Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Anlage zu den Allgemeinen Geschäftsbedingungen der Plattform start.trustanium.ai

Version: 2026-09-18 · Sprache: Die deutsche Fassung ist die verbindliche Fassung; die englische Fassung ist eine unverbindliche Übersetzung.

§ 1 Parteien und Einbeziehung

(1) Diese Vereinbarung zur Auftragsverarbeitung („AVV“) schließen Sie als Nutzer der Plattform start.trustanium.ai, der über die Plattform eine Website veröffentlicht („Sie“), als Verantwortlicher mit uns als Auftragsverarbeiter (Art. 28 DSGVO):

Trustanium Technologies GmbH
Neuerborn-Ring 3, 61276 Weilrod, Germany
Geschäftsführer: Miryusup Abdullaev
Registergericht: Amtsgericht Frankfurt am Main, HRB 139217
USt-IdNr.: DE455392771
Kontakt: hello@trustanium.ai

(„Trustanium“, „wir“, „uns“).

(2) Die AVV ist eine Anlage zu unseren Allgemeinen Geschäftsbedingungen („AGB“) und nach deren § 9 Bestandteil der AGB.

(3) Als Verantwortlicher sind Sie für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für die Information der Besucher Ihrer Website nach Art. 13 DSGVO. Ihre Rechte uns gegenüber ergeben sich aus dieser AVV, insbesondere aus §§ 6, 9, 14 und 15.

§ 2 Gegenstand und Dauer

(1) Gegenstand der Verarbeitung ist das Hosting der Website(s), die Sie über die Plattform veröffentlichen, die Entgegennahme der Anfragen, die über das Kontaktformular dieser Website(s) gesendet werden, sowie der Versand Ihrer Antworten auf diese Anfragen und die Entgegennahme der Rückantworten der Absender.

(2) Die AVV gilt für die Dauer des Nutzungsverhältnisses nach § 10 der AGB. Die Pflichten nach § 14 (Löschung und Rückgabe) gelten fort, bis sie erfüllt sind.

§ 3 Art und Zweck der Verarbeitung

Wir verarbeiten die Daten, um Ihre veröffentlichte Website an ihre Besucherinnen und Besucher auszuliefern, um die über das Kontaktformular gesendeten Anfragen zu speichern, um Sie über jede eingegangene Anfrage und jede Rückantwort per E-Mail zu benachrichtigen, um Ihre Antworten auf diese Anfragen an die Absender zu versenden und um deren Rückantworten entgegenzunehmen. Zur Leistung gehört außerdem, die Aufrufe Ihrer Website und das Öffnen ihres Kontaktformulars als bloße Zahl pro Tag zu zählen.

§ 4 Art der personenbezogenen Daten

Verarbeitet werden folgende Arten personenbezogener Daten:

  1. Verbindungsdaten der Besucher – IP-Adresse, aufgerufene Adresse, Zeitpunkt des Aufrufs, Browsertyp und weitere technische Angaben, die der Browser mit der Anfrage sendet. Sie werden nur zu folgenden Zwecken verarbeitet: zur Auslieferung der Seite, zur Abwehr massenhafter Kontaktanfragen (die IP-Adresse wird dafür nur im Arbeitsspeicher gehalten, weder in der Datenbank noch in einem Protokoll) und – ohne die IP-Adresse – zur Zählung der Aufrufe. Bei einem technischen Fehler wird allenfalls die aufgerufene Adresse mit dem Zeitpunkt protokolliert, in seltenen Fällen auch die IP-Adresse (Anlage 1 Nr. 5); darüber hinaus werden die IP-Adresse und die Browserkennung weder gespeichert noch protokolliert.
  2. Anfragedaten – die E-Mail-Adresse und die Nachricht, die jemand über das Kontaktformular sendet, Ihre Antworten darauf und die Rückantworten des Absenders. Sie werden verschlüsselt gespeichert.
  3. Personenbezogene Daten im Inhalt der Website – etwa Namen, Fotos oder Kontaktangaben von Personen, die Sie auf der Website zeigen oder nennen.
  4. Öffnen des Kontaktformulars – die Tatsache, dass das Kontaktformular geöffnet wurde. Sie wird nur verarbeitet, um die Tageszahl um eins zu erhöhen.

§ 5 Kategorien betroffener Personen

Betroffen sind die Besucherinnen und Besucher Ihrer Website, die Personen, die über das Kontaktformular eine Anfrage senden oder auf Ihre Antwort darauf zurückschreiben, und die Personen, die auf Ihrer Website gezeigt oder genannt werden.

§ 6 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

(1) Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind in den AGB, in dieser AVV und in Ihren Handlungen in der Plattform dokumentiert: dem Veröffentlichen, Aktualisieren, Offline-Nehmen und Löschen Ihrer Website, dem Versenden einer Antwort auf eine Anfrage sowie dem Verwalten Ihrer Anfragen.

(2) Diese Weisungen umfassen ausdrücklich auch die Übermittlung personenbezogener Daten in ein Drittland, beschränkt auf die in § 11 genannte Übermittlung.

(3) Sind wir nach dem Recht der Union oder eines Mitgliedstaats, dem wir unterliegen, zu einer anderen Verarbeitung verpflichtet, teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informieren wir Sie unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO).

§ 7 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Wir gewährleisten, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 8 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c DSGVO)

Wir ergreifen alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die technischen und organisatorischen Maßnahmen, die wir dafür treffen, sind in Anlage 1 dieser AVV einzeln aufgeführt. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 9 Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 3 lit. d und Abs. 4 DSGVO)

(1) Sie erteilen uns die allgemeine schriftliche Genehmigung, die in § 10 genannten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigen wir, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, teilen wir Ihnen dies mindestens 30 Tage im Voraus in Textform (z. B. per E-Mail) mit. Sie können der Änderung vor ihrem Wirksamwerden in Textform an hello@trustanium.ai widersprechen. Widersprechen Sie, kann jede Partei das Nutzungsverhältnis nach § 10 der AGB kündigen; Ihre Website können Sie außerdem jederzeit offline nehmen oder löschen.

(3) Wir erlegen jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in dieser AVV festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir Ihnen gegenüber für die Einhaltung seiner Pflichten (Art. 28 Abs. 4 DSGVO); § 17 bleibt unberührt.

§ 10 Liste der Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter ein:

  1. Google Cloud EMEA Ltd. / Google Ireland Ltd., Irland – Server und Speicher: Rechenzentrumsbetrieb (Hosting) in Frankfurt am Main; Sicherungskopien in Rechenzentren innerhalb der EU.
  2. Plus Five Five, Inc. (Resend), USA – Versand der E-Mails, mit denen wir Sie über eingegangene Anfragen und Rückantworten benachrichtigen, Versand Ihrer Antworten an die Absender der Anfragen und Empfang ihrer Rückantworten.

§ 11 Übermittlung in Drittländer

Die einzige Übermittlung in ein Drittland ist die an Plus Five Five, Inc. (Resend), USA: Die Benachrichtigungs-E-Mail enthält die E-Mail-Adresse und die Nachricht der Anfrage, und über Resend laufen auch Ihre Antworten auf Anfragen und die Rückantworten der Absender. Die Übermittlung ist durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag von Resend sowie durch die Zertifizierung von Plus Five Five, Inc. nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

§ 12 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

(1) Wir unterstützen Sie mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten.

(2) Auf Ihre Anforderung an hello@trustanium.ai exportieren oder löschen wir die Anfragen einer einzelnen Person, die Sie uns mit ihrer E-Mail-Adresse und Ihrer Website benennen, samt dem gesamten E-Mail-Verkehr dazu (Ihren Antworten und ihren Rückantworten).

(3) Wird Ihr Konto gelöscht, löschen wir alle Daten Ihrer Website(s), einschließlich aller Anfragen und aller veröffentlichten Dateien. Für die nach einer Löschung nach Abs. 2 oder 3 noch bestehenden Kopien gilt § 14 Abs. 2.

§ 13 Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO)

(1) Wir unterstützen Sie unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung Ihrer Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation).

(2) Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten dieser AVV betrifft, melden wir sie Ihnen unverzüglich (Art. 33 Abs. 2 DSGVO) an die E-Mail-Adresse Ihres Kontos.

§ 14 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach dem Ende der Leistung löschen wir nach Ihrer Wahl alle Daten dieser AVV oder geben sie Ihnen zurück; geben wir sie zurück, löschen wir anschließend die vorhandenen Kopien. Die Rückgabe erfolgt als Export Ihrer Kontodaten, der die Inhalte Ihrer Website(s) und alle Anfragen samt dem E-Mail-Verkehr dazu umfasst; Sie fordern ihn unter hello@trustanium.ai an. Fordern Sie bis zum Ende der Leistung keinen Export an, löschen wir die Daten.

(2) Nach der Löschung bestehen noch folgende Kopien fort:

  1. Sicherungskopien der Datenbank (tägliche Sicherungen und vor Aktualisierungen angelegte Kopien): werden nach 30 Tagen automatisch gelöscht; die täglichen Sicherungen bleiben danach noch 7 Tage wiederherstellbar („Soft Delete“);
  2. Sicherungskopien (Snapshots) der Serverfestplatte: werden nach 14 Tagen automatisch gelöscht;
  3. gelöschte Dateien der veröffentlichten Website: bleiben im Speicherdienst noch 7 Tage wiederherstellbar („Soft Delete“) und werden danach endgültig gelöscht;
  4. die Benachrichtigungs-E-Mails, Ihre Antworten und die Rückantworten der Absender bei Plus Five Five, Inc. (Resend): Resend bewahrt eine Kopie jeder über Resend versandten oder empfangenen E-Mail nach seinen eigenen Aufbewahrungsbestimmungen auf;
  5. Wiederherstellungskopien, soweit wir sie vor einer Löschung nach § 12 auf dem Server der Plattform anlegen (die Anfragen darin verschlüsselt): werden nach 7 Tagen automatisch gelöscht;
  6. Fehlermeldungen des Auslieferungsdienstes und des Webservers vor ihm mit der aufgerufenen Adresse und dem Zeitpunkt, die des Webservers in seltenen Fällen auch mit der IP-Adresse eines Besuchers (§ 4 Nr. 1, Anlage 1 Nr. 5): werden nach 30 Tagen automatisch gelöscht;
  7. Fehlermeldungen des Webservers vor der Schnittstelle des Kontaktformulars mit der aufgerufenen Adresse und dem Zeitpunkt, in seltenen Fällen auch mit der IP-Adresse eines Besuchers (§ 4 Nr. 1, Anlage 1 Nr. 5): für sie gilt keine feste Frist; sie bleiben gespeichert, bis der Speicherplatz ausgeschöpft ist, den dieser Server für seine Systemprotokolle vorsieht, und werden dann, die ältesten zuerst, automatisch gelöscht; das kann mehr als ein Jahr dauern.

(3) Eine Pflicht zur Speicherung der Daten nach dem Recht der Union oder eines Mitgliedstaats bleibt unberührt.

§ 15 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

Wir stellen Ihnen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglichen Überprüfungen, einschließlich Inspektionen, die von Ihnen oder einem anderen von Ihnen beauftragten Prüfer durchgeführt werden, und tragen dazu bei. Anfragen hierzu richten Sie an hello@trustanium.ai.

§ 16 Zahlen je Website und Eingangsereignisse

(1) Neben den Anfragen selbst und dem E-Mail-Verkehr dazu verarbeiten wir zu jeder Website nur die Zahl der eingegangenen Anfragen sowie je Tag die Zahl der Aufrufe und der Öffnungen des Kontaktformulars und die Zahl der Abrufe durch KI-Dienste (getrennt nach KI-Dienst), außerdem das Ereignis „site_lead_received“, das für jede Anfrage deren Eingang verzeichnet, und das Ereignis „site_lead_answer_received“, das für jede Rückantwort deren Eingang verzeichnet. Keine dieser Angaben enthält eine E-Mail-Adresse oder eine Nachricht.

(2) Die Tageszahlen der Aufrufe und der Öffnungen des Kontaktformulars enthalten keine Angaben über einzelne Besucher; wir machen sie niemandem außer Ihnen zugänglich, sie bleiben erhalten, wenn Sie die Website offline nehmen, und werden mit Ihrem Konto gelöscht.

(3) Die Zahlen und die Ereignisse dienen dazu, Ihnen die Leistung zu erbringen. Darüber hinaus gestatten Sie uns, sie zu Statistiken auszuwerten, die über alle Websites zusammengefasst sind (etwa wie viele Websites Anfragen erhalten oder nach welchen Schritten auf der Plattform die erste Anfrage eingeht), um die Plattform zu betreiben und zu verbessern; für diese Auswertung sind wir Verantwortlicher. Ergebnisse zu einzelnen Websites oder Besuchern entstehen dabei nicht, und der Inhalt der Anfragen fließt nicht ein.

(4) Den Inhalt der Anfragen und des E-Mail-Verkehrs dazu nutzen wir nie für eigene Zwecke, und er wird nie an ein KI-Modell übermittelt.

§ 17 Haftung

Für die Haftung gilt § 8 der AGB. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

§ 18 Vorrang

Für die Verarbeitung personenbezogener Daten nach dieser AVV geht die AVV den AGB und der Datenschutzerklärung der Plattform vor.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  1. Verschlüsselung bei der Übertragung: Die Auslieferung der Website und das Senden einer Anfrage über das Kontaktformular erfolgen über TLS (HTTPS); ebenso übergibt die Plattform Ihre Antworten an Resend und erhält die Rückantworten von Resend über TLS.
  2. Verschlüsselung im Ruhezustand: E-Mail-Adresse und Nachricht jeder Anfrage werden verschlüsselt gespeichert (AES-256-GCM).
  3. Trennung nach Konten: Jeder Lesezugriff der Plattform ist auf das Konto beschränkt, dem die Daten gehören, ausgenommen die zusammengefassten Auswertungen nach § 16 Abs. 3; die Daten eines Nutzers sind für andere Nutzer nicht zugänglich.
  4. Privater Speicher der veröffentlichten Websites: einheitliche Zugriffskontrolle, öffentlicher Zugriff technisch gesperrt. Von den Diensten der Plattform darf nur deren Server in ihn schreiben; ausgeliefert wird er ausschließlich über den Auslieferungsdienst, der nur lesen darf, keine Datenbank hat und der Plattform außer den Zahlen nach Nr. 8 nichts übermittelt.
  5. Kein Zugriffsprotokoll mit IP-Adresse: Der Auslieferungsdienst und die Schnittstelle des Kontaktformulars schreiben keine Protokollzeile mit der IP-Adresse, und die Fehlermeldungen der ihnen vorgelagerten Webserver werden ohne IP-Adresse, Browserkennung und Header geschrieben; nur in seltenen Fällen, etwa wenn die Übertragung einer Anfrage abbricht, kann ein Webserver die IP-Adresse in den Text einer Fehlermeldung schreiben. Beim Webserver vor dem Auslieferungsdienst werden Fehlermeldungen nach 30 Tagen automatisch gelöscht; beim Webserver vor der Schnittstelle des Kontaktformulars gilt für sie keine feste Frist (§ 14 Abs. 2 lit. g).
  6. Begrenzung der Anfragen: Die Zahl der Anfragen je IP-Adresse wird im Arbeitsspeicher begrenzt; die IP-Adresse wird nur dort gehalten und weder in der Datenbank noch in einem Protokoll gespeichert (Ausnahme: Nr. 5).
  7. Zählung ohne IP-Adresse: Der Auslieferungsdienst liest für die Zählung die IP-Adresse nicht; je Anfrage wertet er im Arbeitsspeicher nur technische Kopfzeilen aus (Browserkennung, Art der Anfrage und ob sie von derselben Website stammt, Vorab-Laden, „Do Not Track“, „Global Privacy Control“). Sendet der Browser eines dieser beiden Signale, zählt er nichts; sonst erhöht er gegebenenfalls eine Tageszahl. Kein Besucherkennzeichen, kein Einzeldatensatz.
  8. Nur Zahlen an die Plattform: An die Plattform werden nur Zahlen je Website und Tag übermittelt, über TLS und authentifiziert; der Auslieferungsdienst hat weiterhin keinen Zugriff auf die Datenbank.
  9. Zählung der Öffnungen des Kontaktformulars: Das Öffnen des Kontaktformulars wird über eine Anfrage an dieselbe Website ohne Inhalt, Cookies und Herkunftsangabe (Referrer) gezählt, höchstens einmal je Seitenaufruf; sendet der Browser „Do Not Track“ oder „Global Privacy Control“, unterbleibt sie. Die Zählung lässt sich zentral abschalten, ohne eine veröffentlichte Website zu ändern.
  10. Vollständige Löschung: Wird eine Website offline genommen oder ein Konto gelöscht, werden alle veröffentlichten Dateien der Website entfernt (Seiten und Bilder).
  11. Standort: Rechenzentrumsbetrieb (Hosting) in Frankfurt am Main; Sicherungskopien in Rechenzentren innerhalb der EU.
  12. Antworten und Rückantworten: Auf der Domain, über die Antworten und Rückantworten laufen, ist die Nachverfolgung abgeschaltet: keine Zählpixel und keine Klickverfolgung. Jede Anfrage hat genau eine eigene Antwortadresse. Die Plattform speichert den Text Ihrer Antworten und der Rückantworten verschlüsselt; Anhänge einer Rückantwort werden von ihr weder abgerufen noch gespeichert. Für die Kopien bei Resend gilt § 14 Abs. 2 lit. d.

Data Processing Agreement (Art. 28 GDPR)

Annex to the General Terms & Conditions of the platform start.trustanium.ai

Version: 2026-09-18 · Language: German is the binding version; the English version is a non-binding convenience translation.

§ 1 Parties and Incorporation

(1) You, as a user of the platform start.trustanium.ai who publishes a website through it ("you"), conclude this Data Processing Agreement ("DPA") as controller with us as processor (Art. 28 GDPR):

Trustanium Technologies GmbH
Neuerborn-Ring 3, 61276 Weilrod, Germany
Managing Director (Geschäftsführer): Miryusup Abdullaev
Register court: Amtsgericht Frankfurt am Main, HRB 139217
VAT ID (USt-IdNr.): DE455392771
Contact: hello@trustanium.ai

("Trustanium", "we", "us").

(2) The DPA is an annex to our General Terms & Conditions ("Terms") and, under their § 9, forms part of the Terms.

(3) As controller, you are responsible for the lawfulness of the processing and for safeguarding the rights of the data subjects, in particular for informing the visitors of your website under Art. 13 GDPR. Your rights towards us follow from this DPA, in particular §§ 6, 9, 14 and 15.

§ 2 Subject Matter and Duration

(1) The subject matter of the processing is the hosting of the website(s) you publish through the platform, the receipt of the enquiries sent through the contact form of those website(s), and the sending of your answers to those enquiries and the receipt of the senders' replies.

(2) The DPA applies for the duration of the usage relationship under § 10 of the Terms. The obligations under § 14 (deletion and return) continue until they have been fulfilled.

§ 3 Nature and Purpose of the Processing

We process the data to deliver your published website to its visitors, to store the enquiries sent through the contact form, to notify you by email of each enquiry and each reply received, to send your answers to those enquiries to their senders and to receive their replies. The service also includes counting your website's visits and the openings of its contact form as a mere number per day.

§ 4 Types of Personal Data

The following types of personal data are processed:

  1. Visitor connection data – IP address, requested address, time of access, browser type and other technical details the browser sends with the request. They are processed only for these purposes: to deliver the page, to fend off mass contact-form submissions (for this the IP address is held in memory only, never in the database or in a log) and – without the IP address – to count visits. When a technical error occurs, at most the requested address is logged with the time, in rare cases also the IP address (Annex 1 no. 5); beyond that, the IP address and the browser identifier are neither stored nor logged.
  2. Enquiry data – the email address and the message someone sends through the contact form, your answers to it and the sender's replies. They are stored encrypted.
  3. Personal data contained in the website's content – such as names, photos or contact details of people you show or name on the website.
  4. Contact-form openings – the fact that the contact form was opened. It is processed only to add one to the daily number.

§ 5 Categories of Data Subjects

The data subjects are the visitors of your website, the people who send an enquiry through the contact form or reply to your answer to it, and the people shown or named on your website.

§ 6 Instructions (Art. 28(3)(a) GDPR)

(1) We process the data only on your documented instructions. Your instructions are documented in the Terms, in this DPA and in your actions in the platform: publishing, updating, taking offline and deleting your website, sending an answer to an enquiry, and managing your enquiries.

(2) These instructions expressly include the transfer of personal data to a third country, limited to the transfer named in § 11.

(3) Where Union or Member State law to which we are subject requires us to process the data otherwise, we will inform you of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest.

(4) If we consider that an instruction infringes the GDPR or other Union or Member State data-protection provisions, we will inform you immediately (Art. 28(3), second subparagraph, GDPR).

§ 7 Confidentiality (Art. 28(3)(b) GDPR)

We ensure that the persons authorised to process the data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

§ 8 Security of Processing (Art. 28(3)(c) GDPR)

We take all measures required under Art. 32 GDPR. The technical and organisational measures we take for this are listed individually in Annex 1 to this DPA. We may develop them further, provided the level of protection does not fall.

§ 9 Sub-processors (Art. 28(2), (3)(d) and (4) GDPR)

(1) You give us general written authorisation to engage the sub-processors listed in § 10.

(2) If we intend to add or replace a sub-processor, we will notify you at least 30 days in advance in text form (e.g. by email). You may object to the change in text form to hello@trustanium.ai before it takes effect. If you object, either party may terminate the usage relationship under § 10 of the Terms; you can also take your website offline or delete it at any time.

(3) We impose on each sub-processor, by contract, the same data-protection obligations as set out in this DPA. Where a sub-processor fails to fulfil its data-protection obligations, we are liable to you for the performance of that sub-processor's obligations (Art. 28(4) GDPR); § 17 remains unaffected.

§ 10 List of Sub-processors

We engage the following sub-processors:

  1. Google Cloud EMEA Ltd. / Google Ireland Ltd., Ireland – servers and storage: data-centre operation (hosting) in Frankfurt am Main; backups in data centres within the EU.
  2. Plus Five Five, Inc. (Resend), USA – sending the emails that notify you of enquiries and replies received, sending your answers to the senders of the enquiries, and receiving their replies.

§ 11 Transfers to Third Countries

The only transfer to a third country is the transfer to Plus Five Five, Inc. (Resend), USA: the notification email contains the email address and the message of the enquiry, and your answers to enquiries and the senders' replies also pass through Resend. The transfer is safeguarded by the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) in Resend's data processing agreement and by the certification of Plus Five Five, Inc. under the EU-US Data Privacy Framework (Art. 45 GDPR).

§ 12 Assistance with Data-Subject Rights (Art. 28(3)(e) GDPR)

(1) We assist you, by appropriate technical and organisational measures, in responding to requests from data subjects exercising their rights under Chapter III GDPR.

(2) On your request to hello@trustanium.ai, we export or delete the enquiries of a single person whom you name to us by their email address and your website, together with the whole email correspondence about them (your answers and their replies).

(3) If your account is deleted, we delete all data of your website(s), including all enquiries and all published files. § 14(2) applies to the copies that remain after a deletion under para. 2 or 3.

§ 13 Assistance with the Obligations under Art. 32 to 36 GDPR (Art. 28(3)(f) GDPR)

(1) Taking into account the nature of processing and the information available to us, we assist you in complying with your obligations under Art. 32 to 36 GDPR (security of processing, notification and communication of personal data breaches, data protection impact assessment and prior consultation).

(2) If we become aware of a personal data breach affecting data under this DPA, we notify you without undue delay (Art. 33(2) GDPR) at the email address of your account.

§ 14 Deletion and Return (Art. 28(3)(g) GDPR)

(1) At the end of the service we delete all data under this DPA or return it to you, at your choice; if we return it, we then delete the existing copies. Return takes the form of an export of your account data covering the content of your website(s) and all enquiries together with the email correspondence about them; you request it at hello@trustanium.ai. If you do not request an export by the end of the service, we delete the data.

(2) After deletion, the following copies remain:

  1. database backups (daily backups and copies taken before updates): deleted automatically after 30 days; the daily backups then remain recoverable for 7 more days ("soft delete");
  2. server disk backups (snapshots): deleted automatically after 14 days;
  3. deleted files of the published website: recoverable in the storage service for 7 more days ("soft delete"), then permanently deleted;
  4. the notification emails, your answers and the senders' replies at Plus Five Five, Inc. (Resend): Resend keeps a copy of each email sent or received through it under its own retention terms;
  5. recovery copies, where we make them on the platform's server before a deletion under § 12 (the enquiries in them encrypted): deleted automatically after 7 days;
  6. error messages of the delivery service and of the web server upstream of it with the requested address and the time, those of the web server in rare cases also with a visitor's IP address (§ 4 no. 1, Annex 1 no. 5): deleted automatically after 30 days;
  7. error messages of the web server upstream of the contact-form interface with the requested address and the time, in rare cases also with a visitor's IP address (§ 4 no. 1, Annex 1 no. 5): no fixed period applies to them; they stay stored until the storage space this server reserves for its system logs is used up, and are then deleted automatically, oldest first; this can take more than a year.

(3) Any obligation to store the data under Union or Member State law remains unaffected.

§ 15 Information and Audits (Art. 28(3)(h) GDPR)

We make available to you all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR, and allow for and contribute to audits, including inspections, conducted by you or another auditor mandated by you. Please send such requests to hello@trustanium.ai.

§ 16 Numbers per Website and Receipt Events

(1) Besides the enquiries themselves and the email correspondence about them, we process for each website only the number of enquiries received and, per day, the number of visits and of contact-form openings and the number of reads by AI services (per AI service), as well as the event "site_lead_received", which records the receipt of each enquiry, and the event "site_lead_answer_received", which records the receipt of each reply. None of them contains an email address or a message.

(2) The daily numbers of visits and of contact-form openings contain no information about individual visitors; we make them available to no one but you; they remain when you take the website offline, and are deleted with your account.

(3) The numbers and the events serve to provide the service to you. Beyond that, you permit us to evaluate them into statistics aggregated across all websites (such as how many websites receive enquiries, or after which steps on the platform the first enquiry arrives) to operate and improve the platform; for this evaluation we are the controller. It produces no results about individual websites or visitors, and the content of the enquiries is not included.

(4) We never use the content of the enquiries and of the email correspondence about them for our own purposes, and it is never passed to an AI model.

§ 17 Liability

Liability is governed by § 8 of the Terms. Liability towards data subjects under Art. 82 GDPR remains unaffected.

§ 18 Precedence

For the processing of personal data under this DPA, the DPA prevails over the Terms and over the platform's Privacy Policy.

Annex 1 – Technical and Organisational Measures (Art. 32 GDPR)

  1. Encryption in transit: The website is delivered, and enquiries are sent through the contact form, over TLS (HTTPS); likewise, the platform hands your answers to Resend, and receives the replies from Resend, over TLS.
  2. Encryption at rest: The email address and message of each enquiry are stored encrypted (AES-256-GCM).
  3. Separation by account: Every read by the platform is scoped to the account that owns the data, except the aggregated evaluations under § 16(3); one user's data is not accessible to other users.
  4. Private storage for published websites: uniform access control, public access technically blocked. Of the platform's services, only its server may write to it; it is served exclusively through the delivery service, which may only read, has no database and transmits nothing to the platform except the numbers under no. 8.
  5. No access log with the IP address: The delivery service and the contact-form interface write no log line carrying the IP address, and the error messages of the web servers upstream of them are written without IP address, browser identification and headers; only in rare cases, such as when the transfer of a request breaks off, can a web server write the IP address into the text of an error message. At the web server upstream of the delivery service, error messages are deleted automatically after 30 days; at the web server upstream of the contact-form interface, no fixed period applies to them (§ 14(2)(g)).
  6. Enquiry rate limiting: The number of enquiries per IP address is limited in memory; the IP address is held only there and is stored neither in the database nor in any log (exception: no. 5).
  7. Counting without the IP address: For counting, the delivery service does not read the IP address; per request it evaluates only technical headers in memory (browser identifier, request type and whether it comes from the same website, prefetching, "Do Not Track", "Global Privacy Control"). If the browser sends either of these two signals, it counts nothing; otherwise it adds one to a daily number where applicable. No visitor identifier, no per-visit record.
  8. Only numbers reach the platform: Only numbers per website and day are transmitted to the platform, over TLS and authenticated; the delivery service still has no access to the database.
  9. Counting contact-form openings: Contact-form openings are counted through a request to the same website without content, cookies or referrer, at most once per page view; it is not sent when the browser signals "Do Not Track" or "Global Privacy Control". Counting can be switched off centrally without changing any published website.
  10. Complete deletion: When a website is taken offline or an account is deleted, all published files of the website are removed (pages and images).
  11. Location: data-centre operation (hosting) in Frankfurt am Main; backups in data centres within the EU.
  12. Answers and replies: On the domain that answers and replies pass through, tracking is switched off: no tracking pixels and no click tracking. Each enquiry has exactly one reply address of its own. The platform stores the text of your answers and of the replies encrypted; it neither fetches nor stores attachments to a reply. § 14(2)(d) applies to the copies held by Resend.