Register der Datenstrukturen und Exportformate

0. Zweck und Begriffe

Dieses Register konkretisiert die vorvertraglichen Angaben zu exportierbaren Daten im Sinne des Art. 2 Nr. 38, Art. 25 Abs. 2 lit. e und Art. 26 lit. b der Verordnung (EU) 2023/2854. Exportierbar sind Eingaben und Ausgaben einschließlich der zugehörigen Nutzungsmetadaten, soweit sie durch die Nutzung des Dienstes erzeugt werden. Ein Feld wird nicht allein deshalb ausgeschlossen, weil es technisch erzeugt, abgeleitet oder in einem Protokoll gespeichert ist; Rechte Dritter und Geschäftsgeheimnisse werden feldbezogen geprüft und rechtfertigen keinen pauschalen Ausschluss eines gesamten Bestands.

Verhältnis zum Auftragsverarbeitungsvertrag. Dieses Register weist aus, welche Bestände die Anwendungen als Abzug liefern. Der vertragliche Anspruch auf Rückgabe richtet sich nach § 7 Abs. 3 des Auftragsverarbeitungsvertrags und besteht unabhängig davon; Die Aufzählung der Ziffer 1 ist erschöpfend im Sinne des Art. 25 Abs. 2 lit. e der Verordnung (EU) 2023/2854: Sie führt jede Kategorie exportierbarer Daten, die bei der Nutzung der Suite entsteht. Die Auffangformel ergänzt sie, sie nimmt sie nicht zurück — findet sich ein Bestand, den dieses Register nicht führt, wird er auf Anforderung in anderer Form bereitgestellt (§ 7 Abs. 7 AVV) und dieses Register mit der nächsten Fassung um ihn ergänzt. Ein nicht geführter Bestand ist damit ein Fehler dieses Registers, keine Grenze des Anspruchs.

Digitale Vermögenswerte im Sinne des Art. 2 Nr. 38 sind mit erfasst, soweit sie in der Suite entstehen: die vom Auftraggeber angelegten Vorlagen, Prompt-Bausteine, Werkzeug- und Ablaufdefinitionen, Wissensbestände und Widget-Konfigurationen. Sie stehen in Ziffer 1 bei ihrer jeweiligen Anwendung und werden hier nur benannt, weil die Verordnung sie als eigene Kategorie führt.

Was in jedem Abzug steht. Die JSON-Dateien führen zusätzlich format, bereich, exportiert_am, workspace_id und, wo angegeben, user_id. Jeder Bestand wird mit allen seinen Spalten ausgegeben; ausgenommen sind ausschließlich die in Ziff. 3 genannten Geheimnisfelder. Zeitpunkte werden als ISO-8601-Werte ausgegeben. Jeder Abruf wird im Zugriffsprotokoll vermerkt.

1. Abzüge je Anwendung

Der Ordnerexport des Mail-Clients ist technisch auf 20.000 Nachrichten und 80 MiB Rohdaten begrenzt; größere Postfächer benötigen mehrere Abzüge. Dieselbe Grenze gilt für das Archiv des Objektspeichers: Der seitenweise Abruf endet bei 20.000 Objekten und kennzeichnet den gekappten Abzug im Antwortkopf. Auch hier sind für größere Bestände mehrere Abzüge nötig. Das ist kein Entgegenkommen, sondern geschuldet: Der Auftragnehmer stellt so viele Abzüge bereit, wie zur vollständigen Herausgabe erforderlich sind, ohne gesonderte Vereinbarung und ohne zusätzliches Entgelt (Art. 25 Abs. 2 lit. a der Verordnung (EU) 2023/2854). Die Kappung ist eine Grenze je Abzug, keine Grenze des Anspruchs.

Ohne eigenen Bestand, deshalb keine Lücke: API-Dokumentation und Agent-Relay führen keine eigenen Tabellen.

2. Anwendungsübergreifender Abzug

Selbstbedienung. Über den Rechtsbereich legal.janeway.io zieht jede angemeldete Person ihren eigenen Abzug:

• GET /api/v1/konto/datenexport — JSON über die an der Nutzerkennung hängenden Bestände, über die an der E-Mail-Adresse hängenden (sie entstehen, bevor es ein Konto gibt: Einladungen, Vorgängerbestand, Statusverteiler) und über die vertraglichen Angaben des aktiven Arbeitsbereichs nebst dessen Beständen im KI-Dienst — Wissensbestände, Erinnerungen, Werkzeuge, Widgets, Webhooks, Vektordatenbanken und Mailvorlagen, jeweils ohne Zugangsgeheimnisse. Welche Bestände er im Einzelnen führt, weist der Abzug selbst aus; was er nicht enthält, steht abschließend unten.
• GET /api/v1/konto/datenexport/dateien — die Dateiinhalte selbst als gestreamtes ZIP aus dem Objektspeicher.

Die Kennung kommt in beiden Fällen ausschließlich aus der geprüften Sitzung, nie aus der Anfrage. Ein Teil des Bestands liegt unter einer Konto- statt einer Arbeitsbereichs-Kennung; ein Abzug, der allein über den Präfix des Arbeitsbereichs suchte, ließe ihn ohne Fehlermeldung aus — der Abzug erfasst ihn mit.

Der Arbeitsbereichskreis ist bewusst schmal. Nach workspace_id gefilterte Tabellen enthalten die Daten aller Mitglieder; sie vollständig auszugeben hieße, jedem Mitglied den Bestand seiner Kolleginnen in die Hand zu geben. Art. 15 DSGVO trägt den eigenen Bestand, nicht den des Teams. Der Dateiabzug ist aus demselben Grund an Eigentümerin oder Verwaltung des Arbeitsbereichs gebunden (Ziff. 3). Ausgenommen sind die vertraglichen Angaben des Arbeitsbereichs und seine Bestände im KI-Dienst: Sie hängen an der Konfiguration des Arbeitsbereichs, nicht am Bestand einzelner Mitglieder, und werden vollständig ausgegeben.

Vollabzug der Verwaltung. GET /api/v1/users/[id]/export liefert die kontobezogenen Bestände und die an der E-Mail-Adresse hängenden, ist System-Administratoren vorbehalten und wird mit dem Audit-Eintrag user.export protokolliert. Er quert bewusst Arbeitsbereiche, weil er einer Löschung vorausgeht.

Was der Abzug heute nicht erreicht — und was davon eine Ausnahme ist

Die folgenden fünf Bestände sind Lücken des Werkzeugs, keine vereinbarten Ausnahmen. Sie sind als offene Maßnahmen mit Frist geführt (Maßnahmenregister des Auftragnehmers, laufende Nr. 188; es wird Aufsichtsbehörden und im B2B-Audit vorgelegt) und werden geschlossen; bis dahin gilt für sie Ziffer 4 — Bereitstellung auf dokumentierte Anforderung. Sie sind ausdrücklich keine Ausnahme nach Art. 25 Abs. 2 lit. f der Verordnung (EU) 2023/2854: Dieser erfasst allein Daten, die für die interne Funktionsweise spezifisch sind und deren Herausgabe Geschäftsgeheimnisse gefährdet, ohne den Anbieterwechsel zu behindern. Keiner dieser fünf erfüllt das — sie stehen hier, damit niemand sie dafür hält.

Nicht herausgegeben wird genau eines, und das ist eine Entscheidung: die Geheimnisse der SSO- und SCIM-Anbindung — Anbieter-Secrets und SCIM-Token. Sie sind Zugangswege in den Arbeitsbereich, keine Daten des Auftraggebers im Sinne des Art. 2 Nr. 38; der gemeinsame Baustein kennt keine Rollenprüfung, und ohne sie erhielte jedes Mitglied den Schlüssel zum Verzeichnisdienst seines Arbeitgebers. Die Konfiguration selbst wird ausgegeben — Anbieter, Domäne, Zuordnungsregeln, Zeitpunkte —, nur der Geheimniswert nicht. Auch das ist keine Ausnahme nach lit. f, sondern folgt daraus, dass ein Zugangsmittel keine exportierbaren Daten sind; auf Verlangen bestätigt der Auftragnehmer dem vertretungsberechtigten Ansprechpartner den hinterlegten Wert in gesonderter Form.

3. Begrenzungen und Schutz Dritter

Sicherheits- oder Abrechnungsbezug, technische Ableitung und Rechte Dritter sind keine pauschalen Ausschlussgründe; Nutzungsmetadaten wie Modell, Tokenmengen, Laufzeit und Kosten werden bereits beim AI Chat ausgegeben. Geheimnisse des Anbieters, personenbezogene Daten Dritter und sicherheitskritische Werte werden je Feld geprüft und erforderlichenfalls redigiert, pseudonymisiert oder getrennt bereitgestellt. Nicht exportiert wird ausschließlich, was in dieser Liste steht — sie ist abschließend, und eine Generalklausel steht bewusst nicht dahinter, weil sie die Erschöpflichkeit wieder aufhöbe (Art. 25 Abs. 2 lit. f der Verordnung (EU) 2023/2854):

1. Zugangsschlüssel und Geheimniswerte — API-Schlüssel und deren Klartext, SSO-Anbieter-Secrets, SCIM-Token, Webhook-Signaturgeheimnisse.
2. Passwort-Hashes und Zweitfaktor-Geheimnisse einschließlich der Wiederherstellungscodes.
3. Interne kryptografische Schlüssel des Auftragnehmers, einschließlich der Schlüssel, mit denen hinterlegte Geheimnisse verschlüsselt sind.
4. Personenbezogene Daten Dritter, soweit sie nicht zugleich Daten des Auftraggebers sind — die Bestände anderer Mitglieder eines Arbeitsbereichs bei einem kontobezogenen Abzug.

Die ersten drei sind Zugangsmittel, keine exportierbaren Daten (Art. 2 Nr. 38); die vierte folgt aus den Rechten der Dritten, nicht aus einem Geheimnis des Auftragnehmers. Ein Geschäftsgeheimnis des Auftragnehmers wird als Ausschlussgrund nicht in Anspruch genommen.

Zwei verschiedene Ansprüche, keine Rechtestufe. Art. 15 und Art. 20 DSGVO tragen den eigenen Bestand der betroffenen Person; wer als Mitglied eines Arbeitsbereichs Auskunft über sich verlangt, erhält den kontobezogenen Abzug. Die Rückgabe des Arbeitsbereichsbestands nach § 7 Abs. 3 des Auftragsverarbeitungsvertrags schuldet der Auftragsverarbeiter dagegen dem Verantwortlichen — nicht jeder für ihn tätigen Person; der Abzug einschließlich der Dateiinhalte ist deshalb an Eigentümerin oder Verwaltung des Arbeitsbereichs gebunden. Das ist keine Beschränkung des Auskunftsrechts: Es reicht nicht auf die Daten der übrigen Mitglieder und der Kunden des Verantwortlichen.

Auskunft über eine einzelne betroffene Person. Die Abzüge sind nach Anwendung und Arbeitsbereich geschnitten, nicht nach betroffener Person. Ein Verantwortlicher, der einem Betroffenen nach Art. 15 DSGVO Auskunft schuldet — bei einer öffentlichen Stelle der Regelfall gegenüber Bürgerinnen und Bürgern —, zieht die Abzüge der betroffenen Anwendungen und wertet sie aus; einen anwendungsübergreifenden Suchweg nach einer Person stellt der Anbieter nicht bereit. Er unterstützt ihn dabei nach § 5 des Auftragsverarbeitungsvertrags und benennt auf Anfrage, welche Anwendungen für einen konkreten Arbeitsbereich Bestände führen.

4. Bereitstellung

Für die in Ziff. 2 als Lücke benannten Bestände erfolgt die Bereitstellung auf dokumentierte Anforderung in einem strukturierten, gängigen und maschinenlesbaren Format und wird nach § 7 Abs. 7 des Auftragsverarbeitungsvertrags nachgewiesen.

---

5. Fassung dieses Registers

Erhebungsstichtag 2026-09-01. Die Fassungsbezeichnung steht im Kopf dieses Dokuments und
wird bei jeder Änderung mitgezogen; sie ist zugleich der Bezugspunkt, wenn ein Vertrag oder ein
Leistungsschein „das Register in der Fassung vom …" nennt.

Der Änderungsweg ist unsymmetrisch, und das ist Absicht. Eine Ergänzung — ein
zusätzlicher Bestand, ein zusätzliches Format, das Schließen einer der Lücken der Ziffer 2 —
tritt mit der neuen Fassung in Kraft, ohne dass der Vertrag neu gezeichnet werden muss; sie
erweitert den Anspruch. Eine Streichung oder eine Verengung eines bestehenden Abzugs ist
eine Änderung zum Nachteil des Auftraggebers und richtet sich nach § 10 der
AGB bzw. nach dem Änderungsweg des Rahmenvertrags. Ohne diese Unterscheidung wäre
jede Verbesserung zustimmungsbedürftig und jede Verschlechterung stillschweigend möglich —
genau umgekehrt zu dem, was gewollt ist.

Fassung dieses Registers: siehe Kopf · Erhebungsstichtag: 2026-09-01