Diese Bedingungen regeln die Nutzung von Kernflow durch Geschäftskunden. Die enthaltene Vereinbarung zur Auftragsverarbeitung ergänzt sie, wenn Kernflow personenbezogene Kundeninhalte im Auftrag verarbeitet. Individuelle Vereinbarungen und die bei Buchung vereinbarte Leistungsbeschreibung bleiben maßgeblich.
Anbieter ist Kernflow UG (haftungsbeschränkt), Postplatz 2, 01067 Dresden, Deutschland; E-Mail: office@kernflow.io, Website: https://kernflow.io, nachfolgend Kernflow.
Das Angebot richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Der Kunde nutzt Kernflow für seine selbstständige berufliche oder gewerbliche Tätigkeit. Ein Verbrauchervertrag ist nicht Gegenstand dieses Angebots. Die tatsächliche Unternehmereigenschaft ist maßgeblich.
Individuelle Vereinbarungen gehen diesen Bedingungen vor. Abweichende Kundenbedingungen gelten nur bei ausdrücklicher Vereinbarung. Für datenschutzrechtliche Pflichten im Auftragsverhältnis hat die AV-Anlage Vorrang. Die Datenschutzerklärung erläutert die Verarbeitung und ist keine pauschale Einwilligung.
Die Website dient der Darstellung des Angebots. Ein kostenpflichtiger Vertrag kommt im freigeschalteten Buchungsablauf durch Bestellung und ausdrückliche Annahme beziehungsweise bestätigte Freischaltung durch Kernflow zustande. Außerhalb dieses Ablaufs kann ein Vertrag durch ein ausdrücklich angenommenes Angebot in Textform zustande kommen. Die bloße Auswahl eines Pakets auf einer nicht aktiven Buchungsseite schließt kein Abo ab.
Vor Abschluss erhält der Kunde Preis, Abrechnungsintervall, Laufzeit, vereinbarte Leistungen sowie diese Bedingungen und gegebenenfalls die AV-Anlage. Maßgeblich ist die bei Abschluss vereinbarte Leistungsbeschreibung; die Vertragsbestätigung dokumentiert die Bestellung. Kernflow stellt die vereinbarten Vertragsunterlagen in speicherbarer Form bereit.
Kernflow ist eine über das Internet bereitgestellte Software zur Contentrecherche und Vorbereitung von Ideen, Hooks, Skripten und Contentplänen. Export und Performancefunktionen sind nur im konkret gebuchten Leistungsumfang geschuldet. Eine individuelle Beratung, bestimmte Veröffentlichung oder ein bestimmter wirtschaftlicher Erfolg sind nur bei ausdrücklicher zusätzlicher Vereinbarung geschuldet.
Die dargestellten Standardpakete umfassen Starter mit einem Kundenaccount, Growth mit bis zu fünf, Pro mit bis zu zehn und Scale mit bis zu zwanzig Kundenaccounts. Ein Kundenaccount ist ein gesonderter Arbeitsbereich für einen betreuten Kunden beziehungsweise eine Marke. Eine unterschiedliche Zahl von Nutzerzugängen wird damit nicht zugesagt; Nutzerlimits müssen vor Buchung ausdrücklich ausgewiesen werden.
Ein freier oder ordnungsgemäß archivierter Kundenbereich kann neu belegt werden. Das fortlaufende Austauschen von Kundenprofilen zur parallelen Betreuung von mehr aktiven Kunden als gebucht ist nicht zulässig. Export und zulässige Archivierung dürfen dadurch nicht unangemessen erschwert werden.
Die Skripterstellung ist im Rahmen einer dem gebuchten Tarif und dem vereinbarten Leistungszweck entsprechenden, angemessenen Nutzung (Fair Use) enthalten. Ein unbegrenztes Abrufvolumen wird nicht zugesagt. Missbräuchlich sind insbesondere automatisierte Massenabfragen, die Umgehung technischer Schutzmaßnahmen und Nutzungen, die die Stabilität oder Sicherheit der Plattform erheblich beeinträchtigen. Bei einer solchen Nutzung kann Kernflow den Kunden auf die Auffälligkeit hinweisen und nach angemessener Gelegenheit zur Abhilfe verhältnismäßige Nutzungsbegrenzungen vornehmen. Bei einer konkreten akuten Gefahr für Sicherheit oder Verfügbarkeit sind vorübergehende sofortige Schutzmaßnahmen zulässig. Eine übliche, auch intensive Agenturnutzung wird nicht allein aufgrund ihres Umfangs als Missbrauch behandelt.
Es gelten der bei Abschluss ausgewiesene Preis und Steuerstatus. Die ausgewiesenen B2B-Preise sind Nettopreise. Umsatzsteuer wird zusätzlich nur berechnet, soweit sie gesetzlich geschuldet ist; die bei Buchung angegebene steuerliche Behandlung und der ausgewiesene Gesamtbetrag sind maßgeblich.
Die monatliche beziehungsweise jährliche Vergütung wird im Voraus über den vereinbarten Zahlungsweg, insbesondere Stripe, abgerechnet. Der Abrechnungszeitraum beginnt mit dem bestätigten Start des bezahlten Abos; etwaige ausdrücklich vereinbarte abweichende Abrechnungstermine werden vor Abschluss mitgeteilt. Eine Setupgebühr fällt bei den Standardpaketen nicht an.
Monatsabonnements laufen jeweils einen monatlichen Abrechnungszeitraum und verlängern sich um einen weiteren monatlichen Zeitraum, wenn nicht zuvor eine Kündigung zugeht. Der Kunde kann jederzeit zum Ende des laufenden Zeitraums kündigen. Es gibt keine zusätzliche Vorlauffrist. Maßgeblich ist das in der Vertragsbestätigung und im Konto angegebene Periodenende, nicht automatisch das Ende des Kalendermonats.
Jahresabonnements laufen zwölf Monate ab dem bestätigten Start und verlängern sich um weitere zwölf Monate, wenn nicht zuvor eine Kündigung zugeht. Der Kunde kann die Kündigung jederzeit für das Ende der laufenden Jahresperiode erklären. Der Zugriff bleibt bis dahin bestehen. Wegen einer ordentlichen Kündigung oder freiwilliger Nichtnutzung erfolgt keine anteilige Erstattung der vereinbarten Jahresvergütung.
Kündigungen sind über die angebotene Kontofunktion oder per E-Mail an den Anbieter möglich. Eine Kündigung erfordert keinen Telefontermin und kein unterschriebenes Formular. Kernflow bestätigt Zugang und Vertragsenddatum in Textform. Für Kernflow gilt bei ordentlicher Kündigung eine Ankündigungsfrist von mindestens 30 Tagen zum Ende der jeweiligen Periode; bei Monatsverträgen erforderlichenfalls zum nächsten zulässigen Periodenende.
Die Rechte zur außerordentlichen Kündigung aus wichtigem Grund, gesetzliche Erstattungsansprüche und zwingende Anbieterwechselrechte bleiben unberührt. Weder Tokens noch Nutzungsumfang lassen solche Rechte entfallen.
Ein Upgrade wird mit ausdrücklicher Buchung zu den vorher angezeigten Kosten und dem dort angegebenen Zeitpunkt wirksam. Eine anteilige Nachberechnung oder Änderung des Abrechnungstermins muss vor Bestätigung erkennbar sein. Ein Downgrade erfolgt grundsätzlich zum Ende des laufenden bezahlten Zeitraums, sofern nichts Abweichendes vereinbart wird.
Vor einem Downgrade wird der Kunde auf überzählige aktive Kundenaccounts hingewiesen und kann auswählen, welche Bereiche aktiv bleiben. Kernflow löscht Inhalte nicht ohne die dafür vereinbarte Regel und erforderliche Exportmöglichkeit. Die technische Begrenzung darf nicht gesetzliche Datenzugriffsrechte verhindern.
Der Kunde macht zutreffende Vertrags- und Rechnungsangaben, hält Zugangsdaten vertraulich und vergibt Zugriffe nur an berechtigte Personen. Bei Anzeichen eines unbefugten Zugriffs informiert er Kernflow unverzüglich. Der Kunde benötigt eine geeignete Internetverbindung und einen aktuellen unterstützten Browser; technische Voraussetzungen werden vor Abschluss beschrieben.
Der Kunde darf Inhalte nur eingeben oder zugänglich machen, soweit die erforderlichen Rechte und datenschutzrechtlichen Grundlagen bestehen. Unzulässig sind rechtswidrige Inhalte, Verletzungen fremder Rechte, Umgehung von Sicherheitsmaßnahmen, Schadsoftware und automatisierte Überlastung. Ein eigenständiger Weiterverkauf von Kernflow Zugängen bedarf einer Vereinbarung; die normale Betreuung eigener Agenturkunden ist gestattet.
Das Herunterladen oder Bereitstellen fremder Videos ist nur bei entsprechender Berechtigung zulässig. Die Nutzung eines Recherchelinks oder Transkripts begründet keine Lizenz an fremden Videos, Musik, Marken oder Personenabbildungen. Zwingende gesetzliche Nutzungsbefugnisse bleiben unberührt.
Der Kunde behält seine Rechte an eingegebenen Inhalten. Er räumt Kernflow nur die zur vereinbarten Bereitstellung, Speicherung, technischen Bearbeitung, Übermittlung an zulässige Unterauftragnehmer und Ausgabe erforderlichen Nutzungsrechte für die Vertragsdurchführung ein. Eine Nutzung als Referenz, öffentliche Darstellung von Kundeninhalten oder Veröffentlichung im Namen des Kunden bedarf einer gesonderten Vereinbarung.
Kernflow beansprucht keine zusätzlichen ausschließlichen Rechte an kundenspezifischen KI-Ergebnissen. Soweit Kernflow über übertragbare Rechte an solchen Ergebnissen verfügt, erhält der Kunde ein zeitlich und räumlich unbeschränktes einfaches Recht, die Ergebnisse für eigene Zwecke und die betreuten Kunden zu nutzen und zu bearbeiten. Gesetzlich bestehende Rechte werden hierdurch nicht eingeschränkt.
KI-Ergebnisse können ähnlich oder identisch für andere Nutzer entstehen und müssen nicht urheberrechtlich geschützt sein. Fremde Rechte können fortbestehen. Kernflow verspricht keine Exklusivität oder umfassende Rechtefreigabe. Rechte an der Plattform, Software und eigenen Vorlagen bleiben bei ihren jeweiligen Rechteinhabern.
KI-Ergebnisse sind Arbeitsentwürfe. Der Kunde prüft vor Veröffentlichung fachliche Richtigkeit, erforderliche Kennzeichnungen, fremde Rechte und die Eignung für seinen konkreten Einsatz. Kernflow garantiert keine bestimmte Reichweite, Viralität, Rankingposition oder Umsatzwirkung. Diese Hinweise beseitigen nicht die Pflicht zur vertragsgemäßen Bereitstellung der Plattform oder gesetzliche Mängelrechte.
Die Anzeige externer Social-Media-Inhalte hängt auch von den jeweiligen Plattformen ab. Inhalte können geändert, gelöscht oder durch den Plattformanbieter beschränkt werden. Kernflow kann statt einer nicht verfügbaren Einbettung einen externen Link bereitstellen, soweit dadurch der vereinbarte Vertragszweck gewahrt bleibt. Eine beliebige Einstellung bezahlter Kernleistungen wird dadurch nicht gestattet.
Kernflow erbringt die vereinbarten Leistungen mit angemessener Sorgfalt und behandelt gemeldete Fehler. Ohne gesonderte Vereinbarung wird keine bestimmte Verfügbarkeitsquote oder rund um die Uhr besetzter Support zugesagt. Das entbindet nicht von einer für den Vertragszweck geeigneten Bereitstellung. Geplante wesentliche Wartung wird, soweit möglich, rechtzeitig angekündigt und auf einen angemessenen Umfang begrenzt.
Support erfolgt über die vereinbarten Kontaktwege, bei den Standardpaketen auch über WhatsApp. Für personenbezogene Inhalte ist nach Möglichkeit ein geeigneter geschützter Supportweg zu verwenden. Eine allgemeine Garantie bestimmter Antwortzeiten besteht nur bei zusätzlicher Vereinbarung.
Kernflow darf nur im erforderlichen Umfang administrativ auf Workspaces und Inhalte zugreifen, um die vereinbarte Leistung zu erbringen, einen vom Kunden angeforderten Supportfall zu bearbeiten, Fehler zu beheben oder konkrete Sicherheits- und Missbrauchsfälle zu untersuchen. Die Zugriffe sind auf berechtigte, zur Vertraulichkeit verpflichtete Personen zu begrenzen. Für weitergehende Einsicht oder Veränderungen ist ein gesonderter Auftrag erforderlich. Die Verarbeitung personenbezogener Inhalte richtet sich zusätzlich nach der AV-Anlage. Es besteht keine allgemeine Befugnis, sich in verbundene Social-Media-Konten einzuloggen oder dort zu veröffentlichen.
Bei fälligen, unbestrittenen Zahlungen kann Kernflow nach Mahnung, angemessener Nachfrist von grundsätzlich mindestens 14 Tagen und Sperrankündigung den Zugang verhältnismäßig beschränken. Berechtigte Einwendungen, Minderung und Zurückbehaltungsrechte sind zu beachten.
Bei konkreten erheblichen Sicherheitsrisiken oder offensichtlich rechtswidriger Nutzung ist eine sofortige erforderliche Schutzsperre möglich. Kernflow informiert den Kunden unverzüglich, soweit rechtlich und sicherheitstechnisch zulässig, begründet die Maßnahme und ermöglicht Klärung. Nach Wegfall des Grundes wird der Zugang wiederhergestellt. Eine Sperre rechtfertigt keine automatische Löschung oder zusätzliche Strafgebühr. Gesetzliche Export- und Abrufrechte bleiben bestehen.
Technische Weiterentwicklungen, Sicherheitsanpassungen und Änderungen wegen gesetzlicher oder zwingender externer Anforderungen sind zulässig, soweit sie den vereinbarten Vertragszweck erhalten und den Kunden nicht unangemessen benachteiligen. Wesentliche Einschränkungen vereinbarter Funktionen werden nicht einseitig unter einem allgemeinen Änderungsvorbehalt eingeführt.
Preisänderungen für neue Bestellungen ändern bestehende Verträge nicht. Änderungen von Preisen oder Bedingungen eines laufenden Vertrags bedürfen einer wirksamen Vereinbarung; bloßes Schweigen gilt nicht allgemein als Zustimmung. Kernflow kann rechtzeitig zum zulässigen Vertragsende kündigen und ein neues Angebot unterbreiten. Individuelle Abreden und zwingende Rechte bleiben erhalten.
Bei Mängeln stehen dem Kunden die gesetzlichen Rechte zu, soweit diese Bedingungen keine wirksame speziellere Regelung enthalten. Der Kunde meldet Fehler nachvollziehbar und ermöglicht eine zumutbare Fehleranalyse. Das ist keine Ausschlussfrist für Mängelansprüche. Erforderliche Fristsetzungen und gesetzliche Ausnahmen richten sich nach dem Gesetz.
Kernflow haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, bei einer übernommenen Garantie im Umfang dieser Garantie, bei arglistigem Verschweigen sowie nach zwingenden gesetzlichen Haftungsvorschriften, insbesondere dem Produkthaftungsgesetz. Ansprüche betroffener Personen nach Art. 82 DSGVO werden nicht eingeschränkt.
Bei einfach fahrlässiger Verletzung wesentlicher Vertragspflichten haftet Kernflow auf den vertragstypischen, bei Abschluss vorhersehbaren Schaden. Wesentlich sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen, soweit gesetzlich zulässig. Diese Regeln gelten auch zugunsten gesetzlicher Vertreter und Erfüllungsgehilfen.
Eigenes Verschulden des Kunden wird nach den gesetzlichen Regeln berücksichtigt. Zumutbare eigene Sicherungen entlasten Kernflow nicht von vereinbarten Sicherungs- und Wiederherstellungspflichten.
Beide Parteien behandeln nicht öffentliche Geschäfts- und Kundeninformationen vertraulich und verwenden sie nur zur Vertragsdurchführung. Zulässige Offenlegung an erforderliche, gebundene Dienstleister oder aufgrund gesetzlicher Pflichten bleibt möglich. Vertraulichkeit gilt nach Vertragsende fort, solange ein berechtigtes Geheimhaltungsinteresse besteht.
Für personenbezogene Kundeninhalte gilt die AV-Anlage. Kernflow darf diese Daten nur auf dokumentierte Weisung im vereinbarten Rahmen verarbeiten. Der Kunde sichert die Rechtmäßigkeit seines eigenen Verarbeitungsauftrags und informiert betroffene Personen, soweit erforderlich. Kernflow bleibt für eigene gesetzliche Pflichten verantwortlich; eine pauschale Verlagerung aller Datenschutzverantwortung auf den Kunden findet nicht statt.
Mit dem wirksamen Vertragsende endet der kostenpflichtige Funktionszugang. Der Kunde kann während der Laufzeit die vereinbarten Exportfunktionen nutzen. Gesetzliche Auskunfts-, Abruf- und Anbieterwechselrechte gelten auch bei Sperre oder Vertragsende nach den dafür maßgeblichen Regeln.
Für einen Anbieterwechsel im Anwendungsbereich der Verordnung (EU) 2023/2854 unterstützt Kernflow den Export der exportierbaren Kundeneingaben, Ergebnisse und relevanten Metadaten in einem gängigen maschinenlesbaren Format. Exportierbar sind die vom Kunden bereitgestellten Profil- und Markenangaben, Briefings und Texte, gespeicherten Skripte und Contententwürfe, Transkripte sowie zugehörige vom Kunden verwaltete Planung und Metadaten. Der Export erfolgt, soweit technisch geeignet, als Text, CSV oder JSON und kann über office@kernflow.io angefordert werden. Eigener Quellcode, interne Systemprompts, interne Sicherheitsprotokolle, Geschäftsgeheimnisse und Daten anderer Kunden sind ausgenommen, soweit deren Ausschluss gesetzlich zulässig ist. Zwingend exportierbare Daten werden dadurch nicht ausgeschlossen.
Der Kunde kann den Wechsel in Textform verlangen. Die Einleitung erfolgt ohne zusätzliche über die gesetzlich zulässige Frist hinausgehende Verzögerung; Kernflow sieht hierfür keine gesonderte Wechselkündigungsfrist vor. Für einen erforderlichen Wechsel gelten grundsätzlich höchstens 30 Kalendertage Übergangszeit. Ist die Übergangszeit technisch nicht einhaltbar, teilt Kernflow dies innerhalb von 14 Arbeitstagen nach Eingang des Wechselverlangens begründet mit und nennt eine alternative Übergangszeit von höchstens sieben Monaten, soweit die gesetzlichen Voraussetzungen vorliegen. Kernflow unterstützt Kontinuität und Sicherheit im eigenen Verantwortungsbereich. Nach dem Wechsel bleiben die Daten mindestens 30 Kalendertage zum Abruf verfügbar, soweit der Kunde keine frühere zulässige Löschung verlangt. Der Kunde kann die Übergangszeit im gesetzlichen Rahmen verlängern. Mit dem erfolgreichen Abschluss des Wechsels endet der betroffene Vertrag; Kernflow informiert über diesen Zeitpunkt. Nach Ende der Abruffrist oder einer später ausdrücklich vereinbarten Frist werden die exportierbaren Kundendaten und digitalen Vermögenswerte vollständig gelöscht, soweit der Wechsel erfolgreich abgeschlossen ist und keine entgegenstehende zwingende Speicherpflicht besteht. Kernflow berechnet keine gesonderten Wechsel- oder Datenexportgebühren.
Bei einem Wechsel vor dem Ende einer vereinbarten Jahreslaufzeit ist die verbleibende Vergütung nicht automatisch vollständig geschuldet. Eine gegebenenfalls vereinbarte vorzeitige Beendigungsbelastung müsste gesondert, transparent und wirksam vor Vertragsschluss ausgewiesen sein. Diese Bedingungen führen keine solche Belastung ein. Zwingende Wechselrechte gehen den normalen Laufzeitregeln vor.
Auch bei gewöhnlichem Vertragsende werden personenbezogene Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Speicherpflicht entgegensteht. Kernflow informiert über den bevorstehenden Abschluss der Datenbereitstellung und ermöglicht eine angemessene Abrufphase unter Berücksichtigung zwingender gesetzlicher Fristen. Ohne anderweitige Weisung erfolgt anschließend die Löschung. Der Kunde kann seine Weisung an office@kernflow.io richten. Sicherungskopien sind bis zur erforderlichen Ersetzung oder Löschung für andere Zwecke gesperrt; bei Wiederherstellung sind Löschweisungen erneut anzuwenden. Allgemeine Rechnungsaufbewahrung berechtigt nicht zur dauerhaften Aufbewahrung sämtlicher Kundeninhalte.
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts, soweit anwendbar. Zwingende Vorschriften bleiben unberührt. Ein ausschließlicher Gerichtsstand am Sitz von Kernflow gilt nur gegenüber Kaufleuten, juristischen Personen des öffentlichen Rechts oder öffentlich-rechtlichen Sondervermögen und nur, soweit rechtlich zulässig. Für andere Unternehmer gelten die gesetzlichen Zuständigkeitsregeln.
Sind einzelne Bestimmungen unwirksam, bleiben die übrigen wirksamen Regelungen bestehen; an die Stelle einer unwirksamen Bestimmung tritt das Gesetz. Die gesetzlichen Regeln über die Folgen unwirksamer Vertragsbestimmungen bleiben maßgeblich.
Diese Anlage gilt mit wirksamer Einbeziehung dieser Bedingungen, soweit Kernflow personenbezogene Kundeninhalte im Auftrag verarbeitet. Sie ist Bestandteil des jeweiligen Vertrags; die bestätigte Buchung beziehungsweise vereinbarte Freischaltung bestimmt den Auftrag. Auftraggeber ist der in der Buchung oder im individuellen Kundenvertrag bezeichnete Kunde; Auftragnehmer ist Kernflow gemäß Abschnitt 1. Handelt der Kunde selbst als Auftragsverarbeiter, gelten die Pflichten entsprechend in seiner Unterauftragskette. Erforderliche Genehmigungen des übergeordneten Verantwortlichen sind sicherzustellen.
Gegenstand ist die Verarbeitung für Kundenprofile, Contentrecherche auf Weisung, Briefings, Skript- und Ideenerstellung, Transkripte, Planung, Export und vereinbarten Support. Vorgänge sind insbesondere Erhebung auf Weisung, Speicherung, Organisation, Übermittlung an genehmigte Dienstleister, KI-Bearbeitung, Ausgabe, Rückgabe und Löschung. Dauer ist die Vertragslaufzeit und eine rechtmäßig vereinbarte Rückgabe- beziehungsweise Löschphase.
Datenarten sind geschäftliche Kontaktdaten, Profil- und Kontokennungen, Contenttexte, Skripte, Transkripte, Angaben in Briefings, Feedback und personenbezogene Performanceinformationen. Betroffene können Beschäftigte und Ansprechpartner des Kunden oder seiner Auftraggeber, dargestellte beziehungsweise zitierte Personen und Personen in beauftragter Social-Media-Recherche sein. Umfang und konkrete Daten werden durch die rechtmäßigen Kundenweisungen bestimmt. Besondere Kategorien nach Art. 9 DSGVO und strafrechtliche Daten sind ohne gesonderte Absicherung nicht Gegenstand des Standardauftrags.
Kernflow verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, einschließlich zulässiger Weisungen über die Plattform. Weisungen außerhalb des vereinbarten Umfangs bedürfen einer Vereinbarung. Erzwingt ein Gesetz eine andere Verarbeitung, informiert Kernflow den Kunden vorab, soweit zulässig. Kernflow weist unverzüglich auf eine aus seiner Sicht rechtswidrige Weisung hin und kann deren Ausführung bis zur Klärung aussetzen.
Die mit Daten befassten Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Kundeninhalte dürfen nicht eigenständig veröffentlicht werden. Datenschutzpflichten enden nicht mit dem Hauptvertrag.
Kernflow verpflichtet sich zu angemessenen Maßnahmen nach Art. 32 DSGVO. Die vereinbarten Schutzpflichten umfassen:
Zugriffsschutz: individuelle Berechtigungen für Nutzer und Administratoren, Beschränkung auf die jeweils erforderlichen Aufgaben, vertrauliche Zugangsdaten, Prüfung und Entzug nicht mehr benötigter Berechtigungen sowie Absicherung privilegierter Zugänge nach dem jeweiligen Risiko.
Übertragung und Trennung: Schutz der Datenübertragung zwischen Nutzer, Plattform und beauftragten Diensten durch geeignete Transportverschlüsselung sowie logische Trennung der Kundenbereiche und ihrer Zugriffsberechtigungen.
Betrieb und Wiederherstellung: risikogerechte Datensicherung, Beschränkung des Zugriffs auf Sicherungen, kontrollierte Wiederherstellung, regelmäßige Prüfung der Wiederherstellbarkeit, Sicherheitsaktualisierungen und angemessene Schutzmaßnahmen gegen Schadsoftware und unberechtigten Zugriff.
Sicherheitsvorfälle: geregelte Bewertung, Eindämmung und Meldung von Datenschutzvorfällen.
Löschung: Umsetzung dokumentierter Rückgabe- und Löschweisungen, Begrenzung der Aufbewahrung auf erforderliche Zwecke und erneute Anwendung von Löschweisungen nach einer Wiederherstellung.
Kernflow dokumentiert die Umsetzung und stellt dem Kunden die zur Beurteilung erforderlichen Informationen auf Anfrage bereit. Anpassungen an Technik und Risiko dürfen das vereinbarte Schutzniveau nicht vermindern.
Der Kunde genehmigt Hetzner Online GmbH, Deutschland, für Hosting und Speicherung der Plattforminhalte sowie OpenAI Ireland Limited, Irland, für die beauftragte KI-Verarbeitung über die OpenAI API. Die API-Verarbeitung kann die in OpenAIs Auftragsverarbeitungsbedingungen benannten Konzerngesellschaften und Unterauftragsverarbeiter insbesondere in den USA einschließen; Kernflow bleibt für eine zulässige Einbindung und Drittlandgrundlage verantwortlich. Die Genehmigung gilt nur für die beschriebenen Aufgaben und die hierfür erforderlichen Daten. Maßgebliche Anbieterinformationen: https://www.hetzner.com/legal/privacy-policy/, https://openai.com/policies/data-processing-addendum/ und https://openai.com/policies/sub-processor-list/. Weitere unmittelbar von Kernflow beauftragte Unterauftragsverarbeiter bedürfen des nachfolgenden Änderungsverfahrens; eine unbestimmte Sammelkategorie wird nicht genehmigt.
Kernflow informiert mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Kunde kann aus sachlichen Datenschutzgründen widersprechen. Die Parteien suchen eine angemessene Lösung; ohne erforderliche Genehmigung wird die betroffene Verarbeitung nicht über den neuen Dienst begonnen. Ist keine Lösung möglich, kann der betroffene Leistungsteil ohne Vertragsstrafe beendet werden; vorausbezahlte Beträge für künftig nicht erbrachte Leistungen werden erstattet.
Kernflow bindet Unterauftragsverarbeiter an entsprechende Datenschutzpflichten und bleibt für deren Pflichterfüllung nach Art. 28 Abs. 4 DSGVO verantwortlich. Internationale Verarbeitung ist nur auf zulässiger, dokumentierter Grundlage und innerhalb der genehmigten Weisung gestattet. Calendly, Zoom und Stripe für Kernflows eigene Geschäftsabwicklung sind nicht automatisch Unterauftragsverarbeiter sämtlicher Kundeninhalte; tatsächlich beauftragte Kundenverarbeitungen sind gesondert einzuordnen.
Kernflow unterstützt den Kunden angemessen bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen, Folgenabschätzungen und erforderlichen Konsultationen. An Kernflow gerichtete Betroffenenanfragen zu Auftragsdaten werden unverzüglich an den zuständigen Kunden weitergegeben; Kernflow antwortet nicht eigenmächtig in dessen Namen.
Kernflow informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Auftragsdaten. Die Mitteilung enthält die verfügbaren Angaben zu Art des Vorfalls, betroffenen Personen und Daten, Folgen, Maßnahmen und einem Kontakt. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Der Kunde bleibt für seine Meldungen verantwortlich; Kernflow wirkt an Aufklärung und Abhilfe mit.
Kernflow stellt die zur Prüfung erforderlichen Informationen bereit und ermöglicht gesetzlich erforderliche Kontrollen einschließlich Inspektionen durch den Kunden oder dessen unabhängigen Prüfer. Sicherheits- und Geheimhaltungsinteressen anderer Kunden sind zu wahren. Verhältnismäßige Terminabstimmung darf Kontrollen bei Vorfällen oder begründeten Zweifeln nicht verhindern. Zertifikate können Nachweise ergänzen, ersetzen aber nicht uneingeschränkt jedes Kontrollrecht.
Nach Abschluss erfolgt nach Kundenwahl Rückgabe oder Löschung der Auftragsdaten und Kopien gemäß Abschnitt 15, soweit gesetzliche Aufbewahrung nicht entgegensteht. Rückgabe und Löschung werden ohne vermeidbare Verzögerung umgesetzt; zwingende Abrufphasen und rechtmäßig vereinbarte Rückgabezeiträume sind zu berücksichtigen. Kernflow veranlasst erforderliche Löschungen auch bei beauftragten Diensten einschließlich gespeicherter API-Objekte. Für technisch unvermeidbare Sicherungsreste gelten Zugriffssperre, zweckgebundene Aufbewahrung und erneute Löschung nach Wiederherstellung. Kernflow bestätigt die Durchführung auf Anfrage.