Übersicht zur Datenverarbeitung

Diese Seite ist eine technische Zusammenfassung für Teams und Organisationen, die Penmarka im Rahmen einer Beschaffung oder Lieferantenprüfung bewerten — etwa wenn Sie Penmarka Team einführen und unsere Datenflüsse für Ihr eigenes Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) dokumentieren müssen. Sie ergänzt unsere vollständige Datenschutzerklärung, ersetzt sie aber nicht; maßgeblich für den Umgang mit personenbezogenen Daten bleibt die Datenschutzerklärung.

1. Architektur im Überblick

Die Desktop-Anwendung Penmarka arbeitet bewusst lokal: Zeichnungen, Projektdateien, Screenshots, Bildschirmaufnahmen (einschließlich eines etwaigen Mikrofontons) und Einstellungen werden ausschließlich auf dem eigenen Gerät des jeweiligen Nutzers gespeichert und nie an uns oder Dritte übertragen. Der einzige ausgehende Netzwerkzugriff der Anwendung selbst ist eine Lizenzprüfung (siehe unten). Es gibt keine Telemetrie, keine Nutzungsanalyse und kein Benutzerkontensystem in der Anwendung.

Der Umfang der Datenverarbeitung im täglichen Betrieb von Penmarka ist daher minimal — das meiste auf dieser Seite betrifft Kauf und Lizenzverwaltung, nicht die tägliche Nutzung der Software.

2. Unterauftragsverarbeiter

Wir setzen eine kleine, feste Gruppe von Unterauftragsverarbeitern ein. Ändert sich diese, aktualisieren wir die Liste und ihr Datum — wir nehmen keine Unterauftragsverarbeiter stillschweigend hinzu.

Wir betreiben keine eigenen Server, auf denen Kundendaten gespeichert werden — die Lizenzprüfung ist eine direkte, zustandslose Anfrage der Penmarka-Anwendung an die API von LemonSqueezy; wir betreiben kein Backend, das sie protokolliert oder speichert.

3. Welche Daten wohin fließen

• Beim Kauf: Name, E-Mail-Adresse und Zahlungsdaten des Käufers gehen direkt an LemonSqueezy. Wir erhalten nur zurück, was für die Betreuung der Lizenz nötig ist (welcher Tarif, ob ein Schlüssel aktuell gültig ist) — keine Zahlungsdaten.
• Bei der Lizenzaktivierung: Die Penmarka-Anwendung sendet den Lizenzschlüssel per HTTPS an die API von LemonSqueezy, um seine Gültigkeit zu bestätigen, zusammen mit einer Bezeichnung für das Gerät (Computername und Betriebssystem, z. B. „DESKTOP-1234 (Windows)“), damit der Nutzer seine aktivierten Geräte unterscheiden kann. Das geschieht, wenn ein Schlüssel aktiviert oder entfernt wird. Solange die Anwendung mit einem aktivierten Schlüssel läuft, prüft sie die Lizenz außerdem etwa einmal am Tag erneut und sendet dabei nur den Lizenzschlüssel und die Aktivierungs-ID, die LemonSqueezy bei der Aktivierung vergeben hat. Weitere Daten werden mit diesen Anfragen nicht übermittelt. Der kostenlose Pro-Test läuft komplett auf dem Gerät und sendet nichts.
• Im normalen Betrieb: Nichts verlässt das Gerät. Zeichnungen, Exporte, Projektdateien und Aufnahmen bleiben lokal, es sei denn, ein Nutzer teilt sie bewusst selbst. Die Bildschirmaufnahme nutzt das Standardmikrofon nur, solange eine vom Nutzer gestartete Aufnahme läuft, und schreibt den Ton nur in die lokale Videodatei.
• Speziell beim Team-Tarif: Die Verwaltung der Lizenzen eines Team-Kontos läuft über denselben Lizenzschlüssel-Mechanismus von LemonSqueezy wie bei Personal und Pro — Penmarka erhebt oder speichert keine separate Mitarbeiterliste oder Verzeichnisdaten einer Organisation.

4. Internationale Datenübermittlungen

Zoho Mail und ZeptoMail werden aus dem EU-Rechenzentrum von Zoho genutzt, Support-E-Mails und Widerrufsbestätigungen bleiben also in der EU. Unsere drei anderen Unterauftragsverarbeiter (LemonSqueezy, GitHub, Vercel) sind Unternehmen mit Sitz in den USA. Soweit im Zusammenhang mit ihren Diensten personenbezogene Daten außerhalb der EU/des EWR übermittelt werden, sind Garantien für die Übermittlung (etwa Standardvertragsklauseln) in den jeweiligen Datenverarbeitungsbedingungen der Anbieter geregelt:

• LemonSqueezy: lemonsqueezy.com/dpa
• GitHub: GitHub Data Protection Agreement
• Vercel: vercel.com/legal/dpa

5. Sicherheitsmaßnahmen

• Die gesamte Netzwerkkommunikation zwischen der Penmarka-Anwendung und der Lizenz-API von LemonSqueezy ist verschlüsselt (HTTPS).
• Da die Anwendung kein eigenes Backend und keine eigene Datenbank mit Kundendaten betreibt, gibt es keinen von Penmarka kontrollierten Server mit Kundendatensätzen, der gesichert werden müsste — die Angriffsfläche für Kundendaten beschränkt sich auf die Systeme unserer Unterauftragsverarbeiter und das lokale Gerät des jeweiligen Kunden.
• Wir fordern oder speichern zu keinem Zeitpunkt selbst Zahlungskartendaten.

6. Speicherdauer

• Lokale Anwendungsdaten bleiben nur bestehen, bis der Nutzer sie auf seinem eigenen Gerät löscht; wir haben keinen Fernzugriff darauf und können sie nicht im Namen eines Nutzers löschen.
• Kauf- und Lizenzdaten werden von LemonSqueezy gemäß dessen eigener Aufbewahrungsrichtlinie und den geltenden rechtlichen und steuerlichen Vorgaben aufbewahrt.

7. Auftragsverarbeitungsvertrag (AVV)

Benötigt Ihre Organisation bei der Einführung von Penmarka Team einen unterzeichneten Auftragsverarbeitungsvertrag, schreiben Sie uns an support@penmarka.com, und wir stellen Ihnen einen zur Verfügung.

8. Datenschutzbeauftragter

Die Vawick Consulting UG hat keinen Datenschutzbeauftragten benannt, da dies nach Art. 37 DSGVO für ein Unternehmen unserer Größe und mit unseren Verarbeitungstätigkeiten nicht erforderlich ist. Für Anfragen zum Datenschutz nutzen Sie die unten stehenden Kontaktdaten oder die in unserer Datenschutzerklärung.

9. Fragen

Bei Fragen zu Sicherheit oder Compliance, die hier nicht beantwortet werden, wenden Sie sich an support@penmarka.com.