Datenschutzerklärung

cockpitOS wird auf Infrastruktur in der Region Frankfurt am Main (Deutschland) betrieben. Dazu gehören u. a. das Redaktions-Dashboard, zentrale APIs, relationale Datenbank, Redis-Cache sowie die selbst gehostete Umami-Analytics-Instanz. Center-Website-Templates und zugehörige Anwendungen (Digital Signage, Center Manager) werden ebenfalls über diese Infrastruktur bereitgestellt. Optional können einzelne Center-Frontends über Vercel (Region Frankfurt, sofern gewählt) ausgeliefert werden — dies wird pro Center konfiguriert.

Im Rahmen des Plattformbetriebs setzen wir folgende Dienstleister ein (Auswahl):

Render Services, Inc. — Hosting der Anwendungen, Datenbank, Redis und Umami in Frankfurt (Deutschland). Verarbeitete Daten: alle im Rahmen des Betriebs anfallenden technischen und redaktionellen Daten. AVV/DPA abgeschlossen (Render GDPR DPA, Document Center).

Bunny.net (BunnyCDN) — Content Delivery Network und Medien-Speicher für hochgeladene Dateien (Logos, Bilder, Videos). Für die Pull Zone ist EU Routing Only (ausschließliche Auslieferung über EU-PoPs) aktiviert. Verarbeitete Daten: statische Medien und Zugriffsmetadaten.

Resend, Inc. — Versand transaktionaler E-Mails (z. B. Passwort-Reset, Willkommens-Mails, Kontaktformular-Weiterleitungen). Absender: noreply@mail.cockpit-os.de; Antworten an support@schickma.de. Versandregion in Resend: EU (Ireland, eu-west-1) — Domain mail.cockpit-os.de verifiziert; AVV/DPA mit Resend abgeschlossen. Metadaten und Protokolldaten können zusätzlich in den USA verarbeitet werden; Absicherung über Auftragsverarbeitungsvertrag (AVV) und Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO.

OpenAI, L.L.C. (USA) — KI-gestützte Funktionen in der Redaktion (z. B. Textvorschläge, Medien-Optimierung, Manager-Assistent) sowie KI-Chat auf Center-Websites (sofern vom Center aktiviert). Verarbeitete Daten: vom Nutzer eingegebene Prompts und Kontext. Absicherung: API-DPA, SCC, keine Nutzung zu Modelltraining (API-Policy).

DeepL SE (EU) — maschinelle Übersetzung in der Redaktion (serverseitig). Verarbeitete Daten: zu übersetzende Texte.

Google LLC (optional) — Google Maps JavaScript API für interaktive Centerpläne auf Center-Websites, nur nach Cookie-Einwilligung (Kategorie „Extern“). Verarbeitete Daten: IP-Adresse, Karteninteraktionen.

Umami (self-hosted auf Render Frankfurt) — anonymisierte Web-Analytics auf Center-Websites, nur nach Cookie-Einwilligung. IP-Adressen werden anonymisiert; keine Weitergabe an Dritte.

Mit allen genannten Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen. Eine aktuelle Liste der Unterauftragsverarbeiter stellen wir Kunden auf Anfrage zur Verfügung.

Das Dashboard verwendet technisch notwendige Cookies und Sitzungs-Tokens für die Authentifizierung (NextAuth.js). Diese sind für den Login und die sichere Nutzung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Session-Dauer: bis zur Abmeldung oder Ablauf der konfigurierten Sitzungszeit. Wir setzen keine Marketing- oder Tracking-Cookies im Dashboard ein.

In der Redaktion stehen optionale KI-Funktionen zur Verfügung (z. B. News-/Event-Textvorschläge, Medien-Optimierung, Assistenten). Die Verarbeitung erfolgt ausschließlich serverseitig; API-Schlüssel werden nicht an den Browser übergeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. berechtigtes Interesse an effizienter Redaktionsunterstützung. Bei Übermittlung an OpenAI (USA) gelten SCC und der OpenAI-DPA. Redakteure sollten keine unnötigen personenbezogenen Daten in Prompts eingeben.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) DSGVO. Einwilligungen können Sie jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Beschwerden richten Sie an eine Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) oder an unseren Datenschutzbeauftragten unter datenschutz@schickma.de.