Anlage zu Sicherheit und Datenverarbeitung

Zuletzt aktualisiert: 22. September 2026

Diese Seite beschreibt, wie wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten. Die Seite führt Anlage 1 und Anlage 2 unserer Vereinbarung zur Auftragsverarbeitung so detailliert aus, wie es Datenschutzbeauftragte üblicherweise vor der Freigabe einer Integration verlangen, und ist so formuliert, dass sie unverändert weitergegeben werden kann. Maßgebliches Vertragsdokument bleibt die Vereinbarung zur Auftragsverarbeitung; bei Abweichungen hat sie Vorrang.

Inhalt

1. Anwendungsbereich und Rollen

Für die personenbezogenen Daten, die Sie an den Dienst übermitteln oder mit ihm verbinden, sind Sie der Verantwortliche und wir sind Ihr Auftragsverarbeiter. Wenn Sie LLM Pulse nutzen, um Ihre eigenen Kunden zu betreuen, handeln Sie als deren Auftragsverarbeiter und wir als Ihr Unterauftragsverarbeiter. Wir verarbeiten diese Daten ausschließlich auf Ihre dokumentierten Weisungen, die aus unseren Nutzungsbedingungen, der Vereinbarung zur Auftragsverarbeitung und Ihrer Konfiguration des Dienstes bestehen.

Davon unabhängig sind wir selbst Verantwortlicher für die Daten, die wir für den Betrieb unseres eigenen Unternehmens benötigen, etwa Ihre Konto- und Abrechnungsdaten. Diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben.

2. Wer die Daten verarbeitet

LLM PULSE SL
Sitz der Gesellschaft: Passeig de Gràcia 53, Ático 1ª, 08007 Barcelona, Spanien
Steuernummer (NIF): B27561133
Eingetragen im Handelsregister Barcelona
Kontakt für Datenschutzfragen: info@llmpulse.ai

Wir sind in der Europäischen Union niedergelassen und benennen daher keinen Vertreter nach Artikel 27 DSGVO. Datenschutzanfragen erreichen das Unternehmen über die oben genannte Adresse und werden von der Geschäftsführung bearbeitet.

3. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten, um die von Ihnen übermittelten Inhalte zu hosten und zu speichern, zu analysieren, wie Marken in den Antworten von KI-Assistenten erscheinen, Traffic-Daten aus den von Ihnen verbundenen Datenquellen zu importieren und zu aggregieren, Berichte und Exporte zu erstellen, eingebettete Portale und White-Label-Portale bereitzustellen, die von Ihnen angeforderten KI-gestützten Funktionen auszuführen sowie Support zu leisten und für Sicherheit und Missbrauchsprävention zu sorgen.

Wir verkaufen keine personenbezogenen Daten und trainieren keine Modelle mit den Inhalten, die Sie übermitteln.

4. Betroffene Personen und Datenkategorien

Kategorien betroffener Personen: Ihre Nutzer und Beschäftigten; Ihre Kunden und die Personen, die geteilte oder eingebettete Berichte ansehen; Personen, die Ihre Website besuchen; sowie Personen, die in von Ihnen übermittelten Inhalten oder in vom Dienst analysierten öffentlichen Quellen genannt werden.

Von uns gespeicherte personenbezogene Daten: Namen, E-Mail-Adressen und weitere Kontaktdaten und berufliche Angaben sowie alle personenbezogenen Daten in den Inhalten, die Sie übermitteln, oder in den Datenquellen, die Sie verbinden.

Personenbezogene Daten in Ihren Logs: Log-Einträge aus den von Ihnen verbundenen Datenquellen können IP-Adressen und andere Kennungen der Personen enthalten, die Ihre Website besuchen. Wir verwerfen diese Daten beim Einlesen jedes Eintrags und speichern sie nie. Eine Logdatei, die Sie selbst hochladen, wird spätestens 30 Tage nach der Verarbeitung gelöscht.

Daten, die keine personenbezogenen Daten sind: aggregierte Tageswerte pro Projekt (Zugriffe pro Bot, Seite und Statuscode; Summen für Traffic, Sitzungen und Conversions), die Pfade Ihrer eigenen Seiten und die User-Agent-Strings von KI-Crawlern.

Besondere Kategorien: Deren Verarbeitung ist nicht vorgesehen, und die Vereinbarung zur Auftragsverarbeitung fordert Sie auf, solche Daten nicht zu übermitteln.

5. Agent Analytics im Detail

Agent Analytics zählt, wie oft KI-Crawler und KI-Assistenten Ihre Seiten abrufen. Aus jedem Log-Eintrag eines Servers, eines CDN oder einer Log-Weiterleitung liest Agent Analytics nur fünf Felder: den Zeitstempel, den User-Agent-String, den angeforderten Pfad, den Statuscode der Antwort und die Größe der Antwort. In den Quelldaten enthaltene Client-IP-Adressen werden bereits beim Einlesen des Eintrags verworfen und nie in unsere Datenbank geschrieben.

Gespeichert werden aggregierte Tageswerte pro Projekt: Zugriffe pro Bot, pro Pfad und pro Statuscode. Es gibt keinen Datensatz zu einzelnen Personen, die Ihre Website besuchen, und keine Kennung, anhand derer sich eine einzelne Person von anderen unterscheiden ließe. Wenn Sie selbst eine Logdatei hochladen, wird diese Datei höchstens 30 Tage nach ihrer Verarbeitung aufbewahrt und anschließend gelöscht.

Agent Analytics benötigt nur diese fünf Felder. Als Verantwortlicher entscheiden Sie, was Ihre Log-Quellen an uns senden: Konfigurieren Sie diese Quellen so, dass sie nur diese Felder senden, sofern Ihr Anbieter das zulässt, und entfernen Sie IP-Adressen und andere Kennungen vor dem Hochladen aus jeder Datei. Alles andere, was bei uns eingeht, wird wie oben beschrieben verworfen. Datenminimierung beginnt jedoch bei dem, was Sie uns senden.

6. Wo die Daten gehostet werden

Die Anwendung, ihre Datenbanken und ihre Job-Warteschlangen laufen auf dedizierten Servern, die wir bei Hetzner in Deutschland mieten. Backups werden in eine Hetzner Storage Box in Deutschland geschrieben und in den Objektspeicher Cloudflare R2 gespiegelt. Von Ihnen hochgeladene Dateien, etwa Logos, und die vom Dienst erzeugten Exporte werden in Cloudflare R2 gespeichert.

Unsere Vorproduktionsumgebung läuft auf einem separaten Server, ebenfalls bei Hetzner in Deutschland, mit denselben Zugriffskontrollen. Diese Umgebung wird aus einer reduzierten Kopie des Produktions-Backups aktualisiert; auf diese Weise erproben wir das Wiederherstellungsverfahren jede Woche.

7. Internationale Datenübermittlungen

Personenbezogene Kundendaten werden in der Europäischen Union gehostet. Einige Unterauftragsverarbeiter sind außerhalb des Europäischen Wirtschaftsraums niedergelassen. Für diese Übermittlungen stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission, sofern ein solcher anwendbar ist, einschließlich des Datenschutzrahmens EU-USA (EU-US Data Privacy Framework), wenn der Empfänger danach zertifiziert ist, oder auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln, bei Bedarf zusammen mit ergänzenden Maßnahmen.

8. Unterauftragsverarbeiter

Die aktuelle Liste mit dem Zweck jedes Anbieters und den Regionen, in denen er Daten verarbeitet, ist unter llmpulse.ai/subprocessors veröffentlicht und wird laufend aktualisiert. Wir informieren unsere Kunden mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, und Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich Einspruch erheben. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die im Wesentlichen den Pflichten entsprechen, die wir Ihnen gegenüber haben.

9. Wie lange wir Daten aufbewahren

Zeitgesteuerte Jobs löschen aggregierte Traffic-Daten und aggregierte Daten aus Agent Analytics nach 395 Tagen und Daten aus der verbundenen Search Console nach 400 Tagen. Rohe Logdateien, die zu Agent Analytics hochgeladen wurden, werden spätestens 30 Tage nach ihrer Verarbeitung gelöscht. Erzeugte Exporte werden gelöscht, sobald sie ablaufen. Einträge in unserem internen Protokoll administrativer Aktionen werden nach 24 Monaten entfernt. Backups bewahren wir als sieben tägliche, vier wöchentliche und drei monatliche Kopien auf; ältere werden automatisch entfernt.

Alle übrigen Daten bewahren wir auf, solange das Konto besteht. Wenn die Verarbeitung endet, können Sie verlangen, dass wir die Daten zurückgeben oder löschen. Die Löschung schließen wir innerhalb von 90 Tagen nach Vertragsbeendigung ab, mit Ausnahme von Sicherungskopien, die im regulären Zyklus überschrieben werden, und von Daten, die wir gesetzlich aufbewahren müssen.

10. Technische Maßnahmen

Zu unseren technischen Maßnahmen gehören:

  • Verschlüsselung bei der Übertragung. Der Dienst wird ausschließlich über HTTPS mit Strict Transport Security ausgeliefert.
  • Verschlüsselte Backups. Tägliche Backups werden verschlüsselt, getrennt vom Anwendungsserver aufbewahrt und an einen zweiten Standort gespiegelt. Die Integrität der Backups wird täglich geprüft, und zur Kontrolle wird eine Datei aus dem neuesten Archiv wiederhergestellt.
  • Zugriffskontrolle. Zugriffsrechte im Produkt werden über ein rollenbasiertes Berechtigungssystem nach dem Prinzip der minimalen Rechte vergeben. Administrativer Zugriff auf die Server ist auf die beiden Gründer des Unternehmens beschränkt.
  • Authentifizierung. Optionale Zwei-Faktor-Authentifizierung, gehashte Passwörter und verschlüsselte geheime Schlüssel für den zweiten Faktor.
  • Härtung der Server. Automatische Sperrung von Adressen, von denen Missbrauch ausgeht, automatische Sicherheitsupdates und Warnmeldungen bei privilegiertem Zugriff auf den Server.
  • Härtung der Anwendung. Anfragelimits, Schutz vor Cross-Site-Request-Forgery, eine Content Security Policy und eine Validierung, die Anfragen an interne Netzwerkadressen ablehnt.
  • Getrennte Umgebungen. Produktion und Vorproduktion laufen auf getrennten Maschinen mit getrennten Zugangsdaten.
  • Überwachung. Die Produktivsysteme werden überwacht, und bei Fehlern erhält das Entwicklungsteam eine Warnmeldung.

11. Organisatorische Maßnahmen

Zu unseren organisatorischen Maßnahmen gehören:

  • Vertraulichkeit. Alle Personen, die zur Verarbeitung von Kundendaten befugt sind, sind zur Vertraulichkeit verpflichtet.
  • Nachvollziehbarkeit. Änderungen, die eine Person an Kundendatensätzen vornimmt, werden unter Angabe dieser Person erfasst, und administrative Konsolensitzungen in der Produktion werden aufgezeichnet und können geprüft werden.
  • Änderungskontrolle. Jede Änderung wird geprüft und durchläuft eine automatisierte Testsuite. Ein Release gelangt nur aus einem Build in die Produktion, der diese Tests bestanden hat.
  • Sorgfältige Prüfung von Anbietern. Bevor wir einen Anbieter einsetzen, prüfen wir seine Datenschutzbedingungen und seinen Standort.
  • Dokumentierte Verfahren. Schriftliche Verfahren für die Reaktion auf Sicherheitsvorfälle, für Anfragen betroffener Personen sowie für Löschung und Wiederherstellung.

12. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten, die wir in Ihrem Auftrag verarbeiten, bekannt geworden ist. Die erste Benachrichtigung enthält die zu diesem Zeitpunkt verfügbaren Informationen. Weitere Einzelheiten reichen wir nach, sobald sie vorliegen, statt auf ein vollständiges Bild zu warten. Wir unterstützen Sie bei Ihren eigenen Meldungen an die Aufsichtsbehörden und bei der Benachrichtigung der betroffenen Personen.

13. Rechte der betroffenen Personen

Sie bleiben die Anlaufstelle für die Personen, deren Daten Sie uns übermitteln. Wendet sich eine dieser Personen direkt an uns, leiten wir die Anfrage an Sie weiter und beantworten sie nicht inhaltlich, es sei denn, wir sind gesetzlich dazu verpflichtet. Wir unterstützen Sie bei Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Über den Dienst können Sie die Daten in Ihrem Konto außerdem selbst exportieren und löschen.

14. Dokumentation und unterzeichnete Vereinbarungen

Unsere Vereinbarung zur Auftragsverarbeitung gilt automatisch für alle unsere Kunden und muss nicht unterzeichnet werden. Benötigt Ihr Kunde eine unterzeichnete Vereinbarung, die Standardvertragsklauseln oder einen ausgefüllten Sicherheitsfragebogen, schreiben Sie an info@llmpulse.ai, und wir stellen Ihnen die entsprechenden Unterlagen zur Verfügung. Wir beantworten angemessene schriftliche Sicherheitsfragebögen und unterstützen Sie bei der Wahrnehmung der in der Vereinbarung zur Auftragsverarbeitung festgelegten Auditrechte.