Datenschutzerklärung

für das Farmers/Factory SOP-Portal (`sop.farmers-factory.de`, nachfolgend „Dienst").

Mit dieser Erklärung informieren wir Sie gemäß Art. 13 und 14 DSGVO über die

Verarbeitung personenbezogener Daten bei Nutzung unseres Dienstes.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Farmers Factory GmbH

Melkweg 3, 49847 Wielen, Deutschland

Telefon: +49 1517 0118114

E-Mail: info@farmers-factory.de

Vertreten durch die Geschäftsführer Dennis Welleweerd und Esther Achler-Stubbe.

Abgrenzung der Verantwortlichkeit (wichtig): Soweit Sie als Kunde im Dienst

Inhalte hochladen, die personenbezogene Daten Dritter enthalten (z. B. Sprach- oder

Videoaufnahmen Ihrer Mitarbeitenden), sind Sie für diese Daten der/die

datenschutzrechtlich Verantwortliche; die Farmers Factory GmbH verarbeitet diese

Daten ausschließlich in Ihrem Auftrag als Auftragsverarbeiter auf Grundlage des

Auftragsverarbeitungsvertrags (AVV, Art. 28 DSGVO). Die nachfolgenden Abschnitte

4–9 betreffen die Daten, für die wir Verantwortlicher sind (insbesondere

Account- und Nutzungsdaten). Für die in Ihrem Auftrag verarbeiteten Inhalte siehe

Abschnitt 10.

2. Datenschutzbeauftragte:r

[[DSB-KONTAKT]]

Falls ein:e Datenschutzbeauftragte:r bestellt ist, hier Name und Kontakt angeben.

Andernfalls diesen Abschnitt entfernen. Eine Pflicht zur Bestellung besteht u. a. bei

≥ 20 ständig mit automatisierter Verarbeitung beschäftigten Personen, § 38 BDSG.

3. Betroffenenrechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden

personenbezogenen Daten:

Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an die oben genannten Kontaktdaten.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht,

sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für uns die

Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen),

Prinzenstraße 5, 30159 Hannover.

4. Bereitstellung der Website / Server-Logfiles

Beim Aufruf des Dienstes werden technisch notwendige Daten verarbeitet, die Ihr

Browser übermittelt (insbesondere IP-Adresse, Datum/Uhrzeit, abgerufene Ressource,

Statuscode, übertragene Datenmenge, Referrer, User-Agent).

funktionsfähigen Betrieb).

5. Nutzerkonto, Registrierung und Onboarding

Zur Nutzung des Dienstes ist ein Nutzerkonto erforderlich. Konten werden entweder von

Ihnen selbst angelegt (sofern die Registrierung freigeschaltet ist) oder durch uns im

Rahmen des Onboardings für Ihr Kundenprojekt eingerichtet.

Verarbeitete Daten:

Klartext)

Firmenlogo

Zwecke: Einrichtung und Verwaltung des Kontos, Authentifizierung, Erfüllung des

Nutzungsvertrags, Kontaktaufnahme zu vertragsbezogenen Zwecken.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche

Maßnahmen).

Beim Onboarding durch uns wird ein initiales Passwort automatisch erzeugt und Ihnen

per E-Mail (Willkommens-E-Mail) zugesandt. Wir empfehlen, dieses Passwort nach der

ersten Anmeldung zu ändern.

6. Hochgeladene Inhalte (Aufnahmen, Transkripte, SOPs)

Der Kern des Dienstes besteht darin, hochgeladene Audio- und Videoaufnahmen von

Arbeitsabläufen automatisiert in standardisierte Arbeitsanweisungen (SOPs) umzuwandeln.

Dabei werden verarbeitet:

Dauer, Auflösung)

Diese Inhalte können personenbezogene Daten Dritter enthalten (z. B. die Stimme oder

das Bild der aufnehmenden bzw. gezeigten Personen). Hierfür gilt vorrangig die

Auftragsverarbeitung (siehe Abschnitt 1 und 10). Rechtsgrundlage für die

Verarbeitung im Rahmen des Vertragsverhältnisses ist Art. 6 Abs. 1 lit. b DSGVO;

soweit Sie Verantwortlicher sind, beruht die Verarbeitung durch uns auf dem AVV

(Art. 28 DSGVO).

7. Automatisierte Verarbeitung durch KI-Dienste (Transkription & SOP-Erzeugung)

Zur Transkription und zur Erstellung der SOPs setzen wir externe KI-Dienste ein:

Sprachmodell „GPT-4o") — Anbieter: OpenAI, L.L.C. / OpenAI Ireland Ltd.

SOP) — Anbieter: Anthropic PBC / Anthropic Ireland, Ltd.

Zu diesem Zweck werden die Transkripte bzw. Audio-/Videoinhalte an den jeweiligen

Anbieter übermittelt und dort verarbeitet. Eine Verarbeitung kann auf Servern in den

USA stattfinden (Drittlandübermittlung, siehe Abschnitt 8).

soweit Sie Verantwortlicher der Inhalte sind.

Keine automatisierte Entscheidung mit Rechtswirkung: Die KI erstellt Textentwürfe;

es findet keine automatisierte Einzelentscheidung mit rechtlicher Wirkung gegenüber

betroffenen Personen im Sinne von Art. 22 DSGVO statt. Generierte SOPs durchlaufen je

nach Konfiguration eine manuelle Freigabe.

Hinweis: Konkreten Verarbeitungsumfang und insbesondere die vertraglichen Zusagen

der KI-Anbieter zur Nicht-Nutzung von Inhalten für eigenes Modelltraining vor

Veröffentlichung prüfen und ggf. ergänzen.

8. Übermittlung in Drittländer (USA)

Im Rahmen der unter Abschnitt 7 genannten KI-Dienste sowie ggf. weiterer

Dienstleister werden personenbezogene Daten in die USA übermittelt. Ein angemessenes

Datenschutzniveau wird abgesichert durch:

Framework** (Angemessenheitsbeschluss der EU-Kommission), und/oder

nebst ergänzenden Schutzmaßnahmen.

Vor Veröffentlichung je Anbieter den konkreten, aktuell gültigen

Übermittlungsmechanismus belegen und hier benennen.

9. E-Mail-Versand

Wir versenden transaktionsbezogene E-Mails (z. B. Willkommens-E-Mail mit Zugangsdaten,

Benachrichtigungen, QR-Code-Versand). Hierfür wird ein E-Mail-Versanddienst eingesetzt.

10. Protokollierung (Audit-Log) und In-App-Benachrichtigungen

Zur Sicherheit, Nachvollziehbarkeit und Missbrauchsvermeidung protokollieren wir

sicherheitsrelevante Aktionen (z. B. Anmeldung, Upload, SOP-Erstellung). Dabei werden

Nutzer-ID, Aktion, betroffenes Objekt, Zeitpunkt und IP-Adresse gespeichert.

Zusätzlich erhalten Nutzer In-App-Benachrichtigungen.

Art. 6 Abs. 1 lit. b DSGVO.

11. Öffentlich teilbare Anleitungen (QR-Codes)

Sie können einzelne Anleitungen über einen QR-Code/Token öffentlich (ohne Anmeldung)

zugänglich machen. Wer den Link/QR-Code besitzt, kann die jeweilige Anleitung

abrufen. Diese Freigabe erfolgt durch Sie aktiv; Sie sind dafür verantwortlich, dass

geteilte Inhalte keine schutzbedürftigen personenbezogenen Daten ungewollt offenlegen.

Die Freigabe ist widerrufbar (Token-Rotation/Deaktivierung).

12. Hosting

Der Dienst wird bei folgendem Anbieter gehostet:

Auftragsverarbeitungsvertrags.

13. Speicherdauer / Löschung

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die

genannten Zwecke erforderlich ist:

Vertragsende werden die Daten gelöscht, soweit keine gesetzlichen

Aufbewahrungspflichten (insb. handels- und steuerrechtlich, § 257 HGB, § 147 AO,

i. d. R. 6 bzw. 10 Jahre) entgegenstehen.

Zwecks; die konkrete Aufbewahrungsfrist wird auf das erforderliche Maß begrenzt.

14. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO).

Dazu gehören u. a.: Passwörter werden ausschließlich als Hash gespeichert (bcrypt);

hinterlegte API-Schlüssel werden verschlüsselt abgelegt (AES-256-GCM); rollenbasierte

Zugriffskontrolle; Übertragung über TLS-verschlüsselte Verbindungen.

15. Cookies / lokale Speicherung

Der Dienst setzt technisch notwendige Cookies bzw. vergleichbare Mechanismen ein,

soweit dies für die Anmeldung (Session) und den Betrieb erforderlich ist.

Abs. 1 lit. b/f DSGVO.

Eine Einwilligung für nicht erforderliche Cookies wird nur eingeholt, sofern solche

eingesetzt werden (derzeit kein Einsatz von Tracking-/Analyse-/Marketing-Cookies).

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere

Verarbeitung ändert. Es gilt die jeweils aktuelle, hier veröffentlichte Fassung.

Stand: [[STAND-DATUM]]