Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung und der Betrieb der Software Fortbestand als Dienst: Speicherung, Verarbeitung und Ausgabe der vom Verantwortlichen erfassten oder importierten Unternehmensdaten, Erzeugung von Dokumenten und Exporten sowie die in Anlage 1 beschriebenen Nebenleistungen.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Testphase. § 9 gilt darüber hinaus bis zur vollständigen Löschung oder Rückgabe der Daten.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung der vertraglichen Leistung; eine Verarbeitung für eigene Zwecke, insbesondere zum Training von KI-Modellen, zu Werbezwecken oder zur Weitergabe an Dritte, ist ausgeschlossen.

§ 3 Weisungen (Art. 28 Abs 3 lit a)

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, dieser Vertrag und die Bedienung der Software durch den Verantwortlichen (Erfassen, Importieren, Bestätigen, Freigeben, Exportieren, Löschen) gelten als Weisungen.

(2) Weitere Weisungen erteilt der Verantwortliche in Textform an office@malelu.io. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(3) Verpflichtet das Recht der Union oder eines Mitgliedstaats den Auftragsverarbeiter zu einer Verarbeitung ohne Weisung, teilt er dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht eine Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Vertraulichkeit (Art. 28 Abs 3 lit b)

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten haben nur Personen, die ihn zur Erbringung der Leistung benötigen, und nur im Einzelfall (Störung, Supportanfrage des Verantwortlichen).

§ 5 Sicherheit der Verarbeitung (Art. 28 Abs 3 lit c, Art. 32)

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird, und informiert den Verantwortlichen über wesentliche Änderungen.

(2) Der Verantwortliche ist für die Sicherheit seiner Zugangsdaten, die Rollenvergabe in seiner Organisation und die Richtigkeit der erfassten Daten verantwortlich.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs 2 und 4, Abs 3 lit d)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher in der Anwendung oder per E-Mail. Der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kann keine Einigung erzielt werden, darf jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dessen Pflichten.

(4) Nebenleistungen ohne Zugriff auf Kundendaten (Telekommunikation, Postversand, Wartung ohne Datenzugriff) sind keine Unterauftragsverarbeitung.

§ 7 Unterstützung bei Betroffenenrechten (Art. 28 Abs 3 lit e)

(1) Die Software stellt dem Verantwortlichen Auskunft, Export, Berichtigung und die Löschung einzelner Einträge und Dokumententwürfe als Funktion zur Verfügung; die Löschung einer ganzen Organisation oder eines Kontos führt der Auftragsverarbeiter auf Weisung per E-Mail an office@malelu.io innerhalb von 30 Tagen aus. Darüber hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, damit dieser Anträge betroffener Personen nach Kapitel III DSGVO fristgerecht beantworten kann.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und antwortet der Person nicht in der Sache, außer der Verantwortliche weist ihn dazu an.

§ 8 Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs 3 lit f, Art. 32–36)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Kenntnis, in der Regel binnen 48 Stunden, mit den ihm bekannten Angaben nach Art. 33 Abs 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl, wahrscheinliche Folgen, ergriffene Maßnahmen). Fehlende Angaben reicht er nach.

(3) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Verantwortlichen.

§ 9 Löschung und Rückgabe (Art. 28 Abs 3 lit g)

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst exportieren (Excel, Dokumente, Änderungsprotokoll), einzelne Einträge und Dokumententwürfe selbst löschen und die Löschung der gesamten Organisation per E-Mail an office@malelu.io anweisen (§ 8 Abs 1).

(2) Nach Beendigung des Hauptvertrags stehen die Daten 30 Tage lang zum Export bereit; endet eine Testphase ohne Tarifwahl, sind es 90 Tage (AGB § 3 Abs 2). Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden nach ihrem Aufbewahrungszeitraum (sieben Tage) überschrieben.

(3) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Überprüfungen (Art. 28 Abs 3 lit h)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 2), die Liste der Unterauftragsverarbeiter (Anlage 3) und die Verträge oder Zertifikate der Unterauftragsverarbeiter, soweit diese sie veröffentlichen.

(2) Der Verantwortliche darf Überprüfungen, einschließlich Inspektionen, selbst oder durch einen von ihm beauftragten Prüfer durchführen. Sie werden mit angemessener Frist (in der Regel 14 Tage) angekündigt, finden während der üblichen Geschäftszeiten statt und wahren die Vertraulichkeit anderer Kunden; der Auftragsverarbeiter trägt dazu bei. Für Prüfungen ohne konkreten Anlass, die öfter als einmal jährlich stattfinden, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

§ 11 Verarbeitung in Drittländern

(1) Die Verarbeitung findet in der Europäischen Union statt (Frankfurt am Main). Eine Übermittlung in ein Drittland erfolgt nur, soweit Anlage 3 sie ausweist, und nur auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (Standardvertragsklauseln der Europäischen Kommission) oder eines Angemessenheitsbeschlusses.

(2) Der Auftragsverarbeiter weist den Verantwortlichen darauf hin, dass Anbieter mit Sitz oder Mutterhaus außerhalb der EU auch bei Verarbeitung in der EU dem Recht ihres Sitzstaats unterliegen können. Der Verantwortliche berücksichtigt das bei seiner Risikobewertung.

§ 12 Haftung, Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO; im Übrigen die Haftungsregelung des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in Fragen des Datenschutzes dieser Vertrag vor.

(3) Es gilt österreichisches Recht; Gerichtsstand ist Salzburg (§ 16 der Allgemeinen Geschäftsbedingungen).

(4) Änderungen dieses Vertrags bedürfen der Textform. Der Auftragsverarbeiter darf die Anlagen anpassen, wenn das Schutzniveau nicht sinkt (Anlage 2) oder das Verfahren nach § 6 eingehalten wird (Anlage 3).

Anlage 1 — Gegenstand, Art und Zweck, Datenarten, betroffene Personen

Gegenstand: Betrieb der Software Fortbestand als Dienst (Planung, Liquiditätsrechnung, Szenarien, Maßnahmen, Gates, Dokumentenerzeugung, Export) für die Organisationen des Verantwortlichen.

Art der Verarbeitung: Speichern, Ordnen, Verändern (durch den Verantwortlichen), Auslesen, Abfragen, Verwenden zur Berechnung, Ausgeben als Dokument, Löschen.

Zweck: Erstellung und Dokumentation von Unternehmensplanungen und Fortbestehensprognosen nach dem Leitfaden Fortbestehensprognose 2016 sowie der Länderregeln für Deutschland und die Schweiz; Nachvollziehbarkeit gegenüber Banken, Gerichten und Beratern.

Kategorien personenbezogener Daten: Kontodaten der Nutzer (E-Mail, Name sofern angegeben, Rolle, Anmeldezeitpunkte); Unternehmensdaten mit Personenbezug — Namen von Geschäftsführung, Gesellschaftern und Verantwortlichen im Maßnahmenplan, Personalaufwand als Summe, Kunden- und Lieferantenkonten aus Saldenlisten, Bankumsätze mit Zahlungsreferenzen und Namen von Zahlungspartnern, Angaben zu Zusagen und Rangrücktritten; Begründungen und Kommentare der Nutzer; Änderungsprotokoll (wer hat wann was bestätigt).

Keine besonderen Kategorien nach Art. 9 DSGVO sind vorgesehen. Der Verantwortliche erfasst solche Daten nicht in Freitextfeldern.

Kategorien betroffener Personen: Nutzer des Verantwortlichen (Geschäftsführung, Mitarbeiter, beauftragte Berater); Gesellschafter; Mitarbeiter (nur Aggregate); Kunden, Lieferanten und Zahlungspartner des Verantwortlichen, soweit sie in Saldenlisten oder Bankumsätzen vorkommen; Gläubiger, die Zusagen abgeben.

Dauer: Laufzeit des Hauptvertrags; Löschung nach § 9.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 15.09.2026. Die Maßnahmen beschreiben den tatsächlichen Aufbau der Anwendung; Änderungen werden nach § 5 Abs 1 mitgeteilt.

• Zutrittskontrolle: Die Datenbank läuft in Rechenzentren von Amazon Web Services in Frankfurt am Main (Region eu-central-1), betrieben über Supabase; der Anwendungsserver in einem Rechenzentrum von Hostinger in Frankfurt am Main. Zutritt ist auf das Personal der Rechenzentrumsbetreiber beschränkt; MALELU hat keinen physischen Zutritt.
• Zugangskontrolle: Anmeldung über Supabase Auth mit Passwort (nur als Hash gespeichert) oder Anmeldelink per E-Mail; Sitzungen über kurzlebige, automatisch erneuerte Cookies; Administrationszugänge des Auftragsverarbeiters mit Zwei-Faktor-Anmeldung; Serverzugang nur über SSH-Schlüssel.
• Zugriffskontrolle: Zeilen-Sicherheit (Row Level Security) in der Datenbank — jede Abfrage läuft unter dem Konto der angemeldeten Person und sieht nur Daten der Organisationen, deren Mitglied sie ist; Rollen owner, gf, berater, leser; kein Dienstschlüssel (Service Role) im Anwendungscontainer; Dokumente in einem privaten Speicherbereich mit zeitlich begrenzten, signierten Adressen.
• Trennungskontrolle: Mandantentrennung über die Organisationskennung in jeder Tabelle, erzwungen durch die Zeilen-Sicherheit; Test- und Produktivdaten getrennt.
• Weitergabekontrolle: Verschlüsselte Übertragung (TLS) für alle Verbindungen; HTTP Strict Transport Security; Sicherheits-Kopfzeilen (Content-Type-Options, Referrer-Policy, Frame-Options, Permissions-Policy); Verschlüsselung der Daten im Ruhezustand durch den Datenbankbetreiber.
• Eingabekontrolle: Änderungsprotokoll (audit_log) mit Person, Zeitpunkt, Vorher-/Nachher-Zustand für Annahmen, Maßnahmen, Gates, Dokumentfreigaben; freigegebene Dokumente tragen Version und Prüfsumme (SHA-256).
• Verfügbarkeitskontrolle: Tägliche Datenbanksicherung mit sieben Tagen Aufbewahrung; Container-Neustart bei Ausfall; Statusüberwachung; Wiederherstellung aus der Sicherung getestet vor Inbetriebnahme.
• Datenminimierung gegenüber Dritten: An den KI-Anbieter werden nur Kontonummern, Kontobezeichnungen, Salden und Jahresaggregate übertragen — keine Firmen- oder Personennamen; Übertragung nur auf ausdrücklichen Abruf des Nutzers; ohne hinterlegten Schlüssel ist die Funktion ausgeblendet.
• Organisation: Geheimnisse (Schlüssel, Zugangsdaten) liegen ausschließlich in der Umgebungsdatei des Servers und im Geheimnisspeicher, nie im Quellcode; Sicherheitsprüfungen (Zeilen-Sicherheit mit Fremdkonto, Kopfzeilen, offene Rechte) vor jeder Inbetriebnahme und laufend; Verfahren zur Meldung von Datenschutzverletzungen nach § 8.

Anlage 3 — Unterauftragsverarbeiter

Stand 15.09.2026. Änderungen nach § 6.

Nicht Unterauftragsverarbeiter im Sinn dieses Vertrags: Stripe Payments Europe, Limited (Zahlungsabwicklung für Kontodaten des Kunden, eigene Verantwortlichkeit — siehe Datenschutzerklärung) und Google Ireland Limited (Postfach office@malelu.io für Korrespondenz).

• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513 — Datenbank (Postgres), Authentifizierung, Dokumentspeicher. Ort der Verarbeitung: Frankfurt am Main (AWS eu-central-1). Garantie: Data Processing Addendum mit EU-Standardvertragsklauseln (Version 1 vom 01.08.2026). Eigener Unterauftragsverarbeiter: Amazon Web Services (Rechenzentrum Frankfurt).
• Hostinger International Ltd. (Zypern) / HOSTINGER, UAB, Švitrigailos str. 34, LT-03230 Vilnius, Litauen — virtueller Server für die Anwendung. Ort: Frankfurt am Main. Garantie: Data Processing Addendum des Anbieters.
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand von Systemmails (Anmeldelink, Kontohinweise); verarbeitet E-Mail-Adresse, Zeitpunkt, Zustellstatus. Ort: USA. Garantie: Data Processing Agreement mit EU-Standardvertragsklauseln (Stand 27.08.2026).
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland — Sprachmodell für Zuordnungs-, Annahmen- und Textvorschläge; nur auf Abruf des Nutzers und nur mit den in Anlage 2 genannten Aggregaten. Ort: EU/USA (Übermittlung an OpenAI-Gesellschaften außerhalb des EWR über Standardvertragsklauseln). Keine Nutzung zum Training; Missbrauchsprotokolle bis 30 Tage. Garantie: Data Processing Addendum des Anbieters.