Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: 11. August 2026

Dieser Vertrag wird zwischen der Beratung, die AnimaMPU nutzt (nachfolgend „Verantwortlicher“), und AnimaContent, Inhaber Ervin Keljic, Mellinghofer Str. 163–165, 45473 Mülheim an der Ruhr (nachfolgend „Auftragsverarbeiter“) geschlossen. Er ist Bestandteil des Nutzungsvertrags und wird mit diesem wirksam.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software AnimaMPU bereit. Dabei verarbeitet er personenbezogene Daten der Mandanten des Verantwortlichen in dessen Auftrag.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Verantwortlichen und dessen Mitarbeiter, Einschränken, Löschen.

(2) Zweck: Verwaltung der Fälle des Verantwortlichen: Aktenführung, Termine, Fristen, Abstinenzprogramme, Unterlagen, Abläufe.

(3) Betroffene: Mandanten des Verantwortlichen sowie dessen Mitarbeiter.

(4) Datenarten: Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten), Falldaten (Anlass, Fristen, Termine, Verlauf, Notizen), hochgeladene Unterlagen, Zugangsdaten des Mandanten (Fingerabdruck des Einladungs-Links, Hashwert eines gesetzten Passworts, Zeitpunkte der Zugriffe) sowie Nutzungs- und Protokolldaten.

(5) Besondere Kategorien: Die Verarbeitung umfasst Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, insbesondere Abstinenznachweise, Laborbefunde und ärztliche Unterlagen, sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Beide Parteien sind sich der daraus folgenden erhöhten Anforderungen bewusst.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen und seine Mitarbeiter gilt als Weisung. Als dokumentierte Weisung gelten insbesondere die Einstellungen, mit denen der Verantwortliche den Zugang seiner Mandanten festlegt: die Zugangsart, der Versandweg der Einladung und deren Gültigkeitsdauer. Der Auftragsverarbeiter zeichnet jede Änderung dieser Einstellungen mit Zeitpunkt und handelnder Person auf.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragsverarbeiter nutzt die Daten insbesondere nicht zur Verbesserung eigener Produkte, nicht zum Training von Modellen und nicht für Werbung.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragnehmer

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu.

(2) Weitere Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen, datenschutz- bezogenen Grund widersprechen. Widerspricht er, kann jede Seite den Vertrag zum geplanten Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten und haftet für dessen Verhalten wie für eigenes.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich weiter und beantwortet ihn nicht selbst.

(2) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(3) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und übermittelt die Angaben, die dieser für seine Meldung nach Art. 33 DSGVO benötigt.

§ 8 Nachweis und Kontrolle

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung erforderlich sind.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie werden mit angemessener Frist angekündigt, finden zu üblichen Geschäftszeiten statt und stören den Betrieb nicht unangemessen.

(3) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es auf Verlangen vor.

§ 9 Ort der Verarbeitung

(1) Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Anwendung, Datenbank und Dateiablage sind technisch auf europäische Regionen festgelegt.

(2) Die in Anlage 2 genannten Unternehmen haben ihren Gesellschaftssitz in den Vereinigten Staaten und unterliegen dortigem Recht. Ein Zugriff von dort ist damit nicht mit letzter Sicherheit ausgeschlossen. Mit jedem dieser Unternehmen bestehen die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss 2021/914). Diese Einordnung wird hier ausdrücklich genannt und nicht verkürzt.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Vertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format herunterladen.

(2) Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelung des Nutzungsvertrags bleibt im Übrigen unberührt, soweit sie nicht gegen Art. 82 DSGVO verstößt.

Anlage 1: Technische und organisatorische Maßnahmen

Stand: 11. August 2026. Es ist beschrieben, was tatsächlich läuft.

• Trennung der Betriebe: Die Trennung sitzt in der Datenbank selbst (Row Level Security mit erzwungener Prüfung), nicht erst in der Abfrage der Anwendung. Der Zugriff läuft über eine eingeschränkte Datenbankrolle, die diese Prüfung nicht umgehen kann. 31 automatische Prüfungen versuchen bei jedem Bauvorgang genau das, was nicht gehen darf; schlägt eine an, geht die Änderung nicht live.
• Verschlüsselung auf dem Transportweg: Alle Verbindungen zur Anwendung und zur Datenbank laufen ausschließlich über TLS. Die Verbindung zur Datenbank prüft dabei das Zertifikat gegen eine im Programm hinterlegte Stammstelle, damit ein untergeschobenes Zertifikat nicht angenommen wird.
• Verschlüsselung im Ruhezustand: Datenbank und Dateiablage sind beim Betreiber der Infrastruktur verschlüsselt gespeichert.
• Hochgeladene Unterlagen: Unterlagen liegen in einem nicht öffentlichen Behälter. Es gibt keine erratbare Adresse. Jeder Abruf läuft über die Anwendung, die vorher die Anmeldung prüft und den Betrieb aus der Sitzung gegen den Pfad der Datei hält. Beim Löschen wird die Datei zuerst überschrieben und dann entfernt, damit ihr Inhalt auch dann weg ist, wenn eine zwischengespeicherte Kopie noch eine Weile ausgeliefert wird.
• Zugangskontrolle: Persönliche Zugänge, keine Sammelkonten. Passwörter werden nur als Hashwert gespeichert. Rollen begrenzen, was ein Mitarbeiter sehen und tun darf.
• Protokollierung: Jeder Blick in eine Akte und jede Änderung daran werden mit Zeitpunkt und handelnder Person aufgezeichnet. Damit lässt sich im Nachhinein beantworten, wer wann was gesehen hat. Der Berater braucht das, wenn ein Mandant nach Art. 15 DSGVO fragt.
• Kein Inhalt in E-Mails: Nachrichten, die die Anwendung verschickt, enthalten keinen Anlass, keine Frist, kein Aktenzeichen und keine Angabe über den Gesundheitszustand, auch nicht in der Betreffzeile. Wer erfahren will, worum es geht, muss sich anmelden. Eine automatische Prüfung blockiert jede Nachricht, die dagegen verstößt. Genau eine Nachricht geht an einen Mandanten, und nur, wenn seine Beratung das eingeschaltet hat: die Einladung zu seinem Zugang. Sie nennt seinen Vornamen und den Namen der Beratung, damit er sie nicht für einen Betrugsversuch hält, und sonst nichts. Absender und Betreff lassen den Anlass nicht erkennen, und es wird kein Bild nachgeladen.
• Der Zugang des Mandanten: Ein Mandant erreicht seine Akte über einen Link, den seine Beratung erzeugt. Der Link enthält 256 Bit Zufall, gespeichert wird nur sein Fingerabdruck, er gilt vierzehn Tage, und die Beratung kann ihn jederzeit mit sofortiger Wirkung entwerten. Über den Link allein kann der Mandant Angaben eintragen und Unterlagen hochladen. Er kann damit weder eine hochgeladene Datei wieder öffnen noch etwas lesen, was die Beratung über ihn notiert hat. Wer den Inhalt seiner Akte sehen will, setzt zuvor ein eigenes Passwort; eine Beratung kann das auch von vornherein verlangen. Jedes Öffnen wird mit Zeitpunkt protokolliert, und die Sitzung endet spätestens mit dem Link.
• Keine fremden Skripte, keine fremden Schriften: Die Seiten laden zur Laufzeit nichts von fremden Servern nach. Schriften und Bilder liegen bei uns. Damit erfährt kein Dritter, wer die Seite aufruft. Eine automatische Prüfung blockiert jede Einbindung eines fremden Servers.
• Verarbeitung in der Europäischen Union: Anwendung, Datenbank und Dateiablage sind fest auf europäische Regionen eingestellt. Dort werden die Daten auch verarbeitet.
• Trennung von Test und Betrieb: Für die Entwicklung wird nie mit echten Akten gearbeitet. Die Beispieldaten im Dashboard sind erfunden und als solche gekennzeichnet.

Was noch nicht umgesetzt ist

Die folgenden Punkte sind noch offen. Sie stehen hier, weil eine Maßnahmenliste eine Zusicherung ist und keine Absichtserklärung. Wer uns Gesundheitsdaten anvertraut, soll wissen, wo die Zusicherungen enden.

• Geprüfte Wiederherstellung: Der Betreiber der Datenbank erstellt Sicherungen. Eine vollständige Wiederherstellung wurde von uns noch nicht zur Probe durchgeführt. Bis das geschehen ist, sagen wir keine Wiederherstellungszeit zu.
• Prüfung durch Dritte: Es liegt kein Bericht einer unabhängigen Sicherheitsprüfung vor.
• Löschkonzept mit Fristen je Datenart: Die Aufbewahrungsfrist je Akte setzt der Berater. Ein durchgehendes Löschkonzept für alle Datenarten, das die steuerlichen Aufbewahrungspflichten gegen die Löschpflicht abgrenzt, ist in Arbeit.
• Automatische Löschung nach Ablauf der Frist: Zu jeder abgeschlossenen Akte wird der Zeitpunkt berechnet, ab dem sie zu löschen ist. Ein Lauf, der zu diesem Zeitpunkt von selbst löscht, ist noch nicht in Betrieb. Bis dahin löscht die Beratung von Hand.

Anlage 2: Unterauftragnehmer

Stand: 11. August 2026.

• Supabase, Inc., Sitz Vereinigte Staaten, Verarbeitung in Frankfurt am Main, Deutschland (Region eu-central-1). Zweck: Datenbank und Ablage der hochgeladenen Unterlagen. Daten: Alle Angaben aus den Akten, einschließlich Gesundheitsdaten und Angaben über Ordnungswidrigkeiten, sowie die hochgeladenen Dateien.
• Vercel Inc., Sitz Vereinigte Staaten, Verarbeitung in Frankfurt am Main, Deutschland (Region fra1). Zweck: Betrieb der Anwendung, Auslieferung der Seiten. Daten: Verbindungsdaten und alle Angaben, die beim Bedienen der Anwendung übertragen werden.
• Resend, Inc., Sitz Vereinigte Staaten, Verarbeitung in Irland (Region eu-west-1). Zweck: Versand von E-Mails an Berater, deren Mitarbeiter und, wenn eine Beratung es einschaltet, an deren Mandanten. Daten: Empfängeradresse, Betreff und Text der Nachricht. Aus einer Akte steht darin nichts außer der Anrede mit dem Vornamen und dem Namen der Beratung. Schaltet eine Beratung die Einladung per E-Mail ein, ist der Empfänger ein Mandant; der Versanddienst erfährt damit, dass diese Adresse zu dieser Beratung gehört. Ohne diesen Schalter erfährt er das nicht..

Ergänzend gilt die Datenschutzerklärung und die Allgemeinen Geschäftsbedingungen.