01Verantwortlicher
Verantwortlicher für die Datenverarbeitung auf dieser Website und in unseren Produkten und Diensten im Sinne der DSGVO ist:
- Unternehmen
- eramux UG (haftungsbeschränkt) Richard-Strauss-Straße 31 81677 München · Deutschland
- Kontakt
- privacy@eramux.com
Wir haben geprüft, ob wir nach Art. 37 DSGVO und § 38 BDSG zur Bestellung eines Datenschutzbeauftragten verpflichtet sind. Auf Grundlage unserer derzeitigen Verarbeitungstätigkeiten ist die förmliche Bestellung eines Datenschutzbeauftragten derzeit nicht erforderlich; sollte sich das ändern, aktualisieren wir diese Erklärung. Fragen zum Datenschutz können Sie direkt an privacy@eramux.com richten.
02Grundsätze
Wir behandeln personenbezogene Daten als Risiko, nicht als Vermögenswert. Konkret:
- Wir erheben nur die Daten, die für die von Ihnen genutzte Funktion erforderlich sind.
- Wir verkaufen oder vermieten personenbezogene Daten niemals.
- Wir setzen auf dieser Website keine Werbe-Tracker Dritter, keine Social-Media-Pixel und kein verhaltensbezogenes Profiling ein.
- Inhalte, die Sie an unsere Dienste übermitteln, werden nur im erforderlichen Umfang verarbeitet; das Original wird unverzüglich gelöscht oder anonymisiert (siehe Abschnitt 05).
- Wenn wir einen Auftragsverarbeiter einsetzen, führen wir ihn auf (siehe Abschnitt 08) und stellen einen Auftragsverarbeitungsvertrag sicher.
03Wann wir Verantwortlicher sind und wann wir für Kunden tätig werden
Für die Administration der Website, die Kontoerstellung, Abrechnung, den Support, Sicherheit, Betrugsprävention, Missbrauchsbearbeitung sowie die Verwaltung unserer eigenen Produkte und Dienste sind wir Verantwortlicher; der übrige Teil dieser Erklärung beschreibt diese Verarbeitung.
Soweit ein Kunde Inhalte an eines unserer Produkte oder Dienste übermittelt (etwa über unsere API) und wir diese Inhalte ausschließlich nach den dokumentierten Weisungen des Kunden auf Grundlage eines gesonderten Kundenvertrags oder Auftragsverarbeitungsvertrags verarbeiten, handeln wir insoweit als Auftragsverarbeiter. In diesen Fällen ist der Kunde Verantwortlicher: Er ist für die vorrangige Datenschutzinformation gegenüber seinen eigenen Nutzern und für die Rechtsgrundlage dieser Verarbeitung verantwortlich.
04Daten der Website
Server-Logfiles
Wenn Sie diese Website besuchen, verarbeiten unsere Hosting- und Content-Delivery-Dienstleister technische Verbindungsdaten, damit die Website sicher ausgeliefert werden kann:
- IP-Adresse (soweit möglich, zeitnah nach der Erhebung gekürzt oder anderweitig anonymisiert)
- Datum und Uhrzeit der Anfrage
- angeforderte URL und HTTP-Status
- Referrer und User-Agent-String
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse am Betrieb einer sicheren, stabilen Website. Speicherdauer: Rohlogs werden nur so lange aufbewahrt, wie es für Sicherheit, Fehlersuche und Missbrauchsprävention erforderlich ist, und anschließend gelöscht.
Analyse
Wir verwenden keine Analysedienste Dritter, keine Werbe- oder seitenübergreifende Analyse und kein verhaltensbezogenes Profiling oder Tracking-Pixel auf dieser Website. Sollten wir künftig eine Analyse einführen, beschreiben wir hier zuvor das Werkzeug, die verarbeiteten Daten, eine etwaige Speicherung auf dem Endgerät, die Speicherdauer und die Rechtsgrundlage.
05Daten aus unseren Produkten und Diensten
Wenn Sie unsere Produkte und Dienste nutzen (Web, CLI oder API):
- Von Ihnen übermittelte Inhalte werden auf unseren Servern verarbeitet, um das von Ihnen angeforderte Ergebnis zu liefern; das Original wird unverzüglich nach der Verarbeitung gelöscht.
- Abgeleitete Daten (kompakte Repräsentationen, aus denen sich der ursprüngliche Inhalt nicht rekonstruieren lässt) können aufbewahrt werden, um unsere Modelle zu verbessern und qualitativ zu prüfen. Wir anonymisieren sie so weit wie möglich; soweit aufbewahrte Daten mit verhältnismäßig verfügbaren Mitteln noch einem Konto oder API-Schlüssel zugeordnet werden können, behandeln wir sie als personenbezogene und nicht als anonyme Daten. Soweit unsere API einen Opt-out pro Anfrage anbietet (etwa ein No-Retain-Flag), können Sie diesen nutzen.
- Verarbeitungsergebnisse werden nur so lange aufbewahrt, wie es für Diagnose- und Missbrauchspräventionszwecke erforderlich ist.
- API-Schlüssel-Aktivität (Anzahl der Anfragen, Zeitstempel, Latenz, Fehlerquoten) wird für einen begrenzten Zeitraum für Abrechnung, Support und die Kalibrierung von Rate-Limits aufbewahrt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Lieferung des von Ihnen angeforderten Ergebnisses; Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an Sicherheit, Missbrauchsprävention, Zuverlässigkeit und Verbesserung des Dienstes) für aufbewahrte abgeleitete Daten und API-Schlüssel-Aktivität. Soweit wir von Kunden übermittelte Inhalte ausschließlich nach den dokumentierten Weisungen eines Kunden verarbeiten, handeln wir insoweit als Auftragsverarbeiter (siehe Abschnitt 03).
Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen über Personen, die rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Unsere Dienste liefern ein technisches Ergebnis; es wird nicht für Eignungsentscheidungen über Personen verwendet.
06Kontakt & E-Mail
Wenn Sie uns an eine unserer veröffentlichten Adressen schreiben (z. B. hello@, beta@, privacy@, legal@, press@, security@), erhalten wir Ihre E-Mail-Adresse, Ihren Namen (sofern angegeben) und den Nachrichteninhalt. Wir verwenden diese, um Ihnen zu antworten und, soweit zweckmäßig, Wartelisten- oder Anfrageanliegen nachzuhalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Korrespondenz). Speicherdauer: Bis zur Erledigung des Anliegens zuzüglich gesetzlicher Aufbewahrungsfristen.
08Auftragsverarbeiter
Wir setzen die folgenden Auftragsverarbeiter ein, jeweils auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO):
- Hosting
- Hetzner Online GmbH · Deutschland
- CDN & Edge-Sicherheit
- Cloudflare, Inc. · USA, auf Grundlage von SCC / EU-US DPF
- Google Ireland Limited · Irland (EU); Google LLC (USA) als Unterauftragsverarbeiter auf Grundlage von EU-US DPF / SCC
Einzelne Empfänger können für eng umgrenzte eigene Zwecke (etwa ihre eigene Abrechnung und Sicherheit) als eigenständige Verantwortliche handeln; für diese Verarbeitung gelten deren eigene Datenschutzbestimmungen.
09Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck, für den sie erhoben wurden, erforderlich ist, und löschen oder anonymisieren sie anschließend. Konkret:
- Sicherheits-Logs der Website: ein kurzer betrieblicher Zeitraum.
- Kontakt- und Support-Korrespondenz: solange das Anliegen aktiv ist und für einen begrenzten Zeitraum danach.
- Eingabedaten der Dienste: ursprüngliche Uploads unverzüglich nach der Verarbeitung gelöscht; Verarbeitungsergebnisse und API-Schlüssel-Aktivität nur für die in Abschnitt 05 beschriebenen begrenzten Zeiträume; aufbewahrte abgeleitete Daten nur für den Zeitraum der Modellverbesserung.
- Konto- und Abrechnungsunterlagen: für die Dauer des Kontos, danach für die nach deutschem Handels- und Steuerrecht vorgeschriebenen Fristen (§ 257 HGB, § 147 AO, in der Regel 6 oder 10 Jahre).
- Backups: im Rahmen des üblichen Backup-Rotationszyklus bereinigt.
Soweit eine exakte Frist nicht möglich ist, sind die maßgeblichen Kriterien betriebliche Notwendigkeit, Vertragsdauer, gesetzliche Aufbewahrungspflichten, Streitrisiko und Sicherheitsbedarf.
10Sicherheit & Datenpannen
Wir treffen technische und organisatorische Maßnahmen, die den Risiken unserer Verarbeitung angemessen sind, darunter Zugriffskontrolle, Least-Privilege-Zugriff, Verschlüsselung bei der Übertragung, Protokollierung, sicheres Löschen und Incident Response. Kein System ist jemals vollständig sicher. Werden wir auf eine Verletzung des Schutzes personenbezogener Daten aufmerksam, bewerten wir das Risiko unverzüglich und benachrichtigen die zuständige Aufsichtsbehörde sowie betroffene Personen, soweit gesetzlich vorgeschrieben (Art. 33 und 34 DSGVO).
11Ihre Rechte
Nach der DSGVO haben Sie das Recht:
- auf Auskunft über die zu Ihrer Person gespeicherten personenbezogenen Daten (Art. 15)
- auf Berichtigung unrichtiger Daten (Art. 16)
- auf Löschung Ihrer Daten, vorbehaltlich gesetzlicher Pflichten (Art. 17)
- auf Einschränkung der Verarbeitung Ihrer Daten (Art. 18)
- auf Datenübertragbarkeit in einem gängigen Format (Art. 20)
- auf Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21)
- eine Einwilligung jederzeit zu widerrufen, soweit die Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 3)
Zur Ausübung dieser Rechte schreiben Sie an privacy@eramux.com. Wir antworten unverzüglich und innerhalb eines Monats; bei komplexen oder zahlreichen Anträgen kann sich die Frist um bis zu zwei weitere Monate verlängern.
Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren: in dem EU-/EWR-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77). Die für die eramux UG zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
12Kinder
Unsere Website, Produkte und Dienste richten sich nicht an Kinder. Erfahren wir, dass wir personenbezogene Daten eines Kindes in einer Weise erhoben haben, die einer Einwilligung der Eltern bedarf oder anderweitig unzulässig ist, löschen wir diese Daten oder holen die erforderliche Einwilligung ein.
13Drittlandübermittlungen
Der Großteil unserer Infrastruktur befindet sich in Deutschland oder der EU/dem EWR. Soweit personenbezogene Daten in ein Drittland außerhalb der EU/des EWR übermittelt werden oder von dort darauf zugegriffen wird (etwa zu Cloudflare, Inc. für Content Delivery und Edge-Sicherheit oder wenn ein Auftragsverarbeiter wie unser E-Mail-Anbieter einen US-Unterauftragsverarbeiter einsetzt), stützen wir uns auf einen einschlägigen Übermittlungsmechanismus: einen Angemessenheitsbeschluss der EU (einschließlich des EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nebst ergänzenden Maßnahmen, soweit erforderlich. Soweit Daten aus dem Vereinigten Königreich betroffen sind, verwenden wir das UK Addendum zu den EU-Standardvertragsklauseln oder das UK IDTA. Auf Anfrage informieren wir Sie über die für eine bestimmte Übermittlung maßgebliche Garantie.
14Hinweis für Kalifornien
Dieser Abschnitt gilt nur, sofern und soweit der California Consumer Privacy Act (CCPA/CPRA) auf unsere Verarbeitung Anwendung findet. Soweit er anwendbar ist, beschreiben wir die Kategorien der erhobenen personenbezogenen Informationen, die Quellen, die geschäftlichen und kommerziellen Zwecke, die Kategorien der Empfänger sowie die Aufbewahrung je Kategorie oder die verwendeten Kriterien. Wir verkaufen oder teilen keine personenbezogenen Informationen. Berechtigte kalifornische Verbraucher können die Rechte auf Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf oder Weitergabe sowie auf Beschränkung der Nutzung sensibler personenbezogener Informationen ausüben; wir berücksichtigen anerkannte Opt-out-Präferenzsignale. Anfragen können an privacy@eramux.com gerichtet werden.
15Änderungen dieser Erklärung
Bei wesentlichen Änderungen dieser Erklärung aktualisieren wir das Datum „Zuletzt aktualisiert“ am Seitenanfang und benachrichtigen bei inhaltlichen Änderungen betroffene Nutzer per E-Mail. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.
16Maßgebliche Sprachfassung
Diese Datenschutzerklärung wird auch in englischer Sprache bereitgestellt. Bei Abweichungen zwischen der deutschen und der englischen Fassung ist die deutsche Fassung maßgeblich.