Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Synaptix GmbH
Auerstr. 5
10249 Berlin
Deutschland

E-Mail: legal@kontinent.ai
Telefon: +49 171 6147959

Unser Datenschutzbeauftragter ist Maximilian Josef Keller. Er ist unter legal@kontinent.ai erreichbar.

2. Geltungsbereich und unsere Rollen

Diese Hinweise gelten für die Website unter app.kontinent.ai, die Kontinent-Konsole, die Kontinent-API, die öffentliche Redaction-Demo sowie die geschäftliche Kommunikation mit Kontinent.

Kontinent verarbeitet personenbezogene Daten je nach Zweck in unterschiedlichen Rollen:

• Als Verantwortlicher verarbeitet Kontinent insbesondere Website-, Account-, Login-, Vertrags-, Ansprechpartner-, Abrechnungs-, Sicherheits-, Missbrauchspräventions- und eigene Kommunikationsdaten.
• Als Auftragsverarbeiter verarbeitet Kontinent insbesondere Kundeninhalte, Prompts, Modellantworten, kundenseitig übermittelte Endnutzerinformationen und sonstige vom Kunden kontrollierte personenbezogene Daten. Verantwortlicher ist insoweit die Kundenorganisation. Es gilt der Auftragsverarbeitungsvertrag (AVV).
• Zweckabhängige Doppelrolle: Nutzungs-, Routing- und Protokolldaten können zur Leistungserbringung für den Kunden als Auftragsverarbeiter und zugleich in dem erforderlichen Umfang für Abrechnung, Plattformschutz, Missbrauchsprävention oder Rechtsverteidigung als Verantwortlicher verarbeitet werden. Maßgeblich ist der konkrete Zweck.

3. Website und öffentliche Funktionen

3.1 Aufruf der Website

Beim Aufruf unserer Website erhalten die beteiligten technischen Systeme insbesondere IP-Adresse, Datum und Uhrzeit, angefragte Adresse, HTTP-Methode und -Status sowie technisch übermittelte Browser- und Geräteinformationen. Dies ist erforderlich, um Inhalte auszuliefern, Verbindungen abzusichern und technische Fehler zu untersuchen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der sichere, störungsfreie und missbrauchsgeschützte Betrieb der Website. Soweit diese Angaben in technischen Produktionsprotokollen unserer Anwendung gespeichert werden, beträgt die reguläre Aufbewahrungsdauer grundsätzlich 30 Tage. Im Einzelfall können sicherheitsrelevante Protokolle bis zum Abschluss der Untersuchung oder Rechtsverteidigung gesperrt aufbewahrt werden.

3.2 Öffentliche Redaction-Demo

Bei Nutzung der Redaction-Demo verarbeiten wir den eingegebenen Text oder die hochgeladene Datei, um darin personenbezogene Muster zu erkennen und eine maskierte Fassung zurückzugeben. Der Inhalt wird an einen internen, innerhalb unserer AWS-Umgebung betriebenen Redaction-Dienst übermittelt. Dieser Dienst ist ohne Datenbank und ohne persistenten Dateispeicher angebunden und verarbeitet Inhalte nur für die Dauer der Anfrage.

Zur Begrenzung automatisierter oder missbräuchlicher Aufrufe wird die IP-Adresse in einem minutenbezogenen Rate-Limit-Schlüssel verarbeitet; dieser Schlüssel läuft nach etwa 60 Sekunden ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind die freiwillig angeforderte Bereitstellung der Demo sowie deren Schutz vor Überlastung und Missbrauch. Bitte übermitteln Sie nur Inhalte, zu deren Verarbeitung Sie berechtigt sind.

4. Registrierung, Kundenorganisation und Anmeldung

4.1 Account- und Organisationsdaten

Bei Registrierung und Kontoverwaltung verarbeiten wir insbesondere Name, E-Mail-Adresse, Nutzerkennung, Zeitpunkt der Kontoerstellung, E-Mail-Verifikationsstatus, Profilbild, Organisationszugehörigkeit, Rolle, Einwilligungsstatus und Sitzungsdaten. Bei Einrichtung einer Kundenorganisation verarbeiten wir außerdem Organisationsname, Kontakt-E-Mail-Adresse, optional eine Telefonnummer sowie Angaben zu Unternehmensgröße und Branche. Administratoren können weitere Personen mit deren E-Mail-Adresse und vorgesehener Rolle einladen.

Soweit die betroffene Person selbst Vertragspartei ist, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten, Organmitgliedern oder Ansprechpartnern eines Geschäftskunden beruht sie auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Anbahnung, Durchführung und Dokumentation der Geschäftsbeziehung mit der Kundenorganisation.

4.2 Anmeldung und externe Identitätsanbieter

In der produktiven Anwendung ist eine Anmeldung über einen E-Mail-Link sowie über Google, GitHub oder GitLab möglich. Google wird technisch über Amazon Cognito angebunden; GitHub und GitLab werden direkt über Auth.js angebunden. Dabei verarbeiten wir insbesondere die Anbieter- und Accountkennung, E-Mail-Adresse, Name, Profilbild, Verifikationsstatus sowie technisch erforderliche OAuth-, Zugriffs-, Aktualisierungs- oder Sitzungstoken, soweit sie vom gewählten Anbieter übermittelt werden. Kontinent erhält das Passwort des jeweiligen externen Anbieters nicht.

Die Verarbeitung dient der sicheren Authentifizierung und Kontobereitstellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei Nutzern eines Geschäftskunden Art. 6 Abs. 1 lit. f DSGVO. Für die eigenständige Verarbeitung durch den ausgewählten Identitätsanbieter gilt dessen Datenschutzerklärung. Die Google-Anmeldung wird über Amazon Cognito mit den Berechtigungen openid, email und profile angebunden. Bei GitHub und GitLab dienen die angeforderten Berechtigungen ebenfalls der Authentifizierung und Bereitstellung der vorstehend genannten Profildaten. Die konkrete Datenübermittlung richtet sich nach dem gewählten Anbieter und den dortigen Kontoeinstellungen.

4.3 Quellen bei nicht direkt erhobenen Daten

Wenn ein Kundenadministrator eine Person einlädt, erhalten wir deren E-Mail-Adresse, vorgesehene Rolle und Organisationszuordnung von der Kundenorganisation. Beim externen Login erhalten wir die vorstehend beschriebenen Daten vom ausgewählten Identitätsanbieter. Nutzungs-, Abrechnungs- und Sicherheitsdaten entstehen bei Verwendung der Plattform. Im Übrigen erheben wir Daten grundsätzlich bei der betroffenen Person selbst.

5. Nutzung der Konsole und der API

5.1 Kundeninhalte, Prompts und Modellantworten

Kundeninhalte können personenbezogene Daten in Prompts, Nachrichten, Dokumenten, Bildern, sonstigen Inputs, Modellantworten oder anderen Outputs enthalten. Kontinent verarbeitet diese Inhalte grundsätzlich als Auftragsverarbeiter der Kundenorganisation und nur zur Ausführung der Kundenanfrage, des gewählten Routings und der dokumentierten Weisungen.

Kontinent selbst speichert Prompt- und Response-Inhalte im Standard-Gateway nicht persistent. Das Gateway verarbeitet sie im Arbeitsspeicher und übermittelt sie an den nach der Kundenkonfiguration oder einer freigegebenen Routingregel ausgewählten Inferenzprovider. Kontinent verwendet Kundeninhalte nicht zum Training oder zur Verbesserung eigener KI-Modelle.

5.2 Verarbeitung durch Inferenzprovider

Der ausgewählte Inferenzprovider verarbeitet den Inhalt technisch, um die angeforderte Modellleistung zu erbringen. Ob und wie lange der Provider Eingaben oder Ausgaben vorübergehend aufbewahrt, richtet sich nach dem konkreten Provider, Tarif, Endpunkt und Vertrag. Eine Zero-Data-Retention-Zusage besteht nicht für jeden Provider und kann dokumentierte Ausnahmen enthalten, etwa für Missbrauchserkennung oder Batch-Verarbeitung.

Der Kunde kann die zulässigen Provider und Modelle einschränken und Regeln zu Zero Data Retention und Trainingsausschluss konfigurieren. Die aktuelle, providerspezifische Einordnung steht im Compliance Index und in Anlage 2 des AVV. Diese Angaben sind maßgeblich; aus der Bezeichnung „EU-Endpunkt“ folgt weder automatisch Zero Data Retention noch der Ausschluss jedes Drittlandzugriffs.

5.3 Endnutzerinformationen

Ein Kunde kann optional eine eigene Endnutzerkennung mit einer API-Anfrage übermitteln. Diese Kennung sollte nach Möglichkeit pseudonymisiert sein. Kontinent benötigt keinen Klarnamen des Endnutzers. Für Auswahl, Rechtsgrundlage und Information der betroffenen Endnutzer ist die Kundenorganisation verantwortlich; Kontinent verarbeitet die Kennung grundsätzlich in deren Auftrag. Abhängig vom gewählten Provider und API-Adapter kann die Kennung als Teil der technischen Anfrage an den Inferenzprovider weitergegeben oder vor der Übermittlung entfernt werden.

5.4 Nutzungs-, Routing- und Abrechnungsmetadaten

Je API-Anfrage speichern wir Metadaten, nicht planmäßig den Inhalt von Prompt oder Antwort. Dazu gehören insbesondere Zeitpunkt, angefragtes und tatsächlich ausgeliefertes Modell, Provider, Tokenzahlen, Cache-Nutzung, Kosten, Status, Upstream-Status, Latenz, Request-ID, API-Schlüssel-Kennung, Routing-Versuche, Ergebnis- oder Ablehnungsgrund und eine optional übermittelte Endnutzerkennung.

Die Daten dienen der vom Kunden beauftragten Nutzungsübersicht und Protokollierung sowie, in eigener Verantwortlichkeit von Kontinent, der verbrauchsabhängigen Abrechnung, Fehleranalyse, Systemsicherheit, Missbrauchsprävention und Rechtsverteidigung. Rechtsgrundlage für eigene Zwecke ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unsere berechtigten Interessen sind ein nachvollziehbarer, sicherer und wirtschaftlicher Plattformbetrieb sowie die Abwehr und Aufklärung von Missbrauch.

5.5 Audit-Log

Sicherheits- und verwaltungsrelevante Aktionen in der Konsole werden in einem organisationsbezogenen Audit-Log erfasst. Dazu können Zeitpunkt, Aktion, Nutzer- und Organisationskennung, Zielobjekt, Authentifizierungsmethode und weitere aktionsbezogene Metadaten gehören. Kontakt-E-Mail-Adresse, Telefonnummer und Kundeninhalte werden nicht planmäßig in den Aktionsdetails gespeichert. Die Kundenorganisation kann die Aufbewahrung je nach verfügbarer Einstellung zwischen 35 und 3.650 Tagen oder unbegrenzt konfigurieren. Nachweise über erteilte oder widerrufene Einwilligungen werden von dieser automatischen Kürzung ausgenommen und nach den in Ziffer 12 genannten Kriterien gespeichert.

5.6 API-Schlüssel und Kundenkonfiguration

Für API-Schlüssel speichern wir insbesondere Bezeichnung, Präfix, einen kryptografischen Hash, zugehörige Organisation und gegebenenfalls Team, Erstellungs- und letzte Nutzungszeit, Ablauf- und Widerrufsstatus sowie konfigurierte Raten- und Ausgabenlimits. Der vollständige Schlüssel wird nur bei seiner Erstellung angezeigt. Außerdem speichern wir kundenseitig angelegte Routingregeln, Guardrails, Modell- und Providerauswahl sowie zugehörige Richtlinien. Diese Daten verarbeiten wir zur Leistungserbringung grundsätzlich im Auftrag der Kundenorganisation und, soweit für Authentifizierung und Plattformschutz erforderlich, in eigener Verantwortlichkeit auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

6. Technische Logs, Monitoring und PostHog

6.1 Erforderliche Betriebs- und Sicherheitsprotokolle

Zur Überwachung, Fehlerdiagnose und Absicherung verarbeiten wir strukturierte technische Logs. Diese können insbesondere Request-ID, Route oder Prozedur, Zeitpunkt, Statuscode, Dauer, Fehlerklasse, Nutzer- und Organisationskennung, API-Schlüssel-Kennung, Modell und Provider enthalten. Request-Bodies, tRPC-Eingaben sowie Prompt- und Response-Inhalte werden nicht planmäßig protokolliert.

Produktionslogs werden in AWS CloudWatch verarbeitet und zusätzlich, soweit konfiguriert, an PostHog Logs in der EU Cloud in Frankfurt übermittelt. Serverseitige Ausnahmen können ebenfalls ohne Endgerätezugriff an PostHog übermittelt werden; sie werden dort unter einer technischen Serverkennung und ohne planmäßig angefügten Prompt- oder Response-Inhalt erfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind Verfügbarkeit, Integrität, Angriffserkennung, Fehlerbehebung und Rechtsverteidigung.

Zusätzlich übermitteln wir einmal täglich zusammengefasste Zählwerte an PostHog, etwa die Anzahl der Organisationen je Onboarding-Schritt oder mit mindestens einer API-Anfrage. Diese Werte enthalten keine Personen- oder Organisationskennung.

Ungültige API-Zugangsdaten werden zum Schutz gegen Credential-Scanning kurzzeitig nach IP-Adresse ratenbegrenzt. Der betreffende Redis-Schlüssel läuft nach etwa zwei Minuten ab.

6.2 Einwilligungsbasierte Produktanalyse

In der angemeldeten Konsole nutzen wir PostHog für Produktanalyse nur, wenn eine entsprechende Einwilligung gespeichert ist. Dann können insbesondere Nutzer-ID, Organisations-ID, E-Mail-Adresse, Name, Ereignisname, Funktionsnutzung, Umgebung sowie technisch übermittelte Browser-, Geräte- und Netzwerkinformationen verarbeitet werden. Ereignisse können serverseitig ergänzt werden, sofern die zugeordnete Person eingewilligt hat. Eine planmäßige Erfassung von Prompts oder Modellantworten für Produktanalyse findet nicht statt. Sitzungsaufzeichnungen sind technisch deaktiviert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; soweit PostHog Informationen in der Endeinrichtung speichert oder darauf zugreift, gilt zusätzlich § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und kann jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen werden.

6.3 Einwilligungsbasierte clientseitige Fehlerdiagnose

Clientseitige Fehlerberichte werden nur übermittelt, wenn die gesonderte Einwilligung zur Fehlerdiagnose gespeichert ist. Dabei können Fehlermeldung, Stack Trace, betroffene Seite, Zeitpunkt sowie technische Browser- und Geräteinformationen verarbeitet werden. Hat die Person zugleich in Produktanalyse eingewilligt und wurde der PostHog-Client ihrem Konto zugeordnet, kann der Fehlerbericht mit Nutzer- und Organisationskennung verknüpft werden. Session Recording bleibt auch in diesem Fall deaktiviert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und für den Endgerätezugriff § 25 Abs. 1 TDDDG. Der Widerruf ist jederzeit in den Einstellungen möglich.

7. Cookies, Local Storage und Session Storage

Bei einem gewöhnlichen Aufruf öffentlicher Seiten wird PostHog nicht zur Reichweiten- oder Produktanalyse initialisiert. Hat ein Nutzer bereits in die clientseitige Fehlerdiagnose eingewilligt, kann PostHog bei einem Fehler auch auf einer öffentlichen Seite geladen werden, um den Fehlerbericht zu übermitteln. Folgende Speicherungen können abhängig von der genutzten Funktion auftreten:

8. Abrechnung und Zahlungen

Zahlungen, Zahlungsmittel, Rechnungen und Steuerinformationen werden über Stripe Payments Europe, Ltd. abgewickelt. Stripe verarbeitet dabei insbesondere Organisations- und Ansprechpartnername, E-Mail-Adresse, Rechnungsanschrift, Umsatzsteuer-ID, Zahlungsinstrument, Zahlungsstatus, Betrag, Währung sowie Transaktions- und Rechnungsdaten. Kontinent speichert keine vollständigen Kartendaten.

Kontinent übermittelt an Stripe insbesondere Organisationskennung, Nutzerkennung der auslösenden Person, Organisationsname, gewählten Betrag und abrechnungsbezogene Referenzen. In eigenen Systemen speichern wir insbesondere Stripe-Kunden- und Rechnungsreferenzen, Guthaben, Beträge, Zeitpunkte, Kosten- und Transaktionsledger sowie Statusinformationen; Rechnungs-PDFs werden bei Bedarf direkt von Stripe abgerufen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vertrags- und Zahlungsabwicklung sowie Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten. Soweit Ansprechpartner eines Geschäftskunden betroffen sind, beruht die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die ordnungsgemäße Abwicklung und Dokumentation der Geschäftsbeziehung. Stripe verarbeitet einzelne Daten auch in eigener Verantwortlichkeit, insbesondere zur Erfüllung regulatorischer Pflichten und zur Betrugsprävention; hierfür gelten die Hinweise von Stripe.

9. Kommunikation und Support

9.1 Kontakt und Support

Bei Kontaktaufnahme verarbeiten wir Absender- und Kontaktdaten, Zeitpunkte, den Inhalt der Kommunikation und zugehörige Vorgangs- oder Accountinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Bearbeitung und Dokumentation der Kommunikation. Enthält eine Supportanfrage Kundeninhalte, verarbeiten wir diese insoweit nach Weisung der Kundenorganisation als Auftragsverarbeiter.

Eingehende Nachrichten an unsere Funktionspostfächer werden mit Google Workspace von Google Cloud EMEA Limited, Irland, verarbeitet. Dabei können je nach Dienstkonfiguration und Supportzugriff auch weitere Unternehmen der Google-Unternehmensgruppe oder Unterauftragsverarbeiter in Drittländern beteiligt sein. Für solche Übermittlungen gelten die in Ziffer 11 beschriebenen Garantien.

9.2 Notwendige Service-Kommunikation

E-Mail-Links zur Anmeldung, Einladungen, Sicherheits- und Schlüsselhinweise, Rechnungs- und Zahlungsnachrichten, Guthabenwarnungen, wesentliche Vertrags- oder Datenschutzänderungen und vergleichbare betriebsnotwendige Mitteilungen sind keine Newsletter. Sie werden über Amazon SES versendet und beruhen auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unser berechtigtes Interesse ist die sichere und verlässliche Bereitstellung der Plattform und die Information zuständiger Kundenkontakte.

Amazon SES verarbeitet außerdem Zustell-, Bounce- und Beschwerdeinformationen. Solche Ereignisse können einschließlich ursprünglicher E-Mail-Header über Amazon SNS an einen begrenzten operativen Empfängerkreis bei Kontinent übermittelt werden, um Zustellprobleme und Beschwerden zu bearbeiten. Diese Informationen werden nur den für Betrieb und Support zuständigen Personen zugänglich gemacht und nach Wegfall des Bearbeitungs-, Nachweis- oder Sicherheitszwecks gelöscht.

9.3 Marketing-Kommunikation

Kontinent versendet derzeit keine Marketing-E-Mails, Newsletter, Angebote oder werblichen Feature-Updates. Die in Ziffer 9.2 beschriebenen notwendigen Service-Mitteilungen dienen ausschließlich der Vertragsdurchführung, Sicherheit und Betriebsinformation. Vor Einführung von Marketing-Kommunikation werden wir die erforderliche Rechtsgrundlage, Einwilligungs- oder Bestandskundenprozesse, Widerspruchsmöglichkeiten und diese Datenschutzhinweise entsprechend anpassen.

10. Empfänger und Dienstleister

Zugriff erhalten nur Stellen, die ihn für die beschriebenen Zwecke benötigen. Abhängig von der konkreten Nutzung gehören dazu:

Nicht jeder Empfänger ist an jeder Verarbeitung beteiligt. Die aktuelle Liste der Plattformdienste und kundenseitig auswählbaren Inferenzprovider steht im Trust Center, im Compliance Index und in Anlage 2 des AVV.

11. Datenresidenz und internationale Übermittlungen

Die von Kontinent betriebene Web- und Gateway-Infrastruktur, die produktive Anwendungsdatenbank und der Cache befinden sich grundsätzlich in der AWS-Region Frankfurt (eu-central-1). Die freigegebenen Inferenzendpunkte sind nach der aktuellen Plattformkonfiguration auf Standorte in der Europäischen Union oder EU-Datenzonen ausgerichtet. PostHog wird in der EU Cloud in Frankfurt betrieben.

Diese EU-Speicherorte bedeuten nicht, dass alle personenbezogenen Daten ausschließlich im EU/EWR verarbeitet werden. Drittlandübermittlungen oder Drittlandzugriffe können insbesondere bei US-amerikanischen Unternehmensgruppen, PostHog, Stripe, externen Login-Anbietern und einzelnen Inferenzprovidern auftreten. Zahlungs-, Login-, Support- und technische Diagnosedaten können daher anderen Transferkonstellationen unterliegen als Kundeninhalte.

Soweit Kontinent eine Übermittlung in ein Drittland veranlasst, erfolgt sie nur bei Vorliegen einer Grundlage nach Art. 44 ff. DSGVO, insbesondere eines Angemessenheitsbeschlusses oder wirksam einbezogener EU-Standardvertragsklauseln. Soweit nach der Transferprüfung erforderlich, werden ergänzende technische, vertragliche oder organisatorische Maßnahmen eingesetzt.

Weitere Informationen zu den für einen konkreten Empfänger eingesetzten Garantien und eine Kopie der einschlägigen Schutzmechanismen können unter legal@kontinent.ai angefragt werden, soweit dem keine Geheimhaltungs- oder Schutzinteressen entgegenstehen.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck benötigt werden. Anschließend werden sie gelöscht oder wirksam anonymisiert, sofern keine gesetzlichen Pflichten, erforderlichen Sicherheitsmaßnahmen oder berechtigten Nachweis- und Rechtsverteidigungsinteressen entgegenstehen.

13. Erforderliche und freiwillige Angaben

E-Mail-Adresse, Authentifizierungsdaten und die als Pflichtfelder gekennzeichneten Organisations- und Kontaktdaten sind erforderlich, um ein Konto einzurichten, die Anmeldung abzusichern und die Plattform bereitzustellen. Ohne diese Angaben können wir den Account oder die betreffende Funktion nicht anbieten. Optionale Angaben wie die Telefonnummer sowie Einwilligungen in Produktanalyse, clientseitige Fehlerdiagnose oder Marketing sind freiwillig. Ihre Ablehnung beeinträchtigt die Kernfunktionen der Plattform nicht.

14. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf:

• Auskunft über die zu Ihrer Person verarbeiteten Daten nach Art. 15 DSGVO,
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO, soweit deren Voraussetzungen vorliegen,
• Widerspruch gegen Verarbeitungen nach Art. 21 DSGVO,
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO und
• Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Gegen eine Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen. Im Fall des Widerspruchs verarbeiten wir die Daten nicht weiter für Direktwerbung und bei sonstigen Verarbeitungen nur, wenn zwingende schutzwürdige Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erlauben.

Für Daten, die Kontinent im Auftrag einer Kundenorganisation verarbeitet, wenden Sie sich bitte vorrangig an diese Organisation. Kontinent leitet erkennbare Auftragsverarbeitungsanfragen weiter und unterstützt den Kunden bei der Bearbeitung. Rechte zu Daten, für die Kontinent selbst verantwortlich ist, können Sie unter legal@kontinent.ai ausüben. Zur Vermeidung unbefugter Offenlegung können wir einen angemessenen Identitätsnachweis verlangen.

15. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder dem Ort des mutmaßlichen Verstoßes. Für Kontinent ist grundsätzlich die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig: www.datenschutz-berlin.de.

16. Automatisierte Entscheidungen

Kontinent trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO und führt kein darauf gerichtetes personenbezogenes Profiling durch. Automatisierte technische Regeln können API-Anfragen etwa wegen ungültiger Zugangsdaten, Ratenbegrenzungen, fehlenden Guthabens oder kundenkonfigurierter Routing-, Sicherheits- und Datenschutzregeln ablehnen. Diese technische Steuerung der Leistung ist keine Entscheidung nach Art. 22 DSGVO.

17. Sicherheit

Kontinent trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die für kundenbezogene Auftragsverarbeitung vereinbarten Maßnahmen enthält Anlage 3 des AVV. Das Trust Center beschreibt den öffentlich dargestellten Stand. Diese Hinweise ersetzen keine individuelle Sicherheitsvereinbarung.

18. Änderungen dieser Hinweise

Wir passen diese Datenschutzhinweise an, wenn sich Verarbeitungen, Dienstleister oder rechtliche Anforderungen ändern. Das Datum der letzten Überarbeitung steht am Anfang der Seite. Über wesentliche Änderungen informieren wir registrierte Nutzer über einen geeigneten Kanal, soweit dies erforderlich ist.