtigt. |
Beides können Sie nachlesen, bevor Sie mit uns sprechen: Auszug aus dem Auftragsverarbeitungsvertrag (PDF) und Löschkonzept als Muster (PDF).
Was wir nicht zusagen
- Keine Rufbereitschaft, keine Zusage für Sonn- und Feiertage. Adtura ist ein Einzelunternehmen. Was wir zusagen, halten wir — deshalb sagen wir nicht mehr zu.
- Keine rechtliche Bewertung Ihres Falls. Wir erklären, wie das System arbeitet und welche Unterlagen Sie dafür brauchen. Ob Ihr Einsatz zulässig ist, beurteilt Ihre Kanzlei oder Ihr Datenschutzbeauftragter.
- Keine Quote über das vereinbarte Erfolgskriterium hinaus. Gemessen sind 65 % an einem Sortiment; zugesagt werden 60 %, und nur, wenn es im Vertrag mit Messverfahren steht.
- Kein Weiterbetrieb fremder Automationen. Das Rescue-Audit endet mit einer Empfehlung, nicht mit einer Übernahme.
- Keine absolute Drittland-Garantie unterhalb unserer Ebene. Unser Hoster nennt seine Unterauftragsverarbeiter bisher nur nach Kategorien. Solange die Namen fehlen, steht die Lücke im Vertrag — nicht eine Zusage, die wir nicht prüfen können.
- Vier Sicherheits-Kopfzeilen fehlen auf dieser Website. HSTS, Klickjacking-Schutz,
nosniffund Permissions-Policy lassen sich auf dem gebuchten Webspace nicht setzen. Die Seite trägt keine Kundendaten außer denen aus dem Kontaktformular; Kundensysteme laufen auf einem eigenen Server, auf dem alle Kopfzeilen gesetzt sind. - Kein Sprachmodell-Assistent ohne eigene Prüfung. Der Assistent auf dieser Seite arbeitet ohne Sprachmodell im Browser. Ein Kundensystem mit Sprachmodell bekommt vor dem Start seinen Prüfkatalog gegen Eingabemanipulation und seinen eigenen Abschnitt in der Datenschutzerklärung.
Ehrliche Antworten auf die typischen Einwände.
Ist KI-generierter Code sicher?
Was, wenn Sie ausfallen?
Sie sind sehr klein — ist das ein Risiko?
Funktioniert die Bildprüfung bei unseren Bildern?
Was ist mit unseren Daten?
Noch eine offene Frage?
Wir beantworten sie gern direkt — ohne Verkaufsdruck.