FOLGENABSCHÄTZUNG FÜR DATENÜBERMITTLUNGEN

Zuletzt aktualisiert: 6. Juli 2026

Diese Folgenabschätzung für Datenübermittlungen („TIA") wurde von Acira AI LLC („Acira AI", „wir", „uns") gemäß den Anforderungen des Urteils des Gerichtshofs der Europäischen Union in der Rechtssache Datenschutzkommissar gegen Facebook Ireland Limited und Maximillian Schrems (Rechtssache C-311/18, „Schrems II") und den Empfehlungen des Europäischen Datenschutzausschusses (EDSA-Empfehlungen 01/2020 zu ergänzenden Maßnahmen) erstellt.

Diese TIA bewertet die Angemessenheit des Schutzes für personenbezogene Daten, die im Zusammenhang mit der Bereitstellung unserer Dienste aus dem Europäischen Wirtschaftsraum („EWR"), dem Vereinigten Königreich, der Schweiz und Kanada in die USA und andere Drittländer übermittelt werden.

Diese TIA kann zur Vereinfachung in andere Sprachen übersetzt werden. Bei Konflikten oder Widersprüchen zwischen der englischen Fassung und einer übersetzten Fassung hat die englische Fassung Vorrang.

INHALTSVERZEICHNIS

1. ÜBERBLICK ÜBER ÜBERMITTLUNGEN
2. ART DER ÜBERMITTELTEN DATEN
3. ÜBERMITTLUNGSMECHANISMEN
4. BEWERTUNG DER GESETZE DES ZIELLANDES
5. BEWERTUNG DER DATENFLÜSSE NACH DIENSTLEISTER
6. ERGÄNZENDE MASSNAHMEN
7. RISIKOBEWERTUNG
8. SCHLUSSFOLGERUNG
9. ÜBERPRÜFUNGSPLAN
10. KONTAKT

1. ÜBERBLICK ÜBER ÜBERMITTLUNGEN

1.1 Kontext

Acira AI ist eine Software-as-a-Service-Plattform, die es Unternehmen und Einzelpersonen ermöglicht, KI-gestützte Websites zu erstellen, zu verwalten und zu hosten. Wenn Nutzer Websites erstellen, auf die Besucher aus dem EWR, dem Vereinigten Königreich, der Schweiz oder Kanada zugreifen, können personenbezogene Daten dieser Besucher in die USA und andere Standorte übermittelt und verarbeitet werden, an denen unsere Infrastrukturanbieter tätig sind.

1.2 Parteien

• Datenexporteur: Der Website-Betreiber (unser Kunde, der als Verantwortlicher handelt) und für Analysedaten Acira AI als gemeinsam Verantwortlicher. Wird eine Website über unser Agenturprogramm verwaltet, handelt die Agentur und/oder ihr Endkunde als Verantwortlicher/Datenexporteur (siehe unsere Agenturbedingungen und DPA Abschnitt 2.7).
• Datenimporteur: Acira AI LLC, eingetragen in Nevada, USA, handelnd als Auftragsverarbeiter (und gemeinsam Verantwortlicher für Analysedaten).
• Unterauftragsverarbeiter: Von Acira AI beauftragte Drittanbieter (in Abschnitt 5 aufgeführt).

1.3 Übermittlungsziele

2. ART DER ÜBERMITTELTEN DATEN

2.1 Kategorien personenbezogener Daten

Die übermittelten personenbezogenen Daten hängen von den vom Website-Betreiber aktivierten Funktionen und den Interaktionen der Website-Besucher ab. Folgende Kategorien können übermittelt werden:

2.2 Kategorien betroffener Personen

• Besucher von Websites, die auf der Acira AI-Plattform gehostet werden
• Nutzer, die Konten auf Websites erstellen, die auf der Plattform gehostet werden
• Nutzer, die Formulare ausfüllen, mit Chatbots interagieren oder Dateien auf gehosteten Websites hochladen

2.3 Nicht übermittelte Daten

• Geolokalisierungsdaten: IP-zu-Standort-Abfragen werden am Netzwerkrand von unserem Infrastrukturanbieter durchgeführt. Es werden keine Besucher-IP-Adressen an externe Geolokalisierungsdienste übermittelt.
• Rohe Besucher-IP-Adressen: Die Plattform speichert sie nicht. Analysen speichern nur einen täglich rotierenden geschlüsselten Hash; die Ratenbegrenzung speichert nur einen geschlüsselten Hash; Formulareinsendungen und Chatbot-Gespräche erfassen Land und Region, nicht die Adresse. Der eigene Seitencode eines Website-Betreibers kann die IP-Adresse eines Besuchers lesen, und alles, was dieser Betreiber zu speichern wählt, ist seine eigene Erhebung, die seiner eigenen Datenschutzrichtlinie unterliegt.
• Passwörter im Klartext: Es werden nur kryptografische Hashes gespeichert und übermittelt.

3. ÜBERMITTLUNGSMECHANISMEN

3.1 Primärer Mechanismus: Standardvertragsklauseln

Wir stützen uns auf die Standardvertragsklauseln der Europäischen Kommission (SCC), die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission angenommen wurden, insbesondere:

• Modul Eins (Verantwortlicher zu Verantwortlichem): Für Übermittlungen von Analysedaten, bei denen Acira AI als gemeinsam Verantwortlicher mit dem Website-Betreiber handelt (siehe DPA Abschnitt 2.3).
• Modul Zwei (Verantwortlicher zu Auftragsverarbeiter): Für Übermittlungen personenbezogener Besucherdaten vom Website-Betreiber (Verantwortlicher) an Acira AI (Auftragsverarbeiter).
• Modul Drei (Auftragsverarbeiter zu Unterauftragsverarbeiter): Für Weiterübermittlungen von Acira AI an unsere Unterauftragsverarbeiter.

3.2 Übermittlungen in das Vereinigte Königreich, die Schweiz und nach Kanada

• Vereinigtes Königreich: Der britische internationale Datenübermittlungsnachtrag zu den EU-SCC gilt.
• Schweiz: Die SCC gelten mit den Änderungen, die das Schweizer Bundesgesetz über den Datenschutz (DSG) vorschreibt.
• Kanada: Übermittlungen stützen sich auf vertragliche Schutzmaßnahmen mit jedem Unterauftragsverarbeiter, die Verpflichtungen auferlegen, die mit dem Personal Information Protection and Electronic Documents Act (PIPEDA) und den geltenden provinziellen Datenschutzgesetzen vereinbar sind, kombiniert mit den in Abschnitt 6 beschriebenen ergänzenden technischen und organisatorischen Maßnahmen. Einzelheiten siehe DPA Abschnitt 7.4.

3.3 Übermittlungsmechanismen der Unterauftragsverarbeiter

4. BEWERTUNG DER GESETZE DES ZIELLANDES

4.1 Vereinigte Staaten

Die USA sind das primäre Ziel für übermittelte Daten. Folgende US-Gesetze sind für diese Bewertung relevant:

4.1.1 Foreign Intelligence Surveillance Act (FISA), Abschnitt 702

FISA Abschnitt 702 ermächtigt die US-Regierung, Anbieter elektronischer Kommunikationsdienste zu zwingen, Zugang zu Kommunikation von Nicht-US-Personen außerhalb der USA für Auslandsgeheimdienstzwecke zu gewähren.

Risikobewertung:

• Anwendbarkeit: FISA Abschnitt 702 gilt für „elektronische Kommunikationsdienstanbieter" gemäß der Definition in 50 U.S.C. § 1881(b)(4), eine Definition, die weit genug gefasst ist, um Anbieter von Remote-Computing-Diensten zu erfassen, was potenziell SaaS-Plattformen wie Acira AI sowie unsere Infrastruktur-Unterauftragsverarbeiter (AWS, Cloudflare) einschließt.
• Umfang der gefährdeten Daten: Die von uns verarbeiteten personenbezogenen Daten bestehen hauptsächlich aus Website-Besucheranalysen (pseudonymisiert), Formulareinsendungen und Chatbot-Nachrichten. Diese Daten sind wahrscheinlich nicht von geheimdienstlichem Interesse.
• Praktische Wahrscheinlichkeit: Wir schätzen die praktische Wahrscheinlichkeit, eine Abschnitt-702-Anweisung zu erhalten, als sehr gering ein, angesichts der Art unserer Dienste und der von uns verarbeiteten Daten.

4.1.2 Executive Order 12333

EO 12333 ermächtigt US-Geheimdienste zur Durchführung von Überwachungsaktivitäten, einschließlich der Massensammlung von Signalgeheimdienstinformationen. Sie gilt für Daten während der Übertragung und zwingt private Unternehmen nicht zur Kooperation.

Risikobewertung:

• Minderung: Alle während der Übertragung anfallenden Daten werden mit TLS verschlüsselt. Die Massenabfangung verschlüsselter Daten während der Übertragung würde keine personenbezogenen Klartextdaten ergeben.
• Praktische Wahrscheinlichkeit: Gering. Die durch unsere Dienste verarbeiteten Daten haben nicht den Charakter, der typischerweise von Signalgeheimdienstinformationen anvisiert wird.

4.1.3 Executive Order 14086 und das EU-USA-Datenschutzrahmenabkommen

Executive Order 14086 (Oktober 2022) führte zusätzliche Schutzmaßnahmen für Signalgeheimdienstaktivitäten ein, darunter:

• Anforderungen an Notwendigkeit und Verhältnismäßigkeit bei der Geheimdienstsammlung
• Einen zweistufigen Beschwerdemechanismus (Beauftragter für bürgerliche Freiheiten + Datenschutz-Überprüfungsgericht), der EU-/UK-/Schweizer Personen zur Verfügung steht
• Beschränkungen bei der Massensammlung

Die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss für das EU-USA-Datenschutzrahmenabkommen (DPF) angenommen. Obwohl Acira AI derzeit nicht nach dem DPF selbstzertifiziert ist, gelten die Schutzmaßnahmen gemäß EO 14086 weitgehend für alle Datenübermittlungen in die USA und kommen allen betroffenen Personen zugute, unabhängig vom verwendeten Übermittlungsmechanismus.

4.1.4 CLOUD Act

Der Clarifying Lawful Overseas Use of Data (CLOUD) Act erlaubt US-Strafverfolgungsbehörden, in den USA ansässige Anbieter zu zwingen, Daten unabhängig vom Speicherort zu produzieren, vorbehaltlich eines gültigen Haftbefehls oder Gerichtsbeschlusses.

Risikobewertung:

• Schutzmaßnahmen: Der CLOUD Act erfordert ein gültiges Rechtsverfahren (Haftbefehl, Vorladung oder Gerichtsbeschluss). Er ermächtigt keinen wahllosen Massenaugang.
• Comity-Bestimmungen: Der CLOUD Act enthält einen Comity-Rahmen, der es Anbietern erlaubt, Anordnungen anzufechten, die ausländischem Recht widersprechen.
• Praktische Wahrscheinlichkeit: Gering für Website-Besucherdaten. Strafverfolgungsanfragen würden eher auf bestimmte, krimineller Aktivitäten verdächtige Konten abzielen, nicht auf Besucheranalysen oder Formulareinsendungen.

4.2 Israel (BrightData)

BrightData hat seinen Sitz in Israel. Israel verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (2011/61/EU), was bedeutet, dass Übermittlungen nach Israel ähnlich wie Intra-EWR-Übermittlungen behandelt werden. BrightData verarbeitet jedoch auch Daten an anderen globalen Standorten. Wir stellen fest, dass:

• BrightData-Verarbeitung nur auf Nutzeranweisung erfolgt (während der Website-Erstellung für den Inhaltsimport) oder bei geplanten SERP-Trackings.
• Keine personenbezogenen Daten von Website-Besuchern werden an BrightData übermittelt.

4.3 Kanada (Übermittlungen von Kanada in die USA)

Personenbezogene Daten von Website-Besuchern mit Standort in Kanada können zur Verarbeitung in die USA übermittelt werden. Folgende kanadische Gesetze sind für diese Bewertung relevant:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA regelt die Erhebung, Nutzung und Offenlegung personenbezogener Daten durch Organisationen des privaten Sektors im Rahmen kommerzieller Aktivitäten. PIPEDA-Grundsatz 4.1.3 verlangt, dass Organisationen vertragliche oder andere Mittel einsetzen, um einen vergleichbaren Schutzstandard zu gewährleisten, wenn personenbezogene Daten zur Verarbeitung an Dritte übermittelt werden, einschließlich Übermittlungen außerhalb Kanadas.

Risikobewertung:

• Vergleichbarer Schutz: Die in Abschnitt 6 beschriebenen ergänzenden Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Datensparsamkeit) bieten einen Schutzstandard, der dem unter PIPEDA geforderten vergleichbar ist. Mit allen Unterauftragsverarbeitern bestehen schriftliche Datenverarbeitungsverträge.
• Kein Angemessenheitserfordernis: Anders als die DSGVO verbietet PIPEDA keine Übermittlungen in Länder ohne „Angemessenheits"-Feststellung. Organisationen müssen durch vertragliche und andere Mittel einen vergleichbaren Schutz sicherstellen, den wir umgesetzt haben.

4.3.2 Provinzielle Datenschutzgesetzgebung

Albertas Personal Information Protection Act (PIPA), British Columbias Personal Information Protection Act (PIPA) und Quebecs Gesetz zum Schutz personenbezogener Daten im Privatsektor stellen für bestimmte Provinzen zusätzliche Anforderungen:

Risikobewertung:

• Quebec Gesetz 25: Quebecs modernisiertes Datenschutzgesetz (in Kraft seit September 2023) erfordert eine Datenschutz-Folgenabschätzung vor der Übermittlung personenbezogener Daten außerhalb Quebecs, und die übertragende Organisation muss sichergestellt haben, dass die Informationen angemessen geschützt werden. Unsere vertraglichen Schutzmaßnahmen, ergänzenden technischen Maßnahmen und die Art der Daten (hauptsächlich pseudonymisierte Analysen und Interaktionen auf Websites kleiner Unternehmen) unterstützen eine Feststellung eines angemessenen Schutzes.
• Alberta und BC: Albertas und BCs PIPAs verlangen, dass Organisationen einen vergleichbaren Schutz für übermittelte Daten sicherstellen. Unsere vertraglichen und technischen Schutzmaßnahmen erfüllen diese Anforderung.

4.3.3 US-Regierungszugang aus kanadischer Perspektive

Die gleichen in Abschnitt 4.1 bewerteten US-Regierungszugangsrisiken gelten für kanadische Datenübermittlungen. Die geringe Wahrscheinlichkeit des Regierungszugangs (angesichts der Art der Daten und unseres Unternehmensprofils), kombiniert mit den ergänzenden Maßnahmen in Abschnitt 6, gewährleistet, dass personenbezogene Daten, die von Kanada in die USA übermittelt werden, einen vergleichbaren Schutzstandard erhalten, wie er nach kanadischem Datenschutzrecht erforderlich ist.

4.4 Globale Edge-Standorte (Cloudflare)

Cloudflare betreibt ein globales Netzwerk von Edge-Standorten. EU-Besucheranfragen werden typischerweise am nächstgelegenen Cloudflare-Point-of-Presence verarbeitet, der für EU-Besucher in der Regel ein EU-Standort ist.

• Anfrageroutung, TLS-Terminierung und Bot-Schutz erfolgen am nächstgelegenen Edge-Standort.
• Für Website-Betreiber, die als EU-Ansässige identifiziert wurden, ist der persistente Speicher (mit Formulareinsendungen, Chatbot-Gesprächen und Sitzungsdaten) mithilfe der Cloudflare-Jurisdiktions-API jurisdiktionell auf die Europäische Union beschränkt. Für Nicht-EU-Website-Betreiber befindet sich der persistente Speicher in der Nähe der geografischen Region des Betreibers, kann jedoch außerhalb der EU liegen.
• Analysedaten werden an von Cloudflare verwalteter Infrastruktur verarbeitet.

5. BEWERTUNG DER DATENFLÜSSE NACH DIENSTLEISTER

5.1 Amazon Web Services (USA)

AWS-Schutzmaßnahmen:

• ISO 27001, 27017, 27018 zertifiziert
• SOC 1/2/3 Berichte verfügbar
• Daten im Ruhezustand mit branchenüblicher Verschlüsselung verschlüsselt
• Daten während der Übertragung verschlüsselt (TLS)
• Mindestberechtigungs-Zugriffskontrollen pro Systemkomponente
• Primäre Dienste in den Vereinigten Staaten gehostet; automatisierte besucherbezogene Vorgänge (Benachrichtigungen über Inhaltseinreichungen und transaktionale E-Mail-Zustellung) für in der EU ansässige Website-Betreiber werden in der Europäischen Union (Stockholm) verarbeitet

5.2 Cloudflare (Global)

Cloudflare-Schutzmaßnahmen:

• ISO 27001 zertifiziert, SOC 2 Typ II
• TLS 1.2+ für alle Verbindungen
• Cloudflare DPA mit SCC verfügbar
• Edge-Verarbeitung bedeutet, dass EU-Besucherdaten für die Anfragebehandlung typischerweise an EU-Edge-Standorten verarbeitet werden
• Für als EU-Ansässige identifizierte Website-Betreiber ist der persistente Speicher (der Formulareinreichungen, Chatbot-Konversationen, Sitzungsdaten und Benutzertabellendaten enthält) über die Jurisdiktions-API von Cloudflare jurisdiktionell auf die Europäische Union beschränkt, wodurch sichergestellt wird, dass diese Daten ausschließlich in EU-Rechenzentren gespeichert und verarbeitet werden. Backend-API-Aufrufe vom Edge (für Benachrichtigungen über Inhaltseinreichungen und transaktionale E-Mail-Zustellung) werden an die in der EU befindliche AWS-Infrastruktur weitergeleitet.
• KI-Inferenz behält keine Eingabedaten für Training

5.3 Zahlungsanbieter (Merchant of Record)

Zahlungen für kostenpflichtige Dienste werden von einem Drittanbieter-Zahlungsdienstleister abgewickelt, der für die Transaktion als Merchant of Record auftritt — derzeit Stripe (über das verbundene Unternehmen Sold through Link, LLC, Vereinigte Staaten). Als Merchant of Record handelt dieser Anbieter als unabhängiger Verantwortlicher der beim Checkout übermittelten Zahlungsdaten, nicht als unser Auftragsverarbeiter; die nachstehenden Übermittlungen erfolgen daher von Verantwortlichem zu Verantwortlichem und nicht von Verantwortlichem zu Auftragsverarbeiter.

Hinweis: Dieser Anbieter erhält keine personenbezogenen Daten von Website-Besuchern. Es werden nur die Rechnungsinformationen des Website-Betreibers (unseres Kunden) verarbeitet.

Übermittlungsgrundlagen und Schutzmaßnahmen: Stripe / Sold through Link, LLC (US) — Übermittlungen von Verantwortlichem zu Verantwortlichem nach den Standard Contractual Clauses (Module One); PCI DSS Level 1 und ISO 27001 zertifiziert.

5.4 KI-Inferenzanbieter (USA)

Fireworks AI und xAI bieten KI-Modellinferenzdienste an.

Hinweis: Diese KI-Anbieter erhalten keine personenbezogenen Daten von Website-Besuchern. Die Chatbot-Funktion (für Website-Besucher) verwendet Cloudflare Workers AI (bewertet in Abschnitt 5.2), nicht diese Anbieter. Der KI-Konversationsassistent der Plattform – von Website-Betreibern zur Verwaltung ihrer Websites genutzt – sendet jedoch personenbezogene Daten von Plattformnutzern (Name, E-Mail-Adresse und Gesprächsverlauf) an diese Anbieter als Teil der Antworterstellung. Für diese Verarbeitung handelt Acira AI als Verantwortlicher (nicht Auftragsverarbeiter), und die betroffenen Personen sind unsere Plattformnutzer (Website-Betreiber), nicht deren Website-Besucher. Dieser Datenfluss wird durch unsere Datenschutzrichtlinie und unsere Vereinbarungen mit diesen Anbietern geregelt, nicht durch den Auftragsverarbeiter-Rahmen des DPA für Besucherdaten.

Modellfamilien: Diese Infrastrukturanbieter hosten und betreiben KI-Modelle verschiedener Dritter. Die verwendeten spezifischen Modelle und Modellfamilien können sich im Laufe der Zeit ändern. Modellentwickler erhalten keinen Zugang zu Nutzerdaten – alle Datenverarbeitung erfolgt ausschließlich in der Infrastruktur der aufgeführten Unterauftragsverarbeiter, unabhängig davon, wo ein Modell ursprünglich entwickelt wurde. Die gesamte KI-Inferenzverarbeitung verbleibt in der Infrastruktur unserer aufgeführten Unterauftragsverarbeiter. Keine Nutzerdaten werden an Modellentwickler oder an Infrastrukturen außerhalb der in dieser Bewertung aufgeführten Unterauftragsverarbeiter übermittelt. Eine aktuelle Liste der verwendeten Modellfamilien ist auf Anfrage erhältlich unter legal@acira.ai.

5.5 BrightData (Israel / Global)

Hinweis: BrightData verarbeitet keine personenbezogenen Daten von Website-Besuchern. Es verarbeitet öffentlich verfügbare Webinhalte auf Nutzeranweisung und verfolgt Suchmaschinen-Rankings für nutzerdefinierte Keywords.

5.6 EU-basierte Anbieter (Keine Übermittlung)

Diese Anbieter verarbeiten Daten innerhalb der EU und stellen keine internationale Übermittlung dar. Black Forest Labs erhält nur Textprompts zur Bildgenerierung; es sind keine personenbezogenen Daten beteiligt.

5.7 Programmatischer Zugriff und lokaler Export (CLI / API)

Website-Betreiber — einschließlich Agenturen, die Websites im Auftrag ihrer Kunden verwalten — können Website-Inhalte und Besucherdaten über die Acira-Befehlszeilenschnittstelle (CLI) und andere programmatische APIs abrufen, einschließlich des Exports von Inhaltszeilen in eine lokale Umgebung.

• Dieser Zugriff ist authentifiziert und auf Websites beschränkt, die der Betreiber verwalten darf.
• Befindet sich der Betreiber außerhalb des EWR/UK/der Schweiz/Kanadas, stellt ein solcher Abruf eine bedarfsgesteuerte, vom Betreiber initiierte Übermittlung analog zum Zugriff über das Plattform-Dashboard dar (siehe DPA Abschnitt 7.1).
• Unsere Maßnahmen zur jurisdiktionellen Datenansässigkeit und unsere technischen Maßnahmen gelten, solange die Daten innerhalb unserer Infrastruktur verbleiben. Sobald Daten in die eigene Umgebung des Betreibers exportiert werden (z. B. auf einen lokalen Rechner oder ein Entwicklungstool eines Drittanbieters), ist der Betreiber für deren Schutz verantwortlich, und unsere Maßnahmen erstrecken sich nicht darauf. Dies wird den Betreibern in der DPA und den Agenturbedingungen offengelegt.

6. ERGÄNZENDE MASSNAHMEN

Zusätzlich zu den SCC implementieren wir folgende ergänzende Maßnahmen, um einen im Wesentlichen gleichwertigen Schutzstandard für übermittelte personenbezogene Daten sicherzustellen:

6.1 Technische Maßnahmen

6.2 Organisatorische Maßnahmen

6.3 Vertragliche Maßnahmen

7. RISIKOBEWERTUNG

7.1 Wahrscheinlichkeit des Regierungszugangs

Gesamtwahrscheinlichkeit: GERING

7.2 Auswirkung bei Zugang

Gesamtauswirkung: GERING bis MITTEL (je nach Sensitivität der von einzelnen Website-Betreibern gesammelten Daten)

7.3 Bewertung des Restrisikos

Angesichts der geringen Wahrscheinlichkeit des Regierungszugangs, der ergänzenden technischen Maßnahmen (Verschlüsselung, Pseudonymisierung, Datensparsamkeit) und der durch EO 14086 eingeführten zusätzlichen Schutzmaßnahmen bewerten wir, dass das Restrisiko für betroffene Personen gering ist und dass die ergänzenden Maßnahmen zusammen mit den SCC (für EWR-/UK-/Schweizer Übermittlungen) und vertraglichen Schutzmaßnahmen (für kanadische Übermittlungen) einen Schutzstandard bieten, der dem innerhalb des EWR garantierten im Wesentlichen gleichwertig und dem nach kanadischem Datenschutzrecht geforderten vergleichbar ist.

8. SCHLUSSFOLGERUNG

Auf Grundlage dieser Bewertung kommen wir zu folgendem Schluss:

1. Die aus dem EWR/UK/Schweiz/Kanada in die USA übermittelten personenbezogenen Daten im Zusammenhang mit der Bereitstellung unserer Dienste profitieren von einem im Wesentlichen gleichwertigen Schutzstandard wie dem nach EU-Datenschutzrecht garantierten und einem vergleichbaren Schutzstandard wie dem nach kanadischem Datenschutzrecht geforderten.

2. Die Standardvertragsklauseln, kombiniert mit den in Abschnitt 6 beschriebenen ergänzenden technischen, organisatorischen und vertraglichen Maßnahmen, gehen angemessen auf die in dieser Bewertung identifizierten Risiken ein.

3. Die Art der Daten (hauptsächlich pseudonymisierte Analysen und Interaktionen auf Websites kleiner Unternehmen mit ihren Besuchern) und das Profil des Datenimporteurs (ein kleines SaaS-Unternehmen, kein Telekommunikationsanbieter) verringern das praktische Risiko staatlicher Überwachung erheblich.

4. Die durch Executive Order 14086 und den damit verbundenen Beschwerdemechanismus eingeführten Schutzmaßnahmen bieten zusätzliche Sicherheiten, von denen alle betroffenen Personen profitieren, unabhängig vom verwendeten Übermittlungsmechanismus.

5. Für kanadische Übermittlungen gewährleisten die hierin beschriebenen vertraglichen Schutzmaßnahmen und ergänzenden Maßnahmen einen vergleichbaren Schutzstandard wie den nach PIPEDA und den geltenden provinziellen Datenschutzgesetzen, einschließlich Quebecs modernisiertem Datenschutzgesetz, geforderten.

6. Wir werden weiterhin Entwicklungen im US-amerikanischen Überwachungsrecht und -praxis sowie Entwicklungen im kanadischen Datenschutzrecht (einschließlich des vorgeschlagenen Consumer Privacy Protection Act) beobachten und diese TIA neu bewerten, falls sich die Umstände wesentlich ändern.

Die Übermittlungen können vorbehaltlich der fortgesetzten Anwendung der SCC und der hierin beschriebenen ergänzenden Maßnahmen fortgesetzt werden.

9. ÜBERPRÜFUNGSPLAN

Diese TIA wird überprüft und aktualisiert:

• Jährlich, mindestens, oder
• Bei wesentlichen Änderungen der geltenden Gesetze oder Vorschriften (einschließlich Änderungen an FISA, dem CLOUD Act, EO 14086, PIPEDA oder den kanadischen provinziellen Datenschutzgesetzen),
• Bei Änderungen an unseren Unterauftragsverarbeitern oder der Art der übermittelten Daten,
• Bei einem Gerichtsurteil, das die Gültigkeit der SCC oder die Angemessenheit des US-amerikanischen Datenschutzes wesentlich beeinflusst.

10. KONTAKT

Bei Fragen zu dieser Folgenabschätzung für Datenübermittlungen wenden Sie sich bitte an:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefon: 888-389-1189
E-Mail: legal@acira.ai