Vertrag über die Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher ist der Kunde. Auftragsverarbeiter ist Digitalgurus (Carsten Urbanski), Kettelerstr. 42, 76863 Herxheim („Anbieter“).

Der Anbieter speichert und verarbeitet für den Kunden die Inhalte, die der Kunde, seine Mitarbeiter und seine Agenten in COMPASS ablegen, und stellt sie über Weboberfläche, Programmierschnittstelle und Werkzeug-Server für Agenten bereit. Andere Zwecke verfolgt er mit diesen Daten nicht.

Der Vertrag läuft so lange wie der Vertrag über die Nutzung von COMPASS.

2. Art der Daten und betroffene Personen

Was der Kunde in COMPASS ablegt, bestimmt er selbst. Erfahrungsgemäß sind das:

• Daten: Namen, dienstliche Kontaktdaten und Rollen; Freitext in Regeln, Entscheidungen, Fakten, Lehren, Nachrichten, Fragen, Dokumenten (auch in früheren Fassungen), Prozessen, Sachen, Nachweisen und Widersprüchen, der Angaben über Personen enthalten kann; hochgeladene Bilder; Nutzungsdaten (wer hat wann welchen Bereich aufgerufen, mit welchem Programm).
• Betroffene: Mitarbeiter des Kunden; Personen, über die der Kunde Wissen ablegt, etwa seine Kunden, Klienten oder Geschäftspartner.

Besondere Kategorien nach Art. 9 DSGVO sind ausdrücklich Gegenstand dieses Vertrags — einschließlich Gesundheitsdaten. Der Kunde darf sie in COMPASS verarbeiten; er braucht dafür eine eigene Rechtsgrundlage (etwa die Einwilligung der betroffenen Person oder Art. 9 Abs. 2 lit. h DSGVO) und informiert den Anbieter vorher, damit dieser das Schutzniveau danach ausrichtet.

Der Anbieter trifft für diese Daten keine zusätzlichen, über Anlage 1 hinausgehenden Maßnahmen.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Nutzung von COMPASS über seine Oberflächen und Schnittstellen ist eine solche Weisung. Hält der Anbieter eine Weisung für rechtswidrig, sagt er das dem Kunden unverzüglich.

4. Vertraulichkeit

Wer beim Anbieter Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet. Gemessen am 08.10.2026 hat eine Person Zugang zum Server und damit zur Datenbank: der Inhaber selbst. Weitere Beschäftigte mit Zugang gibt es nicht. Erhält eine weitere Person Zugang, verpflichtet der Anbieter sie vorher schriftlich zur Vertraulichkeit und nennt sie hier.

5. Sicherheit

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Kunde ist mit den Unterauftragsverarbeitern in Anlage 2 einverstanden. Einen neuen oder ausgetauschten Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann können beide Seiten den Vertrag kündigen.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Pflichten. Für eine Übermittlung in ein Land außerhalb der EU sorgt er für eine Grundlage nach Art. 44 ff. DSGVO.

7. Kein Trainieren von KI-Modellen

Der Anbieter verwendet die Daten des Kunden nicht zum Trainieren von KI-Modellen und erlaubt das auch keinem Unterauftragsverarbeiter.

8. Rechte der Betroffenen

Der Anbieter unterstützt den Kunden dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Erreicht eine solche Anfrage den Anbieter, leitet er sie an den Kunden weiter.

Der Kunde kann seine Inhalte jederzeit selbst exportieren und Aussagen beenden oder ablösen. Löschung nach Art. 17 DSGVO: Der Anbieter setzt ein Löschverlangen innerhalb von 30 Tagen nach Eingang um; bei besonderer Komplexität verlängert sich die Frist um bis zu zwei Monate, worüber der Anbieter den Kunden mit Begründung unterrichtet. Das Verlangen geht per E-Mail an office@athron.io. COMPASS löscht dabei keine Zeilen, sondern macht die Personenangabe unkenntlich: Der Eintrag wird durch ein Pseudonym ersetzt und ist danach keiner Person mehr zuzuordnen, die Aussage selbst bleibt lesbar, und der Vorgang wird protokolliert. Grenze, ausdrücklich: Der fortlaufende Prüfpfad (Audit-Protokoll) wird nur angehängt und nie umgeschrieben. Er enthält frühere Fassungen geänderter Zeilen und behält deshalb auch frühere Personenangaben. Er ist ausschließlich für den Anbieter lesbar, nicht für andere Kunden und nicht über die Anwendung.

9. Unterstützung bei weiteren Pflichten

Der Anbieter unterstützt den Kunden bei Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO), soweit ihm das mit den Mitteln von COMPASS möglich ist.

Erfährt der Anbieter von einer Verletzung des Schutzes der Daten des Kunden, meldet er sie dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden ab eigener Kenntnis — damit der Kunde seine eigene Frist von 72 Stunden aus Art. 33 DSGVO halten kann —, mit den Angaben, die der Kunde für seine eigene Meldung braucht.

10. Ende des Auftrags

Nach Vertragsende kann der Kunde seine Daten noch 30 Tage exportieren. 90 Tage nach Vertragsende löscht der Anbieter sie und bestätigt das auf Wunsch schriftlich. In den Sicherungen bleiben sie länger erhalten: auf dem Server in bis zu 14 täglichen Abzügen, in der verschlüsselten Kopie außer Haus je nach Alter in bis zu 14 täglichen, 8 wöchentlichen und 12 monatlichen Ständen. Spätestens 13 Monate nach der Löschung sind sie auch dort entfernt. Eine gesetzliche Pflicht zur Aufbewahrung bleibt unberührt.

Selbsttätig geschieht das heute nicht: Ein Konto, dessen Vertrag endet, fällt auf die Stufe Free zurück. Die Löschung nimmt der Anbieter von Hand vor.

11. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten Prüfer nach Ankündigung von mindestens vier Wochen. Einmal je Kalenderjahr ist eine Überprüfung für den Kunden kostenlos; für jede weitere kann der Anbieter den Aufwand berechnen. Bei einem konkreten Anlass — etwa einer Datenpanne — gilt keine Wartezeit und keine Begrenzung auf eine Prüfung.

Anlage 1 · Technische und organisatorische Maßnahmen

• Trennung der Kunden: Jede Datentabelle mit Kundendaten trägt die Kennung des Kunden. Die Datenbank selbst lässt jeden Zugriff nur auf die Zeilen dieses Kunden zu (Zeilenschutz). Die Anwendung arbeitet mit einer Datenbankrolle, die diesen Schutz nicht umgehen kann.
• Zugang: Passwörter mit mindestens 12 Zeichen, gespeichert als PBKDF2-HMAC-SHA256 mit 260.000 Durchläufen und eigenem Salz. Zugangsschlüssel, Einladungs-, Bestätigungs- und Sitzungskennungen nur als SHA-256-Prüfwert. Wiederholte Fehlversuche werden je E-Mail-Adresse und je IP-Adresse gebremst.
• Rollen: Eigentümer, Verwalter, Mitglied, nur Lesen. Änderungen an Mitgliedschaften und Eingriffe des Betreibers werden protokolliert und können nicht gelöscht werden.
• Nachvollziehbarkeit: Jede Aussage trägt, wer oder welcher Agent sie angelegt hat. Lesende Zugriffe werden je Tag gezählt.
• Integrität: Aussagen werden nicht überschrieben; jede Änderung ist eine neue Fassung mit Verweis auf die alte.
• Verfügbarkeit: Tägliche Sicherung der Datenbank, verschlüsselt (AES-256-CBC, Schlüssel aus einer Passphrase abgeleitet), ebenso die zusätzliche Sicherung vor jedem Ausrollen; auf dem Server bleiben die 14 jüngsten täglichen Abzüge erhalten. Jede Nacht geht der jüngste verschlüsselte Abzug außer Haus auf einen getrennten Speicher bei Hetzner in der EU (Storage Box) und wird dort gegengelesen. Die Wiederherstellung wird monatlich geprobt: Einspielen in eine leere Datenbank, Prüfung Zeile für Zeile gegen die Zählung.
  Gemessen am 28.10.2026: kein unverschlüsselter Abzug auf dem Server; Kopie außer Haus zuletzt am 28.10.2026 erfolgreich; letzte Wiederherstellungsprobe am 25.10.2026, 594 von 594 Prüfungen bestanden.
• Übertragung: Die Verbindung zum Browser ist verschlüsselt (TLS). Gemessen am 08.10.2026: für compass.athron.io endet die Verschlüsselung auf dem Server selbst, im eigenen Webserver, mit einem Zertifikat von Let’s Encrypt; HSTS ist gesetzt. Für die Website athron.io endet sie dagegen bei Cloudflare, das als Vermittler davor steht. E-Mail-Versand verschlüsselt (STARTTLS) über den Dienst von Google. Geheimnisse für Webhooks werden verschlüsselt gespeichert.
• Datenbank: nicht aus dem Internet erreichbar.

Zutritt: Der Server steht im Rechenzentrum Nürnberg der Hetzner Online GmbH; für Zutritt und Gebäudesicherheit gilt deren Nachweis.

Server-Protokolle: Gemessen am 08.10.2026 werden die Protokolle des Webservers in einem der Größe nach begrenzten Umlauf gehalten (höchstens fünf Abschnitte zu je 50 MB), nicht nach einer Frist gelöscht; für die Protokolle der Anwendung ist keine Grenze gesetzt.

Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d): Ein Verfahren mit festem Abstand für diese Überprüfung ist nicht festgelegt.

Anlage 2 · Unterauftragsverarbeiter

Google ist kein Unterauftragsverarbeiter: Bei der Anmeldung mit Google erhält COMPASS von Google nur Name und E-Mail-Adresse der anmeldenden Person. Ziele für Webhooks wählt der Kunde selbst; sie sind seine Empfänger, nicht die des Anbieters.

Stand

In Kraft seit dem 15.10.2026.