Zuletzt aktualisiert: Mai 2026
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen (oder einer anderen schriftlichen oder elektronischen Vereinbarung über denselben Gegenstand) (die „Vereinbarung“) zwischen dem Kunden („Verantwortlicher“) und der Taming Tech UG (haftungsbeschränkt), Goldene Reihe 8, 27612 Loxstedt, Deutschland („Auftragsverarbeiter“), unter welcher der Auftragsverarbeiter dem Verantwortlichen SaaS-Software und damit verbundene Dienste bereitstellt.
Die Parteien schließen diesen AVV, um die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) in Bezug auf die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zu erfüllen.
Dieser AVV legt verschiedene Pflichten des Auftragsverarbeiters in Bezug auf die Verarbeitung personenbezogener Daten fest und beschränkt sich auf die Pflichten des Auftragsverarbeiters aus der Vereinbarung. Im Falle von Widersprüchen zwischen den Bestimmungen der Vereinbarung und diesem AVV gehen die Bestimmungen dieses AVV vor.
Das Ziel der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter ist streng auf die Erbringung der Dienstleistungen für den Verantwortlichen gemäß der Vereinbarung beschränkt. Die aktuelle Art der personenbezogenen Daten und Verarbeitungstätigkeiten ist in Anlage I dieses AVV spezifiziert.
Der Verantwortliche sichert zu, dass er alle erforderlichen Rechte besitzt, um dem Auftragsverarbeiter die personenbezogenen Daten für die im Zusammenhang mit den vereinbarten Diensten durchzuführende Verarbeitung zur Verfügung zu stellen. Soweit nach den Datenschutzgesetzen erforderlich, ist der Verantwortliche dafür verantwortlich, dass er diese personenbezogenen Daten dem Auftragsverarbeiter auf einer geeigneten Rechtsgrundlage zur Verfügung stellt, die eine rechtmäßige Verarbeitung ermöglicht, einschließlich der Einholung aller erforderlichen Einwilligungen der betroffenen Personen.
Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch im Hinblick auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Unter Berücksichtigung des Stands der Technik und der Implementierungskosten trifft der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen gegen die unbefugte oder unrechtmäßige Verarbeitung personenbezogener Daten sowie gegen den zufälligen Verlust, die Zerstörung oder die Beschädigung personenbezogener Daten. Diese Maßnahmen umfassen unter anderem Datenverschlüsselung, Zugriffskontrollmechanismen und regelmäßige Sicherheitsbewertungen.
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Namen des Verantwortlichen zu beauftragen. Der Auftragsverarbeiter informiert den Verantwortlichen über alle beabsichtigten Änderungen bezüglich der Hinzufügung oder des Austauschs anderer Unterauftragsverarbeiter und gibt dem Verantwortlichen damit die Möglichkeit, gegen solche Änderungen Widerspruch einzulegen.
Der Auftragsverarbeiter setzt derzeit die in Anlage I aufgeführten Unterauftragsverarbeiter ein. Beauftragt der Auftragsverarbeiter einen anderen Auftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen, werden diesem anderen Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegt, die in diesem AVV festgelegt sind.
Der Auftragsverarbeiter unterhält definierte Verfahren für den Fall einer Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, und stellt dem Verantwortlichen ausreichende Informationen zur Verfügung, die es dem Verantwortlichen ermöglichen, seinen Verpflichtungen zur Meldung oder Information der betroffenen Personen über die Verletzung gemäß der DSGVO nachzukommen.
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht bestehende Kopien, es sei denn, das Recht der Union oder der Mitgliedstaaten schreibt eine Speicherung der personenbezogenen Daten vor.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 der DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht und unterstützt Prüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden. Der Verantwortliche trägt die Kosten einer solchen Prüfung.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten zum Zweck der Bereitstellung von Software-as-a-Service-Produkten (SaaS) für den Verantwortlichen. Dies umfasst das Hosten der Anwendung, die Verwaltung der Benutzerauthentifizierung, die Speicherung von kundenbetriebenen Inhalten sowie die Bereitstellung von Frontend- und Backend-Funktionalitäten.
Mitarbeiter, Kunden oder Endnutzer des Verantwortlichen, die mit der SaaS-Anwendung interagieren.
Namen, E-Mail-Adressen und Abrechnungsdaten von Unternehmen.
| Name des Unterauftragsverarbeiters | Erbrachte Dienstleistung | Server-Standort |
|---|---|---|
| Supabase | Datenbank-Hosting, Authentifizierung und Backend-Infrastruktur. | Europäische Union (EU) |
| Vercel Inc. | Frontend-Bereitstellung und Hosting-Infrastruktur. | Europäische Union (EU) |
| Stripe | Zahlungsabwicklung und Rechnungsstellung | EU (Irland) / USA (Datenübertragungen sind durch den Stripe-AVV geregelt, unter Verwendung von EU-Standardvertragsklauseln und dem EU-US Data Privacy Framework) |
Durch den Abschluss der Nutzungsbedingungen gelten der Verantwortliche und der Auftragsverarbeiter (Taming Tech UG) als Unterzeichner dieses AVV einschließlich seiner Anlagen.
Der Auftragsverarbeiter betreibt keine eigenen physischen Server. Der physische Zugriff ist ausschließlich auf die zertifizierten Infrastrukturanbieter (Supabase, Vercel) beschränkt. Das Personal des Auftragsverarbeiters hat keinen physischen Zugriff auf die Rechenzentren.
Der Zugriff auf alle kritischen Systeme, Backend-Infrastrukturen und Administrationsschnittstellen ist streng durch eine obligatorische Zwei-Faktor-Authentifizierung (2FA) und starke Passwortrichtlinien geschützt.
Der Zugriff auf Kundendaten ist streng auf das interne Support- und Administrationsteam auf einer „Need-to-know“-Basis beschränkt. Das Support-Personal greift auf spezifische Kundendaten nur dann zu, wenn der jeweilige Kunde explizit ein Support-Ticket öffnet und der Zugriff zur Behebung des Problems erforderlich ist.
Zum Schutz vor versehentlicher Zerstörung oder Verlust werden täglich automatisierte Backups der Datenbank und der Systeme durchgeführt.