Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden (Betrieb) als Verantwortlichem und newways.consulting – Knowledge Meeting Ideas, Inhaber Marco Lohmann, Carrer d'Espartero 6, 07013 Palma, Spanien, als Auftragsverarbeiter.

Stand: November 2026

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software FutureCraft als Abo über einen Server bereit (Hauptvertrag nach den Allgemeinen Geschäftsbedingungen). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
2. Der Vertrag gilt für die Dauer des Hauptvertrags und der anschließenden Frist zum Export nach § 8 der AGB.

2. Art, Zweck und Umfang der Verarbeitung

1. Zweck: Speichern, Anzeigen und Ausgeben von Daten, die der Verantwortliche in FutureCraft erfasst, um Angebote, Aufmaße, Rechnungen, E-Rechnungen und Mahnungen zu erstellen, per E-Mail zu versenden und Angebote online annehmen zu lassen, Termine zu planen, über die Mitarbeiter-App Arbeitszeiten, Fotos und Unterschriften zu erfassen und Artikel beim Großhändler abzufragen und zu bestellen. Hat der Verantwortliche den KI-Assistenten eingeschaltet, außerdem: Vorschläge für Angebote und Texte erstellen und eingehende E-Mails sortieren lassen.
2. Arten der Daten:
   • Namen, Anschriften, Telefonnummern und E-Mail-Adressen von Kunden, Interessenten, Lieferanten und Ansprechpartnern
   • Angebots-, Rechnungs-, Zahlungs- und Mahndaten, Objekte und Baustellen
   • Inhalte versendeter E-Mails und das Versandprotokoll
   • Angaben zur Online-Annahme: Name, freiwillige Nachricht, Zeitpunkt
   • Benutzerdaten der Beschäftigten des Verantwortlichen: Name, E-Mail-Adresse, Anmeldezeitpunkte
   • Termine und Einsätze, Arbeitszeiten und Stundenberichte der Beschäftigten, über die Mitarbeiter-App außerdem Fotos von Baustellen und Unterschriften von Kunden
   • nur mit eingerichtetem Großhändler: die Zugangsdaten zu dessen Shop, Artikelanfragen und Bestellungen
   • nur bei eingeschaltetem KI-Assistenten: Inhalte der Anfragen an den Assistenten (Anweisungen, Fotos, Pläne, PDFs, Auszüge aus Leistungen und Kundendaten, Text eingehender E-Mails mit den Namen ihrer Anhänge), die Vorschläge und das Protokoll der Anfragen ohne Inhalte
   • nur mit eingerichtetem Posteingang: die abgeholten E-Mails (Absender, Empfänger, Betreff, Datum, Text; von den Anhängen Fotos und PDFs, von anderen nur Name und Größe) und die Zugangsdaten zum Postfach
3. Kreise der Betroffenen: Kunden und Interessenten, Lieferanten, Ansprechpartner und Beschäftigte des Verantwortlichen, mit eingerichtetem Posteingang außerdem Absender und Empfänger eingehender E-Mails.
4. Die Verarbeitung findet in der Europäischen Union statt. Ausnahme ist der KI-Assistent: Hat ihn der Verantwortliche eingeschaltet, gehen die Inhalte der jeweiligen Anfrage an den Unterauftragsverarbeiter Anthropic PBC in den USA (Anlage 2). Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
5. Übermittlungen an Empfänger, die der Verantwortliche selbst wählt (seine Großhändler, die Kalender-Apps seiner Beschäftigten über das Kalender-Abo, die Empfänger seiner E-Mails), erfolgen auf seine Weisung; diese Empfänger sind keine Unterauftragsverarbeiter.

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen von FutureCraft.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.
3. Mit dem Einschalten des KI-Assistenten weist der Verantwortliche an, die Inhalte der jeweiligen Anfrage an Anthropic zu übermitteln; mit dem Ausschalten endet diese Weisung. Einschalten können nur Benutzer mit der Rolle Inhaber, nach einem Hinweis auf die Übermittlung in die USA; gespeichert werden Zeitpunkt, Benutzer und die Fassung des Hinweises.

4. Pflichten des Auftragsverarbeiters

1. Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 15 bis 22 DSGVO), insbesondere durch die Exportfunktion von FutureCraft.
4. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, und unterstützt bei den Pflichten nach Art. 33 und 34 DSGVO.
5. Er unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung, soweit sie nötig ist.

5. Unterauftragsverarbeiter

1. Der Verantwortliche stimmt den Unterauftragsverarbeitern in Anlage 2 zu.
2. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Pflichten.

6. Kontrollen

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte und Nachweise, nach Absprache und mit angemessener Vorankündigung auch vor Ort.

7. Löschung und Rückgabe

Nach dem Ende des Hauptvertrags kann der Verantwortliche seine Daten exportieren. Nach der Frist in § 8 der AGB löscht der Auftragsverarbeiter die Daten. Sicherungen werden mit ihrem Ablauf nach spätestens 40 Tagen gelöscht. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren des Hosters mit Zutrittskontrolle.
• Zugang: Anmeldung mit persönlichem Passwort, mindestens 10 Zeichen. Das Passwort wird nur als scrypt-Hashwert gespeichert. Wiederholte Fehlversuche werden gebremst. Sitzungen laufen über ein HttpOnly-Cookie, gespeichert ist nur der Hashwert des Tokens.
• Zugriff: Jede Abfrage ist auf den Betrieb des angemeldeten Benutzers beschränkt. Benutzer und Einladungen verwaltet nur der Inhaber. Abgeschaltete Zugänge verlieren sofort alle Sitzungen.
• Trennung: Die Daten jedes Betriebs sind über eine Betriebskennung getrennt; der Betrieb ergibt sich immer aus der Sitzung, nie aus der Anfrage.
• Verschlüsselung: Übertragung nur über TLS. Zugangsdaten zu Postfächern und ein eigener Anthropic-Schlüssel des Verantwortlichen sind mit AES-256-GCM verschlüsselt; der Schlüssel liegt getrennt von der Datenbank.
• Pseudonymisierung: Links zur Online-Annahme und Einmal-Links werden nur als Hashwert gespeichert.

Integrität

• Weitergabe: Keine Schriften, Skripte oder Analysedienste fremder Server. E-Mails werden über das Postfach des Verantwortlichen versendet. Inhalte gehen nur bei eingeschaltetem KI-Assistenten und nur für die jeweilige Anfrage an Anthropic; jede Anfrage wird ohne Inhalte protokolliert (Zeitpunkt, Benutzer, Zweck, Modell, Tokens).
• Eingabe: Jede Änderung an einem Beleg wird mit Benutzer und Zeitpunkt protokolliert. Festgeschriebene Rechnungen, das Archiv, das Versandprotokoll, Zahlungen und Mahnungen sind per Datenbank unveränderlich.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank an einem zweiten Standort, Aufbewahrung 30 Tage, regelmäßige Probe der Wiederherstellung.
• Redundante Stromversorgung und Netzanbindung beim Hoster.

Überprüfung

• Automatische Tests bei jeder Änderung der Software, regelmäßige Sicherheitsupdates des Servers.

Anlage 2: Unterauftragsverarbeiter