Firstier Auftragsverarbeitungsvertrag

Dienst

Firstier Shield — Control-Webanwendung und Web-Browsererweiterung: Inventarisierung der im Browser genutzten AI-Tools, Durchsetzung der Richtlinien des Kunden zur Verhinderung von Datenabfluss (Data Loss Prevention), Compliance-Audit-Trail.

Datenexporteur

Kunde, wie im Unterschriftsblock angegeben; Anschrift wie in der Vereinbarung angegeben. Rolle: Verantwortlicher.

Datenimporteur

Anbieter (Firstier AI Governance GmbH), Franz-Joseph-Straße 48, 80801 München, Deutschland. Ansprechpartner: die Geschäftsführer der Firstier AI Governance GmbH (siehe Impressum). Rolle: Auftragsverarbeiter.

Kategorien betroffener Personen

• Beschäftigte des Kunden

Kategorien personenbezogener Daten

• Name
• Kontaktdaten wie E-Mail-Adresse, Telefonnummer oder Anschrift
• Nutzeraktivität und -analyse wie Geräteinformationen oder IP-Adresse

Besondere Kategorien personenbezogener Daten

Es werden keine besonderen Kategorien personenbezogener Daten verarbeitet.

Häufigkeit der Übermittlung

Kontinuierlich.

Art und Zweck der Verarbeitung

Der Anbieter verarbeitet personenbezogene Daten des Kunden gemäß den Weisungen nach Abschnitt 3.2 der DPA Standard Terms. Die Art der Verarbeitung umfasst:

• Erheben von Daten, einschließlich Sammeln, Zugreifen, Abrufen, Aufzeichnen und Dateneingabe
• Vorhalten von Daten, einschließlich Speicherung, Organisation und Strukturierung
• Schutz von Daten, einschließlich Einschränkung, Verschlüsselung und Sicherheitstests
• Löschung von Daten, einschließlich Vernichtung und Entfernung

Dauer der Verarbeitung

Der Anbieter verarbeitet personenbezogene Daten des Kunden so lange, wie dies erforderlich ist, (i) um die nach Abschnitt 2.2(a)–(d) der Standard Terms weisungsgemäßen Verarbeitungstätigkeiten durchzuführen oder (ii) nach anwendbarem Recht.

Genehmigte Unterauftragsverarbeiter

• Supabase (Datenbank und Authentifizierung) — Standort: EU. Speicherung von Discovery- und Audit-Metadaten sowie Kontoauthentifizierung — niemals Prompt- oder Dateiinhalte.
• Cloudflare (Hosting, WAF-/DDoS-Schutz, API-Gateway) — Standort: EU-Edge / globales Netzwerk. Hosting, Edge- und API-Gateway-Datenverkehr.
• Resend (transaktionale E-Mails) — Standort: USA. Versand von Einladungen und Benachrichtigungen — nur Empfängeradresse und Links.
• Sentry (technische Fehlerdiagnose) — Standort: EU. Fehlerdiagnose ohne personenbezogene Inhalte.

Sicherheitskontakt des Anbieters

[email protected] · Firstier AI Governance GmbH, Franz-Joseph-Straße 48, 80801 München, Deutschland

Anwendbares Recht und Gerichtsstand

Deutschland (Gerichte in München). Beschränkte Übermittlungen (EWR): Deutschland.

Zuständige Aufsichtsbehörde

Aufsichtsbehörde ist die Aufsichtsbehörde des Datenexporteurs, bestimmt gemäß Klausel 13 der EWR-SCC (EEA SCCs) oder der einschlägigen Bestimmung des UK-Addendums.

Technische und organisatorische Maßnahmen (Anhang II)

• Benutzeridentifizierung und -autorisierung: Die Daten jeder Organisation sind durch Row-Level-Security isoliert; nur authentifizierte Nutzer dieser Organisation können darauf zugreifen. Der Zugriff von Mitarbeitern des Anbieters auf die Admin-Konsole erfordert Single Sign-On hinter einem Zugriffs-Gateway.
• Übermittlung (in transit): Der gesamte Datenverkehr zwischen Browsererweiterung, Webanwendung und Backend ist mit TLS verschlüsselt.
• Speicherung (at rest): Personenbezogene Daten des Kunden werden in der EU-Region des Datenbank-Unterauftragsverarbeiters (Supabase) gespeichert und im Ruhezustand verschlüsselt.
• Protokollierung von Ereignissen: Ereignisse der Richtliniendurchsetzung und Audit-Ereignisse (Aktionstyp, Ergebnis, angewandte Richtlinie) werden je Organisation protokolliert und stehen den Administratoren des Kunden zur Verfügung.
• Datenminimierung: Erkennung und Schwärzung (Redaction) laufen auf dem Gerät des Nutzers; Prompt- und Dateiinhalte verlassen das Gerät nie. Es werden nur Metadaten gespeichert (Domain des AI-Dienstes, Zeitstempel, Organisations-/Nutzerkennungen, Richtlinienergebnis).
• Begrenzte Speicherdauer: Discovery- und Audit-Ereignisse werden höchstens 24 Monate aufbewahrt, sofern mit dem Kunden nichts anderes vereinbart ist, und anschließend gelöscht.