Auftragsverarbeitung (AVV)

zwischen
dem Kunden (Kontoinhaber laut Registrierung) – nachfolgend „Verantwortlicher“ –

und
Luminant Mind e.U., Inhaber Youns Murhidj, Johannagasse 29-35/14/5, 1050 Wien, Österreich, FN 665878h (Handelsgericht Wien), E-Mail office@luminantmind.com – nachfolgend „Auftragsverarbeiter“ oder „Lumeya“ –

1. Gegenstand und Dauer

1.1 Lumeya erstellt und hostet für den Verantwortlichen eine Website (Kundenseite) und stellt ein Kontaktformular, eine Besucherstatistik sowie ein Konto mit Übersicht bereit (Hauptvertrag: Nutzungsbedingungen von Lumeya). Dabei verarbeitet Lumeya personenbezogene Daten im Auftrag des Verantwortlichen.

1.2 Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dessen Beendigung und der Löschung oder Rückgabe der Daten nach Ziffer 10.

1.3 Für Verantwortliche mit Sitz in der Schweiz gilt dieser Vertrag zugleich als Vertrag über die Auftragsbearbeitung nach Art. 9 des Schweizer Datenschutzgesetzes (DSG); Verweise auf die DSGVO gelten sinngemäß.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art der Verarbeitung: Speichern, Anzeigen, Bereitstellen an den Verantwortlichen (Konto, Export), Zählen, Sichern, Löschen; technische Bearbeitung von Bildern (Neukodierung, Entfernen von Metadaten).

Zweck: Betrieb der Kundenseite, Entgegennahme und Anzeige von Anfragen über das Kontaktformular, Spam-Erkennung, Besucherstatistik, Datensicherung.

Kategorien personenbezogener Daten:

• Kontaktformular-Anfragen: Name, E-Mail-Adresse oder Telefonnummer, Nachricht, gegebenenfalls Wunschtermin und gewählte Leistung, Zeitpunkt, Spam-Bewertung; dazu Auszüge daraus (Name, Kontaktangabe, Anfang der Nachricht), soweit sich der Verantwortliche Anfragen im Chat „Frag Lumeya“ anzeigen lässt.
• Inhalte der Kundenseite, soweit sie personenbezogene Daten enthalten (z. B. Name des Inhabers, Mitarbeiterfotos, Kundenstimmen).
• Besucherstatistik: Beim Ausliefern einer Seite verarbeitet Lumeya kurzzeitig die aufgerufene Adresse, die Browser-Kennung, die zuvor besuchte Seite und die auf das Netz gekürzte IP-Adresse (IPv4 /24, IPv6 /48; nur im Arbeitsspeicher, höchstens etwa eine Stunde), um den Aufruf zu zählen. Gespeichert werden nur Tagessummen (Seitenaufrufe insgesamt, je Seite, nach grober Herkunft und nach Gerätekategorie Handy, Tablet oder Computer; Anfragen), keine Kennung je Besucher.

Kategorien betroffener Personen: Besucher und Interessenten der Kundenseite; Personen, die auf der Kundenseite genannt oder abgebildet sind (Inhaber, Mitarbeiter, Kunden des Verantwortlichen).

Nicht Gegenstand dieses Vertrags: Die Protokolle des Webservers und des Betriebssystems (u. a. IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung der Besucher) führt Lumeya für die gesamte Plattform einschließlich der Kundenseiten als eigener Verantwortlicher, um die Plattform sicher und stabil zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Zweck, Umfang und Speicherdauer stehen in der Datenschutzerklärung von Lumeya (Abschnitt 3); der Verantwortliche kann in seiner eigenen Datenschutzerklärung darauf verweisen.

Besondere Kategorien (Art. 9 DSGVO): nicht vorgesehen. Der Verantwortliche stellt sicher, dass das Kontaktformular keine Gesundheitsdaten oder andere besondere Kategorien abfragt, oder trifft dafür eigene Vorkehrungen (z. B. bei Praxen).

3. Weisungen

3.1 Lumeya verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV und den Einstellungen im Konto (z. B. Löschen einer Anfrage, Veröffentlichen oder Offline-Nehmen einer Website). Weitere Weisungen erteilt der Verantwortliche in Textform an office@luminantmind.com.

3.2 Lumeya informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Lumeya gegen Datenschutzrecht verstößt. Lumeya darf die Ausführung bis zur Klärung aussetzen.

3.3 Ist Lumeya nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt Lumeya dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

4. Pflichten von Lumeya

4.1 Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (auch nach § 6 DSG). Derzeit hat nur eine Person, der Inhaber, administrativen Zugriff.

4.2 Sicherheit: Lumeya setzt die technischen und organisatorischen Maßnahmen nach Anlage 1 um und hält sie auf dem Stand der Technik (Art. 32 DSGVO). Maßnahmen dürfen weiterentwickelt werden, wenn das Schutzniveau nicht sinkt.

4.3 Unterstützung bei Betroffenenrechten: Wendet sich eine betroffene Person an Lumeya, leitet Lumeya die Anfrage unverzüglich an den Verantwortlichen weiter. Lumeya unterstützt den Verantwortlichen mit Funktionen im Konto (Anzeige, Export als JSON und CSV, Löschung einzelner Anfragen, Löschen einzelner oder aller Chats von „Frag Lumeya“) und auf Anfrage. Hat sich der Verantwortliche eine Anfrage im Chat „Frag Lumeya“ anzeigen lassen oder sie dort bearbeitet und löscht er die Anfrage, ersetzt Lumeya auch die Antworten und Rückfragen im Chat, die sie nennen, durch einen Hinweis; was der Verantwortliche selbst in den Chat geschrieben hat, bleibt, bis er den Chat oder sein Konto löscht.

4.4 Unterstützung bei Art. 32 bis 36 DSGVO: Lumeya unterstützt den Verantwortlichen bei Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde, soweit die Informationen bei Lumeya liegen.

4.5 Datenpannen: Lumeya meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, an die im Konto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Kontaktstelle.

4.6 Nachweis und Kontrolle: Lumeya stellt dem Verantwortlichen die zum Nachweis nötigen Informationen bereit (dieser AVV, Anlage 1, Liste der Unterauftragsverarbeiter, auf Anfrage Nachweise des Rechenzentrumsbetreibers). Der Verantwortliche darf nach Ankündigung mit angemessener Frist (14 Tage) Kontrollen durchführen, in der Regel durch schriftliche Auskunft; Vor-Ort-Kontrollen sind auf das Notwendige zu beschränken und finden während der Geschäftszeiten statt. Kosten unverhältnismäßiger Kontrollen trägt der Verantwortliche.

4.7 Verzeichnis: Lumeya führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

4.8 Ort der Verarbeitung: Die Verarbeitung findet ausschließlich in der Europäischen Union statt (Server in Deutschland bei Hetzner Online GmbH, Verwaltung von Österreich aus).

5. Pflichten des Verantwortlichen

5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Besucher (Datenschutzerklärung auf der Kundenseite, Hinweis am Kontaktformular) und für die Rechtsgrundlage.

5.2 Der Verantwortliche hält seine E-Mail-Adresse im Konto aktuell, damit Meldungen nach Ziffer 4.5 ankommen.

5.3 Der Verantwortliche löscht Anfragen, die er nicht mehr benötigt, selbst im Konto oder weist Lumeya dazu an.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

6.2 Lumeya informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens 4 Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Bei Widerspruch können beide Seiten den Hauptvertrag zum Wirksamwerden der Änderung kündigen, wenn keine einvernehmliche Lösung gefunden wird.

6.3 Lumeya verpflichtet jeden Unterauftragsverarbeiter vertraglich zu den Pflichten dieses Vertrags, insbesondere zu Sicherheitsmaßnahmen nach Art. 32 DSGVO, und bleibt gegenüber dem Verantwortlichen für dessen Pflichterfüllung verantwortlich.

6.4 Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post, Wartung ohne Datenzugriff oder Entsorgung von Datenträgern.

7. Datenübermittlung in Drittländer

Eine Übermittlung der Auftragsdaten in Länder außerhalb der EU oder des EWR findet nicht statt. Sollte sich das ändern, gelten Ziffer 6 und die Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder geeignete Garantien).

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Die Haftungsregelung der Nutzungsbedingungen gilt auch für Ansprüche aus diesem Vertrag, soweit Art. 82 DSGVO nichts anderes zwingend vorsieht.

9. Auskunftsersuchen Dritter

Verlangen Behörden oder Dritte Auskunft über Daten des Verantwortlichen, informiert Lumeya den Verantwortlichen unverzüglich und verweist auf ihn, soweit gesetzlich zulässig. Lumeya gibt Daten nur heraus, wenn eine gesetzliche Pflicht besteht.

10. Löschung und Rückgabe nach Vertragsende

10.1 Der Verantwortliche kann seine Daten jederzeit während der Vertragsdauer exportieren (Inhalte der Kundenseiten mit allen gespeicherten Versionen, Blogbeiträge, Statistik als Tagessummen und Anfragen als JSON, Anfragen zusätzlich als CSV; Bilder einzeln abrufbar). Endet nur das Abonnement (z. B. durch Kündigung, Widerruf oder mit dem Ende der Beta-Phase), bleiben die Daten gespeichert, bis der Verantwortliche sein Konto löscht; die Kundenseite ist dann nicht mehr öffentlich erreichbar.

10.2 Endet der Hauptvertrag durch Löschung des Kontos, löscht Lumeya sofort alle im Auftrag verarbeiteten Daten, also Anfragen, Inhalte der Kundenseiten mit allen Versionen, Bilder samt Bilddateien, Statistik und die Chats von „Frag Lumeya“. Daten, die Lumeya als eigener Verantwortlicher verarbeitet (z. B. der Nachweis über die Löschung, Server-Protokolle), richten sich nach der Datenschutzerklärung von Lumeya. Endet er auf andere Weise, insbesondere durch Kündigung durch Lumeya aus wichtigem Grund, stellt Lumeya die Daten auf Anfrage noch 30 Tage lang zum Export bereit und löscht sie danach.

10.3 Aus Sicherungskopien werden einzelne Daten nicht vorzeitig entfernt; die Kopien laufen vollständig aus: auf dem Server nach 14 Tagen, in der verschlüsselten Zweitkopie nach längstens 12 Monaten. Gesetzliche Aufbewahrungspflichten von Lumeya (z. B. Rechnungen, 7 Jahre nach § 132 BAO) bleiben unberührt; diese Daten werden gesperrt.

10.4 Auf Wunsch bestätigt Lumeya die Löschung in Textform.

11. Schlussbestimmungen

11.1 Änderungen dieses Vertrags bedürfen der Textform. Lumeya darf Anlage 1 (TOM) ändern, wenn das Schutzniveau nicht sinkt, und Anlage 2 nach Ziffer 6.

11.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor.

11.3 Es gilt österreichisches Recht. Gerichtsstand für Unternehmer ist Wien (Handelsgericht Wien). Für Verbraucher gilt § 14 KSchG.

Abgeschlossen elektronisch durch Bestätigung bei der Registrierung (Art. 28 Abs. 9 DSGVO). Die bei Abschluss gültige Fassung wird mit Prüfsumme und Zeitpunkt gespeichert. Fassung vom 26. September 2026.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Stand: 26. September 2026. Die Maßnahmen beschreiben den Betrieb von Lumeya auf einem eigenen Server bei Hetzner Online GmbH (Rechenzentrum in Deutschland).

1. Vertraulichkeit

Zutrittskontrolle (Rechenzentrum): Betrieb im Rechenzentrum der Hetzner Online GmbH mit Zutrittskontrolle, Videoüberwachung und Sicherheitsdienst; Hetzner ist nach ISO/IEC 27001 zertifiziert.

Zugangskontrolle (Systeme):

• Server-Verwaltung per SSH ausschließlich mit kryptografischem Schlüssel; Passwort-Anmeldung und direkte Root-Anmeldung sind abgeschaltet. Wiederholte Fehlversuche führen zu einer automatischen Sperre der Absenderadresse.
• Die Firewall lässt von außen nur SSH, HTTP und HTTPS zu; die Anwendung selbst ist nur über den vorgeschalteten Webserver erreichbar.
• Der Verwaltungsbereich der Anwendung ist nur aus einem privaten, verschlüsselten Netz (VPN) erreichbar; Admin-Sitzungen laufen nach 12 Stunden ab.
• Kundenkonten: Passwörter als Argon2id-Hash, Mindestlänge 10 Zeichen, Sperre bekannter Passwörter; Ratenbegrenzung je Adresse und je Konto; Protokoll der Anmeldeversuche für 30 Tage (IP-Adresse nur als HMAC-Schlüssel).
• Sitzungs-Cookie mit den Attributen Secure, HttpOnly und SameSite=Lax; CSRF-Schutz-Cookie mit Secure und SameSite=Strict (für das eigene Skript der Plattform lesbar, enthält kein Anmeldegeheimnis). Sitzungskennungen liegen in der Datenbank nur als Hash. Kunden sehen ihre angemeldeten Geräte und können sie abmelden.

Zugriffskontrolle (Daten):

• Veröffentlichte Kundenseiten werden je Kunde aus einer eigenen, abgeschotteten Umgebung ausgeliefert (Sandbox mit eigenen Namensräumen, ohne Netzwerkzugang, nur mit Lesezugriff auf die Dateien dieses Kunden). Bei einer Störung dieser Umgebung liefert die Anwendung die Seite direkt aus.
• Mandantentrennung in der Anwendung: Daten werden immer mit der Konto-Kennung des Kunden abgefragt.
• Hochgeladene Bilder werden in einer Wegwerf-Sandbox ohne Netzwerkzugang und ohne Rechte, mit Zeit- und Speichergrenzen geprüft und neu kodiert; das Original wird nicht gespeichert.
• Eingriffe des Betreibers in Kundenkonten (z. B. Sperre, Gutschrift, Löschung) sowie sicherheitsrelevante Kontoaktionen werden protokolliert.
• Die Anwendung läuft unter einem eigenen Systembenutzer ohne Administratorrechte. Geheimnisse (Schlüssel, Zugangsdaten) liegen nur in Konfigurationsdateien mit eingeschränkten Rechten, nicht im Code.

Trennungskontrolle: Die Entwicklung findet nicht auf dem Produktionsserver statt. Die automatischen Tests vor jedem Update laufen mit einer eigenen Testdatenbank in einem getrennten Verzeichnis; Testdaten sind keine Echtdaten.

Pseudonymisierung und Datensparsamkeit: Das Zugriffsprotokoll des Webservers (mit IP-Adressen) wird täglich gewechselt und nach höchstens etwa 7 Tagen gelöscht; für Kundenseiten unter eigener Domain wird keines geführt. Das Systemprotokoll des Servers wird ebenfalls nach höchstens etwa 7 Tagen gelöscht (Einzelheiten in der Datenschutzerklärung von Lumeya, Abschnitt 3); Anwendungsprotokolle enthalten keine IP-Adressen. In den Versandnachweisen von E-Mails werden Links mit Schlüsseln vor dem Speichern unkenntlich gemacht. Für Login-Schutz und Ratenbegrenzung wird die IP-Adresse nur als HMAC-Schlüssel verwendet. Die Statistik speichert nur Tagessummen ohne Kennung je Besucher; die IP-Adresse wird dafür nur gekürzt (IPv4 /24, IPv6 /48) und nur im Arbeitsspeicher verwendet. Bild-Metadaten werden beim Hochladen entfernt. E-Mail-Hinweise auf neue Anfragen enthalten keine Angaben der anfragenden Person.

2. Integrität

Weitergabekontrolle: Alle Verbindungen (Besucher, Kunde und Verwaltung zum Server) sind mit TLS verschlüsselt (HTTPS erzwungen, HSTS). E-Mails werden nur über verschlüsselte Verbindungen (STARTTLS oder TLS) versendet. Die Zweitkopie der Sicherung wird vor der Übertragung verschlüsselt.

Eingabekontrolle: Änderungen an Kundenseiten werden versioniert (Versionen der Website mit Zeitstempel). Sicherheitsrelevante Aktionen werden protokolliert.

Software-Sicherheit: Automatische Sicherheitsupdates des Betriebssystems; regelmäßige Aktualisierung der Abhängigkeiten; Content-Security-Policy; Schutz gegen CSRF; Prüfung aller Eingaben; Ratenbegrenzung.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Datenbank und Bildern; jede Datenbanksicherung wird bei der Erstellung auf Integrität geprüft. Aufbewahrung auf dem Server 14 Tage.
• Verschlüsselte Zweitkopie auf getrenntem Speicher bei Hetzner (Storage Box) mit 14 täglichen, 8 wöchentlichen und 12 monatlichen Ständen; das Depot wird monatlich geprüft.
• Die Wiederherstellung aus einer Sicherung ist dokumentiert und mit einem Befehl möglich.
• Selbstprüfung der Anwendung alle 5 Minuten mit automatischem Neustart bei Ausfall; Ratenbegrenzung gegen Überlast.
• Updates werden in einem getrennten Verzeichnis gebaut und vor dem Umschalten geprüft; das Umschalten erfolgt in der Regel nahezu ohne Unterbrechung. Ein kurzer Aussetzer ist möglich (Messung 2026-09-27: Obergrenze 0,43 s). Ein Zurückschalten auf den vorherigen Stand ist jederzeit möglich.
• Rechenzentrum mit redundanter Stromversorgung und Netzanbindung (Hetzner).

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Dieser TOM-Katalog wird mindestens jährlich und bei wesentlichen Änderungen überprüft.
• Umgang mit Sicherheitsvorfällen: Erkennen, Eindämmen, Melden nach Ziffer 4.5, Nacharbeit.
• Datenschutzfreundliche Voreinstellungen: keine Cookies auf Kundenseiten, keine externen Dienste beim Laden der Kundenseiten, Spam-Verdacht nach 30 Tagen gelöscht, Speicherfristen werden automatisch alle sechs Stunden durchgesetzt.
• Auftragskontrolle: Unterauftragsverarbeiter werden vor dem Einsatz geprüft und vertraglich gebunden (Anlage 2).

5. Was Lumeya nicht tut

Keine Werbung, kein Tracking, kein Verkauf oder Teilen von Daten, keine Nutzung von Kundendaten zum Training von KI-Modellen. Der Chat „Frag Lumeya“ nutzt ein Sprachmodell eines externen Anbieters; lässt sich der Verantwortliche dort Anfragen anzeigen, können diese Angaben an diesen Anbieter gehen. Für die Texte der Website nutzt Lumeya ein Sprachmodell eines externen Anbieters; Anfragen gehören nicht dazu.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Hetzner Online GmbH
Anschrift: Industriestraße 25, 91710 Gunzenhausen, Deutschland
Leistung: Rechenzentrum, Server-Hosting, Speicher für verschlüsselte Sicherungskopien
Ort der Verarbeitung: EU (Server in Deutschland)
Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Hetzner AVV)

Der Anbieter des externen Sprachmodells im Chat „Frag Lumeya“ erhält Anfragen, die sich der Verantwortliche dort anzeigen lässt, und ist insoweit Unterauftragsverarbeiter. Hinweise auf neue Anfragen versendet Lumeya über seinen Mailanbieter an die E-Mail-Adresse des Verantwortlichen; sie enthalten keine Angaben der anfragenden Person. Der Mailanbieter verarbeitet daher keine Auftragsdaten.

Änderungen werden nach Ziffer 6 mitgeteilt. Die aktuelle Liste steht immer auf dieser Seite.