Zurück zur Startseite

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · für das Abo „Werkgesellen“ · Fassung vom 28. Oktober 2026

Entwurf, noch nicht anwaltlich geprüft und ohne Gewähr. Er gilt erst mit dem Start des Abos.

zwischen

[Name und Anschrift des Kunden], nachfolgend „Auftraggeber“,

und

Tim Uhlmann (uhl-tools), Fasanenweg 13, 22851 Norderstedt, nachfolgend „Auftragnehmer“.

1. Gegenstand und Dauer

1.1 Der Auftragnehmer betreibt die Anwendung „Werkgesellen“ (app.werkgesellen.de). Der Auftraggeber nutzt sie, um Beiträge und Texte für seinen Betrieb erstellen, freigeben und veröffentlichen zu lassen (Social Media, Artikel, Pressemitteilungen, Website, Kalender, Postfach, je nach gebuchtem Paket).

1.2 Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Rechte und Pflichten dabei.

1.3 Der Vertrag beginnt mit Abschluss des Abos oder des kostenlosen Tests und endet mit dem Ende der Datenaufbewahrung nach Ziffer 10.

2. Art, Zweck, Daten und Betroffene

2.1 Art und Zweck: Speichern, Ordnen, Auswerten und Weitergeben von Betriebsdaten an KI-Modelle zum Erzeugen von Entwürfen; Veröffentlichen freigegebener Beiträge auf den vom Auftraggeber verbundenen Konten.

2.2 Arten von Daten und Kreis der Betroffenen stehen in Anlage 1.

2.3 Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO. Er ist dafür zuständig, dass er die Daten, die er hochlädt oder verbindet (Fotos mit erkennbaren Personen, Kalender, Postfach, Kundendaten), verarbeiten darf, und holt dafür nötige Einwilligungen ein. Die Werkbank fragt beim Hochladen von Fotos und Videos danach.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Weisung ist die Nutzung der Anwendung (Einstellungen, Freigaben, Wünsche, Pause, Löschen, Archiv) und dieser Vertrag.

3.2 Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail genügt). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

4. Pflichten des Auftragnehmers

4.1 Vertraulichkeit. Wer beim Auftragnehmer Zugang zu den Daten hat, ist auf Vertraulichkeit verpflichtet.

4.2 Sicherheit. Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie weiter. Eine Änderung darf das Schutzniveau nicht senken.

4.3 Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Übertragbarkeit), bei der Datenschutz-Folgenabschätzung und bei Meldungen an Behörden, soweit das mit den Daten in der Anwendung möglich ist. Die Datenkopie liefert die Funktion Archiv (Konto → Archiv herunterladen).

4.4 Datenpannen. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den ihm bekannten Angaben (Art, betroffene Daten, mögliche Folgen, ergriffene Maßnahmen).

4.5 Datenschutzbeauftragter. Eine Pflicht zur Benennung besteht beim Auftragnehmer derzeit nicht.

4.6 Verzeichnis. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten für Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).

5. Zugriff des Auftragnehmers auf Inhalte

5.1 Tarif „autark“. Im autarken Tarif richtet der Auftraggeber alles selbst ein (Profil, Konten, Material, Kalender). Der Auftragnehmer sieht in der Anwendung keine Inhalte des Auftraggebers: keine Beiträge, Entwürfe, Fotos, Wünsche, Kalendertermine, Postfach oder Profil. Die Anwendung sperrt den Zugriff des Betreibers technisch. Sichtbar sind ihm nur: Betriebsname, Lizenzstand und Laufzeit, Kosten und Anzahl der Läufe, Anzahl der Zugänge, Störungsanzeigen (zum Beispiel „Verbindung abgelaufen“) und die Kontaktdaten des Zugangs.

5.2 Tarif „betreut“. Im betreuten Tarif arbeitet der Auftragnehmer in der Anwendung mit (Einrichtung, Prüfung vor der Freigabe, Pflege). Er sieht dafür die Inhalte des Betriebs. Er nutzt sie nur für den vereinbarten Zweck.

5.3 Ausnahmen im autarken Tarif. Der Auftragnehmer greift nur dann auf Inhalte zu, wenn (a) der Auftraggeber es in Textform verlangt oder ihm zustimmt (zum Beispiel zur Fehlersuche), (b) es zur Abwehr einer akuten Gefahr für die Sicherheit des Systems unvermeidbar ist, oder (c) eine gesetzliche Pflicht besteht. Zugriffe nach (a) und (b) dokumentiert er und teilt sie dem Auftraggeber mit.

5.4 Transparenz zur Technik. Die Sperre nach 5.1 gilt in der Anwendung. Als Betreiber des Servers hat der Auftragnehmer technisch weiterhin Zugriff auf die Dateien auf dem Server. Er verpflichtet sich, diesen nur nach 5.3 zu nutzen.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.

6.2 Der Auftragnehmer informiert über jede beabsichtigte Änderung (neue oder ersetzte Unterauftragsverarbeiter) mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem Grund widersprechen; ohne Einigung können beide den Vertrag zum Änderungstermin kündigen, das Abo endet dann zu diesem Zeitpunkt.

6.3 Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die denen dieses Vertrags entsprechen, und haftet für ihn wie für sich selbst.

7. Übermittlung in Drittländer

7.1 Ein Teil der Verarbeitung findet in den USA statt (KI-Modell, Ziffer 3 der Anlage 3). Grundlage sind die Standardvertragsklauseln der EU-Kommission und/oder eine Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework.

7.2 An die KI gehen nur die Angaben, die für den jeweiligen Auftrag nötig sind (zum Beispiel Beschreibung des Betriebs, Themen, Termine, Texte), keine Bilddateien. Die Anwendung verlangt für Fotos mit Personen die Bestätigung des Auftraggebers, dass er die Rechte hat.

8. Rechte der Betroffenen

Meldet sich ein Betroffener direkt beim Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

9. Kontrollrechte

9.1 Der Auftraggeber darf sich von der Einhaltung dieses Vertrags überzeugen, durch Auskunft, Nachweise (zum Beispiel diese Anlagen, Zertifikate der Unterauftragsverarbeiter) und nach Anmeldung (mindestens 14 Tage) auch durch eine Prüfung vor Ort oder per Videokonferenz, höchstens einmal im Jahr, es sei denn, ein konkreter Anlass besteht.

9.2 Der Auftragnehmer darf für Prüfungen, die über Auskunft und Nachweise hinausgehen, den nachgewiesenen Aufwand berechnen.

10. Rückgabe und Löschung

10.1 Archiv. Der Auftraggeber kann jederzeit unter „Konto → Archiv herunterladen“ eine vollständige Kopie seiner Daten als ZIP-Datei erhalten (Profil, Fotos, Videos, Musik, Material, Beiträge, Wünsche, Kalender-Links). Er kann sie später wieder einspielen.

10.2 Aufbewahrung nach Vertragsende. Endet das Abo, arbeitet das System ab dem Ende der Kulanzfrist nicht mehr für den Auftraggeber. Die Daten bleiben 60 Tage nach diesem Tag erhalten, damit der Auftraggeber sie sichern oder durch ein neues Abo weiter nutzen kann. Der Auftragnehmer erinnert per E-Mail am ersten Tag, 14 Tage und 3 Tage vor der Löschung. Kostenloser Test: Endet ein Test ohne Abo, arbeitet das System ab dem Testende nicht mehr für den Auftraggeber (ohne Kulanzfrist); die Daten bleiben 14 Tage nach diesem Tag erhalten. Zugangsdaten (Postfach, WhatsApp, Zugang zur Website-Pflege) löscht der Auftragnehmer sofort mit dem Testende. Er erinnert per E-Mail am Testende und 3 Tage vor der Löschung.

10.3 Löschung. Nach Ablauf der Frist nach 10.2 löscht der Auftragnehmer alle Daten des Auftraggebers in der Anwendung (Betriebsordner, Zugänge, Konten-Verbindungen, hochgeladenes Material). Zurück bleibt ein Vermerk ohne Namen und Inhalte (Kurzname, Tarif, Löschdatum). Vorher prüft die Anwendung die Lizenz ein weiteres Mal bei der Verwaltung; schlägt das fehl, wird nicht gelöscht.

10.4 Sicherungskopien. Die Anwendung wird täglich gesichert (14 Stände auf dem Server, eine gestaffelte Kopie auf einem Rechner des Auftragnehmers, höchstens vier Wochen). Daten gelöschter Betriebe verschwinden daraus durch das turnusmäßige Überschreiben, spätestens 35 Tage nach der Löschung in der Anwendung.

10.5 Frühere Löschung. Der Auftraggeber kann jederzeit die Löschung seiner Daten verlangen (Textform). Der Auftragnehmer löscht dann ohne die Frist nach 10.2.

10.6 Gesetzliche Aufbewahrungspflichten des Auftragnehmers (zum Beispiel Rechnungen) bleiben unberührt; sie betreffen nicht die Inhalte des Auftraggebers.

11. Haftung

Für Schäden aus der Verarbeitung haften die Parteien nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen.

12. Schlussbestimmungen

12.1 Änderungen und Ergänzungen bedürfen der Textform.

12.2 Bei Widersprüchen gehen die Regeln dieses Vertrags zum Datenschutz den AGB vor.

12.3 Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, [Ort].

12.4 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Ort, Datum, Unterschrift Auftraggeber · Ort, Datum, Unterschrift Auftragnehmer

(Beim Abschluss über die Website genügt eine Zustimmung per Häkchen mit Speicherung von Zeitpunkt und Fassung. Das Häkchen gehört in den Bestellvorgang vor die Zahlung.)

Anlage 1: Daten und Betroffene

Arten von Daten

• Stammdaten des Auftraggebers und seiner Zugänge: Name, Betrieb, E-Mail-Adresse, Zeitpunkt der Anmeldung
• Betriebsprofil: Beschreibung, Zielgruppe, Tonfall, Themen, Farben, Logo
• Inhalte: Fotos, Videos, Musik, Texte, Notizen, Angebote, Termine, Wünsche, Beiträge und Entwürfe
• Kalenderdaten: Termine, Orte, Beschreibungen aus den verbundenen Kalendern
• Verbindungsdaten zu Social-Media-Konten (Zugriffstoken, Name der Seite), nur zum Veröffentlichen und Lesen von Kennzahlen
• Kennzahlen der Beiträge (Reichweite, Interaktionen) von Instagram und Facebook
• Nutzungsdaten: Anzahl und Kosten der KI-Läufe, Zeitpunkte, Fehlermeldungen
• Je nach Paket: Inhalte des Postfachs (Mails und Absender), Verteiler und Kontakte für Presse und Akquise
• Gespräch per WhatsApp: Telefonnummern und WhatsApp-Profilnamen der eingetragenen Personen, Nachrichten und Sprachnachrichten mit Zeitpunkt, Zustellstatus, Vorschau-Links (Verlauf 90 Tage, Sprachnachrichten werden nach dem Abschreiben sofort gelöscht)

Kreis der Betroffenen

• Mitarbeiter, Inhaber und Ansprechpartner des Auftraggebers
• Gäste, Kunden, Mitglieder oder Teilnehmer, die auf Fotos, in Texten oder Terminen vorkommen
• Absender und Empfänger von E-Mails, Pressekontakte und angesprochene Betriebe (nur bei den genannten Modulen)
• Personen, die Beiträge kommentieren (nur soweit Kennzahlen oder Kommentare gelesen werden)

Besondere Kategorien (Art. 9 DSGVO): Sie sind nicht vorgesehen. Der Auftraggeber lädt sie nicht hoch.

Anlage 2: Technische und organisatorische Maßnahmen

Stand 16.10.2026; die Aussagen sind im Code und auf dem Server bestätigt, offene Punkte sind mit markiert.

Zutrittskontrolle (Rechenzentrum): Der Server wird von der netcup GmbH (Karlsruhe) bereitgestellt; das Rechenzentrum betreibt die Anexia Internetdienstleistungs GmbH in Wien. Es gelten deren Maßnahmen (Zutrittskontrolle, Brandschutz, Stromversorgung). Mit netcup besteht ein Vertrag zur Auftragsverarbeitung.

Zugangskontrolle

• Anmeldung mit Passwort (mindestens 10 Zeichen, gespeichert nur als scrypt-Hash mit Salz), optional Zwei-Faktor mit Authenticator-App (TOTP) und Wiederherstellungscodes
• Bremse gegen Erraten (Sperre nach Fehlversuchen je Anmeldename und Adresse), Sitzungen mit HttpOnly-, SameSite- und Secure-Cookie, begrenzte Dauer, Beenden aller Sitzungen bei Passwortwechsel
• Zugänge von Kunden sind auf genau einen Betrieb beschränkt
• Administrativer Zugang zum Server nur per SSH-Schlüssel; die Anmeldung per Passwort ist ausgeschaltet

Zugriffskontrolle

• Rollen: Betreiber und Kunde. Kunden sehen nur ihren Betrieb.
• Autarker Tarif: der Betreiber hat keinen Zugriff auf Inhalte in der Anwendung (technisch gesperrt, siehe Ziffer 5)
• Schreibende Aktionen der KI laufen nur über eine Aktionsschicht und sind freigabepflichtig; veröffentlicht wird nur, was der Kunde freigegeben hat (im autarken Tarif: der Kunde selbst)

Trennung: Jeder Betrieb hat einen eigenen Datenordner, eine eigene Lizenz und eigene Konten-Verbindungen. Daten werden nie betriebsübergreifend an die KI gegeben.

Weitergabekontrolle: Verschlüsselte Übertragung (TLS) zwischen Browser und Server und zu allen Diensten. Zugriffstoken (Social Media) liegen nur in Dateien mit eingeschränkten Rechten (nur der Dienstbenutzer) und werden in der Oberfläche nie angezeigt. Kalender-Links werden nur gekürzt angezeigt. Anfragen von Kunden an externe Adressen (Kalender, Website einlesen) werden auf interne Adressen geprüft.

Eingabekontrolle: Veröffentlichungen, Freigaben und Aktionen der Mitarbeiter-KI werden protokolliert.

Verfügbarkeit und Belastbarkeit: Neustart nach Ausfällen durch den Dienstmanager des Servers. Tägliche Sicherung der Anwendungsdaten (nur für root lesbar, mit Prüfsumme, 14 Stände), dazu eine gestaffelte Kopie außerhalb des Servers (täglich 14 Tage, wöchentlich 4 Wochen), die der Auftragnehmer vom Server abholt; der Server kennt kein Sicherungsziel. Eine Rücksicherung wurde am 16.10.2026 geprüft.

Löschung und Rückgabe: Archiv-Download jederzeit; automatische Löschung 60 Tage nach Ende des Abos, nach einem kostenlosen Test 14 Tage nach Testende, jeweils mit Erinnerungen (Ziffer 10).

Datensparsamkeit: Cookies nur für die Anmeldung. Keine Werbe- oder Analyse-Cookies in der App. Rechnungsdaten liegen in der Buchhaltung des Auftragnehmers, nicht in der Anwendung.

Überprüfung: Automatische Prüfungen der Anwendung bei jeder Änderung (Anmeldung, Rollen, Mandantentrennung, Löschung). Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.

Anlage 3: Unterauftragsverarbeiter

Nicht aufgeführt, weil eigene Verantwortung: Stripe Payments Europe Ltd. (Zahlungsabwicklung des Abos) verarbeitet Zahlungsdaten in eigener Verantwortung.