Für Geschäftskunden, die einen schriftlichen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO benötigen, stellt Helferlain auf Anfrage einen vorausgefüllten Vertrag bereit (siehe „Vertragsabschluss“).
Geltungsbereich
Helferlain ist Auftragsverarbeiter für folgende Kategorien:
- OAuth-Tokens der Werbe- und Analysekonten, die du verbindest
- Konto- und Kampagnendaten dieser Konten, soweit für Audits nötig
- Audit-Befunde, Empfehlungen und das Aktionsprotokoll, die wir für dich erzeugen
- Eingaben und Kontodaten, die zur Analyse an den KI-Anbieter übermittelt werden, wenn kein eigener KI-Schlüssel hinterlegt ist (der Anbieter ist dann unser Unterauftragsverarbeiter)
Helferlain ist kein Auftragsverarbeiter für:
- Die Verarbeitung durch einen KI-Anbieter mit deinem eigenen Schlüssel (BYOK): dafür gilt dein eigener Vertrag mit dem Anbieter
Unterauftragsverarbeiter
Siehe /legal/sub-processors. Wir geben 30 Tage im Voraus Bescheid, bevor wir einen neuen Unterauftragsverarbeiter einsetzen; du kannst schriftlich widersprechen.
Technische und organisatorische Maßnahmen (TOM)
- Datenbank in der EU (Neon, AWS eu-central-1, Frankfurt); Web-App und MCP-Gateway im weltweiten Netz von Cloudflare
- Mandantentrennung durch Anwendungslogik: jede Datenbankabfrage ist auf den anfragenden Workspace beschränkt. Postgres-Row-Level-Security-Richtlinien sind angelegt, in Produktion aber nicht wirksam, weil die Datenbankrolle der Anwendung sie umgeht.
- Gespeicherte OAuth-Tokens und Kunden-KI-Schlüssel verschlüsselt (AES-256-GCM, Umschlagverschlüsselung mit einem Schlüssel je Workspace; Hauptschlüssel als Cloudflare-Secret)
- Transportverschlüsselung (HTTPS/TLS)
- Audit-Log der Änderungen an verbundenen Werbekonten
- Löschen eines Workspace vernichtet sofort den Workspace-Schlüssel; verschlüsselte Inhalte sind danach nicht wiederherstellbar
- Meldung von Datenschutzverletzungen unverzüglich (Art. 33 Abs. 2 DSGVO)
Vertragsabschluss
Schreibe an [email protected] mit den Angaben zu deinem Unternehmen. Wir senden dir innerhalb eines Werktags einen vorausgefüllten AV-Vertrag.