Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: 4. November 2026 · Revision 4.3

zwischen

dem im jeweiligen Hauptvertrag, Bestellprozess oder rankyn-Account bezeichneten Kunden
– nachfolgend „Kunde“ oder „Verantwortlicher“ –

und

Levin Föhrding
handelnd unter der Geschäftsbezeichnung rankyn
Friedenstr. 58
47053 Duisburg
Deutschland
E-Mail: info@rankyn.ai
USt-IdNr.: DE462810449

– nachfolgend „rankyn“ oder „Auftragsverarbeiter“ –

gemeinsam die „Parteien“.

1. Gegenstand und Anwendungsbereich

1. Diese Vereinbarung ergänzt den zwischen dem Kunden und rankyn bestehenden Vertrag über die Nutzung der rankyn-Dienste („Hauptvertrag“).

2. Diese Vereinbarung findet Anwendung, soweit rankyn im Rahmen der vereinbarten Leistungen personenbezogene Daten im Sinne der DSGVO im Auftrag des Kunden verarbeitet („kundenbezogene personenbezogene Daten“).

3. Soweit rankyn personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortung verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, Authentifizierung, IT-Sicherheit, Missbrauchsprävention, Kommunikation mit Nutzern oder eigenen Produktanalyse, findet diese Vereinbarung keine Anwendung. Hierfür gelten die Datenschutzhinweise von rankyn (https://rankyn.ai/legal/datenschutz).

4. rankyn verarbeitet bestimmungsgemäß überwiegend Produkt-, Marken-, Markt-, Wettbewerbs-, Prompt- und Messdaten, die keine personenbezogenen Daten darstellen. Die datenschutzrechtliche Rollenverteilung richtet sich stets nach der tatsächlichen Verarbeitung.

2. Gegenstand, Zweck und Dauer der Verarbeitung

1. Gegenstand ist die Bereitstellung der cloudbasierten rankyn-Plattform zur Analyse und Messung der Darstellung, Empfehlung und Sichtbarkeit von Produkten und Marken in KI-Systemen sowie damit zusammenhängender Funktionen.

2. Die Verarbeitung kann insbesondere umfassen: Erfassung und Speicherung bereitgestellter Daten, Import und Synchronisation von Produktdaten, Strukturierung und Analyse von Produkt-, Marken- und Wettbewerbsdaten, Speicherung und Ausführung von Prompts, Übermittlung von Prompts an externe KI-Anbieter bzw. an technische Messdienste, die Consumer-Oberflächen von KI-Anbietern abfragen, Speicherung und Analyse der hierüber erhaltenen Antworten, Erstellung von Messreihen, Findings, Empfehlungen und Reports, Durchführung von Retests und zeitlichen Vergleichen, Export und Löschung.

3. Die Verarbeitung erfolgt grundsätzlich für die Laufzeit des Hauptvertrags sowie für die vorgesehenen Rückgabe-, Export- und Löschfristen.

4. Einzelheiten ergeben sich aus Anlage 1 – Beschreibung der Verarbeitung.

3. Weisungsgebundene Verarbeitung

1. rankyn verarbeitet kundenbezogene personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Ist rankyn durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer hiervon abweichenden Verarbeitung oder Übermittlung verpflichtet, informiert rankyn den Kunden vor dieser Verarbeitung über die rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

2. Als dokumentierte Weisungen gelten insbesondere diese Vereinbarung, der Hauptvertrag, vom Kunden vorgenommene Einstellungen innerhalb der rankyn-Plattform, die bestimmungsgemäße Nutzung der Funktionen und Integrationen sowie zusätzliche schriftliche oder elektronisch dokumentierte Weisungen.

3. Hält rankyn eine Weisung für datenschutzrechtlich unzulässig, informiert rankyn den Kunden unverzüglich und kann die betroffene Verarbeitung bis zur Klärung aussetzen.

4. Zusätzliche Weisungen außerhalb des vereinbarten Leistungsumfangs, die erheblichen zusätzlichen Aufwand verursachen, können nach vorheriger Abstimmung gesondert vergütet werden.

4. Unzulässige Daten und Datenminimierung

1. rankyn ist nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO bestimmt.

2. Der Kunde darf insbesondere keine Gesundheitsdaten, genetischen oder biometrischen Daten, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit oder Daten zum Sexualleben bzw. zur sexuellen Orientierung in rankyn eingeben.

3. Ebenso dürfen keine personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO verarbeitet werden.

4. Der Kunde verpflichtet sich, keine personenbezogenen Daten von Endkunden oder sonstigen Dritten in Prompts, Intent-Bezeichnungen, Interventionen, Fix-Anfragen oder vergleichbare Freitextfelder einzutragen, soweit dies nicht ausdrücklich zwischen den Parteien vereinbart wurde.

5. Zulässig bleibt die bestimmungsgemäße Verwendung von Personennamen, soweit diese Bestandteil einer Firma, Marke, Produktbezeichnung, Domain oder sonstigen geschäftlichen Kennzeichnung sind.

6. Die Parteien sind sich bewusst, dass Antworten externer KI-Systeme oder öffentlich zugängliche Webinformationen im Einzelfall beiläufig personenbezogene Angaben öffentlich auftretender Personen enthalten können, etwa Namen von Gründern, Geschäftsführern oder Markenbotschaftern. Eine gezielte Verarbeitung solcher Personen ist nicht Gegenstand des Service; rankyn beschränkt eine solche beiläufige Verarbeitung auf das für die jeweilige Messung erforderliche Maß.

7. rankyn kann offensichtlich entgegen diesen Bestimmungen eingestellte Daten sperren, entfernen oder den Kunden zur Entfernung auffordern.

5. Shopify-Daten

1. Die Shopify-Integration ist bestimmungsgemäß auf Produkt- und Bestandsdaten beschränkt.

2. rankyn verwendet in Version 1 insbesondere read_products und read_inventory.

3. Die Integration ist nicht zum Abruf von Kundendaten, Bestelldaten, Zahlungsdaten oder sonstigen personenbezogenen Daten von Shop-Endkunden bestimmt.

4. Soweit Shopify Daten lediglich als vom Kunden autorisierte externe Datenquelle bereitstellt, wird Shopify hierdurch nicht Unterauftragsverarbeiter von rankyn.

6. Vertraulichkeit und Zugriffsberechtigungen

1. rankyn stellt sicher, dass Personen mit Zugang zu kundenbezogenen personenbezogenen Daten zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

2. Zugriffe werden nach Need-to-know- und Least-Privilege-Prinzip beschränkt.

3. Zum Zeitpunkt des Abschlusses liegt der administrative Produktionszugriff ausschließlich beim Inhaber von rankyn.

4. Technische Entwicklungs- und Administrationswerkzeuge dürfen nur unter kontrollierten und authentifizierten Zugängen verwendet werden.

7. Technische und organisatorische Maßnahmen

1. rankyn trifft unter Berücksichtigung von Art, Umfang, Umständen und Zweck der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

2. Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen ergeben sich aus Anlage 2 – Technische und organisatorische Maßnahmen.

3. rankyn darf diese Maßnahmen im Rahmen technischer Weiterentwicklung ändern, sofern das vereinbarte Schutzniveau insgesamt nicht herabgesetzt wird.

8. Unterauftragsverarbeiter

1. Der Kunde erteilt rankyn eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern im Sinne von Art. 28 Abs. 2 DSGVO.

2. Die jeweils autorisierten Unterauftragsverarbeiter sind in Anlage 3 sowie auf der veröffentlichten Subprozessorseite (https://rankyn.ai/legal/subprocessors) aufgeführt.

3. rankyn informiert den Kunden mindestens 14 Kalendertage vor dem vorgesehenen Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters, sofern dieser kundenbezogene personenbezogene Daten verarbeiten soll. Räumt ein Unterauftragsverarbeiter rankyn eine kürzere Frist ein, informiert rankyn den Kunden unverzüglich nach eigener Kenntnis; das Widerspruchsrecht nach § 8.5 bleibt unberührt.

4. Die Information kann insbesondere per E-Mail an die im rankyn-Account hinterlegte administrative Kontaktadresse erfolgen.

5. Der Kunde kann innerhalb der 14-Tage-Frist widersprechen. Der Widerspruch soll die Gründe so konkret benennen, dass die Parteien die datenschutzrechtlichen Auswirkungen und mögliche Alternativen sachgerecht prüfen können.

6. Die Parteien bemühen sich in diesem Fall um eine zumutbare technische oder organisatorische Alternative.

7. Ist keine wirtschaftlich und technisch zumutbare Alternative verfügbar, kann rankyn auf den Einsatz des betreffenden Unterauftragsverarbeiters verzichten oder die betroffene Leistung beenden; alternativ kann der Kunde den hiervon betroffenen Teil des Dienstes beenden.

8. rankyn verpflichtet jeden Unterauftragsverarbeiter durch Vertrag zu Datenschutzpflichten, die hinsichtlich der geschützten personenbezogenen Daten im Wesentlichen den Anforderungen dieser Vereinbarung entsprechen.

9. rankyn bleibt gegenüber dem Kunden für die Erfüllung der datenschutzrechtlichen Pflichten seiner Unterauftragsverarbeiter nach Maßgabe des Art. 28 DSGVO verantwortlich.

9. Internationale Datenübermittlungen

1. Soweit kundenbezogene personenbezogene Daten außerhalb des EWR verarbeitet werden, stellt rankyn sicher, dass ein nach Kapitel V DSGVO zulässiger Übermittlungsmechanismus besteht.

2. Hierzu können insbesondere ein Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework, Standardvertragsklauseln der Europäischen Kommission oder andere gesetzlich zugelassene Übermittlungsinstrumente gehören.

3. Soweit erforderlich, berücksichtigt rankyn zusätzliche technische, vertragliche und organisatorische Maßnahmen.

4. Erhält rankyn eine rechtlich verbindliche Anforderung einer Behörde oder eines Gerichts auf Herausgabe kundenbezogener personenbezogener Daten, prüft rankyn die Rechtmäßigkeit und Reichweite der Anforderung, informiert den Kunden unverzüglich, soweit dies rechtlich zulässig ist, und legt nur den rechtlich erforderlichen Umfang offen.

5. Anforderungen aus Drittstaaten werden insbesondere unter Berücksichtigung von Art. 48 DSGVO und der anwendbaren Regeln für internationale Datenübermittlungen behandelt.

6. rankyn dokumentiert relevante Herausgabeanforderungen und die hierauf getroffenen Maßnahmen, soweit dies rechtlich zulässig ist.

10. Unterstützung bei Betroffenenrechten

1. rankyn unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und soweit technisch möglich bei der Erfüllung von Anträgen betroffener Personen.

2. Hierzu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit im konkreten Fall anwendbar.

3. Geht ein Betroffenenersuchen unmittelbar bei rankyn ein und betrifft es eine Verarbeitung, für die der Kunde Verantwortlicher ist, leitet rankyn dieses grundsätzlich an den Kunden weiter und beantwortet es nicht eigenständig, sofern keine gesetzliche Verpflichtung besteht.

11. Datenschutzverletzungen und Sicherheitsvorfälle

1. rankyn informiert den Kunden unverzüglich, nachdem rankyn von einer Verletzung des Schutzes kundenbezogener personenbezogener Daten Kenntnis erlangt hat.

2. rankyn verfolgt intern das Ziel, eine erste Mitteilung grundsätzlich innerhalb von 24 Stunden nach Kenntnis zu übermitteln, soweit ausreichende Informationen verfügbar sind.

3. Die erste Mitteilung enthält, soweit bekannt, Art des Vorfalls, Zeitpunkt bzw. Zeitraum, betroffene Systeme, Datenarten, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, bereits eingeleitete Maßnahmen, voraussichtliche Folgen, geplante weitere Maßnahmen und Ansprechpartner.

4. Noch nicht verfügbare Informationen können ohne unangemessene Verzögerung nachgereicht werden.

5. rankyn unterstützt den Kunden im erforderlichen und angemessenen Umfang bei Pflichten nach Art. 33 und 34 DSGVO.

6. Der Kunde hält eine für Datenschutz- und Sicherheitsmeldungen geeignete Kontaktadresse im rankyn-Account aktuell.

12. Unterstützung bei Datenschutz-Folgenabschätzungen

rankyn stellt dem Kunden im Rahmen des Zumutbaren vorhandene Informationen zur Verfügung, die der Kunde zur Erfüllung seiner Pflichten gemäß Art. 32 bis 36 DSGVO benötigt.

13. Löschung, Rückgabe und Vertragsende

1. Nach Beendigung des Hauptvertrags werden die dem Kunden zugeordneten operativen Daten grundsätzlich für 30 Tage zur Rückgabe bzw. zum Export bereitgehalten.

2. Der Kunde kann innerhalb dieser Frist wahlweise die Rückgabe der Daten in den vorgesehenen Exportformaten oder eine vorzeitige Löschung verlangen.

3. Nach Ablauf der Frist löscht rankyn die operativen Kundendaten einschließlich vorhandener operativer Kopien aus aktiven Produktivsystemen, soweit keine gesetzliche Aufbewahrungspflicht oder andere zulässige Rechtsgrundlage entgegensteht.

4. Dies umfasst insbesondere Produktdaten, Prompts, Intent- und Wettbewerberdaten, Messdaten, gespeicherte KI-Antworten, Provider-Rohobjekte, Findings, Interventionen, Fix-Anfragen und Reports.

5. Daten in rotierenden Sicherungskopien können nach Löschung aus dem Produktivsystem noch für die technisch vorgesehene Backup-Retention enthalten sein. Sie werden nicht für reguläre operative Zwecke verwendet und laufen mit dem Backup-Zyklus aus.

6. Bei Wiederherstellung eines älteren Datenbank-Backups stellt rankyn sicher, dass zwischenzeitlich wirksam gelöschte Daten erneut gelöscht werden.

7. Supabase-Datenbankbackups erfassen keine über die Storage API gespeicherten Objekte. Die vollständigen Rohdaten der Messungen (Provider-Rohobjekte) liegen ausschließlich in Supabase Storage, ohne gesondertes Backup, und werden 365 Tage nach der Messung gelöscht. Antworttexte und Auswertungen liegen in der Datenbank und sind von deren Sicherungen erfasst.

8. Daten, die rankyn aufgrund gesetzlicher Aufbewahrungspflichten in eigener Verantwortlichkeit speichern muss, bleiben hiervon unberührt.

14. Anonymisierte Statistiken

1. Diese Vereinbarung hindert rankyn nicht daran, Daten so zu anonymisieren, dass weder natürliche Personen noch der Kunde mit vertretbaren Mitteln identifiziert oder zurückgeführt werden können.

2. rankyn kann wirksam anonymisierte und aggregierte Messstatistiken, beispielsweise für Kategorie-Benchmarks oder allgemeine Modellvergleiche, über das Vertragsende hinaus verwenden, sofern keine personenbezogenen Daten und keine den Kunden identifizierenden vertraulichen Geschäftsinformationen enthalten sind.

15. Nachweise und Audits

1. rankyn stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen.

2. Vor-Ort-Prüfungen sind grundsätzlich nur erforderlich, wenn eine Prüfung anhand vorhandener Dokumentation, Sicherheitsinformationen und schriftlicher Auskünfte nicht ausreicht.

3. Audits sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten, ohne unangemessene Beeinträchtigung des Geschäftsbetriebs, unter Wahrung der Vertraulichkeit anderer Kunden und durch den Kunden oder einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer durchzuführen.

4. Ohne besonderen Anlass soll höchstens ein Audit pro Kalenderjahr stattfinden.

5. Diese Beschränkung gilt nicht bei einem relevanten Datenschutzvorfall, einer begründeten Annahme wesentlicher Nichtkonformität oder einer behördlichen Anordnung.

6. Zusätzlicher erheblicher Aufwand kann dem Kunden zu angemessenen Kosten in Rechnung gestellt werden, soweit das Audit keine wesentliche Verletzung dieser Vereinbarung durch rankyn ergibt.

16. Verantwortlichkeit des Kunden

Der Kunde ist insbesondere dafür verantwortlich, dass für die von ihm veranlasste Verarbeitung eine Rechtsgrundlage besteht, seine Weisungen datenschutzrechtlich zulässig sind, nur rechtmäßig verarbeitbare Daten eingebracht werden und innerhalb seiner Organisation angemessene Berechtigungen vergeben werden.

17. Vertragsübertragung und Wechsel des Auftragsverarbeiters

1. Der Kunde stimmt bereits jetzt zu, dass diese Vereinbarung gemeinsam mit dem Hauptvertrag auf eine nach Maßgabe des Hauptvertrags zulässige Nachfolgegesellschaft von rankyn übertragen werden kann.

2. Voraussetzung ist, dass die Nachfolgegesellschaft sämtliche Pflichten aus dieser Vereinbarung übernimmt, ein mindestens gleichwertiges Datenschutzniveau gewährleistet und die für die Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen aufrechterhält.

3. rankyn informiert den Kunden mindestens 30 Kalendertage vor dem vorgesehenen Wechsel über Identität, Rechtsform, Anschrift, soweit vorhanden Registerdaten sowie das vorgesehene Datum des Übergangs.

4. Die nach dem Hauptvertrag bestehenden Rechte des Kunden im Zusammenhang mit der Vertragsübertragung, insbesondere ein dort vorgesehenes Sonderkündigungsrecht, bleiben unberührt.

5. Mit Wirksamwerden der Vertragsübertragung tritt die Nachfolgegesellschaft für die weitere Auftragsverarbeitung an die Stelle von Levin Föhrding und übernimmt die Pflichten des Auftragsverarbeiters aus dieser Vereinbarung.

6. Eine Verarbeitung oder Aufbewahrung durch den bisherigen Auftragsverarbeiter erfolgt anschließend nur noch, soweit dies zur ordnungsgemäßen Übergabe, Löschung, Abwicklung bestehender Pflichten oder aufgrund gesetzlicher Verpflichtungen erforderlich ist.

7. Verpflichtungen und Verantwortlichkeiten im Zusammenhang mit Verarbeitungsvorgängen oder Datenschutzverletzungen vor Wirksamwerden des Übergangs bleiben unberührt.

18. Laufzeit und Rangfolge

1. Diese Vereinbarung tritt mit Abschluss des Hauptvertrags bzw. ihrer elektronischen Einbeziehung in Kraft.

2. Sie endet grundsätzlich mit vollständiger Beendigung der Verarbeitung kundenbezogener personenbezogener Daten durch rankyn.

3. Datenschutz- und Vertraulichkeitspflichten, die ihrem Wesen nach über das Vertragsende hinaus gelten müssen, bleiben bestehen.

4. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieser Vereinbarung vor.

5. Zwingende Bestimmungen der DSGVO sowie gegebenenfalls anwendbarer Standardvertragsklauseln gehen dieser Vereinbarung vor.

Anlage 1 – Beschreibung der Verarbeitung

Zweck

Bereitstellung der rankyn SaaS-Plattform zur Messung und Verbesserung der Darstellung, Sichtbarkeit und Empfehlung von Marken und Produkten in KI-Systemen.

Art der Verarbeitung

Je nach Funktionsumfang insbesondere Erheben, Empfangen, Importieren, Speichern, Strukturieren, Ordnen, Abrufen, Abgleichen, Analysieren, Übermitteln an eingesetzte KI-Provider, Verknüpfen, Exportieren und Löschen.

Datenquellen

• Eingaben des Kunden;
• CSV-Produktimporte;
• Shopify-Produkt- und Bestandsdaten;
• öffentlich zugängliche Produkt-, Marken- und Wettbewerbsinformationen;
• Antworten und Metadaten externer KI-Systeme, abgerufen über Provider-APIs oder über technische Messdienste Dritter.

Kategorien betroffener Personen

Bestimmungsgemäß enthält Customer Content keine personenbezogenen Daten. Soweit dennoch personenbezogene Daten verarbeitet werden, kann es sich insbesondere um autorisierte Nutzer bzw. Mitarbeiter des Kunden oder in atypischen Fällen sonstige Personen handeln, deren Daten entgegen der bestimmungsgemäßen Verwendung eingebracht wurden.

Shop-Endkunden sind nicht vorgesehene betroffene Personen.

Datenkategorien

Soweit personenbezogen: Name, geschäftliche Kontaktinformationen, geschäftliche E-Mail-Adresse, funktionsbezogene Angaben, pseudonyme oder technische Identifikatoren sowie vom Kunden gegebenenfalls entgegen der bestimmungsgemäßen Nutzung eingebrachte Informationen.

Ausgeschlossene Daten

• Daten nach Art. 9 DSGVO;
• Daten nach Art. 10 DSGVO;
• Shopify-Endkundendaten;
• Bestell- oder Zahlungsdaten von Shop-Endkunden.

Verarbeitungshäufigkeit

Fortlaufend während der Nutzung des Dienstes.

Speicherdauer

• aktive Kundendaten: während der Vertragslaufzeit;
• Prompts, KI-Antworttexte und Auswertungen: in der Datenbank grundsätzlich bis zu 12 Monate;
• Rohdaten der Messungen (Provider-Rohobjekte) in Supabase Storage: 365 Tage ab der Messung, ohne gesondertes Backup;
• nach Vertragsende: grundsätzlich 30 Tage Exportfrist;
• Backups: nach vorgesehener Produktivkonfiguration täglich mit 7 Tagen Rotation;
• gesetzlich aufzubewahrende Daten: nach den jeweils geltenden gesetzlichen Fristen.

Anlage 2 – Technische und organisatorische Maßnahmen

Zutrittskontrolle

rankyn betreibt keine eigenen Rechenzentren. Physischer Zutritt zu Serverinfrastruktur wird durch die eingesetzten Hosting- und Cloudanbieter abgesichert.

Zugangskontrolle

• MFA für administrative Systeme, insbesondere Supabase, Vercel, GitHub, Stripe und Clerk;
• individuelle Benutzerkonten;
• keine gemeinsame Nutzung administrativer Credentials;
• Secrets nicht im Quellcode-Repository;
• produktive Secrets über geeignete Environment-/Secret-Management-Systeme;
• lokale Secrets ausschließlich in nicht versionierten Konfigurationsdateien.

Zugriffskontrolle und Mandantentrennung

• Mandantentrennung anhand von Organizations/Stores;
• Row Level Security für Kundendaten;
• Ownership- und Tenant-Guards;
• Composite Foreign Keys, soweit zur Mandantentrennung vorgesehen;
• automatisierte Prüfung sicherheitsrelevanter Datenbankberechtigungen und SECURITY-DEFINER-Funktionen;
• administrativer Produktionszugriff ausschließlich soweit erforderlich;
• Entwicklungs- und KI-Werkzeuge unter Consumer- oder persönlichen Accountbedingungen erhalten keinen Zugriff auf produktive Customer-Content-Zeilen; insbesondere wird Claude Code über einen persönlichen/Max-Account nicht mit dem produktiven Supabase-Datenbestand verbunden.

Verschlüsselung

• Transportverschlüsselung über HTTPS/TLS;
• verschlüsselte Provider-API-Verbindungen;
• Verschlüsselung gespeicherter Daten über die eingesetzten Cloud- und Datenbankanbieter;
• Supabase-Datenverschlüsselung at rest nach Providermechanismen.

Secrets und Zugangsdaten

• Vercel Environment Variables;
• Supabase Vault bzw. vergleichbare Secret-Verwaltung;
• .env.local ausschließlich lokal und nicht versioniert;
• keine API-Schlüssel im Git-Repository.

Entwicklungs- und Umgebungsisolation

Getrennte Umgebungen für Development, Vercel Preview Deployments und Production. Development und Production verwenden getrennte Supabase-Projekte. Produktive Daten sollen nicht ohne zwingenden Grund in Entwicklungsumgebungen kopiert werden.

Datensparsamkeit

Shopify

In v1 ausschließlich notwendige Scopes für Produkt- und Bestandsinformationen. Kein Zugriff auf Kunden-, Bestell- oder Zahlungsdaten.

Observability

Customer Content, Prompts, KI-Antworten, Shopify-Payloads und Authentifizierungstokens dürfen nicht an Sentry übertragen werden. rankyn setzt keine Produktanalyse-Dienste ein.

Sentry

• beforeSend- bzw. vergleichbares Scrubbing;
• keine vollständigen Request-Bodies mit Customer Content;
• keine Auth-Tokens;
• keine Prompt- oder Antwortinhalte.

Kosten-Ledger

Speicherung insbesondere von Provider, Tokenzahl, Kosten, Zeitstempel und technischer Zuordnung; keine Prompt- oder Antwortinhalte.

Protokollierung

• Application-/Security-Logs grundsätzlich maximal 90 Tage, soweit nicht aus Sicherheitsgründen länger erforderlich;
• Infrastruktur-Logs nach Providerfristen;
• keine absichtliche Protokollierung von Prompt-, Antwort- oder Shopify-Inhalten in Observability-Systemen.

Backup und Wiederherstellung

Vor Aufnahme des produktiven Kundenbetriebs:

• Supabase Pro;
• tägliche automatische Datenbankbackups;
• 7 Tage Aufbewahrung;
• mindestens ein erfolgreich getesteter Datenbank-Restore.

Supabase-Datenbankbackups enthalten keine Storage-Objekte. Die Rohdaten der Messungen liegen ausschließlich in Supabase Storage und haben kein gesondertes Backup; Antworttexte und Auswertungen liegen in der Datenbank und sind von deren Sicherungen erfasst.

In v1 ist kein Point-in-Time-Recovery zugesagt.

Verfügbarkeit und Wiederherstellung

• professionelle Cloud-Infrastruktur;
• Quellcode versioniert in GitHub;
• Wiederherstellung der Datenbank über vorhandene Backups;
• dokumentierter Restore-Test vor Go-Live.

Integrität

• Datenbankseitige Constraints;
• Row Level Security;
• Ownership-Prüfungen;
• kontrollierte Schema-Migrationen;
• Versionsverwaltung des Anwendungscodes.

Weitergabekontrolle

Daten werden nur an Provider übertragen, die für die jeweils angeforderte Funktion benötigt werden. Prompts werden ausschließlich an aktivierte Messkanäle bzw. an die hierfür eingesetzten technischen Messdienste und KI-Provider übertragen.

Auftragskontrolle

• schriftliche oder elektronische Verträge mit relevanten Unterauftragsverarbeitern;
• Prüfung vorhandener DPAs;
• dokumentierte Unterauftragsverarbeiterliste;
• 14-tägige Vorabinformation bei relevanten Änderungen.

Löschung

• definierte 30-Tage-Exportfrist nach Vertragsende;
• anschließende Löschung aus Produktivsystemen;
• automatisches Auslaufen rotierender Sicherungen;
• Wiederholung von Löschungen bei Restore älterer Backups.

Incident Management

• zentrale Verantwortlichkeit beim Inhaber;
• Sicherung relevanter Logs und Beweise;
• Eindämmung;
• Bewertung betroffener Systeme und Daten;
• unverzügliche Kundeninformation bei relevanten Auftragsdaten;
• internes Ziel für erste Kundeninformation: 24 Stunden nach Kenntnis;
• fortlaufende Nachinformation;
• Dokumentation von Ursache, Auswirkungen und Gegenmaßnahmen.

Überprüfung

Die TOMs werden bei wesentlichen Architekturänderungen, nach erheblichen Sicherheitsvorfällen, bei Einsatz neuer kritischer Provider und regelmäßig im technischen Betrieb überprüft.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die nachfolgende Liste gilt nur, soweit der jeweilige Anbieter tatsächlich kundenbezogene personenbezogene Daten im Sinne dieses AVV verarbeitet.

Nicht als AVV-Subprozessor geführt

Clerk – Authentifizierung und Accountverwaltung. Auftragsverarbeiter im Rahmen von rankyns eigener Account- und Vertragsverarbeitung (Auftragsverarbeitungsvertrag vorhanden); kein Customer Content.

Stripe – Zahlungsabwicklung und Billing; eigene bzw. gesonderte datenschutzrechtliche Rollen.

Resend – Transaktions- und Newsletterversand im Rahmen von rankyns eigener Kommunikation; kein Customer Content.

Sentry – Fehler- und Sicherheitsmonitoring ohne Customer Content.

Vercel BotID – Bot-Schutz für das Formular des kostenlosen Audits; technische Browser- und Gerätesignale, kein Customer Content.

Shopify – vom Kunden autorisierte Datenquelle, nicht Unterauftragsverarbeiter von rankyn.

Bright Data – primärer technischer Messdienst für Consumer-Oberflächen von KI-Anbietern sowie für öffentlich zugängliche Commerce-, Produkt-, Marken-, Markt- und Webdaten; keine gezielte Verarbeitung personenbezogener Customer-Content-Daten. Öffentlich zugängliche Quellen können beiläufig personenbezogene Angaben enthalten. Eine erneute Einordnung erfolgt, falls Bright Data künftig gezielt Customer Personal Data im Auftrag verarbeiten soll.

DataForSEO OÜ (Tallinn, Estland) und Cloro Incorporation Ltd. (Valletta, Malta) – technische Messdienste für Suchergebnisse und Consumer-Oberflächen von KI-Anbietern, eingesetzt schrittweise ab November 2026, mit generischen Messprompts; keine gezielte Verarbeitung personenbezogener Customer-Content-Daten. Es gilt dieselbe Einordnung wie für Bright Data.

Cloudflare, Inc. – autoritatives DNS für rankyn.ai und rankyn.app (kein Proxy, kein Traffic); kein Customer Content, keine Verkehrsdaten.

Google Workspace (Google Cloud EMEA Limited) – geschäftliche E-Mail-Postfächer (info@, support@) im Rahmen von rankyns eigener Kommunikationsverarbeitung; Cloud Data Processing Addendum; kein Customer Content.

INWX GmbH – Domain-Registrar (rankyn.de) ohne Verarbeitung von rankyn-Customer-Content.

Noch nicht genehmigte bzw. noch nicht eingesetzte Anbieter

Anbieter wie ein zukünftiger Worker-Host, Vercel AI Gateway oder weitere Proxy-, Search- oder LLM-Anbieter werden erst nach finaler Auswahl, rechtlicher Prüfung und – soweit sie Customer Personal Data verarbeiten – Anwendung des Subprozessor-Änderungsverfahrens eingesetzt.