Maßgeblich ist die deutsche Fassung dieser Vereinbarung einschließlich ihrer TOM-Anlage. Übersetzungen dienen dem Verständnis.
1. Parteien und Einbeziehung
Diese Vereinbarung nach Art. 28 DSGVO wird zwischen dem Kunden, der das Workspace-Abonnement abschließt (nachfolgend „Kunde“), und dem folgenden Anbieter als Auftragsverarbeiter geschlossen:
d1 group, e-business GmbH
Zwischen den Hölzern 1a
59514 Welver
Deutschland
Der Kunde wird durch die Vertrags- und Bestelldaten des Workspace-Abonnements bestimmt. Diese Vereinbarung ist mit Abschluss eines Workspace-Abonnements Bestandteil des Vertrags, soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet. Diese Fassung gilt für Vertragsabschlüsse ab ihrer Veröffentlichung. Bestandskunden erhalten die AVV auf Anfrage. Bereits individuell geschlossene Vereinbarungen zur Auftragsverarbeitung bleiben vorrangig. Eine unterzeichnete Fassung ist über [email protected] erhältlich.
Der Kunde handelt als Verantwortlicher. Ist er selbst Auftragsverarbeiter, handelt der Anbieter als weiterer Auftragsverarbeiter; der Kunde gewährleistet seine Berechtigung zur Beauftragung und übermittelt die maßgeblichen Weisungen seines Verantwortlichen.
2. Gegenstand, Zweck und Dauer
Gegenstand ist die Bereitstellung von Teamwide für die gemeinsame Arbeit in Workspaces und Boards. Die Verarbeitung umfasst das Erfassen, Speichern, Ordnen, Anzeigen, Bearbeiten, Übermitteln, Exportieren und Löschen der vom Kunden bereitgestellten Daten sowie die Ausführung der von ihm aktivierten Agenten und Integrationen. Sie dient der Zusammenarbeit, Kommunikation, Verwaltung von Berechtigungen und technischen Bereitstellung der beauftragten Funktionen.
Die Vereinbarung gilt für die Dauer der beauftragten Verarbeitung einschließlich der Aufbewahrung eines lesbaren Workspace. Die Kündigung eines Abonnements allein löscht den Workspace nicht: Nach Ablauf des bezahlten Zeitraums bleibt er nach den AGB lesbar. Diese Vereinbarung gilt bis zum Abschluss der Rückgabe oder Löschung gemäß Abschnitt 10 fort.
Verarbeitungen für eigene Zwecke des Anbieters, insbesondere Vertragsverwaltung, Abrechnung, Erfüllung eigener gesetzlicher Pflichten und Betrieb der öffentlichen Website, werden in der Datenschutzerklärung erläutert und sind nicht Gegenstand dieser Auftragsverarbeitung.
3. Datenarten und betroffene Personen
Die beauftragte Verarbeitung kann Namen und berufliche Kontaktdaten, Workspace-Zuordnungen, Rollen, Einladungen, Freigaben und Einstellungen sowie Inhalte von Boards, Notizen, Kommentaren, Bildern und Dateien betreffen. Hinzu kommen konfigurierte Integrationen, API-Schlüssel, Agenteneinstellungen, Eingaben, Chatverläufe, Ausgaben und Ergebnisse eingesetzter Werkzeuge, soweit der Kunde diese Funktionen nutzt.
Technische Daten können Benutzer-, Workspace- und Objektkennungen, Zeitstempel, Sitzungs- und Zugriffsinformationen, IP-Adressen sowie Status-, Fehler- und Laufzeitinformationen umfassen, soweit sie für die beauftragte Bereitstellung und Sicherheit erforderlich sind. Eigene Verarbeitungszwecke des Anbieters bleiben gemäß Abschnitt 2 abgegrenzt.
Betroffene Personen sind insbesondere Beschäftigte, Auftragnehmer und Mitglieder des Kunden, eingeladene oder externe Mitwirkende sowie Kunden, Kontakte und sonstige Personen, deren Daten der Kunde in Teamwide verarbeitet. Der Kunde bestimmt die konkreten Inhalte und Personengruppen.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht für den regulären Einsatz vorgesehen. Vor einer solchen Verarbeitung stimmen die Parteien die Anforderungen und erforderlichen zusätzlichen Schutzmaßnahmen ab; der Kunde stellt die erforderliche Rechtsgrundlage sicher.
4. Verantwortung und Weisungen des Kunden
Der Kunde bestimmt Zwecke und Mittel seiner Verarbeitung und verantwortet deren Rechtmäßigkeit, Informationen an betroffene Personen und die Berechtigung zur Übermittlung der Daten. Er vergibt angemessene Berechtigungen, hält seine Kontaktangaben aktuell und prüft Freigaben sowie aktivierte Integrationen.
Der Anbieter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Kunden, auch hinsichtlich Übermittlungen in Drittländer. Weisungen ergeben sich aus diesem Vertrag, den vom Kunden veranlassten Aktionen und Einstellungen sowie ergänzenden dokumentierten Anweisungen befugter Personen, etwa per E-Mail an [email protected]. Mündliche Weisungen sind zeitnah in Textform zu bestätigen.
Verpflichtet das Unionsrecht oder das Recht eines Mitgliedstaats den Anbieter zu einer Verarbeitung, informiert er den Kunden vorab über diese Pflicht, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Hält der Anbieter eine Weisung für datenschutzrechtswidrig, informiert er den Kunden unverzüglich und setzt ihre Ausführung bis zur Klärung aus.
5. Vertraulichkeit und Sicherheit
Der Anbieter verpflichtet zur Verarbeitung befugte Personen auf Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe dürfen nur im erforderlichen Umfang und im Rahmen der zulässigen Weisungen erfolgen. Diese Verpflichtungen bestehen nach Ende der Tätigkeit fort.
Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Dabei berücksichtigt er Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für betroffene Personen. Dazu gehören eine risikogerechte Sicherung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die Wiederherstellbarkeit nach Zwischenfällen und die regelmäßige Bewertung der Wirksamkeit der Maßnahmen.
Die TOM-Anlage in Abschnitt 13 beschreibt die eingesetzten Maßnahmen. Der Anbieter darf sie dem technischen Fortschritt und geänderten Risiken anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen und die zur Beurteilung erforderlichen Informationen stellt er dem Kunden zur Verfügung.
6. Unterauftragnehmer
Der Kunde erteilt eine allgemeine schriftliche Genehmigung zum Einsatz der in der Liste der Unterauftragnehmer benannten Unterauftragnehmer für die dort beschriebenen Leistungen. Die Liste ergänzt diese Vereinbarung. Dort zusätzlich erläuterte Dienste in eigener Verantwortlichkeit werden dadurch nicht zu Unterauftragnehmern.
Der Anbieter informiert den Kunden mindestens 30 Tage vor der Hinzunahme oder dem Austausch eines Unterauftragnehmers per E-Mail an den hinterlegten administrativen Kontakt. Die Information benennt Anbieter, Leistung, Verarbeitungsort und gegebenenfalls Garantien für Drittlandübermittlungen. Der Kunde kann innerhalb dieser Frist aus begründeten Datenschutzgründen über [email protected] widersprechen.
Bei einem Widerspruch prüfen die Parteien geeignete Abhilfen oder eine zumutbare Alternative. Der neue Unterauftragnehmer wird für die betroffenen Kundendaten erst eingesetzt, wenn der Widerspruch geklärt ist. Ist keine tragfähige Lösung möglich, kann jede Partei die betroffene Leistung vor dem vorgesehenen Einsatz beenden; Rückgabe und Löschung richten sich nach Abschnitt 10.
Der Anbieter verpflichtet Unterauftragnehmer vertraglich zu denselben Datenschutzpflichten, die ihm aus dieser Vereinbarung obliegen, insbesondere zu hinreichenden Schutzmaßnahmen. Er bleibt dem Kunden gegenüber für die Erfüllung dieser Pflichten durch den Unterauftragnehmer verantwortlich. Auf Anfrage stellt er die für den Nachweis erforderlichen Informationen und einschlägigen Vertragsregelungen bereit; nicht einschlägige Geschäftsgeheimnisse dürfen geschwärzt werden.
7. Verarbeitungsorte und Drittlandübermittlungen
Die Teamwide-Anwendung, die Speicherung von Boards und Dateien sowie die selbst betriebenen Dienste für Agentenausführung und Web-Recherche laufen auf Servern von Hetzner in Falkenstein, Deutschland. Die Liste der Unterauftragnehmer beschreibt die Beteiligung weiterer Anbieter.
Cloudflare erbringt Netzwerk-, Sicherheits- und Vermittlungsleistungen über eine internationale Infrastruktur; dabei können Daten außerhalb des EWR verarbeitet werden. Stripe verarbeitet Zahlungs- und Abrechnungsdaten entsprechend seiner jeweiligen Rolle. Diese Zahlungsabwicklung ist von der Verarbeitung der Board-Inhalte zu unterscheiden.
Externe KI-Dienste werden durch die Auswahl und Konfiguration des Kunden mit dessen eigenen API-Schlüsseln eingebunden. Bei der Nutzung können Eingaben, ausgewählte Inhalte und Ergebnisse an den jeweiligen Anbieter gelangen. Auswahl, Verarbeitungsorte, Vertragsbeziehungen und Aufbewahrung richten sich auch nach dessen Bedingungen. Soweit ein solcher Dienst vom Anbieter als Unterauftragnehmer eingesetzt wird, gilt zusätzlich Abschnitt 6; eine kundeneigene Beauftragung ersetzt keine erforderliche datenschutzrechtliche Prüfung.
Übermittlungen durch den Anbieter in Drittländer erfolgen nur auf dokumentierte Weisung oder aufgrund der in Abschnitt 4 genannten gesetzlichen Pflicht und unter Einhaltung von Kapitel V DSGVO. Soweit erforderlich, werden ein gültiger Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln mit der erforderlichen Prüfung und zusätzlichen Maßnahmen, herangezogen. Der Anbieter stellt die hierfür erforderlichen Nachweise bereit. Diese Vereinbarung selbst ersetzt keine Übermittlungsgarantie nach Kapitel V.
8. Betroffenenrechte und Unterstützung
Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung von Anfragen nach Kapitel III DSGVO, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Er leitet an ihn gerichtete Anfragen zu Kundendaten unverzüglich an den Kunden weiter und beantwortet sie nur nach dessen Weisung, sofern keine eigene gesetzliche Pflicht besteht.
Unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen unterstützt der Anbieter den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst Sicherheitsbewertungen, Meldungen und Benachrichtigungen bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und die vorherige Konsultation der Aufsichtsbehörde. Der Kunde bleibt für seine Entscheidungen und gesetzlichen Fristen verantwortlich.
9. Datenschutzverletzungen
Wird dem Anbieter eine Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten bekannt, benachrichtigt er den Kunden unverzüglich über den hinterlegten administrativen Kontakt. Die Benachrichtigung hängt nicht davon ab, dass bereits sämtliche Einzelheiten feststehen.
Der Anbieter teilt, soweit verfügbar, die Art des Vorfalls, betroffene Daten und Personengruppen einschließlich ungefähren Umfangs, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie eine Kontaktstelle mit. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. Er unterstützt die Untersuchung, Eindämmung, Behebung und Dokumentation des Vorfalls sowie die erforderlichen Meldungen des Kunden.
10. Rückgabe und Löschung
Nach Ende sämtlicher Leistungen zur Verarbeitung gibt der Anbieter nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten in einem vereinbarten gängigen Format zurück und löscht sie anschließend oder löscht sie unmittelbar. Bestehende Kopien sind ebenfalls zu löschen, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats ihre Speicherung verlangt. Die Parteien stimmen den für die sichere Durchführung erforderlichen Ablauf ab; der Anbieter bestätigt den Abschluss auf Anfrage.
Der Kunde kann die vorhandenen Export- und Löschfunktionen nutzen und ergänzende Weisungen an [email protected] richten. Eine bloße Abonnementkündigung ist keine Löschweisung für den weiterhin lesbaren Workspace. Wünscht der Kunde auch dessen Beendigung, veranlasst er die Löschung oder weist den Anbieter entsprechend an.
Gesetzlich aufzubewahrende Daten werden auf den Aufbewahrungszweck beschränkt und nach Fristablauf gelöscht. Soweit bei der Durchführung noch isolierte Sicherungskopien bestehen, bleiben diese bis zu ihrer Löschung geschützt und werden nicht für andere Zwecke verwendet; bei einer Wiederherstellung ist die Löschweisung erneut umzusetzen. Eigenständig vom Kunden oder von berechtigten Empfängern angefertigte Kopien liegen in deren Verantwortungsbereich.
11. Nachweise und Kontrollen
Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO erforderlich sind. Er ermöglicht Kontrollen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer und wirkt daran mit.
Die Parteien stimmen Umfang, Zeitpunkt und Sicherheitsvorkehrungen angemessen ab und schützen dabei Daten anderer Kunden und vertrauliche Informationen. Dringende Kontrollen, insbesondere bei einem konkreten Vorfall oder einer behördlichen Anforderung, werden dadurch nicht ausgeschlossen oder unangemessen verzögert. Gesetzliche Prüf- und Auskunftsrechte bleiben unbeschränkt.
12. Haftung, Rangfolge und Kontakt
Für die Haftung zwischen den Parteien gelten die Regelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht nicht entgegensteht. Ansprüche betroffener Personen, insbesondere aus Art. 82 DSGVO, und die Verantwortlichkeit für Unterauftragnehmer bleiben unberührt. Bei Widersprüchen hinsichtlich der Auftragsverarbeitung geht diese Vereinbarung den allgemeinen Vertragsbedingungen vor; vorrangige individuelle Vereinbarungen bleiben bestehen.
Änderungen dieser Vereinbarung bedürfen einer Vereinbarung in schriftlicher oder elektronischer Form. Allein die Veröffentlichung einer neuen Fassung ändert eine bereits geschlossene Vereinbarung nicht. Die aktuelle Fassung kann für neue Vertragsabschlüsse verwendet werden. Kontakt für Weisungen, Datenschutzanfragen und eine unterzeichnete Fassung: [email protected].
13. Anlage – Technische und organisatorische Maßnahmen (TOM)
Diese Anlage ist Bestandteil der Vereinbarung. Sie beschreibt die technischen Maßnahmen der bereitgestellten Anwendung und deren Betrieb zum angegebenen Stand. Die Pflichten aus Abschnitt 5 gelten ergänzend.
Hosting und Netzverbindungen. Anwendung, Datenbank, Board-Dateien, Agentenausführung und selbst betriebene Web-Recherche werden bei Hetzner in Falkenstein, Deutschland, betrieben. Browser-Verbindungen nutzen HTTPS. Cloudflare übernimmt den öffentlichen TLS-Endpunkt; die Verbindung zum Anwendungsserver läuft durch einen verschlüsselten Tunnel. Die Anwendung erzwingt HTTPS und nutzt sichere Sitzungs-Cookies.
Identität und Anmeldung. Passwörter für lokale Benutzerkonten werden als bcrypt-Hash gespeichert. Benutzer können eine Zwei-Faktor-Anmeldung mit zeitbasierten Einmalcodes aktivieren. Wiederherstellungscodes unterstützen den Zugang bei Verlust des zweiten Faktors.
Berechtigungen und Trennung. Zugriffe auf Workspaces und Boards werden anhand der Kontozugehörigkeit, Rollen und Board-Freigaben geprüft. Lese- und Bearbeitungsrechte sind getrennt. Veröffentlichte Boards werden durch bewusst eingerichtete Freigaben zugänglich; für öffentliche Links ist ein zusätzlicher Passwortschutz verfügbar. Der Kunde verwaltet Mitglieder und Freigaben entsprechend seinem Bedarf.
Schutz von Zugangsdaten. Hinterlegte KI-API-Schlüssel werden auf Feldebene in der Datenbank verschlüsselt gespeichert. Sensible Parameter, darunter Passwörter, Schlüssel und Tokens, sind in der Filterung der Anwendungsprotokolle erfasst.
Verfügbarkeit und Datensicherung. Fortlaufende Datensicherung auf eigene Server im Cluster.
Betriebsprüfung und Änderungen. Technische Zustandsprüfungen kontrollieren die Erreichbarkeit der Anwendung sowie ihrer Datenbank- und Redis-Verbindungen. Anwendungsprotokolle enthalten Anfragekennungen zur Fehlerzuordnung. Auslieferungen erfolgen mit versionierten Container-Abbildern; Änderungen werden vor Veröffentlichung anhand automatisierter Tests und nach der Auslieferung auf Erreichbarkeit und Version geprüft.
Datenverwaltung. Die Anwendung stellt Funktionen zur Verwaltung und Löschung von Boards und Workspaces bereit. Zugehörige Berechtigungen und verknüpfte Anwendungsobjekte werden beim Löschen entsprechend ihren Abhängigkeiten entfernt. Weitergehende Rückgabe- und Löschweisungen werden nach Abschnitt 10 bearbeitet.