Datenschutzerklärung

1. Verantwortlicher für die Datenverarbeitung (nachfolgend: „wir“)

GraphPilot UG (haftungsbeschränkt)
Arcadiastraße 18
40472 Düsseldorf

vertreten durch den Geschäftsführer:
Herr Kay Schecker, Kontaktdaten wie oben

Kontaktformular: https://graphpilot.io/contact
E-Mail: info@graphpilot.io

Weitere Einzelheiten über uns finden Sie in unserer Anbieterkennzeichnung https://graphpilot.io/legal/imprint/de.

2. Personenbezogene Daten, Zwecke ihrer Verarbeitung und Rechtsgrundlagen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wir verarbeiten personenbezogene Daten, soweit dies erforderlich ist, um die Website, das Kundenportal, die Kommandozeilenanwendung und die Plattform GraphPilot bereitzustellen, Nutzerkonten und Organisationen zu verwalten, Services und deren Konfiguration bereitzustellen und zu verwalten, Auswertungen zu Anfragen, Fehlern und Laufzeiten („Insights“) zur Verfügung zu stellen, Abonnements und Abrechnungen abzuwickeln, Anfragen zu bearbeiten sowie die Sicherheit und Stabilität unserer Plattform zu gewährleisten.

Die Verarbeitung erfolgt, abhängig vom jeweiligen Verarbeitungszweck, auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO zur Durchführung des Nutzungsverhältnisses oder zur Durchführung vorvertraglicher Maßnahmen, auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO zur Wahrung unserer berechtigten Interessen an einem sicheren, stabilen und funktionsfähigen Betrieb von GraphPilot oder – soweit erforderlich – auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a) DSGVO.

Soweit wir personenbezogene Daten verarbeiten, die über den von einem Kunden eingerichteten Service geleitet werden, insbesondere Anfragen von Endnutzern des Kunden und Antworten des Backends des Kunden, verarbeiten wir diese Daten im Auftrag und nach Maßgabe des mit dem Kunden geschlossenen Auftragsverarbeitungsvertrags. Der Kunde ist in diesem Fall datenschutzrechtlich Verantwortlicher.

Die jeweiligen Einzelheiten zur Verarbeitung Ihrer personenbezogenen Daten ergeben sich aus den folgenden Bestimmungen:

3. Hosting, Datenbank, Zugriffsdaten und technische Protokolle

Cloudflare Inc.

Für das Hosting und die technische Auslieferung unserer Website, Dokumentation und des Kundenportals nutzen wir die Dienste der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (nachfolgend „Cloudflare“). Cloudflare verarbeitet insbesondere technisch erforderliche Verbindungs- und Zugriffsdaten, die bei der Nutzung der Website, der Dokumentation und des Kundenportals anfallen. Cloudflare nutzen wir außerdem für den Bot-Schutz auf Formularen mittels Cloudflare Turnstile. Soweit Cloudflare personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Soweit personenbezogene Daten an Cloudflare in die USA oder andere Drittländer übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Google Cloud EMEA Ltd.

Für die Bereitstellung von GraphPilot nutzen wir die Dienste der Google Cloud EMEA Ltd., 70 Sir John Rogerson’s Quay, Dublin 2, Irland (nachfolgend „Google Cloud“). Google Cloud stellt insbesondere die Plattform-API, Hintergrundaufgaben, Datenbank, Dateispeicher, technische Protokolle, die Verwaltung von Zugangsdaten und Schlüsseln sowie den Telemetrie-Datenspeicher bereit. Die Plattform-API, die Datenbank und die technischen Protokolle werden in der Region europe-west1 (Belgien) betrieben; der Telemetrie-Datenspeicher und Datensicherungen werden innerhalb der EU gespeichert. Zur Sicherung der bei GraphPilot gespeicherten Daten nutzen wir ebenfalls die Dienste von Google Cloud. Die Telemetriedaten sind nicht Bestandteil der Datenbanksicherungen; sie werden im Telemetrie-Datenspeicher innerhalb der EU für höchstens 90 Tage aufbewahrt.

Soweit Google Cloud personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Soweit personenbezogene Daten an Google LLC in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Fastly, Inc.

Für den Betrieb der von unseren Kunden eingerichteten Services und der Plattform-API nutzen wir außerdem die Dienste der Fastly, Inc., 475 Brannan Street, Suite 300, San Francisco, CA 94107, USA (nachfolgend „Fastly“). Fastly betreibt das weltweit verteilte Edge-Netz, über das der GraphPilot-Proxy Anfragen entgegennimmt, prüft, gegebenenfalls zwischenspeichert und an das Backend des jeweiligen Kunden weiterleitet. Dabei können insbesondere die IP-Adresse, technische Verbindungsdaten sowie – soweit der Kunde dies in seiner Konfiguration zulässt – zwischengespeicherte Antworten verarbeitet werden. Die Verarbeitung kann an Edge-Standorten weltweit erfolgen. Soweit Fastly personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Soweit personenbezogene Daten an Fastly in die USA oder andere Drittländer übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO sowie ergänzend auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO. Fastly, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Bei der Nutzung unserer Website, Dokumentation, des Kundenportals, der Kommandozeilenanwendung und der Plattform können technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet werden. Hierzu können insbesondere die IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite oder Schnittstelle, die übertragene Datenmenge, HTTP-Statuscodes, die Referrer-URL, Browsertyp und -version, Betriebssystem sowie Informationen zum Internet-Service-Provider gehören. In begrenztem Umfang können technische Fehler-, Sicherheits- und Systemprotokolle anfallen. Diese können die vorstehend genannten Daten enthalten, soweit dies zur Fehleranalyse, zur Erkennung und Abwehr missbräuchlicher Zugriffe sowie zur Gewährleistung der Sicherheit und Stabilität unserer informationstechnischen Systeme erforderlich ist.

Die Verarbeitung von Zugriffsdaten und technischen Protokollen erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und funktionsfähigen Bereitstellung von GraphPilot sowie in der Abwehr von Angriffen und Missbrauch. Soweit die Verarbeitung durchgeleitete Daten aus der API eines Kunden betrifft, erfolgt sie im Auftrag des jeweiligen Kunden auf Grundlage des mit diesem geschlossenen Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

ClickHouse, Inc.

Für die Auswertung von Telemetriedaten im Bereich „Insights“ nutzen wir die Dienste der ClickHouse, Inc., 20807 Stevens Creek Boulevard, Suite 310, Cupertino, CA 95014, USA (nachfolgend „ClickHouse“). Die Analysedatenbank wird in der Region europe-west4 (Niederlande) betrieben. ClickHouse Cloud erstellt für die Analysedatenbank alle 24 Stunden Sicherungen. Eine Sicherung wird 30 Tage nach der jüngsten Sicherung ihrer Sicherungskette verworfen. Gelöschte Daten können daher über die Löschung im Produktivsystem hinaus noch für einige Tage in Sicherungen enthalten sein. Ein Zugriff durch den Support von ClickHouse aus Staaten außerhalb der Europäischen Union kann nicht vollständig ausgeschlossen werden. Dort werden insbesondere Telemetriedaten zu Anfragen, Fehlern, Laufzeiten und Nutzungsmengen verarbeitet. Soweit ClickHouse personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Soweit personenbezogene Daten an ClickHouse in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. ClickHouse, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Grafana Cloud

Für die Betriebsüberwachung nutzen wir Grafana Cloud, betrieben von Raintank Inc. d/b/a Grafana Labs, 165 Broadway, 23rd Floor, New York, NY 10006, USA. Dabei verarbeiten wir Kennzahlen zur Anzahl der Anfragen je Organisation, Service und Stunde. Anfragedatensätze werden nicht verarbeitet. Die Verarbeitung erfolgt zur Sicherstellung der Stabilität, Sicherheit und Funktionsfähigkeit von GraphPilot auf Grundlage von Art. 6 Abs. 1 lit. f) DSGVO. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Grafana Labs ist nach dem EU-US Data Privacy Framework zertifiziert.

4. Cookies

Soweit wir auf unserer Website, in der Dokumentation oder im Kundenportal Cookies oder vergleichbare Technologien einsetzen, dienen diese der technisch erforderlichen Bereitstellung von GraphPilot, insbesondere der Anmeldung, der Verwaltung der Sitzung, der Sicherheit der Anwendung, der Speicherung von Nutzereinstellungen sowie der Abwicklung des Bestellvorgangs. Soweit die Speicherung oder der Zugriff auf Informationen auf Ihrem Endgerät hierfür unbedingt erforderlich ist, erfolgt dies auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Soweit dabei personenbezogene Daten verarbeitet werden, erfolgt die Verarbeitung nach Maßgabe von Ziffer 2 dieser Datenschutzerklärung. Widersprechen Sie der Reichweitenmessung (Ziffer 8), wird auf Ihren Wunsch im lokalen Speicher Ihres Browsers ein Vermerk abgelegt, der die Messung für diesen Browser abschaltet; dies erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Das Kundenportal verwendet insbesondere ein Sitzungs-Cookie für die Anmeldung, Cookies zur Speicherung von Einstellungen zur Darstellung des Kundenportals sowie lokalen Speicher für nutzerbezogene Einstellungen, wie den zuletzt gewählten Service, die Zeitzone, Filtervorlagen, das Spaltenlayout und den Verlauf eigener Cache-Invalidierungen. Im Bestellvorgang können außerdem technisch erforderliche Cookies des Zahlungsdienstleisters Stripe eingesetzt werden, insbesondere zur Betrugsabwehr.

Einzelheiten zu den von uns eingesetzten Diensten zur Reichweitenmessung und Nutzungsanalyse sowie zu den jeweiligen Rechtsgrundlagen finden Sie in Ziffer 8 dieser Datenschutzerklärung.

5. Nutzerkonto

Für die Nutzung von GraphPilot ist die Einrichtung eines Nutzerkontos erforderlich. Bei der Registrierung und Einrichtung eines Nutzerkontos verarbeiten wir insbesondere Ihren Namen, Ihre geschäftliche E-Mail-Adresse, die Zugehörigkeit zu einer Organisation, Ihre Rolle und Berechtigungen sowie Anmelde- und Profildaten. Verarbeitet werden außerdem Nachweise über die Annahme der Nutzungsbedingungen und des AVV und über die Bestätigung, GraphPilot als Unternehmer und nicht als Verbraucher zu nutzen, insbesondere die jeweils angenommene Fassung der Nutzungsbedingungen und des AVV, die Fassung des bestätigten Textes, den Zeitpunkt und Vorgang der Annahme (Anlegen einer Organisation oder Bestellung), den Zugangsweg (Kundenportal, Kommandozeilenanwendung oder Plattform-API), die Nutzer- und Organisationskennung sowie die beim Identitätsanbieter hinterlegte E-Mail-Adresse und, soweit vorhanden, den Namen des Nutzers. Je nach gewähltem Anmeldeverfahren können hierzu auch ein Passwort-Hash, Einmalcodes, ein Profilbild, eine Spracheinstellung sowie Angaben zu Anmeldungen und Sitzungen, insbesondere Zeitpunkt, Anmeldeverfahren, IP-Adresse und Browserkennung, gehören. Nutzerkonten können mehreren Organisationen zugeordnet sein.

Soweit Nutzerkonten für Mitarbeitende oder sonstige Nutzer einer Organisation angelegt werden, verarbeiten wir die hierfür von der Organisation bereitgestellten Daten. Diese Daten stammen in diesem Fall von der Organisation, der der Nutzer zugeordnet ist.

Zur Prüfung der Unternehmereigenschaft können wir die Umsatzsteuer-Identifikationsnummer, die Firmierung sowie weitere für die Abrechnung erforderliche Unternehmensdaten verarbeiten. Soweit eine Umsatzsteuer-Identifikationsnummer angegeben wird, können wir diese auf ihre Gültigkeit prüfen. Die Verarbeitung erfolgt zur Anbahnung und Durchführung des Nutzungsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie zur Verhinderung einer Nutzung durch Verbraucher auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO.

Wir verarbeiten die im Zusammenhang mit dem Nutzerkonto erhobenen Daten, um die Registrierung, Anmeldung, Verwaltung des Nutzerkontos und der Organisationen, die Rechteverwaltung sowie die Nutzung der Funktionen von GraphPilot zu ermöglichen. Soweit wir Daten des Vertragspartners oder seiner Ansprechpartner verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO, soweit die Verarbeitung für die Durchführung des Nutzungsverhältnisses erforderlich ist. Soweit wir Daten weiterer, von einer Organisation hinzugefügter Nutzer verarbeiten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Bereitstellung und Verwaltung der vertragsgegenständlichen Plattform für den jeweiligen Kunden.

Soweit die Verarbeitung der Sicherheit des Nutzerkontos, insbesondere der Bestätigung der E-Mail-Adresse, der Zurücksetzung von Passwörtern sowie der Abwehr unbefugter Zugriffe dient, erfolgt sie auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren und funktionsfähigen Bereitstellung von GraphPilot.

Die Authentifizierung und Verwaltung der Nutzerkonten erfolgt mithilfe von WorkOS, einem Dienst der WorkOS, Inc., San Francisco, USA. Soweit personenbezogene Daten an WorkOS in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO.

Soweit Sie sich über ein GitHub-Konto anmelden, verarbeitet GitHub die im Rahmen des Anmeldevorgangs erforderlichen Daten. GitHub, Inc. hat seinen Sitz in den USA. Soweit personenbezogene Daten in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. GitHub, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Soweit eingesetzt, nutzen wir außerdem WorkOS Radar zur Erkennung und Abwehr betrügerischer oder missbräuchlicher Anmelde- und Registrierungsversuche. Dabei können insbesondere IP-Adresse, Browserkennung und E-Mail-Adresse verarbeitet werden. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Verhinderung unbefugter Zugriffe, betrügerischer Registrierungen und sonstigen Missbrauchs von GraphPilot. Für die Verarbeitung durch WorkOS und Übermittlungen in die USA gelten die vorstehenden Angaben zu WorkOS entsprechend.

6. Kontakt per E-Mail, Kontaktformular, Support und Vertrieb

Wenn Sie uns per E-Mail oder über das Kontaktformular Anfragen zukommen lassen, verarbeiten wir Ihre Angaben einschließlich der von Ihnen angegebenen Kontaktdaten zur Bearbeitung Ihrer Anfrage und für den Fall von Anschlussfragen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO, soweit die Anfrage mit der Anbahnung oder Durchführung eines Vertragsverhältnisses zusammenhängt. Im Übrigen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Bearbeitung der an uns gerichteten Anfragen.

Kontaktformular

Nachrichten über das Kontaktformular auf der Website oder im Kundenportal werden über die Plattform bei Google Cloud verarbeitet und über Resend an das Postfach bei Zoho zugestellt. Verarbeitet werden insbesondere Name, E-Mail-Adresse und Inhalt der Nachricht sowie, bei einer Nachricht aus dem Kundenportal, zusätzlich Kennungen der Organisation und des Services.

Zum Schutz vor automatisierten Anfragen wird Cloudflare Turnstile eingesetzt. Eine Speicherung der Nachrichten bei Cloudflare erfolgt nicht. Ein Einwilligungsnachweis mit IP-Adresse oder Browserkennung wird nicht gespeichert.

Für die Verarbeitung durch Google Cloud, Resend, Zoho und Cloudflare gelten ergänzend die Angaben in Ziffern 3 und 6 dieser Datenschutzerklärung.

E-Mail und Support

Für den Empfang und die Bearbeitung von E-Mails an die E-Mail-Adressen unter unseren Domains, insbesondere an info@graphpilot.io, nutzen wir die Dienste der Zoho Corporation GmbH, Trinkausstraße 7, 40213 Düsseldorf, Deutschland (nachfolgend „Zoho“). Zoho nutzen wir außerdem für die Bearbeitung von Supportanfragen mittels Zoho Desk. Soweit Zoho personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der Europäischen Union. Ein Zugriff der US-Muttergesellschaft oder weiterer Unterauftragsverarbeiter von Zoho kann jedoch nicht vollständig ausgeschlossen werden. Soweit hierbei personenbezogene Daten in ein Drittland übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO.

System-E-Mails

Für den Versand von System-E-Mails im Zusammenhang mit GraphPilot nutzen wir den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA (nachfolgend „Resend“). Über Resend versenden wir insbesondere E-Mails zur Anmeldung und Verwaltung von Nutzerkonten, Einladungen, Rechnungen, Alarmmeldungen, Antworten auf Anfragen sowie sonstige für die Nutzung von GraphPilot erforderliche Mitteilungen. Beim Versand verarbeitet Resend insbesondere die E-Mail-Adresse des Empfängers, Absenderdaten, den Inhalt der E-Mail sowie technische Versand- und Zustelldaten.

Resend verarbeitet Daten in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Plus Five Five, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Zusätzlich besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Soweit wir E-Mail-Daten zur Durchführung des Nutzungsverhältnisses mit dem Vertragspartner oder dessen Ansprechpartnern verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO. Soweit wir System-E-Mails an weitere Nutzer einer Organisation versenden, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren und funktionsfähigen Bereitstellung von GraphPilot.

Soweit E-Mails Inhalte aus durchgeleiteten Daten der Kunden-API enthalten, erfolgt die Verarbeitung im Auftrag des jeweiligen Kunden. Der Kunde ist insoweit datenschutzrechtlich Verantwortlicher.

Soweit wir technische Versand- und Zustelldaten zur Gewährleistung der Zustellung, zur Fehleranalyse, zur Abwehr von Missbrauch oder zur Sicherung des Betriebs von GraphPilot verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren, zuverlässigen und nachvollziehbaren Bereitstellung der E-Mail-Funktionen von GraphPilot.

Vertrieb und Kundenbetreuung

Für die Verwaltung von Vertriebskontakten und die Kundenbetreuung nutzen wir außerdem Zoho CRM. Dabei verarbeiten wir insbesondere Name, Firma, Funktion, geschäftliche E-Mail-Adresse, Telefonnummer, Gesprächsnotizen, Angebote und den Verlauf der Kommunikation mit Interessenten und Kunden. Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Durchführung des Vertragsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie im Übrigen auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Pflege von Geschäftsbeziehungen und der Bearbeitung von Vertriebsanfragen. Für die Verarbeitung durch Zoho gelten die vorstehenden Angaben zu Zoho entsprechend.

7. Nutzungsdaten, Aktivitätsprotokoll und Support

Nutzungsdaten

Bei der Nutzung von GraphPilot verarbeiten wir Daten über die Nutzung des Kundenportals, der Kommandozeilenanwendung und der Plattform. Dies umfasst insbesondere Angaben zu genutzten Funktionen, Nutzeraktionen, Zeitpunkten und Verfahren von Anmeldungen, Sitzungsdaten, die Zuordnung von Aktionen zu Nutzern oder API-Schlüsseln sowie Protokolldaten zu Sicherheitsereignissen und Fehlern.

Soweit wir diese Daten zur Bereitstellung von GraphPilot, zur Verwaltung von Nutzerkonten, Organisationen, Services und Konfigurationen sowie zur Abwicklung des Nutzungsverhältnisses verarbeiten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO. Soweit wir Daten weiterer, von einer Organisation hinzugefügter oder eingeladener Nutzer verarbeiten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Bereitstellung und Verwaltung der vertragsgegenständlichen Plattform für den jeweiligen Kunden.

Soweit wir Nutzungsdaten für eigene Zwecke verarbeiten, insbesondere zur Fehleranalyse, zur Gewährleistung der IT-Sicherheit sowie zur Abwehr unbefugter Zugriffe, erfolgt dies auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in dem sicheren und funktionsfähigen Betrieb von GraphPilot.

Aktivitätsprotokoll und API-Schlüssel

Wir protokollieren schreibende Aktionen im Kundenportal und über die Plattform-API. Das Aktivitätsprotokoll enthält insbesondere Angaben dazu, welcher Nutzer, API-Schlüssel, Supportzugriff oder Systemprozess eine Aktion vorgenommen hat, zu welchem Zeitpunkt die Aktion erfolgt ist, welche Aktion durchgeführt wurde und welches Objekt betroffen war. Bei Nutzern können dabei die beim Identitätsanbieter hinterlegte E-Mail-Adresse und, soweit vorhanden, der Name verarbeitet werden. Das Aktivitätsprotokoll enthält keine Inhalte von Anfragen, keine Geheimnisse und keine IP-Adressen.

Für API-Schlüssel verarbeiten wir insbesondere deren Namen, einen gekürzten Wert, den Eigentümer, die Berechtigungen sowie Zeitpunkte der Erstellung, Verwendung und Löschung.

Die Verarbeitung erfolgt zur Durchführung des Nutzungsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie zur Gewährleistung der Sicherheit von GraphPilot, zur Aufklärung von Missbrauch und Betrug sowie zum Nachweis von Aktionen auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren, nachvollziehbaren und funktionsfähigen Bereitstellung von GraphPilot.

Ob und in welchem Umfang Aktivitätsprotokolle im Kundenportal oder über die Plattform-API eingesehen werden können, richtet sich nach den Rollen und Berechtigungen innerhalb der jeweiligen Organisation.

Befugte und zur Vertraulichkeit verpflichtete Mitarbeitende von GraphPilot können Aktivitätsprotokolle einsehen, soweit dies für Support, Sicherheit, die Aufklärung von Missbrauch oder Betrug sowie zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich ist. Die Verarbeitung erfolgt insoweit auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren, nachvollziehbaren und funktionsfähigen Bereitstellung von GraphPilot.

Supportzugriffe und Supportnotizen

Soweit dies zur Bearbeitung einer Supportanfrage erforderlich ist, können befugte und zur Vertraulichkeit verpflichtete Mitarbeitende von GraphPilot im Namen eines Nutzers auf die vom Kunden genutzten Funktionen zugreifen. Jeder Supportzugriff wird protokolliert; gespeichert werden insbesondere die zugreifende Person, der betroffene Kunde und der Zeitpunkt des Zugriffs sowie bei Schreibzugriffen der angegebene Grund.

Mitarbeitende von GraphPilot können zu Abrechnungskonten interne Supportnotizen in freiem Text führen, soweit dies zur Bearbeitung von Support-, Abrechnungs- oder Kundenanliegen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der nachvollziehbaren und effizienten Bearbeitung von Kundenanliegen. Die Notizen werden mit dem jeweiligen Abrechnungskonto gelöscht.

Hintergrundaufgaben

Für die Ausführung von Hintergrundaufgaben, insbesondere im Zusammenhang mit Abrechnungen, E-Mails, Alarmen und der Auslieferung von Konfigurationen, nutzen wir die Dienste der Inngest, Inc., San Francisco, USA (nachfolgend „Inngest“). Dabei können insbesondere Ereignisdaten von Stripe und WorkOS verarbeitet werden, die Namen, E-Mail-Adressen, Rechnungsanschriften, Umsatzsteuer-Identifikationsnummern, maskierte Angaben zu Zahlungsmitteln, Rechnungsdaten, Einladungen, Organisationsnamen und -domains enthalten können. Die Verarbeitung erfolgt, soweit sie zur Durchführung des Nutzungsverhältnisses erforderlich ist, auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie im Übrigen zur Gewährleistung eines sicheren und funktionsfähigen Betriebs von GraphPilot auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Soweit personenbezogene Daten an Inngest in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO.

Soweit bei der Nutzung der von einem Kunden eingerichteten Services Daten von Endnutzern der Kunden-API verarbeitet werden, insbesondere Telemetriedaten zu Anfragen, Fehlern, Laufzeiten und der Nutzung des Services, erfolgt die Verarbeitung im Auftrag des jeweiligen Kunden. Der Kunde ist insoweit datenschutzrechtlich Verantwortlicher.

8. Einwilligungsverwaltung und Webanalyse

Einwilligungsverwaltung

Wir nutzen auf unserer Website, in der Dokumentation und im Kundenportal den Dienst CCM19 der Papoo Software & Media GmbH, Auguststraße 4, 53229 Bonn, Deutschland, zur Verwaltung Ihrer Einwilligungen. CCM19 speichert Ihre Auswahl zur Erteilung, Verweigerung oder zum Widerruf von Einwilligungen. Die Verarbeitung erfolgt, soweit sie für die Speicherung Ihrer Einwilligung erforderlich ist, auf Grundlage von Art. 6 Abs. 1 S. 1 lit. c) DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über die Einstellungen der Einwilligungsverwaltung widerrufen, die im Fußbereich der Website erreichbar sind (Art. 7 Abs. 3 DSGVO). Die Reichweitenmessung mit Plausible wird nicht über die Einwilligungsverwaltung gesteuert; für sie gilt das Widerspruchsrecht nach dem folgenden Abschnitt.

Reichweitenmessung mit Plausible Analytics

Auf der Website und in der Dokumentation wird die Reichweite mit Plausible Analytics der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland (nachfolgend „Plausible“), statistisch ausgewertet. Plausible setzt keine Cookies und legt ohne Ihren Widerspruch nichts auf Ihrem Endgerät ab. Beim Aufruf einer Seite werden die Adresse der Seite (ohne Abfrageparameter außer Kampagnenangaben), die verweisende Seite, Browser, Betriebssystem und Gerätetyp (abgeleitet aus der Browserkennung), der ungefähre Standort (Land, Region, Stadt, abgeleitet aus der IP-Adresse) sowie Angaben zur Nutzung wie Verweildauer und Scrolltiefe verarbeitet. IP-Adresse und Browserkennung werden nicht gespeichert; aus ihnen wird zusammen mit einem täglich wechselnden Zufallswert eine Kennung gebildet, die nur Aufrufe desselben Tages zusammenfasst. Der Zufallswert wird alle 24 Stunden gelöscht. Die Übermittlung an Plausible erfolgt über einen Weiterleitungsdienst unter einer Adresse von graphpilot.io bei Cloudflare; für die Verarbeitung durch Cloudflare gelten ergänzend die Angaben in Ziffer 3.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Das berechtigte Interesse besteht darin, Reichweite und Nutzung der Website und der Dokumentation statistisch auszuwerten und die Angebote zu verbessern. Plausible verarbeitet die Daten im Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO; die Daten werden innerhalb der Europäischen Union gespeichert.

Widerspruch: Sie können der Reichweitenmessung jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Mit dem Schalter in der Datenschutzerklärung auf der Website (https://graphpilot.io/legal/privacy/de) beziehungsweise im Fußbereich der Dokumentation wird in Ihrem Browser ein Vermerk gespeichert, der die Messung der jeweiligen Website für diesen Browser abschaltet. Der Vermerk enthält keine personenbezogenen Daten. Löschen Sie die Websitedaten Ihres Browsers, entfällt der Vermerk, und die Messung findet wieder statt.

9. Durchgeleitete Daten und Telemetriedaten

Im Rahmen der Nutzung von GraphPilot verarbeiten wir Daten, die über die von unseren Kunden eingerichteten Services geleitet werden. Dies sind insbesondere:

Anfrage- und Telemetriedaten: IP-Adresse des Endnutzers, Zeitstempel, Anfrage-ID, Informationen zu Gerät, Browser, Standort, Netz und Internet-Service-Provider, ausgewählte Anfrage- und Antwort-Header, Pfad, Hostname, Statuscodes, Laufzeiten, Größenangaben, Cache-Status, Anfragetexte, Fehlermeldungen des Kunden-Backends sowie Kennungen von Objekten, soweit diese als Cache-Schlüssel verwendet werden. Die Speicherung der IP-Adresse des Endnutzers richtet sich nach den Einstellungen des Kunden. Der Kunde kann festlegen, ob IP-Adressen vollständig, gekürzt oder nicht gespeichert werden. GraphQL-Variablen werden nicht im Klartext, sondern stets nur als pseudonyme Hashwerte gespeichert. Zugangsdaten in Headern und Vary-Werte werden in der Voreinstellung nicht im Klartext, sondern nur als pseudonyme Hashwerte gespeichert. Der Kunde kann für diese Daten ausdrücklich die Speicherung im Klartext einstellen.

Zwischengespeicherte Daten: vollständige Antworten des Kunden-Backends einschließlich ihres Inhalts und ihrer Header, soweit der Kunde dies in seinen Caching-Regeln oder das Backend des Kunden dies in den Antwort-Headern erlaubt. Nicht öffentliche Antworten werden entsprechend der Konfiguration des Kunden getrennt je Nutzer, Organisation oder Rolle vorgehalten.

Die Verarbeitung dieser Daten erfolgt im Auftrag des jeweiligen Kunden, der GraphPilot nutzt. Der Kunde ist datenschutzrechtlich Verantwortlicher und bestimmt die Rechtsgrundlage der Verarbeitung. GraphPilot verarbeitet diese Daten ausschließlich nach Maßgabe des mit dem Kunden geschlossenen Auftragsverarbeitungsvertrags.

Die Telemetriedaten werden abhängig vom gebuchten Tarif grundsätzlich für einen Zeitraum von einem, sieben, 30 oder höchstens 90 Tagen gespeichert. Antworten des Kunden-Backends werden nur bis zum Ablauf der vom Kunden festgelegten Gültigkeitsdauer, bis zu einer Invalidierung oder bis zur Löschung des jeweiligen Services zwischengespeichert. Einzelheiten zu den Löschfristen ergeben sich aus dem Auftragsverarbeitungsvertrag.

10. Kommunikations-, Alarm- und Benachrichtigungsdaten

Im Rahmen der Nutzung von GraphPilot verarbeiten wir Daten im Zusammenhang mit Einladungen, System-E-Mails, Alarmmeldungen, Benachrichtigungen im Kundenportal und Alarmkanälen. Dies umfasst insbesondere die E-Mail-Adresse weiterer Empfänger, soweit eingesetzt Webhook-URLs, den Inhalt der jeweiligen Benachrichtigung, den Zeitpunkt des Versands sowie Angaben zu Zustellung und Bearbeitung.

Wird eine weitere E-Mail-Adresse als Alarmkanal hinterlegt, erhält diese Adresse zunächst eine Bestätigungs-E-Mail. Alarme gehen erst an die Adresse, nachdem der Link in dieser E-Mail bestätigt wurde; eine Adresse, die nicht innerhalb von sieben Tagen bestätigt wird, wird entfernt. Jede E-Mail an eine solche Adresse enthält einen Link, mit dem der Empfänger die Adresse ohne Anmeldung entfernen kann. Gespeichert werden der Stand der Bestätigung und ihr Zeitpunkt sowie Hashwerte der Links, nicht die Links selbst. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO; das berechtigte Interesse besteht darin, Alarme nur an Empfänger zu senden, die sie bestätigt haben, und Missbrauch des Alarmversands zu verhindern.

Die Verarbeitung erfolgt, soweit sie für die Bereitstellung der vereinbarten Funktionen und die Durchführung des Nutzungsverhältnisses erforderlich ist, auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO. Soweit wir Daten weiterer, von einer Organisation hinzugefügter Empfänger verarbeiten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren, nachvollziehbaren und funktionsfähigen Bereitstellung von GraphPilot.

11. Vertrags- und Rechnungsdaten

Im Zusammenhang mit dem Abschluss und der Durchführung von Verträgen über GraphPilot verarbeiten wir die Daten unserer Vertragspartner und ihrer Ansprechpartner. Dies umfasst insbesondere Name, Firma, Geschäftsanschrift, geschäftliche Kontakt- und Kommunikationsdaten, Umsatzsteuer-Identifikationsnummer, Vertragsdaten, gebuchte Tarife, Laufzeiten, Kündigungen, Nutzungsmengen sowie Rechnungs- und Zahlungsdaten. Zum Nachweis des Vertragsschlusses und der Einbeziehung der Nutzungsbedingungen und des AVV verarbeiten wir außerdem die Annahmenachweise nach Maßgabe von Ziffer 16 dieser Datenschutzerklärung. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der Abwehr und Durchsetzung von Rechtsansprüchen.

Die Verarbeitung erfolgt zur Anbahnung, zum Abschluss und zur Durchführung des Vertragsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO. Soweit wir Vertrags- und Rechnungsdaten zur Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 S. 1 lit. c) DSGVO.

Stripe

Für die Abwicklung von Zahlungen, Abonnements, Rechnungen und Steuern nutzen wir die Dienste der Stripe Payments Europe, Limited, sowie der Stripe Technology Europe, Limited, jeweils 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland (nachfolgend gemeinsam „Stripe“). Stripe verarbeitet insbesondere Name, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, Zahlungsdaten, Rechnungsbetrag, Zahlungsstatus, Nutzungsmengen und technische Transaktionsdaten. Vollständige Karten- und Kontodaten werden ausschließlich durch Stripe verarbeitet; wir erhalten lediglich maskierte Angaben zum Zahlungsmittel.

Stripe verarbeitet Zahlungsdaten im Rahmen der Zahlungsabwicklung in eigener datenschutzrechtlicher Verantwortlichkeit. Soweit Stripe personenbezogene Daten in den USA verarbeitet, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Ergänzend gelten die EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO.

Darüber hinaus können wir Vertrags-, Rechnungs- und Zahlungsdaten an Kreditinstitute, Buchhaltungsdienstleister und Steuerberater übermitteln, soweit dies zur Zahlungsabwicklung, Buchführung, Steuerberatung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO sowie Art. 6 Abs. 1 S. 1 lit. c) DSGVO.

12. Statusseite und Störungsbenachrichtigungen

Für die Bereitstellung unserer öffentlichen Statusseite unter graphpilot.instatus.com sowie für die Überwachung der Erreichbarkeit unserer Dienste nutzen wir die Dienste der Instatus, Inc., Beaverton, Oregon, USA (nachfolgend „Instatus“). Beim Aufruf der Statusseite verarbeitet Instatus insbesondere Ihre IP-Adresse und technische Informationen zu Ihrem Browser. Wenn Sie sich für Benachrichtigungen über Störungen oder Wartungsarbeiten anmelden, verarbeitet Instatus außerdem Ihre E-Mail-Adresse.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der transparenten Information über den Betriebszustand von GraphPilot sowie in der Überwachung der Erreichbarkeit unserer Dienste. Soweit Sie Störungsbenachrichtigungen ausdrücklich abonnieren, erfolgt die Verarbeitung Ihrer E-Mail-Adresse zusätzlich auf Grundlage von Art. 6 Abs. 1 S. 1 lit. a) DSGVO. Soweit personenbezogene Daten an Instatus in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c) DSGVO.

13. Kartenansicht im Kundenportal

Im Kundenportal können Sie die Kartenansicht zu einer Anfrage ausdrücklich durch Klick auf „Karte laden“ aktivieren. Hierfür nutzen wir die Dienste der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, Vereinigtes Königreich (nachfolgend „OpenStreetMap“). Bei Aktivierung der Kartenansicht baut Ihr Browser eine direkte Verbindung zu den Servern von OpenStreetMap auf. Dabei werden insbesondere Ihre IP-Adresse sowie die für die Kartenansicht erforderlichen Koordinaten verarbeitet.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO, soweit die Kartenansicht im Rahmen des Nutzungsverhältnisses auf Ihren ausdrücklichen Wunsch bereitgestellt wird. OpenStreetMap verarbeitet die Daten in eigener Verantwortung. Die Datenverarbeitung kann im Vereinigten Königreich und aufgrund der weltweiten Auslieferung der Kartenkacheln auch in weiteren Staaten erfolgen. Soweit die für die Kartenansicht verwendeten Koordinaten Endnutzer eines Kunden betreffen, bleibt der jeweilige Kunde für die Rechtmäßigkeit der Verarbeitung dieser Daten datenschutzrechtlich verantwortlich.

14. Kommandozeilenanwendung

Für den Download, die Installation und die Aktualisierungsprüfung unserer Kommandozeilenanwendung „gpilot“ nutzen wir die Dienste der GitHub, Inc., San Francisco, USA (nachfolgend „GitHub“). Beim Download der Kommandozeilenanwendung sowie bei der Prüfung auf verfügbare Aktualisierungen kann GitHub insbesondere die IP-Adresse des Nutzers verarbeiten.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in der sicheren Bereitstellung, Aktualisierung und technischen Weiterentwicklung der Kommandozeilenanwendung. Soweit personenbezogene Daten an GitHub in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. GitHub, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

15. Terminbuchung

Wenn Sie über unsere Website oder Dokumentation einen Termin buchen, nutzen wir die Dienste der Cal.com, Inc., San Francisco, USA (nachfolgend „Cal.com“). Dabei verarbeitet Cal.com insbesondere Ihren Namen, Ihre E-Mail-Adresse, den gewählten Termin und gegebenenfalls eine von Ihnen übermittelte Nachricht.

Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen oder zur Durchführung eines Vertragsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO. Soweit die Terminbuchung nicht mit einem bestehenden oder beabsichtigten Vertragsverhältnis zusammenhängt, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unser berechtigtes Interesse besteht in einer effizienten Koordination von Terminen mit Interessenten und Kunden.

Soweit personenbezogene Daten an Cal.com in die USA übermittelt werden oder von dort auf sie zugegriffen wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Cal.com, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

16. Dauer der Speicherung

Wir löschen Ihre Daten wie folgt:

Datenkategorie	Speicherdauer	Zweck
Nutzerkonto- und Registrierungsdaten, einschließlich Name, geschäftliche E-Mail-Adresse, Organisationszugehörigkeit, Rollen und Berechtigungen	Bis zur Löschung des Nutzerkontos	Registrierung, Anmeldung, Rechteverwaltung und Bereitstellung von GraphPilot
Anmeldungen und Sitzungen	Bis zur Abmeldung, serverseitigen Entwertung oder zum automatischen Ablauf der jeweiligen Sitzung	Anmeldung und sichere Nutzung von GraphPilot
Organisationen, Services und Konfigurationen, einschließlich Schemata, Bereitstellungen, Domains und Anfragedokumenten	Bis zur Löschung des jeweiligen Services, der Organisation oder des Nutzerkontos; bei Beendigung des gesamten Vertragsverhältnisses noch bis zu 30 Tage zur Datenherausgabe	Bereitstellung und Verwaltung der Plattform und der Services
Telemetrie der Plattform-API, insbesondere Aufrufe aus Kundenportal und Kommandozeilenanwendung	Höchstens 90 Tage	Betrieb, Fehlersuche und Sicherheit der Plattform-API
Cache der Plattform-API	Je nach Datenkategorie wenige Minuten bis etwa 37 Tage; Invalidierung bei Änderungen	Beschleunigte Bereitstellung von Daten im Kundenportal
Betriebsprotokolle der Plattform	30 Tage	Fehlersuche, IT-Sicherheit und Erkennung von Störungen
Nachweise der Annahme der Nutzungsbedingungen und des AVV	Gespeichert werden die jeweilige Fassung der Nutzungsbedingungen und des AVV, der Vorgang der Annahme, der Zeitpunkt, der Zugangsweg (Kundenportal, Kommandozeilenanwendung oder Plattform-API), die Kennung des Nutzers und der Organisation, das Abrechnungskonto, die Bestätigung der Unternehmereigenschaft beim Anlegen einer Organisation und bei einer Bestellung mit der Fassung des bestätigten Textes sowie die beim Identitätsanbieter hinterlegte E-Mail-Adresse und, soweit vorhanden, der Name des Nutzers. Die Einträge bleiben nach Löschung eines Nutzerkontos oder einer Organisation erhalten; bei Löschung des Abrechnungskontos wird die Verknüpfung mit diesem entfernt. Löschung zum Ende des dritten Kalenderjahres nach dem Jahr, in dem das Abrechnungskonto gelöscht wurde.	Nachweis des Vertragsschlusses und der Einbeziehung der Nutzungsbedingungen sowie des AVV; Art. 6 Abs. 1 S. 1 lit. f) DSGVO; Art. 17 Abs. 3 lit. e) DSGVO
Hinweis bei Löschung des Abrechnungskontos	Die Annahmenachweise werden bis zum Ende des dritten Kalenderjahres nach dem Jahr der Löschung des Abrechnungskontos aufbewahrt.	Nicht gelöscht werden die Nachweise Ihrer Annahme der Nutzungsbedingungen (E-Mail-Adresse, Name, Zeitpunkt, Fassung). GraphPilot bewahrt sie zum Nachweis des Vertragsschlusses auf und löscht sie zum Ende des dritten Kalenderjahres nach dem Jahr, in dem Ihr Abrechnungskonto gelöscht wurde.
Aktivitätsprotokoll im Konto	Für Kunden sichtbare Einträge: Glider 1 Tag, Jet 30 Tage, Airliner 180 Tage, Jumbo 365 Tage. Einträge zu Handlungen des Supports von GraphPilot sowie nicht für den Kunden sichtbare Einträge: 365 Tage. Die Löschung erfolgt täglich. Bei Löschung der Organisation werden die Einträge sofort gelöscht. Bei Löschung eines Nutzers bleiben die Einträge bis zum Ablauf der jeweiligen Frist erhalten; Name und E-Mail-Adresse werden durch „Deleted user“ ersetzt.	Nachweis von Aktionen, Rechteverwaltung, Sicherheit, Support, Missbrauchs- und Betrugsabwehr
API-Schlüssel	Bis zur Löschung des API-Schlüssels oder der Organisation	Authentifizierung, Rechteverwaltung, Sicherheit und Nachvollziehbarkeit von Zugriffen auf die Plattform-API
Protokoll der Supportzugriffe	365 Tage; bei Löschung der Organisation oder des Abrechnungskontos sofort	Nachweis und Kontrolle von Supportzugriffen im Namen eines Nutzers
Interne Supportnotizen zu Abrechnungskonten	Bis zur Löschung des jeweiligen Abrechnungskontos	Bearbeitung von Support-, Abrechnungs- und Kundenanliegen
Sperrliste gelöschter Nutzer und Organisationen	Hashwerte gelöschter Nutzer- und Organisationskennungen: 365 Tage. Hashwert der E-Mail-Adresse: 90 Tage nach der letzten Löschung. Löschanträge: bis zum Abschluss der Löschung.	Sicherstellung, dass verspätet eintreffende Ereignisse einen gelöschten Nutzer oder eine gelöschte Organisation nicht erneut zuordnen oder wiederherstellen; technische Durchführung der Löschung
Hostnamen-Label einer gelöschten Organisation mit der Kennung der Organisation	Unbefristet	Sicherstellung, dass das Label nicht erneut vergeben wird und Hostnamen nicht übernommen werden können (Art. 6 Abs. 1 S. 1 lit. f) DSGVO)
Daten aus Kontaktanfragen	Bis zur abschließenden Bearbeitung der Anfrage; soweit die Anfrage Geschäftsbriefe betrifft, sechs Jahre ab Ende des Kalenderjahres, in dem die Korrespondenz entstanden ist	Bearbeitung von Anfragen und Kommunikation
Supportanfragen und geschäftliche Korrespondenz	Sechs Jahre ab Ende des Kalenderjahres, in dem die Korrespondenz entstanden ist, soweit gesetzliche Aufbewahrungspflichten bestehen	Support, Kommunikation und Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten
Vertriebskontakte, Angebote und Gesprächsnotizen	Bis zum Wegfall des Verarbeitungszwecks; Angebote und Geschäftsbriefe im Übrigen sechs Jahre ab Ende des Kalenderjahres, in dem sie entstanden sind	Vertriebs- und Kundenbetreuung
System-E-Mails und technische Versand- und Zustelldaten	Nach den Löschfristen des eingesetzten Dienstleisters Resend, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen	Versand, Nachweis und technische Nachvollziehbarkeit von E-Mails
Vertragsdaten, Vertragsverlauf und geschäftliche Korrespondenz	Sechs Jahre ab Ende des Kalenderjahres, in dem der Vertrag endet oder die Korrespondenz entsteht, soweit keine längere Aufbewahrung im Einzelfall erforderlich ist	Vertragsabwicklung, Dokumentation und Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten
Rechnungen, Rechnungsdaten und Buchungsbelege	Acht Jahre ab Ende des Kalenderjahres, in dem die Rechnung oder der Buchungsbeleg entsteht	Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten
Nutzungsmengen und Nutzungszähler	Über die Löschung eines Kontos oder einer Organisation hinaus für acht Jahre ab Ende des Kalenderjahres, in dem die Daten entstanden sind	Abrechnung und Nachweis der Abrechnung
Maskierte Angaben zu Zahlungsmitteln, Zahlungsstatus und Rechnungsdaten bei Stripe	Nach den gesetzlichen Aufbewahrungsfristen und den Löschfristen von Stripe	Abwicklung von Zahlungen, Abonnements, Rechnungen und Steuern
Telemetriedaten aus den Services der Kunden, insbesondere Anfragedatensätze, Protokollzeilen und Cache-Invalidierungen	Abhängig vom Tarif grundsätzlich ein Tag, sieben Tage, 30 Tage oder höchstens 90 Tage	Bereitstellung von Insights, Fehlersuche, Support und Nachweis bei Beanstandungen
Verlauf eines Services nach Zurücksetzung durch einen berechtigten Administrator	Zugehörige Anfragedaten, Cache-Invalidierungen und abgeschlossene Alarmereignisse werden vorzeitig gelöscht. Abrechnungszähler, Roh-Telemetrie im Telemetrie-Datenspeicher und Sicherungskopien bleiben bis zum Ablauf der jeweils geltenden Fristen gespeichert.	Vorzeitige Löschung des Service-Verlaufs auf Veranlassung des Kunden
Roh-Telemetrie im Telemetrie-Datenspeicher	Höchstens 90 Tage; auch nach Löschung eines Services, einer Organisation oder eines Kontos	Technische Verarbeitung und Wiederherstellung der Analysedatenbank
Roh-Telemetrie in der Analysedatenbank	Höchstens drei Tage; im Tarif Glider ein Tag	Technische Verarbeitung der Telemetriedaten
Sicherungen der Analysedatenbank bei ClickHouse Cloud	Sicherungen werden alle 24 Stunden erstellt. Eine Sicherung wird 30 Tage nach der jüngsten Sicherung ihrer Sicherungskette verworfen; gelöschte Daten können daher noch für einige Tage länger in Sicherungen enthalten sein.	Wiederherstellung der Analysedatenbank nach technischen Störungen oder Datenverlust
Fehlergruppen und Filtervorschläge aus Telemetriedaten	Abhängig vom gebuchten Tarif: im Tarif Glider ein Tag, im Tarif Jet sieben Tage, im Tarif Airliner 30 Tage und im Tarif Jumbo individuell, höchstens 90 Tage	Übersicht und Filterung im Bereich Insights
Betriebskennzahlen	Minuten- und Stundenwerte bis zu acht Tage; tägliche Zusammenfassungen bis zu 13 Monate	Überwachung, Alarmierung und Statusanzeige
Zwischengespeicherte Antworten des Kunden-Backends	Bis zum Ablauf der vom Kunden festgelegten Gültigkeitsdauer, bis zur Invalidierung oder bis zur Löschung des Services; eine vorzeitige Verdrängung ist möglich	Beschleunigung von API-Anfragen und Entlastung des Backends
Edge-Daten eines Services, insbesondere Anfragedokumente, öffentliche Schlüssel und Signaturschlüssel	Solange der Service besteht oder bis zum Widerruf beziehungsweise zur Bereinigung	Betrieb des GraphPilot-Proxys
Client-IP-Adressen bei Fastly	In der Regel bis zu zwei Werktage; bei Übertragungsfehlern bis zu sieben Tage und bei Sicherheitsvorfällen gegebenenfalls länger	Betrieb und Sicherheit des Edge-Netzes
Alarmkanäle, Alarmregeln und Alarmereignisse	Bis zur Löschung der jeweiligen Organisation oder Konfiguration; Empfängeradressen nach Löschung des Nutzerkontos oder der Organisation	Versand und Verwaltung von Alarmmeldungen
Bestätigung weiterer Alarmempfänger	Stand und Zeitpunkt der Bestätigung bis zur Löschung des Alarmkanals; Hashwert des Bestätigungslinks bis zu seinem Ablauf nach sieben Tagen; Hashwert des Links zum Entfernen bis zu seinem Ablauf nach 180 Tagen; jeweils spätestens mit Löschung des Alarmkanals	Nachweis der Bestätigung durch den Empfänger, Abmeldung ohne Anmeldung, Schutz vor Missbrauch
Einwilligungsnachweise	Bis zum Widerruf der Einwilligung und darüber hinaus, solange dies zum Nachweis der wirksamen Einwilligung erforderlich ist	Nachweis und Verwaltung von Einwilligungen
Daten von Besuchern der Statusseite und Abonnenten von Störungsbenachrichtigungen	Nach den Löschfristen des eingesetzten Dienstleisters Instatus; E-Mail-Abonnements bis zur Abmeldung	Bereitstellung der Statusseite und Versand von Störungsbenachrichtigungen
Daten aus der Terminbuchung	Nach den Löschfristen des eingesetzten Dienstleisters Cal.com, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen	Koordination von Terminen mit Interessenten und Kunden
Datensicherungen der Plattformdaten	35 Tage	Wiederherstellung nach Datenverlust und technischen Störungen
Gelöschte Daten in Datensicherungen	Bis zu 35 Tage nach der Löschung im Produktivsystem	Wiederherstellung nach Datenverlust und technischen Störungen

Wir überprüfen zudem mindestens einmal jährlich, ob die Speicherung personenbezogener Daten weiterhin erforderlich ist, und löschen Daten, sobald der jeweilige Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen an der weiteren Speicherung entgegenstehen.

Ein berechtigter Administrator kann den Verlauf eines Services im Kundenportal vorzeitig zurücksetzen. Dabei werden die zugehörigen Anfragedaten, Cache-Invalidierungen und abgeschlossenen Alarmereignisse gelöscht. Abrechnungszähler, Roh-Telemetrie im Telemetrie-Datenspeicher und Sicherungskopien bleiben bis zum Ablauf der jeweils geltenden Fristen gespeichert.

17. Rechte der betroffenen Personen

Sie sind gesetzlich nicht verpflichtet, Ihre personenbezogenen Daten bereitzustellen. Die Bereitstellung kann jedoch für einen Vertragsabschluss oder für Funktionen der Plattform erforderlich sein. Bei einer Nichtbereitstellung kann also gegebenenfalls ein Vertrag oder eine Funktion der Plattform nicht angeboten werden.

Es besteht keine automatisierte Entscheidungsfindung, ein Profiling findet nicht statt.

Die Rechte von betroffenen Personen ergeben sich insbesondere aus Artikel 15 bis 23 und Artikel 77 DSGVO sowie aus §§ 32 bis 37 Bundesdatenschutzgesetz (BDSG)-neu.

Sie haben uns gegenüber im Hinblick auf Ihre personenbezogenen Daten das Recht auf

• Auskunft, Art.15 DSGVO
• Berichtigung, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art.18 DSGVO
• Übertragbarkeit, Art. 20 DSGVO.

Wenn Sie eine Einwilligung zur Verarbeitung von personenbezogenen Daten erteilt haben, haben Sie das Recht des

• Widerrufs, Art. 7 DSGVO

mit Wirkung für die Zukunft.

Sie haben ferner das Recht, gegen die Verarbeitung von personenbezogenen Daten

Sind Sie der Ansicht, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie stets das

• Recht auf Beschwerde

bei der zuständigen Aufsichtsbehörde, vgl. Art. 77 DSGVO. Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen dieses Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die Kontaktdaten der Datenschutzbeauftragten in den Bundesländern, der Aufsichtsbehörden für den nicht-öffentlichen Bereich, des Rundfunks, der Kirchen, in Europa und im übrigen Ausland sowie des Virtuellen Datenschutzbüros finden Sie dort: https://www.bfdi.bund.de/DE/Infothek/Anschriften_Links/anschriften_links-node.html

Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.