Auftragsverarbeitungsvertrag
Vertrag nach Art. 28 DSGVO · Stand: Oktober 2026
1. Vertragsparteien und Vertragsschluss
Dieser Vertrag gilt zwischen der Kund:in als Verantwortlicher (nachfolgend „Verantwortliche“) und der Nova Digital Solutions GmbH, Hauptstraße 47, 28857 Syke, als Auftragsverarbeiter (nachfolgend „Anbieter“). Er wird mit dem Anlegen eines Workspace Bestandteil des Nutzungsvertrags nach den AGB und gilt für alle Pläne. Eine unterzeichnete Fassung stellen wir auf Anfrage an moin@novadigitalgroup.de bereit.
2. Gegenstand und Dauer
Der Anbieter verarbeitet personenbezogene Daten im Auftrag der Verantwortlichen, soweit dies zur Bereitstellung von „Taktung“ erforderlich ist. Die Verarbeitung dauert so lange wie der Nutzungsvertrag und endet mit dessen Beendigung; danach gilt Ziffer 11.
3. Art und Zweck der Verarbeitung
Speicherung, Auswertung und Bereitstellung von Planungsdaten zur Kapazitäts- und Budgetplanung der Verantwortlichen: Erfassen, Speichern, Berechnen von Prognosen, Anzeigen, Versenden von Benachrichtigungen, Bereitstellen über Plan-Links und die Lese-API nach Konfiguration der Verantwortlichen sowie Löschen.
4. Art der Daten und betroffene Personen
- Personen im Forecast: Name, Rolle, Kapazität, Zuweisungen zu Projekten, Abwesenheiten einschließlich Krankheit (Gesundheitsdaten nach Art. 9 DSGVO, soweit die Verantwortliche sie einträgt).
- Logins der Verantwortlichen: Name, E-Mail-Adresse, Rolle, Nutzungszeitpunkte.
- Kontaktdaten in Kunden- und Projektangaben, Empfänger:innen von Budget-Warnungen sowie Inhalte hochgeladener Belege (z. B. Verträge, Angebote, E-Mails).
Betroffen sind Mitarbeitende, freie Mitarbeitende, Kund:innen und sonstige Projektbeteiligte der Verantwortlichen.
5. Weisungen
Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Weisungen sind dieser Vertrag, die Nutzung der Anwendung durch die Verantwortliche und ihre Logins sowie gesonderte Weisungen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er die Verantwortliche unverzüglich darauf hin. Eine Verarbeitung aufgrund gesetzlicher Pflichten bleibt unberührt (Art. 28 Abs. 3 lit. a DSGVO).
6. Vertraulichkeit
Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und beschränkt deren Zugriff auf das für Betrieb, Support und Fehlerbehebung erforderliche Maß.
7. Technische und organisatorische Maßnahmen
- Betrieb von Anwendung, Datenbank und Belegspeicher in einem Rechenzentrum in der EU (Niederlande); regelmäßige automatische Sicherungen der Datenbank.
- Mandantentrennung: Jede Datenzeile ist einem Workspace zugeordnet, jeder Datenbankzugriff wird zentral auf den Workspace der anfragenden Person beschränkt.
- Verschlüsselte Übertragung (TLS) für alle Verbindungen zur Anwendung, zur Lese-API und zum Belegspeicher.
- Anmeldung ohne Passwort per Einmal-Link mit 15 Minuten Gültigkeit; Sitzungen werden serverseitig geführt und lassen sich beenden. Anmeldeversuche und API-Abrufe sind mengenbegrenzt.
- Rollen je Login (Owner, Schreiben, Lesen), soweit der Plan sie vorsieht; Verwaltung von Logins, Abrechnung und API-Schlüsseln nur durch Owner.
- API-Schlüssel werden nur als kryptografischer Hash gespeichert; die Lese-API erlaubt keine Änderungen.
- Belege liegen in einem nicht öffentlichen Speicher und sind nur nach Berechtigungsprüfung über eine 60 Sekunden gültige, signierte Adresse abrufbar. Dateityp und Größe werden beim Hochladen geprüft.
- Fehlerüberwachung der Anwendung und Protokollierung von Zugriffen zur Erkennung von Störungen und Missbrauch.
Der Anbieter passt die Maßnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht unterschritten werden.
8. Unterauftragsverarbeiter
Die Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Railway Corp., USA: Server, Datenbank und Belegspeicher in der EU-Region; Betriebsprotokolle werden in den USA gespeichert.
- Resend, Inc., USA: Versand von Login-, Einladungs-, Warn- und Systemmails.
- Functional Software, Inc. (Sentry), USA: Fehlerberichte der Anwendung mit IP-Adresse und technischem Kontext; Speicherort EU (Deutschland).
- Upstash, Inc., USA: kurzlebige Zähler zur Missbrauchsbegrenzung mit IP-Adresse, E-Mail-Adresse bzw. Schlüsselkennung.
- GitHub, Inc., USA: Bearbeitung von Support-Anfragen (Betreff, Kategorie, Inhalt der Anfrage, Name des Workspace, gebuchter Plan, technischer Kontext ohne Name und E-Mail-Adresse der anfragenden Person).
Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die diesem Vertrag entsprechen. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln. Über beabsichtigte Änderungen informiert der Anbieter mindestens vier Wochen im Voraus in Textform; die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann sie den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
Nicht Teil der Auftragsverarbeitung sind die Zahlungsabwicklung über Stripe und die Reichweiten- und Kampagnenmessung über Google auf der Website. Dafür ist der Anbieter selbst verantwortlich; Einzelheiten stehen in der Datenschutzerklärung.
9. Unterstützung der Verantwortlichen
Der Anbieter unterstützt die Verantwortliche mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei ihren Pflichten nach Art. 32–36 DSGVO. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an die Verantwortliche weiter.
10. Meldung von Datenschutzverletzungen
Der Anbieter meldet der Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
11. Löschung und Rückgabe
Bis zum Vertragsende kann die Verantwortliche ihre Daten im Umfang ihres Plans exportieren oder in Textform die Herausgabe verlangen. Nach Vertragsende löscht der Anbieter die Daten des Workspace einschließlich der Belege innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden turnusmäßig überschrieben.
12. Nachweise und Kontrollen
Der Anbieter stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Darüber hinaus sind Kontrollen durch die Verantwortliche oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Prüfer:in nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören.
13. Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt das Recht der Bundesrepublik Deutschland.