KI-Anbieter-Offenlegung

1. KI-Anbieter-Tabelle

Die folgende Tabelle fasst die vier KI-Drittanbieter zusammen, mit denen RYSTAT zusammenarbeitet, um KI-Funktionen bereitzustellen, einschließlich Rechtsordnung, Übermittlungsmechanismus und Status:

Abkürzungen: SCC = Standardvertragsklauseln; DPA = Auftragsverarbeitungsvertrag; DPF = Data Privacy Framework; VR China = Volksrepublik China.

2. Datenfluss

Der Weg der vom Nutzer in KI-Funktionen eingegebenen Prompt- und Parameterdaten ist wie folgt:

1. Nutzer (Panel oder AI-Builder-UI) — Bei aktiviertem KI-Schalter (ausdrückliche Einwilligung erteilt) gibt der Nutzer einen Freitext-Prompt sowie Konfigurationsparameter ein.
2. RYSTAT (Hongkong, Unifics Limited) — Die Prompt-Daten werden von der RYSTAT-Konzerngesellschaft in Hongkong empfangen, im Audit-Trail erfasst und über TLS 1.2+ an den ausgewählten KI-Anbieter weitergeleitet.
3. KI-Anbieter (DeepSeek / Anthropic / OpenAI / Mistral) — Verarbeitet den Prompt und erzeugt eine Antwort. Bei „No-Train"-Politik wird der Prompt nicht für das Modelltraining verwendet; bei verfügbarer „Zero-Retention"-Option wird er unmittelbar gelöscht.
4. Antwort (Anbieter zu RYSTAT) — Die generierte Ausgabe kehrt über verschlüsselten TLS-Kanal zu RYSTAT zurück; der Audit-Trail wird ergänzt.
5. RYSTAT zum Nutzer — Die Antwort wird im Nutzer-Panel zur Prüfung, Übernahme oder Bearbeitung bereitgestellt.

2.1 Kategorien der übermittelten Daten

• Freitext-Prompt des Nutzers (Inhaltsanweisung, Anfrage, Beschreibung)
• Konfigurationsparameter: Sprache, Tonalität, Zielgruppe, Branche, Markenname (sofern angegeben)
• Generierungskontext: Seitenbeschreibung, Inhalt-Templatekategorie, Ausgabeformat-Präferenz

2.2 Kategorien NICHT übermittelter Daten

• Panel-Kontoinformationen (E-Mail, Name, Rechnungsadresse, Zahlungsdaten)
• Server-Zugangsdaten (cPanel/WHM-Anmeldedaten, SSH-Schlüssel)
• Vollständige gehostete Kundeninhalte (nur vom Nutzer in den Prompt eingefügte Ausschnitte werden übermittelt)
• Transaktionsdaten (Rechnungen, Zahlungshistorie, Support-Tickets)

3. Schrems-II-Risikohinweis — DeepSeek (VR China)

Der primäre KI-Anbieter von RYSTAT, Hangzhou DeepSeek AI Co., Ltd., hat seinen Sitz in der Rechtsordnung der Volksrepublik China. Datenübermittlungen an diesen Anbieter erfordern im Lichte der EuGH-Entscheidung C-311/18 (Schrems II — 16. Juli 2020) eine besondere Risikobewertung.

3.1 Staatlicher Zugriff in der VR China — Rechtlicher Rahmen

• Gesetz über den nationalen Nachrichtendienst (2017) Art. 7: „Alle Organisationen und Bürger sind verpflichtet, die Arbeit des nationalen Nachrichtendienstes zu unterstützen, daran mitzuwirken und mit ihm zusammenzuarbeiten." Diese Bestimmung begründet eine Mitwirkungspflicht für alle chinesischen Organisationen, einschließlich DeepSeek.
• Datensicherheitsgesetz (2021): Der Staat kann aus Gründen der „nationalen Sicherheit" Daten von Organisationen anfordern.
• Gesetz zum Schutz personenbezogener Informationen (PIPL, 2021): Regelt die Betroffenenrechte allgemein, sieht jedoch weitreichende Ausnahmen für Geheimdienst und Sicherheit vor.
• Unabhängige gerichtliche Kontrolle: Es steht den Betroffenen kein wirksamer, der EU vergleichbarer Rechtsbehelf gegen staatliche Zugriffsanordnungen zur Verfügung.

3.2 Test der „wesentlichen Gleichwertigkeit"

Nach der EuGH-Entscheidung C-311/18 muss das Schutzniveau für personenbezogene Daten im Empfangs-Drittland dem in der EU „wesentlich gleichwertig" sein. Der Rahmen der VR China erfüllt diesen Test nicht; Übermittlungen an DeepSeek dürfen daher nur unter der Ausnahmeregelung gemäß DSGVO Art. 49 (ausdrückliche Einwilligung) nach gesonderter Information des Nutzers erfolgen.

3.3 Maßnahmen zur Risikominimierung

• Datenminimierung: Es wird ausschließlich der für die KI-Generierung erforderliche Prompt + Parameter übermittelt; der Nutzer ist dafür verantwortlich, keine personenbezogenen Daten einzubeziehen (Bedingungen 13.4.4).
• Verschlüsselung: Übermittlungen erfolgen über TLS 1.2+.
• Ausdrückliche Einwilligung: Eine Übermittlung erfolgt nicht, bevor der Nutzer den KI-Schalter unter /panel/profile (Registerkarte Datenschutz) manuell aktiviert hat.
• Widerruf: Eine Deaktivierung des Schalters stoppt zukünftige Übermittlungen unverzüglich.
• Alternativen: Der Nutzer kann innergemeinschaftliche (Mistral SAS) oder US-Anbieter (Anthropic / OpenAI unter DPF) wählen.

Eine ausführliche Transfer Impact Assessment (TIA) ist auf Anfrage unter legal@rystat.com erhältlich. Die TIA wird jährlich nach der Methodik der EDSA-Empfehlung 01/2020 aktualisiert.

4. Nutzerrechte

4.1 Widerruf der ausdrücklichen Einwilligung

Der Nutzer kann seine ausdrückliche Einwilligung jederzeit widerrufen:

• Über das Panel: Deaktivierung des Schalters „KI-Funktionen" unter /panel/profile (Registerkarte Datenschutz). Der Widerruf wird sofort wirksam.
• Per E-Mail: Senden Sie eine E-Mail an privacy@rystat.com mit dem Betreff „Widerruf der KI-Einwilligung". RYSTAT schließt den Vorgang innerhalb von 30 Tagen ab und bestätigt diesen.
• Wirkung: Zukunftsgerichtet — bereits durchgeführte Übermittlungen werden nicht entkräftet (KVKK Art. 7; DSGVO Art. 7 Abs. 3).

4.2 TIA und Dokumentanforderung

Transfer Impact Assessments und sonstige relevante Dokumente werden auf Anfrage übermittelt:

• DeepSeek (VR China) TIA: docs/legal/tia-deepseek-2026.md (auf Anfrage erhältlich)
• Zusammenfassungen der DPA der KI-Anbieter (Volltext im Rahmen der Unternehmenskunden-Verträge)
• Kontakt: legal@rystat.com

4.3 Rechte der betroffenen Person

Die Rechte aus KVKK Art. 11 und DSGVO Art. 15–22 gelten für alle KI-Anbieter: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch. Anträge sind an privacy@rystat.com zu richten; RYSTAT leitet diese an den jeweiligen Anbieter weiter.

5. Mitteilung über Anbieterwechsel

Aktualisiert RYSTAT die aktuelle KI-Anbieterliste, gilt folgendes Mitteilungsverfahren:

• Aufnahme eines neuen Anbieters: Da dies eine neue Datenempfängerstelle bedeutet, wird gemäß KVKK Art. 9 und DSGVO Art. 49 Abs. 1 Buchst. a ein erneutes Einwilligungsverfahren (Re-Consent) ausgelöst. Die Nutzer erhalten eine Mitteilung im Panel; der bestehende KI-Schalter wird automatisch deaktiviert, bis der Nutzer der neuen Liste zustimmt.
• Entfernung eines bestehenden Anbieters: Nutzer werden zu Informationszwecken benachrichtigt; eine weitere Einwilligung ist nicht erforderlich. Die Umleitung der Aktivität auf einen alternativen Anbieter erfolgt durch RYSTAT.
• Politikänderung eines Anbieters: Ändert ein Anbieter seinen No-Train- / SCC- / DPA-Status, werden betroffene Nutzer informiert; gegebenenfalls wird ein Re-Consent ausgelöst.
• Mitteilungskanäle: Panel-Mitteilung + hinterlegte E-Mail-Adresse + Aktualisierungsdatum auf dieser Seite.

6. Kontakt

Für Fragen zur KI-Anbieter-Offenlegung, zum Management der ausdrücklichen Einwilligung, zu TIA-Anfragen und zu den Rechten der betroffenen Person:

• Allgemeine Compliance / Rechtsfragen: legal@rystat.com
• Datenschutz / KVKK / DSGVO-Rechte: privacy@rystat.com
• Verantwortlicher: Unifics Limited (Hongkong) — Marke RYSTAT