Datenverarbeitungsvereinbarung

Wirksam ab 24. März 2026

Bei Galactify nehmen wir den Schutz der Daten unserer Kunden ernst. Die Datenverarbeitungsvereinbarung (DPA) beschreibt, wie die Galactify GmbH personenbezogene Daten im Auftrag ihrer Kunden gemäß der Allgemeinen Datenschutzverordnung (DSGVO) der EU verarbeitet.
Es ist Teil unserer Nutzungsbedingungen und gilt automatisch für alle Benutzer des browserbasierten Galactify-Arbeitsbereichs. Es ist keine separate Signatur erforderlich.

Diese Datenverarbeitungsvereinbarung (“DPA“) ist Teil der Nutzungsbedingungen (“Vereinbarung“) zwischen Galactify GmbH, [Georg-Brauchle-Ring 50, c/o wayra, 80992 München, Deutschland] (“Verarbeiter“ oder“Galactify“) und dem Kunden (“Auftraggeber“ oder“Kunde“), der den browserbasierten Galactify-Workspace nutzt.
‍
Durch die Nutzung des Dienstes oder den Abschluss der Vereinbarung erklärt sich der Kunde damit einverstanden, dass diese Datenschutzvereinbarung automatisch gilt, soweit Galactify personenbezogene Daten im Namen des Kunden bei der Bereitstellung des Dienstes verarbeitet. Es ist keine separate Unterschrift erforderlich.

1. Gegenstand und Dauer

Diese Datenschutzvereinbarung regelt die Verarbeitung personenbezogener Daten durch Galactify im Namen des Kunden innerhalb des browserbasierten Galactify-Arbeitsbereichs. Die Verarbeitung beginnt mit der Nutzung des Dienstes durch den Kunden und dauert an, bis alle personenbezogenen Daten gemäß dieser Datenschutzvereinbarung gelöscht oder zurückgegeben werden.

2. Art und Zweck der Verarbeitung

Galactify verarbeitet personenbezogene Daten nach Bedarf, um seine browserbasierte Produktivitätsplattform zu betreiben, die es Teams ermöglicht, Projekte zu verwalten, Diagramme zu erstellen, Ideen zu erfassen und Wissen gemeinsam zu organisieren. Die Verarbeitung umfasst die Speicherung, Übertragung, Organisation und Anzeige von Kundendaten für autorisierte Benutzer.

3. Arten von Daten und Kategorien von betroffenen Personen

Personenbezogene Daten:
‍Benutzerkontodaten (Name, E-Mail-Adresse, Anmeldeinformationen)
Workspace-Inhalte und Metadaten (Projekttitel, Aufgaben, Notizen, Diagramme)
Technische Daten (Nutzungsprotokolle, Browsertyp, IP-Adresse)
Betroffene Personen:
‍Vom Kunden autorisierte Benutzer (Mitarbeiter, Auftragnehmer, Kollaboratoren)

4. Rollen und Verantwortlichkeiten

Der Kunde fungiert als Auftraggeber und bestimmt die Zwecke und Mittel der Verarbeitung.
‍Galactify fungiert als Verarbeiter und verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Anweisungen des für die Verarbeitung Verantwortlichen, wie in dieser DPA und der Vereinbarung dargelegt.
Jede Partei stellt sicher, dass die geltenden Datenschutzgesetze eingehalten werden.

5. Pflichten des Verarbeiters

Galactify wird:

1. Personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers hin verarbeiten.

2. Die Vertraulichkeit der Personen sicherstellen, die Zugang zu personenbezogenen Daten haben.

3. Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO und ISO-27001-Kontrollen umsetzen (z. B. Verschlüsselung, Zugriffskontrolle, Datensicherung)

4. Den Auftraggeber bei der Beantwortung von Betroffenenanfragen unterstützen.

5. Den Auftraggeber unverzüglich benachrichtigen, sobald Galactify von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt.

6. Alle personenbezogenen Daten nach Beendigung der Leistungserbringung löschen oder zurückgeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Informationen zur Verfügung stellen, um die Einhaltung der Vorschriften nachzuweisen, und mit Aufsichtsbehörden kooperieren.

6. Subprozessoren

Zur Bereitstellung und Wartung des Dienstes beauftragt Galactify die folgenden Unterauftragsverarbeiter, die möglicherweise Zugriff auf personenbezogene Daten haben oder diese im Namen des Kunden verarbeiten. Personenbezogene Daten werden innerhalb der von Galactify ausgewählten geografische Region — derzeit Frankfurt, Deutschland (EU) gespeichert und verarbeitet, sofern nicht für Redundanz- oder Backup-Zwecke innerhalb des Europäischen Wirtschaftsraums etwas anderes erforderlich ist.

Die folgenden Unterauftragsverarbeiter unterstützen die Bereitstellung des Dienstes:

‍Google Cloud-Plattform (Google Ireland Ltd.) stellt die Cloud-Infrastruktur, das Hosting und die Speicherumgebung für die Galactify-App in der Region Frankfurt (Deutschland) bereit und bietet KI-bezogene Verarbeitungsdienste (wie Funktionen zur Textgenerierung oder Diagrammerstellung) als Teil der intelligenten Funktionen von Galactify. Zur Klarstellung: Galactify konfiguriert die Google Cloud-KI-Dienste so, dass Kundendaten, die über diese KI-Funktionen verarbeitet werden, vom Modeltraining ausgeschlossen und wird von Google nicht zur Modellverbesserung aufbewahrt. Google ist es vertraglich untersagt, Kundendaten ohne ausdrückliches Opt-In für das Modeltraining zu verwenden; Galactify bietet ein solches Opt-In nicht an. Die gesamte Verarbeitung erfolgt in den EU-Rechenzentren von Google gemäß den EU-Datenverarbeitungs- und Sicherheitsbestimmungen und unterliegt gegebenenfalls den EU-Standardvertragsklauseln.

MongoDB Atlas (MongoDB Ltd.) bietet verwaltete Datenbank-Hosting- und Backup-Dienste mit primärem Datenspeicher in Frankfurt (Deutschland).

Brevo (Sendinblue GmbH) bietet transaktionale E-Mail-Zustellung für Systembenachrichtigungen und kontobezogene Nachrichten, wobei die Verarbeitung in Deutschland erfolgt.

MontiAPM bietet Dienste zur Anwendungsüberwachung, Leistungsverfolgung und Fehlerdiagnose; die Verarbeitung beschränkt sich auf technische Metadaten wie Anforderungsprotokolle und Leistungskennzahlen innerhalb der EU-Region.

PostHog (PostHog, Inc.) bietet Produktanalysen und Feature-Flag-Services zur Unterstützung der In-App-Nutzungsanalyse und Produktverbesserung. Die Verarbeitung beschränkt sich auf verhaltensbezogene und technische Daten wie Benutzerinteraktionen und Ereignisse bei der Nutzung von Funktionen. Obwohl PostHog, Inc. ein in den USA ansässiges Unternehmen ist, werden alle Kundendaten ausschließlich in EU-Rechenzentren unter der EU-Cloud-Infrastruktur von PostHog verarbeitet. Einige Daten können im Rahmen des EU-US-Datenschutzrahmens oder auf Grundlage von Standardvertragsklauseln in die USA übertragen werden. PostHog ist es vertraglich untersagt, Kundendaten für andere Zwecke als die Bereitstellung des Analysedienstes für Galactify zu verwenden.

Stripe (Stripe Technology Company Ltd. / Stripe, LLC) stellt Dienstleistungen zur Zahlungsabwicklung, Abonnementverwaltung und Betrugsprävention bereit. Für bestimmte finanzaufsichtsrechtliche Zwecke agiert Stripe als eigenständiger Verantwortlicher; im Hinblick auf Rechnungsstellung und Kontoverwaltung fungiert Stripe jedoch als Auftragsverarbeiter für Galactify. Die Daten werden vorrangig innerhalb der EU (Irland) verarbeitet. Einzelne Daten können jedoch im Rahmen des EU-US-Datenschutzrahmens (Data Privacy Framework) oder auf Grundlage von EU-Standardvertragsklauseln in die USA übermittelt werden.
‍
Galactify stellt sicher, dass alle Unterauftragsverarbeiter an schriftliche Vereinbarungen gebunden sind, die Datenschutzverpflichtungen auferlegen, die nicht weniger schützend sind als die in dieser DPA enthaltenen. Kunden werden mindestens 30 Tage im Voraus über wesentliche Änderungen der Liste informiert.

7. Internationale Datenübertragungen

Wenn personenbezogene Daten außerhalb des EWR übertragen werden, gewährleistet Galactify angemessene Sicherheitsvorkehrungen, einschließlich der Verwendung von EU-Standardvertragsklauseln oder gleichwertige Mechanismen gemäß Kapitel V der DSGVO.

8. Sicherheitsmaßnahmen

Galactify unterhält angemessene technische und organisatorische Sicherheitsmaßnahmen, einschließlich, aber nicht beschränkt auf:

Verschlüsselung während der Übertragung und im Ruhezustand

Rollenbasierte Zugriffskontrolle

Sichere Authentifizierung und Protokollierung

Datensicherung und Disaster Recovery

Sensibilisierung und Vertraulichkeitsrichtlinien des Personals

Eine detaillierte Beschreibung dieser Maßnahmen ist auf Anfrage erhältlich.

9. Prüfung und Einhaltung der Vorschriften

Auf schriftliche Anfrage stellt Galactify dem Kunden Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Datenschutzvereinbarung und der geltenden Datenschutzgesetze erforderlich sind. Wenn diese Informationen nicht ausreichen, um die Einhaltung der Vorschriften angemessen zu überprüfen, kann der Kunde ein Audit durchführen, das begrenzt in Umfang, Häufigkeit und Zeitpunkt ist, um Störungen des Geschäftsbetriebs von Galactify zu minimieren. Audits können durchgeführt werden nicht mehr als einmal pro Jahr, vorbehaltlich einer angemessenen Vorankündigung, Vertraulichkeitsverpflichtungen und Bestimmungen zur Kostendeckung.

10. Laufzeit und Kündigung

Diese Datenschutzvereinbarung bleibt in Kraft, solange Galactify personenbezogene Daten im Auftrag des Kunden verarbeitet. Nach der Kündigung löscht Galactify Kundendaten gemäß Abschnitt 5 (6) oder gibt sie zurück.

11. Sonstige Bestimmungen

Diese DPA unterliegt den Gesetzen der Bundesrepublik Deutschland mit Gerichtsstand in München. Im Falle eines Konflikts zwischen dieser DPA und der Vereinbarung hat diese DPA in Datenschutzfragen Vorrang.

Akzeptanz

Durch die Nutzung des Galactify-Service oder die anderweitige Zustimmung zu den Nutzungsbedingungen wird davon ausgegangen, dass der Kunde diese Datenverarbeitungsvereinbarung akzeptiert hat. Für ihre Gültigkeit ist keine physische oder elektronische Signatur erforderlich.

Anlage — Technische und organisatorische Maßnahmen (Zusammenfassung)

Galactify ergreift angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten gemäß Artikel 32 der DSGVO. Diese Maßnahmen umfassen, sind aber nicht beschränkt auf:

Logische Zugriffskontrolle und Authentifizierung

Verschlüsselung von Daten während der Übertragung und im Ruhezustand

Physische und ökologische Sicherheit der Cloud-Infrastruktur

Sicherer Betrieb, Protokollierung und regelmäßige Backups

Lieferanten- und Subprozessormanagement

Management von Informationssicherheitsvorfällen

Detaillierte Informationen zu bestimmten Maßnahmen können Kunden auf schriftliche Anfrage gemäß Abschnitt 9 (Prüfung und Einhaltung der Vorschriften) zur Verfügung gestellt werden.