Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, um Etappe Flow und Etappe Book nach den Allgemeinen Geschäftsbedingungen bereitzustellen, zu betreiben und Support zu leisten. Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis wir alle Daten des Kunden gelöscht haben.

2. Art der Daten und betroffene Personen

Daten: Namen und Kontaktdaten der Nutzer, Anmelde- und Nutzungsdaten (etwa Sitzungen und Sicherheitsprotokoll), alle Inhalte, die der Kunde ablegt — Tickets, Kommentare, Anhänge, Doku-Seiten — samt den darin enthaltenen personenbezogenen Daten, Benachrichtigungseinstellungen und Gerätekennungen für Push-Nachrichten.

Betroffene: Beschäftigte des Kunden, seine Kunden und deren Ansprechpartner sowie weitere Personen, die in den Inhalten vorkommen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Legt der Kunde sie dennoch ab, trägt er dafür die Verantwortung.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die der Kunde in seinem Workspace trifft — etwa eingeschaltete Integrationen oder die KI-Schalter. Weitere Weisungen erteilt der Kunde in Textform.

Hält eine Weisung unserer Ansicht nach gegen Datenschutzrecht, weisen wir den Kunden darauf hin. Eine gesetzliche Pflicht zur Verarbeitung teilen wir ihm vorher mit, soweit das Gesetz es erlaubt.

4. Unsere Pflichten

Alle Personen, die bei uns Zugang zu Daten des Kunden haben, sind zur Vertraulichkeit verpflichtet.

Wir unterstützen den Kunden mit geeigneten Mitteln bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Richtet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an den Kunden weiter.

Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden, nachdem wir von ihr erfahren haben — mit den Angaben, die er für seine eigene Meldung braucht.

5. Technische und organisatorische Maßnahmen

Ort: Anwendung, Datenbank und Sicherungen liegen bei der Hetzner Online GmbH in Rechenzentren in Deutschland. Anhänge und Doku-Bilder liegen in einem Objektspeicher der Cloudflare, Inc. mit EU-Datenhaltung.

Zugang: Die Server nehmen Verbindungen nur über die Randschicht von Cloudflare an; Verwaltungszugriffe nur per Schlüssel. Alle Verbindungen sind per TLS verschlüsselt.

Trennung und Rechte: Jeder Workspace ist logisch von allen anderen getrennt. Sichtbarkeitsregeln — interne Kommentare, private Tickets, Firmen- und Projektzugriff — erzwingt der Server, nicht der Browser.

Anmeldung: Passwörter speichern wir nur als Hash. Anmeldeversuche werden je Konto und je Adresse gedrosselt; auffällige Mengen gesperrter Konten lösen einen Alarm aus. Sicherheitsrelevante Vorgänge stehen in einem Protokoll, das 730 Tage aufbewahrt wird.

Verfügbarkeit: Die Daten werden täglich gesichert, zusätzlich auf einem getrennten Speicher in der EU. Ein unabhängiger Wächter prüft den Betrieb jede Minute und veröffentlicht Störungen auf status.etappe.ai.

Die Maßnahmen entwickeln wir mit dem Stand der Technik weiter. Wir dürfen sie ändern, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Kunde erlaubt uns, die folgenden Unterauftragsverarbeiter einzusetzen. Wir verpflichten sie vertraglich auf ein gleichwertiges Schutzniveau.

Hetzner Online GmbH, Deutschland — Hosting der Anwendung und der Datenbank, Sicherungen.

Cloudflare, Inc., USA — Objektspeicher für Anhänge mit EU-Datenhaltung, DNS, Verschlüsselung und Schutz der Verbindungen.

Anthropic, PBC, USA — Sprachmodell für die KI-Funktionen, nur solange die KI eingeschaltet ist.

Voyage AI, Inc., USA — Vektordarstellungen für die Suche nach verwandten Tickets und Artikeln, nur solange die KI eingeschaltet ist.

Mailgun Technologies, Inc., EU-Region — Versand von Benachrichtigungen und Systemmails.

Apple Inc., USA — Push-Nachrichten an die iOS-App, nur für Personen, die Push eingeschaltet haben.

Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission.

Neue oder geänderte Unterauftragsverarbeiter kündigen wir den Administratoren mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem Datenschutzgrund widersprechen; finden wir keine Lösung, kann er den Vertrag zum Wechsel kündigen.

Integrationen, die der Kunde selbst einschaltet — etwa Slack, GitHub oder FastBill —, sind keine Unterauftragsverarbeiter von uns. Daten gehen dann auf Weisung des Kunden an dessen eigenen Vertragspartner.

7. Nachweise und Kontrollen

Auf Anfrage weisen wir dem Kunden nach, dass wir diesen Vertrag einhalten. Vor-Ort-Kontrollen sind nach Anmeldung mit 30 Tagen Vorlauf während der Geschäftszeiten möglich, höchstens einmal im Jahr, es sei denn, ein konkreter Anlass rechtfertigt mehr. Die Kosten trägt der Kunde.

8. Löschung und Rückgabe

Endet der Vertrag, frieren wir den Workspace ein und löschen nach 30 Tagen alle Daten des Kunden vollständig. Bis dahin stellen wir sie dem Kunden auf Anfrage in einem gängigen, maschinenlesbaren Format bereit.

Sicherungskopien bereinigen wir nicht einzeln; gelöschte Daten fallen mit der Rotation der Sicherungen heraus, spätestens nach drei Monaten. Eine Archivkopie hochgeladener Dateien wird derzeit nicht automatisch bereinigt; auf Anfrage löschen wir die Dateien des Kunden dort gezielt.

Daten, die wir gesetzlich aufbewahren müssen — etwa Rechnungen —, bewahren wir bis zum Ende der Frist auf.

9. Haftung und Rangfolge

Für die Haftung gelten Art. 82 DSGVO und im Übrigen die AGB. Widerspricht dieser Vertrag den AGB in einer Frage des Datenschutzes, geht dieser Vertrag vor.

Für diesen Vertrag gilt das Recht der Republik Zypern. Weichen die deutsche und die englische Fassung voneinander ab, gilt die englische.