Auftragsverarbeitungsbedingungen (DPA)

Fassung: 2026-08-28
Geltung: 28. August 2026

Adressaten

Haushaltsnutzung. Nutzt eine Familie Homnest, ist die LohiSoft s.r.o. Verantwortliche für die in der Datenschutzerklärung beschriebenen Daten. Für das Verbraucherprodukt müssen Sie keinen Auftragsverarbeitungsvertrag unterzeichnen. Diese Seite nennt dennoch, wer für uns verarbeitet (Transparenz nach Art. 13/14) und die Liste der Auftragsverarbeiter.

Die Haushaltsausnahme der DSGVO (Art. 2 Abs. 2 lit. c) kann für Ihre rein persönliche Nutzung eines Homes gelten; sie nimmt Homnest als Anbieter nicht aus der DSGVO.

Organisationen. Sind Sie eine juristische Person und verarbeiten wir personenbezogene Daten auf Ihre dokumentierten Weisungen als Auftragsverarbeiterin (künftige oder individuelle B2B-Vereinbarung), sind die Abschnitte 2–4 die Bedingungen nach Art. 28. Sie gelten nur, wenn schriftlich vereinbart ist, dass Sie Verantwortliche und wir Auftragsverarbeiterin sind. Die öffentliche B2C-App ist das nicht von vornherein.

1. Auftragsverarbeiterinnen der LohiSoft (B2C-Transparenz)

Sind wir Verantwortliche, handeln die Folgenden als Auftragsverarbeiterinnen (Art. 4 Nr. 8 / 28), soweit nicht anders vermerkt:

Apple Inc. (APNs) und Google LLC (FCM) stellen Pushes zu. Apple und Google sind für die In-App-Kauf-Abrechnung eigene Verantwortliche. Für FCM/APNs-Geräte-Token und von uns gesendete Inhalte brauchen sie die Zustellung der OS-Benachrichtigung; die Übermittlungswerkzeuge stehen in der Datenschutzerklärung (DPF und/oder SCC).

Wir nutzen kein CDN, kein SMS-Gateway, kein Stripe-Checkout und keine Produktanalyse-Anbieter.

2. B2B-Auftragsverarbeitung (nur bei Vertrag)

Sieht eine schriftliche B2B-Bestellung vor, dass die Kundin Verantwortliche und LohiSoft Auftragsverarbeiterin ist:

• Verarbeitung nur auf dokumentierte Weisung, einschließlich Übermittlungen, es sei denn Unions- oder mitgliedstaatliches Recht verlangt etwas anderes (Art. 28 Abs. 3 lit. a).
• Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b).
• Sicherheit: dem Risiko angemessene Maßnahmen (Art. 32), einschließlich TLS, Hashing von Passwörtern, AES at rest für Nicht-E2E-Module und Zero-Knowledge-Speicherung von E2E-Geheimtext, den wir nicht lesen können.
• Unterauftragsverarbeiter: Abschnitt 1 und die öffentliche Liste; gleichwertige Art.-28-Pflichten (Art. 28 Abs. 4). Über beabsichtigte Listenänderungen unterrichten wir, damit nach der Bestellung Widerspruch möglich ist (Art. 28 Abs. 2).
• Unterstützung: bei Betroffenenanfragen, DSFA und Meldepflichten so weit, wie Daten und Rolle es zulassen. E2E-Inhalt können wir nicht entschlüsseln.
• Löschung / Rückgabe: am Ende des Dienstes gemäß Weisung, vorbehaltlich gesetzlicher Aufbewahrung und — soweit dieser Produktweg läuft — des Verbraucher-Löschkalenders 30+60 Tage.
• Prüfungen: Informationen zum Nachweis von Art. 28 und Audits wie in der Bestellung, ohne Daten anderer Kunden oder E2E-Schlüssel preiszugeben, die wir nicht haben.
• Internationale Übermittlungen: EU-Speicher für Atlas, S3 und VPS; USA für APNs/FCM wie in der Datenschutzerklärung (Art. 45 DPF und/oder Art. 46 SCC — Beschluss (EU) 2021/914).
• Verletzung: unverzügliche Unterrichtung der Kundin, nachdem uns eine Verletzung des Schutzes personenbezogener Daten in unserem Bereich bekannt geworden ist.

Soweit für eine von uns gesteuerte B2B-Übermittlung SCC nötig sind, gelten Modul 2 (Verantwortliche an Auftragsverarbeiterin) oder Modul 3 (Auftragsverarbeiterin an Auftragsverarbeiterin) je nach Rolle.

3. Was wir nicht können

Wir können keinen Klartext-Dump von Nachrichten, Anrufen, Aufnahmen, Fotos, Belegen, Anhängen oder Standortkoordinaten liefern. Der Export dieser Module ist Geheimtext plus Manifest.

4. Kontakt

LohiSoft s.r.o., Komenského 317/135, 943 01 Štúrovo, Slowakische Republik
hello@lohisoft.com

Kein Datenschutzbeauftragter bestellt.

Fassung 2026-08-28.