Ergänzende Datenschutzhinweise für Kunden und Nutzer in Österreich

1. Geltungsbereich

Diese ergänzenden Datenschutzhinweise richten sich an Kunden, Interessenten, Geschäftspartner und Nutzer mit Sitz oder gewöhnlichem Aufenthalt in Österreich.

Sie ergänzen die allgemeine Datenschutzerklärung der KrambergAI GmbH unter:

https://krambergai.com/datenschutzerklaerung/

Die allgemeine Datenschutzerklärung enthält insbesondere Informationen zu:

dem Betrieb der Website,
eingesetzten technischen Diensten,
Kontaktformularen,
Terminbuchungen,
Newsletterversand,
CRM-Systemen,
interaktiven Anwendungen,
Hosting- und Plattformanbietern,
Drittlandübermittlungen,
Betroffenenrechten.

Diese Österreich-Ergänzung erläutert insbesondere:

österreichische Rechtsgrundlagen,
die datenschutzrechtlichen Rollen bei Kundenprojekten,
die Verarbeitung im Auftrag österreichischer Unternehmen,
Datenstandorte und Drittlandtransfers,
KI-spezifische Verarbeitungen,
österreichische Aufbewahrungspflichten,
die Unterstützung bei Förderprojekten.

Stand: 17. Juli 2026

2. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website, der Vertragsanbahnung, der Kundenverwaltung, der Abrechnung und der eigenen Geschäftstätigkeit ist:

KrambergAI GmbH
Im Gässle 4
70771 Leinfelden-Echterdingen
Deutschland

Vertreten durch:

Dipl.-Inform. Volker Kramberg, MBA
Geschäftsführer

E-Mail: datenschutz@krambergai.com
Website: https://krambergai.com/

Registergericht: Amtsgericht Stuttgart
Handelsregisternummer: HRB 804171
Umsatzsteuer-Identifikationsnummer: DE462052988

3. Anwendbare Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten richtet sich insbesondere nach:

der Datenschutz-Grundverordnung, Verordnung (EU) 2016/679,
dem deutschen Bundesdatenschutzgesetz, soweit die KrambergAI GmbH als in Deutschland niedergelassenes Unternehmen handelt,
dem österreichischen Datenschutzgesetz, soweit dessen Bestimmungen auf eine konkrete Verarbeitung anwendbar sind,
§ 165 Abs. 3 Telekommunikationsgesetz 2021 für den Einsatz von Cookies und vergleichbaren Technologien gegenüber Nutzern in Österreich,
weiteren anwendbaren handels-, steuer-, arbeits- und zivilrechtlichen Vorschriften.

Soweit KI-Systeme eingesetzt werden, können zusätzlich die jeweils anwendbaren Bestimmungen der Verordnung (EU) 2024/1689 über künstliche Intelligenz gelten.

Die Anwendbarkeit der KI-Verordnung ersetzt nicht die Pflichten aus der DSGVO. Datenschutzrecht und KI-Regulierung sind für das jeweilige System und den jeweiligen Anwendungsfall getrennt zu prüfen.

4. Datenschutzrechtliche Rolle der KrambergAI GmbH

Die datenschutzrechtliche Rolle der KrambergAI GmbH hängt von der konkreten Verarbeitung ab.

4.1 KrambergAI als Verantwortlicher

Die KrambergAI GmbH handelt insbesondere als eigener Verantwortlicher, wenn sie Zwecke und wesentliche Mittel der Verarbeitung selbst bestimmt.

Dies betrifft insbesondere:

Betrieb der eigenen Website,
Bearbeitung von Kontaktanfragen,
Vertragsanbahnung und Angebotserstellung,
Kunden- und Interessentenverwaltung,
Terminvereinbarung,
Abrechnung und Buchhaltung,
Versand eigener Newsletter,
Durchführung eigener Marketingmaßnahmen,
Betrieb eigener Unternehmens- und Community-Profile,
Dokumentation und Absicherung des eigenen Geschäftsbetriebs.

Für diese Verarbeitungen gelten die allgemeine Datenschutzerklärung und die dort genannten Rechtsgrundlagen.

4.2 KrambergAI als Auftragsverarbeiter

Die KrambergAI GmbH handelt als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, wenn sie personenbezogene Daten ausschließlich nach dokumentierten Weisungen eines Kunden verarbeitet.

Dies kann insbesondere der Fall sein bei:

Betrieb einer kundenspezifischen KI-Anwendung,
Verarbeitung von CRM-, ERP- oder Servicedaten des Kunden,
Automatisierung von Kundenprozessen,
Bereitstellung eines Company Brain oder UnternehmensGPT,
Bearbeitung von Kundenanfragen durch einen KI-Assistenten,
Betrieb kundenspezifischer Formulare und Portale,
Verarbeitung hochgeladener Kundenunterlagen,
Durchführung technischer Analysen im Auftrag des Kunden.

In diesen Fällen wird vor Beginn der Verarbeitung eine Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

4.3 Abweichende oder gemeinsame Rollen

Bei komplexen Integrationen können einzelne Verarbeitungsschritte unterschiedlichen Rollen unterliegen.

Beispielsweise kann KrambergAI:

für die Abrechnung selbst Verantwortlicher,
für die Verarbeitung von Endkundendaten Auftragsverarbeiter,
für technisch erforderliche Sicherheitsprotokolle teilweise eigener Verantwortlicher sein.

Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO wird nur angenommen, wenn beide Parteien Zwecke und wesentliche Mittel einer konkreten Verarbeitung gemeinsam festlegen. In diesem Fall wird eine gesonderte Vereinbarung geschlossen.

Die tatsächlichen Verarbeitungsvorgänge sind für die Rollenverteilung maßgeblich, nicht allein die Bezeichnung im Vertrag.

5. Pflichten des österreichischen Kunden

Soweit der Kunde Verantwortlicher ist, bleibt er insbesondere dafür zuständig:

eine geeignete Rechtsgrundlage für die Verarbeitung festzulegen,
betroffene Personen ordnungsgemäß zu informieren,
nur erforderliche Daten zu erheben,
zulässige und dokumentierte Weisungen zu erteilen,
interne Zugriffsberechtigungen festzulegen,
Lösch- und Aufbewahrungsfristen zu definieren,
Betroffenenanfragen zu bearbeiten,
gegebenenfalls eine Datenschutz-Folgenabschätzung durchzuführen,
arbeitsrechtliche und betriebsverfassungsrechtliche Vorgaben einzuhalten,
die Zulässigkeit automatisierter Entscheidungen zu prüfen,
die Nutzung besonderer Kategorien personenbezogener Daten gesondert zu beurteilen.

KrambergAI unterstützt den Kunden im vertraglich vereinbarten Umfang, übernimmt jedoch nicht automatisch dessen Pflichten als Verantwortlicher.

6. Kategorien verarbeiteter Daten

Je nach beauftragter Leistung können insbesondere folgende personenbezogene Daten verarbeitet werden:

6.1 Unternehmens- und Kontaktdaten

Name des Unternehmens,
Firmenbuch- oder UID-Daten,
Name und Funktion von Ansprechpartnern,
geschäftliche Anschrift,
E-Mail-Adresse,
Telefonnummer,
Abteilungs- und Organisationszugehörigkeit.

6.2 Vertrags- und Abrechnungsdaten

Angebote und Aufträge,
Vertragsgegenstand,
Laufzeiten,
Rechnungen und Gutschriften,
Zahlungsinformationen,
Leistungsnachweise,
Projekt- und Abrechnungsstatus.

6.3 Nutzungs- und Systemdaten

IP-Adresse,
Datum und Uhrzeit,
Benutzerkennung,
Browser- und Geräteinformationen,
Anmelde- und Zugriffsprotokolle,
Fehler- und Diagnosedaten,
API-Aufrufe,
Sicherheitsereignisse,
technische Konfigurationsdaten.

6.4 Inhalts- und Prozessdaten

CRM- und ERP-Daten,
Auftrags- und Servicedaten,
Projektinformationen,
Tickets und Anfragen,
E-Mail-Inhalte,
Dokumente und Dateien,
Wissensdatenbanken,
Prozessbeschreibungen,
Formulareingaben,
Gesprächs- und Kommunikationsinhalte,
KI-Eingaben und KI-Ausgaben.

6.5 Daten von Mitarbeitern und Endkunden

Je nach Anwendungsfall können Daten von:

Mitarbeitern,
Bewerbern,
Lieferanten,
Kunden,
Interessenten,
Ansprechpartnern,
Dienstleistern,
sonstigen betroffenen Personen

verarbeitet werden.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn dies ausdrücklich vereinbart, rechtlich zulässig und technisch angemessen abgesichert ist.

7. Zwecke der Auftragsverarbeitung

Personenbezogene Daten werden im Auftrag des Kunden insbesondere verarbeitet zur:

Bereitstellung vereinbarter Softwarefunktionen,
Automatisierung von Geschäftsprozessen,
Bearbeitung und Klassifizierung von Anfragen,
Erstellung von Zusammenfassungen und Entwürfen,
Suche innerhalb freigegebener Unternehmensinformationen,
Erstellung von Analysen und Berichten,
Durchführung von Integrationen,
Synchronisierung zwischen IT-Systemen,
Unterstützung von Kundenservice und Vertrieb,
Dokumentenverarbeitung,
technischen Fehleranalyse,
Sicherstellung von Verfügbarkeit und Systemsicherheit,
Datensicherung und Wiederherstellung.

Eine Verarbeitung zu weiteren Zwecken erfolgt nur auf dokumentierte Weisung des Kunden oder aufgrund einer zwingenden gesetzlichen Verpflichtung.

8. Verarbeitung von Daten durch KI-Systeme

Beim Einsatz von KI-Systemen können Eingaben, Dokumente, Kontextinformationen und generierte Ausgaben verarbeitet werden.

Die konkrete Verarbeitung hängt insbesondere ab von:

dem eingesetzten KI-Modell,
dem Betriebsmodell,
der technischen Infrastruktur,
den angebundenen Datenquellen,
den Benutzerberechtigungen,
der Speicher- und Protokollierungskonfiguration,
den vertraglichen Bedingungen des Modellanbieters.

KrambergAI berücksichtigt bei der Konzeption insbesondere:

Datenminimierung,
Zweckbindung,
Rollen- und Zugriffskonzepte,
Trennung von Kundenbereichen,
Protokollierung,
Löschfristen,
menschliche Kontrollmöglichkeiten,
Schutz vor unberechtigten Datenabflüssen,
Einschränkung unnötiger Eingaben personenbezogener Daten.

KI-Ausgaben können unvollständig, unzutreffend oder auslegungsbedürftig sein. Sie müssen vor einer geschäftlichen, rechtlichen, personellen oder finanziellen Entscheidung durch eine fachlich geeignete Person überprüft werden.

9. Kein eigenes Training allgemeiner KI-Modelle mit Kundendaten

Die KrambergAI GmbH verwendet personenbezogene Kundendaten nicht zum Training eigener allgemeiner KI-Modelle.

Kundendaten werden ausschließlich verarbeitet, um:

die vertraglich vereinbarte Leistung zu erbringen,
die kundenspezifische Anwendung zu betreiben,
Fehler zu analysieren,
Sicherheit und Verfügbarkeit zu gewährleisten,
dokumentierte Weisungen des Kunden umzusetzen.

Eine Verwendung von Kundendaten für ein allgemeines Modelltraining erfolgt nur, wenn:

dies ausdrücklich beauftragt wurde,
eine geeignete Rechtsgrundlage besteht,
betroffene Personen ordnungsgemäß informiert wurden,
die Verarbeitung vertraglich und technisch geregelt ist.

Eine solche Verwendung gehört nicht zum Standardangebot.

10. a. Nutzung von Lovable Business

Für die Entwicklung und gegebenenfalls Bereitstellung einzelner Webanwendungen verwendet die KrambergAI GmbH Lovable Business.

Anbieter:

Lovable Labs Incorporated
1111B South Governors Avenue
Dover, Delaware 19904
USA

Website: https://lovable.dev/

Mit Lovable besteht für die Verarbeitung personenbezogener Kundendaten eine Vereinbarung zur Auftragsverarbeitung.

Nach der Lovable-Auftragsverarbeitungsvereinbarung werden personenbezogene Kundendaten, die Lovable im Auftrag verarbeitet, nicht zum Training, Nachtraining oder Fine-Tuning allgemeiner KI- oder Machine-Learning-Modelle verwendet.

Davon zu unterscheiden sind andere Projekt-, Code-, Nutzungs- und Workspace-Daten, die nicht zwingend personenbezogene Kundendaten im Sinne der Auftragsverarbeitungsvereinbarung darstellen.

Für produktive Kundenprojekte konfiguriert KrambergAI den Lovable-Business-Workspace so, dass die verfügbare Funktion zur Abwahl einer Nutzung von Workspace-Inhalten für Modelltraining und interne Auswertungen aktiviert wird, soweit dies für das jeweilige Projekt erforderlich ist.

Die Funktion befindet sich innerhalb des Lovable-Workspace unter den Einstellungen für Datenschutz und Sicherheit.

Für produktive Anwendungen wird zusätzlich geprüft:

ob personenbezogene Daten unmittelbar über Lovable verarbeitet werden,
ob Formulardaten direkt an eine separate Datenbank übertragen werden,
welche Protokoll- und Servicedaten entstehen,
welche Unterauftragsverarbeiter beteiligt sind,
ob eine Drittlandübermittlung erfolgt,
welche Löschfristen gelten,
welche Zugriffsbeschränkungen eingerichtet sind.

Besondere Kategorien personenbezogener Daten, amtliche Identifikationsnummern, Bankzugangsdaten, Gesundheitsdaten oder biometrische Daten dürfen nicht ohne gesonderte Prüfung und schriftliche Vereinbarung über Lovable verarbeitet werden.

10. b. Nutzung von Vercel

Für die Entwicklung, Bereitstellung, Auslieferung und technische Absicherung einzelner Kundenanwendungen verwendet die KrambergAI GmbH Vercel.

Anbieter ist:

Vercel Inc.
440 N Barranca Avenue #4133
Covina, CA 91723
USA

Website: https://vercel.com/
Datenschutzerklärung: https://vercel.com/legal/privacy-notice
Auftragsverarbeitungsvereinbarung: https://vercel.com/legal/dpa
Sicherheitsinformationen: https://vercel.com/security

Vercel stellt eine global verteilte Cloud- und Deployment-Plattform für Websites und Webanwendungen bereit.

Abhängig vom konkreten Kundenprojekt können insbesondere folgende Funktionen verwendet werden:

Build- und Deployment-Prozesse,
Preview-, Test- und Produktivumgebungen,
globale Auslieferung statischer und dynamischer Inhalte,
serverseitige Funktionen und Programmierschnittstellen,
Verarbeitung von Formular- und Anwendungsanfragen,
Protokollierung, Fehleranalyse und Monitoring,
technische Sicherheits- und Schutzfunktionen.

Kategorien verarbeiteter Daten

Je nach Anwendung können insbesondere verarbeitet werden:

IP-Adressen,
Zeitstempel,
URLs und aufgerufene Ressourcen,
Browser-, Geräte- und Betriebssysteminformationen,
technische Anfrage- und Headerdaten,
Protokoll-, Diagnose-, Fehler- und Sicherheitsdaten,
Benutzer- und Sitzungskennungen,
Formulareingaben und Anwendungsdaten,
hochgeladene Inhalte,
über Programmierschnittstellen übertragene Daten,
Quellcode, Konfigurations- und Deploymentdaten,
Konto-, Support- und Abrechnungsdaten.

Datenschutzrechtliche Rolle

Soweit Vercel personenbezogene Kundendaten im Auftrag der KrambergAI GmbH verarbeitet, handelt Vercel als Auftragsverarbeiter.

Die Auftragsverarbeitungsvereinbarung von Vercel gilt für unterstützte kostenpflichtige Tarife und enthält Regelungen nach Art. 28 DSGVO sowie zu internationalen Datenübermittlungen.

Ist die KrambergAI GmbH gegenüber dem österreichischen Kunden selbst Auftragsverarbeiter, wird Vercel als Unterauftragsverarbeiter eingesetzt.

Der Einsatz wird in der projektspezifischen Unterauftragsverarbeiterliste oder Vereinbarung zur Auftragsverarbeitung dokumentiert.

Bestimmte durch die Nutzung des Dienstes erzeugte Konto-, Support-, Abrechnungs-, Sicherheits- und technische Servicedaten kann Vercel in eigener Verantwortlichkeit verarbeiten.

Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zur:

technischen Entwicklung und Bereitstellung der Anwendung,
Ausführung angeforderter Anwendungsfunktionen,
Verarbeitung von Web- und API-Anfragen,
Sicherstellung von Verfügbarkeit und Leistungsfähigkeit,
Bereitstellung von Test- und Vorschauumgebungen,
Fehlerdiagnose und Wartung,
Abwehr von Angriffen und missbräuchlichen Zugriffen,
Verwaltung technischer Konfigurationen.

Model-Training-Opt-out

Die KrambergAI GmbH hat in den Vercel-Team-Einstellungen der Verwendung ihrer Inhalte für das Training von KI- und Machine-Learning-Modellen widersprochen.

Der Vercel-seitige Model-Training-Opt-out ist aktiviert.

Nach den geltenden Vercel-Bedingungen werden Inhalte der KrambergAI GmbH ab dem Wirksamwerden des Opt-outs nicht für das Vercel-Modelltraining verwendet und nicht zu diesem Zweck an Dritte weitergegeben.

Diese Einstellung betrifft das allgemeine Modelltrainingsprogramm von Vercel.

Werden innerhalb einer Anwendung zusätzliche KI-Anbieter oder der Vercel AI Gateway verwendet, müssen deren Datenverarbeitung, Aufbewahrung und Trainingsoptionen gesondert geprüft und konfiguriert werden.

Für entsprechende Anwendungen können insbesondere die AI-Gateway-Einstellungen „Disallow Prompt Training“ und „Zero Data Retention“ eingesetzt werden. Deren Nutzung wird projektspezifisch festgelegt und dokumentiert.

Datenstandort

Vercel betreibt eine global verteilte Infrastruktur.

Serverseitige Funktionen können technisch in einer europäischen Region, beispielsweise Frankfurt, ausgeführt werden. Dies bedeutet jedoch nicht, dass sämtliche:

Protokolldaten,
Servicedaten,
Verwaltungsdaten,
Supportdaten,
Sicherheitsdaten,
Sicherungskopien

ausschließlich innerhalb Österreichs oder des Europäischen Wirtschaftsraums verarbeitet werden.

Ein ausschließlicher österreichischer oder europäischer Datenstandort wird nur zugesichert, wenn dies für das konkrete Projekt technisch nachgewiesen und ausdrücklich vertraglich vereinbart wurde.

Die Verwendung von Vercel begründet daher nicht automatisch die Erfüllung einer Förderanforderung, die eine ausschließliche Datenhaltung in Österreich oder der Europäischen Union verlangt.

Solche Anforderungen müssen vor Beginn des Projekts anhand der jeweils aktuellen Förderbedingungen und der konkreten Vercel-Konfiguration geprüft werden.

Drittlandübermittlungen

Da Vercel seinen Sitz in den USA hat und eine globale Infrastruktur sowie internationale Unterauftragsverarbeiter nutzt, können personenbezogene Daten in die USA und andere Drittländer übermittelt werden.

Vercel ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert.

Soweit dessen Voraussetzungen nicht greifen, werden insbesondere eingesetzt:

Standardvertragsklauseln der Europäischen Kommission,
zusätzliche technische und organisatorische Schutzmaßnahmen,
weitere zulässige Garantien nach Art. 44 bis 49 DSGVO.

Die Vercel-Auftragsverarbeitungsvereinbarung enthält Regelungen für diese Übermittlungen.

Sicherheit

Vercel gibt an, Kundendaten:

bei der Übertragung mit TLS 1.2 oder höher,
bei der Speicherung mit AES-256

zu verschlüsseln.

Vercel verwendet weitere technische und organisatorische Sicherheitsmaßnahmen, darunter Zugriffskontrollen, Sicherheitsüberwachung, Schwachstellenprüfungen und unabhängige Prüfungen.

Die konkrete Sicherheit des Kundenprojekts hängt zusätzlich von der durch die KrambergAI GmbH und den Kunden gewählten Architektur und Konfiguration ab.

Aufbewahrung und Löschung

Die Speicher- und Löschfristen werden abhängig vom Projekt, den verwendeten Vercel-Diensten und den gesetzlichen Anforderungen festgelegt.

Kundendaten können während der Vertragslaufzeit entsprechend der technischen Funktionen exportiert oder gelöscht werden.

Nach Vertragsende werden vorhandene Kundendaten nach Maßgabe der Vercel-Auftragsverarbeitungsvereinbarung innerhalb eines wirtschaftlich angemessenen Zeitraums gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Für Daten, die KrambergAI im Auftrag eines österreichischen Kunden verarbeitet, bleiben die dokumentierten Weisungen des Kunden maßgeblich.

Förderprojekte

Bei Projekten im Zusammenhang mit Programmen der Wirtschaftskammer Österreich, der Austria Wirtschaftsservice Gesellschaft mbH, der Österreichischen Forschungsförderungsgesellschaft mbH oder anderen Förderstellen wird der Einsatz von Vercel projektspezifisch dokumentiert.

Dabei werden insbesondere geprüft:

eingesetzter Vercel-Tarif,
Auftragsverarbeitungsvereinbarung,
Datenkategorien,
Funktions- und Speicherregionen,
Drittlandübermittlungen,
Unterauftragsverarbeiter,
Protokollierungs- und Löschfristen,
Sicherheitsmaßnahmen,
Einsatz von KI-Diensten,
aktivierter Model-Training-Opt-out.

Eine Förderfähigkeit oder Anerkennung der technischen Konfiguration kann allein durch den Einsatz von Vercel nicht garantiert werden.

11. Datenstandort und Hosting

KrambergAI bevorzugt für produktive Kundensysteme Datenstandorte innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.

Soweit technisch verfügbar und projektbezogen vereinbart, werden insbesondere:

europäische Hostingregionen,
EU-Datenbankregionen,
europäische Objektspeicher,
selbst gehostete Systeme in Deutschland oder anderen EU-Staaten

verwendet.

Eine pauschale Garantie, dass jede technische Verarbeitung ausschließlich innerhalb Österreichs, Deutschlands oder der Europäischen Union erfolgt, wird nur abgegeben, wenn dies für das konkrete Projekt ausdrücklich vertraglich und technisch vereinbart wurde.

Einzelne Plattform-, Support-, Sicherheits-, Kommunikations- oder Infrastrukturleistungen können eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums beinhalten.

Der konkrete Datenstandort und die verwendeten Anbieter werden abhängig vom Projekt in folgenden Unterlagen dokumentiert:

Leistungsbeschreibung,
Vereinbarung über die Auftragsverarbeitung,
technische Dokumentation,
Liste der Unterauftragsverarbeiter,
Datenschutz- oder Sicherheitskonzept.

12. Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums erfolgt nur, wenn die Anforderungen der Art. 44 bis 49 DSGVO erfüllt sind.

Als Grundlage können insbesondere dienen:

ein Angemessenheitsbeschluss der Europäischen Kommission,
eine gültige Zertifizierung nach dem EU-US Data Privacy Framework,
Standardvertragsklauseln der Europäischen Kommission,
verbindliche interne Datenschutzvorschriften,
zusätzliche technische und organisatorische Schutzmaßnahmen,
eine gesetzlich vorgesehene Ausnahme.

Die bloße Existenz von Standardvertragsklauseln genügt nicht in jedem Fall. Soweit erforderlich, werden zusätzlich das Datenschutzniveau des Empfängerstaates und ergänzende Schutzmaßnahmen geprüft.

Drittlandbezüge werden nicht pauschal ausgeschlossen, sondern projektspezifisch dokumentiert und auf das erforderliche Maß begrenzt.

13. Unterauftragsverarbeiter

KrambergAI kann zur Leistungserbringung spezialisierte Unterauftragsverarbeiter einsetzen.

Hierzu können insbesondere Anbieter gehören für:

Hosting und Cloud-Infrastruktur,
Datenbanken,
Anwendungsentwicklung,
KI-Modelle und KI-Schnittstellen,
E-Mail-Versand,
Monitoring und Protokollierung,
IT-Sicherheit,
Datensicherung,
Support- und Kommunikationssysteme.

Unterauftragsverarbeiter werden nur eingesetzt, wenn:

ihr Einsatz für die Leistung erforderlich ist,
eine geeignete vertragliche Grundlage besteht,
angemessene Sicherheitsmaßnahmen vorgesehen sind,
die Anforderungen an Drittlandtransfers eingehalten werden,
der Einsatz mit der Vereinbarung zur Auftragsverarbeitung vereinbar ist.

Die aktuelle Liste der für ein Projekt eingesetzten Unterauftragsverarbeiter wird dem Kunden entsprechend der vertraglichen Vereinbarung bereitgestellt.

Änderungen werden nach Maßgabe der vereinbarten allgemeinen oder besonderen Genehmigung nach Art. 28 Abs. 2 DSGVO mitgeteilt.

14. Technische und organisatorische Maßnahmen

KrambergAI setzt risikobasierte technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein.

Abhängig vom jeweiligen System können hierzu gehören:

Transportverschlüsselung mittels TLS,
Verschlüsselung gespeicherter Daten, soweit vom System unterstützt,
rollenbasierte Zugriffskontrollen,
Mehrfaktor-Authentisierung,
Mandanten- oder Projekttrennung,
sichere Verwaltung von Zugangsdaten und API-Schlüsseln,
Protokollierung sicherheitsrelevanter Ereignisse,
regelmäßige Sicherheitsupdates,
Schwachstellen- und Abhängigkeitsprüfungen,
Sicherungskopien,
Wiederherstellungsverfahren,
Berechtigungsprüfungen,
Beschränkung administrativer Zugriffe,
Schutz vor automatisierten Angriffen,
Verfahren zur Behandlung von Sicherheitsvorfällen,
Verpflichtung berechtigter Personen zur Vertraulichkeit.

Nicht jede Maßnahme ist für jedes System identisch. Die konkrete Ausgestaltung richtet sich nach:

Art und Umfang der Verarbeitung,
Kategorien der betroffenen Personen,
Sensibilität der Daten,
möglichen Schäden,
eingesetzter Infrastruktur,
vertraglichen Anforderungen.

Eine Ende-zu-Ende-Verschlüsselung wird nur zugesichert, wenn sie im konkreten System tatsächlich technisch umgesetzt ist.

15. Unterstützung bei Betroffenenrechten

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf:

Auskunft,
Berichtigung,
Löschung,
Einschränkung der Verarbeitung,
Datenübertragbarkeit,
Widerspruch,
Widerruf einer Einwilligung,
Beschwerde bei einer Aufsichtsbehörde.

Soweit KrambergAI personenbezogene Daten als Auftragsverarbeiter verarbeitet, bleibt der österreichische Kunde grundsätzlich für die Bearbeitung von Betroffenenanfragen verantwortlich.

Geht eine Anfrage unmittelbar bei KrambergAI ein, wird sie, soweit zulässig und erforderlich, an den verantwortlichen Kunden weitergeleitet.

KrambergAI unterstützt den Kunden nach Maßgabe der Vereinbarung über die Auftragsverarbeitung insbesondere durch:

Suche nach betroffenen Datensätzen,
Berichtigung technischer Daten,
Export gespeicherter Informationen,
Löschung oder Einschränkung,
Bereitstellung technischer Informationen,
Dokumentation durchgeführter Maßnahmen.

16. Datenschutzverletzungen

Eine Datenschutzverletzung ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.

16.1 KrambergAI als Auftragsverarbeiter

Tritt eine bestätigte Datenschutzverletzung innerhalb einer beauftragten Verarbeitung auf, informiert KrambergAI den verantwortlichen Kunden unverzüglich.

Die Information enthält, soweit verfügbar:

Art und Zeitpunkt des Vorfalls,
betroffene Systeme,
betroffene Datenkategorien,
mögliche Zahl betroffener Personen,
mögliche Folgen,
bereits ergriffene Maßnahmen,
empfohlene weitere Maßnahmen,
Ansprechpartner für Rückfragen.

KrambergAI unterstützt den Kunden bei der Bewertung und Dokumentation des Vorfalls.

16.2 Kunde als Verantwortlicher

Der verantwortliche Kunde prüft, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist.

Ist ein Risiko für die Rechte und Freiheiten natürlicher Personen wahrscheinlich, muss die Meldung unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen.

Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein.

16.3 KrambergAI als Verantwortlicher

Soweit KrambergAI für die betroffene Verarbeitung selbst Verantwortlicher ist, nimmt KrambergAI die erforderliche Bewertung, Dokumentation und Meldung in eigener Verantwortung vor.

17. Aufbewahrung und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck, die Vertragserfüllung oder gesetzliche Pflichten erforderlich ist.

17.1 Kundendaten in Auftragsverarbeitung

Für Daten, die KrambergAI im Auftrag verarbeitet, legt grundsätzlich der Kunde die Speicher- und Löschfristen fest.

Nach Beendigung der Auftragsverarbeitung werden personenbezogene Daten nach Wahl und dokumentierter Weisung des Kunden:

gelöscht,
zurückgegeben,
exportiert,
in ein vereinbartes Folgesystem übertragen.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

17.2 Österreichische Aufbewahrungspflichten

Soweit österreichische steuerlich relevante Bücher, Aufzeichnungen, Belege oder Geschäftspapiere verarbeitet werden, kann insbesondere § 132 Bundesabgabenordnung eine Aufbewahrungsfrist von sieben Jahren vorsehen.

Die Frist kann sich verlängern, wenn Unterlagen für ein anhängiges Abgaben- oder Gerichtsverfahren weiterhin erforderlich sind.

Der österreichische Kunde bleibt dafür verantwortlich, die auf seine Unterlagen anwendbaren gesetzlichen Aufbewahrungsfristen festzulegen und KrambergAI entsprechend anzuweisen.

Die eigenen Rechnungs- und Buchhaltungsunterlagen der KrambergAI GmbH unterliegen den für KrambergAI geltenden deutschen Aufbewahrungsvorschriften.

17.3 Datensicherungen

Gelöschte Daten können während begrenzter Zeiträume noch in technischen Sicherungskopien enthalten sein.

Sicherungskopien:

werden gegen regulären Zugriff gesperrt,
werden nicht für andere Zwecke verwendet,
werden entsprechend festgelegter Sicherungszyklen überschrieben oder gelöscht.

Eine selektive sofortige Löschung einzelner Datensätze aus unveränderbaren Sicherungskopien kann technisch ausgeschlossen sein.

18. Keine automatisierten Entscheidungen mit rechtlicher Wirkung

KrambergAI setzt im Rahmen seiner Standardleistungen keine ausschließlich automatisierten Entscheidungen ein, die gegenüber einer betroffenen Person rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen.

Automatisch erzeugte:

Scores,
Klassifizierungen,
Empfehlungen,
Reifegrade,
Zusammenfassungen,
Priorisierungen,
Berechnungen

dienen grundsätzlich als Unterstützung oder Orientierung.

Sollen automatisierte Ergebnisse für Personalentscheidungen, Kreditentscheidungen, Versicherungen, Zugangskontrollen oder andere erhebliche Entscheidungen verwendet werden, muss der Kunde die Zulässigkeit gesondert prüfen und geeignete menschliche Kontroll- und Widerspruchsmöglichkeiten vorsehen.

19. Keine allgemeine Persönlichkeitsprofilbildung

KrambergAI erstellt im Rahmen seiner Standardleistungen keine Persönlichkeitsprofile zu eigenen Werbe- oder Bewertungszwecken aus den im Auftrag verarbeiteten Kundendaten.

Soweit der Kunde eine Profilbildung oder Segmentierung beauftragt, ist diese nur zulässig, wenn:

eine geeignete Rechtsgrundlage besteht,
der Zweck eindeutig festgelegt ist,
betroffene Personen informiert wurden,
die Anforderungen aus Art. 21 und Art. 22 DSGVO berücksichtigt werden,
die Verarbeitung dokumentiert und technisch begrenzt wird.

20. Förderprojekte in Österreich

KrambergAI kann österreichische Kunden bei der technischen und organisatorischen Dokumentation von Digitalisierungs- und KI-Projekten unterstützen.

Dies kann insbesondere Unterlagen umfassen wie:

Projektbeschreibung,
Datenflussdarstellung,
Systemarchitektur,
Rollen- und Berechtigungskonzept,
Vereinbarung über die Auftragsverarbeitung,
technische und organisatorische Maßnahmen,
Löschkonzept,
Liste der Unterauftragsverarbeiter,
Risikoanalyse,
Datenschutz-Folgenabschätzung,
Beschreibung menschlicher Kontrollmaßnahmen,
Dokumentation des KI-Einsatzes.

Relevante Förderinstitutionen können insbesondere sein:

Wirtschaftskammer Österreich
https://www.wko.at/

Austria Wirtschaftsservice Gesellschaft mbH
https://www.aws.at/

Österreichische Forschungsförderungsgesellschaft mbH
https://www.ffg.at/

Die Nutzung von KrambergAI-Leistungen begründet jedoch nicht automatisch:

eine Förderfähigkeit,
eine Förderzusage,
die Anerkennung aller Projektkosten,
die Erfüllung sämtlicher Ausschreibungsbedingungen,
eine Zertifizierung nach ISO 27001 oder einem anderen Standard.

Förderbedingungen unterscheiden sich je nach Programm, Ausschreibung, Projektart, Unternehmensgröße und Zeitpunkt.

Der Kunde muss die jeweils aktuellen Förderbedingungen vor Projektbeginn prüfen. Soweit erforderlich, sollte die Förderstelle oder ein zugelassener Förderberater einbezogen werden.

KrambergAI unterstützt bei der technischen Dokumentation, übernimmt jedoch keine Garantie für die Bewilligung oder Auszahlung einer Förderung.

21. Informationssicherheitsstandards und Zertifizierungen

KrambergAI orientiert seine Sicherheitsmaßnahmen an anerkannten Grundsätzen der Informationssicherheit und am jeweiligen Verarbeitungsrisiko.

Eine Orientierung an:

ISO/IEC 27001,
Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik,
Cloud-Sicherheitsgrundsätzen,
anerkannten Branchenstandards

stellt keine Zertifizierung dar.

Eine Zertifizierung, Prüfung oder Konformität mit einem bestimmten Standard wird nur zugesichert, wenn sie für das konkrete Unternehmen, Produkt oder System tatsächlich besteht und nachgewiesen werden kann.

22. Beschwerderecht in Österreich

Betroffene Personen in Österreich können sich bei der Österreichischen Datenschutzbehörde beschweren.

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich

Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Website: https://www.dsb.gv.at/

Da die KrambergAI GmbH ihren Sitz in Deutschland hat, ist für die grenzüberschreitende Verarbeitung durch KrambergAI grundsätzlich auch die deutsche Aufsichtsbehörde am Unternehmenssitz relevant:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
Deutschland

Website: https://www.baden-wuerttemberg.datenschutz.de/

Das Recht, sich an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.