Datenschutz

1. Vertragsparteien und Abschluss

Diese Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO wird zwischen [vollständiger Name], Kontakt [E-Mail-Adresse], zugeordnet zu [Konto-ID] als Auftraggeber und Christoph Hahn, Donaustraße 44, 12043 Berlin, Deutschland, Betreiber von AuraSentence als Auftragnehmer geschlossen. Datenschutzkontakt des Auftragnehmers: x@cxhahn.com.

Der Auftraggeber wird beim Abschluss mit vollständigem Namen, E-Mail-Adresse und zugehörigem Herausgeberkonto identifiziert. Diese Angaben und die angenommene Dokumentversion werden Bestandteil der Vereinbarung. Handelt der Auftraggeber selbst als Auftragsverarbeiter, muss er die erforderliche Erlaubnis seines Verantwortlichen nachweisen; dessen Weisungen und Pflichten sind weiterzugeben.

Der Auftragnehmer bietet diese Standardvereinbarung einschließlich der Anlagen 1 bis 3 an. Der Auftraggeber nimmt sie bei der Registrierung durch ausdrückliches Ankreuzen der gemeinsamen Bestätigung für AGB, AVV und Datenschutzhinweise und erfolgreiches Absenden des Registrierungsformulars an. Die Platzhalter werden durch die angegebenen Vertragsdaten, den Namen und die E-Mail-Adresse der registrierenden Person sowie die erzeugte Konto-ID ergänzt. Dokumentfassung, Vertragsdaten und serverseitiger Abschlusszeitpunkt werden gespeichert. Bestehende Konten gelten nicht rückwirkend als zustimmend. Eine einseitige Veröffentlichung einer neuen Fassung ändert bestehende Vereinbarungen nicht.

Die Vereinbarung betrifft die Verarbeitung im Auftrag; für eigene Zwecke wie Kontoverwaltung, Vertragsabwicklung und eigene Missbrauchsabwehr gilt die Datenschutzerklärung des Betreibers. Die Kenntnisnahme dieser Erklärung ist keine pauschale Einwilligung in zusätzliche Datenverarbeitung oder Werbung. Die Nachweis- und Umsetzungspflichten des Auftragnehmers bleiben unabhängig vom elektronischen Vertragsschluss bestehen.

2. Gegenstand, Dauer und Weisungen

Gegenstand ist die technische Bereitstellung der AuraSentence-Funktionen für Dokumente, Publikationen, Empfängerlisten, Newsletter und Kommentare gemäß Anlage 1. Die Verarbeitung dauert für die vereinbarte Leistung und bis zur Rückgabe oder Löschung der Auftragsdaten nach Ziffer 9. Sie darf nicht für eigene Werbung, Handel mit Daten oder Training eigener KI-Modelle verwendet werden.

Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen an Drittländer. Die vertraglich vereinbarten Funktionen und die vom Auftraggeber veranlassten Speicher-, Veröffentlichungs-, Versand- und Löschvorgänge bilden die anfänglichen Weisungen. Weitere Weisungen sind über die genannte Kontaktadresse in Textform zu erteilen und zu dokumentieren.

Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Erzwingt Unionsrecht oder das Recht eines Mitgliedstaats eine abweichende Verarbeitung, informiert er den Auftraggeber vorab über diese Pflicht, sofern das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

3. Pflichten des Auftraggebers

Der Auftraggeber entscheidet über Zwecke und zulässige Inhalte seiner Publikationen, Empfänger und Newsletter. Er gewährleistet insbesondere eine Rechtsgrundlage, erforderliche Einwilligungen, Informationspflichten und die Rechtmäßigkeit seiner Weisungen. Er prüft, welche Dokumente öffentlich, per Link oder nur für bestimmte Empfänger zugänglich sein sollen.

Der Auftraggeber hält seine Kontaktdaten aktuell, schützt seine Zugangsdaten und informiert den Auftragnehmer unverzüglich über unberechtigte Zugriffe oder fehlerhafte Daten. Seine Verantwortung entbindet den Auftragnehmer nicht von dessen eigenen gesetzlichen und vertraglichen Pflichten.

4. Vertraulichkeit und Sicherheit

Der Auftragnehmer gewährt Zugang zu Auftragsdaten nur Personen, die ihn für die Leistung benötigen und zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

Der Auftragnehmer trifft risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage 2 beschreibt die im Anwendungscode nachvollziehbaren Maßnahmen und unterscheidet sie von noch nachzuweisenden Betriebsmaßnahmen. Die Schutzmaßnahmen sind regelmäßig auf Wirksamkeit zu überprüfen. Anpassungen an den Stand der Technik dürfen das vereinbarte Schutzniveau nicht unterschreiten.

Der Auftragnehmer dokumentiert Backups, Wiederherstellung, Berechtigungsverwaltung und Vorfallbearbeitung nach Anlage 3 und stellt die erforderlichen Nachweise bereit. Diese Vereinbarung behauptet keine Zertifizierung, feste Wiederherstellungszeit oder vollständige Ende-zu-Ende-Verschlüsselung.

5. Weitere Auftragsverarbeiter

Der Auftraggeber genehmigt mit Abschluss die in Anlage 2 ausdrücklich aufgeführten Unterauftragnehmer für die dort beschriebenen Aufgaben. Der Auftragnehmer informiert ihn mindestens 30 Tage vor dem geplanten Einsatz eines weiteren oder ersetzenden Unterauftragnehmers in Textform über Anbieter, Aufgabe, Verarbeitungsort und Schutzmaßnahmen. Eine lediglich geänderte Website-Liste genügt dieser Information nicht.

Der Auftraggeber kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. Die Parteien prüfen eine gleichwertige Alternative. Bis zur Klärung werden die betroffenen Auftragsdaten nicht an den beanstandeten neuen Anbieter übermittelt. Ist eine datenschutzgerechte Fortführung nicht möglich, kann der Auftraggeber die betroffene Leistung vor dem Wechsel beenden; Ziffer 9 gilt entsprechend.

Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich zu mindestens gleichwertigen Datenschutzpflichten, insbesondere zu geeigneten Sicherheitsmaßnahmen und Unterstützungspflichten. Er bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich und stellt auf Anforderung die erforderlichen Nachweise bereit; notwendige Schwärzungen dürfen den Nachweis nicht vereiteln.

6. Drittlandübermittlungen

Verarbeitung außerhalb des Europäischen Wirtschaftsraums und Zugriffe aus Drittländern sind nur im Rahmen dokumentierter Weisungen und bei Einhaltung der Art. 44 ff. DSGVO zulässig. Der Auftragnehmer dokumentiert den jeweils anwendbaren Angemessenheitsbeschluss oder geeignete Garantien, erforderliche Transferbewertungen und zusätzliche Schutzmaßnahmen und stellt diese dem Auftraggeber auf Anfrage zur Verfügung.

Ein EU-Datenbank-Endpunkt ist kein Nachweis, dass sämtliche Verarbeitung in der EU stattfindet. Diese AVV ersetzt keine erforderlichen Standardvertragsklauseln für Drittlandübermittlungen. Ändern sich Voraussetzungen oder kann ein Anbieter das vereinbarte Schutzniveau nicht mehr gewährleisten, informiert der Auftragnehmer den Auftraggeber unverzüglich und vereinbart geeignete Abhilfe bzw. setzt die betroffene Übermittlung aus.

7. Betroffenenrechte und Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragnehmer den Auftraggeber mit geeigneten Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf und Widerspruch. Direkt eingehende Anfragen zu Auftragsdaten leitet er unverzüglich weiter und beantwortet sie inhaltlich nur auf Weisung, soweit keine eigene gesetzliche Pflicht besteht.

Der Auftragnehmer unterstützt den Auftraggeber nach Maßgabe der verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Er liefert die für gesetzliche Fristen erforderlichen Informationen ohne unangemessene Verzögerung.

8. Datenschutzverletzungen und Kontrollen

Wird dem Auftragnehmer eine Verletzung des Schutzes von Auftragsdaten bekannt, unterrichtet er den Auftraggeber unverzüglich über dessen hinterlegte Kontaktadresse. Die Meldung enthält soweit bekannt Art des Vorfalls, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Kontaktstelle, wahrscheinliche Folgen sowie getroffene oder vorgeschlagene Abhilfemaßnahmen. Fehlende Informationen werden schrittweise ohne unangemessene Verzögerung ergänzt. Eine noch laufende Untersuchung rechtfertigt keine Verzögerung der Erstmeldung.

Der Auftragnehmer sichert relevante Nachweise, begrenzt den Schaden und unterstützt bei Meldungen an Behörden und betroffene Personen. Die gesetzlichen Meldeentscheidungen des Auftraggebers werden dadurch nicht ersetzt.

Der Auftragnehmer stellt alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten unabhängigen Prüfer. Übliche Kontrollen werden mit angemessener Vorankündigung koordiniert; dringende Vorfälle, begründete Verdachtsfälle und behördliche Prüfungen bleiben hiervon unberührt. Rechte anderer Kunden und Geschäftsgeheimnisse sind zu schützen, ohne wirksame Kontrollen auszuschließen.

9. Rückgabe und Löschung

Nach Ende der Leistung gibt der Auftragnehmer nach Wahl des Auftraggebers die Auftragsdaten in einem gängigen elektronischen Format zurück oder löscht sie und vorhandene Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Die Wahl und der Abschluss werden in Textform dokumentiert. Nach Rückgabe sind verbleibende Kopien ebenfalls zu löschen, soweit keine entsprechende Pflicht besteht.

Eine notwendige gesetzliche Restaufbewahrung wird mit Rechtsgrundlage, Datenumfang und Dauer mitgeteilt; die Daten werden gesperrt und nicht für andere Zwecke genutzt. Technisch nicht unmittelbar einzeln löschbare Sicherungskopien bleiben vor weiteren Verwendungen geschützt und werden innerhalb des vor Abschluss vereinbarten Sicherungszyklus entfernt. Bei Wiederherstellung sind bereits erteilte Löschweisungen erneut anzuwenden.

Die derzeitigen Oberflächenfunktionen gewährleisten nicht für alle Datenarten eine vollständige Löschung: Abmeldungen ändern den Status, Kommentare können nur ausgeblendet werden. Der Auftragnehmer muss daher auch die betroffenen Datenbankeinträge, Versandjournale und Sicherungen in einem gesonderten Löschprozess berücksichtigen. Ausblenden oder Sperren allein erfüllt keine vollständige Löschweisung.

10. Laufzeit, Beendigung und Vorrang

Diese AVV gilt für die Dauer der beauftragten Verarbeitung. Vertraulichkeit, Nachweis- sowie Rückgabe- und Löschpflichten bestehen über die Beendigung der Leistung hinaus fort. Kann der Auftragnehmer seine Datenschutzpflichten nicht erfüllen, informiert er den Auftraggeber unverzüglich; der Auftraggeber kann die betroffene Verarbeitung aussetzen und bei nicht behebbaren oder erheblichen Verstößen die betroffene Leistung beenden.

Bei Widersprüchen zu sonstigen Leistungsbedingungen geht diese AVV hinsichtlich des Schutzes der Auftragsdaten vor. Änderungen sind in Textform zu vereinbaren; zwingende gesetzliche Anforderungen bleiben unberührt. Rechte betroffener Personen und gesetzliche Haftung, insbesondere nach Art. 82 DSGVO, werden nicht eingeschränkt.

Anlage 1 — Beschreibung der Verarbeitung

Art und Zweck: Entgegennahme, Speicherung, Strukturierung, Darstellung, Änderung, Export, Veröffentlichung, gezielte Freigabe und Löschung von Dokumenten; Verwaltung von Abonnements einschließlich Double-Opt-in, Abmeldung und Versand; Bereitstellung von Kommentaren und technischen Versandnachweisen. PDF-Dateien werden im Browser erzeugt. Inhalt und Sichtbarkeit bestimmt der Herausgeber.

Datenarten: Namen und Autorenangaben; E-Mail- und Postadressen; Empfänger- und Unternehmensangaben; Texte und Anhänge; Logos, Profilbilder und Unterschriften; Publikationseinstellungen; Kommentare; Abonnementstatus, Einwilligungsversionen, Bestätigungs- und Abmeldezeitpunkte; technische Kennungen und Versandstatus. Sensible Inhalte können sich aus den vom Auftraggeber bereitgestellten Dokumenten ergeben.

Betroffene Personen: Herausgeber und ihre Beschäftigten oder Beauftragten, Leser, Abonnenten, Kommentierende, Dokumentempfänger, Geschäftspartner und in Inhalten genannte Personen. Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand des Standardauftrags; dafür ist vor Übermittlung eine gesonderte Vereinbarung mit geeigneten Schutzmaßnahmen erforderlich.

Häufigkeit: fortlaufend bzw. bei Nutzung der vereinbarten Funktionen. Dauer: gemäß Ziffern 2 und 9. Umfang, Empfänger und Veröffentlichungszweck ergeben sich aus den dokumentierten Einstellungen und Weisungen des Auftraggebers. Unbefristete Speicherung ohne fortbestehenden Zweck ist nicht vereinbart.

Anlage 2 — Sicherheitsmaßnahmen und Unterauftragnehmer

Im Code nachvollziehbare Maßnahmen: serverseitige Anmeldung und Besitzerprüfung vor Zugriff auf nicht öffentliche Arbeitsbereichsdaten; geschützte Sitzungscookies (HttpOnly, Secure im Produktivbetrieb, SameSite=Lax); Origin-Prüfungen und Eingabegrößen-/Schema-Prüfungen; begrenzte Speicher- und Versandkontingente sowie Rate Limits; escaped Textausgabe und Content Security Policy; eingeschränkte Ziele für serverseitige Service-Aufrufe; Hashes für Bestätigungstoken und Zugriffskontrollen für private Freigaben. Öffentliche Publikationen bleiben bestimmungsgemäß öffentlich.

Die Konfiguration sieht Appwrite Row Security ohne öffentliche Tabellenrechte vor. Produktive Berechtigungen, administrative Zugänge, Schlüsselverwaltung, Mitarbeitenden-Verpflichtungen, Backups, Wiederherstellungstests und organisatorische Vorfallprozesse müssen zusätzlich anhand des realen Betriebs nachgewiesen werden. Es wird nicht behauptet, dass Codeprüfungen diese Nachweise ersetzen.

Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA: Hosting, HTTP-Auslieferung und Serverfunktionen; verarbeitet Anfragen, technische Metadaten und die jeweils benötigten Auftragsinhalte. Internationales Netzwerk; keine Zusage ausschließlicher EU-Verarbeitung. DPA laut Betreiber vorhanden.

Appwrite: Authentifizierung und Datenbank für Dokumente, Einstellungen, Abonnenten, Kommentare und Versandjournal. Konfigurierter Cloud-Endpunkt Frankfurt. Appwrite-DPA laut Betreiber vorhanden; die konkrete Vertragsgesellschaft (Appwrite Code Ltd. oder Appwrite Code, Inc.), deren Anschrift, Unterauftragnehmer und internationale Zugriffsmöglichkeiten sind anhand des Vertrags vor Abschluss dieser Kunden-AVV in die Abschlussunterlagen aufzunehmen.

Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich: Versand von Abonnement-Bestätigungsmails und Newslettern; verarbeitet Empfänger, Nachrichten, gegebenenfalls Anhänge und Versandinformationen. DPA laut Betreiber vorhanden. Konkrete internationale Verarbeitung und Tracking-Konfiguration sind anhand des verwendeten Kontos zu prüfen.

Google Workspace und Proton dienen der eigenen Geschäftskommunikation des Betreibers und sind keine automatisch genehmigten Speicher- oder Versanddienste für Herausgeberlisten. Werden sie künftig für Auftragsdaten eingesetzt, ist zuvor das Verfahren aus Ziffer 5 anzuwenden. Gleiches gilt für weitere optionale Dienste, soweit sie Auftragsdaten als Unterauftragnehmer verarbeiten. Externe Bilder oder Links, die ein Herausgeber selbst auswählt, sind von ihm gesondert datenschutzrechtlich zu bewerten.

Anlage 3 — Abschluss und betriebliche Nachweise

Die Kundendaten aus dem Registrierungsformular ergänzen die Platzhalter dieser Vereinbarung. Als Weisungs- und Vorfallkontakt gilt die hinterlegte E-Mail-Adresse, bis eine Änderung in Textform mitgeteilt wird. Der Auftragnehmer dokumentiert zusätzlich die vollständige Appwrite-Vertragseinheit, freigegebene Unterauftragnehmer einschließlich relevanter Drittlandgarantien, produktive Zugriffsrechte, Verfahren für Export und Löschung aller abhängigen Daten und Sicherungskopien sowie Backup-/Logfristen, Wiederherstellung und Sicherheitskontrollen. Der Vertragsschluss ersetzt diese betrieblichen Nachweise nicht.

Abschlussnachweis: Auftraggeber [Name, Kontakt, Konto-ID]; Auftragnehmer Christoph Hahn; AVV-Version 2026-09-23.3; [serverseitiger Zeitpunkt der Registrierung]; ausdrücklich erklärte AVV- und AGB-Annahme sowie Kenntnisnahme der Datenschutzerklärung. Der Nachweis enthält eine gespeicherte Kopie der Dokumentfassungen und ist nach Anmeldung über den Download-Link auf dieser Seite abrufbar. Die Druckfunktion des Browsers kann die Standardvereinbarung als PDF speichern.