Auftragsverarbeitung

Du verkaufst deinen Endkunden ein Portal unter deiner Marke. Über die Daten, die darin liegen, entscheidest du: welche Endkunden es gibt, wer sich anmeldet, was abgelegt und was gelöscht wird. Damit bist du Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

Wir betreiben das Portal und führen darin aus, was du beauftragst. Damit sind wir Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO, und dieser Vertrag ist der nach Art. 28 Abs. 3 DSGVO.

Verantwortliche

deine Agentur, mit den Angaben, die du beim Kauf hinterlegt hast

Auftragsverarbeiterin

Anschrift

E-Mail

support@saasfabrik.net

Dein Endkunde steht in dieser Kette hinter dir. Was er in seinem Portal ablegt, ist deinem Auftrag zugeordnet, und wir sind ihm gegenüber nicht Vertragspartner. Ob er dir gegenüber selbst Verantwortlicher ist und du damit sein Auftragsverarbeiter, entscheidet euer Vertrag; wir bleiben in beiden Fällen der, den du beauftragt hast.

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und gilt von dem Moment an, in dem dein Abo zustande kommt. Du klickst ihn nirgends gesondert an, und es gibt keinen Zustand, in dem dein Portal läuft und dieser Vertrag noch nicht gilt.

Das ist eine Entscheidung und keine Bequemlichkeit. Eine gesonderte Annahme im Portal wäre ein Klick, den du aufschieben kannst, und in der Zeit bis dahin lägen die Daten deiner Endkunden ohne Vertrag bei uns. Art. 28 Abs. 9 DSGVO verlangt die Textform und keine Unterschrift; dieser Text unter dieser Adresse, mit dem Stand unten, erfüllt sie.

Brauchst du für deine eigenen Unterlagen eine unterschriebene Ausfertigung mit den Angaben deiner Agentur, schreib uns an support@saasfabrik.net. Du bekommst sie, und sie sagt dasselbe wie diese Seite.

Gegenstand ist der Betrieb des Portals, das du bei uns gekauft hast: die Anmeldung deiner Nutzer, die vier Module Freigaben, Reporting, Asset-Ablage und Briefing, und die Nachrichten, die das Portal an deine Nutzer schickt.

Verarbeitet wird, was für diesen Betrieb nötig ist: speichern, anzeigen, ändern, löschen und versenden. Zu einem anderen Zweck verarbeiten wir nichts. Wir werten die Daten deiner Endkunden nicht aus, weder für eigene Auswertungen noch für Werbung, und außer an die Unterauftragsverarbeiter unten geben wir sie an niemanden.

Die Verarbeitung dauert so lange wie dein Vertrag über das Portal, danach so lange, wie die Fristen unter „Das Ende des Vertrags“ laufen.

Betroffen sind:

• die Nutzer deiner Agentur, also du selbst und deine Mitarbeiter
• die Nutzer deiner Endkunden, die sich in deinem Portal anmelden
• Menschen, die in dem vorkommen, was du und deine Endkunden im Portal ablegen: in einer Freigabe, in einem Briefing, in einer Datei der Ablage

Die letzte Gruppe ist die offene, und das liegt in der Natur des Produkts: was in einer Freigabe, einem Briefing oder einer Datei steht, entscheidest du. Lege dort keine Daten ab, für die dir die Grundlage fehlt.

Verarbeitet werden diese Arten von Daten:

• Zugangsdaten eines Nutzers: Name, E-Mail-Adresse, das Passwort als Hash und seine Sitzung
• die Mitgliedschaft eines Nutzers und die Rolle, die sie trägt
• die Endkunden deiner Agentur mit Name und Zustand
• Freigaben: Titel, Text, Anhänge, die Entscheidung und wer sie getroffen hat
• die Dateien der Asset-Ablage mit Name, Größe und Inhalt
• Einreichungen aus den Briefing-Formularen samt ihrer Anhänge
• die Adresse des Looker-Studio-Berichts eines Endkunden und sein Titel
• das Audit-Log: wer wann unter welcher Rolle eine protokollpflichtige Aktion ausgeführt hat

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sieht das Produkt nicht vor. Ein Feld dafür gibt es nirgends; wenn welche entstehen, dann weil jemand sie in ein Feld geschrieben hat, das für etwas anderes gedacht ist.

Wir verarbeiten die Daten allein auf deine Weisung. Deine laufenden Weisungen sind das, was du im Portal tust: einen Endkunden anlegen, einen Nutzer einladen, eine Freigabe löschen. Jede weitere Weisung schreibst du uns an support@saasfabrik.net oder über das Kontaktformular; wir halten sie in Textform fest.

Hältst du eine Weisung für nötig, die wir für rechtswidrig halten, sagen wir dir das, bevor wir sie ausführen. Führen wir sie danach auf deine Bestätigung hin aus, trägst du das Ergebnis. Verlangt ein Gesetz von uns eine Verarbeitung, die deine Weisung nicht deckt, teilen wir dir das vorher mit, soweit uns das Gesetz die Mitteilung nicht verbietet.

Jeder, der bei uns an diese Daten kommt, ist zur Vertraulichkeit verpflichtet, und die Verpflichtung gilt über das Ende seiner Tätigkeit hinaus. Zugriff bekommt, wer ihn für seine Aufgabe braucht.

Was wir nach Art. 32 DSGVO tun, steht hier so, wie es im Betrieb wirklich eingerichtet ist:

• Trennung der Mandanten. Postgres selbst zieht die Grenze zwischen zwei Agenturen, über Row Level Security. Der Anwendungscode kann sie nicht vergessen: der einzige Weg an mandantengebundene Daten setzt vorher den Mandantenkontext, aus dem die Policies lesen.

• Rechte je Rolle. Vier Rollen, und jede Aktion beantwortet alle vier. Rollen sind nicht frei definierbar, und eine Aktion ohne Antwort gibt es nicht.

• Protokoll der Zugriffe. Jede protokollpflichtige Aktion schreibt eine Zeile, und es gibt keinen Weg, sie wieder herauszunehmen: die Tabelle hat für Änderung und Löschung weder Recht noch Policy. Du liest die Zeilen aller deiner Endkunden.

• Passwörter als Hash. argon2id, gesetzt bevor der erste Nutzer angelegt war. Im Klartext steht ein Passwort nirgends.

• Dateien nur über eine befristete Adresse. Der Bucket ist privat. Wer eine Datei hochlädt oder herunterlädt, bekommt eine signierte Adresse, die abläuft, und erst nachdem sein Recht auf diese Datei geprüft ist.

• Verschlüsselte Übertragung. Jede Adresse der Plattform antwortet allein über TLS, das Portal unter dem Wildcard-Zertifikat für die Plattform-Subdomains. Ein unverschlüsselter Aufruf wird umgeleitet.

• Gelöscht wird nach Frist und nicht auf Zuruf. Was aus einem Modul herausfällt, räumt ein Lauf unter der Schnittstelle weg, und zwar in der Datenbank und im Objektspeicher.

Der Stand der Technik ändert sich, und diese Liste ändert sich mit ihm. Eine Änderung darf das Schutzniveau nicht senken.

Du erteilst uns die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Das sind heute die folgenden, und mehr sind es nicht. Jeden von ihnen binden dieselben Pflichten, die dieser Vertrag uns auferlegt.

• Hetzner Online GmbH, Gunzenhausen, Deutschland, mit dem Rechenzentrum in Falkenstein.

  • Betreibt den Server, auf dem das Portal und seine Schnittstelle laufen. Die Daten liegen dabei in Falkenstein, Deutschland.
  • Speichert die Dateien der Asset-Ablage und die Anhänge einer Freigabe. Die Daten liegen dabei in Falkenstein, Deutschland.

  Der Sitz liegt im Europäischen Wirtschaftsraum. Für diese Verarbeitung geht nichts in ein Drittland.

• Neon, LLC, eine Gesellschaft von Databricks, Inc., San Francisco, Kalifornien, USA.

  • Betreibt die Datenbank, in der jede Zeile deiner Agentur und deiner Endkunden liegt. Die Daten liegen dabei in Frankfurt am Main, Deutschland.

  Garantie für die Übermittlung: die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter), dazu die Zertifizierung unter dem EU-US Data Privacy Framework. Nachzulesen im Vertragswerk.

• Cloudflare, Inc., San Francisco, Kalifornien, USA.

  • Beantwortet die Namensauflösung für die Adresse, unter der dein Portal antwortet. Die Daten liegen dabei in Cloudflares weltweitem Netz.

  Garantie für die Übermittlung: die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2, dazu die Zertifizierung unter dem EU-US Data Privacy Framework. Nachzulesen im Vertragswerk.

• Plus Five Five, Inc., die Resend betreibt, San Francisco, Kalifornien, USA.

  • Verschickt jede Nachricht, die das Portal an einen Nutzer schickt. Die Daten liegen dabei in Irland, im Versand aus der Region eu-west-1.

  Garantie für die Übermittlung: die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2, dazu die Zertifizierung unter dem EU-US Data Privacy Framework. Nachzulesen im Vertragswerk.

Kommt ein Unterauftragsverarbeiter dazu oder wird einer ersetzt, sagen wir dir das 6 Wochen vorher per E-Mail an die Adresse, die für deine Agentur hinterlegt ist. In der Nachricht steht, wer dazukommt, was er tut und wo er sitzt.

Innerhalb dieser 6 Wochen kannst du widersprechen. Finden wir dann keinen Weg, der ohne den neuen Unterauftragsverarbeiter auskommt, endet dein Vertrag über das Portal zu dem Tag, an dem die Änderung gelten soll, und wir erstatten dir anteilig zurück, was du für die Zeit danach schon bezahlt hast. Das ist derselbe Weg und dieselbe Frist wie bei jeder anderen Änderung der Nutzungsbedingungen: es ist ein Vertrag, und zwei Fristen für zwei Arten von Änderung wären eine Falle.

Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, damit das Portal weiterläuft oder eine Gefahr abgewendet wird, sagen wir dir das unverzüglich statt vorher. Dein Widerspruchsrecht bleibt, es läuft dann ab unserer Nachricht.

• Polar Software, Inc. nimmt die Zahlung für dein Abo entgegen und stellt dir die Rechnung.

  Polar bekommt die Angaben deiner Agentur und keine Zeile deiner Endkunden. Für den Verkauf ist Polar Wiederverkäufer (Merchant of Record) und damit selbst verantwortlich; was dabei mit deinen eigenen Daten geschieht, steht in der Datenschutzerklärung und nicht hier.

• Google hält den Looker-Studio-Bericht, den das Portal einem Endkunden rahmt.

  Der Bericht liegt in deinem eigenen Google-Konto, und du hinterlegst seine Adresse. Wir schicken nichts an Google; der Browser deines Endkunden ruft den Bericht selbst ab, sobald er die Seite öffnet. Google verarbeitet dabei in deinem Auftrag und nicht in unserem.

Beim Bericht kommt eines dazu, das du wissen musst: ein Looker-Studio-Bericht in einem Rahmen verlangt entweder ein angemeldetes Google-Konto mit Zugriff oder die Freigabe für jeden, der die Adresse hat. Deine Endkunden haben bei uns kein Google-Konto, also ist der Bericht über seine Adresse auch ohne Anmeldung erreichbar. Die Grenze zwischen zwei Endkunden gilt im Portal und nicht bei Google. Wer die Adresse hat, sieht den Bericht.

Wer von den Unterauftragsverarbeitern außerhalb des Europäischen Wirtschaftsraums sitzt, steht oben an seinem Eintrag, mit der Garantie und der Stelle, an der sie nachzulesen ist. Für die USA gilt seit dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 ein angemessenes Schutzniveau für zertifizierte Unternehmen; unabhängig davon steht jede dieser Übermittlungen zusätzlich auf den Standardvertragsklauseln.

Ein Rechenzentrum in Europa hebt das nicht auf. Die Datenbank steht in Frankfurt, und weil eine US-Gesellschaft sie betreibt, bleibt der Zugriff darauf eine Übermittlung, die eine Garantie braucht. Deshalb trägt der Eintrag oben eine.

Fragt dich ein Nutzer nach Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragbarkeit, beantwortest du das: die Anfrage geht an dich, weil du Verantwortliche bist. Wir unterstützen dich dabei mit dem, was das Portal hergibt, und mit dem, was du darin nicht selbst erreichst.

Erreicht uns eine solche Anfrage direkt, beantworten wir sie nicht, sondern leiten sie an dich weiter und sagen dem Absender, dass wir das getan haben.

Bemerken wir, dass Daten deiner Agentur oder deiner Endkunden abgeflossen, verändert oder zerstört wurden, sagen wir dir das innerhalb von 24 Stunden ab unserer Kenntnis. In der Nachricht steht, was geschehen ist, wen es betrifft, was wir dagegen tun und wer bei uns dafür ansprechbar ist.

Die Meldung an deine Aufsichtsbehörde nach Art. 33 DSGVO machst du, und die Frist dafür beträgt 72 Stunden ab deiner Kenntnis. Unsere 24 Stunden liegen bewusst darunter: sie lassen dir zwei Drittel deiner eigenen Frist. Bei der Meldung und bei der Benachrichtigung der Betroffenen nach Art. 34 DSGVO unterstützen wir dich.

Auch bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO unterstützen wir dich mit dem, was wir über die Verarbeitung wissen.

Auf deine Anfrage belegen wir dir, dass wir die Pflichten aus diesem Vertrag einhalten. Diese Seite ist der erste Beleg: die Maßnahmen oben stehen an der Stelle, an der sie wirklich greifen, und die Liste der Unterauftragsverarbeiter ist vollständig.

Reicht dir das nicht, kannst du prüfen oder prüfen lassen. Kündige die Prüfung mit angemessener Frist an, führe sie zu den üblichen Geschäftszeiten durch und störe den Betrieb dabei nicht mehr als nötig. Wer prüft, ist zur Vertraulichkeit verpflichtet und steht nicht im Wettbewerb mit uns. Einmal im Jahr tragen wir den Aufwand, jede weitere Prüfung im selben Jahr trägst du, es sei denn, die vorige hat einen Verstoß gefunden.

Nach dem Ende deines Vertrags über das Portal bleibt es 30 Tage lang lesend offen. In dieser Zeit holst du heraus, was du deinen Endkunden schuldest. Spätestens 90 Tage nach dem Vertragsende löschen wir die Daten deiner Agentur und deiner Endkunden, unsere Sicherungskopien eingeschlossen.

Willst du früher gelöscht haben, schreib uns; dann löschen wir nach deiner Bestätigung und ohne die Frist abzuwarten. Was wir aufbewahren müssen, weil ein Gesetz es verlangt, bleibt liegen, bis die Aufbewahrungsfrist abgelaufen ist. Der Bericht in deinem Google-Konto bleibt dort, unabhängig von diesen Fristen; er liegt nicht bei uns.

Für alles, was dieser Vertrag nicht regelt, gelten die Nutzungsbedingungen, also auch die Haftungsregel und das anwendbare Recht. Widerspricht eine Regel dort einer Regel hier, gilt für die Verarbeitung personenbezogener Daten diese hier.

Was Art. 82 DSGVO an Haftung gegenüber Betroffenen vorsieht, bleibt davon unberührt: die Grenzen aus den Nutzungsbedingungen wirken zwischen dir und uns und nicht gegenüber einem Betroffenen oder einer Aufsichtsbehörde.

Diese Fassung gilt seit dem 2026-08-31. Sie beschreibt den Betrieb, wie er an diesem Tag eingerichtet ist.