Rechtliches

Vertrag zur Auftragsverarbeitung

Vertrag über die Verarbeitung im Auftrag nach Art. 28 DSGVO · Stand 12. Oktober 2026

zwischen dem Kunden, der die Oase bestellt („Verantwortlicher“), und der Fassiotti & Moser GbR (Stratkern), Langestraße 14, 72285 Pfalzgrafenweiler, USt-IdNr. DE461504942 („Auftragsverarbeiter“). Er gilt mit der Bestellung der Oase und ist Teil des Vertrags über ihre Nutzung. Widerspricht der Nutzungsvertrag diesem Vertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.

1 · Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Oase: eine Arbeitsumgebung mit Firmengedächtnis, Chat Suite, Abläufen und den im Paket enthaltenen Werkzeugen. Der Vertrag gilt, solange der Vertrag über die Oase läuft, und darüber hinaus bis zur Rückgabe und Löschung nach Ziffer 11.

2 · Art und Zweck, Daten, Betroffene

Art der Verarbeitung: Erheben, Speichern, Ordnen, Durchsuchen, Auslesen, Verändern, Weitergeben an die in Anlage 2 genannten Stellen, Löschen.
Zweck: Speichern, Durchsuchen und Beantworten von Betriebswissen; Formulieren und Zusammenfassen in der Chat Suite; wiederkehrende Abläufe mit Freigabe durch einen Menschen.
Datenarten: Konten der Nutzer (E-Mail, Anzeigename, Rolle); vom Betrieb eingetragenes Wissen und hochgeladene Dokumente; Chatverläufe (abschaltbar mit „Nicht speichern“); Diktate als Text (Tonaufnahmen werden nicht gespeichert); Verwaltungsprotokoll (Name bei Verwaltungsakten, nur für Verwalter sichtbar); Verbrauch je Person nur im laufenden Nutzungsfenster.
Betroffene: Beschäftigte des Verantwortlichen; Personen, die im eingetragenen Wissen oder in Dokumenten vorkommen, zum Beispiel Ansprechpartner von Kunden und Lieferanten.
Nicht vorgesehen: besondere Kategorien nach Art. 9 DSGVO; eine Auswertung von Leistung oder Verhalten einzelner Beschäftigter.

3 · Weisungen

Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; dann teilt er das dem Verantwortlichen vorher mit, sofern das Recht es nicht verbietet. Weisungen sind dieser Vertrag und die Einstellungen, die Verwalter des Verantwortlichen in der Oase treffen (Module, Rollen, Freigaben, Löschfristen). Weitere Weisungen erteilen Verwalter in Textform; mündliche Weisungen bestätigt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf sie bis zur Bestätigung oder Änderung aussetzen.

4 · Pflichten des Auftragsverarbeiters

Zugriff haben nur die beiden Gesellschafter; sie sind zur Vertraulichkeit verpflichtet, auch über das Vertragsende hinaus.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Anlage 1. Er darf sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.
Jeder Betrieb ist von allen anderen getrennt: Jede Tabelle trägt die Kennung des Betriebs und ist durch Row-Level-Security gesichert; die Kennung stammt aus der Anmeldung, nie aus der Anfrage.
Keine Verwendung der Daten für eigene Zwecke und kein Training von KI-Modellen mit ihnen durch den Auftragsverarbeiter; für Unterauftragsverarbeiter gilt, was Anlage 2 je Anbieter offenlegt.
Nichts verlässt den Betrieb ohne Freigabe: Abläufe versenden nichts selbst.
Die Oase wertet Beiträge nicht je Person aus.
Unterstützung bei Betroffenenrechten (Art. 12–23 DSGVO): Auskunft, Berichtigung, Löschung und Export können Verwalter in der Oase selbst vornehmen; Anfragen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
Unterstützung bei den Pflichten nach Art. 32–36 DSGVO, insbesondere bei Meldungen nach Art. 33 und 34 und bei einer Datenschutz-Folgenabschätzung, mit den Angaben, die ihm vorliegen.
Er führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.
Einen Datenschutzbeauftragten hat er nicht benannt; nach seiner Einschätzung besteht dazu keine Pflicht (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für den Datenschutz: Jannik Moser, jannik.moser@stratkern.com.

5 · Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO), und haftet für deren Einhaltung. Bei Supabase ist der Vertrag zur Auftragsverarbeitung Teil der Nutzungsbedingungen von Supabase (Data Processing Addendum, Fassung vom 1. August 2026; Anlage 2). Neue oder geänderte Unterauftragsverarbeiter kündigt er mindestens 30 Tage vorher in Textform an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und dann außerordentlich kündigen.

6 · Ort der Verarbeitung

Die Oase verarbeitet in der Europäischen Union, mit den Abweichungen, die Anlage 2 je Anbieter offenlegt; einen Schalter für eine Verarbeitung außerhalb gibt es nicht. Drei Unterauftragsverarbeiter haben ihren Sitz oder ihre Konzernmutter außerhalb der EU. Die Daten liegen in der EU; Zugriffe und Hilfsverarbeitungen aus einem Drittland (etwa Support oder Fehlerüberwachung bei Supabase) sind nicht ausgeschlossen. Abgesichert sind sie über die Standardvertragsklauseln der EU-Kommission, bei Supabase als Teil des Vertrags zur Auftragsverarbeitung von Supabase (Anlage 2). Was Anlage 2 je Anbieter offenlegt, gilt. Eine Verlagerung in ein Drittland erfolgt nur auf Weisung des Verantwortlichen und unter den Voraussetzungen der Art. 44 ff. DSGVO.

7 · Meldung von Verletzungen

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, und ergänzt sie, sobald er mehr weiß.

8 · Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung durch Unterlagen nach (Anlage 1, Prüfprotokolle, Ergebnis der Wiederherstellungsprobe). Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht im Wettbewerb mit dem Auftragsverarbeiter steht, kann nach Anmeldung von 14 Tagen kontrollieren, höchstens einmal im Jahr, sonst aus Anlass. Jede Seite trägt ihre eigenen Kosten.

9 · Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte verantwortlich. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

10 · Haftung

Richtet sich nach Art. 82 DSGVO und dem Vertrag über die Nutzung der Oase.

11 · Rückgabe und Löschung

Nach Vertragsende kann der Verantwortliche 30 Tage lang alle Daten seines Betriebs in offenen Formaten (JSON, CSV) exportieren. Danach werden sie gelöscht, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht; die Löschung bestätigt der Auftragsverarbeiter in Textform. Sicherungen laufen innerhalb der in Anlage 3 genannten Frist aus.

12 · Schluss

Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage 1 · Technische und organisatorische Maßnahmen

Zutritt: Rechenzentren der Unterauftragsverarbeiter (Hetzner, AWS, Supabase); kein eigener Serverraum.
Zugang: Anmeldung mit E-Mail und Passwort, Passwortwechsel bei der ersten Anmeldung erzwungen; Zwei-Faktor-Anmeldung, die ein Betrieb für alle vorschreiben kann; deaktivierte Nutzer werden an jedem Endpunkt abgelehnt; Server nur per SSH-Schlüssel.
Zugriff: Row-Level-Security auf jeder Tabelle; Rollen im Betrieb; Schreibrechte nur, wo nötig.
Trennung: Kennung des Betriebs in jeder Abfrage und jeder Vektorsuche; kein Weg hat zugleich Zugriff auf das Firmengedächtnis und auf das Internet.
Weitergabe: Übertragung nur verschlüsselt (TLS); Schlüssel nur auf dem Server, nie im Browser.
Eingabekontrolle: Verwaltungsprotokoll; Kostenbuch je Aufruf ohne Inhalte und ohne Nutzerkennung.
Verfügbarkeit: tägliche verschlüsselte Sicherung in einen getrennten Speicher; Wiederherstellung auf einem frischen Server erprobt; Auslieferung mit zwei Plätzen und Rückweg; externe Erreichbarkeitswache.
Datenschutz durch Technik: keine Tonaufnahmen in der Datenbank; „Nicht speichern“ in der Chat Suite; keine Auswertung je Person.
Nicht vorhanden: Zertifizierung (zum Beispiel ISO 27001), externer Penetrationstest.

Anlage 2 · Unterauftragsverarbeiter

Fassung vom 12. Oktober 2026.

Supabase Pte. Ltd., Singapur (zugleich Datenimporteur laut Vertrag zur Auftragsverarbeitung; Support durch Supabase, Inc., Delaware, USA, im Transfer Impact Assessment (März 2025) als Datenimporteur genannt): Datenbank, Anmeldung, Funktionen, Dateiablage, Echtzeit der Projekt-Chats. Ort: gespeichert in Frankfurt am Main (eu-central-1) und dort überwiegend verarbeitet; der Zugang läuft über das Netz der Cloudflare, Inc. (USA). Funktionen, die die Oase im Browser aufruft, laufen fest in Frankfurt; für einen zeitgesteuerten Aufruf aus der Datenbank selbst ist die Region noch nicht festgelegt (früher lief er auch in Zürich, Schweiz). Die tägliche Sicherung und unsere Betriebswerkzeuge greifen über die Verwaltungsschnittstelle von Supabase zu, für die kein Verarbeitungsort zugesagt ist. Vertrag: Vertrag zur Auftragsverarbeitung (Data Processing Addendum, Fassung vom 1. August 2026, mit den Standardvertragsklauseln der EU-Kommission) als Teil der Nutzungsbedingungen von Supabase. Eigene Unterauftragsverarbeiter von Supabase überwiegend in den USA (Liste: supabase.com/legal/customer-resources/subprocessor-list).
Amazon Web Services EMEA SARL, Luxemburg (Konzernmutter Amazon.com, Inc., Seattle, USA): Sprachmodelle (Bedrock), Neuordnung und Einbettung für die Suche (Cohere-Modelle über Bedrock), Schlüsselverwaltung des Tresors (KMS), Sprachausgabe (Polly). Ort: Sprachmodelle und Einbettung über EU-Inferenzprofile in Rechenzentren in Frankfurt, Stockholm, Mailand, Spanien, Irland und Paris; Neuordnung, Schlüsselverwaltung und Sprachausgabe in Frankfurt. Bedrock speichert Ein- und Ausgaben der von uns genutzten Modelle nicht (Zero-Data-Retention als Standard; Aufbewahrung zur Missbrauchserkennung nur für einzelne, von uns nicht genutzte Modelle und bei Verdacht auf Missbrauchsdarstellungen in Bildeingaben); AWS und die Modellanbieter nutzen sie nicht zum Training (AWS-Dokumentation, abgerufen am 12. Oktober 2026). Polly: Ohne Opt-out dürfte AWS Eingaben zur Verbesserung des Dienstes speichern, auch außerhalb der Region; unser Opt-out wirkt seit dem 9. Oktober 2026 (wirksame Organisationsrichtlinie für unser Konto, gelesen per API). Vertrag: Datenverarbeitungsbedingungen als Teil der AWS-Dienstbedingungen, mit den Standardvertragsklauseln der EU-Kommission.
Mistral AI SAS, Paris: Sprachmodell (u. a. Modus Mistral, KI-Schritte in Abläufen), Einbettungen für die Suche, Spracherkennung (Diktat). Ort: Verarbeitung in der EU und in EFTA-Staaten, darunter Norwegen und die Schweiz. Unterauftragsverarbeiter von Mistral im Datenweg mit Konzernmutter in den USA: Microsoft (Azure, Schweden und Norwegen), CoreWeave (EWR), Google (Niederlande und Belgien), Cloudflare (TLS-Abschluss vor dem Endpunkt, Verarbeitung weltweit) und CrowdStrike (Sicherheit, EWR und USA). Konto- und Abrechnungsdaten können bei Mistral außerhalb der Region liegen. Aufbewahrung zur Missbrauchsüberwachung 30 Tage. Vertrag: Datenverarbeitungsbedingungen per Verweis Teil des Vertrags, für Unterauftragsverarbeiter mit Drittlandbezug mit Standardvertragsklauseln; Nutzung unserer API-Aufrufe zum Training in unserem Mistral-Konto ausgeschaltet seit dem Abend des 12. Oktober 2026 (gilt für Aufrufe ab diesem Zeitpunkt); Labs-Modelle ausgeschaltet und von uns nicht verwendet.
Google Cloud EMEA Limited, Dublin (Konzernmutter Alphabet Inc., Mountain View, USA): Sprachmodell Gemini über Vertex AI, nur für Betriebe, für die Gemini freigeschaltet ist, und nur, wenn ein Nutzer es wählt. Ort: EU-Multi-Region von Vertex AI (EU-Mitgliedstaaten, ohne Vereinigtes Königreich und Schweiz), Zwischenspeicher abgeschaltet. Google darf Eingaben zur Missbrauchserkennung protokollieren; Ort und Dauer sind nicht zugesagt, eine Ausnahme davon besteht noch nicht. Vertrag: Datenverarbeitungsbedingungen von Google Cloud mit den Standardvertragsklauseln der EU-Kommission; Ausschluss des Trainings mit Kundendaten: Beleg im Quellenarchiv steht aus; aufgenommen am 4. Oktober 2026; für bestehende Verträge gilt die Ankündigung nach Ziffer 5.
Hetzner Online GmbH, Gunzenhausen: eigener Server (Auslieferung der Oase, Abläufe, Dateiwerkzeuge, Prüfdienste für E-Rechnungen und Dateiformate, Werkstatt, Vermittlung der Mistral-Aufrufe), verschlüsselte Sicherung. Ort: Nürnberg (Server), Falkenstein (Sicherung). Vertrag: abgeschlossen am 30. September 2026.
IONOS SE, Montabaur: Mailversand (Einladungen, Anmeldelinks, Benachrichtigungen), DNS. Ort: Deutschland. Vertrag: abgeschlossen am 30. September 2026.

Ziele, die Ihr Betrieb selbst festlegt, sind keine Unterauftragsverarbeiter von Stratkern: Ihr Mailanbieter für den Postfach-Assistenten, Systeme und Portale, an die die Oase nach Ihrer Freigabe übergibt, und KI-Programme, denen Ihr Betrieb über MCP oder die Schnittstelle Zugriff auf das Gedächtnis gibt. Die Oase überträgt nur dorthin, wohin Ihr Betrieb es festlegt; liegt ein solches Ziel außerhalb der EU, hat Ihr Betrieb diesen Empfänger gewählt.

Nicht für Inhalte der Oase: Bei der Online-Bestellung verarbeitet die Stripe Payments Europe Ltd., Dublin, Vertrags- und Zahlungsdaten des bestellenden Betriebs, für Zahlung und Betrugsprüfung als eigener Verantwortlicher; Stripe übermittelt dabei auch in die USA und nach Indien.

Anlage 3 · Löschung

Betriebswissen, Dokumente, Verläufe, Konten: bis Vertragsende, danach Export und Löschung binnen 30 Tagen.
Unterhaltungen, Protokolle, Ergebnisse von Abläufen: nach der Frist, die ein Verwalter in der Oase einstellt.
Chats mit „Nicht speichern“, Tonaufnahmen von Diktaten: werden nicht gespeichert.
Sicherungen: 7 tägliche, 4 wöchentliche, 6 monatliche; gelöschte Daten können bis zu rund 6 Monate in Sicherungen enthalten sein.