Rechtliches

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: 17. September 2026

Dieser Vertrag wird zwischen der Beratung, die AnimaMPU nutzt (nachfolgend „Verantwortlicher“), und AnimaContent, Inhaber Ervin Keljic, Ebertplatz 2, 46045 Oberhausen (nachfolgend „Auftragsverarbeiter“) geschlossen. Er ist Bestandteil des Nutzungsvertrags und wird mit diesem wirksam.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software AnimaMPU bereit. Dabei verarbeitet er personenbezogene Daten der Mandanten des Verantwortlichen in dessen Auftrag.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Verantwortlichen und dessen Mitarbeiter, Einschränken, Löschen.

(2) Zweck: Verwaltung der Fälle des Verantwortlichen: Aktenführung, Termine, Fristen, Abstinenzprogramme, Unterlagen, Abläufe.

(3) Betroffene: Mandanten des Verantwortlichen sowie dessen Mitarbeiter.

(4) Datenarten: Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten), Falldaten (Anlass, Fristen, Termine, Verlauf, Notizen), hochgeladene Unterlagen, Zugangsdaten des Mandanten (Fingerabdruck des Einladungs-Links, Hashwert eines gesetzten Passworts, Zeitpunkte der Zugriffe) sowie Nutzungs- und Protokolldaten.

(5) Besondere Kategorien: Die Verarbeitung umfasst Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, insbesondere Abstinenznachweise, Laborbefunde und ärztliche Unterlagen, sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Beide Parteien sind sich der daraus folgenden erhöhten Anforderungen bewusst.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen und seine Mitarbeiter gilt als Weisung. Als dokumentierte Weisung gelten insbesondere die Einstellungen, mit denen der Verantwortliche den Zugang seiner Mandanten festlegt: die Zugangsart, der Versandweg der Einladung und deren Gültigkeitsdauer. Der Auftragsverarbeiter zeichnet jede Änderung dieser Einstellungen mit Zeitpunkt und handelnder Person auf.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragsverarbeiter nutzt die Daten insbesondere nicht zur Verbesserung eigener Produkte, nicht zum Training von Modellen und nicht für Werbung.

§ 4 Vertraulichkeit und Berufsgeheimnis

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Soweit der Verantwortliche einem Berufsgeheimnis nach § 203 StGB unterliegt, ist der Auftragsverarbeiter sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB. Er verpflichtet sich und jede von ihm eingesetzte Person zur Geheimhaltung nach § 203 Abs. 4 Satz 2 Nr. 1 StGB, belehrt sie über die Strafbarkeit einer unbefugten Offenbarung und weist die Verpflichtung dem Verantwortlichen auf Verlangen in Textform nach. Unterauftragnehmer, die Zugang zu den Daten haben können, werden entsprechend verpflichtet.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragnehmer

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu.

(2) Weitere Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen, datenschutz- bezogenen Grund widersprechen. Widerspricht er, kann jede Seite den Vertrag zum geplanten Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten und haftet für dessen Verhalten wie für eigenes.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich, spätestens innerhalb von drei Werktagen nach Eingang, an den Verantwortlichen weiter, beantwortet ihn nicht selbst und teilt der betroffenen Person die Weiterleitung mit. Die Frist des Art. 12 Abs. 3 DSGVO kann bereits mit dem Eingang beim Auftragsverarbeiter beginnen; die Weiterleitung enthält deshalb das Eingangsdatum.

(2) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(3) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und übermittelt die Angaben, die dieser für seine Meldung nach Art. 33 DSGVO benötigt.

(4) Für die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO stellt der Auftragsverarbeiter dem Verantwortlichen eine Beschreibung der Verarbeitung, die Maßnahmen nach Anlage 1 einschließlich der dort genannten offenen Punkte und seine eigene Risikobewertung zur Verfügung. Die Durchführung der Folgenabschätzung und die Entscheidung über die Rechtsgrundlage bleiben beim Verantwortlichen.

§ 8 Nachweis und Kontrolle

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung erforderlich sind.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie werden mit angemessener Frist angekündigt, finden zu üblichen Geschäftszeiten statt und stören den Betrieb nicht unangemessen.

(3) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es auf Verlangen vor.

§ 9 Ort der Verarbeitung

(1) Anwendung, Datenbank und Dateiablage sind technisch auf europäische Regionen festgelegt; dort findet die Verarbeitung statt, soweit Absatz 2 nichts anderes sagt.

(2) Die in Anlage 2 genannten Unternehmen haben ihren Sitz oder eine verbundene Gesellschaft außerhalb der Europäischen Union, in den Vereinigten Staaten oder in Singapur, und unterliegen dortigem Recht. Ein Zugriff von dort ist damit nicht mit letzter Sicherheit ausgeschlossen. Für den E-Mail-Versand und die Onlinezahlung werden Daten in den Vereinigten Staaten gespeichert beziehungsweise dorthin übermittelt; welche, steht in Anlage 2. Diese Einordnung wird hier ausdrücklich genannt und nicht verkürzt.

(3) Der Auftragsverarbeiter hat für jeden Unterauftragnehmer in Anlage 2 die Grundlage der Übermittlung nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder Standardvertragsklauseln nach Durchführungsbeschluss 2021/914) benannt und eine Bewertung der Übermittlung dokumentiert. Er legt sie dem Verantwortlichen auf Anfrage vor und unterrichtet ihn in Textform, wenn sich die Grundlage ändert, etwa weil ein Angemessenheitsbeschluss aufgehoben wird.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Vertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format herunterladen.

(2) Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ausgestellte Rechnungen und Buchungsbelege bleiben8 Jahre nach Ende des Jahres ihrer Ausstellung erhalten (§ 147 Abs. 3 AO, § 14b UStG). Die Löschung wird auf Verlangen in Textform bestätigt.

(3) Sicherungen: Der Betreiber der Datenbank erstellt Sicherungskopien. Gelöschte Daten können darin für die Aufbewahrungsdauer der jeweiligen Sicherung fortbestehen; danach werden die Sicherungen überschrieben oder gelöscht. Aus Sicherungen wird nichts wiederhergestellt, es sei denn auf dokumentierte Weisung des Verantwortlichen oder zur Wiederherstellung des gesamten Systems nach einem Ausfall. Im letzten Fall werden Daten, die zwischen Sicherung und Wiederherstellung gelöscht worden waren, erneut gelöscht, und der Verantwortliche wird über die Wiederherstellung unterrichtet.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelung des Nutzungsvertrags bleibt im Übrigen unberührt, soweit sie nicht gegen Art. 82 DSGVO verstößt.

§ 12 Rechtsgrundlage der Verarbeitung

(1) Der Verantwortliche stellt sicher, dass für die Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) und von Daten über Straftaten und Ordnungswidrigkeiten (Art. 10 DSGVO) seiner Mandanten eine Rechtsgrundlage besteht, und dokumentiert diese. Der Auftragsverarbeiter weist darauf hin, dass die Software eine solche Rechtsgrundlage nicht ersetzt und dass er hierzu keine Rechtsberatung erbringt.

(2) Der Verantwortliche informiert seine Mandanten nach Art. 13 DSGVO. Die Software stellt dafür den in der Anwendung hinterlegten Text bereit, in den die Angaben des Verantwortlichen eingesetzt werden; dessen Vollständigkeit für seinen Betrieb prüft der Verantwortliche.

Anlage 1: Technische und organisatorische Maßnahmen

Stand: 7. Oktober 2026. Es ist beschrieben, was tatsächlich läuft.

Trennung der Betriebe: Die Trennung sitzt in der Datenbank selbst (Row Level Security mit erzwungener Prüfung), nicht erst in der Abfrage der Anwendung. Der Zugriff läuft über eine eingeschränkte Datenbankrolle, die diese Prüfung nicht umgehen kann. 39 automatische Prüfungen versuchen bei jedem Bauvorgang genau das, was nicht gehen darf; schlägt eine an, geht die Änderung nicht live.
Verschlüsselung auf dem Transportweg: Alle Verbindungen zur Anwendung und zur Datenbank laufen ausschließlich über TLS. Die Verbindung zur Datenbank prüft dabei das Zertifikat gegen eine im Programm hinterlegte Stammstelle, damit ein untergeschobenes Zertifikat nicht angenommen wird.
Verschlüsselung im Ruhezustand: Datenbank und Dateiablage sind beim Betreiber der Infrastruktur verschlüsselt gespeichert.
Hochgeladene Unterlagen: Unterlagen liegen in einem nicht öffentlichen Behälter. Es gibt keine erratbare Adresse. Jeder Abruf läuft über die Anwendung, die vorher die Anmeldung prüft und den Betrieb aus der Sitzung gegen den Pfad der Datei hält. Beim Löschen wird die Datei zuerst überschrieben und dann entfernt, damit ihr Inhalt auch dann weg ist, wenn eine zwischengespeicherte Kopie noch eine Weile ausgeliefert wird.
Zugangskontrolle: Persönliche Zugänge, keine Sammelkonten. Passwörter werden nur als Hashwert gespeichert. Rollen begrenzen, was ein Mitarbeiter sehen und tun darf.
Protokollierung: Jeder Blick in eine Akte und jede Änderung daran werden mit Zeitpunkt und handelnder Person aufgezeichnet. Damit lässt sich im Nachhinein beantworten, wer wann was gesehen hat. Der Berater braucht das, wenn ein Mandant nach Art. 15 DSGVO fragt.
Kein Inhalt in E-Mails: Nachrichten, die die Anwendung verschickt, enthalten keinen Anlass, keine Frist, kein Aktenzeichen und keine Angabe über den Gesundheitszustand, auch nicht in der Betreffzeile. Wer erfahren will, worum es geht, muss sich anmelden. Eine automatische Prüfung blockiert jede Nachricht, die dagegen verstößt. Genau eine Nachricht geht an einen Mandanten, und nur, wenn seine Beratung das eingeschaltet hat: die Einladung zu seinem Zugang. Sie nennt seinen Vornamen und den Namen der Beratung, damit er sie nicht für einen Betrugsversuch hält, und sonst nichts. Absender und Betreff lassen den Anlass nicht erkennen, und es wird kein Bild nachgeladen.
Der Zugang des Mandanten: Ein Mandant erreicht seine Akte über einen Link, den seine Beratung erzeugt. Der Link enthält 256 Bit Zufall, gespeichert wird nur sein Fingerabdruck, er gilt vierzehn Tage, und die Beratung kann ihn jederzeit mit sofortiger Wirkung entwerten. Über den Link allein kann der Mandant Angaben eintragen und Unterlagen hochladen. Er kann damit weder eine hochgeladene Datei wieder öffnen noch etwas lesen, was die Beratung über ihn notiert hat. Wer den Inhalt seiner Akte sehen will, setzt zuvor ein eigenes Passwort; eine Beratung kann das auch von vornherein verlangen. Jedes Öffnen wird mit Zeitpunkt protokolliert, und die Sitzung endet spätestens mit dem Link.
Keine fremden Skripte, keine fremden Schriften: Die Seiten laden zur Laufzeit nichts von fremden Servern nach. Schriften und Bilder liegen bei uns. Damit erfährt kein Dritter, wer die Seite aufruft. Eine automatische Prüfung blockiert jede Einbindung eines fremden Servers.
Verarbeitung in der Europäischen Union: Anwendung, Datenbank und Dateiablage sind fest auf europäische Regionen eingestellt. Dort werden die Daten auch verarbeitet.
Trennung von Test und Betrieb: Für die Entwicklung wird nie mit echten Akten gearbeitet. Die Beispieldaten im Dashboard sind erfunden und als solche gekennzeichnet.

Was noch nicht umgesetzt ist

Die folgenden Punkte sind noch offen. Sie stehen hier, weil eine Maßnahmenliste eine Zusicherung ist und keine Absichtserklärung. Wer uns Gesundheitsdaten anvertraut, soll wissen, wo die Zusicherungen enden.

Geprüfte Wiederherstellung: Der Betreiber der Datenbank erstellt Sicherungen. Eine vollständige Wiederherstellung wurde von uns noch nicht zur Probe durchgeführt. Bis das geschehen ist, sagen wir keine Wiederherstellungszeit zu.
Prüfung durch Dritte: Es liegt kein Bericht einer unabhängigen Sicherheitsprüfung vor.
Löschkonzept mit Fristen je Datenart: Die Aufbewahrungsfrist je Akte setzt der Berater. Ein durchgehendes Löschkonzept für alle Datenarten, das die steuerlichen Aufbewahrungspflichten gegen die Löschpflicht abgrenzt, ist in Arbeit.
Automatische Löschung nach Ablauf der Frist: Zu jeder abgeschlossenen Akte wird der Zeitpunkt berechnet, ab dem sie zu löschen ist. Die Beratung wird 30 Tage vorher, 7 Tage vorher und am Tag selbst daran erinnert. Von selbst löscht die Anwendung keine Akte; es löscht die Beratung.
Verschlüsselung auf Anwendungsebene: Hochgeladene Unterlagen sind beim Betreiber der Infrastruktur verschlüsselt gespeichert, nicht jedoch zusätzlich durch die Anwendung mit einem eigenen Schlüssel je Betrieb. Ein Zugriff mit dem Dienstschlüssel der Anwendung würde die Dateien lesbar machen. Eine zusätzliche Verschlüsselung je Betrieb ist in Prüfung; bis sie läuft, ruht der Schutz auf dem nicht öffentlichen Behälter, der Pfadprüfung der Anwendung und der Verschlüsselung des Infrastrukturbetreibers.

Anlage 2: Unterauftragnehmer

Stand: 7. Oktober 2026.

Supabase Pte. Ltd, Sitz Singapur; die verbundene Supabase, Inc. in den Vereinigten Staaten leistet Support. Verarbeitung: Frankfurt am Main, Deutschland (Region eu-central-1). Zweck: Datenbank und Ablage der hochgeladenen Unterlagen. Daten: Alle Angaben aus den Akten, einschließlich Gesundheitsdaten und Angaben über Ordnungswidrigkeiten, sowie die hochgeladenen Dateien Grundlage der Übermittlung: Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3) als Teil des Auftragsverarbeitungsvertrags mit Supabase. Für Singapur gibt es keinen Angemessenheitsbeschluss, und Supabase ist nach unserem Kenntnisstand nicht unter dem EU-US Data Privacy Framework zertifiziert. Ein Zugriff aus Singapur oder aus den Vereinigten Staaten, etwa im Supportfall, ist nicht ausgeschlossen; die Daten selbst liegen in Frankfurt.
Vercel Inc., Sitz Vereinigte Staaten. Verarbeitung: Frankfurt am Main, Deutschland (Region fra1). Zweck: Betrieb der Anwendung, Auslieferung der Seiten. Daten: Verbindungsdaten und alle Angaben, die beim Bedienen der Anwendung übertragen werden Grundlage der Übermittlung: Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795) und ergänzend Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Vercel. Die Serverfunktionen sind fest auf Frankfurt eingestellt.
Plus Five Five, Inc. (Resend), Sitz Vereinigte Staaten. Verarbeitung: Versand aus Irland (Region eu-west-1); Inhalt, Zustellprotokolle und Statusmeldungen werden in den Vereinigten Staaten gespeichert, nach Angabe des Anbieters für 30 Tage. Zweck: Versand von E-Mails an Berater, deren Mitarbeiter und, wenn eine Beratung es einschaltet, an deren Mandanten. Daten: Empfängeradresse, Betreff und Text der Nachricht. Aus einer Akte steht darin nichts außer der Anrede mit dem Vornamen und dem Namen der Beratung. Schaltet eine Beratung die Einladung per E-Mail ein, ist der Empfänger ein Mandant; der Versanddienst erfährt damit, dass diese Adresse zu dieser Beratung gehört. Ohne diesen Schalter erfährt er das nicht. Der Versanddienst meldet uns zurück, ob er eine Nachricht zugestellt hat oder ob sie abgelehnt wurde; dazu speichern wir nicht die Adresse, sondern nur ihren Fingerabdruck. Grundlage der Übermittlung: Zertifizierung unter dem EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Resend. Weil Inhalt und Protokolle in den Vereinigten Staaten gespeichert werden, enthält keine Nachricht etwas aus einer Akte außer dem Vornamen des Empfängers und dem Namen der Beratung.
Stripe Payments Europe, Ltd., Sitz Irland, Konzernmutter in den Vereinigten Staaten. Verarbeitung: Irland, mit Übermittlung an die Stripe, LLC in den Vereinigten Staaten. Zweck: Onlinezahlung einer Rechnung durch den Mandanten. Wird NUR eingesetzt, wenn eine Beratung die Onlinezahlung für sich einrichtet. Tut sie das nicht, gibt es keinen Bezahlweg und keine Übermittlung.. Daten: Die Rechnungsnummer, der zu zahlende Betrag und die Zahlungsdaten, die der Mandant selbst bei Stripe eingibt. Aus einer Akte gelangt nichts dorthin: kein Name, kein Geburtsdatum, keine Angabe über Gesundheit oder Ordnungswidrigkeiten. Die Kartendaten sehen weder die Beratung noch wir; sie werden unmittelbar bei Stripe eingegeben. Grundlage der Übermittlung: Zertifizierung der Stripe, LLC unter dem EU-US Data Privacy Framework und Standardvertragsklauseln. Für die Abwicklung der Zahlung selbst ist Stripe eigener Verantwortlicher, nicht unser Auftragsverarbeiter.

Ergänzend gilt die Datenschutzerklärung und die Allgemeinen Geschäftsbedingungen.