Auftragsverarbeitungsvertrag
Parteien und Geltung
Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Kunden, der ein Konto bei Trayyce hat (Verantwortlicher), und Kevin Feiler Einzelunternehmen, Marke Trayyce, Königstraße 5, 70173 Stuttgart (Auftragsverarbeiter, im Folgenden „wir“).
Er ist Teil der Nutzungsbedingungen und gilt, sobald der Kunde Werkzeuge nutzt, mit denen wir personenbezogene Daten in seinem Auftrag verarbeiten. In Fragen des Datenschutzes geht er den Nutzungsbedingungen vor. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).
Gegenstand, Art und Zweck
Wir verarbeiten personenbezogene Daten nur, um die Werkzeuge bereitzustellen, die der Kunde nutzt, und nur so, wie es die Datenschutzerklärung im Abschnitt „Werkzeuge im Kundenbereich“ beschreibt. Das sind derzeit das Datenschutz-Werkzeug (Suche nach Daten einer Person, die eingewilligt hat, mit Fundstellen und Antragsentwürfen), das Kontaktformular für die Website des Kunden, die Telegram-Bots des Kunden (Postfach und Bot-Kontakte) und jedes weitere Werkzeug, bei dem die Datenschutzerklärung den Kunden als Verantwortlichen nennt.
Die Verarbeitung umfasst Erheben, Speichern, Abfragen bei den unten genannten Diensten, Anzeigen für die Nutzer des Kunden und Löschen.
Arten der Daten und betroffene Personen
Daten: Namen, E-Mail-Adressen, Telefonnummern, Anschriften und Benutzernamen, Fundstellen und Antragsentwürfe, Anfragen über das Kontaktformular mit Website, E-Mail-Adresse, optional Firmenname und Einwilligungstext sowie bei Telegram-Bots Vorname, @Benutzername, Telegram-ID und Nachrichten der Person mit Antworten, Antwortvorschlägen, Status und Notizen.
Betroffene: Personen, für die der Kunde einen Fall im Datenschutz-Werkzeug anlegt, Personen, die das Kontaktformular des Kunden ausfüllen, Personen, die einem Telegram-Bot des Kunden schreiben, und die Nutzer des Kunden.
Dauer
Der Vertrag läuft, solange das Konto des Kunden besteht. Wie lange einzelne Daten gespeichert bleiben, steht in der Datenschutzerklärung; Fälle des Datenschutz-Werkzeugs bleiben, bis der Kunde sie löscht.
Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind seine Einstellungen und Aktionen im Kundenbereich; weitere Weisungen erteilt er in Textform an [email protected]. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich. Verarbeitungen, zu denen uns das Recht der EU oder Deutschlands verpflichtet, teilen wir ihm vorher mit, soweit das erlaubt ist.
Vertraulichkeit
Wer bei uns Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht.
Technische und organisatorische Maßnahmen
Die Daten liegen auf einem Server in einem Rechenzentrum in Deutschland und werden nur verschlüsselt übertragen. Passwörter speichern wir nur als gesalzenen Hash, Sitzungsschlüssel und Zugangslinks nur als Hash.
Die Daten jedes Kunden gehören zu seiner Firma; Nutzer anderer Firmen sehen sie nicht, und innerhalb der Firma regeln Rollen und Freigaben, wer was sieht. Zugang zum Server haben nur wir und von uns Beauftragte.
Protokolle enthalten keine IP-Adressen und werden nach 14 Tagen gelöscht. Vor jeder Aktualisierung legen wir eine Sicherungskopie an; die fünf jüngsten bleiben, ältere löschen wir nach 14 Tagen. Anfragen sind gegen Missbrauch begrenzt.
Wir passen die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.
Unterauftragsverarbeiter
Der Kunde erlaubt uns, Unterauftragsverarbeiter einzusetzen. Derzeit sind das Cloudflare, Inc., USA (Netzwerk, DNS und Tunnel zu unserem Server; zertifiziert nach dem EU-US Data Privacy Framework, dazu Standardvertragsklauseln) und der Vermieter unseres Servers in einem Rechenzentrum in Deutschland, dessen Namen wir dem Kunden auf Anfrage nennen.
Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen und den Vertrag dann zum Wechsel kündigen. Unterauftragsverarbeiter verpflichten wir auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).
Dienste, die der Kunde abfragen lässt
Startet der Kunde eine Suche im Datenschutz-Werkzeug, fragen wir auf seine Weisung diese Dienste ab: Gravatar (Prüfsumme der E-Mail-Adresse; Automattic Inc., USA, Standardvertragsklauseln), GitHub (Benutzername; GitHub, Inc., USA, zertifiziert nach dem EU-US Data Privacy Framework), crt.sh (Domain; Sectigo Limited, Vereinigtes Königreich, Angemessenheitsbeschluss) und Pwned Passwords (nur die ersten fünf Zeichen einer Prüfsumme, ohne Personenbezug; Superlative Enterprises Pty Ltd, Australien). Diese Dienste sind keine Unterauftragsverarbeiter, sondern Empfänger, an die der Kunde die Daten übermitteln lässt. Dienste in Ländern ohne Angemessenheitsbeschluss und ohne Garantien nach Art. 46 DSGVO fragen wir nicht ab.
Unterstützung des Kunden
Wir unterstützen den Kunden bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO), soweit er sie nicht selbst im Kundenbereich erledigen kann, etwa durch Löschen eines Falls. Erreicht eine solche Anfrage uns, leiten wir sie an den Kunden weiter. Wir unterstützen ihn außerdem bei Sicherheit der Verarbeitung, Meldungen von Datenpannen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO).
Eine Verletzung des Schutzes personenbezogener Daten des Kunden melden wir ihm unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben, die er für seine eigene Meldung braucht (Art. 33 Abs. 3 DSGVO).
Löschung und Rückgabe
Nach dem Ende des Vertrags löschen wir die Daten des Kunden innerhalb von 30 Tagen, soweit uns kein Gesetz zur Aufbewahrung verpflichtet. Auf Wunsch geben wir sie vorher in einem gängigen Format heraus. Sicherungskopien laufen nach den Fristen der Datenschutzerklärung aus.
Nachweise und Kontrollen
Wir stellen dem Kunden die Informationen zur Verfügung, die er zum Nachweis dieser Pflichten braucht. Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer ermöglichen wir nach Ankündigung mit angemessener Frist.
Haftung
Für die Haftung gilt Art. 82 DSGVO, im Übrigen der Abschnitt „Haftung“ der Nutzungsbedingungen.
Stand
26. Oktober 2026