Rechtliches

Auftragsverarbeitungsvertrag

Dies ist ein Entwurf, noch nicht von einem Juristen geprüft

Dieser Text beschreibt so genau wie möglich, was Nermio tatsächlich mit Daten tut, damit ein Jurist etwas hat, worauf er aufbauen kann. Er ist nicht rechtsverbindlich und nicht dazu gedacht, sich darauf zu berufen. Wo eine Entscheidung getroffen werden muss, steht ein markierter Platzhalter mit der Frage darin statt einer erfundenen Klausel.

Entwurf vom 4. November 2026. Solange dieser Status gilt, steht die Seite in der Fußzeile, aber nicht in der Sitemap, und bittet Suchmaschinen, sie auszulassen. Brauchen Sie jetzt einen Auftragsverarbeitungsvertrag, fragen Sie uns danach unter info@nermio.com.

Verbindlich ist der niederländische Text

Nermio ist ein niederländisches Unternehmen, der Vertrag unterliegt niederländischem Recht, und die niederländische Fassung ist der Text, den ein Jurist prüft. Diese deutsche Fassung ist eine Übersetzung zur Erleichterung. Wo die beiden voneinander abweichen, gilt der niederländische Text.

Niederländische Fassung lesen

Wenn Sie die Angaben Ihrer Kontakte in Nermio eingeben, verarbeiten wir in Ihrem Auftrag personenbezogene Daten. Unten steht, was wir damit tun und was nicht, wie sie abgegrenzt sind, und was noch vereinbart werden muss.

Parteien und Rollen

Dieser Auftragsverarbeitungsvertrag (AVV) gehört zu den Allgemeinen Geschäftsbedingungen. Sie entscheiden, welche Angaben Sie über Ihre Kontakte festhalten und warum; Sie sind damit der Verantwortliche. Nermio verarbeitet diese Angaben nur, damit die Software funktioniert, und ist damit der Auftragsverarbeiter.

Für Ihre eigenen Kontodaten ist die Aufteilung anders: dort entscheidet Nermio, was passiert. Dieser Teil steht in der Datenschutzerklärung, nicht hier.

Noch von einem Juristen zu klären

Welche juristische Person ist der Auftragsverarbeiter (Name, Rechtsform, KVK-Nummer, Adresse), und wie bekommt und akzeptiert ein Kunde diesen Vertrag?

Zwei Lücken, die zusammengehören. Die juristische Person ist nirgends festgelegt — dieselbe Lücke wie in der Datenschutzerklärung, in Artikel 1 der Geschäftsbedingungen und im Impressum. Und es gibt kein Verfahren: die Startseite sagt, ein Auftragsverarbeitungsvertrag gehöre zum Konto, aber niemand bekommt einen, stimmt bei der Anmeldung einem zu oder unterschreibt einen. Solange das so ist, wird das Versprechen nicht gehalten — und das Vorhandensein dieser Seite hält es auch nicht.

Artikel 1. Gegenstand und Weisungen

Nermio verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und zu den Zwecken in Anlage 1. Die Verarbeitung erfolgt auf Weisung des Kunden; die Nutzung des Dienstes, die Einstellungen, die der Kunde wählt, und dieser Vertrag bilden zusammen diese Weisungen. Nermio verarbeitet Kundendaten nicht für eigene Zwecke.

Konkret: wir verkaufen sie nicht, geben sie nicht für Werbung an Dritte weiter und benutzen sie nicht zum Trainieren von Modellen. Hält Nermio eine Weisung für rechtswidrig, sagt es das, bevor es sie ausführt.

Artikel 2. Vertraulichkeit

Jeder, der im Auftrag von Nermio an Kundendaten kommt, ist zur Vertraulichkeit verpflichtet, und der Zugang bleibt auf das beschränkt, was die Arbeit verlangt. Nermio ist derzeit klein: in der Praxis heißt das die Person, die das Produkt baut. Das ist ehrlicher gesagt als eine allgemeine Formulierung über „befugtes Personal“.

Noch von einem Juristen zu klären

Wie halten wir die Vertraulichkeit für künftige Mitarbeiter und für zugekaufte Hilfe schriftlich fest?

Noch von einem Juristen zu klären

AUSSERHALB DES NIEDERLÄNDISCHEN RECHTS — erfasst das österreichische Datengeheimnis (§ 6 DSG) auch uns als Auftragsverarbeiter, und wie halten wir die dort verlangte Verpflichtung unserer Mitarbeiter fest?

§ 6 Abs. 1 DSG verpflichtet den Verantwortlichen, den Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung (Datengeheimnis). Abs. 2 verlangt mehr als eine Zusage: beide haben ihre Mitarbeiter vertraglich zu verpflichten, Daten nur aufgrund von Anordnungen zu übermitteln und das Datengeheimnis „auch nach Beendigung des Arbeitsverhältnisses“ einzuhalten, und Abs. 3 verlangt, sie über die Folgen einer Verletzung zu belehren. Das deutsche Recht kennt für private Verantwortliche keine entsprechende allgemeine Pflicht mehr, dieser Punkt kommt also nur für Österreich dazu. Zu klären: (1) gilt das österreichische Ergänzungsrecht überhaupt für einen in den Niederlanden niedergelassenen Auftragsverarbeiter, oder nur für Ihre eigene Organisation; (2) wenn ja, welche Form die Verpflichtung und die Belehrung haben müssen, sobald Nermio mehr als eine Person ist. Heute ist Nermio eine Person, und genau deshalb ist das eine Frage für morgen und keine Formulierung für heute.

Artikel 3. Sicherheit

Nermio trifft angemessene technische und organisatorische Maßnahmen, beschrieben in Anlage 2. Diese Maßnahmen dürfen geändert werden, solange das Schutzniveau dadurch nicht sinkt.

Noch von einem Juristen zu klären

Sind die Daten auch im Ruhezustand verschlüsselt, und nach welchem Standard?

Den Verkehr über eine verschlüsselte Verbindung können wir bestätigen, und die KI-Schlüssel verschlüsseln wir selbst (AES-GCM, mit einem Geheimnis außerhalb der Datenbank). Die Verschlüsselung des Datenbankspeichers gehört dem Datenbankanbieter; das muss mit ihm geklärt werden, bevor es in Anlage 2 als Versprechen steht.

Noch von einem Juristen zu klären

Wer kann sich in die Produktionsumgebung des Datenbank- und des Hostinganbieters einloggen, und mit welchem Schutz?

Innerhalb der Software ist der zweite Faktor verpflichtend, und das ist überprüfbar. Wer in das Supabase- oder Vercel-Dashboard kommt, steht nicht in diesem Programmcode — das ist eine Einstellung bei diesen Anbietern und gehört hierher als festgehaltene Tatsache, nicht als Annahme.

Artikel 4. Unterauftragsverarbeiter

Der Kunde stimmt den in Anlage 3 genannten Unterauftragsverarbeitern zu. Will Nermio einen hinzufügen oder ersetzen, kündigt es das mindestens dreißig Tage vorher an. Der Kunde darf widersprechen; können sich die Parteien nicht einigen, darf der Kunde das Abonnement mit Wirkung zum Tag des Inkrafttretens kündigen. Nermio verpflichtet einen Unterauftragsverarbeiter zu denselben Pflichten, die in diesem Vertrag stehen.

Artikel 5. Übermittlung außerhalb des EWR

Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf einer gültigen Grundlage: einem Angemessenheitsbeschluss, oder Standardvertragsklauseln mit den nötigen zusätzlichen Maßnahmen.

Noch von einem Juristen zu klären

Welcher Übermittlungsweg gilt für jeden Unterauftragsverarbeiter in Anlage 3, und verlassen Kundendaten bei einem von ihnen den EWR?

Drei der vier Anbieter sind US-Unternehmen mit europäischen Regionen. Für jeden muss festgestellt werden, wo die Daten liegen, ob ihr Support daran kommt und auf welcher Grundlage. Ohne diese Antwort kann dieser Vertrag nicht angeboten werden; dieselbe Frage steht in der Datenschutzerklärung.

Artikel 6. Die KI-Anbieter des Kunden

Verbindet der Kunde einen eigenen API-Schlüssel eines KI-Anbieters, ist dieser Anbieter kein Unterauftragsverarbeiter von Nermio. Der Kunde hat eine eigene Vereinbarung mit ihm und zahlt die Nutzung direkt. Nermio sendet Daten an diesen Anbieter nur, wenn ein Benutzer in der Software darum bittet, sendet eine feste Auswahl von Feldern aus der Akte, und behält die Antwort nicht.

Artikel 7. Unterstützung bei Betroffenenanfragen

Bittet einer Ihrer Kontakte um Auskunft, Berichtigung oder Löschung, bearbeiten Sie das; es sind Ihre Daten in Ihrer Umgebung, und Sie können sie dort selbst ansehen, ändern, exportieren und löschen. Kommen Sie mit den angebotenen Bildschirmen nicht hin, hilft Nermio. Erreicht eine Anfrage uns versehentlich, leiten wir sie an Sie weiter und beantworten sie nicht selbst.

Artikel 8. Verletzungen des Schutzes personenbezogener Daten

Erfährt Nermio, dass Daten aus Ihrer Umgebung eingesehen wurden oder nach außen gelangt sind, sagt es Ihnen das unverzüglich, mit dem, was zu diesem Zeitpunkt bekannt ist: was passiert ist, welche Kategorien von Daten und ungefähr wie viele Personen betroffen sind, die voraussichtlichen Folgen, und die getroffenen Maßnahmen.

Die Meldung an Ihre Aufsichtsbehörde oder an die betroffenen Personen ist Ihre Entscheidung, denn Sie sind der Verantwortliche; wir liefern die Informationen, die Sie dafür brauchen. In Österreich ist das — anders als in Deutschland, wo es eine Behörde je Bundesland gibt — eine einzige nationale Stelle: die Datenschutzbehörde (DSB), die § 18 Abs. 1 DSG als nationale Aufsichtsbehörde nach Art. 51 DSGVO einrichtet. Zwei Dinge gehören dabei zusammen und sind nur zusammen richtig: federführende Aufsichtsbehörde für Nermio bleibt nach Art. 56 DSGVO die niederländische Autoriteit Persoonsgegevens, weil Nermio in den Niederlanden niedergelassen ist — und eine betroffene Person darf sich nach Art. 77 DSGVO immer auch bei der Aufsichtsbehörde ihres eigenen Mitgliedstaats beschweren, in Österreich also bei der Datenschutzbehörde (§ 24 Abs. 1 DSG, der das Beschwerderecht ausdrücklich auch auf eine Verletzung des Grundrechts aus § 1 DSG erstreckt).

Noch von einem Juristen zu klären

Innerhalb welcher Frist melden wir eine Verletzung, und was muss diese Meldung mindestens enthalten?

Der mitgelieferte Entwurfssatz schlägt achtundvierzig Stunden nach Entdeckung vor. Das ist üblich, und es ist der Kunde, der gegenüber seiner Behörde an eine Frist von 72 Stunden gebunden ist (Art. 33 DSGVO), er braucht also Spielraum. Ob wir achtundvierzig Stunden mit einem Ein-Personen-Betrieb halten können, ist eine realistische Abwägung und keine Formalität — und eine Frist, die man verpasst, ist schlimmer als eine weitere, die man hält.

Noch von einem Juristen zu klären

AUSSERHALB DES NIEDERLÄNDISCHEN RECHTS — muss eine Meldung an die österreichische Datenschutzbehörde über einen vorgeschriebenen Kanal laufen, und in welcher Form liefern wir Ihnen die Fakten dafür?

In Belgien ist das Portal der Aufsichtsbehörde vorgeschrieben und eine Meldung per E-Mail wird dort nicht behandelt; in Spanien verlangt der Zugang zum Formular ein anerkanntes elektronisches Zertifikat. Für Österreich steht beides nicht fest. Das DSG regelt eine eigene Meldepflicht gegenüber der Datenschutzbehörde nur in § 55, und der steht im 3. Hauptstück, das für die Strafverfolgung gilt und nicht für ein CRM; für die Privatwirtschaft wirkt Art. 33 DSGVO unmittelbar, und eine Vorschrift über Kanal, Formular oder Nachweis steht dort nicht. Daraus folgt nicht, dass der Weg frei ist — es ist nur nicht nachgewiesen, dass er vorgeschrieben ist, und das ist nicht dasselbe. Zu klären, bevor es jemand im Ernstfall klären muss: (1) welcher Kanal tatsächlich verlangt wird; (2) ob dafür eine Registrierung oder eine elektronische Identität nötig ist, die man vorher einrichten muss; (3) in welcher Form und innerhalb welcher Zeit wir Ihnen die Angaben aus Art. 33 Abs. 3 DSGVO so liefern, dass Sie sie dort nur noch einsetzen müssen.

Artikel 9. Unterstützung bei weiteren Pflichten

Nermio unterstützt den Kunden, soweit angemessen und erforderlich, bei einer Datenschutz-Folgenabschätzung (DSFA) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, indem es Informationen über die Verarbeitung und die Maßnahmen liefert.

Artikel 10. Überprüfungen

Auf Anfrage gibt Nermio dem Kunden die Informationen, die er braucht, um zu beurteilen, ob dieser Vertrag eingehalten wird. Will der Kunde mehr, darf er eine Überprüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen, mit vier Wochen Ankündigung, höchstens einmal im Jahr — sofern kein besonderer Anlass besteht — und auf eigene Kosten.

Es gibt keinen ISO-27001- und keinen SOC-2-Bericht und keinen Bericht über einen externen Penetrationstest; was es gibt, steht auf der Seite über Sicherheit und in Anlage 2.

Artikel 11. Laufzeit und Ende

Dieser Vertrag läuft, solange Nermio personenbezogene Daten für den Kunden verarbeitet. Endet das Abonnement, sollte es einen klaren Zeitpunkt geben, zu dem die Kundendaten gelöscht werden, und davor die Möglichkeit, eine Kopie zu erhalten. Daten, die Nermio gesetzlich aufbewahren muss — Rechnungen und Zahlungen — bleiben, unabhängig von diesem Vertrag.

Wie es heute funktioniert: die automatische Aufräumung berührt Kundendaten nicht, nach Beendigung verschwindet also nichts von selbst. Löschen ist hier eine Handlung, die einen angegebenen Grund verlangt, die nur ein Super-Admin ausführen kann, und die im Sicherheitsprotokoll stehen bleibt. Der Export funktioniert dagegen noch dreißig Tage, nachdem die Organisation stillgelegt wurde — erzwungen in der Datenbank und nicht im Bildschirm; eine gesperrte Organisation hat dieses Fenster nicht und bekommt eine Kopie auf Anfrage.

Noch von einem Juristen zu klären

Wie lange bleiben die Daten stehen, nachdem das Abrufzeitfenster von dreißig Tagen abgelaufen ist, in welcher Form wird eine Kopie geliefert, und wann ist sie auch aus den Sicherungskopien verschwunden?

Das Abrufzeitfenster von dreißig Tagen ist gebaut und in der Datenbank erzwungen (Migration 0034 und 0053), diese Hälfte der alten Frage ist also beantwortet. Was bleibt, ist eine echte Lücke und keine Formulierungsfrage: nach diesem Fenster gibt es keine Aufbewahrungsfrist, denn die Aufräumung berührt Kundendaten nicht, sie bleiben also stehen, bis jemand sie von Hand löscht. Dazu kommt die Frage nach den Sicherungskopien: dieser Rhythmus gehört dem Datenbankanbieter und bestimmt, wann etwas wirklich weg ist. Vereinbarung und Technik müssen hier zusammen geregelt werden; dieselbe Frage steht in der Datenschutzerklärung und in Artikel 8 der Geschäftsbedingungen. Für Österreich kommt eine zweite Frist dazu: die unternehmens- und abgabenrechtlichen Aufbewahrungspflichten aus § 212 Abs. 1 UGB und § 132 Abs. 1 BAO betreffen die Rechnungen, nicht die Kundendaten — aber sie bestimmen, was von den Daten des Kunden NICHT gelöscht werden darf. Beide nennen eine einzige flache Frist von sieben Jahren, nicht die gestaffelten zehn, acht und sechs Jahre des deutschen § 147 AO; eine Aufbewahrungsregel, die aus einem deutschen Vertrag übernommen wird, ist hier also zu lang oder zu kurz, aber nicht richtig.

Noch von einem Juristen zu klären

AUSSERHALB DES NIEDERLÄNDISCHEN RECHTS — müssen Daten, die wir nicht sofort löschen können, bis zum Löschzeitpunkt in der Verarbeitung eingeschränkt werden, und gibt es diesen Zustand in der Software?

§ 4 Abs. 2 DSG: kann eine Berichtigung oder Löschung nicht unverzüglich erfolgen, weil sie „aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden kann“, so ist die Verarbeitung bis zu diesem Zeitpunkt mit der Wirkung des Art. 18 Abs. 2 DSGVO einzuschränken. Das ist nicht dasselbe wie eine dauerhafte Sperrung: im österreichischen Recht ist die Einschränkung die Brücke bis zum Löschen und nicht sein Ersatz — das DSG kennt keine Bestimmung, nach der an die Stelle der Löschung eine Einschränkung tritt. Für dieses Produkt heißt das etwas Konkretes: Löschen ist bei uns eine einzelne Handlung mit angegebenem Grund, die nur ein Super-Admin ausführen kann, und einen Zustand „eingeschränkt“ gibt es nicht. Zu klären: (1) ob der Weg von Ihrem Auftrag bis zur Ausführung überhaupt so lang ist, dass § 4 Abs. 2 DSG greift; (2) wenn ja, ob dieser Zustand gebaut werden muss, oder ob ein gesperrter Zugang (tenant_is_usable) die Wirkung von Art. 18 Abs. 2 DSGVO schon erreicht; (3) wer das beurteilt. Heute ist die ehrliche Antwort, dass es diesen Zustand nicht gibt.

Artikel 12. Haftung

Für die Haftung aus diesem Vertrag gilt Artikel 11 der Allgemeinen Geschäftsbedingungen. Dieser Artikel steht dort noch als Vorschlag mit einer offenen Frage; solange das so ist, gilt hier dieselbe Unsicherheit. Für einen österreichischen Kunden wird eine solche Beschränkung nicht am deutschen BGB gemessen, sondern am ABGB: § 879 Abs. 3 ABGB erklärt eine Bestimmung in Allgemeinen Geschäftsbedingungen, die nicht eine der beiderseitigen Hauptleistungen festlegt, für nichtig, wenn sie einen Teil gröblich benachteiligt, und § 864a ABGB lässt Bestimmungen ungewöhnlichen Inhaltes gar nicht Vertragsbestandteil werden, wenn der andere Teil mit ihnen nicht zu rechnen brauchte. Diese beiden Prüfungen gelten auch zwischen Unternehmern. Was daraus für unsere Obergrenze folgt, steht hier nicht: das ist Auslegung, und eine falsche Zahl in einem Vertrag ist schlimmer als keine.

Artikel 13. Berufliche Verschwiegenheitspflichten (§ 80 WTBG 2017, § 9 RAO)

Dieser Artikel steht nur in der deutschsprachigen Fassung, und für Österreich sieht er anders aus als für Deutschland. Er betrifft eine der fünf Zielgruppen dieser Website: Steuerberater, Wirtschaftsprüfer, Rechtsanwälte und andere Berufe mit einer gesetzlichen Verschwiegenheitspflicht.

Der Unterschied zu Deutschland ist nicht nur ein anderes Gesetz, sondern eine andere Art von Sanktion. In Deutschland ist die Weitergabe eines fremden Geheimnisses eine Straftat, und der IT-Dienstleister wird dort ausdrücklich mit erfasst. In Österreich greift das Strafrecht hier viel schmaler: § 121 Abs. 1 StGB trifft nur ein Geheimnis, das „den Gesundheitszustand einer Person betrifft“ und das jemandem in einem gesetzlich geregelten Gesundheitsberuf oder in der Verwaltung einer Krankenanstalt oder einer Versicherung zugänglich geworden ist. Für Gesundheitsberufe bleibt es also Strafrecht — und § 121 Abs. 4 StGB stellt ihre Hilfskräfte ihnen gleich. Ein Steuerberater oder ein Rechtsanwalt fällt dagegen nicht darunter.

Für Wirtschaftstreuhandberufe steht die Pflicht in § 80 WTBG 2017, und § 80 Abs. 5 erstreckt die Absätze 1 bis 4 „sinngemäß“ auf die Erfüllungsgehilfen des Berufsberechtigten. Geahndet wird eine Verletzung nicht vom Strafgericht, sondern von der Verwaltungsbehörde: § 124 Abs. 1 Z 3 WTBG 2017 macht die Verletzung der Verschwiegenheitspflicht nach § 80 Abs. 1 oder Abs. 5 zu einer Verwaltungsübertretung mit einer Geldstrafe bis zu 20 000 Euro, Strafbehörde ist die Bezirksverwaltungsbehörde.

Ob ein externes CRM ein solcher Erfüllungsgehilfe ist, steht nicht fest, und dieser Vertrag behauptet es nicht. § 83 WTBG 2017 trägt dieselbe Überschrift und nennt in Abs. 1 die Angestellten des Berufsberechtigten; § 80 Abs. 5 sagt nur „Erfüllungsgehilfen“, ohne sie auf Angestellte einzuschränken. Welche der beiden Lesarten einen Softwareanbieter erfasst, beantwortet ein Jurist und nicht diese Seite.

Für Rechtsanwälte ist es umgekehrt gebaut: dort liegt die Pflicht ausdrücklich beim Berufsträger. Nach § 9 Abs. 2 RAO hat der Rechtsanwalt die von ihm herangezogenen Hilfskräfte zur Verschwiegenheit zu verpflichten und „für die verlässliche Einhaltung dieser Verpflichtung hinreichend vorzukehren“. Nicht der Dienstleister wird vom Strafrecht erfasst — der Rechtsanwalt muss ihn binden, und das auch sicherstellen können.

Zwei österreichische Regeln kommen hinzu, und sie sprechen für eine Verarbeitung bei einem Auftragsverarbeiter statt gegen sie. § 6 DSG verpflichtet den Verantwortlichen, den Auftragsverarbeiter und ihre Mitarbeiter zum Datengeheimnis, und zwar auch über das Ende des Arbeitsverhältnisses hinaus. Und das Recht auf Verschwiegenheit darf nicht dadurch umgangen werden, dass man sich an den Dienstleister wendet: § 6 Abs. 5 DSG verbietet, ein Aussageverweigerungsrecht des Verantwortlichen über den für ihn tätigen Auftragsverarbeiter zu umgehen, „insbesondere nicht durch die Sicherstellung oder Beschlagnahme von automationsunterstützt verarbeiteten Dokumenten“; § 9 Abs. 3 RAO sagt für den Rechtsanwalt dasselbe und nennt auch die Vernehmung seiner Hilfskräfte.

Daraus folgt dasselbe wie in Deutschland, nur auf anderer Grundlage: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO genügt dafür nicht. Wer einer beruflichen Verschwiegenheitspflicht unterliegt, braucht zusätzlich eine Verschwiegenheitsverpflichtung, die auf seine eigene Berufsnorm Bezug nimmt. Nermio kann die übernehmen — der Zugang ist ohnehin auf eine Support-Sitzung mit Grund und Zeitlimit beschränkt (Anlage 2) —, aber sie muss schriftlich vorliegen, und heute gibt es sie nicht.

Noch von einem Juristen zu klären

AUSSERHALB DES NIEDERLÄNDISCHEN RECHTS — brauchen wir für österreichische Berufsberechtigte eine eigene Verschwiegenheitsverpflichtung nach § 80 WTBG 2017 und § 9 Abs. 2 RAO, und wer unterschreibt sie?

Dies ist der Platzhalter mit den konkretesten Folgen, und die österreichische Fassung hat eine Frage mehr als die deutsche. Zu klären: (1) ist Nermio ein Erfüllungsgehilfe im Sinne von § 80 Abs. 5 WTBG 2017 — die Bestimmung beschränkt den Begriff nicht, § 83 Abs. 1 nennt dagegen die Angestellten, und davon hängt ab, ob die Verwaltungsstrafe aus § 124 Abs. 1 Z 3 uns selbst oder nur den Berufsberechtigten trifft; (2) was ein Rechtsanwalt braucht, um das „hinreichende Vorkehren“ aus § 9 Abs. 2 RAO belegen zu können — eine Verpflichtung allein ist dem Wortlaut nach nicht genug; (3) genügt eine Ergänzung zu diesem Vertrag, oder braucht es ein eigenes Dokument; (4) muss die Verpflichtung die Unterauftragsverarbeiter aus Anlage 3 erfassen, und wie bekommt man Supabase und Vercel dazu; (5) reicht ein Häkchen bei der Anmeldung, oder verlangt es eine Unterschrift. Bis das beantwortet ist, gehört auf /fuer-wen/steuerberater ein Satz darüber — diese Seite gilt auch für Österreich — oder sie macht ein Versprechen, das der Vertrag nicht hält.

Anlage 1. Die Verarbeitung

Thema	Was vereinbart ist
Zweck	Die Bereitstellung eines CRM: Beziehungen verwalten, eine Vertriebspipeline, Aufgaben und Nachfassen, und die Unterstützung des Kunden dabei.
Art der Verarbeitung	Speichern, ordnen, anzeigen, ändern, exportieren und löschen. Auf Wunsch eines Benutzers: die Weitergabe einer Auswahl von Feldern an den KI-Anbieter des Kunden (Artikel 6), und die Annahme einer Mail, die der Benutzer an die eigene BCC-Adresse seiner Organisation geschickt hat.
Betroffene Personen	Kontakte bei den Geschäftspartnern des Kunden, und die Benutzer, die der Kunde selbst einlädt.
Daten über Geschäftspartner	Firmenname, Ort, Land, Branche, Größe, Website, Registernummer, Kundennummer und Zahlungsfrist; pro Kontakt ein Name, eine Funktion, eine E-Mail-Adresse und eine Telefonnummer; Deals mit einem Titel, einem Wert und einer Phase; Aufgaben mit einem Datum; Aktivitäten wie ein Anruf oder eine Mail; Notizen als Freitext; und — wenn der Kunde die BCC-Adresse seiner Organisation benutzt — der Betreff einer solchen Nachricht, ihre ersten zwei Sätze, die beteiligten E-Mail-Adressen und der Zeitpunkt.
Daten über Benutzer	Name, E-Mail-Adresse, Rolle und Status, dazu eine Aufzeichnung ihrer Handlungen im Protokoll, mit IP-Adresse und Browserangaben. Schickt jemand eine Nachricht an die BCC-Adresse des Kunden von einer Adresse, die nicht dazugehört, wird nur diese Adresse aufbewahrt, mit einem Zeitstempel (90 Tage), damit der Kunde sehen kann, warum die Nachricht nicht angekommen ist.
Besondere Kategorien von Daten	Es gibt kein Feld für besondere Kategorien (Art. 9 DSGVO) oder für Daten über Straftaten, und der Dienst ist dafür nicht gedacht. Die Notizfelder sind Freitext, technisch kann der Kunde also alles hineintippen; er sollte es nicht, und es fällt unter seine eigene Verantwortung aus Artikel 8 der Geschäftsbedingungen.
Dauer	Solange das Abonnement läuft. Was danach gilt, ist die offene Frage bei Artikel 11.

Anlage 2. Sicherheitsmaßnahmen

Das ist der Teil, der heute gebaut ist und den Sie überprüfen können. Die ausführlichere Beschreibung steht auf der Seite über Sicherheit.

Trennung pro Organisation in der Datenbank selbst. Nicht in den Bildschirmen, sondern in Postgres mit Row Level Security auf jeder Tabelle: die Datenbank entscheidet bei jeder Abfrage, welche Zeilen ein angemeldetes Konto sehen darf. Ein Fehler in der Anwendung kann deshalb keine Daten einer anderen Organisation zum Vorschein bringen, und es gibt eine Testreihe, die diese Isolierung nachweist.
Rollen und Rechte pro Benutzer, von vollem Zugriff bis Nur Lesen, ebenfalls in der Datenbank durchgesetzt.
Ein Protokoll, das nur wächst. Eine Zeile zu ändern oder zu löschen ist unmöglich gemacht, auch für unsere höchste Admin-Rolle, mit genau einer benannten Ausnahme für die automatische Aufräumung.
Support-Zugriff mit Grund und Zeitlimit. Fünfzehn, dreißig oder sechzig Minuten und nie länger, immer mit einem angegebenen Grund, standardmäßig nur lesend, nie mit der Möglichkeit zu löschen, und hinterher nachlesbar durch den Inhaber der Organisation.
Zwei-Faktor-Authentisierung für alle. Nicht nur für unser Admin-Portal, sondern für jeden Benutzer des CRM, ohne Ausnahme. Darüber hinaus meldet die Software Sie nach acht Stunden ohne Aktivität ab.
Verschlüsselte Verbindungen mit HSTS, und eine Content Security Policy mit einer Nonce pro Anfrage.
Passwörter, die wir nicht lesen können — sie liegen gehasht beim Anmeldedienst — mit einer Vorgabe von mindestens zwölf Zeichen und einer Prüfung gegen bekannte geleakte Passwörter. API-Schlüssel von KI-Anbietern werden verschlüsselt gespeichert (AES-GCM), mit dem Geheimnis außerhalb der Datenbank.
Eine Bremse auf Anmeldeversuche, die sich schließt, wenn sie selbst ausfällt, ein Sicherheitsprotokoll mit einer Warnung bei wiederholten Fehlversuchen, und die Möglichkeit, eine IP-Adresse zu sperren.

Noch von einem Juristen zu klären

Wie oft macht der Datenbankanbieter Sicherungskopien, wie lange werden sie aufbewahrt, und kann der Kunde sich darauf verlassen?

Ohne diese Zahl ist Anlage 2 unvollständig und Artikel 11 nicht zu beantworten. Der Rhythmus gehört dem Datenbankanbieter; wir legen ihn nicht fest.

Noch von einem Juristen zu klären

Halten wir diese Anlage aktuell, wenn sich die Technik ändert, und wie verhindern wir, dass sie veraltet?

Eine Anlage mit Maßnahmen ist vertraglich verbindlich. Ändert sich etwas in der Software, muss diese Liste folgen — sonst versprechen wir am Ende etwas, das nicht mehr so funktioniert, oder schweigen über etwas, das besser geworden ist.

Anlage 3. Unterauftragsverarbeiter

Nermio läuft nicht auf eigenen Servern. Diese Anbieter verarbeiten Kundendaten, weil der Dienst ohne sie nicht funktioniert.

Anbieter	Leistung	Was mit Kundendaten passiert
Supabase	Datenbank und Anmeldung	Die Postgres-Datenbank, in der alle Kundendaten stehen, und das Anmelden der Benutzer.
Vercel	Hosting	Das Ausführen der Anwendung; Kundendaten laufen bei jeder Anfrage hindurch und werden dort nicht gesondert gespeichert.
Resend	Transaktionsmails	Einladungen und Passwort-Zurücksetzungen: die E-Mail-Adresse und der Name eines Benutzers. Keine Daten über die Geschäftspartner des Kunden.
Cloudflare	Missbrauchsprüfung bei Formularen	Die IP-Adresse und Browsermerkmale dessen, der ein Formular abschickt. Keine Inhalte aus dem CRM.

Noch von einem Juristen zu klären

Pro Anbieter: welche juristische Person, welches Sitzland, in welcher Region liegen die Daten, und welcher Übermittlungsweg gilt?

Die Datenbankregion ist bekannt: Supabase liegt auf eu-central-1 (Frankfurt), bestätigt durch den Inhaber, der das Projekt dort angelegt hat. Für einen österreichischen Kunden ist das nicht das Inland, aber es ist die EU und damit keine Übermittlung außerhalb des EWR — und das gilt nur für die Datenbank. Offen sind noch die juristische Person pro Anbieter, wo die Vercel-Umgebung läuft und welcher Übermittlungsweg gilt. Das ist die Anlage, auf die ein geschäftlicher Kunde zuerst sieht, hier gehören also keine Annahmen hinein. Kommt ein Zahlungsdienstleister dazu, gehört er auch hierher. Und für einen Berufsberechtigten (Artikel 13) kommt die Frage dazu, ob diese Anbieter sich zur Geheimhaltung nach § 80 WTBG 2017 beziehungsweise § 9 Abs. 2 RAO verpflichten lassen.

Verhältnis zu den Geschäftsbedingungen

Widersprechen dieser Vertrag und die Allgemeinen Geschäftsbedingungen sich in einem Punkt, der personenbezogene Daten betrifft, gilt dieser Vertrag. Wie die Zustimmung festgehalten wird, ist die offene Frage oben auf dieser Seite.