Auftragsverarbeitungsvertrag (AVV)

Version 1.4 | Stand: Mai 2026

gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO)

zwischen dem Kunden (nachfolgend „Auftraggeber" oder „Verantwortlicher")

und

spiritdev Softwareentwicklung GmbH

Carl-Zeiss-Straße 8

21465 Reinbek

Deutschland

(nachfolgend „Auftragnehmer" oder „Auftragsverarbeiter")

– Auftraggeber und Auftragnehmer nachfolgend gemeinsam „Parteien" –

---

§1 Gegenstand und Dauer

1.1 Gegenstand

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Bereitstellung und Nutzung der SaaS-Plattform spiritflow. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

1.2 Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages (Allgemeine Geschäftsbedingungen der spiritdev Softwareentwicklung GmbH in der jeweils gültigen Fassung). Der AVV endet automatisch mit Beendigung des Hauptvertrages, unbeschadet der Pflichten zur Löschung oder Rückgabe der Daten gemäß §12.

1.3 Verhältnis zu anderen Vereinbarungen

Dieser AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzrichtlinien der spiritdev Softwareentwicklung GmbH. Bei Widersprüchen zwischen diesem AVV und den AGB oder der Datenschutzrichtlinie gehen die Regelungen dieses AVV vor.

---

§2 Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragnehmer erfolgt zu folgenden Zwecken:

1. Bereitstellung der SaaS-Plattform spiritflow, einschließlich Speicherung, Verwaltung und Anzeige der vom Auftraggeber eingegebenen Daten
2. Bereitstellung der REST-API, über die der Auftraggeber Inhaltsdaten programmatisch abrufen und verwalten kann, einschließlich der Zustellung von Webhook-Benachrichtigungen an vom Auftraggeber konfigurierte externe Endpunkte
3. Bereitstellung der Chat-Funktion (Direktnachrichten, Gruppen- und projektbezogene Kanäle, Anhänge, Reactions, Lese-Status, Link-Vorschauen)
4. Bereitstellung der Videokonferenz-Funktion (Meeting-Modul) über einen vom Auftragnehmer selbst betriebenen Audio-/Video-Server (LiveKit), einschließlich Echtzeit-Audio- und -Videoübertragung
5. Optionale Sprachaufnahme von Meetings auf Veranlassung der Teilnehmer, einschließlich der Speicherung der Aufnahme­datei für die Dauer der nachgelagerten Verarbeitung
6. Automatisierte Spracherkennung (Transkription) der aufgenommenen Audio-Daten zur Erstellung eines Roh-Transkripts
7. KI-gestützte Nachbearbeitung der Transkripte zur Erstellung einer Zusammenfassung und einer Liste erkannter Aufgaben mit anonymisierten Quell-Zitaten
8. Technischer Betrieb und Wartung, einschließlich Backups, Sicherheitsupdates und Systemüberwachung
9. Technischer Support und Fehlerbehebung, ausschließlich auf Weisung des Auftraggebers und im Rahmen des gebuchten Support-Levels
10. Versand von Transaktionsmails (Registrierungsbestätigung, Passwort-Zurücksetzung, Benachrichtigungen)
11. Bereitstellung der Mobile-Apps (iOS, Android) einschließlich Synchronisation der Inhaltsdaten und Versand von Push-Notifications über die Push-Dienste der jeweiligen Plattform­betreiber (Apple Push Notification service — APNs; Firebase Cloud Messaging — FCM)

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Die Audio-Daten und Roh-Transkripte aus dem Meeting-Modul werden ausschließlich als ephemere Verarbeitungsbasis genutzt; sie werden nach Abschluss der KI-gestützten Nachbearbeitung gelöscht (siehe Anlage 1, Abschnitt 6).

---

§3 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Arten personenbezogener Daten verarbeitet:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten findet nicht statt. Der Auftraggeber ist dafür verantwortlich, dass keine besonderen Kategorien personenbezogener Daten in Freitextfelder, Chat-Nachrichten oder über das Meeting-Modul eingegeben oder besprochen werden, sofern hierfür keine geeignete Rechtsgrundlage vorliegt.

Hinweis zu Aufnahmen mit potenziell biometrischen Bezügen: Akustische Aufnahmen der menschlichen Stimme bewegen sich im Grenzbereich zu biometrischen Daten im Sinne von Art. 4 Nr. 14 DSGVO. Da Audio-Dateien und Roh-Transkripte vom Auftragnehmer ephemer verarbeitet und nach erfolgter KI-Nachbearbeitung automatisch gelöscht werden (siehe Anlage 1), wird das daraus folgende Risiko strukturell begrenzt. Eine systematische biometrische Identifizierung erfolgt nicht.

Hinweis zur Strafbarkeit (§ 201 StGB): Der Auftraggeber ist dafür verantwortlich, vor dem Start einer Sprachaufnahme die Einwilligung aller Teilnehmer einzuholen. Das Aufnehmen des nichtöffentlich gesprochenen Wortes ohne Einwilligung der Sprechenden kann strafbar sein.

Hinweis zur Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG): Der Auftraggeber ist dafür verantwortlich, dass die Nutzung der Aufnahme- und Transkriptionsfunktion des Meeting-Moduls vor Inbetriebnahme — soweit nach geltendem Recht erforderlich — mit dem Betriebsrat abgestimmt wird, da die Funktion ein zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignetes technisches System darstellt.

---

§4 Kategorien betroffener Personen

Von der Verarbeitung können folgende Kategorien betroffener Personen betroffen sein:

• Mitarbeiter und Benutzer der Organisation des Auftraggebers (interne Benutzer)
• In der Plattform erfasste Kunden, Kontakte und Geschäftspartner des Auftraggebers
• Externe Benutzer mit eingeschränktem Zugriff (Read-Only oder Read-Write)

---

§5 Pflichten des Auftraggebers

5.1 Verantwortlichkeit

Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung der Inhaltsdaten. Er trägt die Verantwortung für die Rechtmäßigkeit der Datenverarbeitung.

5.2 Weisungsrecht

Der Auftraggeber erteilt dem Auftragnehmer Weisungen zur Datenverarbeitung gemäß §10. Die initiale Weisung ergibt sich aus diesem AVV und dem Hauptvertrag.

5.3 Rechtsgrundlagen

Der Auftraggeber stellt sicher, dass für die Verarbeitung personenbezogener Daten durch den Auftragnehmer eine geeignete Rechtsgrundlage vorliegt (z. B. Art. 6 Abs. 1 lit. b, c oder f DSGVO, ggf. i. V. m. § 26 BDSG).

5.4 Betroffenenrechte

Der Auftraggeber ist primärer Ansprechpartner für betroffene Personen hinsichtlich der Inhaltsdaten. Er koordiniert die Bearbeitung von Betroffenenanfragen und kann den Auftragnehmer gemäß §6.5 um Unterstützung ersuchen.

5.5 Informationspflichten

Der Auftraggeber informiert die betroffenen Personen über die Datenverarbeitung im Rahmen von spiritflow, soweit er hierzu als Verantwortlicher verpflichtet ist.

---

§6 Pflichten des Auftragsverarbeiters

6.1 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Auftraggebers, einschließlich der in diesem AVV enthaltenen Weisungen, es sei denn, der Auftragnehmer ist nach Unionsrecht oder dem Recht des Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6.2 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragnehmer gewährleistet, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.3 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO)

Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Die aktuellen Maßnahmen sind in Anlage 1 zu diesem AVV dokumentiert. Der Auftragnehmer überprüft diese Maßnahmen regelmäßig und passt sie dem Stand der Technik an.

6.4 Unterauftragnehmer (Art. 28 Abs. 3 lit. d DSGVO)

Der Auftragnehmer nimmt Unterauftragnehmer nur nach Maßgabe des §7 in Anspruch.

6.5 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Kapitel III DSGVO (Art. 15–22 DSGVO). Insbesondere stellt der Auftragnehmer eine Datenexport-Funktion in maschinenlesbaren Formaten (JSON, CSV) bereit.

6.6 Unterstützung bei Sicherheitspflichten (Art. 28 Abs. 3 lit. f DSGVO)

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO, insbesondere bei:

• der Sicherheit der Verarbeitung (Art. 32 DSGVO)
• der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)
• der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO)
• der Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
• der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

6.7 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers zurück, gemäß den Regelungen in §12 dieses AVV.

6.8 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und trägt zu Überprüfungen bei, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, gemäß den Regelungen in §9.

6.9 Informationspflicht bei rechtswidrigen Weisungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

6.10 Meldepflicht bei Datenpannen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten gemäß den Regelungen in §11.

---

§7 Unterauftragnehmer

7.1 Allgemeine schriftliche Genehmigung

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses genehmigten Unterauftragnehmer sind in Anlage 2 aufgeführt.

7.2 Änderungen

Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragnehmers in Textform. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus berechtigten datenschutzrechtlichen Gründen widersprechen.

7.3 Widerspruchsrecht

Im Falle eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kann keine Einigung erzielt werden, steht dem Auftraggeber ein Sonderkündigungsrecht des Hauptvertrages mit einer Frist von 30 Tagen zum Zeitpunkt der beabsichtigten Änderung zu.

7.4 Vertragliche Absicherung

Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf mindestens gleichwertige Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, insbesondere hinsichtlich der Gewährleistung geeigneter technischer und organisatorischer Maßnahmen. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch den Unterauftragnehmer verantwortlich.

---

§8 Drittlandtransfer

8.1 Grundsatz und begrenzter Drittland­transfer im Rahmen der Mobile-Apps

Die Verarbeitung der Inhaltsdaten erfolgt grundsätzlich ausschließlich innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums. Sämtliche persistierten Tenant-Daten (Datenbank, Objektspeicher, Backups) verbleiben in der EU bei der Hetzner Online GmbH (Falkenstein/Nürnberg, Deutschland).

Ein Drittland­transfer findet ausschließlich im Rahmen der Bereitstellung der Mobile-Apps für iOS und Android statt: Push-Notifications werden technisch zwingend über den Apple Push Notification service (APNs) der Apple Inc. (Cupertino, Kalifornien, USA) beziehungsweise über Firebase Cloud Messaging (FCM) der Google LLC (Mountain View, Kalifornien, USA) geroutet. Dieser Transfer ist auf das technisch notwendige Minimum begrenzt: Übertragen werden ausschließlich das geräte­spezifische, opake Push-Token sowie ein nach Datenminimierungs­grundsätzen reduzierter Notification-Payload (siehe Anlage 1 Abschnitt 7). Die Subunternehmer Apple Inc. und Google LLC sind in Anlage 2 mit Sitz, Verarbeitungs­zweck und Rechtsgrundlage des Transfers ausgewiesen.

8.2 Rechtsgrundlage des Drittland­transfers — primär: EU-US Data Privacy Framework

Der Drittland­transfer an Apple Inc. und Google LLC stützt sich primär auf den Angemessenheits­beschluss der Europäischen Kommission zum EU-US Data Privacy Framework (DPF) gemäß Durchführungs­beschluss (EU) 2023/1795 vom 10.07.2023. Die Geltung dieses Beschlusses wurde durch das Urteil des Europäischen Gerichts (EuG) vom 03.09.2025 in der Sache T-553/23 bestätigt. Apple Inc. und Google LLC sind zum Zeitpunkt des Vertrags­schlusses aktiv DPF-zertifiziert (Verifikation über die offizielle Liste unter dataprivacyframework.gov/list; zuletzt durch den Auftragnehmer verifiziert am 2026-05-01; Wieder­verifikation halbjährlich, nächster Termin November 2026).

8.3 Standardvertragsklauseln (SCCs) als Backup-Rechtsgrundlage

Sollte der DPF-Angemessenheits­beschluss aufgehoben oder einzelne der genannten Subunternehmer ihre Zertifizierung verlieren, fällt der Transfer auf die Standardvertragsklauseln (SCCs) gemäß Durchführungs­beschluss (EU) 2021/914 als Rechtsgrundlage zurück. Sowohl Apple als auch Google bieten parallel SCC-basierte Verträge an. Der Auftragnehmer ergänzt in diesem Fall die Übermittlung um eine Transfer-Folgen­abschätzung (Transfer Impact Assessment, TIA) im Sinne der EDPB-Empfehlung 01/2020 sowie gegebenenfalls um zusätzliche Maßnahmen.

8.4 Art. 49 Abs. 1 lit. b DSGVO als ergänzender Rechtsgrund für die Push-Übermittlung

Speziell für die einzelne Push-Übermittlung an das Endgerät einer betroffenen Person tritt Art. 49 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen) als ergänzender Rechtsgrund hinzu: Der Endnutzer entscheidet sich aktiv für die Nutzung der Mobile-App und benötigt das Push-Routing zwingend für deren bestimmungs­gemäßen Betrieb. Diese Stützung ist nicht als alleinige Grundlage für eine systematische Übermittlung an US-Empfänger geeignet (vgl. EDPB-Guidelines 2/2018 zu Art. 49 — restriktive Auslegung), sondern wirkt ergänzend zu §§ 8.2 und 8.3.

8.5 Information des Auftraggebers und Restrisiko-Transparenz

Der Auftragnehmer hat den Auftraggeber im Rahmen dieses AVV transparent über den Drittland­transfer im Mobile-Push-Kanal informiert. Eine ausführliche Schrems-II-Bewertung mit Risiko­einschätzung pro Notification-Typ und den umgesetzten technischen Maßnahmen wird auf Anfrage zur Verfügung gestellt. Der Auftraggeber bewertet als Verantwortlicher eigenständig, ob er den Mobile-Push-Kanal in seinem Tenant aktiviert; bei Bedarf kann er den Mobile-Push-Kanal über die Notification-Policies seines Tenants (siehe AVV §6.5 i. V. m. dem Hauptvertrag) abschalten.

8.6 Wegfall oder Einschränkung des Drittland­transfers

Sollte der DPF-Angemessenheits­beschluss vollständig entfallen und auch die SCC-Stützung zusammen mit Art. 49 Abs. 1 lit. b DSGVO nicht mehr tragen, wird der Auftragnehmer den Auftraggeber unverzüglich informieren und alternative Maßnahmen ergreifen — gegebenenfalls bis hin zur Deaktivierung des Push-Versands für betroffene Tenants.

8.7 Weitere Drittland­transfers ausgeschlossen

Über den in §§ 8.1–8.4 beschriebenen Mobile-Push-Transfer hinaus findet kein Drittland­transfer statt. Sollte ein weiterer Drittland­transfer künftig erforderlich werden, erfolgt dieser nur nach vorheriger Information des Auftraggebers im Rahmen des Subunternehmer-Änderungs­prozesses gemäß § 7 und ausschließlich unter Sicherstellung eines angemessenen Datenschutz­niveaus gemäß Art. 44–49 DSGVO.

---

§9 Kontrollrechte und Audits

9.1 Nachweispflicht

Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem AVV niedergelegten Pflichten durch geeignete Nachweise nach. Dies kann insbesondere erfolgen durch:

• Vorlage aktueller Zertifizierungen oder Prüfberichte (z. B. nach ISO 27001)
• Selbstauskünfte, Bestätigungen oder Berichte unabhängiger Prüfer
• Vorlage der aktuellen technischen und organisatorischen Maßnahmen (Anlage 1)

9.2 Inspektionen

Der Auftraggeber ist berechtigt, in Abstimmung mit dem Auftragnehmer Überprüfungen durchzuführen oder durch einen beauftragten Prüfer durchführen zu lassen. Der Prüfer darf kein Wettbewerber des Auftragnehmers sein.

9.3 Vorankündigung

Inspektionen vor Ort sind unter angemessener Vorankündigung von mindestens vier Wochen und unter Berücksichtigung der betrieblichen Abläufe des Auftragnehmers durchzuführen. Anlasslose Inspektionen sind auf eine pro Kalenderjahr beschränkt.

9.4 Kosten

Die Kosten für Überprüfungen trägt der Auftraggeber, es sei denn, die Überprüfung ergibt wesentliche Verstöße des Auftragnehmers gegen die Pflichten aus diesem AVV.

9.5 Vertraulichkeit

Der Auftraggeber und etwaige Prüfer sind verpflichtet, alle im Rahmen der Überprüfung erlangten Informationen vertraulich zu behandeln.

---

§10 Weisungen

10.1 Form

Weisungen des Auftraggebers bedürfen der Textform. E-Mail ist ausreichend.

10.2 Weisungsberechtigte

Der Auftraggeber benennt dem Auftragnehmer die weisungsberechtigten Personen. Änderungen der weisungsberechtigten Personen sind dem Auftragnehmer unverzüglich in Textform mitzuteilen. Bis zur Mitteilung gelten die zuletzt benannten Personen als weisungsberechtigt.

10.3 Empfänger

Weisungen sind an E-Mail anzeigen zu richten.

10.4 Dokumentation

Der Auftragnehmer dokumentiert Weisungen und deren Umsetzung.

10.5 Rechtswidrige Weisungen

Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der Weisung bis zur Klärung auszusetzen.

---

§11 Datenpannen

11.1 Meldepflicht

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

11.2 Inhalt der Meldung

Die Meldung umfasst mindestens:

• Eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Den Namen und die Kontaktdaten des Ansprechpartners für weitere Informationen
• Eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Eindämmung

11.3 Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).

11.4 Dokumentation

Der Auftragnehmer dokumentiert alle Verletzungen des Schutzes personenbezogener Daten einschließlich der damit zusammenhängenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen.

---

§12 Beendigung

12.1 Rückgabe oder Löschung

Nach Beendigung des Hauptvertrages löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt diese an den Auftraggeber zurück, sofern der Auftraggeber dies wünscht. Die Wahl obliegt dem Auftraggeber.

12.2 Datenexport

Der Auftraggeber hat nach Vertragsende 30 Tage Zeit, seine Daten über die integrierte Export-Funktion in maschinenlesbaren Formaten (JSON, CSV) zu exportieren.

12.3 Löschung

Nach Ablauf der 30-Tage-Frist werden alle im Auftrag verarbeiteten personenbezogenen Daten unwiderruflich gelöscht. Gelöschte Daten können sich für einen begrenzten Zeitraum in Sicherungskopien befinden. Sicherungskopien werden nach Ablauf der Backup-Aufbewahrungsfrist (30 Tage) automatisch überschrieben oder gelöscht und nicht produktiv wiederhergestellt.

12.4 Bestätigung

Der Auftragnehmer bestätigt dem Auftraggeber auf Verlangen die vollständige Löschung der Daten in Textform.

12.5 Ausnahmen

Gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten: 10 Jahre) bleiben unberührt. Gleiches gilt für Security-/Audit-Logs, die unabhängig von Inhaltsdaten für einen Zeitraum von einem Jahr aufbewahrt werden, um die Nachweisbarkeit sicherheitsrelevanter Vorgänge zu gewährleisten.

---

§13 Schlussbestimmungen

13.1 Vorrang

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag (AGB) oder der Datenschutzrichtlinie gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

13.2 Anwendbares Recht

Es gilt das Recht der Bundesrepublik Deutschland.

13.3 Gerichtsstand

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Hamburg, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

13.4 Schriftform

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. E-Mail ist ausreichend. Dies gilt auch für die Aufhebung dieser Formerfordernis.

13.5 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem Sinn und Zweck der unwirksamen Bestimmung möglichst nahekommt.

---

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Die folgenden technischen und organisatorischen Maßnahmen werden gemäß Art. 32 DSGVO zum Schutz der personenbezogenen Daten umgesetzt:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren:

• Hosting bei Hetzner Online GmbH (Rechenzentren in Falkenstein und Nürnberg, Deutschland) mit physischen Sicherheitsmaßnahmen des Rechenzentrumsbetreibers (Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal)
• Kein eigenes Rechenzentrum; physische Sicherheit wird durch den zertifizierten Hosting-Anbieter gewährleistet

1.2 Zugangskontrolle

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden:

• Sichere Passwort-Speicherung mittels kryptographischer Hash-Algorithmen (nicht umkehrbar)
• Zwei-Faktor-Authentifizierung (2FA) verfügbar
• JWT-basierte Authentifizierung mit kurzen Token-Laufzeiten
• API-Key-Authentifizierung mit mandantengebundenen Schlüsseln, granularen Berechtigungen (Scopes), optionalem Ablaufdatum und optionaler IP-Einschränkung
• Session-Management mit konfigurierbaren Ablaufzeiten
• Rate Limiting zum Schutz vor Brute-Force-Angriffen (Weboberfläche und API)
• Automatische Kontosperrung bei verdächtigen Aktivitäten

1.3 Zugriffskontrolle

Maßnahmen, die gewährleisten, dass Berechtigte nur auf die ihrer Berechtigung unterliegenden Daten zugreifen:

• Rollenbasiertes Berechtigungskonzept (Tenant Admin, Benutzer, externer Benutzer)
• Row Level Security (RLS) auf Datenbankebene für strikte Mandantentrennung
• API-Key-basierte Zugriffskontrolle mit granularen Scopes, die den Zugriff auf bestimmte Datenkategorien beschränken (z. B. nur Lesezugriff auf Aufgaben, kein Zugriff auf Gesundheitsdaten)
• Eingeschränkter Betreiberzugriff: Zugriff auf Inhaltsdaten nur in autorisierten Support-/Wartungsfällen, dokumentiert über Support-Tickets und Audit-Logs

1.4 Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden:

• Mandantentrennung durch Row Level Security (RLS) auf Datenbankebene als zweite Verteidigungslinie
• Anwendungsseitiger Tenant-Filter (tenant_id) auf jeder Query als erste Verteidigungslinie
• Jede Organisation verfügt über einen vollständig isolierten Datenbereich
• Tenant-bezogene Trennung auch im Objekt­speicher (Bucket-Pfade nach Mandant)
• Tenant-aware WebSocket- und Message-Queues (STOMP, RabbitMQ) — keine Cross-Tenant-Topics
• Technische Unmöglichkeit des Zugriffs auf Daten anderer Mandanten im Regelbetrieb

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Maßnahmen, die gewährleisten, dass Daten bei der Übertragung nicht unbefugt gelesen oder verändert werden:

• Verschlüsselung der gesamten Datenübertragung mittels TLS 1.3
• Kein Drittlandtransfer – alle Daten verbleiben in der EU/im EWR
• Verschlüsselte WebSocket-Verbindungen für Echtzeitfunktionen
• API-Zugriffe ausschließlich über verschlüsselte Verbindungen (HTTPS)
• Webhook-Nachrichten mit HMAC-SHA256-Signatur zur Verifizierung der Authentizität und Integrität; die Zustellung erfolgt an vom Auftraggeber konfigurierte externe Endpunkte, deren Sicherheit in der Verantwortung des Auftraggebers liegt
• Audio-/Video-Streams im Meeting-Modul werden zwischen Client und Audio-/Video-Server (LiveKit) per SRTP verschlüsselt übertragen
• Übermittlung von Audio-Daten und Transkripten an den Unterauftragnehmer Mistral AI (EU) ausschließlich über TLS-verschlüsselte API-Verbindungen

2.3 Verschlüsselung der Datenspeicherung (at rest)

Maßnahmen zur Verschlüsselung gespeicherter Daten:

• Verschlüsselung der Speicher-Volumes auf Ebene des Hosting-Anbieters (Volume-Encryption)
• Server-Side-Encryption (SSE-S3) im Objektspeicher (MinIO/S3-kompatibel) für Anhänge und temporäre Audio-Dateien
• Sichere Verwahrung der eingesetzten Schlüssel und Geheimnisse über zugriffsbeschränkte Konfigurations­speicher

2.2 Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich geprüft werden kann, ob und von wem Daten eingegeben, verändert oder entfernt wurden:

• Aktivitätsprotokoll für Änderungen an Aufgaben und Projekten
• Security-/Audit-Logs für sicherheitsrelevante Ereignisse (Login, Berechtigungsänderungen, API-Key-Erstellung und -Widerruf) mit Aufbewahrung von 1 Jahr
• Access-Logs und Error-Logs mit Aufbewahrung von 90 Tagen, einschließlich API-Zugriffe (API-Key-Kennung, IP-Adresse, Endpunkt, Request-ID)

3. Verfügbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

3.1 Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

• Regelmäßige automatisierte Backups
• Backup-Aufbewahrung für 30 Tage
• Redundante Infrastruktur beim Hosting-Anbieter Hetzner Online GmbH
• Systemüberwachung und Monitoring
• Verfügbarkeitsziel: 99,5 % im Monatsmittel

3.2 Wiederherstellbarkeit

Maßnahmen, die gewährleisten, dass Daten nach einem physischen oder technischen Zwischenfall wiederhergestellt werden können:

• Regelmäßige Backup-Tests
• Dokumentierte Wiederherstellungsprozesse
• Backup-Aufbewahrung für 30 Tage

4. Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Rate Limiting zum Schutz vor Überlastungsangriffen
• Automatische Virenprüfung bei Datei-Uploads
• Schutzmaßnahmen gegen DDoS-Angriffe auf Infrastrukturebene

5. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Sicherheitsupdates und Patches
• Dokumentierte Incident-Response-Prozesse
• Regelmäßige Sicherheitsüberprüfungen
• Schulung der Mitarbeiter im Bereich Datenschutz und Informationssicherheit
• Vertraulichkeitsverpflichtung aller Mitarbeiter

6. Datenminimierung und Lifecycle-Management der Meeting-Verarbeitung (Art. 5 Abs. 1 lit. c und e DSGVO)

Spezifisch für das Meeting-Modul mit optionaler Sprachaufnahme werden folgende Maßnahmen umgesetzt:

• Ephemere Verarbeitung der Sprachaufnahme: Die Audio-Datei wird unmittelbar nach erfolgreicher Übertragung an den Transkriptions-Dienst aus dem Objekt­speicher gelöscht. Sie verbleibt dort nicht dauerhaft.
• Ephemere Verarbeitung des Roh-Transkripts: Das Roh-Transkript mit Sprecher-Zuordnung (speech_events) wird unmittelbar nach Generierung der KI-Zusammenfassung und der erkannten Aufgaben aus der Datenbank gelöscht.
• Anonymisierte Quell-Zitate: Die persistierten erkannten Aufgaben enthalten optional ein anonymisiertes Quell-Zitat (max. 1.000 Zeichen, ohne Sprechernamen, ohne Ich-Form). Sprecher-Bezüge sind durch den Generierungs­prozess entfernt.
• Cleanup-Scheduler für Pipeline-Reste: Verbleibende Audio-Dateien fehlgeschlagener Pipelines werden durch einen automatisierten Scheduler nach maximal 7 Tagen gelöscht. Verbleibende Roh-Transkripte werden ebenfalls nach maximal 7 Tagen automatisiert entfernt.
• Kaskadierende Löschung: Beim Löschen eines Meetings werden alle zugehörigen Datensätze in der Datenbank und alle zugehörigen Dateien im Objektspeicher entfernt.
• Keine systematische Speicher-Akkumulation: Es existiert kein dauerhafter Bestand an Audio-Dateien oder Roh-Transkripten. Eine DSGVO-Auskunft (Art. 15) liefert für die Meeting-Verarbeitung ausschließlich die persistierten KI-Outputs.
• Frontend-Datenminimierung: Die im Frontend ehemals vorhandene Transkript-Ansicht wurde aus Datenminimierungsgründen vollständig entfernt. Sprecher-bezogene Detail-Anzeigen sind nicht möglich.

7. Datenminimierung und Lifecycle-Management der Mobile-Push-Verarbeitung (Art. 5 Abs. 1 lit. c und e DSGVO)

Spezifisch für den Versand von Push-Notifications an die Mobile-Apps über APNs (iOS) und FCM (Android) werden folgende Maßnahmen umgesetzt:

• Strikte Datenminimierung im Notification-Payload: Übertragen werden ausschließlich das opake Push-Token, der Notification-Typ und ein minimaler Inhalts­ausschnitt. Vorschau-Texte aus Aufgaben­kommentaren, Chat-Nachrichten und Erwähnungen werden auf maximal 100 Zeichen begrenzt. Vollständige Beleg- oder Rechnungs­details, Beträge auf Centebene, Mandanten-Klar­namen aus Berufs­geheimnis­branchen, Gesundheits­daten und vollständige Aufgaben­beschreibungen werden in Push-Payloads nicht übertragen.
• Tenant-seitige Steuerung der Push-Generierung: Tenant-Admins können über die Notification-Policies pro Notification-Typ steuern, ob ein Push erzeugt wird, und damit den Push-Kanal feingranular einschränken oder vollständig deaktivieren.
• Tenant-Setting „Push-Inhalt-Verkürzung" (in Vorbereitung): Eine zentrale Tenant-Konfiguration zur Reduktion aller Push-Payloads auf generische Texte (z. B. „Neue Nachricht" mit Deep-Link, ohne Sender-Name, ohne Vorschau) ist in Vorbereitung. Nach produktiver Einführung wird sie als zusätzliche TOM in dieser Anlage geführt; insbesondere für Berufs­geheimnis­branchen wird sie ausdrücklich empfohlen.
• Push-Token-Lifecycle: Push-Tokens werden in der mandanten­getrennten Tabelle device_push_tokens (mit Bezug zu tenant_id und user_id) gespeichert. Bei aktiver Geräte­abmeldung über den Mobile-Unregister-Endpunkt wird das Token gelöscht. Erhält das Backend bei einer Push-Zustellung von APNs oder FCM eine BadDeviceToken- bzw. NotRegistered-Antwort, wird das betreffende Token automatisch entfernt. Bei User-Deaktivierung sowie im Rahmen der Tenant-Lösch­kaskade werden alle zugehörigen Tokens gelöscht. Eine zusätzliche zeitgesteuerte Bereinigung verwaister Tokens auf Basis des Felds last_used_at ist produktiv vorgesehen und wird im Folge-Release ausgeliefert.
• Verschlüsselter Transport: Die Übermittlung an APNs erfolgt über HTTP/2 mit TLS 1.2+, an FCM über HTTPS mit TLS 1.2+. Innerhalb der spiritflow-Infrastruktur erfolgt die Übermittlung über TLS 1.3.
• Mandanten­trennung: Die Push-Generierung erfolgt pro Tenant; jede Datenbank­abfrage auf device_push_tokens enthält den Tenant-Filter.
• Coding-Standard: Bei jeder Erweiterung um einen neuen Notification-Typ wird im Code-Review geprüft, ob der Push-Payload sensitive Klar­inhalte transportiert. Diese Prüfung ist Bestandteil der Pull-Request-Checkliste.

---

Anlage 2: Genehmigte Unterauftragnehmer

Die folgenden Unterauftragnehmer sind zum Zeitpunkt des Vertragsschlusses genehmigt:

Mit den in der EU ansässigen Unterauftragnehmern (Hetzner Online GmbH, Strato AG, Mistral AI SAS) bestehen Auftragsverarbeitungs­verträge gemäß Art. 28 DSGVO; die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Europäischen Union. Mistral AI ist vertraglich verpflichtet, die übermittelten Daten nicht für eigene Trainings­zwecke zu verwenden.

Drittland­transfer Apple Inc. und Google LLC: Die Verarbeitung durch Apple Inc. (APNs) und Google LLC (FCM) erfolgt in den Vereinigten Staaten von Amerika. Die Geltung des EU-US Data Privacy Framework wurde durch das Urteil des Europäischen Gerichts (EuG) vom 03.09.2025 (Rs. T-553/23) bestätigt. Die DPF-Zertifizierung beider Unter­nehmen wurde durch den Auftragnehmer zuletzt am 2026-05-01 über die offizielle Liste unter dataprivacyframework.gov/list verifiziert. Eine erneute Verifikation findet halbjährlich statt; nächster planmäßiger Termin ist November 2026. Apple und Google bieten ergänzend SCC-basierte Verträge an, auf die die Übermittlung im Falle einer Aufhebung des DPF-Angemessenheits­beschlusses zurückfällt.

Die Apple Inc. und Google LLC nehmen ausschließlich das technische Routing der Push-Notifications wahr; eine Verarbeitung der Notification-Inhalte zu eigenen Zwecken ist im Rahmen ihrer Rolle als technische Vermittler nicht vorgesehen. Die Notification-Payloads werden vom Auftragnehmer nach den in Anlage 1 Abschnitt 7 dokumentierten Datenminimierungs­regeln gestaltet.

Hinweis zum Audio-/Video-Server (LiveKit): Die Software LiveKit wird vom Auftragnehmer auf der Infrastruktur der Hetzner Online GmbH selbst betrieben. Es findet keine Datenübermittlung an die Hersteller des LiveKit-Projekts statt. LiveKit ist daher kein eigenständiger Unterauftragnehmer im Sinne von Art. 28 DSGVO.