Datenschutzerklärung

Stand: 7. November 2026

Custodos ist ein KI-Arbeitsbereich für Unternehmen und Privatpersonen. Ihre Daten werden in der Schweiz gespeichert; wo die KI-Modelle Ihre Anfragen verarbeiten, wählen Sie: in der EU oder in der Schweiz. Diese Erklärung beschreibt, welche Personendaten wir verarbeiten, wozu, auf welcher Grundlage und mit welchen Empfängern, nach den Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO) und des schweizerischen Datenschutzgesetzes (DSG).

1. Verantwortlicher

Stellar GmbH
Gewerbestrasse 10
6330 Cham
Schweiz
Wir treten als Custodos auf.
E-Mail: [email protected]

Soweit ein Unternehmen (Workspace-Inhaber) Custodos einsetzt und dabei eigene Inhalte verarbeitet, ist dieses Unternehmen Verantwortlicher und wir Auftragsverarbeiter; massgeblich ist dann der Auftragsverarbeitungsvertrag.

Nutzen Sie Custodos als Privatperson in einem persönlichen Bereich (Custodos Privat), sind wir für alle Ihre Daten Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und Art. 5 lit. j DSG, auch für die Inhalte, die Sie eingeben oder hochladen. Der Auftragsverarbeitungsvertrag gilt dort nicht. Geben Sie Daten anderer Personen ein, achten Sie bitte darauf, dass Sie dazu berechtigt sind.

2. Welche Daten wir verarbeiten

• Konto- und Login-Daten: E-Mail-Adresse, Name (falls angegeben), Anmeldeverfahren (Magic-Link per E-Mail oder Google-/ Microsoft-SSO), Sitzungsdaten, Workspace-Zugehörigkeiten und Rollen.
• Workspace-Inhalte: Prompts, hochgeladene Dateien und deren extrahierter Text, Antworten der KI-Modelle, Konversationsverläufe. Diese Inhalte können (je nachdem, was Nutzer eingeben) beliebige Kategorien von Personendaten enthalten.
• Nutzungs- und Abrechnungsdaten: Credit-Verbrauch, verwendetes Modell, Token-Mengen, Rechnungsdaten. Ohne Prompt-Inhalte.
• Log- und Audit-Daten: technische Server-Logs und ein Audit-Protokoll administrativer Aktionen. Beide enthalten niemals Prompt-Inhalte; protokolliert werden nur Metadaten (wer, was, wann).
• Herkunfts- und Einwilligungsdaten bei der Registrierung: Ihre Wahl im Banner von custodos.com (oder dass Sie keine getroffen haben) und, sofern Sie der Messung nicht widersprochen haben, die Kampagnenangaben, über die Sie zu uns gekommen sind (siehe Ziffer 6).

3. Zwecke und Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO; Art. 31 Abs. 2 lit. a DSG): Bereitstellung des Arbeitsbereichs, Weiterleitung von Prompts an die vom Workspace gewählten Modelle, Abrechnung der Credits, Support.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG): Betriebssicherheit, Missbrauchsabwehr, Fehlerdiagnose anhand von Logs ohne Prompt-Inhalte; die Messung des Erfolgs unserer Anzeigen, wenn Sie im Banner von custodos.com keine Wahl getroffen haben (Ziffer 6). Dieser Messung können Sie jederzeit widersprechen (Art. 21 DSGVO).
• Aufbewahrungspflichten: Aufbewahrung von Buchhaltungsunterlagen, insbesondere nach Art. 958f OR (Art. 6 Abs. 1 lit. c DSGVO, soweit die Pflicht aus dem Recht der EU oder eines Mitgliedstaats folgt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Erfüllung dieser Pflichten; Art. 31 Abs. 1 DSG; siehe Ziffer 7).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Art. 31 Abs. 1 DSG), wo zutreffend: etwa die ausdrückliche Wahl der Verarbeitungsregion «Global» oder des Websuche-Modus «Erweitert» (siehe Ziffern 5 und 6) oder Ihre Einwilligung in Marketing im Banner von custodos.com, sofern Sie sie erteilt haben (Ziffer 6; zusätzlich § 25 Abs. 1 TDDDG). Haben Sie im Banner keine Wahl getroffen, stützen wir die Messung von Anzeigen auf unser berechtigtes Interesse (siehe unten und Ziffer 6). Bei Custodos Privat erteilen Sie diese Einwilligung selbst in Ihren Einstellungen und können sie dort jederzeit mit Wirkung für die Zukunft widerrufen.

Ohne Konto- und Inhaltsdaten können wir Custodos nicht bereitstellen. Ihre Inhalte werden nicht für das Training von KI-Modellen genutzt.

4. Auftragsverarbeiter und Empfänger

Die folgenden Dienstleister setzen wir für Unternehmens-Workspaces als Unterauftragsverarbeiter ein und für Custodos Privat als unsere eigenen Auftragsverarbeiter bzw. Empfänger.

Modell-Anbieter erhalten Prompt-Inhalte nur für die Modelle, die der jeweilige Workspace aktiviert hat, und nur im Rahmen der pro Workspace eingestellten Datenresidenz (Standard: EU+CH; wählbar: nur CH, nur EU, Global als ausdrückliche Opt-in-Entscheidung).

Cloud-Konnektoren (Google Drive, Microsoft 365, Outlook, Google Kalender)

Mitglieder können ihr eigenes Google-Drive- oder Microsoft-365-Konto (OneDrive, SharePoint) mit ihrem Benutzerkonto verbinden, um Dokumente in Wissenssammlungen zu importieren. Die Verbindung ist freiwillig, persönlich und jederzeit trennbar (Konto → Verbundene Konten). Wir erhalten dabei ein Zugriffstoken für Ihr Konto beim jeweiligen Anbieter, das verschlüsselt in unserer Datenbank gespeichert wird, sowie die E-Mail-Adresse des verbundenen Kontos. Der Zugriff ist nur lesend; bei Google beschränkt auf die Dateien, die Sie im Google-Auswahldialog selbst anklicken (Berechtigung «drive.file»), bei Microsoft auf das, was Ihr Konto ohnehin öffnen darf. Übermittelt wird an den Anbieter nur die Anfrage nach der gewählten Datei; der Anbieter erhält keine Inhalte aus Custodos. Die importierte Datei wird wie ein Upload behandelt: in Text umgewandelt, gegen die Datenschutz-Einstellungen des Workspace geprüft und ausschliesslich als Text gespeichert; die Originaldatei verbleibt beim Anbieter. Google-Nutzerdaten, die über Google-APIs bezogen werden (Google Drive und Google Kalender), verwenden wir ausschliesslich für die Funktion, die das Mitglied selbst auslöst, und geben sie nicht an Dritte weiter, ausser an die oben genannten Auftragsverarbeiter, soweit diese Funktion es erfordert; für den Zugriff gelten die «Google API Services User Data Policy» einschliesslich der Limited-Use-Anforderungen. Google und Microsoft handeln hier nicht als unsere Auftragsverarbeiter, sondern als die von Ihnen gewählten Speicheranbieter.

Outlook (E-Mail und Kalender) ist eine eigene, getrennte Verbindung mit eigener Zustimmung. Ist sie hergestellt, kann der Assistent auf Ihre Anfrage hin E-Mails suchen und lesen, Ihren Kalender lesen und Antworten oder neue Nachrichten als Entwurf in Ihrem Outlook-Entwurfsordner ablegen. Es wird nie eine E-Mail gesendet (die dafür nötige Berechtigung wird nicht angefordert), nichts gelöscht und nichts verschoben. E-Mail-Inhalte, die der Assistent liest, werden wie eine Chat-Nachricht behandelt: Sie unterliegen der PII-Maskierung des Workspace, bevor sie ein KI-Modell erreichen, und werden nicht dauerhaft gespeichert - ausser Sie importieren eine E-Mail oder einen Anhang ausdrücklich in eine Wissenssammlung.

Google Kalender ist ebenfalls eine eigene, getrennte Verbindung mit eigener Zustimmung (Berechtigung «calendar.events»). Ist sie hergestellt, kann der Assistent auf Ihre Anfrage hin die Termine Ihres Hauptkalenders lesen (oder eines Kalenders, den Sie ausdrücklich nennen) und freie Zeiten in Ihrem eigenen Kalender finden; die Verfügbarkeit anderer Personen wird nie abgefragt. Einen neuen Termin legt er erst an, nachdem Sie ihn bestätigt haben; nur wenn Sie dabei Teilnehmende bestätigen, verschickt Google an diese eine Einladung. Bestehende Termine werden weder geändert noch gelöscht. Termininhalte, die der Assistent liest, werden wie E-Mail-Inhalte behandelt: Sie unterliegen der PII-Maskierung des Workspace, bevor sie ein KI-Modell erreichen, und werden nicht dauerhaft gespeichert.

Kontext-Cache bei den Modellanbietern

Ein Modell verarbeitet bei jeder Nachricht die ganze bisherige Unterhaltung neu. Damit derselbe Textanfang nicht immer wieder verarbeitet werden muss, kann der eingesetzte Modellanbieter eine berechnete Zwischendarstellung davon (nicht den Klartext) für eine begrenzte Zeit bereithalten. Das macht Antworten schneller und günstiger.

• Kein weiterer Empfänger. Die Zwischendarstellung bleibt bei demjenigen Auftragsverarbeiter, der die Anfrage ohnehin verarbeitet, in derselben Region. Es kommt kein Subprozessor hinzu.
• Begrenzte Dauer. Der Workspace-Admin wählt in den Einstellungen zwischen «Aus», «Standard» (fünf Minuten) und «Lang» (eine Stunde). Danach wird die Zwischendarstellung gelöscht.
• Getrennt je Workspace. Jeder Workspace erhält einen eigenen, nicht erratbaren Cache-Schlüssel. Eine Wiederverwendung über Kundengrenzen hinweg wird dadurch verhindert; das ist eine Eigenschaft unserer Umsetzung, nicht bloss eine Zusage des Anbieters. Ändert sich die Freigabe einer Wissenssammlung oder die Datenschutz-Einstellung, ändert sich der Schlüssel mit.
• Maskierte Werte gelangen nicht in den Cache. Wo der Workspace pseudonymisiert, enthält die zwischengespeicherte Darstellung die Platzhalter und nicht die echten Werte.
• «Aus» heisst: wir fordern keinen Cache an. Einzelne Modelle einzelner Anbieter (namentlich die GPT-5-Reihe bei Azure und OpenAI sowie Gemini) führen von sich aus einen kurzzeitigen Cache und lassen sich von aussen nicht davon abhalten. Das geschieht in ihrer eigenen Region, mit denselben Daten, die sie ohnehin verarbeiten. Im Sicherheitsmodus gilt höchstens «Standard».

5. Übermittlung in Drittländer

Die Daten werden in der Schweiz gespeichert; die KI-Verarbeitung findet in der gewählten Region statt (EU oder Schweiz). Personendaten werden in folgenden Fällen außerhalb der EU und der Schweiz übermittelt:

• als ausdrückliche Opt-in-Entscheidung: der Workspace wählt die Verarbeitungsregion «Global» (dann OpenAI, USA);
• als ausdrückliche Opt-in-Entscheidung: der Workspace-Admin wählt für die Websuche den Modus «Erweitert» (dann Linkup SAS, Frankreich; die Anfragen können nach Angaben des Anbieters ausserhalb der EU verarbeitet werden). Der Standardmodus «Nur EU» bleibt vollständig in der EU;
• sofern Sie der Messung nicht widersprochen haben: an Meta, LinkedIn und Google zur Messung von Anzeigen (siehe Ziffer 6; Übermittlung an die Muttergesellschaften in den USA möglich);
• im Transit an Cloudflare (USA, siehe Ziffer 4);
• an Stripe (USA) für Zahlung und Rechnungsstellung bei kostenpflichtiger Nutzung.

Als Übermittlungsmechanismus dienen das EU-US Data Privacy Framework und/oder die EU-Standardvertragsklauseln (mit dem Schweizer Anhang, soweit DSG-Daten betroffen sind). Als ergänzende Massnahme steht die Pseudonymisierung durch PII-Maskierung zur Verfügung (siehe Ziffer 10): erkannte Personendaten werden vor der Übermittlung durch typisierte Platzhalter ersetzt und erst in der Antwort wieder eingesetzt.

6. Cookies, Herkunft und Messung von Anzeigen

In der App setzen wir eigene, funktionale First-Party-Cookies: Sitzung, Spracheinstellung, Zustand der Seitenleiste und, für einen Tag, die bei der Registrierung gewählte Option. Die Seiten der App laden keine Werbe- oder Analyse-Skripte von Dritten; die Content-Security-Policy lässt dort nur Inhalte von Custodos selbst zu. Einzige Ausnahme ist das Conversion-Tag von Google Ads (siehe unten), das in einem eigenen, unsichtbaren Rahmen nur dann geladen wird, wenn ein zu meldendes Ereignis ansteht. Sofern eine Nutzungsstatistik betrieben wird, ist es ein selbst gehostetes Umami ohne Übermittlung an Dritte.

Unsere Website custodos.com speichert Ihre Wahl im Banner im Cookie «consent», sobald Sie eine treffen. Solange Sie Marketing dort nicht abgelehnt haben, legt die Website das Cookie «attr» an: eine zufällige Kennung und die Kampagnenangaben Ihres ersten und Ihres letzten Besuchs (etwa utm-Parameter, Klick-Kennungen von Google, Meta, LinkedIn oder Microsoft, verweisende Seite und Einstiegsseite). Beide Cookies gelten für custodos.com und seine Subdomains. Die App liest sie, wenn Sie sich registrieren, und hält, sofern Sie nicht widersprochen haben, für höchstens einen Tag eine Kopie im Cookie «custodos-signup-attribution», damit die Angaben die Anmeldung per E-Mail-Link überstehen.

Sofern Sie der Messung nicht widersprochen haben, also wenn Sie im Banner in Marketing eingewilligt oder keine Wahl getroffen haben, speichern wir diese Angaben zu Ihrem Workspace und halten fest, welcher der beiden Fälle vorlag. Dann melden wir, soweit wir die jeweiligen Dienste einsetzen, zwei Ereignisse an die Werbenetzwerke, über die wir werben: den Start einer Testphase und die erste Zahlung (mit Betrag und Währung). Rechtsgrundlage ist Ihre Einwilligung, sofern Sie sie erteilt haben, sonst unser berechtigtes Interesse, den Erfolg unserer Werbung zu messen (Ziffer 3). Übermittelt werden eine Ereigniskennung, Ihre E-Mail-Adresse ausschliesslich als SHA-256-Hashwert, die Klick-Kennung des jeweiligen Netzwerks und beim Start der Testphase zudem IP-Adresse und Browserkennung:

• Meta Conversions API (Meta Platforms Ireland Ltd., Irland; Übermittlung an Meta Platforms, Inc., USA, möglich). Für die Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO; EuGH, Urteil C-40/17 «Fashion ID»); es gilt die Vereinbarung über die gemeinsame Verantwortlichkeit (Meta Controller Addendum). Für die weitere Verarbeitung ist Meta allein verantwortlich.
• LinkedIn Conversions API (LinkedIn Ireland Unlimited Company, Irland; Übermittlung an LinkedIn Corporation, USA, möglich).
• Google Ads (Google Ireland Limited, Irland; Übermittlung an Google LLC, USA, möglich). Google erhält die beiden Ereignisse nicht von unserem Server, sondern über das Conversion-Tag von Google (gtag.js), das wir einem Workspace-Admin einmalig nach dem Start der Testphase bzw. nach der ersten Zahlung in einem unsichtbaren Rahmen der App ausspielen, und nur, wenn in diesem Browser kein Widerspruch gespeichert ist. Das Tag übermittelt die Ereigniskennung, bei der Zahlung Betrag und Währung, sowie technisch bedingt IP-Adresse, Browserkennung und die Google-Cookies dieses Browsers (etwa «_gcl_aw» mit der Klick-Kennung, die die Website custodos.com gesetzt hat). Name, E-Mail-Adresse und Workspace geben wir Google nicht weiter; personalisierte Werbung ist für dieses Tag ausgeschaltet.

An Stripe geben wir, sofern Sie nicht widersprochen haben, nur die zufällige Kennung weiter, damit eine Zahlung ihrer Herkunft zugeordnet werden kann. Für Übermittlungen in die USA stützen wir uns auf das EU-US Data Privacy Framework (siehe Ziffer 5).

Haben Sie Marketing im Banner abgelehnt, speichern wir nur das und melden nichts an Werbenetzwerke. Sie können der Messung jederzeit widersprechen bzw. eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen: vor der Registrierung über den Link «Cookie-Einstellungen» auf custodos.com, danach als Workspace-Admin unter Einstellungen, Datenschutz, «Werbemessung widerrufen», oder mit einer kurzen Nachricht an [email protected]. Wir löschen dann die Kampagnenangaben und die Kennung zu Ihrem Workspace, entfernen die Kennung aus Ihrem Abonnement bei Stripe und melden keine weiteren Ereignisse an Werbenetzwerke; auch die erste Zahlung wird erst gemeldet, nachdem wir diesen Stand zu diesem Zeitpunkt noch einmal geprüft haben. In einem bereits abgeschlossenen Bezahlvorgang bei Stripe bleibt die Kennung als Beleg dieses Vorgangs erhalten. Bereits gemeldete Ereignisse bleiben unberührt.

Für eine interne, zusammengefasste Auswertung (wie viele Registrierungen und Zahlungen je Kampagne) behalten wir zu jedem Workspace, solange er besteht, nur die Kampagnennamen (utm_source, utm_medium, utm_campaign) und ob eine Klick-Kennung von Google, Meta, LinkedIn oder Microsoft vorlag, nicht die Kennung selbst.

In jedem Fall übermitteln wir den Start einer Testphase und die erste Zahlung mit den Angaben, die Sie selbst gemacht haben (E-Mail-Adresse, Name, Name des Unternehmens, Betrag), an unser Kundenverwaltungssystem (CRM), um Sie betreuen zu können (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Kampagnenangaben gehen dorthin nur, sofern Sie der Messung nicht widersprochen haben.

7. Speicherdauer

• Workspace-Inhalte: gemäss der pro Workspace eingestellten Aufbewahrungsdauer. Ein nächtlicher Löschlauf entfernt abgelaufene Nachrichten, extrahierte Dateitexte, PII-Tresor-Einträge und hochgeladene Dateien. Bei Custodos Privat legen Sie die Aufbewahrungsdauer selbst fest; einzelne Chats oder alle Chats können Sie jederzeit löschen.
• Kontodaten: bis zur Kontoschliessung; danach wird das Konto de-identifiziert und Chats, Mitgliedschaften und Sitzungen werden gelöscht.
• Nutzungs- und Rechnungsdaten: zehn Jahre gemäß der schweizerischen Buchführungspflicht (Art. 958f OR); Rechtsgrundlage siehe Ziffer 3 (Aufbewahrungspflichten).
• Herkunfts- und Einwilligungsdaten: die Kampagnenangaben (Parameter, Klick-Kennungen, verweisende Seite, Einstiegsseite) löschen wir automatisch 90 Tage nach der Registrierung oder sobald die erste Zahlung gemeldet ist, je nachdem, was früher eintritt. Ihre Wahl, die zufällige Kennung und die Kampagnennamen ohne Klick-Kennung (Ziffer 6) bleiben, solange der Workspace besteht, und werden mit ihm gelöscht. Die Kopie im Cookie «custodos-signup-attribution» verfällt nach einem Tag.

8. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen zu; erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Richten Sie Anfragen an [email protected]; wir antworten innerhalb eines Monats. Zudem können Sie sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder bei der für Sie zuständigen Aufsichtsbehörde beschweren.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Automatisierte Einzelentscheidungen im Sinne von Art. 22 DSGVO und Art. 21 DSG treffen wir nicht.

Für Inhalte im Workspace eines Unternehmens ist dieses Unternehmen verantwortlich; wenden Sie sich mit Anliegen zu diesen Inhalten bitte an das Unternehmen. Wir unterstützen es dabei. Bei Custodos Privat richten Sie Ihre Anfrage direkt an uns.

9. KI-Transparenz

Custodos ist eine Oberfläche für KI-Sprachmodelle: Antworten im Chat werden maschinell von den durch den Workspace gewählten KI-Modellen erzeugt (Transparenzpflicht nach Art. 50 der EU-KI-Verordnung). KI-Ausgaben können fehlerhaft sein; prüfen Sie sie vor wichtigen Entscheidungen.

10. Sicherheit

Die wichtigsten technischen und organisatorischen Massnahmen (im Detail beschrieben in Anhang 2 des Auftragsverarbeitungsvertrags):

• Mandantentrennung auf Datenbankebene: Postgres Row-Level-Security mit getesteten Policies und einem Drei-Rollen-Modell ohne BYPASSRLS.
• Verschlüsselung gespeicherter Provider-Schlüssel und des PII-Tresors mit AES-256-GCM.
• PII-Erkennung (AHV-Nummern, IBAN, Kartennummern, UID, E-Mail, Telefon, Namen, Adressen, Geburtsdaten, Referenznummern wie Kunden-, Vertrags- oder Rechnungsnummern) mit der Voreinstellung «Standard»: echte Pseudonymisierung aller erkannten Kategorien ausser Namen, mit Wiedereinsetzung in der Antwort; Namen bleiben lesbar (für Workspaces, die ab dem 4. Oktober 2026 eröffnet werden; ältere Workspaces behalten ihre bisherige Einstellung). Eine Suche, die das Modell in einem verbundenen Konto des Kunden (etwa CRM, Postfach oder Dateiablage) oder in Company Brain auslöst, enthält die echten Werte, weil diese Systeme sie bereits führen; an das Modell gehen weiterhin nur Platzhalter. Angehängte Bilder gehen unverändert an das Modell, weil sich Bildinhalte nicht pseudonymisieren lassen. In einem Prompt zur Bilderstellung gehen erkannte Namen wie eingegeben an das Bildmodell, sofern Sie sie nicht schützen, weil sich ein Platzhalter in einem Bild nicht wieder einsetzen lässt; alle anderen Kategorien behalten ihre Einstellung, zurückgewiesene Kennungen bleiben zurückgewiesen. Die Administration kann pro Kategorie festlegen, ob sie pseudonymisiert, zurückgewiesen oder nicht geprüft wird; zurückweisen lassen sich nur AHV-Nummer, IBAN, Kartennummer, UID und eigene Regeln, nie Namen oder Kontaktdaten. Die Voreinstellung «Streng» pseudonymisiert auch Namen, weist Nachrichten mit einer dieser Kennungen zurück und nimmt keine Bilder an. Der Schutz lässt sich auch abschalten. Welche Stufe ein Workspace gewählt hat, sehen seine Mitglieder auf ihrer Kontoseite.
• Sicherheitsmodus: Ein Chat, den ein Mitglied als sicher markiert, läuft nur mit dem Modell, das die Administration dafür festgelegt hat, pseudonymisiert jede erkannte Angabe ohne Ausnahme (auch wenn der Schutz sonst abgeschaltet ist), sucht nicht im Web, nutzt keine Konnektoren und nimmt keine Bilder an.
• Backups bei Infomaniak in der Schweiz.
• Löschkonzept über den nächtlichen Retention-Sweep.
• Keine Prompt-Inhalte in Logs oder im Audit-Protokoll.

Custodos ist auf die Anforderungen der DSGVO und des DSG ausgelegt; wir behaupten keine Zertifizierungen, die nicht bestehen.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die rechtlichen Anforderungen ändern, etwa bei neuen Unterauftragsverarbeitern. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 7. November 2026.