Rechtliches

Auftragsverarbeitungsvertrag

Dies ist ein Entwurf, noch nicht von einem Juristen geprüft

Dieser Text beschreibt so genau wie möglich, was Nermio tatsächlich mit Daten tut, damit ein Jurist etwas hat, worauf er aufbauen kann. Er ist nicht rechtsverbindlich und nicht dazu gedacht, sich darauf zu berufen. Wo eine Entscheidung getroffen werden muss, steht ein markierter Platzhalter mit der Frage darin statt einer erfundenen Klausel.

Entwurf vom 4. November 2026. Solange dieser Status gilt, steht die Seite in der Fußzeile, aber nicht in der Sitemap, und bittet Suchmaschinen, sie auszulassen. Brauchen Sie jetzt einen Auftragsverarbeitungsvertrag, fragen Sie uns danach unter info@nermio.com.

Verbindlich ist der niederländische Text

Nermio ist ein niederländisches Unternehmen, der Vertrag unterliegt niederländischem Recht, und die niederländische Fassung ist der Text, den ein Jurist prüft. Diese deutsche Fassung ist eine Übersetzung zur Erleichterung. Wo die beiden voneinander abweichen, gilt der niederländische Text.

Niederländische Fassung lesen

Wenn Sie die Angaben Ihrer Kontakte in Nermio eingeben, verarbeiten wir in Ihrem Auftrag personenbezogene Daten. Unten steht, was wir damit tun und was nicht, wie sie abgegrenzt sind, und was noch vereinbart werden muss.

Parteien und Rollen

Dieser Auftragsverarbeitungsvertrag (AVV) gehört zu den Allgemeinen Geschäftsbedingungen. Sie entscheiden, welche Angaben Sie über Ihre Kontakte festhalten und warum; Sie sind damit der Verantwortliche. Nermio verarbeitet diese Angaben nur, damit die Software funktioniert, und ist damit der Auftragsverarbeiter.

Für Ihre eigenen Kontodaten ist die Aufteilung anders: dort entscheidet Nermio, was passiert. Dieser Teil steht in der Datenschutzerklärung, nicht hier.

Noch von einem Juristen zu klären

Welche juristische Person ist der Auftragsverarbeiter (Name, Rechtsform, KVK-Nummer, Adresse), und wie bekommt und akzeptiert ein Kunde diesen Vertrag?

Zwei Lücken, die zusammengehören. Die juristische Person ist nirgends festgelegt — dieselbe Lücke wie in der Datenschutzerklärung, in Artikel 1 der Geschäftsbedingungen und im Impressum. Und es gibt kein Verfahren: die Startseite sagt, ein Auftragsverarbeitungsvertrag gehöre zum Konto, aber niemand bekommt einen, stimmt bei der Anmeldung einem zu oder unterschreibt einen. Solange das so ist, wird das Versprechen nicht gehalten — und das Vorhandensein dieser Seite hält es auch nicht.

Artikel 1. Gegenstand und Weisungen

Nermio verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und zu den Zwecken in Anlage 1. Die Verarbeitung erfolgt auf Weisung des Kunden; die Nutzung des Dienstes, die Einstellungen, die der Kunde wählt, und dieser Vertrag bilden zusammen diese Weisungen. Nermio verarbeitet Kundendaten nicht für eigene Zwecke.

Konkret: wir verkaufen sie nicht, geben sie nicht für Werbung an Dritte weiter und benutzen sie nicht zum Trainieren von Modellen. Hält Nermio eine Weisung für rechtswidrig, sagt es das, bevor es sie ausführt.

Artikel 2. Vertraulichkeit

Jeder, der im Auftrag von Nermio an Kundendaten kommt, ist zur Vertraulichkeit verpflichtet, und der Zugang bleibt auf das beschränkt, was die Arbeit verlangt. Nermio ist derzeit klein: in der Praxis heißt das die Person, die das Produkt baut. Das ist ehrlicher gesagt als eine allgemeine Formulierung über „befugtes Personal“.

Noch von einem Juristen zu klären

Wie halten wir die Vertraulichkeit für künftige Mitarbeiter und für zugekaufte Hilfe schriftlich fest?

Artikel 3. Sicherheit

Nermio trifft angemessene technische und organisatorische Maßnahmen, beschrieben in Anlage 2. Diese Maßnahmen dürfen geändert werden, solange das Schutzniveau dadurch nicht sinkt.

Noch von einem Juristen zu klären

Sind die Daten auch im Ruhezustand verschlüsselt, und nach welchem Standard?

Den Verkehr über eine verschlüsselte Verbindung können wir bestätigen, und die KI-Schlüssel verschlüsseln wir selbst (AES-GCM, mit einem Geheimnis außerhalb der Datenbank). Die Verschlüsselung des Datenbankspeichers gehört dem Datenbankanbieter; das muss mit ihm geklärt werden, bevor es in Anlage 2 als Versprechen steht.

Noch von einem Juristen zu klären

Wer kann sich in die Produktionsumgebung des Datenbank- und des Hostinganbieters einloggen, und mit welchem Schutz?

Innerhalb der Software ist der zweite Faktor verpflichtend, und das ist überprüfbar. Wer in das Supabase- oder Vercel-Dashboard kommt, steht nicht in diesem Programmcode — das ist eine Einstellung bei diesen Anbietern und gehört hierher als festgehaltene Tatsache, nicht als Annahme.

Artikel 4. Unterauftragsverarbeiter

Der Kunde stimmt den in Anlage 3 genannten Unterauftragsverarbeitern zu. Will Nermio einen hinzufügen oder ersetzen, kündigt es das mindestens dreißig Tage vorher an. Der Kunde darf widersprechen; können sich die Parteien nicht einigen, darf der Kunde das Abonnement mit Wirkung zum Tag des Inkrafttretens kündigen. Nermio verpflichtet einen Unterauftragsverarbeiter zu denselben Pflichten, die in diesem Vertrag stehen.

Artikel 5. Übermittlung außerhalb des EWR

Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf einer gültigen Grundlage: einem Angemessenheitsbeschluss, oder Standardvertragsklauseln mit den nötigen zusätzlichen Maßnahmen.

Noch von einem Juristen zu klären

Welcher Übermittlungsweg gilt für jeden Unterauftragsverarbeiter in Anlage 3, und verlassen Kundendaten bei einem von ihnen den EWR?

Drei der vier Anbieter sind US-Unternehmen mit europäischen Regionen. Für jeden muss festgestellt werden, wo die Daten liegen, ob ihr Support daran kommt und auf welcher Grundlage. Ohne diese Antwort kann dieser Vertrag nicht angeboten werden; dieselbe Frage steht in der Datenschutzerklärung.

Artikel 6. Die KI-Anbieter des Kunden

Verbindet der Kunde einen eigenen API-Schlüssel eines KI-Anbieters, ist dieser Anbieter kein Unterauftragsverarbeiter von Nermio. Der Kunde hat eine eigene Vereinbarung mit ihm und zahlt die Nutzung direkt. Nermio sendet Daten an diesen Anbieter nur, wenn ein Benutzer in der Software darum bittet, sendet eine feste Auswahl von Feldern aus der Akte, und behält die Antwort nicht.

Artikel 7. Unterstützung bei Betroffenenanfragen

Bittet einer Ihrer Kontakte um Auskunft, Berichtigung oder Löschung, bearbeiten Sie das; es sind Ihre Daten in Ihrer Umgebung, und Sie können sie dort selbst ansehen, ändern, exportieren und löschen. Kommen Sie mit den angebotenen Bildschirmen nicht hin, hilft Nermio. Erreicht eine Anfrage uns versehentlich, leiten wir sie an Sie weiter und beantworten sie nicht selbst.

Artikel 8. Verletzungen des Schutzes personenbezogener Daten

Erfährt Nermio, dass Daten aus Ihrer Umgebung eingesehen wurden oder nach außen gelangt sind, sagt es Ihnen das unverzüglich, mit dem, was zu diesem Zeitpunkt bekannt ist: was passiert ist, welche Kategorien von Daten und ungefähr wie viele Personen betroffen sind, die voraussichtlichen Folgen, und die getroffenen Maßnahmen.

Die Meldung an Ihre Aufsichtsbehörde oder an die betroffenen Personen ist Ihre Entscheidung, denn Sie sind der Verantwortliche. In Deutschland ist das nicht eine nationale Behörde, sondern die Datenschutzaufsichtsbehörde Ihres Bundeslandes — für einen Betrieb in Bayern das BayLDA, in Nordrhein-Westfalen die LDI NRW, und so weiter; für einen niederländischen Kunden ist es die Autoriteit Persoonsgegevens. Wir liefern die Informationen, die Sie dafür brauchen.

Noch von einem Juristen zu klären

Innerhalb welcher Frist melden wir eine Verletzung, und was muss diese Meldung mindestens enthalten?

Der mitgelieferte Entwurfssatz schlägt achtundvierzig Stunden nach Entdeckung vor. Das ist üblich, und es ist der Kunde, der gegenüber seiner Behörde an eine Frist von 72 Stunden gebunden ist (Art. 33 DSGVO), er braucht also Spielraum. Ob wir achtundvierzig Stunden mit einem Ein-Personen-Betrieb halten können, ist eine realistische Abwägung und keine Formalität — und eine Frist, die man verpasst, ist schlimmer als eine weitere, die man hält.

Artikel 9. Unterstützung bei weiteren Pflichten

Nermio unterstützt den Kunden, soweit angemessen und erforderlich, bei einer Datenschutz-Folgenabschätzung (DSFA) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, indem es Informationen über die Verarbeitung und die Maßnahmen liefert.

Artikel 10. Überprüfungen

Auf Anfrage gibt Nermio dem Kunden die Informationen, die er braucht, um zu beurteilen, ob dieser Vertrag eingehalten wird. Will der Kunde mehr, darf er eine Überprüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen, mit vier Wochen Ankündigung, höchstens einmal im Jahr — sofern kein besonderer Anlass besteht — und auf eigene Kosten.

Es gibt keinen ISO-27001- und keinen SOC-2-Bericht und keinen Bericht über einen externen Penetrationstest; was es gibt, steht auf der Seite über Sicherheit und in Anlage 2.

Artikel 11. Laufzeit und Ende

Dieser Vertrag läuft, solange Nermio personenbezogene Daten für den Kunden verarbeitet. Endet das Abonnement, sollte es einen klaren Zeitpunkt geben, zu dem die Kundendaten gelöscht werden, und davor die Möglichkeit, eine Kopie zu erhalten. Daten, die Nermio gesetzlich aufbewahren muss — Rechnungen und Zahlungen — bleiben, unabhängig von diesem Vertrag.

Wie es heute funktioniert: die automatische Aufräumung berührt Kundendaten nicht, nach Beendigung verschwindet also nichts von selbst. Löschen ist hier eine Handlung, die einen angegebenen Grund verlangt, die nur ein Super-Admin ausführen kann, und die im Sicherheitsprotokoll stehen bleibt. Der Export funktioniert dagegen noch dreißig Tage, nachdem die Organisation stillgelegt wurde — erzwungen in der Datenbank und nicht im Bildschirm; eine gesperrte Organisation hat dieses Fenster nicht und bekommt eine Kopie auf Anfrage.

Noch von einem Juristen zu klären

Wie lange bleiben die Daten stehen, nachdem das Abrufzeitfenster von dreißig Tagen abgelaufen ist, in welcher Form wird eine Kopie geliefert, und wann ist sie auch aus den Sicherungskopien verschwunden?

Das Abrufzeitfenster von dreißig Tagen ist gebaut und in der Datenbank erzwungen (Migration 0034 und 0053), diese Hälfte der alten Frage ist also beantwortet. Was bleibt, ist eine echte Lücke und keine Formulierungsfrage: nach diesem Fenster gibt es keine Aufbewahrungsfrist, denn die Aufräumung berührt Kundendaten nicht, sie bleiben also stehen, bis jemand sie von Hand löscht. Dazu kommt die Frage nach den Sicherungskopien: dieser Rhythmus gehört dem Datenbankanbieter und bestimmt, wann etwas wirklich weg ist. Vereinbarung und Technik müssen hier zusammen geregelt werden; dieselbe Frage steht in der Datenschutzerklärung und in Artikel 8 der Geschäftsbedingungen. Für Deutschland kommt eine zweite Frist dazu: die handelsrechtlichen und steuerlichen Aufbewahrungspflichten aus § 257 HGB und § 147 AO betreffen die Rechnungen, nicht die Kundendaten — aber sie bestimmen, was von den Daten des Kunden NICHT gelöscht werden darf.

Artikel 12. Haftung

Für die Haftung aus diesem Vertrag gilt Artikel 11 der Allgemeinen Geschäftsbedingungen. Dieser Artikel steht dort noch als Vorschlag mit einer offenen Frage; solange das so ist, gilt hier dieselbe Unsicherheit. Für einen deutschen Kunden hängt dort außerdem der Platzhalter zu §§ 307 und 309 Nr. 7 BGB.

Artikel 13. Berufsgeheimnisträger (§ 203 StGB)

Dieser Artikel steht nur in der deutschen Fassung, und er betrifft eine der fünf Zielgruppen dieser Website: Steuerberater, Rechtsanwälte und andere, deren Verschwiegenheitspflicht strafrechtlich bewehrt ist.

Für sie ist die Weitergabe eines fremden Geheimnisses eine Straftat nach § 203 Abs. 1 StGB. Sie dürfen mitwirkende Personen einbeziehen — und ein IT-Dienstleister wie Nermio ist eine solche Person (§ 203 Abs. 3 StGB) —, aber nur, wenn das für die Inanspruchnahme der Tätigkeit erforderlich ist und sie diese Personen zur Geheimhaltung verpflichten. Für Steuerberater steht die entsprechende Pflicht in § 62a StBerG.

Daraus folgt etwas, das klar gesagt werden muss: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO genügt dafür nicht. Ein Berufsgeheimnisträger braucht zusätzlich eine Verschwiegenheitsverpflichtung, die auf § 203 StGB Bezug nimmt. Nermio kann die übernehmen — der Zugang ist ohnehin auf eine Support-Sitzung mit Grund und Zeitlimit beschränkt (Anlage 2) —, aber sie muss schriftlich vorliegen, und heute gibt es sie nicht.

Noch von einem Juristen zu klären

AUSSERHALB DES NIEDERLÄNDISCHEN RECHTS — brauchen wir eine eigene Verschwiegenheitsverpflichtung nach § 203 StGB und § 62a StBerG, und wie bekommt ein Steuerberater sie?

Dies ist der Platzhalter mit den konkretesten Folgen. Solange es diese Verpflichtung nicht gibt, darf ein deutscher Steuerberater Nermio für Mandantendaten strenggenommen nicht einsetzen — und /fuer-wen/steuerberater ist eine der fünf Zielgruppenseiten. Zu klären: (1) genügt eine Ergänzung zu diesem Vertrag, oder braucht es ein eigenes Dokument; (2) welche Anforderungen stellt § 62a StBerG an den Inhalt; (3) muss die Verpflichtung auch die Unterauftragsverarbeiter aus Anlage 3 erfassen, und wie bekommt man Supabase und Vercel dazu; (4) reicht ein Häkchen bei der Anmeldung, oder verlangt es eine Unterschrift. Bis das beantwortet ist, gehört auf /fuer-wen/steuerberater ein Satz darüber — oder diese Seite macht ein Versprechen, das der Vertrag nicht hält.

Anlage 1. Die Verarbeitung

Thema	Was vereinbart ist
Zweck	Die Bereitstellung eines CRM: Beziehungen verwalten, eine Vertriebspipeline, Aufgaben und Nachfassen, und die Unterstützung des Kunden dabei.
Art der Verarbeitung	Speichern, ordnen, anzeigen, ändern, exportieren und löschen. Auf Wunsch eines Benutzers: die Weitergabe einer Auswahl von Feldern an den KI-Anbieter des Kunden (Artikel 6), und die Annahme einer Mail, die der Benutzer an die eigene BCC-Adresse seiner Organisation geschickt hat.
Betroffene Personen	Kontakte bei den Geschäftspartnern des Kunden, und die Benutzer, die der Kunde selbst einlädt.
Daten über Geschäftspartner	Firmenname, Ort, Land, Branche, Größe, Website, Registernummer, Kundennummer und Zahlungsfrist; pro Kontakt ein Name, eine Funktion, eine E-Mail-Adresse und eine Telefonnummer; Deals mit einem Titel, einem Wert und einer Phase; Aufgaben mit einem Datum; Aktivitäten wie ein Anruf oder eine Mail; Notizen als Freitext; und — wenn der Kunde die BCC-Adresse seiner Organisation benutzt — der Betreff einer solchen Nachricht, ihre ersten zwei Sätze, die beteiligten E-Mail-Adressen und der Zeitpunkt.
Daten über Benutzer	Name, E-Mail-Adresse, Rolle und Status, dazu eine Aufzeichnung ihrer Handlungen im Protokoll, mit IP-Adresse und Browserangaben. Schickt jemand eine Nachricht an die BCC-Adresse des Kunden von einer Adresse, die nicht dazugehört, wird nur diese Adresse aufbewahrt, mit einem Zeitstempel (90 Tage), damit der Kunde sehen kann, warum die Nachricht nicht angekommen ist.
Besondere Kategorien von Daten	Es gibt kein Feld für besondere Kategorien (Art. 9 DSGVO) oder für Daten über Straftaten, und der Dienst ist dafür nicht gedacht. Die Notizfelder sind Freitext, technisch kann der Kunde also alles hineintippen; er sollte es nicht, und es fällt unter seine eigene Verantwortung aus Artikel 8 der Geschäftsbedingungen.
Dauer	Solange das Abonnement läuft. Was danach gilt, ist die offene Frage bei Artikel 11.

Anlage 2. Sicherheitsmaßnahmen

Das ist der Teil, der heute gebaut ist und den Sie überprüfen können. Die ausführlichere Beschreibung steht auf der Seite über Sicherheit.

Trennung pro Organisation in der Datenbank selbst. Nicht in den Bildschirmen, sondern in Postgres mit Row Level Security auf jeder Tabelle: die Datenbank entscheidet bei jeder Abfrage, welche Zeilen ein angemeldetes Konto sehen darf. Ein Fehler in der Anwendung kann deshalb keine Daten einer anderen Organisation zum Vorschein bringen, und es gibt eine Testreihe, die diese Isolierung nachweist.
Rollen und Rechte pro Benutzer, von vollem Zugriff bis Nur Lesen, ebenfalls in der Datenbank durchgesetzt.
Ein Protokoll, das nur wächst. Eine Zeile zu ändern oder zu löschen ist unmöglich gemacht, auch für unsere höchste Admin-Rolle, mit genau einer benannten Ausnahme für die automatische Aufräumung.
Support-Zugriff mit Grund und Zeitlimit. Fünfzehn, dreißig oder sechzig Minuten und nie länger, immer mit einem angegebenen Grund, standardmäßig nur lesend, nie mit der Möglichkeit zu löschen, und hinterher nachlesbar durch den Inhaber der Organisation.
Zwei-Faktor-Authentisierung für alle. Nicht nur für unser Admin-Portal, sondern für jeden Benutzer des CRM, ohne Ausnahme. Darüber hinaus meldet die Software Sie nach acht Stunden ohne Aktivität ab.
Verschlüsselte Verbindungen mit HSTS, und eine Content Security Policy mit einer Nonce pro Anfrage.
Passwörter, die wir nicht lesen können — sie liegen gehasht beim Anmeldedienst — mit einer Vorgabe von mindestens zwölf Zeichen und einer Prüfung gegen bekannte geleakte Passwörter. API-Schlüssel von KI-Anbietern werden verschlüsselt gespeichert (AES-GCM), mit dem Geheimnis außerhalb der Datenbank.
Eine Bremse auf Anmeldeversuche, die sich schließt, wenn sie selbst ausfällt, ein Sicherheitsprotokoll mit einer Warnung bei wiederholten Fehlversuchen, und die Möglichkeit, eine IP-Adresse zu sperren.

Noch von einem Juristen zu klären

Wie oft macht der Datenbankanbieter Sicherungskopien, wie lange werden sie aufbewahrt, und kann der Kunde sich darauf verlassen?

Ohne diese Zahl ist Anlage 2 unvollständig und Artikel 11 nicht zu beantworten. Der Rhythmus gehört dem Datenbankanbieter; wir legen ihn nicht fest.

Noch von einem Juristen zu klären

Halten wir diese Anlage aktuell, wenn sich die Technik ändert, und wie verhindern wir, dass sie veraltet?

Eine Anlage mit Maßnahmen ist vertraglich verbindlich. Ändert sich etwas in der Software, muss diese Liste folgen — sonst versprechen wir am Ende etwas, das nicht mehr so funktioniert, oder schweigen über etwas, das besser geworden ist.

Anlage 3. Unterauftragsverarbeiter

Nermio läuft nicht auf eigenen Servern. Diese Anbieter verarbeiten Kundendaten, weil der Dienst ohne sie nicht funktioniert.

Anbieter	Leistung	Was mit Kundendaten passiert
Supabase	Datenbank und Anmeldung	Die Postgres-Datenbank, in der alle Kundendaten stehen, und das Anmelden der Benutzer.
Vercel	Hosting	Das Ausführen der Anwendung; Kundendaten laufen bei jeder Anfrage hindurch und werden dort nicht gesondert gespeichert.
Resend	Transaktionsmails	Einladungen und Passwort-Zurücksetzungen: die E-Mail-Adresse und der Name eines Benutzers. Keine Daten über die Geschäftspartner des Kunden.
Cloudflare	Missbrauchsprüfung bei Formularen	Die IP-Adresse und Browsermerkmale dessen, der ein Formular abschickt. Keine Inhalte aus dem CRM.

Noch von einem Juristen zu klären

Pro Anbieter: welche juristische Person, welches Sitzland, in welcher Region liegen die Daten, und welcher Übermittlungsweg gilt?

Die Datenbankregion ist bekannt: Supabase liegt auf eu-central-1 (Frankfurt), bestätigt durch den Inhaber, der das Projekt dort angelegt hat. Für einen deutschen Kunden ist das das Inland, und das ist ein Argument — aber es gilt nur für die Datenbank. Offen sind noch die juristische Person pro Anbieter, wo die Vercel-Umgebung läuft und welcher Übermittlungsweg gilt. Das ist die Anlage, auf die ein geschäftlicher Kunde zuerst sieht, hier gehören also keine Annahmen hinein. Kommt ein Zahlungsdienstleister dazu, gehört er auch hierher. Und für einen Berufsgeheimnisträger (Artikel 13) kommt die Frage dazu, ob diese Anbieter sich zur Geheimhaltung nach § 203 StGB verpflichten lassen.

Verhältnis zu den Geschäftsbedingungen

Widersprechen dieser Vertrag und die Allgemeinen Geschäftsbedingungen sich in einem Punkt, der personenbezogene Daten betrifft, gilt dieser Vertrag. Wie die Zustimmung festgehalten wird, ist die offene Frage oben auf dieser Seite.