Version 1.0 · Stand: 17.10.2026
Als Anlage zu den Allgemeinen Geschäftsbedingungen von „CraftFlow“
zwischen
Christina Junkmann
Albert-Roßhaupter-Straße 25
81369 München
– nachfolgend „Auftragsverarbeiter“ –
und
dem registrierten Benutzer
– nachfolgend „Verantwortlicher“ –
– gemeinsam die „Parteien“ –
wird folgender Auftragsverarbeitungsvertrag geschlossen:
Die Parteien sind sich einig, dass der Verantwortliche im datenschutzrechtlichen Sinne Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO ist und der Auftragsverarbeiter im Zusammenhang mit der Nutzung von „CraftFlow“ personenbezogene Daten ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO verarbeitet.
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Rechte und Pflichten der Parteien im Hinblick auf die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der SaaS-Anwendung „CraftFlow“ und bildet einen integralen Bestandteil des zwischen den Parteien bestehenden SaaS-/Nutzungsvertrages einschließlich der AGB von CraftFlow.
Soweit zwischen diesem AVV, dem Hauptvertrag (insb. AGB) und etwa einbezogenen Standardvertragsklauseln der EU für die Übermittlung personenbezogener Daten in Drittländer Widersprüche bestehen, gilt folgende Rangfolge:
jeweils beschränkt auf den Regelungsbereich der kollidierenden Bestimmung.
Der Auftragsverarbeiter erbringt für den Verantwortlichen die SaaS-Leistung „CraftFlow“, ein webbasiertes Tool für Kreativ-Gewerbetreibende zur Verwaltung von Projekten und Materialien, zur Preis- und Gewinnkalkulation sowie zur Verwaltung von Kundenaufträgen einschließlich Lieferscheinen und Einkaufslisten.
Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung der SaaS-Anwendung „CraftFlow“ durch den Verantwortlichen.
Die Dauer dieses AVV entspricht der Laufzeit des zugrunde liegenden SaaS-Vertrages gemäß den AGB von CraftFlow. Mit Beendigung des SaaS-Vertrages endet auch dieser AVV, vorbehaltlich einzelner Nachwirkungspflichten, insbesondere im Hinblick auf Löschung bzw. Rückgabe von Daten gemäß Ziffer 12.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:
Die Verarbeitung umfasst insbesondere folgende Kategorien personenbezogener Daten:
Die Verarbeitung betrifft regelmäßig folgende Kategorien betroffener Personen:
Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z.B. Gesundheitsdaten, Religionszugehörigkeit, Gewerkschaftszugehörigkeit, biometrische Daten) ist nicht vorgesehen und nicht Teil der bestimmungsgemäßen Nutzung. Gleiches gilt für Daten zu strafrechtlichen Verurteilungen und Straftaten nach Art. 10 DSGVO. Sollte der Verantwortliche gleichwohl solche Daten in die Anwendung einbringen, erfolgt dies allein in seiner Verantwortung. Der Auftragsverarbeiter ist nicht verpflichtet, diese Daten als solche zu erkennen oder gesondert zu behandeln.
Der Schutzbedarf der verarbeiteten Daten wird von den Parteien als normal bis erhöht eingestuft, da insbesondere wirtschaftliche Kennzahlen sowie Kunden- und Adressdaten des Verantwortlichen verarbeitet werden.
Die im Hauptvertrag (SaaS-Vertrag, AGB) und in diesem AVV beschriebenen Verarbeitungsvorgänge gelten als Weisung des Verantwortlichen im Sinne von Art. 28 Abs. 3 lit. a DSGVO.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses untersagt.
Weisungen werden grundsätzlich in Textform (insbesondere per E-Mail) erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Ausführung der Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
Als Weisung gelten – neben ausdrücklich in Textform erteilten Anweisungen – auch die durch den Verantwortlichen oder dessen Nutzer innerhalb der SaaS-Anwendung ausgelösten Verarbeitungsvorgänge (z.B. Anlegen, Ändern oder Löschen von Projekten, Aufträgen, Geschenken, Nutzerkonten).
Der Auftragsverarbeiter dokumentiert wesentliche Weisungen des Verantwortlichen, die nicht unmittelbar aus der Funktionalität der Anwendung hervorgehen, in geeigneter Form (z.B. Ticketsystem, E-Mail-Ablage), um die Einhaltung der Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO nachweisen zu können.
Weisungsberechtigt sind:
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und entsprechend über die datenschutzrechtlichen Vorgaben belehrt werden.
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Eine Übersicht der wesentlichen umgesetzten Maßnahmen (u.a. TLS/HTTPS, Passwort-Hashing, Rollen- und Zugriffskonzepte, Backups, Mandantentrennung) wird dem Verantwortlichen in Form einer TOM-Dokumentation zur Verfügung gestellt (Anlage 2).
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO. Auszüge aus diesem Verzeichnis werden dem Verantwortlichen auf Anfrage in angemessenem Umfang zur Verfügung gestellt, soweit dies zur Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2, Art. 24 DSGVO erforderlich ist und keine Betriebs- oder Geschäftsgeheimnisse des Auftragsverarbeiters oder Dritter entgegenstehen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm Verstöße gegen datenschutzrechtliche Vorschriften oder gegen die in diesem AVV getroffenen Regelungen bekannt werden.
Remote-Zugriffe auf personenbezogene Daten aus Staaten außerhalb der EU/des EWR durch den Auftragsverarbeiter oder von ihm unmittelbar beauftragte natürliche Personen erfolgen grundsätzlich nicht. Die Datenverarbeitung in Drittländern erfolgt ausschließlich auf Ebene der in Anlage 1 genannten Unterauftragsverarbeiter.
Der Auftragsverarbeiter verwendet die Daten nicht zu eigenen Zwecken, die über die in Ziffer 3 beschriebenen Zwecke hinausgehen, und gibt sie nur an Unterauftragsverarbeiter bzw. Dritte weiter, soweit dies in diesem AVV oder durch Weisung des Verantwortlichen vorgesehen bzw. auf gesetzlicher Grundlage erfolgt.
Der Auftragsverarbeiter stellt dem Verantwortlichen Funktionalitäten zur Verfügung, mit denen der Verantwortliche personenbezogene Daten in der Anwendung exportieren, ändern oder löschen kann (z.B. Datenexport, Backup-Download und Löschantrag im Nutzerkonto).
Zusätzlich unterstützt der Auftragsverarbeiter den Verantwortlichen – unter Berücksichtigung der Art der Verarbeitung – mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten hinsichtlich der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte nach Art. 12–22 DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit).
Anfragen betroffener Personen, die unmittelbar an den Auftragsverarbeiter gerichtet werden und eindeutig den Verantwortlichen betreffen, leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter. Eine Beantwortung erfolgt ausschließlich auf Weisung des Verantwortlichen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen – soweit dies im Rahmen der vereinbarten Leistungen möglich ist – bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere im Hinblick auf Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Benachrichtigung betroffener Personen sowie ggf. Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde.
Die zum Zeitpunkt des Vertragsschlusses implementierten technischen und organisatorischen Maßnahmen sind in Anlage 2 („TOM-Übersicht“) beschrieben und bilden Bestandteil dieses AVV.
Zu den wesentlichen Maßnahmen zählen insbesondere:
Der Auftragsverarbeiter ist berechtigt, die TOM während der Vertragslaufzeit anzupassen, sofern das Schutzniveau nicht abgesenkt wird. Wesentliche Änderungen, die sich auf das Schutzniveau auswirken, werden dem Verantwortlichen in geeigneter Form mitgeteilt.
Zur Nachweisführung der in Anlage 2 beschriebenen Maßnahmen kann der Auftragsverarbeiter auf Berichte unabhängiger Dritter (z.B. Sicherheits-/Penetrationstests, Prüfberichte von Rechenzentrumsbetreibern, Zertifikate wie ISO 27001 oder SOC-Berichte) verweisen, soweit diese die jeweils betroffenen Systeme und Prozesse in hinreichender Weise abdecken. Solche Nachweise können – soweit erforderlich – in geeigneter, vertraulicher Form (z.B. ausschnittsweise, geschwärzt) zur Verfügung gestellt werden.
Der Auftragsverarbeiter verpflichtet sich, die personenbezogenen Daten nach dem Grundsatz der Datenminimierung zu verarbeiten und nur diejenigen Datenkategorien an Unterauftragsverarbeiter weiterzugeben, die für die jeweilige Leistungserbringung erforderlich sind. Soweit möglich und mit dem Leistungsumfang vereinbar, werden Daten vor Übermittlung pseudonymisiert oder verschlüsselt (z.B. Hashing von Passwörtern, Transportverschlüsselung).
Der Auftragsverarbeiter setzt zur Erfüllung der vertraglich vereinbarten Leistungen die in der jeweils aktuellen Subunternehmerliste (Anlage 1) aufgeführten Unterauftragsverarbeiter ein. Die Liste wird bei Änderungen durch den Auftragsverarbeiter aktualisiert und dem Verantwortlichen in geeigneter Weise mitgeteilt. Der Auftragsverarbeiter hält die jeweils einschlägigen Nachweise (insb. AVVs/DPAs, ggf. EU-Standardvertragsklauseln und Nachweise zu Angemessenheitsbeschlüssen) vor und stellt sie dem Verantwortlichen auf Anfrage in geeigneter Form zur Verfügung.
Zum Zeitpunkt des Vertragsschlusses sind insbesondere folgende Unterauftragsverarbeiter vorgesehen:
Soweit der Auftragsverarbeiter Unterauftragsverarbeiter einsetzt, stellt er sicher, dass die mit diesen geschlossenen Verträge inhaltlich im Wesentlichen den Anforderungen des Art. 28 DSGVO entsprechen und – soweit eine Verarbeitung in Drittländern außerhalb der EU/des EWR stattfindet – geeignete Übermittlungsinstrumente nach Kapitel V DSGVO (z.B. EU-Standardvertragsklauseln, EU-U.S. Data Privacy Framework) einschließlich ergänzender technischer und organisatorischer Maßnahmen vorsehen.
Beabsichtigt der Auftragsverarbeiter die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, informiert er den Verantwortlichen in angemessener Frist vorab, in der Regel durch Aktualisierung und Mitteilung der Subunternehmerliste. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund der beabsichtigten Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Zustimmung als erteilt. Widerspricht der Verantwortliche und findet keine Einigung statt, steht beiden Parteien ein Sonderkündigungsrecht zu.
Dienstleistungen, die der Auftragsverarbeiter bei Dritten als reine Nebenleistungen zur Unterstützung der Auftragsdurchführung in Anspruch nimmt (z.B. Telekommunikationsdienste), gelten nicht als Unterauftragsverarbeitung im Sinne dieser Regelung. Der Auftragsverarbeiter ist gleichwohl verpflichtet, auch hier angemessene Maßnahmen zum Schutz der Daten sicherzustellen.
Die Datenverarbeitung erfolgt primär auf Servern der Unterauftragsverarbeiter in den USA (insbesondere Base44).
Weitere Datenübermittlungen in Drittländer erfolgen, soweit dies für die Nutzung der in Ziffer 8 genannten Dienstleister erforderlich ist, insbesondere zu Stripe und Resend sowie zur genutzten Hosting-/Cloud-Infrastruktur (z.B. Rechenzentrumsbetreiber).
Der Auftragsverarbeiter stellt sicher, dass für alle Datenübermittlungen in Drittländer außerhalb der EU/des EWR jeweils ein angemessenes Datenschutzniveau besteht, insbesondere durch Abschluss der jeweils geltenden EU-Standardvertragsklauseln und/oder Nutzung eines Angemessenheitsbeschlusses (z.B. EU-U.S. Data Privacy Framework), ergänzt um technische und organisatorische Maßnahmen (insb. TLS-Verschlüsselung, Passwort-Hashing, Datenminimierung).
Der Verantwortliche ist darüber informiert, dass bei Nutzung von US-Diensten ein datenschutzrechtliches Restrisiko verbleiben kann, insbesondere im Hinblick auf Zugriffe durch US-Behörden und eingeschränkte Rechtsbehelfe. Er trägt die Verantwortung dafür, dass die Nutzung der SaaS-Anwendung unter diesen Umständen in seinem Verantwortungsbereich datenschutzrechtlich zulässig ist, einschließlich etwaiger Informationspflichten gegenüber betroffenen Personen.
Ändert sich die Rechtslage oder die Einschätzung der Aufsichtsbehörden bezüglich der Angemessenheit des Datenschutzniveaus im betreffenden Drittland wesentlich, so wird der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren und – soweit erforderlich und zumutbar – angemessene zusätzliche Schutzmaßnahmen vorschlagen. Kommt innerhalb angemessener Frist keine Einigung zustande und ist eine rechtmäßige Drittlandsübermittlung nicht mehr möglich, sind beide Parteien berechtigt, den SaaS-Vertrag einschließlich dieses AVV außerordentlich zu kündigen.
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten (Datenschutzvorfälle), die im Verantwortungsbereich des Auftragsverarbeiters eintreten und personenbezogene Daten des Verantwortlichen betreffen.
Die Erstmeldung erfolgt unverzüglich nach Kenntniserlangung des Vorfalls, in der Regel innerhalb von 48 Stunden. Ergänzende Informationen, die zum Zeitpunkt der Erstmeldung noch nicht vorliegen, werden nachgereicht, sobald sie dem Auftragsverarbeiter bekannt werden.
Die Meldung enthält insbesondere, soweit möglich:
Meldungen erfolgen an die vom Verantwortlichen benannte Kontaktadresse; für Meldungen des Verantwortlichen an den Auftragsverarbeiter steht insbesondere die E-Mail-Adresse info@craft-flow.de zur Verfügung.
Der Auftragsverarbeiter dokumentiert Datenschutzverletzungen sowie die im Zusammenhang mit der Behebung getroffenen Maßnahmen im Rahmen seines internen Incident-Management-Prozesses.
Soweit der Auftragsverarbeiter als Auftragsverarbeiter tätig ist, unterstützt er den Verantwortlichen bei der Erfüllung der gesetzlichen Melde- und Informationspflichten gegenüber Aufsichtsbehörden und betroffenen Personen nach Art. 33, 34 DSGVO.
Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Verfügung stehenden Informationen und Nachweise zur Einhaltung der in diesem Vertrag niedergelegten Pflichten zur Verfügung, insbesondere seine interne TOM-Dokumentation.
Der Verantwortliche ist berechtigt, nach angemessener vorheriger Ankündigung (mindestens 14 Tage) und während der üblichen Geschäftszeiten Audits durchzuführen oder durch unabhängige Prüfer (z.B. Wirtschaftsprüfer oder Datenschutzexperten) durchführen zu lassen. Audits erfolgen grundsätzlich als Remote-Audits (Dokumentenprüfung, Videokonferenz).
Der Verantwortliche hat Audits so durchzuführen, dass Betriebsabläufe des Auftragsverarbeiters möglichst wenig beeinträchtigt werden. Häufigkeit und Umfang von Audits beschränken sich auf das erforderliche Maß. Regelmäßig genügt ein Audit pro Jahr, sofern kein konkreter Anlass besteht.
Der Auftragsverarbeiter ist berechtigt, Informationen zurückzuhalten, die vertrauliche Informationen Dritter oder Betriebs- und Geschäftsgeheimnisse betreffen, sofern dadurch die Nachweisführung nicht wesentlich beeinträchtigt wird.
Der Verantwortliche trägt die Kosten eigener Audits sowie etwaiger von ihm beauftragter Prüfer. Entstehen dem Auftragsverarbeiter durch Audits des Verantwortlichen nicht nur unerhebliche Aufwände (insbesondere Personal- oder Reisekosten), kann der Auftragsverarbeiter diese Aufwände nach vorheriger Abstimmung in angemessenem Umfang gegenüber dem Verantwortlichen abrechnen. Dies gilt nicht, wenn sich im Rahmen des Audits schwerwiegende Verstöße des Auftragsverarbeiters gegen diesen Vertrag oder gegen Datenschutzrecht ergeben.
Während der Vertragslaufzeit kann der Verantwortliche im Rahmen der bereitgestellten Funktionen eigenständig Daten exportieren, ändern oder löschen. Darüber hinaus stellt der Auftragsverarbeiter auf Anfrage einen Export der in der SaaS-Anwendung gespeicherten personenbezogenen Daten in einem gängigen, maschinenlesbaren Format (z.B. Excel, JSON oder vergleichbar) zur Verfügung. Weitergehende Migrationsleistungen können gesondert vergütet vereinbart werden.
Nach Beendigung des SaaS-Vertrages bzw. nach einem Löschantrag des Verantwortlichen löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen nach Ablauf einer Frist von 30 Tagen, spätestens jedoch innerhalb von 90 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der konkrete Löschzeitpunkt hängt von den Backup- und Löschzyklen des Systems ab (Backups typischerweise 14–30 Tage).
Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere handels- und steuerrechtliche Vorschriften, z.B. Buchungsbelege zum Abonnement), werden für die Dauer der Aufbewahrungspflichten gesperrt bzw. anonymisiert und nach deren Ablauf gelöscht.
Werden personenbezogene Daten aus Produktivsystemen gelöscht, erfolgt eine Löschung in Datensicherungen (Backups) im Rahmen der regulären Überschreibungs- bzw. Löschzyklen. Während dieser Zeit werden die Daten nicht mehr produktiv genutzt und sind ausschließlich zu Zwecken der Datensicherung zugänglich.
Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter nach Abschluss der Löschung eine Bestätigung über die erfolgte Löschung bzw. Vernichtung der Daten zur Verfügung.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Dies umfasst insbesondere die Sicherstellung einer hinreichenden Rechtsgrundlage für sämtliche Verarbeitungen, die über CraftFlow erfolgen, sowie die Erfüllung der Informationspflichten gegenüber betroffenen Personen (Art. 13, 14 DSGVO).
Der Verantwortliche informiert die betroffenen Personen in geeigneter Weise über den Einsatz der SaaS-Anwendung „CraftFlow“, die damit verbundenen Datenverarbeitungen sowie die Inanspruchnahme von Dienstleistern in Drittländern und die in diesem AVV beschriebene Rollenverteilung (Verantwortlicher/Auftragsverarbeiter).
Der Verantwortliche nutzt die SaaS-Anwendung nur im Rahmen der vertraglich vorgesehenen Zwecke und stellt insbesondere sicher, dass die bestimmungsgemäße Nutzung keine besonderen Kategorien personenbezogener Daten oder Daten zu Straftaten umfasst, sofern dies nicht unbedingt erforderlich und rechtlich zulässig ist.
Der Verantwortliche trägt die alleinige Verantwortung dafür, dass die von ihm oder seinen Nutzern in die SaaS-Anwendung eingestellten Inhalte (Daten, Fotos, Dateien, Schnittmuster etc.) keine Rechte Dritter verletzen und datenschutzrechtlich zulässig sind. Der Auftragsverarbeiter ist nicht verpflichtet, diese Inhalte auf ihre rechtliche Zulässigkeit zu prüfen, behält sich jedoch vor, bei konkreten Anhaltspunkten für rechtswidrige Inhalte einzelne Daten zu sperren oder zu löschen.
Der Auftragsverarbeiter erbringt im Rahmen dieses AVV keine Rechtsberatung. Etwaige Hinweise oder Informationen zu datenschutzrechtlichen Themen stellen keine rechtliche Beratung dar und entbinden den Verantwortlichen nicht von der Pflicht, bei Bedarf eigenständig rechtlichen Rat einzuholen.
Für Schäden, die ein Betroffener wegen einer Verarbeitung erleidet, die im Zusammenhang mit einer gegen die DSGVO verstoßenden Verarbeitung steht, haften Verantwortlicher und Auftragsverarbeiter nach Maßgabe der gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, im Außenverhältnis gesamtschuldnerisch.
Im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter gilt: Eine Haftung des Auftragsverarbeiters besteht nur insoweit, als er den Schaden zu vertreten hat, weil er Pflichten aus diesem AVV oder unmittelbar aus der DSGVO verletzt hat.
Im Übrigen richtet sich die Haftung des Auftragsverarbeiters nach der im zugrunde liegenden SaaS-Vertrag (AGB CraftFlow) vereinbarten Haftungsregelung. Eine darüber hinausgehende eigenständige Haftungsverschärfung wird mit diesem AVV nicht begründet.
Der Auftragsverarbeiter behandelt alle im Auftrag verarbeiteten personenbezogenen Daten sowie sämtliche vom Verantwortlichen erlangten Informationen vertraulich und verwendet sie ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen.
Die Vertraulichkeitspflichten bestehen auch nach Beendigung dieses AVV und des zugrunde liegenden SaaS-Vertrages fort.
Änderungen und Ergänzungen dieses AVV einschließlich etwaiger Nebenabreden bedürfen der Textform, soweit nicht eine strengere Form gesetzlich vorgesehen ist. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.
Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt. Entsprechendes gilt für etwaige Regelungslücken.
Es gilt das Recht der Bundesrepublik Deutschland, soweit nicht zwingende datenschutzrechtliche Vorgaben der EU entgegenstehen. Der Gerichtsstand richtet sich nach der Vereinbarung im Hauptvertrag (AGB CraftFlow).
Dieser AVV kann in deutscher und englischer Sprache bereitgestellt werden. Maßgeblich und rechtlich verbindlich ist ausschließlich die deutsche Fassung. Die englische Version dient lediglich der unverbindlichen Information.
Subunternehmen (Name, Sitz) | Vereinbarung zur Auftragsverarbeitung | Leistungsgegenstand | Kategorien von Daten | Drittlandbezug | Rechtsinstrumente |
Base44, Inc., 131 Continental Dr, Suite 305, Newark, DE 19702, USA | Einbeziehung der Anbieter-DPA mit Kontoeröffnung/Akzeptanz der Nutzungsbedingungen; kein gesondert unterzeichnetes Vertragsdatum | Cloud-Infrastruktur/Hosting („Base44“ als Infrastruktur-Layer für CraftFlow), Versand von System-E-Mails (z.B. Registrierung, Passwort-Reset) | Anwendungs-, Nutzer- und Logdaten der SaaS-App, hochgeladene Dateien, E-Mail-Adressen | Ja (USA) | DPA inkl. EU-Standardvertragsklauseln (2021/914) bzw. Data Privacy Framework |
Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA | Einbeziehung der Anbieter-DPA mit Kontoeröffnung/Akzeptanz der Nutzungsbedingungen; kein gesondert unterzeichnetes Vertragsdatum | Versand transaktionaler E-Mails (z.B. Systembenachrichtigungen, Lösch- und Exportbestätigungen) | E-Mail-Adressen, Versand-Metadaten, E-Mail-Inhalte/-Templates | Ja (USA) | DPA mit EU-Standardvertragsklauseln; ggf. EU-U.S. Data Privacy Framework |
Stripe Payments Europe, Limited (ggf. zusätzlich Stripe Technology Europe, Limited), One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (ggf. weitere Stripe-Einheiten) | Einbeziehung der Anbieter-DPA mit Kontoeröffnung/Akzeptanz der Nutzungsbedingungen; kein gesondert unterzeichnetes Vertragsdatum | Zahlungsabwicklung (Payment-Processing, Abonnements, Tokenisierung, Abrechnung, Rechnungen) | Vertrags-/Abrechnungsdaten, Zahlungsinformationen (Token, Karten-/Kontodaten), technische Zahlungsdaten (IP, Browserdaten) | Teilweise (weltweite Stripe-Infrastruktur inkl. USA) | DPA und Datenübermittlungsvereinbarung mit EU-Standardvertragsklauseln (Module 2/3); ggf. EU-U.S. Data Privacy Framework |
STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin | Einbeziehung der AVV mit Akzeptanz der AGB | E-Mail-Hosting/Kommunikation (Support, Vertragskommunikation über info@craft-flow.de), Domainverwaltung | E-Mail-Adressen, Kommunikationsinhalte, Metadaten | Nein (Rechenzentren in Deutschland) | AVV nach Art. 28 DSGVO |
Zum Vertrag zur Auftragsverarbeitung zwischen dem Verantwortlichen und Christina Junkmann (Auftragsverarbeiter). Ziffer 7 des Vertrags verweist zur Konkretisierung der Maßnahmen auf diese Anlage.
Nr. | Maßnahme |
1 | Pseudonymisierung und Verschlüsselung: durchgehende Transportverschlüsselung mittels TLS/HTTPS für alle Verbindungen zur CraftFlow-Web-App; Passwörter ausschließlich in gehashter Form; technische Diagnosedaten soweit möglich minimiert und ggf. pseudonymisiert. |
2 | Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit: Rollen- und Rechtekonzept (Admin/Standardnutzer), Zugriff nach dem Need-to-know-Prinzip; logische Mandantentrennung durch zeilenbasierte Zugriffsregeln je Nutzer; regelmäßige Sicherheitsupdates; Basis-Sicherheitsmechanismen der Cloud-Provider (z.B. DDoS-Grundschutz). |
3 | Wiederherstellbarkeit: regelmäßige Backups mit definierten Vorhalte- und Überschreibungszyklen (z.B. tägliche Sicherungen, Aufbewahrung 14–30 Tage); Wiederherstellungsprozesse für Notfälle; zusätzlich Backup-Download für Nutzer als JSON-Datei. |
4 | Regelmäßige Überprüfung der TOM: periodische Reviews der Sicherheitsmaßnahmen (u.a. Sicherheitsscans der Anwendung); anlassbezogene Überprüfung nach Vorfällen und Aktualisierung der TOM. |
5 | Identifizierung und Autorisierung: individuelle Benutzerkonten mit E-Mail-Bestätigung; Passwort-Policy mit Mindestanforderungen; Session-Management; administrativer Zugriff nur für den Auftragsverarbeiter; Sperrfunktion für Konten. |
6 | Schutz bei der Übermittlung: TLS/HTTPS mit aktuellen Protokollen; gesicherte Admin-Zugänge zu den Infrastruktur-Komponenten; Prüfung der Signatur eingehender Zahlungsbenachrichtigungen (Stripe-Webhooks). |
7 | Schutz bei der Speicherung: keine Passwörter im Klartext; API-Schlüssel ausschließlich als verschlüsselte Geheimnisse der Plattform, nicht im Code; Beschränkung und Protokollierung administrativer Zugriffe. |
8 | Physische Sicherheit: Nutzung professioneller Rechenzentren/Cloud-Infrastruktur mit Zutrittskontrolle, Videoüberwachung und Umgebungs-Monitoring; keine produktiven Daten auf lokalen Geräten des Auftragsverarbeiters. |
9 | Protokollierung: Protokollierung von Server- und Anwendungsereignissen (z.B. Zugriffe, Fehlermeldungen); Verlaufsprotokoll administrativer Aktionen je Nutzerkonto (z.B. Export, Sperrung, Löschung). |
10 | Systemkonfiguration: definierte Standardkonfiguration der Plattform; kontrollierte Veröffentlichung neuer Versionen nach Test. |
11 | Interne Governance: dokumentierte Zuständigkeit (Einzelunternehmen, Christina Junkmann); Prozesse für Änderungen, Vorfälle und Updates; täglicher automatischer Statusbericht zum Betrieb. |
12 | Zertifizierung/Qualitätssicherung: derzeit keine formale Sicherheitszertifizierung (z.B. ISO 27001) des Auftragsverarbeiters; Qualitätssicherung über Test- und Freigabeschritte; Remote-Audits durch Kunden möglich. |
13 | Datenminimierung: Erhebung nur der für die Nutzung von CraftFlow erforderlichen Daten („Privacy by Default“); minimierte Übermittlung an Unterauftragsverarbeiter; kein Tracking und keine Analyse-Pixel. |
14 | Datenqualität: Plausibilitätsprüfungen bei Eingaben (z.B. Zahlenformate); Änderungs- und Berichtigungsfunktionen in der App; fachliche Richtigkeit liegt beim Nutzer. |
15 | Begrenzte Speicherdauer: Lösch-/Anonymisierungsfristen für Logdaten (z.B. 7–30 Tage); Löschantrag im Nutzerkonto mit 30-Tage-Frist; tägliche automatische Löschroutine (03:00 Uhr, Europe/Berlin) für fällige Konten; Anonymisierung statt Löschung bei aufbewahrungspflichtigen Buchungsbelegen; Löschung in Backups durch turnusmäßiges Überschreiben. |
16 | Rechenschaftspflicht: Dokumentation der Verarbeitungstätigkeiten und TOM; Register für Datenschutz- und Sicherheitsvorfälle; Auskünfte und Nachweise auf Anfrage. |
17 | Datenübertragbarkeit und Löschung: Export der Daten durch den Nutzer (Excel, PDF, JSON-Backup); Kontolösch- und Datenlöschroutinen mit anschließender Löschung in Backups. |
18 | Unterstützung des Verantwortlichen: Unterstützung bei Betroffenenrechten (Auskunft, Berichtigung, Löschung) auf Anfrage; strukturierte Meldung von Datenschutzvorfällen (Erstmeldung, Nachmeldung, Ursachen und Maßnahmen). |
§ 1 Sicherheitsmaßnahmen. Der Auftragsverarbeiter trifft alle geeigneten technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten und die Rechte der betroffenen Personen zu schützen.
§ 2 Innerbetriebliche Organisation. Der Auftragsverarbeiter gestaltet seine Organisation so, dass den besonderen Anforderungen des Datenschutzes Rechnung getragen wird; hierzu gehören insbesondere klare Verantwortlichkeiten und dokumentierte Prozesse (u.a. Incident-, Change- und Berechtigungs-Management).
§ 3 Überprüfung und Nachweise. Es ist ein Verfahren etabliert, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen ermöglicht (z.B. jährliche Review-Zyklen, anlassbezogene Überprüfung nach Vorfällen). Soweit vorhanden, werden geeignete Nachweise auf Anfrage im Rahmen der vereinbarten Audit- und Informationsrechte zur Verfügung gestellt; Remote-Audits sind grundsätzlich möglich.