# Auftragsverarbeitungsvertrag, Anlage 1 zu den Nutzungsbedingungen

 

Vertrag nach Art. 28 Abs. 3 der Verordnung (EU) 2016/679 („DSGVO“). Er bindet ab dem Abschluss des Vertrags über den Dienst, ohne gesonderte Unterschrift, als Bestandteil der Nutzungsbedingungen. Version 1.2. Gültig ab 2026-11-01.

## § 1. Parteien und Gegenstand

1. **Verantwortlicher**: der Kunde im Sinne von § 2 Abs. 1 der Nutzungsbedingungen.
2. **Auftragsverarbeiter**: VIGELION Tomasz Czubkowski, ul. Wiosenna 25, 60-185 Skórzewo, Polen, Steuernummer (NIP) 973-024-00-52 („featureloom“, „wir“). 
3. Gegenstand: die Übertragung der Verarbeitung personenbezogener Daten an uns in dem Umfang, der für die Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes featureloom erforderlich ist (§ 5). Dieser Vertrag umfasst keine Daten, für die wir Verantwortlicher sind (§ 10 Abs. 1 der Nutzungsbedingungen).

## § 2. Art, Zweck und Dauer der Verarbeitung

1. Art: Speicherung mit Versionsverlauf, Ordnen, Bereitstellung für die Personen, Agenten und Automationen des Verantwortlichen, Generierung von Dokumenten mithilfe eines Sprachmodells auf Weisung des Verantwortlichen, Export, Löschung.
2. Zweck: Erbringung des Dienstes.
3. Dauer: für die Laufzeit des Vertrags über den Dienst und den Zeitraum der Löschung der Daten nach seiner Beendigung (§ 9).

## § 3. Art der Daten und Kategorien betroffener Personen

| Kategorie betroffener Personen | Daten |
|---|---|
| Nutzer | der Name des Autors, Datumsangaben und Inhalt ihrer Einträge  |
| in den Inhalten der Organisation genannte Personen (Kunden, Mitarbeiter, Dritte) | Vor- und Nachnamen, Positionen, Kontaktdaten und jede andere Information, die in die Inhalte der Organisation eingegeben wird; unbeabsichtigt auch Daten besonderer Kategorien (§ 5 Abs. 2) |

## § 4. Unsere Pflichten (Art. 28 Abs. 3 DSGVO)

1. Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung von Daten an ein Drittland. Weisung sind die Nutzungsbedingungen, dieser Vertrag sowie die Handlungen und Einstellungen der Personen, Agenten und Automationen des Verantwortlichen im Dienst. Verpflichtet uns das Recht der Union oder eines Mitgliedstaats zur Verarbeitung, teilen wir dies vor der Verarbeitung mit, es sei denn, das Recht verbietet es (Buchst. a).
2. Die zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet (Buchst. b).
3. Wir treffen die in § 6 beschriebenen Maßnahmen nach Art. 32 DSGVO (Buchst. c).
4. Wir unterstützen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO: Wir melden Verletzungen (§ 10) und liefern Informationen für die Datenschutz-Folgenabschätzung (Buchst. f).
5. Wir stellen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten erforderlich sind, und ermöglichen Überprüfungen (§ 11) (Buchst. h). Wir informieren unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

## § 5. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der anvertrauten Daten verantwortlich.
2. Der Verantwortliche darf den Dienst nicht auf die Erhebung von Daten besonderer Kategorien ausrichten und darf keine Inhalte zur Generierung auswählen, die solche Daten enthalten (Art. 9 und 10 DSGVO).

## § 6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. **Isolation der Organisationen in der Datenbank**: Für Pläne, Prompts, Epics, Projekte, Teams, Material, Fragen, Versionen, Generierungsaufträge sowie die Einstellungen der Integrationen und des Modells gilt in der Datenbank eine erzwungene Regel zur Trennung der Daten der Organisationen; Einladungen, Mitgliedschaften, Konten, Konsolen und Automationsschlüssel isoliert eine Bedingung zur Organisation in jeder Anfrage an die Datenbank, geprüft durch Tests, die jede Änderung des Codes besteht. 
2. **Authentifizierung**: Passwörter speichern wir nur als kryptografische Hashwerte; Sitzungen können ungültig gemacht werden und laufen 14 Tage nach der Anmeldung und nach 3 Tagen ohne Nutzung ab; nach 5 fehlgeschlagenen Versuchen innerhalb von 15 Minuten wird die Anmeldung verzögert; Administratoren der Organisation, die mehr als eine Person hat, müssen die zweistufige Anmeldung eingerichtet haben; aktivieren kann sie jeder, und der Administrator der Organisation kann sie von allen Mitgliedern verlangen. Über eine Anmeldung aus einem neuen Browser (seit 90 Tagen nicht genutzt) und über einen neuen Nutzungsort einer Konsole informieren wir ihre Person per E-Mail, und über einen neuen Nutzungsort eines Automationsschlüssels die Administratoren der Organisation, einmal täglich. 
3. **Maschineller Zugriff**: Konsolen und Automationsschlüssel haben Ablaufdaten und Limits (§ 4 Abs. 6 und 7 der Nutzungsbedingungen) und können ungültig gemacht werden. 
4. **Verschlüsselung bei der Übertragung**: im öffentlichen Netz ausschließlich HTTPS (bis Cloudflare und weiter bis zu unserem Zwischenserver); die Verschlüsselung endet an unserem Zwischenserver, und von dort zur App läuft der Datenverkehr über unser internes Netz ohne Verschlüsselung, in den Räumen aus Abs. 9. Geheimnisse der Integrationen und der zweistufigen Anmeldung sind in der Datenbank verschlüsselt. 
5. **Daten im Ruhezustand**: Die Festplatte der Datenbank ist heute nicht auf der Ebene des Datenträgers verschlüsselt; ihr Datenträger steht unter unserer ausschließlichen Kontrolle, in den Räumen und auf der Hardware aus Abs. 9. 
6. **Löschung mit Register**: Die Löschung des Materials und die automatische Löschung einer Organisation entfernen den Inhalt und hinterlassen einen Registereintrag ohne Inhalt. 
7. **Protokolle**: Aus dem Protokoll unseres Zwischenservers entfernen wir Anmeldedaten und maskieren die Codes aus Links für Einladungen und für das Zurücksetzen des Passworts; die App schreibt den Inhalt von Plänen, Passwörter und Geheimnisse nicht in die Protokolle. 
8. **Programmversionen und Änderungen der Datenbank**: Änderungen führen wir aus gekennzeichneten Versionen ein und prüfen, dass das eingeführte Programm genau das aus der gekennzeichneten Version ist; Änderungen am Aufbau der Datenbank nehmen wir nach Erstellung einer Sicherung und nach einer unabhängigen Prüfung der Änderung vor. 
9. **Sicherungen und Standort**: eine nächtliche Sicherung der Datenbank (mit den Inhalten der Organisation), die höchstens 6 Monate aufbewahrt wird; jede Sicherung prüfen wir bei ihrer Erstellung, und die Wiederherstellung üben wir. Orte der Verarbeitung: der Produktionsserver, der Zwischenserver (mehrere Dienste des Inhabers nutzen ihn gemeinsam), der interne Server und der Sicherungsspeicher befinden sich in Polen, auf Hardware und in Räumen von featureloom, ohne Hosting-Anbieter. Eine zusätzliche, verschlüsselte Sicherung bewahren wir getrennt auf. 
10. **Personal und Betreiber**: Administrativen Zugang haben ausschließlich der Inhaber und von ihm berechtigte Personen. Der Betreiberbereich zeigt Zähler und Metadaten der Organisationen, nicht die Inhalte; der Betreiber kann technisch eine Einladung in eine Organisation ausstellen und die zweistufige Anmeldung einer Person zurücksetzen, und tut dies nur auf Verlangen des Verantwortlichen oder aufgrund einer rechtlichen Verpflichtung. 

## § 7. Weitere Auftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die Inanspruchnahme der in Anlage 3 Teil 1 genannten Stellen (eine öffentliche Liste mit dem Datum der letzten Änderung) sowie ihrer weiteren Auftragsverarbeiter, die auf ihren in Anlage 3 angegebenen öffentlichen Listen genannt sind.
2. Über die beabsichtigte Hinzuziehung oder Änderung einer Stelle aus Teil 1 informieren wir die Administratoren der Organisation per E-Mail mindestens 30 Tage im Voraus; über eine Änderung bei einem Anbieter, der uns selbst eine kürzere Vorankündigung gibt, informieren wir innerhalb von 3 Arbeitstagen ab seiner Mitteilung. Der Verantwortliche kann innerhalb dieser Frist widersprechen; können wir den Widerspruch nicht berücksichtigen, kann jede Partei den Vertrag über den Dienst mit Wirkung zum Tag der Änderung kündigen, mit Erstattung für den ungenutzten Zeitraum und, wenn wir kündigen, auch der Zahlung für den ungenutzten, bezahlten Teil des Guthabens samt Steuer, innerhalb von 14 Tagen. 
3. Wir erlegen jeder solchen Stelle durch Vertrag dieselben Datenschutzpflichten auf, die in Art. 28 Abs. 3 DSGVO genannt sind (Art. 28 Abs. 4); Fristen und Verfahren ergeben sich aus den in Anlage 3 angegebenen Verträgen, wobei die Anlage die Abweichungen von diesem Vertrag nennt. Für die Erfüllung dieser Pflichten haften wir gegenüber dem Verantwortlichen.
4. Eine Übermittlung von Daten durch uns an ein Drittland erfolgt ausschließlich an eine Stelle aus Anlage 3 Teil 1 auf der dort angegebenen Grundlage: ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der Kommission.
5. An die vom Verantwortlichen ausgewählten Empfänger (Slack und Programme, die sich über MCP verbinden, Anlage 3 Teil 2) gelangen Daten ausschließlich auf seine dokumentierte Weisung; die Grundlage für eine Übermittlung außerhalb des EWR schafft der Vertrag des Verantwortlichen mit diesem Empfänger.

## § 8. Unterstützung bei den Rechten betroffener Personen

1. Einen Antrag einer betroffenen Person, der an uns gerichtet ist und anvertraute Daten betrifft, leiten wir innerhalb von 3 Arbeitstagen an den Verantwortlichen weiter, ohne in der Sache zu antworten.
2. Der Verantwortliche erfüllt Anträge mit den Werkzeugen des Dienstes: Bearbeitung und Löschung eines Plans, eines Prompts, des Materials, Entfernung einer Person aus der Organisation, Export aller Daten. Die Bearbeitung eines Plans oder Prompts löscht seine früheren Versionen nicht (Anlage 2); die dauerhafte Löschung eines Teils erfordert das Speichern des Inhalts ohne diesen Teil und die Löschung der früheren Versionen im Dienst (gilt nicht für die Begründung der Abnahmeentscheidung) oder die Löschung des Plans oder Prompts samt Verlauf und, wenn das nicht möglich ist, eine Weisung an uns (Abs. 3). 
3. Handlungen, die der Verantwortliche nicht selbst im Dienst vornehmen kann, nehmen wir auf seine Weisung innerhalb von 14 Tagen vor; eine Vergütung nur dann, wenn der Antrag exzessiv ist und die Parteien dies vereinbaren.

## § 9. Ende der Verarbeitung

1. Nach dem Ende des Vertrags über den Dienst funktioniert der Export während des gesamten Abrufzeitraums (§ 13 Abs. 2 und § 14 Abs. 1 der Nutzungsbedingungen), danach löschen wir alle anvertrauten Daten, auch aus den Sicherungen in ihrem Aufbewahrungszyklus nach Anlage 2 (höchstens 6 Monate), und bestätigen die Löschung auf Verlangen schriftlich, mit dem Datum, an dem die letzte Sicherung verschwindet. Daten, die der Modellanbieter aufgrund seiner Nutzungsregeln oder des Rechts aufbewahrt (Anlage 3), können wir nicht selbst löschen.

## § 10. Verletzungen des Schutzes personenbezogener Daten

1. Eine Verletzung des Schutzes der anvertrauten personenbezogenen Daten melden wir dem Verantwortlichen unverzüglich, spätestens 48 Stunden, nachdem wir von der Verletzung erfahren haben, auch aus einer Mitteilung eines weiteren Auftragsverarbeiters, an die E-Mail-Adressen der Administratoren der Organisation, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, die schrittweise ergänzt werden.

## § 11. Überprüfung und Informationen

1. Auf Verlangen des Verantwortlichen, höchstens einmal in 12 Monaten, es sei denn, es ist eine Verletzung des Schutzes der anvertrauten personenbezogenen Daten eingetreten, es bestehen Anhaltspunkte für einen Verstoß gegen diesen Vertrag oder eine Aufsichtsbehörde verlangt es, stellen wir die Ergebnisse unserer eigenen Prüfungen und das Löschregister zu seiner Organisation zur Verfügung.
2. Die Überprüfung, einschließlich einer Inspektion, führt der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer durch, vor Ort nach Abstimmung des Termins (mindestens 14 Tage im Voraus), während der Geschäftszeiten, ohne Zugang zu Daten anderer Kunden, auf Kosten des Verantwortlichen, es sei denn, die Überprüfung ergibt einen Verstoß gegen diesen Vertrag.

## § 12. Haftung und Schlussbestimmungen

1. Die gegenseitige Haftung der Parteien bestimmt § 9 der Nutzungsbedingungen.
2. Bei einem Konflikt mit den Nutzungsbedingungen in Fragen des Datenschutzes hat dieser Vertrag Vorrang.