Auftragsverarbeitungsvertrag

1. Parteien und Geltung

• Sie sind der Kunde nach den AGB, also die Organisation, die LostFoundBot nutzt. Sie sind Verantwortlicher im Sinne der DSGVO.
• Wir sind der Anbieter von LostFoundBot und verarbeiten die Daten als Auftragsverarbeiter: Manuel Johannes Sampl, Schönbrunnerstraße 30, 1050 Wien, Österreich, hallo@lostfoundbot.com.

Dieser Vertrag wird zusammen mit den AGB vereinbart und gilt für jede Nutzung von LostFoundBot, auch in der Testphase. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Eine gesondert unterzeichnete Vereinbarung nach Art. 28 DSGVO geht diesem Vertrag vor.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, wenn wir LostFoundBot für Sie bereitstellen: Fundgegenstände erfassen und verwalten, Suchanfragen über das Widget, die Suchseite (/suche/<orgId>) und die eingebettete Suchseite (/embed/<orgId>) entgegennehmen, Abholanfragen und Suchaufträge führen, Suchaufträge mit neuen und gespeicherten Fundgegenständen abgleichen, mögliche Treffer Ihrem Team zur Entscheidung vorlegen, Kontrollfragen stellen und auswerten, E-Mails an Suchende senden und die Übergabe dokumentieren, auf Ihre Einstellung hin mit Übergabenachweisen (Abschnitt 4).

Der Vertrag gilt für die Dauer des Hauptvertrags. Unsere Pflichten gelten fort, solange wir danach noch Daten für Sie verarbeiten (Abschnitt 12).

Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die wir selbst verantwortlich sind: Benutzerkonten und Anmeldung (auch mit Google), Sitzungen, Einladungen, Rollen und Berechtigungen im Team, die Stammdaten Ihrer Organisation, Vertrag und Abrechnung über Mollie, die Aufzeichnung, welche Fassung der AGB und dieses Vertrags angenommen wurde, unsere E-Mails an Sie, Support-Anfragen, auch über das Kontaktformular, und unsere eigene Website. Dazu gehören auch Verbindungsdaten, Serverprotokolle, das Fehlerprotokoll und die Begrenzung von Anfragen, soweit wir sie für den sicheren und fehlerfreien Betrieb von LostFoundBot verarbeiten. Darüber informiert unsere Datenschutzerklärung.

3. Art und Zweck

Wir verarbeiten die Daten nur, um LostFoundBot für Sie bereitzustellen:

• Fundgegenstände samt Fotos speichern, anzeigen und durchsuchen.
• KI-Funktionen: Fotos analysieren und Angaben vorschlagen, Beschreibungen überarbeiten und übersetzen, Suchanfragen und Suchaufträge mit Fundgegenständen vergleichen, im KI-Such-Assistenten Rückfragen stellen sowie Kontrollfragen vorschlagen und übersetzen.
• Suchanfragen entgegennehmen, Abholcodes ausstellen, Suchaufträge führen und die zugehörigen E-Mails in Ihrem Namen versenden, einschließlich der Zwischenstand-E-Mails, die Sie eingeschaltet lassen.
• Mögliche Treffer Ihrem Team vorlegen, Kontrollfragen an Suchende senden, die Antworten auswerten und Suchenden eine Seite bereitstellen, auf der sie ihren Suchauftrag verwalten und beenden.
• Abholanfragen freigeben oder ablehnen und die Übergabe durch Ihr Team festhalten, mit Protokoll und nach Ihren Einstellungen mit Übergabenachweisen, und diese Nachweise nach den von Ihnen gewählten Fristen löschen.

Der KI-Vergleich liefert Vorschläge. Erreicht ein Vergleich die im Dienst festgelegte Schwelle, kann die suchende Person im Widget oder auf der Suchseite eine Abholanfrage stellen und erhält einen Abholcode. Bei einem Suchauftrag legt LostFoundBot die Abholanfrage nur bei einem eindeutigen Treffer nach den strengeren Regeln der Datenschutzerklärung selbst an und sendet den Abholcode per E-Mail, solange Sie die E-Mail „Eindeutiger Treffer mit Abholcode“ eingeschaltet lassen; alle anderen möglichen Treffer legt es Ihrem Team vor. Stellt Ihr Team Kontrollfragen, wertet LostFoundBot die Antworten automatisch aus und sendet den Abholcode bei höchstens einer falschen oder unbekannten Antwort, sofern der Gegenstand noch verfügbar ist und keine andere Abholanfrage dafür offen ist; Ihr Team kann ihn auch sonst senden. Über Freigabe und Herausgabe entscheidet Ihr Team.

Welche Übergabenachweise erfasst werden, legen Sie unter „Übergabe-Nachweise“ fest. Voreingestellt ist die Unterschrift eingeschaltet und das Ausweisfoto ausgeschaltet. Die Unterschrift setzt einen Kontakt für Datenschutzanfragen voraus, ersatzweise die Fundbüro- oder Kontakt-E-Mail Ihrer Organisation. Ausweisfotos schalten Sie erst ein, nachdem Sie bestätigt haben, dass Sie ihre Erforderlichkeit geprüft, Ihre Datenschutzhinweise ergänzt und diesen Vertrag geschlossen haben; sie setzen einen ausdrücklich hinterlegten Kontakt für Datenschutzanfragen voraus. Für öffentliche Stellen bleiben Ausweisfotos ausgeschaltet. Unterschrift und Ausweisfoto stehen nur zur Verfügung, wenn die Verschlüsselung der Nachweise eingerichtet ist. Die Übergabe selbst funktioniert immer.

Ruft jemand eine Seite auf, auf der das Widget eingebunden ist, auch als iframe über die Seite /embed/<orgId>, lädt der Browser Skript, Einstellungen und, je nach Gestaltung, Schriften von www.lostfoundbot.com. Dabei werden IP-Adresse und Browserangaben übertragen, auch ohne weitere Eingabe. Diese Verbindungsdaten verarbeiten wir für Auslieferung und sicheren Betrieb in eigener Verantwortung (Abschnitt 2). Schriften kommen immer von www.lostfoundbot.com, auch Google-Schriften und Schriftdateien, die Sie hochladen; Google-Schriften ruft unser Server einmal bei Google ab, ohne Daten der Besucher. Ein Logo, das Sie hinterlegen, lädt der Browser von der Adresse, die Sie dafür angeben. Unser Logo mit Link im Widget ist Teil des Skripts und lädt nichts nach; wer es anklickt, ruft unsere Website auf. Die Seite /embed/<orgId> teilt der Seite, in die sie eingebettet ist, nur ihre Höhe und die Kennung Ihrer Organisation mit. Damit Sie im Dashboard prüfen können, ob das Widget eingebunden ist, speichern wir je Organisation, auf welcher Website das Widget zuletzt geladen wurde und wann: nur den Namen der Website, ohne Pfad, ohne IP-Adresse und ohne Angaben zu Besuchern, höchstens 50 Websites.

Die Plugins für Website-Systeme, die Sie im Dashboard herunterladen, fügen nur das Skript von www.lostfoundbot.com in Ihre Seiten ein. Sie speichern in Ihrem Website-System keine personenbezogenen Daten, nur Einstellungen dazu, ob und wo das Widget erscheint, und übermitteln selbst keine Daten an uns.

Welche E-Mails an Suchende zu Suchaufträgen hinausgehen, legen Sie unter „Texte und E-Mails“ fest; diese Einstellungen sind Weisungen nach Abschnitt 5. Vor dem Anlegen eines Suchauftrags zeigt das Widget einen festen Satz, der nennt, was bis wann gespeichert wird und welche Zwischenstand-E-Mails folgen; eine Art, die dort nicht angekündigt war, senden wir nicht. Die Bestätigung, die E-Mail mit Kontrollfragen und die E-Mails mit einem Abholcode, den Ihr Team oder bestandene Kontrollfragen auslösen, lassen sich nicht abschalten; schalten Sie die E-Mail „Eindeutiger Treffer mit Abholcode“ ab, legt LostFoundBot eindeutige Treffer stattdessen Ihrem Team vor. Die neuen Verarbeitungen dieser Fassung, nämlich Zwischenstand-E-Mails, das Speichern der Rückfragen des KI-Such-Assistenten und Kontrollfragen, beginnen für Ihre Organisation erst, wenn Sie dieser Fassung zugestimmt haben.

4. Daten und betroffene Personen

Suchende und abholende Personen

• Beschreibung des verlorenen Gegenstands und der Umstände, Verlustdatum, Sprache
• Nachrichten an den KI-Such-Assistenten. Sie gehen in jedem Fall an den KI-Anbieter. In der Datenbank speichern wir die eigenen Nachrichten der Person erst, wenn sie eine Abholanfrage stellt oder einen Suchauftrag anlegt, und zwar als Beschreibung. Bei einem Suchauftrag speichern wir außerdem den Gesprächsverlauf mit den Rückfragen des Assistenten, soweit sie nachweislich von ihm stammen. E-Mail-Adressen, Telefonnummern, IBAN und Ziffernfolgen ab sechs Stellen entfernen wir vorher aus den gespeicherten Nachrichten.
• E-Mail-Adresse, sobald die Person eine Abholanfrage stellt oder einen Suchauftrag anlegt
• Abholcode, Status und Zeitpunkt der Übergabe
• bei Suchaufträgen: Ergebnis und Begründung des KI-Vergleichs für jeden geprüften Fundgegenstand, auch für bereits gespeicherte; welche Zwischenstand-E-Mails angekündigt und gesendet wurden; mögliche Treffer mit ihrem Status; gesendete Kontrollfragen mit den erwarteten Antworten, die Antworten der Person, die Zahl der abweichenden Antworten und das Ergebnis
• ein mit einem geheimen Schlüssel gebildeter Prüfwert (Hash) der E-Mail-Adresse, wenn die Person einen Suchauftrag beendet, Zwischenstände abbestellt oder der E-Mail-Anbieter eine Unzustellbarkeit oder Spam-Beschwerde meldet
• vom Team erfasst: Name, Telefonnummer und Gesprächsnotizen
• bei der Übergabe, soweit Ihr Team es erfasst: Name der abholenden Person, ob sie im Auftrag abholt, und die Art des vorgezeigten Ausweises, ohne Ausweisnummer
• wenn Sie Unterschriften anbieten und die Person unterschreibt: die Unterschrift als Bild sowie Fassung und Sprache des angezeigten Textes
• wenn Sie Ausweisfotos erlauben und die Person einwilligt: ein Foto der Vorderseite ihres Personalausweises, Reisepasses, Führerscheins oder Aufenthaltstitels mit den darauf sichtbaren Angaben, soweit sie nicht abgedeckt wurden, sowie Fassung, Sprache, Zeitpunkt und Prüfsumme des Einwilligungstextes

Mitarbeitende Ihrer Organisation

• wer einen Fundgegenstand angelegt oder eine Übergabe bestätigt hat, mit Zeitpunkt
• Protokoll zu Übergabenachweisen: wer eine Anfrage entschieden, eine Übergabe gespeichert oder an der Ausgabe genehmigt, einen Nachweis angesehen oder gelöscht oder die Einstellungen oder Zugriffsrechte dazu geändert hat, jeweils mit Zeitpunkt
• wer einen möglichen Treffer entschieden, Kontrollfragen gesendet oder einen Abholcode aus einem Suchauftrag vergeben hat, jeweils mit Zeitpunkt
• Kontaktangaben, die Sie bei Fundgegenständen, in Texten und E-Mails für Suchende oder als Kontakt für Datenschutzanfragen und Datenschutzbeauftragte hinterlegen, soweit sie einer Person zuzuordnen sind

Personen, deren Daten in Fundgegenständen vorkommen

• Angaben und Fotos, die Personen erkennen lassen, etwa Namen auf Ausweisen, Karten oder Dokumenten
• Fundort, Funddatum und Kontaktangaben zum Fundgegenstand

Fotos und Beschreibungen können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erkennen lassen, etwa Medikamente, Hilfsmittel oder religiöse Gegenstände. Sie entscheiden, ob und in welchem Umfang solche Angaben erfasst werden.

Ausweisfotos sind nur von der Vorderseite der genannten Dokumente vorgesehen; die Anwendung weist Ihr Team an, beim Führerschein nie die Rückseite aufzunehmen, weil sie Gesundheitsangaben enthalten kann. Andere Dokumente lassen sich vermerken, aber nicht fotografieren. LostFoundBot wertet Ausweisfotos und Unterschriften nicht automatisiert aus, also weder mit Gesichts- noch mit Texterkennung, speichert von Unterschriften weder Druck noch Schreibverlauf und übermittelt beide nicht an den KI-Anbieter.

5. Weisungen

• Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Weisungen sind dieser Vertrag, die AGB sowie Ihre Einstellungen und Aktionen im Dashboard. Weitere Weisungen senden Sie in Textform an hallo@lostfoundbot.com.
• Das gilt auch für Übermittlungen in Drittländer. Mit diesem Vertrag weisen Sie die Übermittlungen an die Anbieter in Anlage 2 an.
• Verpflichtet uns das Recht der Union oder eines Mitgliedstaats, dem wir unterliegen, zu einer anderen Verarbeitung, teilen wir Ihnen das vorher mit. Das gilt nicht, wenn dieses Recht die Mitteilung wegen eines wichtigen öffentlichen Interesses verbietet.
• Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzrecht, informieren wir Sie unverzüglich. Wir dürfen die Ausführung aussetzen, bis Sie die Weisung bestätigen oder ändern.
• Wir verwenden Ihre Daten nicht für eigene Zwecke. Insbesondere werten wir sie nicht organisationsübergreifend aus und trainieren damit keine eigenen KI-Modelle. Ausgenommen sind nur die in Abschnitt 2 genannten Verbindungsdaten und Protokolle, die wir im erforderlichen Umfang für den sicheren und fehlerfreien Betrieb verarbeiten.

6. Vertraulichkeit

Wir und alle Personen, die für uns Ihre Daten verarbeiten, wahren das Datengeheimnis nach § 6 DSG. Diese Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie erhalten Zugriff nur, soweit ihre Aufgabe es erfordert.

7. Sicherheit

Wir treffen die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Wir dürfen sie an neue technische Entwicklungen anpassen, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen halten wir in Anlage 1 fest.

8. Unterauftragsverarbeiter

• Sie erteilen uns eine allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die derzeit eingesetzten stehen in Anlage 2.
• Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir Sie mindestens 30 Tage vorher per E-Mail an den Inhaber Ihrer Organisation.
• Sie können innerhalb dieser Frist aus Gründen des Datenschutzes widersprechen. Finden wir keine Lösung, können Sie den Vertrag zum Zeitpunkt der Änderung kündigen. Bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig.
• Wir legen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht. Kommt er ihnen nicht nach, haften wir Ihnen gegenüber für die Einhaltung seiner Pflichten (Art. 28 Abs. 4 DSGVO).

9. Drittländer

Einige Anbieter in Anlage 2 sind US-Unternehmen oder verarbeiten Daten in den USA. Wir übermitteln Daten in ein Land außerhalb des EWR nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Als Grundlage kommen ein Angemessenheitsbeschluss in Betracht, bei zertifizierten US-Empfängern das EU-US Data Privacy Framework, oder Standardvertragsklauseln der EU-Kommission.

Auf Anfrage nennen wir Ihnen die Grundlage je Anbieter und stellen Ihnen eine Kopie der Garantien bereit.

10. Unterstützung

• Betroffenenrechte: Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter. Wir beantworten sie nur auf Ihre Weisung.
• Was Sie nicht selbst im Dashboard erledigen können, führen wir auf Ihre Weisung aus, etwa Auskunft, Berichtigung, Löschung oder Einschränkung. Derzeit betrifft das insbesondere das Löschen von Fundgegenständen und Abholanfragen, das Beenden und Löschen von Suchaufträgen sowie Datenexporte. Selbst beenden kann Ihr Team einen Suchauftrag derzeit nur an der Ausgabe nach einer Übergabe, wenn er sich auf den übergebenen Gegenstand bezieht; alle anderen Suchaufträge beenden oder löschen wir auf Ihre Weisung, etwa wenn sich eine suchende Person an Sie wendet oder Löschung verlangt. Suchende beenden ihren Suchauftrag selbst über den Link in den E-Mails zu ihrem Suchauftrag, bestellen dort Zwischenstände ab oder lassen ihre Angaben löschen. Fotos können Sie im Dashboard selbst entfernen. Übergabenachweise löschen Mitglieder mit der Berechtigung dafür selbst auf der Nachweisseite der Abholanfrage, einzeln oder insgesamt, etwa nach einem Widerruf der Einwilligung oder einem Widerspruch.
• Verlangt eine suchende Person uns gegenüber, ihren Suchauftrag zu beenden, beenden wir ihn und informieren Sie darüber. Dazu weisen Sie uns mit diesem Vertrag an.
• Art. 32 bis 36 DSGVO: Wir unterstützen Sie mit den uns verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde. Für die Suchaufträge stellen wir Ihnen auf Anfrage ein Blatt zur Schwellwertprüfung bereit: Zwecke, Datenkategorien, die Kriterien der Leitlinien WP 248 der Artikel-29-Datenschutzgruppe und unsere Maßnahmen. Ob eine Datenschutz-Folgenabschätzung nötig ist, entscheiden Sie als Verantwortlicher.

11. Datenschutzverletzungen

Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie uns bekannt geworden ist, per E-Mail an den Inhaber Ihrer Organisation.

Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Fehlende Angaben reichen wir nach, sobald sie vorliegen.

Wir treffen die Maßnahmen, die zur Eindämmung nötig sind. Die Aufsichtsbehörde oder betroffene Personen benachrichtigen wir nur auf Ihre Weisung.

12. Speicherung, Löschung und Rückgabe

Während der Laufzeit

• Wir speichern Ihre Daten, bis Sie ihre Löschung veranlassen oder der Vertrag endet. Automatisch nach Fristen löschen wir Suchaufträge und die Daten dazu (unten), die Namen der Websites, auf denen das Widget geladen wurde, 90 Tage nach dem letzten Laden, und Übergabenachweise (unten); für die übrigen Daten ist eine automatische Löschung nach Fristen nicht eingerichtet.
• Nicht freigegebene Abholanfragen verfallen nach 30 Tagen; die Abholanfrage bleibt dabei gespeichert. Eine Abholanfrage aus einem Suchauftrag übernimmt dessen Beschreibung, höchstens 2.000 Zeichen, aber nicht den Gesprächsverlauf.

Suchaufträge

• Suchaufträge enden nach der Laufzeit Ihres Plans, auch wenn Ihr Team sie anlegt, oder früher, wenn die suchende Person oder Ihr Team sie beendet.
• 30 Tage nach dem Ende löschen wir einen Suchauftrag samt Abgleichsergebnissen, möglichen Treffern, Kontrollfragen und Antworten und den Einträgen zu seinen Zwischenstand-E-Mails. Einen Suchauftrag, den die suchende Person oder Ihr Team vorzeitig beendet hat und zu dem weder ein Abholcode vergeben noch Kontrollfragen verschickt wurden, löschen wir im nächsten täglichen Löschlauf.
• Den Hash eines Links zu Kontrollfragen löschen wir 7 Tage nach der Antwort oder dem Ablauf des Links, Einträge zu Zwischenstand-E-Mails nach 30 Tagen, die Zählung der KI-Anfragen Ihrer Organisation je Tag nach 90 Tagen und den Prüfwert einer abbestellten oder gesperrten E-Mail-Adresse 12 Monate nach dem letzten Anlass.
• Protokolleinträge darüber, wie ein Abholcode aus einem Suchauftrag vergeben wurde, löschen wir nach 1.461 Tagen (vier Jahren).

Übergabenachweise

• Name der abholenden Person, Angabe zum Ausweis, Unterschrift und die Protokolleinträge zur Übergabe löschen wir nach der Frist, die Sie wählen: 6 Monate nach der Ausgabe oder zum Ende des ersten, zweiten oder dritten auf die Ausgabe folgenden Jahres. Voreingestellt ist das Ende des dritten Folgejahres, also der 31. Dezember dieses Jahres.
• Für Ausweisfotos wählen Sie 7, 30 oder 90 Tage nach der Ausgabe oder das Ende des ersten, zweiten oder dritten Folgejahres; voreingestellt ist ebenfalls das Ende des dritten Folgejahres. Ein Ausweisfoto wird spätestens mit den übrigen Übergabenachweisen gelöscht. Datenschutz-Aufsichtsbehörden empfehlen, Ausweiskopien zu löschen, sobald sie nicht mehr benötigt werden; die Frist wählen Sie als Verantwortlicher.
• Jahresgrenzen richten sich nach mitteleuropäischer Zeit. Verkürzen Sie eine Frist, gilt sie sofort auch für bereits gespeicherte Nachweise; eine längere Frist gilt nur für neue Übergaben.
• Ab Fristablauf zeigt die Anwendung Unterschrift und Ausweisfoto nicht mehr an. Im nächsten täglichen Löschlauf vernichten wir zuerst den Schlüssel der Datei, sodass sie nicht mehr lesbar ist, und löschen dann die Datei bei Cloudflare R2. Die Einträge dazu in der Datenbank löschen wir zusammen mit den übrigen Übergabenachweisen.
• Protokolleinträge, die eine Löschung belegen, löschen wir nach 365 Tagen, Einträge zu Entscheidungen über Abholanfragen, zu geänderten Einstellungen und zu geänderten Zugriffsrechten nach 1.461 Tagen (vier Jahren).
• Zeitpunkt der Übergabe und ausgebendes Teammitglied bleiben an der Abholanfrage gespeichert, ebenso die Angaben aus der Anfrage selbst.
• Wird eine Abholanfrage oder Ihre Organisation gelöscht, löschen wir die zugehörigen Übergabenachweise mit; die Dateien löscht der nächste tägliche Löschlauf. Protokolleinträge zu einer gelöschten Abholanfrage löschen wir nach ihren eigenen Fristen.
• Gelöschte Einträge können technisch bedingt noch bis zu 30 Tage in Sicherungen der Datenbank enthalten sein.

Am Vertragsende

• Sie entscheiden, ob wir Ihre Daten zurückgeben oder löschen. Die Rückgabe erfolgt als Export in einem strukturierten, gängigen und maschinenlesbaren Format.
• Nach Vertragsende halten wir die Daten mindestens 30 Kalendertage lang bereit. In dieser Zeit erhalten Sie den Export auf Anfrage. Wünschen Sie die sofortige Löschung, entfällt diese Frist.
• Danach löschen wir die Daten bei uns und bei den Unterauftragsverarbeitern, einschließlich vorhandener Kopien. Auf Anfrage bestätigen wir die Löschung in Textform.
• Kopien in Sicherungen der Anbieter werden nach deren Sicherungszyklus überschrieben. Bis dahin verwenden wir sie nur für eine Wiederherstellung. Nach einer Wiederherstellung löschen wir die betroffenen Daten erneut.
• Eine längere Speicherung erfolgt nur, soweit das Recht der Union oder Österreichs sie vorschreibt.

Die Regelungen der AGB zu Datenexport und Anbieterwechsel bleiben unberührt.

13. Nachweise und Kontrollen

• Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis unserer Pflichten aus Art. 28 DSGVO nötig sind.
• Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer dürfen Überprüfungen einschließlich Inspektionen durchführen. Wir ermöglichen sie nach angemessener Vorankündigung, während üblicher Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs.
• Bei Unterauftragsverarbeitern stützt sich die Kontrolle auf die Nachweise, die diese bereitstellen.
• Jede Partei trägt ihre eigenen Kosten.

14. Ihre Pflichten

• Sie verantworten die Rechtmäßigkeit der Verarbeitung, insbesondere die Rechtsgrundlage und die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.
• Ihre Datenschutzinformation für Suchende erklärt insbesondere, dass Beschreibungen und Nachrichten per KI mit Fundgegenständen verglichen und dazu an den KI-Anbieter in Anlage 2 übermittelt werden, dass Suchaufträge mit neuen und gespeicherten Fundgegenständen abgeglichen werden, dass Zwischenstand-E-Mails folgen können, dass Ihr Team mögliche Treffer prüft und Kontrollfragen stellen kann, und dass beim Laden des Widgets Daten an www.lostfoundbot.com übertragen werden (Abschnitt 3).
• Nutzen Sie Übergabenachweise, legen Sie Umfang und Fristen fest, hinterlegen einen Kontakt für Datenschutzanfragen und ergänzen Ihre Datenschutzinformation und Ihr Verzeichnis von Verarbeitungstätigkeiten. Die Hinweise, die LostFoundBot bei der Übergabe anzeigt, ersetzen Ihre eigene Datenschutzinformation nicht. Einzelheiten regelt Abschnitt 10 der AGB.
• Sie erfassen nur Daten, die Sie für die Fundsachenverwaltung benötigen.
• Texte, die Sie im Widget oder in E-Mails ändern, verantworten Sie. E-Mails an Suchende informieren nur über deren Suche: keine Werbung, keine Bitte um Bewertungen oder Einwilligungen, keine Links, Bilder oder Zählpixel. In diesen Texten lässt die Anwendung nur fett, kursiv und Zeilenumbrüche zu.
• Sie vergeben Berechtigungen nach Aufgaben und entziehen sie, wenn die Aufgabe wegfällt.
• Stellen Sie bei der Nutzung eine mögliche Datenschutzverletzung fest, informieren Sie uns unverzüglich.

15. Haftung und Schlussbestimmungen

• Für die Haftung gelten die AGB. Art. 82 DSGVO bleibt unberührt.
• Im Übrigen gelten die AGB, einschließlich Rechtswahl und Gerichtsstand.
• Änderungen dieses Vertrags richten sich nach den AGB. Für Anlage 1 gilt Abschnitt 7, für Anlage 2 Abschnitt 8.
• Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An ihre Stelle tritt die gesetzliche Regelung.

Anlage 1: Technische und organisatorische Maßnahmen

Die Beschreibung folgt Art. 32 Abs. 1 DSGVO und gibt den Stand vom 28. September 2026 wieder.

Verschlüsselung

• Die Anwendung wird über HTTPS ausgeliefert. Verbindungen zur Datenbank und zum Dateispeicher sind TLS-verschlüsselt.
• Passwörter speichern wir nur als scrypt-Hashwert mit individuellem Salt.
• Sitzungs-, Bestätigungs-, Einladungs- und Rücksetz-Tokens speichern wir nur als SHA-256-Hashwert, ebenso die Zufallskennung (256 Bit) in Links zu Kontrollfragen.
• Links zum Verwalten eines Suchauftrags und zum Abbestellen von Zwischenständen sind mit einem zweckgebundenen Schlüssel signiert, der aus einem Geheimnis der Produktionsumgebung abgeleitet ist. E-Mail-Adressen auf der Sperrliste speichern wir nur als Prüfwert mit einem solchen Schlüssel, je Organisation verschieden.
• Unterschriften und Ausweisfotos verschlüsselt die Anwendung vor dem Speichern mit AES-256-GCM, mit einem eigenen zufälligen Schlüssel je Datei. Die verschlüsselte Datei ist an Organisation, Abholanfrage, Art des Nachweises und Speicherort gebunden. Die Dateischlüssel sind mit einem Hauptschlüssel verschlüsselt, der nur in der Produktionsumgebung hinterlegt ist und weder in der Datenbank noch im Dateispeicher liegt. Ohne ihn bietet die Anwendung weder Unterschrift noch Ausweisfoto an.
• Im Übrigen richtet sich die Verschlüsselung gespeicherter Daten nach den Maßnahmen der Anbieter in Anlage 2; andere gespeicherte Inhalte verschlüsselt die Anwendung nicht zusätzlich.

Zugang und Zugriff

• Das Dashboard ist nur nach Anmeldung mit Passwort oder Google-Konto erreichbar.
• Das Sitzungscookie ist signiert und als HttpOnly, SameSite=Lax und Secure gesetzt. Sitzungen laufen nach höchstens 30 Tagen ohne Nutzung ab.
• Beim Zurücksetzen des Passworts werden alle Sitzungen der Person beendet, beim Ändern des Passworts alle anderen.
• Die Mitgliedschaft prüft die Anwendung bei jeder Anfrage. Ein deaktiviertes Mitglied verliert damit sofort den Zugriff auf das Dashboard Ihrer Organisation.
• Rollen: Inhaber, Administrator und Fundmitarbeiter, mit einzeln einstellbaren Berechtigungen.
• Übergabenachweise (Name der abholenden Person, Unterschrift, Ausweisfoto, Protokoll) sehen und löschen nur Mitglieder mit der Berechtigung „Übergabenachweise einsehen und löschen“. Inhaber haben sie immer, Administratoren standardmäßig, Fundmitarbeiter nicht. Nur Inhaber können diese Berechtigung vergeben oder entziehen, auch über einen Rollenwechsel, eine Einladung als Administrator oder das Entfernen eines Mitglieds, und nur Inhaber können die Inhaberrolle vergeben oder entziehen. Solche Änderungen an bestehenden Mitgliedschaften werden protokolliert.
• Mandantentrennung: Im Dashboard ergibt sich die Organisation einer Anfrage aus der Sitzung, nicht aus Angaben des Browsers. Jede Datei einer Organisation liegt unter einem Pfad mit ihrer Kennung. Jeder Abruf wird dagegen geprüft, ausgenommen Schriftdateien für das Widget (unten). An der Ausgabe findet die Anwendung Abholcodes nur innerhalb der eigenen Organisation.
• Fotos und QR-Codes liegen in einem Dateispeicher, für den die Anwendung keine öffentlichen Links ausgibt. Fotos werden über signierte Links hochgeladen, die 10 Minuten gültig sind; die angegebene Dateiart und Größe prüft die Anwendung, bevor sie den Link ausstellt, und die Signatur deckt die Dateiart ab. Nach dem Hochladen und erneut vor dem Speichern eines neuen Fundgegenstands prüft die Anwendung Größe und Dateiart der gespeicherten Datei und löscht ein Foto, das die Grenzen nicht einhält. Abgerufen wird nur über die Anwendung, nach Prüfung der Sitzung oder eines signierten, 15 Minuten gültigen Tokens.
• Schriftdateien für das Widget liegen im selben Speicher unter einem eigenen Pfad; Google-Schriften kopiert unser Server einmal von Google dorthin. Die Anwendung liefert sie ohne Anmeldung über eine eigene Adresse aus, weil jeder Browser, der das Widget anzeigt, sie laden muss. Über diese Adresse gibt sie nur Dateien aus, die tatsächlich Schriften im angegebenen Format sind, und keine anderen Dateien aus dem Speicher. Hochgeladene Schriftdateien prüft sie nach dem Hochladen und bei jeder Auslieferung erneut.
• Übergabenachweise liegen unter einem eigenen Pfad, den die Bild- und KI-Funktionen der Anwendung ablehnen. Die Anwendung liefert sie nur entschlüsselt über eine eigene Adresse aus, nach Prüfung von Sitzung, Organisation und Berechtigung, und gibt dafür keine Links zum Dateispeicher heraus. Jeder Aufruf der Nachweisseite und jede Anzeige eines Nachweises werden protokolliert. Seiten und Bilder mit Übergabedaten werden mit „Cache-Control: private, no-store“ ausgeliefert, damit ein gemeinsam genutztes Gerät sie nicht zwischenspeichert.
• Suchende sehen über Widget und Suchseite keine Einträge aus dem Fundbestand. Die Seiten zur Abholanfrage, auf die Link und QR-Code in der E-Mail verweisen, zeigen Personen außerhalb Ihrer Organisation nur Titel, Farbe, Kategorie, Funddatum, Status und Abholcode sowie die Zeitpunkte von Anfrage und Abholung; hat Ihr Team den Abholcode ohne bestandene Kontrollfragen gesendet, zeigen sie keine Angaben zum Gegenstand. E-Mails an Suchende enthalten kein Foto des Fundgegenstands; E-Mails mit Kontrollfragen enthalten weder die Fragen noch Angaben zum Gegenstand.
• Mögliche Treffer sehen nur Mitglieder mit der Berechtigung für Suchaufträge, E-Mail-Adressen nur gekürzt. Die erwarteten Antworten auf Kontrollfragen gehen nie an Suchende. Abgleiche und Entscheidungen finden nur innerhalb Ihrer Organisation statt.
• Die Seiten zu Kontrollfragen und zum Verwalten eines Suchauftrags ändern beim Aufruf nichts, nehmen Änderungen nur von der eigenen Seite an, werden nicht zwischengespeichert und nicht indexiert und laden nichts von Dritten. Kontrollfragen lassen sich einmal beantworten.
• Anfragen an die öffentlichen Widget-Schnittstellen, an die Seiten zu Suchaufträgen und Abfragen von Abholcodes an der Ausgabe werden je Server-Instanz begrenzt. Wie viele Suchaufträge je E-Mail-Adresse laufen, wie viele Bestätigungen je Adresse hinausgehen und wie viele neue Suchaufträge je Organisation am Tag entstehen, begrenzt die Anwendung anhand der Datenbank.
• Zugriff auf die Verwaltungsoberflächen der Anbieter und auf die Produktivdatenbank haben nur die für den Betrieb zuständigen Personen.

Integrität

• Eingaben werden serverseitig auf Form und Umfang geprüft.
• Das Dashboard hält fest, wer einen Fundgegenstand angelegt und wer eine Übergabe bestätigt hat, jeweils mit Zeitpunkt.
• Ein Protokoll zu Übergabenachweisen hält fest, wer Anfragen entschieden, Übergaben gespeichert, Nachweise angesehen oder gelöscht und Einstellungen oder Zugriffsrechte dazu geändert hat. Die Einträge enthalten keine Namen abholender Personen und keine Bilddaten.
• Eine Übergabe wird in einem Schritt gespeichert: Abholanfrage, Fundgegenstand, Nachweise und Protokoll gemeinsam oder gar nicht. Wird dieselbe Übergabe erneut gesendet, entsteht kein zweiter Eintrag.
• Einwilligungen werden mit Fassung, Sprache, Zeitpunkt und Prüfsumme des angezeigten Textes gespeichert.
• Aus Übergabenachweisen entfernt die Anwendung auch serverseitig Metadaten wie Standort- und Geräteangaben.
• Fehler werden mit Fehlernummer, Organisation und Aktion protokolliert. Diese Aufzeichnungen enthalten keine IP-Adresse und werden nach 90 Tagen gelöscht. Adressen mit Link-Kennungen speichert das Fehlerprotokoll ohne die Kennung; Fehler zu Suchaufträgen enthalten nur Kennungen, keine E-Mail-Adresse, keine Fragen, Antworten oder Gesprächsinhalte.
• Ein Abholcode aus einem Suchauftrag entsteht in einem Schritt mit der Prüfung, ob der Suchauftrag noch läuft und der Gegenstand noch verfügbar ist. Wie er entstanden ist und wer ihn vergeben hat, hält ein Protokolleintrag fest. Eine Antwort auf Kontrollfragen wird in einem Schritt gespeichert und ausgewertet.
• Bilder werden mit einer Content-Security-Policy ausgeliefert, die aktive Inhalte blockiert.

Verfügbarkeit und Wiederherstellung

• Die Anwendung läuft bei Vercel in der Region Frankfurt (fra1), die Datenbank bei Neon, Dateien bei Cloudflare R2 (Anlage 2).
• Die Wiederherstellung der Datenbank stützt sich auf die Funktionen von Neon im Rahmen des gebuchten Tarifs. Eigene, von den Anbietern unabhängige Sicherungen von Datenbank und Dateien sind derzeit nicht eingerichtet.

Datensparsamkeit

• Das Widget setzt keine Cookies und nutzt keinen Speicher im Browser, auch nicht auf den Suchseiten und als iframe. Schriften lädt der Browser nur von www.lostfoundbot.com, nie von Google.
• Suchanfragen ohne E-Mail-Adresse speichern wir nicht in der Datenbank. Den Gesprächsverlauf im Widget hält nur der Browser.
• IP-Adressen von Suchenden nutzt die Anwendung nur kurzzeitig im Arbeitsspeicher, um Anfragen zu begrenzen. Unabhängig davon enthalten die Protokolle von Vercel IP-Adressen.
• Für den KI-Vergleich übermitteln wir ausgewählte Merkmale von höchstens 40 Fundgegenständen und keine Fotos, bei Suchaufträgen höchstens 10 je Anfrage (Fundgegenstände oder, bei der Vorauswahl für einen neuen Fundgegenstand, Beschreibungen von Suchaufträgen); die Vergleichsgegenstände, die dabei hinzukommen, sind erfunden. Für Kontrollfragen erhält der KI-Anbieter nur Angaben zum Fundgegenstand, nie die Beschreibung der suchenden Person.
• Aus gespeicherten Nachrichten von Suchenden entfernt die Anwendung E-Mail-Adressen, Telefonnummern, IBAN und Ziffernfolgen ab sechs Stellen. Eine Abholanfrage aus einem Suchauftrag übernimmt den Gesprächsverlauf nicht.
• Für die Einrichtungsprüfung speichert die Anwendung nur den Namen der Website, auf der das Widget geladen wurde, und den Zeitpunkt, keine Angaben zu Besuchern.
• Übergabenachweise gehen weder an den KI-Anbieter noch per E-Mail hinaus. Ausweisnummern werden nicht als eigene Angabe gespeichert.
• Ausweisfotos sind ausgeschaltet, bis Sie sie erlauben. Aufgenommen wird nur mit der Kamera in der Seite, nicht aus der Kamera-App oder Galerie. Vor dem Speichern können Nummern und die maschinenlesbare Zone abgedeckt werden. Das Foto wird verkleinert, über die ganze Fläche als „KOPIE · COPY“ gekennzeichnet und ohne Metadaten gespeichert; das ungekennzeichnete Bild verlässt den Browser nicht.
• Bricht eine Übergabe nach dem Hochladen eines Nachweises ab, löscht der nächste tägliche Löschlauf die Datei, frühestens nach 30 Minuten.

Überprüfung

Wir überprüfen diese Maßnahmen mindestens einmal jährlich und vor der Einführung neuer Funktionen oder Anbieter. Anlage 1 und 2 passen wir danach an.

Anlage 2: Unterauftragsverarbeiter

Stand: 28. September 2026

• Anbieter

  Vercel Inc.

  Leistung

  Hosting und Ausführung der Anwendung, Auslieferung von Widget und Suchseiten

  Daten

  alle Daten, die über die Anwendung laufen; Protokolle mit IP-Adresse und Browserangaben

  Ort der Verarbeitung

  Ausführung in Frankfurt (fra1), Auslieferung über das weltweite Netz von Vercel; US-Unternehmen

• Anbieter

  Databricks, Inc. (Neon)

  Leistung

  Datenbank

  Daten

  alle gespeicherten Daten außer Dateien

  Ort der Verarbeitung

  vorgesehene Region Frankfurt (AWS eu-central-1); US-Unternehmen

• Anbieter

  Cloudflare, Inc.

  Leistung

  Dateispeicher R2

  Daten

  Fotos von Fundgegenständen, QR-Codes, verschlüsselte Übergabenachweise (Unterschriften, Ausweisfotos)

  Ort der Verarbeitung

  vorgesehener Speicherort in der EU; US-Unternehmen

• Anbieter

  Resend (Plus Five Five, Inc.)

  Leistung

  Versand von E-Mails

  Daten

  Empfänger, Inhalt einschließlich Abholcode und QR-Code, Angaben zum Fundgegenstand, Links zu Kontrollfragen und zur Verwaltung von Suchaufträgen, Zustellinformationen; Meldungen über Unzustellbarkeit und Spam-Beschwerden über einen signierten Webhook

  Ort der Verarbeitung

  Verarbeitung auch in den USA

• Anbieter

  OpenAI

  Leistung

  KI-Funktionen nach Abschnitt 3

  Daten

  Fotos und Angaben zu Fundgegenständen, Beschreibungen und Nachrichten von Suchenden, Kontrollfragen zur Übersetzung; keine Übergabenachweise

  Ort der Verarbeitung

  USA; eine Datenverarbeitung nur in der EU ist nicht eingerichtet

Kartenfunktion im Dashboard: Ist sie eingerichtet, lädt das Dashboard beim Anlegen oder Bearbeiten eines Fundgegenstands die Adresssuche der Google Maps JavaScript API. Google erhält dabei die IP-Adresse und Browserangaben der Mitarbeitenden sowie die Eingaben im Adressfeld und verarbeitet diese Daten auch nach eigenen Bedingungen. Wir setzen die Kartenfunktion in eigener Verantwortung ein; unsere Datenschutzerklärung beschreibt sie. Google ist deshalb hier nicht als Unterauftragsverarbeiter aufgeführt. Geben Sie in das Adressfeld nur Orts- und Adressangaben ein, keine Angaben zu Personen.

Google Fonts: Google-Schriften für das Widget ruft unser Server einmal bei Google ab, als Anfrage von Server zu Server ohne personenbezogene Daten, und liefert sie danach selbst aus. Google erhält dabei keine Daten von Suchenden oder Mitarbeitenden und ist deshalb hier nicht als Unterauftragsverarbeiter aufgeführt.

Nicht aufgeführt sind außerdem Dienste, die wir nur für eigene Zwecke nutzen, etwa Mollie für die Abrechnung und Google für die Anmeldung.