← Alle Rechtsdokumente

Auftragsverarbeitungsvertrag (DPA)

1. Zweck

Dieser Auftragsverarbeitungsvertrag (der „DPA”) regelt die Verarbeitung personenbezogener Daten, die von HUB DESPACHOS Y PYMES S.L. („HUB Consultores”, der „Auftragsverarbeiter”) im Auftrag der Organisation des Nutzers (der „Verantwortliche”) durchgeführt wird, wenn der Nutzer die Anwendung MCP Bridge — AI for Bitrix24 (die „Software”) nutzt, um auf CRM-Daten zuzugreifen, die in seinem Bitrix24-Portal gespeichert sind.

Dieser DPA ist integraler Bestandteil der vom Verantwortlichen bei der Installation der Software akzeptierten Endbenutzer-Lizenzvereinbarung (EULA) und entspricht dem Artikel 28 der Datenschutz-Grundverordnung (DSGVO — Verordnung (EU) 2016/679).

Im Falle eines Widerspruchs zwischen diesem DPA und der EULA oder der Datenschutzerklärung hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen hat dieser DPA Vorrang.

2. Begriffsbestimmungen

Hier nicht definierte Begriffe haben die ihnen in der DSGVO zugewiesene Bedeutung. Insbesondere:

• Verantwortlicher — die Organisation des Nutzers, die das Bitrix24-Portal betreibt.
• Auftragsverarbeiter — HUB Consultores.
• Unterauftragsverarbeiter — jeder Dritte, der vom Auftragsverarbeiter beauftragt wird, personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten.
• Personenbezogene Daten — alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die im Bitrix24-Portal des Verantwortlichen gespeichert sind und über die Software abgerufen werden.

3. Gegenstand, Art und Zweck der Verarbeitung

4. Kategorien betroffener Personen und personenbezogener Daten

Kategorien betroffener Personen:

• Mitarbeiter des Verantwortlichen, die die Software nutzen
• Leads, Kontakte, Kunden und andere natürliche Personen, deren Daten der Verantwortliche in seinem Bitrix24-Portal speichert
• Alle anderen natürlichen Personen, auf die in CRM-Datensätzen verwiesen wird (Lieferanten, Partner, Interessenten usw.)

Kategorien verarbeiteter personenbezogener Daten (nur in der Übertragung):

• Identifikationsdaten (Name, Nachname, Position, Unternehmen)
• Kontaktdaten (E-Mail, Telefon, Anschrift)
• Geschäftsdaten (Deals, Aufgaben, Kommentare, Anhänge, benutzerdefinierte Felder, die der Verantwortliche in Bitrix24 definiert hat)
• Alle sonstigen personenbezogenen Daten, die der Verantwortliche in seinem Bitrix24-Portal speichert und über die Software abruft

Besondere Kategorien von Daten (Art. 9 DSGVO):

Die Software ist nicht für die Verarbeitung besonderer Kategorien von Daten ausgelegt (z. B. Gesundheit, rassische Herkunft, Religion, sexuelle Orientierung). Speichert der Verantwortliche jedoch solche Daten in seinem Bitrix24-Portal und fragt sie über die Software ab, werden die Daten durch die Infrastruktur des Auftragsverarbeiters übertragen. Der Verantwortliche ist allein dafür verantwortlich, eine gültige Rechtsgrundlage nach Art. 9 DSGVO für eine solche Verarbeitung sicherzustellen.

Empfehlung. Der Auftragsverarbeiter empfiehlt dem Verantwortlichen, Zugriffskontrollen in Bitrix24 zu konfigurieren (Feldebenen-Berechtigungen, Rollenbeschränkungen, Sichtbarkeit benutzerdefinierter Felder), um zu verhindern, dass die Software auf Felder zugreift, die besondere Kategorien von Daten enthalten, es sei denn, eine dokumentierte Rechtsgrundlage nach Art. 9 und die nach dem spanischen LOPDGDD Art. 9 erforderlichen zusätzlichen Garantien liegen vor.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter hat:

1. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf die Übermittlung personenbezogener Daten an Drittländer (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen des Verantwortlichen sind definiert als: die von autorisierten Nutzern über den KI-Assistenten ihrer Wahl gestellten API-Anfragen. Jede andere Verarbeitung erfordert zusätzliche schriftliche Weisungen.

2. sicherzustellen, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b).

3. geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten (Art. 32). Konkrete Maßnahmen sind in Abschnitt 12 der Datenschutzerklärung beschrieben und umfassen: Verschlüsselung bei der Übertragung (TLS 1.2+), Verschlüsselung im Ruhezustand auf Anwendungsebene von OAuth-Token und dem mcp_token unter Verwendung des symmetrischen Fernet-Verfahrens (cryptography-Bibliothek) mit dem außerhalb der Datenbank aufbewahrten TOKEN_ENCRYPTION_KEY; SHA-256-Hashing für Token-Nachschlageindizes und die Sperrliste widerrufener Token; Verschlüsselung auf Datenträgerebene auf der Infrastrukturebene; strenge Zugriffskontrolle; Minimierung der OAuth-Scopes; Audit-Protokollierung; Ratenbegrenzung; und Eindringungserkennung.

4. die Bedingungen für die Beauftragung von Unterauftragsverarbeitern einzuhalten, wie in Abschnitt 7 dieses DPA festgelegt (Art. 28 Abs. 2 und 4).

5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht zu unterstützen, Anträge betroffener Personen zur Ausübung ihrer DSGVO-Rechte zu beantworten (Art. 28 Abs. 3 lit. e).

6. den Verantwortlichen bei der Gewährleistung der Einhaltung der Pflichten nach den Artikeln 32–36 (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, Konsultation der Aufsichtsbehörde) zu unterstützen (Art. 28 Abs. 3 lit. f).

7. nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder zurückzugeben an den Verantwortlichen nach Abschluss der Erbringung der Dienste, und bestehende Kopien zu löschen, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung verlangt (Art. 28 Abs. 3 lit. g). In der Praxis ist bei Beendigung keine Löschung erforderlich, da der Auftragsverarbeiter keine CRM-Daten im Ruhezustand speichert — die Daten des Verantwortlichen befinden sich jederzeit ausschließlich in seinem Bitrix24-Portal.

8. dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der in diesem DPA festgelegten Pflichten nachzuweisen, und Überprüfungen — einschließlich Inspektionen — zu ermöglichen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer auf Kosten des Verantwortlichen und während der üblichen Geschäftszeiten mit einer Vorankündigung von mindestens 30 Tagen durchgeführt werden (Art. 28 Abs. 3 lit. h).

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten betrifft, die im Auftrag des Verantwortlichen verarbeitet werden. Dieses Zeitfenster ist bewusst kürzer als die 72-Stunden-Frist, die dem Verantwortlichen nach Art. 33 Abs. 1 DSGVO gegenüber seiner zuständigen Aufsichtsbehörde zur Verfügung steht, damit dem Verantwortlichen ausreichend Zeit verbleibt, die Verletzung zu bewerten und, sofern erforderlich, die Aufsichtsbehörde und die betroffenen Personen zu benachrichtigen. Wird dem Auftragsverarbeiter eine bestätigte Verletzung mit hohem Risiko bekannt, benachrichtigt er den Verantwortlichen so schnell wie nach vernünftigem Ermessen möglich — und ohne die 48-Stunden-Grenze abzuwarten —, um den Verantwortlichen in die Lage zu versetzen, seine Pflichten gegenüber den betroffenen Personen nach Art. 34 zu erfüllen.

Die Benachrichtigung umfasst, soweit möglich:

• die Art der Verletzung, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung möglicher nachteiliger Auswirkungen.

Der Auftragsverarbeiter wirkt mit dem Verantwortlichen bei der Erfüllung von dessen eigenen Meldepflichten nach Art. 33–34 DSGVO zusammen.

7. Unterauftragsverarbeiter

7.1 Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen, vorbehaltlich der in diesem Abschnitt 7 festgelegten Bedingungen.

7.2 Aktuelle Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter lautet:

7.3 Änderungen bei Unterauftragsverarbeitern

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Hinzunahme oder Ersetzung von Unterauftragsverarbeitern, die personenbezogene Daten des Verantwortlichen verarbeiten werden. Die Benachrichtigung erfolgt über das Panel „What’s new” der Software und, sofern verfügbar, per E-Mail.

Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach der Benachrichtigung schriftlich unter Angabe nachvollziehbarer Gründe widersprechen. Können die Parteien keine Einigung erzielen, kann der Verantwortliche die betreffende Verarbeitungsvereinbarung durch Deinstallation der Software beenden.

7.4 Pflichten der Unterauftragsverarbeiter

Bei der Beauftragung eines Unterauftragsverarbeiters legt der Auftragsverarbeiter diesem im Wege eines schriftlichen Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem DPA festgelegt sind (Art. 28 Abs. 4). Insbesondere:

• Sentry (Functional Software, Inc. / Functional Software GmbH): der Auftragsverarbeiter hat Sentrys Data Processing Addendum über Sentrys Legal-&-Compliance-Dashboard akzeptiert. Der Sentry-DPA stützt sich auf die Zertifizierung nach dem EU-US Data Privacy Framework — selbstzertifiziert durch Functional Software, Inc. und überprüfbar auf der offiziellen DPF-Liste unter dataprivacyframework.gov — sowie auf die Standardvertragsklauseln (2021).
• Hetzner Online GmbH: Unterauftragsverarbeiter im Rahmen des standardmäßigen Auftragsverarbeitungsvertrags (AVV) von Hetzner. Hetzner ist ein deutsches Unternehmen, das der DSGVO unterliegt; die von der Software genutzten Rechenzentren befinden sich in der Europäischen Union.

Kopien der abgeschlossenen Verträge mit Unterauftragsverarbeitern stehen dem Verantwortlichen auf schriftliche Anfrage an die Kontaktadresse des Auftragsverarbeiters zur Verfügung.

8. Internationale Datenübermittlungen

8.1 Architektur und Rollen

Die Software ist so konzipiert, dass die eigene Infrastruktur des Auftragsverarbeiters (Anwendungsserver, Datenbank, Fehlerüberwachung) innerhalb des Europäischen Wirtschaftsraums (EWR) verbleibt. Konkret:

• Anwendungsserver und Datenbank: Hetzner, Nürnberg, Deutschland (EU).
• Fehlerüberwachung: Sentry EU-Region — Frankfurt, Deutschland.

Es werden keine CRM-Daten durch den Auftragsverarbeiter an irgendeinem Standort im Ruhezustand gespeichert.

8.2 Weiterübermittlung an den vom Verantwortlichen gewählten KI-Assistenten

Die wesentliche Übermittlung personenbezogener Daten außerhalb des EWR, die im Zusammenhang mit der Software auftreten kann, ist die Weiterübermittlung von CRM-Daten vom Auftragsverarbeiter an den vom Verantwortlichen autorisierten KI-Assistenten (z. B. Claude.ai, ChatGPT oder andere MCP-kompatible Assistenten), der sich in den Vereinigten Staaten oder anderswo befinden kann.

Diese Weiterübermittlung erfolgt auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Weisung verwirklicht sich in der Handlung des Verantwortlichen, einen bestimmten KI-Assistenten über den OAuth-Ablauf der Software zu autorisieren. Der Auftragsverarbeiter wählt nicht das Ziel der Übermittlung aus; er leitet die Daten in der Übertragung an den vom Verantwortlichen gewählten Assistenten weiter.

Der Verantwortliche ist die Partei, die gemäß Kapitel V der DSGVO dafür verantwortlich ist, sicherzustellen, dass ein angemessener Übermittlungsmechanismus zwischen ihm selbst (als Datenexporteur) und dem KI-Assistenten (als Datenimporteur) besteht, bevor er diesen Assistenten autorisiert. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dieser Bewertung, indem er die Liste der Unterauftragsverarbeiter in Abschnitt 7.2 mit den dort dokumentierten Garantien führt.

8.3 Verfügbare Garantien für die KI-Assistenten-Übermittlung

Für die Weiterübermittlung an einen in den USA ansässigen (oder anderen außereuropäischen) KI-Assistenten sollte sich der Verantwortliche auf die folgenden Mechanismen stützen, in der Reihenfolge ihrer Anwendbarkeit:

1. Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) („SCCs (2021)”), abgeschlossen zwischen dem Datenexporteur (dem Verantwortlichen oder der in seinem Auftrag handelnden Bitrix24-Instanz) und dem Anbieter des Assistenten als Datenimporteur, ergänzt durch eine Übermittlungs-Folgenabschätzung, sofern erforderlich. Zum Stichtag dieses DPA ist dies der von Anthropic (Claude) und OpenAI (ChatGPT) öffentlich dokumentierte Mechanismus für die Übermittlung personenbezogener Daten aus der EU.

2. Zertifizierung der empfangenden Partei nach dem EU-US Data Privacy Framework (DPF), sofern — und nur sofern — der Anbieter sich selbstzertifiziert hat und auf der aktiven DPF-Liste verbleibt. Der Verantwortliche muss den aktuellen Zertifizierungsstatus des Anbieters auf der offiziellen Liste (https://www.dataprivacyframework.gov) überprüfen, bevor er sich auf diesen Mechanismus stützt, da Zertifizierungen im Laufe der Zeit hinzugefügt, zurückgezogen oder für ungültig erklärt werden können.

Der Auftragsverarbeiter gewährleistet weder den Zertifizierungsstatus noch die Gültigkeit des Übermittlungsmechanismus eines Anbieters; er stellt die Informationen in Abschnitt 7.2 zur Verfügung, um die eigene Bewertung des Verantwortlichen nach Kapitel V zu unterstützen.

8.4 Ausnahmen nach Art. 49

Der Auftragsverarbeiter stützt sich nicht auf die Ausnahmen des Art. 49 DSGVO (einschließlich Art. 49 Abs. 1 lit. a „ausdrückliche Einwilligung”) als routinemäßige Garantie für die in Abschnitt 8.2 beschriebene Weiterübermittlung. Wie der Europäische Datenschutzausschuss in seinen Leitlinien 2/2018 ausgeführt hat, sind die Ausnahmen des Art. 49 außergewöhnlich und nicht für Übermittlungen geeignet, die massiv, wiederholt oder systematisch erfolgen. Die von der Software im normalen Betrieb durchgeführten Übermittlungen fallen in diese Kategorien und müssen daher durch SCCs (2021), eine DPF-Zertifizierung (sofern anwendbar) oder einen anderen geeigneten Mechanismus nach Kapitel V der DSGVO gestützt werden.

9. Überprüfungen und Inspektionen

Der Verantwortliche kann auf eigene Kosten und mit einer Vorankündigung von mindestens 30 Tagen eine Überprüfung (einschließlich Inspektionen der Einrichtungen des Auftragsverarbeiters) durchführen, um die Einhaltung dieses DPA zu überprüfen. Überprüfungen sind während der üblichen Geschäftszeiten und in einer Weise durchzuführen, die den Geschäftsbetrieb des Auftragsverarbeiters nicht beeinträchtigt.

Solche Überprüfungen dürfen nicht häufiger als einmal pro 12-Monats-Zeitraum erfolgen, es sei denn, sie werden ausgelöst durch (i) ein dokumentiertes, wesentliches Compliance-Anliegen, das dem Auftragsverarbeiter schriftlich mitgeteilt wurde, oder (ii) eine an den Verantwortlichen gerichtete Anfrage einer zuständigen Aufsichtsbehörde in Bezug auf die vom Auftragsverarbeiter im Auftrag des Verantwortlichen durchgeführte Verarbeitung.

Der Auftragsverarbeiter kann Überprüfungsanfragen erfüllen, indem er vorhandene Prüfberichte Dritter (z. B. ISO 27001, SOC 2), sofern verfügbar, zusammen mit einer schriftlichen Zusammenfassung der zum Zeitpunkt der Anfrage tatsächlich umgesetzten technischen und organisatorischen Maßnahmen zur Verfügung stellt.

10. Haftung

Die Haftung jeder Partei nach diesem DPA unterliegt den in der EULA festgelegten Haftungsbeschränkungen, außer wenn zwingendes Recht (insbesondere Art. 82 DSGVO) etwas anderes vorsieht. Jede Partei haftet für Schäden, die durch eine gegen die DSGVO verstoßende Verarbeitung verursacht wurden, nur dann, wenn sie den ihr speziell auferlegten Pflichten nicht nachgekommen ist oder wenn sie unter Nichtbeachtung oder entgegen den rechtmäßigen Weisungen des Verantwortlichen gehandelt hat.

11. Dauer und Beendigung

Dieser DPA ist für die Dauer wirksam, in der der Verantwortliche die Software auf seinem Bitrix24-Portal installiert hat. Er endet automatisch mit der Deinstallation der Software.

Nach Beendigung:

• werden alle vom Auftragsverarbeiter gehaltenen OAuth-Token und Routing-Daten (als Verantwortlicher für diese Datensätze — siehe Datenschutzerklärung Abschnitt 3.1) innerhalb von 24 Stunden gelöscht.
• ist keine Löschung von CRM-Daten erforderlich, da der Auftragsverarbeiter niemals CRM-Daten im Ruhezustand speichert (Abschnitt 5(7) oben).

12. Anwendbares Recht

Dieser DPA unterliegt spanischem Recht und ist in Übereinstimmung mit der EULA auszulegen. Streitigkeiten unterliegen denselben Gerichtsstandsklauseln wie die EULA (Abschnitt 12 der EULA).

13. Kontakt

Für jede Angelegenheit im Zusammenhang mit diesem DPA kontaktieren Sie:

• Email: [email protected] (Betreff: „MCP Bridge — DPA”)
• Address: HUB DESPACHOS Y PYMES S.L., Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Spain
• Phone: +34 822 684 008

14. Änderungen dieses DPA

Der Auftragsverarbeiter kann diesen DPA von Zeit zu Zeit aktualisieren, um Änderungen des geltenden Datenschutzrechts, Leitlinien des EDSA oder von Aufsichtsbehörden, Änderungen bei Unterauftragsverarbeitern oder wesentliche Änderungen der technischen und organisatorischen Maßnahmen Rechnung zu tragen. Wesentliche Änderungen werden dem Verantwortlichen mindestens 30 Tage vor ihrem Inkrafttreten über das Panel „What’s new” der Software und, sofern verfügbar, per E-Mail an den im Bitrix24-Portal hinterlegten Kontakt mitgeteilt.

Der Verantwortliche kann jeder wesentlichen Änderung innerhalb der 30-tägigen Ankündigungsfrist schriftlich unter Angabe nachvollziehbarer Gründe widersprechen. Können die Parteien keine Einigung erzielen, kann der Verantwortliche die betreffende Verarbeitungsvereinbarung durch Deinstallation der Software beenden, was den in Abschnitt 11 beschriebenen Löschzeitplan auslöst.

Nicht wesentliche Änderungen (typografische Korrekturen, Klarstellungen, die die Rechte oder Pflichten des Verantwortlichen oder der betroffenen Personen nicht berühren, Aktualisierungen der Kontaktdaten) treten mit der Veröffentlichung des überarbeiteten DPA unter der URL in Kraft, unter der dieses Dokument gehostet wird.

Last updated: 2026-06-05 Version: 1.1

Änderungsprotokoll

v1.1 (2026-06-05) — DSGVO-Härtungsprüfung:

• §4 — Ausdrückliche Empfehlung an den Verantwortlichen hinzugefügt, Zugriffskontrollen in Bitrix24 anzuwenden, um zu verhindern, dass die Software auf Felder zugreift, die besondere Kategorien von Daten enthalten, ohne eine dokumentierte Rechtsgrundlage nach Art. 9.
• §5(3) — Fernet-Verschlüsselung von OAuth-Token und mcp_token auf Anwendungsebene sowie SHA-256-Hashing für Nachschlagevorgänge und die Sperrliste widerrufener Token hervorgehoben. Verschlüsselung auf Datenträgerebene als ergänzende Maßnahme auf der Infrastrukturebene klargestellt.
• §6 — Zeitfenster für die Meldung von Verletzungen des Schutzes personenbezogener Daten bei 48 Stunden belassen, bewusst enger als die 72-Stunden-Frist des Verantwortlichen nach Art. 33 Abs. 1 DSGVO, damit dem Verantwortlichen sein voller Meldezeitraum erhalten bleibt. Begründung inline hinzugefügt.
• §7.2 — Tabelle der Unterauftragsverarbeiter erweitert um: ausdrückliche Rechenzentrumslage (Hetzner Nürnberg, Deutschland — EU); ausdrückliche Sentry- EU-Region (Frankfurt — ingest.de.sentry.io); zeilenbezogene Garantien für jede Übermittlung außerhalb des EWR; Klarstellung der Rolle von Bitrix24 gegenüber dem KI-Assistenten. Für Anthropic (Claude) und OpenAI (ChatGPT) wird der primäre Übermittlungsmechanismus als Standardvertragsklauseln (2021) benannt; das EU-US Data Privacy Framework wird als bedingte Garantie behandelt, vorbehaltlich der Überprüfung des aktuellen Zertifizierungsstatus des Anbieters durch den Verantwortlichen unter dataprivacyframework.gov.
• §7.4 — Ausdrückliche Verweise auf den abgeschlossenen Sentry-DPA (über Sentrys Legal-&-Compliance-Dashboard) und auf das Hetzner-AVV-Rahmenwerk hinzugefügt. Kopien auf schriftliche Anfrage verfügbar.
• §8 — Abschnitt zu internationalen Übermittlungen im Einklang mit den EDSA-Leitlinien 2/2018 neu gefasst: SCCs (2021) werden nun als primäre Garantie für die Weiterübermittlung an den KI-Assistenten benannt, und das EU-US Data Privacy Framework als bedingte Garantie, die eine Überprüfung durch den Verantwortlichen auf der offiziellen DPF-Liste erfordert. Art. 49 Abs. 1 lit. a „ausdrückliche Einwilligung” als routinemäßige Garantie entfernt; der Auftragsverarbeiter stützt sich stattdessen auf dokumentierte Weisungen des Verantwortlichen.
• §9 — Überprüfungshäufigkeit auf einmal pro 12-Monats-Zeitraum begrenzt, mit Ausnahmen für dokumentierte Compliance-Anliegen oder Anfragen von Aufsichtsbehörden.
• §14 (neu) — Änderungsklausel: 30-tägige Vorankündigung für wesentliche Änderungen, mit einem Recht des Verantwortlichen, zu widersprechen und durch Deinstallation der Software zu beenden.

v1.0 (2026-05-21) — Erstveröffentlichung.