Vertrag zur Auftragsverarbeitung (Entwurf)
Entwurfsfassung vom 29.08.2026 nach Art. 28 DSGVO. Dieser Text geht vor dem Verkaufsstart in die anwaltliche Durchsicht. Die unterschriftsreife Fassung stellen wir Firmen und Kanzleien auf Anfrage über das Kontaktformular bereit.
Worum es geht, in einem Satz: Wenn deine Firma oder Kanzlei im Tank-Speicher Daten ablegt, die Personen betreffen (Mandanten, Kunden, Mitarbeiter), bist du der Verantwortliche und wir dein Auftragsverarbeiter. Dieser Vertrag regelt das. Beim Tank-Speicher nimmt uns die Technik das meiste ab: Wir können die Inhalte nicht lesen. Beim WhatsApp-Kanal und bei Arbeiten in deinem Haus ist das anders; dort gelten die Pflichten dieses Vertrags im vollen Umfang.
1. Gegenstand und Dauer
Gegenstand ist der Betrieb des verschlüsselten Tank-Speichers, der Konto-Dienste (Lizenz, Geräte, Synchronisation) und des WhatsApp-Kanals für den Auftraggeber. Der Vertrag läuft, solange der Auftraggeber diese Dienste nutzt.
Ebenfalls Gegenstand sind anlassbezogene Leistungen, bei denen ein Zugriff auf personenbezogene Daten des Auftraggebers nicht ausgeschlossen werden kann: Einrichtung vor Ort, Anbindung seiner Systeme, Schulung, Prüfung und Pflege von SDK-Schnittstellen, Support mit Fernzugriff.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
Speicher: Wir speichern die vom Auftraggeber Ende-zu-Ende verschlüsselten Datenblöcke und die zum Betrieb nötigen Metadaten (Kontodaten, Gerätesiegel, Objektgrößen, Zeitpunkte). Welche personenbezogenen Daten in den verschlüsselten Inhalten stecken (etwa Mandanten-, Kunden- oder Beschäftigtendaten), bestimmt allein der Auftraggeber; uns sind sie inhaltlich nicht zugänglich.
WhatsApp-Kanal: Hier speichern wir je Nachricht Kennung, Kanal, Richtung, Rufnummer der Gegenstelle, Zeitpunkt, Typ und den Nachrichtentext, dazu ein rollierendes Protokoll der Zustellungen. Diese Daten sind nicht Ende-zu-Ende verschlüsselt: Meta liefert sie im Klartext, wir leiten sie an den Tank des Auftraggebers weiter. Betroffene sind seine Gesprächspartner. Wir werten nichts aus und geben freiwillig nichts weiter; was eine richterliche Anordnung verlangt, müssen wir liefern.
Arbeiten im Haus des Auftraggebers: Bei Einrichtung, Anbindung, Schulung und Fernzugriff kann Kenntnisnahme personenbezogener Daten nicht ausgeschlossen werden. Wir begrenzen sie auf das für den Auftrag Erforderliche.
3. Weisungen
Wir verarbeiten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Dienste über App und Konto gilt als Weisung. Das gilt auch für jede Übermittlung in ein Drittland: Sind wir nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet, teilen wir dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Halten wir eine Weisung für rechtswidrig, sagen wir das unverzüglich.
4. Vertraulichkeit
Alle Personen, die bei uns mit den Systemen arbeiten, sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
5. Technische und organisatorische Maßnahmen
Die zentrale Maßnahme ist die Architektur selbst: Ende-zu-Ende-Verschlüsselung mit Schlüsseln, die ausschließlich beim Auftraggeber liegen. Beim Speicher ist ein Zugriff unsererseits auf Inhalte damit technisch ausgeschlossen, nicht nur organisatorisch verboten. Dazu kommen Zugriffskontrolle über kryptografische Gerätesiegel, eine Prüfspur der Kontozugriffe, verschlüsselte Übertragung, getrennte Speicherbereiche je Organisation und Backups der verschlüsselten Blöcke. Einzelheiten führt der Anhang der unterschriftsreifen Fassung auf.
6. Unterauftragsverarbeiter
Der Speicher läuft auf eigener Hardware in eigenen Racks in Rechenzentren innerhalb der EU. Für den WhatsApp-Kanal ist die Meta Platforms Ireland Ltd. Unterauftragsverarbeiterin. Setzen wir weitere ein, informieren wir vorab und räumen ein Widerspruchsrecht ein. Jedem Unterauftragsverarbeiter legen wir dieselben Pflichten auf, die hier stehen; erfüllt er sie nicht, haften wir dem Auftraggeber gegenüber für sein Verschulden.
7. Unterstützung des Auftraggebers
Wir unterstützen bei Betroffenenanfragen und bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit wir dazu beitragen können. Ehrlich gesagt ist unser Beitrag beim Speicher meist ein Nachweis der Architektur: Was wir nicht lesen können, können wir weder durchsuchen noch herausgeben noch im Klartext verlieren. Für den WhatsApp-Kanal gilt das nicht; dort helfen wir mit Auskunft, Export und Löschung einzelner Vorgänge.
8. Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten melden wir dem Auftraggeber unverzüglich mit allem, was wir wissen.
9. Löschung und Rückgabe
Nach dem Ende der Leistungen löschen wir alle personenbezogenen Daten oder geben sie zurück. Die Wahl trifft der Auftraggeber. Teilt er uns nichts anderes mit, löschen wir. Seine Wahl kann er bis zum Ende des Vertrags ändern.
Wählt er die Rückgabe, stellen wir die gespeicherten Blöcke im vorhandenen Format zum Herunterladen bereit und löschen danach. Die Blöcke sind verschlüsselt; den Schlüssel hat nur der Auftraggeber.
Wählt er die Löschung, löschen wir nach dem angekündigten Räumtermin endgültig, einschließlich aller vorhandenen Kopien und Sicherungen, spätestens 30 Tage nach dem Löschzeitpunkt. Davon ausgenommen ist, was wir nach dem Recht der Union oder der Mitgliedstaaten aufbewahren müssen; Grund und Dauer nennen wir unverzüglich. Die Löschung bestätigen wir auf Verlangen in Textform.
10. Nachweise und Kontrollen
Wir stellen die zum Nachweis der Pflichten erforderlichen Informationen bereit und ermöglichen Überprüfungen einschließlich Inspektionen, die der Auftraggeber selbst oder ein von ihm beauftragter Prüfer durchführt (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen kündigt der Auftraggeber angemessen vorher an; sie finden zu üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören.
Für Berufsgeheimnisträger nach § 203 StGB reicht dieser Vertrag allein nicht. Das Berufsrecht verlangt zusätzlich eine gesonderte Verschwiegenheitsverpflichtung in Textform (§ 43e BRAO, § 62a StBerG). Die Vereinbarung dafür stellen wir Kanzleien zusammen mit der unterschriftsreifen Fassung bereit.