AVV als elektronischer Anhang · Fassung account-2026-10.1 Dieser AVV ist elektronischer Anhang der Kontobedingungen. Auftraggeber ist die identifizierte natürliche Person; bei Handeln für eine Organisation erst die gesondert identifizierte und wirksam vertretene Organisation. Der Workspace-Name ist keine Vertragspartei. Der Anhang gilt nur, soweit NOCTRA personenbezogene Daten im Auftrag verarbeitet und Art. 28 DSGVO einschlägig ist. Eine ausschließlich persönliche oder familiäre Tätigkeit wird anhand der tatsächlichen Verarbeitung beurteilt, nicht pauschal aufgrund der Bezeichnung privat. NOCTRA-eigene Zwecke bleiben nach den Datenschutzhinweisen gesondert zu beurteilen. Die folgenden Hauptklauseln und Anlagen zu Datenarten, TOMs und Unterauftragnehmern beruhen auf dem bisherigen AVV; offene Anbieter-, Transfer-, Lösch- und Betriebsfakten sind vor Aktivierung gemäß Prüfbericht nachzuweisen. Die allgemeine Genehmigung hebt das Mitteilungs- und Widerspruchsverfahren für neue Anbieter nicht auf und gilt nicht rückwirkend. Auftragsverarbeitungsvertrag (AVV) Fassung account-2026-10.1 Stand: 2026-10-16 Auftragsverarbeitungsbedingungen nach Art. 28 DSGVO für Verarbeitungen, die die Brockhaus Ventures UG (haftungsbeschränkt) auf dokumentierte Weisung des identifizierten Kunden durchführt. Dieser AVV wird bindend, wenn er in den Workspace-Vertrag einbezogen und als dessen Bestandteil angenommen wird. Parteien Brockhaus Ventures UG (haftungsbeschränkt) Falgerstraße 7 48147 Münster Germany Sitz: Münster Registergericht: Amtsgericht Münster Handelsregister: HRB 23872 Vertreten durch: Geschäftsführer: Alexander Brockhaus Kontakt: legal@noctraintelligence.com Produkt- und Geschäftsbezeichnung: NOCTRA Intelligence Kunde / Verantwortlicher, soweit anwendbar: Der in dem bestätigten Konto- oder Organisationsabschluss sowie der anwendbaren Unterschrift oder dem wirksamen Annahmenachweis bezeichnete identifizierte Kunde. 1. Parteien und Gegenstand Dieser AVV ergänzt den angenommenen Workspace-Vertrag zwischen dem identifizierten Kunden und der Brockhaus Ventures UG (haftungsbeschränkt) als Betreiberin des Produkts NOCTRA Intelligence. Er gilt nur, soweit NOCTRA personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet. Der Kunde ist Verantwortlicher, soweit er Zwecke und Mittel der erfassten Verarbeitung bestimmt; NOCTRA ist nur für die in Anhang 1 aufgeführten Tätigkeiten Auftragsverarbeiter. Gemischte Zahlungs-, Rechtsbefolgungs-, öffentliche Website-, Sicherheits- und eigenständige Geschäftstätigkeiten bleiben außerhalb dieses Kundenverarbeitungsanhangs und folgen ihrer jeweils anwendbaren Rolle und Rechtsgrundlage. 2. Dokumentierte Weisungen NOCTRA verarbeitet erfasste personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung, insbesondere nach Bestellung, diesem AVV, autorisierter Workspace-Konfiguration und dokumentierten Supportanfragen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung verlangt. Soweit gesetzlich zulässig, informiert NOCTRA den Kunden vor der Verarbeitung über eine solche Pflicht. Hält NOCTRA eine Weisung für datenschutzrechtswidrig, informiert NOCTRA den Kunden und darf die betroffene Weisung bis zur Klärung aussetzen. 3. Pflichten des Kunden Der Kunde ist für die Rechtmäßigkeit seiner Weisungen, die Rechtsgrundlage der kundenseitig verantworteten Verarbeitung, erforderliche Informationspflichten, Entscheidungen des Verantwortlichen über Betroffenenanträge, angemessene Workspace-Rollen und -Berechtigungen sowie die Vermeidung für den angewiesenen Zweck unnötiger personenbezogener Daten verantwortlich. Der Kunde muss Kampagnen- und Kontaktfunktionen rechtmäßig nutzen und darf diesen AVV nicht als Rechtsgrundlage für Ansprachen behandeln. 4. Besondere Kategorien personenbezogener Daten Die NOCTRA Plattform ist nicht für die routinemäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt, sofern die Parteien Zweck, Weisungen und Schutzmaßnahmen nicht ausdrücklich vereinbaren. Der Kunde muss unnötige sensible Informationen in Freitextfeldern vermeiden. Weist der Kunde eine solche Verarbeitung bewusst an, ist er für eine anwendbare Rechtsgrundlage und erforderliche Schutzmaßnahmen verantwortlich. Diese Bestimmung behauptet nicht, dass die Plattform solche Eingaben technisch sperrt. 5. Vertraulichkeit und Sicherheit NOCTRA stellt sicher, dass zur Verarbeitung der erfassten Daten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, des Umfangs und des Risikos unterhält NOCTRA die in Anhang 2 beschriebenen, im Repository nachgewiesenen Maßnahmen und überprüft sie bei Änderungen des Dienstes. 6. Unterauftragsverarbeiter Der Kunde erteilt NOCTRA die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter für die erfasste Verarbeitung einzusetzen. NOCTRA beauftragt einen Unterauftragsverarbeiter auf Grundlage einer schriftlichen Vereinbarung, die für die betreffende Verarbeitung die nach Art. 28 DSGVO erforderlichen Datenschutzpflichten auferlegt, und bleibt im gesetzlich erforderlichen Umfang für dessen Erfüllung verantwortlich. Die kanonische aktuelle Offenlegung wird auf der öffentlichen Seite Unterauftragnehmer geführt. NOCTRA informiert den benannten Vertragskontakt vor jeder vorgesehenen Ergänzung oder Ersetzung eines Unterauftragsverarbeiters über dessen Identität, Tätigkeit, Verarbeitungsorte und gegebenenfalls die Transfergrundlage. Die Information erfolgt grundsätzlich mindestens 14 Kalendertage vor Einsatz, damit der Kunde aus begründeten Datenschutzgründen widersprechen kann. Vor Klärung eines begründeten Widerspruchs wird der neue Anbieter nicht für die betroffenen Kundendaten eingesetzt. Die Parteien prüfen eine geeignete Alternative; ist keine rechtmäßige Lösung möglich, kann die betroffene Leistung ohne zusätzliche Beendigungsgebühr beendet werden. Eine allgemeine Genehmigung erlaubt keinen Einsatz ohne vorherige Information und Widerspruchsmöglichkeit. 7. Unterstützung bei Betroffenenrechten Unter Berücksichtigung der Art der Verarbeitung unterstützt NOCTRA den Kunden nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei Anträgen zur Ausübung von Betroffenenrechten. NOCTRA leitet Anfragen zu kundenseitig verantworteten Daten weiter und beantwortet sie nicht im Namen des Kunden, sofern keine Weisung oder gesetzliche Pflicht besteht. 8. Unterstützung bei Sicherheit, Verletzungen, DSFA und Konsultation Unter Berücksichtigung der verfügbaren Informationen und der Art der Verarbeitung unterstützt NOCTRA den Kunden bei anwendbaren Sicherheitspflichten, Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. NOCTRA informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung, die erfasste Kundendaten betrifft, und stellt verfügbare relevante Informationen erforderlichenfalls schrittweise bereit. 9. Löschung oder Rückgabe Nach Beendigung des Plattformvertrags darf der Kunde je nach Anwendbarkeit Rückgabe über einen verfügbaren Export und/oder Löschung verlangen. NOCTRA löscht die erfassten personenbezogenen Kundendaten nach dokumentierter Weisung des Kunden oder gibt sie zurück und löscht bestehende aktive Kopien, sofern anwendbares Recht keine Speicherung verlangt. Der Zeitpunkt richtet sich nach dem technisch verfügbaren Verfahren und der Art der angewiesenen Daten; ein einheitlicher nachvertraglicher Zugangszeitraum wird nicht zugesagt. Gesetzlich erforderliche Finanz-, Steuer-, Erstattungs-, Korrektur-, Sicherheits-, Vertrags-, Audit- oder Streitnachweise dürfen außerhalb der aktiven Verarbeitung aufbewahrt werden. Aufbewahrte Daten sind auf den anwendbaren Aufbewahrungs- oder Rechtszweck beschränkt und dürfen nicht zu gewöhnlichen aktiven Produktdaten werden. Jede Nachweiskategorie folgt ihrer anwendbaren gesetzlichen Rolle und Aufbewahrungspflicht; es gilt keine einheitliche Frist für sämtliche Kategorien. Die Löschung aus Sicherungs- oder beim Anbieter gehaltenen Kopien folgt dem technisch anwendbaren Löschverfahren; eine einheitliche Frist für die Löschung von Sicherungskopien wird nicht zugesagt. Daten, die auf Löschung warten, bleiben geschützt und werden nicht wieder der gewöhnlichen aktiven Nutzung zugeführt, soweit dies nicht für Wiederherstellung, Sicherheit oder rechtliche Pflichten erforderlich ist. 10. Informationen und Überprüfungen NOCTRA stellt zunächst vorhandene Compliance- und Sicherheitsdokumentation bereit, die vernünftigerweise zum Nachweis der Auftragsverarbeiterpflichten nach Art. 28 erforderlich ist. Reichen diese Nachweise nicht aus, darf der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer grundsätzlich höchstens einmal innerhalb von zwölf Monaten eine Überprüfung durchführen. Diese Häufigkeitsgrenze gilt nicht nach einem einschlägigen Vorfall, auf Verlangen einer zuständigen Behörde oder bei glaubhaften Anhaltspunkten für einen wesentlichen Verstoß. Überprüfungen erfolgen nach angemessener Vorankündigung, verhältnismäßig und unter Schutz anderer Kundendaten. Gesetzliche Kontroll- und Behördenrechte werden nicht beschränkt. NOCTRA verlangt keine zusätzliche Gebühr für die Erfüllung seiner gesetzlichen Nachweis- und Mitwirkungspflichten. Für eine darüber hinaus ausdrücklich gewünschte Sonderleistung bedarf eine Vergütung einer gesonderten Vereinbarung; sie ist keine Voraussetzung für gesetzliche Prüfungsrechte. 11. Internationale Übermittlungen NOCTRA macht erfasste Kundendaten in einem Drittland nur auf dokumentierte Weisung und auf Grundlage der nach anwendbarem Recht erforderlichen Übermittlungsgrundlage und Garantien zugänglich. Anbieterunternehmen, Verarbeitungsregionen und Übermittlungsmechanismen werden erst nach Prüfung in der öffentlichen Unterauftragnehmeroffenlegung und den anwendbaren Anbieterverträgen angegeben. 12. Haftung und Rangfolge Die Haftung nach diesem AVV folgt dem Haftungsrahmen des wirksamen Plattformvertrags und zwingendem Datenschutzrecht. Für erfasste Auftragsverarbeiterpflichten geht der abgeschlossene AVV widersprechenden Plattformbedingungen vor; die Bestellung geht nur vor, soweit sie die betreffende Bestimmung ausdrücklich und wirksam ändert. Anhang 1 — Beschreibung der Verarbeitung Konten- und Teamdaten Betroffene Personen: Workspace-Inhaber, Administratoren, Mitglieder und eingeladene Nutzer. Kategorien personenbezogener Daten: Namen, E-Mail-Adressen, Kontoidentifikatoren, Rollen- und Berechtigungszuweisungen, Einladungen, Mitgliedschaften und Zugriffsstatus. Zwecke: Nutzer authentifizieren und kundenseitig autorisierten Workspace-Zugang verwalten. Verarbeitungsvorgänge: Erheben, erfassen, ordnen, abrufen, anzeigen, aktualisieren, einschränken, widerrufen und löschen, soweit implementiert oder angewiesen. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Workspace- und Veranstalterbetriebsdaten Betroffene Personen: Kundenvertreter, Veranstalter, Personal, Promoter, Auftragnehmer und vom Kunden erfasste Geschäftskontakte. Kategorien personenbezogener Daten: Kontakt-, Rollen-, Veranstalter-, Event-, Venue-, Personal-, Betriebsnotiz-, Aufgaben-, Zeitplan-, Branding- und Konfigurationsdaten mit Personenbezug. Zwecke: Workspace, Events, externe Event Locations und verwaltete Venue-Abläufe des Kunden betreiben. Verarbeitungsvorgänge: Speichern, strukturieren, anzeigen, aktualisieren, Events oder Venues zuordnen, berichten und exportieren, soweit implementiert. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Gästelisten- und Einlassdaten Betroffene Personen: Gäste, VIPs, Teilnehmer, Promoter, Personal, externe Einlasskräfte und Passinhaber. Kategorien personenbezogener Daten: Namen, Listenkategorie, Zuordnung, kundenseitig eingegebene Notizen, Pass- und Einladungsidentifikatoren sowie Check-in-, Ablehnungs-, Widerrufs- und Zugriffsereignisdaten. Zwecke: Gästelisten-, Zutritts- und Einlassabläufe für das Event des Kunden vorbereiten und durchführen. Verarbeitungsvorgänge: Importieren oder eingeben, ordnen, anzeigen, suchen, validieren, Zugriffsereignisse erfassen, einschränken, widerrufen und berichten. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Daten von Ticketkäufern und Teilnehmern Betroffene Personen: Ticketkäufer, Rechnungskontakte, Ticketinhaber, Teilnehmer und Übertragungsempfänger. Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Rechnungskontaktdaten, Kauf- und Ticketreferenzen, Ticketmengen und -kategorien sowie geschützte Zugangs- und Übertragungsreferenzen. Zwecke: Ticketbestellung, Zustellung, Validierung, Übertragung und kundenseitig autorisierte Teilnehmerabläufe unterstützen. Verarbeitungsvorgänge: Erheben, erfassen, zuordnen, gegenüber berechtigten Kundennutzern und Dienstleistern offenlegen, zustellen, validieren, übertragen, einschränken und soweit erforderlich aufbewahren. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Reservierungs-, Bestell-, Ticket- und Erstattungsdaten Betroffene Personen: Käufer, Teilnehmer, Erstattungsempfänger und Kundennutzer, die Ticket- oder Erstattungsaktionen ausführen. Kategorien personenbezogener Daten: Reservierungsstatus, Bestell- und Zahlungsreferenzen, Positionen, Bruttobeträge und Währung, Ticketstatus, Erstattungsgründe und -referenzen, Rechnungs- oder Korrekturbelege und Aktionsmetadaten. Zwecke: Tickettransaktionen, Erfüllung, Erstattungsentscheidungen und zugehörige Nachweise des Kunden verwalten. Verarbeitungsvorgänge: Erstellen, validieren, abgleichen, Status aktualisieren, Dokumente ausstellen, kommunizieren, erstatten und implementierte unveränderliche oder versionierte Nachweise bewahren. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Kampagnen-Kundendaten Betroffene Personen: Kundenkontakte, potenzielle Teilnehmer und Zielgruppendatensätze, die ein berechtigter Workspace-Nutzer eingibt oder auswählt. Kategorien personenbezogener Daten: Kontakt-, Zielgruppen-, Segmentierungs-, Kampagnenkonfigurations-, Status- und Leistungsdaten, soweit eine Kampagnenfunktion genutzt wird. Zwecke: Kundenseitig gesteuerte Kampagnenabläufe konfigurieren und betreiben, soweit verfügbar und aktiviert. Verarbeitungsvorgänge: Importieren oder eingeben, ordnen, segmentieren, auswählen, anzeigen, aktualisieren und berichten. Dieser Anhang begründet keine Rechtsgrundlage für Kundenansprachen. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Event- und Berichtsnachweise Betroffene Personen: Kundennutzer und Personen, die in betrieblichen, kommerziellen oder Zutrittsdaten vertreten sind, welche in Event- oder periodische Berichte einfließen. Kategorien personenbezogener Daten: Nutzerzuordnung, Eventbetrieb, Anwesenheit, Ticketing, Umsatz, Kosten, Leistung, Version und Erstellungsmetadaten, soweit personenbezogen. Zwecke: Kundenseitig angeforderte Betriebs- und Leistungsberichte sowie deren Nachweishistorie erzeugen, darstellen und bewahren. Verarbeitungsvorgänge: Aggregieren, berechnen, strukturieren, darstellen, versionieren, soweit implementiert exportieren und abgeschlossene Nachweise bewahren. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Support- und Sicherheitsdaten Betroffene Personen: Kundennutzer, Kontakte und Personen, deren Daten in einer kundenseitig autorisierten Support- oder Sicherheitsanfrage erscheinen. Kategorien personenbezogener Daten: Kontaktdaten, Anfrageinhalt, relevante Workspace-Datensätze, technische Ereignisdaten, Zugriffs- oder Widerrufsstatus und pseudonymisierte Missbrauchssignale, soweit NOCTRA diese im Kundenauftrag verarbeitet. Zwecke: Kundenseitig autorisierte Supportfälle bearbeiten und Workspace sowie Abläufe des Kunden schützen. Verarbeitungsvorgänge: Empfangen, prüfen, abrufen, diagnostizieren, kommunizieren, einschränken, widerrufen und Lösungsnachweise erfassen. Dauer: Für die betreffende Workspace-Leistung und danach nur bis zum Abschluss der angewiesenen Löschung oder Rückgabe über das technisch verfügbare Verfahren, vorbehaltlich anwendbarer gesetzlicher Aufbewahrung. Anhang 2 — Technische und organisatorische Maßnahmen Diese technische Bestandsaufnahme beschreibt im Repository nachgewiesene Kontrollen. Sie ist weder Zertifizierung noch Auditbericht oder Garantie eines bestimmten Sicherheitsstandards. Authentifizierung und Zugriffskontrolle Authentifizierung Supabase Auth unterstützt Nutzeridentität und Sitzungen; geschützte Serverabläufe ermitteln den authentifizierten Nutzer über serververwaltete Authentifizierung, statt einer clientseitig übermittelten Identität zu vertrauen. Begrenzte Autorisierung Workspace-begrenzte Autorisierung, Inhaber-/Admin-/Mitgliederrollen, Modulberechtigungen und Datenbank-RLS oder geschützte RPC-Pfade beschränken Anwendungsvorgänge auf autorisierte Bereiche. Privilegierte Zugangsdaten Der Supabase-Service-Role-Client und andere privilegierte Zugangsdaten sind auf serverseitige Module beschränkt und werden nicht absichtlich an Browsercode übermittelt. Zugriffs- und Widerrufskontrollen Workspace-Mitgliedschaften, Einladungen, Einlasszugänge und ausgewählte Pass- oder Übertragungsberechtigungen verfügen über implementierte Widerrufs- oder Ablaufkontrollen; Kontoabläufe unterstützen begrenzte Abmeldung und Sitzungswiderruf. Daten- und Transaktionsschutz Geschützte Token und Missbrauchssignale Ausgewählte Checkout- und Übertragungsberechtigungen werden als SHA-256-Hashes gespeichert oder verglichen; die öffentliche Ratenbegrenzung leitet mittels HMAC ein pseudonymisiertes Signal ab, statt das verfügbare rohe Anfrage-Ursprungssignal im Limiter-Schlüssel zu speichern. Zeitlich begrenzter Dateizugriff Soweit für Event-Cover und Veranstalter-Branding implementiert, werden gespeicherte Dateien über zeitlich begrenzte signierte URLs statt über dauerhafte öffentliche Anwendungs-URLs dargestellt. Webhook-Prüfung Stripe-Connect-Webhook-Ereignisse werden erst nach Signaturprüfung anhand des konfigurierten Webhook-Geheimnisses konstruiert. Idempotente Transaktionskontrollen Ticket-Checkout-, Erstattungs- und transaktionale E-Mail-Abläufe verwenden begrenzte Idempotenzschlüssel oder gespeicherte Anbieterreferenzen, um unbeabsichtigte Doppelvorgänge zu reduzieren. Versionierte und unveränderliche Nachweise Implementierte Nachweise zu Vertragsschluss, Berichten, Finanzen, Steuern, Erstattungen und Korrekturen verwenden versionierte Snapshots oder Append-only- und Unveränderlichkeitsprüfungen in abgeschlossenen Nachweispfaden. Betriebssicherheit und Änderungskontrolle Ratenbegrenzung Upstash Redis unterstützt serverseitige Begrenzungen für ausgewählte öffentliche Reservierungs- und Erstattungsvorgänge; Limiter-Analytics ist in der aktuellen Konfiguration deaktiviert. Sichere Entwicklung und Abhängigkeitskontrolle Das Repository verwendet eine Abhängigkeits-Lockdatei und eine schreibgeschützte CI-Qualitätsprüfung, die gesperrte Abhängigkeiten installiert und bei Pull Requests sowie Pushes auf den Hauptbranch Linting, TypeScript-Prüfung, deterministische Tests und einen Produktions-Build ausführt. Deployment- und Änderungskontrollen Repository-Vorgaben trennen Produktions- und Vorschaukonfiguration, untersagen Produktionszugangsdaten in Vorschauumgebungen und bilden Datenbankschemaänderungen über versionierte Vorwärtsmigrationen ab. Diese Kontrollen stellen weder eine Zertifizierung noch eine Verfügbarkeitszusage dar. Sicherheitsvorfallkontakt und Benachrichtigung NOCTRA veröffentlicht einen gesonderten Sicherheitskontakt. Ziffer 8 verlangt eine unverzügliche Benachrichtigung, nachdem NOCTRA eine Verletzung des Schutzes personenbezogener Daten mit Auswirkungen auf erfasste Kundendaten bekannt wird, und erlaubt erforderlichenfalls die schrittweise Bereitstellung relevanter Informationen. Anhang 3 — Unterauftragnehmer Die kanonische öffentliche Anbieterübersicht wird auf der Seite Unterauftragnehmer geführt. Sie enthält technische Einordnungen und ausdrücklich ungeklärte Anbieterangaben, statt diese in diesem Anhang zu duplizieren. Der Kunde erteilt eine allgemeine schriftliche Genehmigung für Unterauftragsverarbeiter vorbehaltlich des Änderungsmitteilungs- und begründeten Widerspruchsverfahrens nach Ziffer 6. Die aktuellen Workspace-Unterauftragsverarbeiter sind in der öffentlichen Unterauftragnehmeroffenlegung aufgeführt. Tätigkeiten außerhalb des Kundenverarbeitungs-Anhangs NOCTRAs eigene Plattformkonto-, Vertrags-, Rechnungs- und Geschäftskontaktverwaltung. Plattformsicherheit, Betrugs- oder Missbrauchsprävention und Rechtsverteidigung, soweit NOCTRA die betreffenden Zwecke und Mittel bestimmt. In der Datenschutzerklärung beschriebene Tätigkeiten der öffentlichen Website, Workspace-Zugangsanfragen und einwilligungsabhängigen Analyse. Stripe-Zahlungs- und Connect-Tätigkeiten, gesetzlich erforderliche Transaktionsnachweise und sonstige Verarbeitungen mit gemischten Rollen, bis jede Rolle vertraglich geprüft ist. Betriebswege und Sicherungen Weisungen, Rechteanfragen, Datenkopie und Löschung können über /account/manage dokumentiert werden; Datenschutz- und Sicherheitsmeldungen gehen an legal@noctraintelligence.com. Gesetzliche Fristen bleiben bestehen. Eine Eingangsbestätigung ist keine Erledigungsbestätigung. Die Anwendungsdatenbank für den regulären Betrieb liegt bei Supabase in Irland (eu-west-1). Entwicklung und Tests verwenden eine getrennte Umgebung mit Testdaten. Anbieterübergreifende Verarbeitung und Übermittlungen richten sich nach der Anbieterübersicht; eine ausschließlich europäische Verarbeitung wird nicht zugesagt. Eigene Sicherungen werden vor Ablage verschlüsselt und zugriffsbeschränkt gespeichert. Das Sicherungskonzept umfasst einen betrieblich verwalteten Mac und eine zusätzliche verschlüsselte Kopie im privaten Speicher desselben Supabase-Projekts. Der Entschlüsselungsschlüssel wird nicht zusammen mit der Supabase-Kopie gespeichert. Der lokale Sicherungsprozess läuft bei verfügbarem Gerät täglich und holt fällige Läufe nach. Diese Kombination ist keine zusätzliche Verfügbarkeits- oder Wiederherstellungszeitgarantie. Aufbewahrung für persönliche Planung Aktive Planungsdaten bleiben für die vereinbarte Leistung gespeichert. Nach Vertragsende werden die Workspaces sofort gesperrt; ihre operative Löschung bzw. Rückgabe wird binnen 30 Tagen geprüft und durchgeführt, soweit keine dokumentierten Rechte weiterer Personen oder gesetzlichen Aufbewahrungspflichten entgegenstehen. Bestätigte Rechteanfragen werden grundsätzlich innerhalb eines Kalendermonats bearbeitet; zulässige Verlängerungen werden begründet mitgeteilt. Vertrags- und bearbeitete Anfragenachweise werden zur Rechtsverteidigung grundsätzlich bis zum Ende des dritten Kalenderjahres nach Vertragsende bzw. Erledigung beschränkt aufbewahrt und dann gelöscht. Eine dokumentierte gesetzliche Pflicht oder ein konkreter Rechtsstreit kann eine begrenzte längere Speicherung erfordern. Unzugeordnete öffentliche Erklärungen werden nach 90 Tagen zur Löschung geprüft. Versandkopien im eigenen Versandpuffer werden nach 30 Tagen gelöscht; dauerhaft benötigte Vertragsbestätigungen bleiben getrennt als Nachweis erhalten. Eigene verschlüsselte Sicherungen werden für sieben Kalendertage aufbewahrt. GitHub wird für diese Sicherungen nicht eingesetzt; seine gesonderte Vertragsklärung aktiviert keinen Datenexport. Daten mit Löschauftrag werden bei einer Wiederherstellung vor erneuter Nutzung wieder entfernt. Dienstleisterfristen und Transferangaben stehen in den Datenschutzhinweisen und der Anbieterübersicht.