Datenschutzerklärung
Stand: 2026-06-11
⚠️ Entwurf — kein Rechtsrat. Vor Veröffentlichung anwaltlich prüfen lassen und alle [PLATZHALTER] ausfüllen.
1. Verantwortlicher
[PLATZHALTER: Firmenname] [PLATZHALTER: Anschrift] [PLATZHALTER: E-Mail], [PLATZHALTER: Telefon]
Datenschutzbeauftragte/r (falls bestellt): [PLATZHALTER: Name/Kontakt]
Hinweis zur Rollenverteilung: Soweit Gatify im Auftrag von Geschäftskunden deren Kontakt- und Anfragedaten verarbeitet, ist der jeweilige Kunde der Verantwortliche und Gatify Auftragsverarbeiter (Art. 28 DSGVO). Diese Erklärung beschreibt die Verarbeitung durch Gatify; die Grundlage der Auftragsverarbeitung regelt der AVV.
2. Überblick der Verarbeitungen
Gatify ist ein Tool für Medienbeobachtung und Presse-/PR-Arbeit. Verarbeitet werden u. a.:
| Datenkategorie | Beispiele | Rechtsgrundlage |
|---|---|---|
| Pressekontakte | Name, E-Mail, Outlet, Ressort, Telefon, Notizen | Art. 6 (1) f (berechtigtes Interesse: PR-Arbeit) |
| Medienanfragen | Journalist, Medium, E-Mail, Thema, Anfragetext, Frist | Art. 6 (1) f |
| Autoren-Recherche (optional, KI-gestützt) | Name, Outlet, vermutete Kontaktdaten, Quellen | Art. 6 (1) f |
| Monitoring-Signale | Autor, Beitragstext, Plattform, URL (öffentliche Quellen) | Art. 6 (1) f |
| Nutzerkonten | Name, E-Mail, Rolle, Passwort-Hash | Art. 6 (1) b (Vertrag) |
| Protokolle (Audit-Log) | Nutzer-ID, Aktion, Ressource, IP-Adresse, Zeit | Art. 6 (1) f (Sicherheit/Nachvollziehbarkeit) |
| Medien-Uploads | Bilder (ggf. mit abgebildeten Personen) | Art. 6 (1) f / Einwilligung des Kunden |
3. Empfänger / Auftragsverarbeiter (Subprozessoren)
Zur Erbringung des Dienstes setzen wir Dienstleister ein, die in unserem Auftrag Daten verarbeiten. Die vollständige, aktuelle Liste mit Zweck, Standort und Absicherung findet sich in der Subprozessoren-Liste (docs/legal/subprozessoren.md). Kernpunkte:
- Datenbank: Neon (EU, Frankfurt).
- Hosting: Vercel. Echtzeit: Pusher (EU-Cluster).
- KI-Auswertung: OpenAI, OpenRouter/Google, Hugging Face.
- Recherche/Scraping: Apify (EU), Firecrawl, Exa.
- Medienspeicher: Hugging Face Datasets (zugriffsgeschützt) bzw. optional S3.
4. Datenübermittlung in Drittländer
Die Speicherung personenbezogener Daten erfolgt in der EU. Für KI-Auswertungen werden Inhalte an Anbieter in den USA übermittelt. Diese Übermittlungen sind abgesichert über das EU-US Data Privacy Framework (soweit zertifiziert) und/oder Standardvertragsklauseln nebst ergänzenden Maßnahmen. Vor jeder solchen Übermittlung erfolgt eine Datenminimierung (siehe Abschnitt 5).
5. Datenminimierung vor KI-Verarbeitung
Inhalte werden vor der Übergabe an KI-Dienste auf das für die jeweilige Aufgabe Notwendige reduziert. Für Aufgaben, die keinen Personenbezug benötigen (z. B. Stimmungs-/Themen-/ Narrativ-Analyse), werden direkte Identifikatoren — E-Mail-Adressen und Telefonnummern — zuvor maskiert; bekannte Personennamen werden zusätzlich pseudonymisiert.
6. Speicherdauer
Stammdaten werden gespeichert, solange das Kundenkonto besteht bzw. der Kunde sie pflegt. Verworfene Monitoring-Signale und Audit-Protokolle werden nach einer festgelegten Frist automatisch gelöscht. Nach Vertragsende werden die Daten exportiert und anschließend gelöscht.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde.
Anfragen richten Sie an: [PLATZHALTER: Kontakt]. Wir bearbeiten sie innerhalb der gesetzlichen Frist. Gatify stellt hierfür technische Funktionen zur Auskunft (Datenexport) und zur Löschung/Anonymisierung bereit.
Besonderer Hinweis für Journalisten/Betroffene aus öffentlichen Quellen: Werden Sie als Kontakt oder Monitoring-Autor erfasst, können Sie der Verarbeitung widersprechen; wir setzen Löschung/Anonymisierung zeitnah um.
8. Sicherheit (TOM)
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u. a. bcrypt-Hashing, rollenbasierte Zugriffskontrolle, Audit-Logging, TLS/HSTS, EU-Hosting). Details: TOM-Dokument (docs/legal/tom.md).
9. Cookies
Gatify setzt ausschließlich technisch notwendige Cookies — namentlich das Session-Cookie für die Anmeldung (NextAuth). Diese sind für den Betrieb des Dienstes erforderlich; ein Einwilligungsbanner ist hierfür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Analyse-, Tracking- oder Marketing-Cookies gesetzt und keine externen Werbe-/Analysedienste eingebunden.
10. Änderungen
Wir passen diese Erklärung an, wenn sich Verarbeitungen oder Subprozessoren ändern. Maßgeblich ist die jeweils aktuelle, hier veröffentlichte Fassung.