Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: [Datum der Veröffentlichung]

Zwischen Ihnen, dem Kunden, der Capture nach unseren AGB nutzt („Sie“, Verantwortlicher), und der sourcenet.io UG (haftungsbeschränkt), Paul-Klee-Str. 14, 40822 Mettmann („wir“, Auftragsverarbeiter).

Dieser Vertrag ist Teil der AGB und gilt mit ihnen, ohne gesonderte Unterschrift. Möchten Sie ihn unterschrieben für Ihre Unterlagen, schreiben Sie uns an hallo@sourcenet.io.

1. Gegenstand

1. Wir verarbeiten personenbezogene Daten in Ihrem Auftrag, soweit Sie und die Personen, die Sie einladen, sie in Capture eingeben oder hochladen. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die betroffenen Personen stehen in Anlage 1.
2. Die Laufzeit dieses Vertrags folgt dem Nutzungsvertrag nach unseren AGB. Er gilt darüber hinaus, solange wir Daten in Ihrem Auftrag aufbewahren, insbesondere in einem archivierten Workspace.
3. Nutzen Sie Capture selbst im Auftrag eines Dritten, etwa als Berater für Ihren Kunden, sind wir Ihr Unterauftragsverarbeiter. Dieser Vertrag gilt dann entsprechend; Sie sorgen dafür, dass Ihr Auftrag mit dem Dritten das zulässt.

2. Weisungen

1. Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung, auch bei einer Übermittlung in ein Drittland, es sei denn, das Recht der EU oder Deutschlands verpflichtet uns zu etwas anderem. In diesem Fall teilen wir Ihnen das vorher mit, soweit das Gesetz es nicht verbietet.
2. Ihre Weisungen sind dieser Vertrag, die AGB und das, was Sie in Capture tun: Daten anlegen, ändern, teilen, exportieren, archivieren und löschen lassen. Weitere Weisungen geben der Inhaber oder ein Administrator des Workspaces in Textform.
3. Halten wir eine Weisung für rechtswidrig, sagen wir Ihnen das unverzüglich. Wir dürfen sie aussetzen, bis Sie sie bestätigt oder geändert haben.

3. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie greifen nur auf Daten zu, wenn es für die Leistung nötig ist, etwa bei einer Supportanfrage oder einer Störung.

4. Sicherheit der Verarbeitung

1. Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir und teilen sie Ihnen auf Anfrage mit.

5. Unterauftragsverarbeiter

1. Sie sind mit den Unterauftragsverarbeitern in Anlage 3 einverstanden.
2. Einen neuen Unterauftragsverarbeiter, oder den Wechsel eines bisherigen, kündigen wir mindestens 30 Tage vorher per E-Mail an den Inhaber des Workspaces an. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, können Sie den Nutzungsvertrag vor dem Wechsel außerordentlich kündigen; für bezahlte Zeit danach erstatten wir den Preis anteilig.
3. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie uns in diesem Vertrag. Für ihn haften wir wie für uns selbst.

6. Übermittlung in Drittländer

Die Daten in Ihrem Workspace speichern wir in der EU, in Frankfurt am Main. Eine Verarbeitung außerhalb der EU oder des EWR findet nur statt, wo Anlage 3 es nennt, und nur mit den Garantien der Art. 44 ff. DSGVO, etwa einem Angemessenheitsbeschluss wie dem EU-US Data Privacy Framework oder den Standardvertragsklauseln der EU-Kommission.

7. Unterstützung

1. Betroffenenrechte: Wendet sich eine betroffene Person an uns, leiten wir die Anfrage unverzüglich an Sie weiter und antworten ihr nicht selbst, außer auf Ihre Weisung. Mit den Funktionen von Capture und, wo diese nicht reichen, mit unserer Hilfe können Sie Auskunft geben, Daten berichtigen, exportieren und löschen.
2. Ihre weiteren Pflichten: Wir unterstützen Sie bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO), soweit es um unseren Teil der Verarbeitung geht.
3. Unterstützung in üblichem Umfang ist im Preis enthalten. Für außergewöhnlichen Aufwand, den nicht wir verursacht haben, können wir nach Absprache eine angemessene Vergütung verlangen.

8. Datenschutzverletzungen

1. Wird uns eine Verletzung des Schutzes der Daten in Ihrem Workspace bekannt, melden wir sie Ihnen unverzüglich, spätestens innerhalb von 48 Stunden, per E-Mail an den Inhaber und die Administratoren des Workspaces.
2. Die Meldung enthält, soweit bekannt: was geschehen ist, welche Arten von Daten und wie viele Personen und Datensätze ungefähr betroffen sind, die wahrscheinlichen Folgen und was wir dagegen tun oder vorschlagen. Was wir noch nicht wissen, liefern wir nach, sobald wir es wissen.
3. So können Sie Ihre eigene Meldefrist gegenüber der Aufsichtsbehörde von 72 Stunden einhalten (Art. 33 DSGVO).

9. Löschung und Rückgabe

1. Was mit Ihren Daten nach dem Ende eines Abonnements geschieht, regeln unsere AGB (§ 8): Der Workspace wird archiviert und bleibt lesbar, bis der Inhaber die Löschung verlangt. Hat sich fünf Jahre lang niemand angemeldet, fragen wir den Inhaber einmal; antwortet er nicht innerhalb von drei Monaten, löschen wir.
2. Rückgabe: Auf Verlangen stellen wir Ihnen die Daten jederzeit in einem gängigen, maschinenlesbaren Format bereit, Dateianhänge im ursprünglichen Format, kostenlos.
3. Löschung: Verlangt der Inhaber die Löschung, löschen wir die Daten innerhalb von 30 Tagen und bestätigen sie in Textform. Kopien in unseren Datensicherungen werden mit deren Ablauf überschrieben, spätestens nach 14 Wochen. Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen, löschen wir mit Ablauf der Pflicht.

10. Nachweise und Kontrollen

1. Wir stellen Ihnen alle Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieses Vertrags nachzuweisen. Dazu gehören diese Anlagen, auf Anfrage weitere Unterlagen sowie die Zertifikate und Prüfberichte unserer Unterauftragsverarbeiter, etwa die von Google Cloud (unter anderem ISO/IEC 27001, SOC 2).
2. Reichen diese Nachweise nicht, können Sie oder ein zur Verschwiegenheit verpflichteter Prüfer, der nicht unser Wettbewerber ist, eine Kontrolle bei uns durchführen: nach Ankündigung mit angemessener Frist, in der Regel vier Wochen, während unserer Geschäftszeiten und höchstens einmal im Jahr, außer bei einem konkreten Anlass. Die Kosten der Kontrolle tragen Sie.
3. Die Rechenzentren unserer Unterauftragsverarbeiter kontrollieren wir über deren Zertifikate und Prüfberichte, nicht vor Ort.

11. Haftung und Schlussbestimmungen

1. Für die Haftung gelten unsere AGB (§ 13) und Art. 82 DSGVO.
2. Widersprechen sich dieser Vertrag und die AGB in Fragen des Datenschutzes, geht dieser Vertrag vor.
3. Im Übrigen gelten die Schlussbestimmungen der AGB (§ 16).

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung

Gegenstand und Zweck: die Bereitstellung von Capture, einer Webanwendung zum Erfassen, Planen und Belegen von Einsparungen im Einkauf, nach den AGB.

Art der Verarbeitung: Speichern, Anzeigen, Ändern, Ordnen, Durchsuchen, Exportieren, Sichern und Löschen; das Versenden von E-Mails, die Capture auslöst (Einladungen, Passwort-Zurücksetzen, Benachrichtigungen); Support, auch über den Chat in Capture.

Arten von Daten:

• Nutzer: Name, E-Mail-Adresse, Profilbild, Rolle im Workspace, wer sie eingeladen hat und wann, letzte Anmeldung, Anmeldedaten (Passwort nur als Hash, Zeitpunkte und IP-Adressen der Anmeldung);
• Arbeitsinhalte: Initiativen, Einsparungen, Aufgaben, Kommentare und das Änderungsprotokoll, mit den verantwortlichen und zuständigen Personen; Freitexte können weitere Angaben zu Personen enthalten;
• Lieferanten: Angaben zum Unternehmen; später Ansprechpartner mit Name und Kontaktdaten;
• Dateianhänge: Angebote, Verträge und andere Dokumente, die Sie hochladen; sie können beliebige personenbezogene Daten enthalten;
• Einladungen: E-Mail-Adresse der eingeladenen Person, wer eingeladen hat, Ablaufzeitpunkt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Laden Sie solche Daten hoch, etwa in einem Dokument, sorgen Sie für die nötige Rechtsgrundlage.

Betroffene Personen: Ihre Mitarbeitenden und die weiteren Personen, die Sie in einen Workspace einladen (etwa Kunden, Berater, Prüfer); Ansprechpartner bei Lieferanten; Personen, die in Inhalten oder Dokumenten genannt sind.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 28. Oktober 2026. Die Maßnahmen beschreiben unser System, wie es ist; wir entwickeln sie weiter (Ziffer 4.2).

Vertraulichkeit

• Rechenzentren: Die Daten liegen bei Google Cloud in Frankfurt am Main. Zutritt, Gebäude- und Hardwaresicherheit verantwortet Google, belegt durch Zertifikate wie ISO/IEC 27001 und SOC 2. Wir selbst betreiben keine Server.
• Trennung der Kunden: Jeder Workspace ist von allen anderen getrennt. Die Trennung setzen Sicherheitsregeln auf dem Server durch, nicht die Anwendung im Browser: Wer nicht Mitglied eines Workspaces ist, erhält keine seiner Daten, auch nicht mit einer selbst gebauten Anfrage.
• Rollen und Rechte: vier Rollen je Workspace (Administrator, Einkauf, Finance, Gast) mit abgestuften Rechten; nur Administratoren ändern Rollen, Kategorien und Einstellungen. Initiativen, Einsparungen und Aufgaben lassen sich in der Anwendung nicht endgültig löschen; Dateianhänge löschen nur Administratoren und, für ihre eigenen Uploads, Einkäufer.
• Anmeldung: über Google Identity Platform; Passwörter nur als Hash gespeichert. Einladungs- und Rücksetz-Links sind zufällig (256 Bit), nur als Hash gespeichert, einmal verwendbar und befristet.
• Dateien: Anhänge finden und öffnen nur Mitglieder des Workspaces, über einen nicht erratbaren Link. Hochgeladene Dateien können nicht überschrieben werden.
• Verschlüsselung: bei der Übertragung (TLS) und bei der Speicherung (Standard von Google Cloud).
• Administrative Zugänge: Alle Konten mit Zugriff auf Systeme oder Daten sind mit zweistufiger Anmeldung geschützt. Zugang hat nur, wer ihn für seine Aufgabe braucht.
• Support: Änderungen an Konten und Workspaces (Mitglieder, Inhaber, Export, Löschung) nehmen wir nie allein auf eine Chatnachricht hin vor; der Nutzer erledigt sie in der Anwendung, oder wir bestätigen sie per E-Mail an die Adresse, die im Konto hinterlegt ist.

Integrität

• Änderungsprotokoll: Jede Änderung an Initiativen, Einsparungen und Aufgaben wird mit Person und Zeitpunkt protokolliert. Einträge können nur hinzugefügt, nicht geändert oder gelöscht werden, und nur im eigenen Namen; den Zeitpunkt prüft der Server.
• Geprüfte Regeln: Jede Änderung an den Sicherheitsregeln wird vor der Veröffentlichung automatisch gegen eine Testreihe geprüft und erst dann von Hand veröffentlicht.
• Warnungen: Änderungen an Sicherheitsregeln, Berechtigungen, Schlüsseln und der Anmeldung lösen sofort eine Warnung per E-Mail und Chat aus.

Verfügbarkeit und Belastbarkeit

• Datensicherung: tägliche Sicherungen, 14 Wochen aufbewahrt; zusätzlich eine Wiederherstellung auf jeden Zeitpunkt der letzten sieben Tage; ein schriftliches Verfahren für die Wiederherstellung.
• Löschschutz: Die Datenbank ist gegen versehentliches Löschen geschützt.
• Infrastruktur: Die Datenbank läuft regional, über mehrere Zonen in Frankfurt verteilt.

Verfahren zur regelmäßigen Überprüfung

• Vorfälle: Wir bewerten jeden Hinweis auf eine Datenschutzverletzung sofort und melden Ihnen Verletzungen innerhalb von 48 Stunden (Ziffer 8).
• Überprüfung: Wir prüfen diese Maßnahmen mindestens einmal im Jahr und nach jeder wesentlichen Änderung am System.
• Datenschutz durch Technikgestaltung: Neue Funktionen erheben nur, was sie brauchen; Voreinstellungen sind die datensparsamen.

Anlage 3: Unterauftragsverarbeiter