Auftragsverarbeitungsvertrag

Stand: 14.10.2026

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und dem im Impressum genannten Anbieter von Eigenlaut als Auftragsverarbeiter. Er ist Teil des Vertrags über die Nutzung von Eigenlaut nach unseren Allgemeinen Geschäftsbedingungen und kommt mit diesem zustande, elektronisch und ohne Unterschrift (Art. 28 Abs. 9 DSGVO): wenn die Person, die die Einrichtung durchführt, die AGB und diesen Vertrag annimmt, bevor der Anbieter zum ersten Mal Daten aus dem Google Workspace des Kunden liest.

Zweck und Anwendungsbereich

Dieser Vertrag stellt sicher, dass der Anbieter personenbezogene Daten, die er für den Kunden mit Eigenlaut verarbeitet, nur so verarbeitet, wie Art. 28 Abs. 3 und 4 der Datenschutz-Grundverordnung (DSGVO) es verlangt. Er gilt für die Verarbeitung, die in der Anlage Beschreibung der Verarbeitung beschrieben ist.

Nicht erfasst sind Daten, die der Anbieter als eigener Verantwortlicher verarbeitet: die Anmeldung und die Mitgliederliste des Kundenbereichs, das Prüfprotokoll zur Sicherheit des Dienstes, die Abrechnung über Stripe und die Kommunikation mit dem Kunden. Dafür gilt die Datenschutzerklärung. Nicht erfasst ist ferner die selbst betriebene Version von Eigenlaut: Wer sie betreibt, verarbeitet die Daten selbst.

Auslegung und Vorrang

Begriffe haben die Bedeutung, die ihnen die DSGVO gibt. Dieser Vertrag ist im Licht der DSGVO auszulegen und darf nicht so ausgelegt werden, dass er Rechte oder Pflichten der DSGVO einschränkt. Widerspricht eine Regelung der Allgemeinen Geschäftsbedingungen oder einer anderen Vereinbarung diesem Vertrag, geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.

Beschreibung der Verarbeitung

Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen und die Dauer stehen in der Anlage Beschreibung der Verarbeitung.

Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet ihn zu einer Verarbeitung; dann teilt er dem Kunden diese Pflicht vorher mit, sofern das Recht dies nicht verbietet.

Die Weisungen des Kunden sind dieser Vertrag, die Allgemeinen Geschäftsbedingungen und die Einstellungen, die der Kunde im Kundenbereich vornimmt: verbundene Organisation, Vorlagen, Regeln, Kampagnen, Zeitplan, Absenderadressen, Starten und Abbrechen von Übertragungsläufen, Mitglieder und das Löschen der Organisation. Weitere Weisungen erteilt der Kunde in Textform an contact@eigenlaut.app.

Hält der Anbieter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert er den Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

Zweckbindung

Der Anbieter verarbeitet die Daten nur für die Zwecke in der Anlage Beschreibung der Verarbeitung. Er nutzt sie nicht für eigene Zwecke, gibt sie nicht weiter, verkauft sie nicht und trainiert damit keine Modelle. Für die Abrechnung verwendet er nur die Anzahl der verwalteten Postfächer, eine Zahl ohne Personenbezug.

Dauer

Der Anbieter verarbeitet die Daten nur für die Dauer des Vertrags über die Nutzung von Eigenlaut und danach nur, soweit es die Löschung nach dem Abschnitt Löschung und Rückgabe erfordert.

Sicherheit der Verarbeitung und Vertraulichkeit

Der Anbieter trifft mindestens die technischen und organisatorischen Maßnahmen in der Anlage Technische und organisatorische Maßnahmen, um die Sicherheit der Daten zu gewährleisten (Art. 32 DSGVO). Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.

Zugriff auf die Daten gewährt der Anbieter nur Personen, die ihn für die Erfüllung, Verwaltung und Überwachung dieses Vertrags brauchen, und nur in dem Umfang, der dafür nötig ist. Diese Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

Besondere Kategorien personenbezogener Daten

Eigenlaut ist nicht dafür bestimmt, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über Straftaten (Art. 10 DSGVO) zu verarbeiten. Der Kunde verwendet in Vorlagen, Regeln und Kampagnen keine Verzeichnisfelder, die solche Daten enthalten.

Dokumentation und Kontrollen

Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags und von Art. 28 DSGVO nachzuweisen. Dazu gehören diese Anlage zu den technischen und organisatorischen Maßnahmen, die Beschreibung des Zugriffsmodells und der gespeicherten Daten auf eigenlaut.app und die Nachweise des Unterauftragsverarbeiters (Zertifizierungen und Prüfberichte von Cloudflare).

Der Kunde kann Kontrollen, auch Inspektionen, durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Er kündigt sie mindestens 30 Tage vorher in Textform an, führt sie während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs durch und trägt seine Kosten selbst. Der Anbieter betreibt keine eigenen Rechenzentren; eine Kontrolle findet deshalb in der Regel anhand von Unterlagen statt. Ohne besonderen Anlass, etwa eine Verletzung des Schutzes personenbezogener Daten, kann der Kunde eine Kontrolle höchstens einmal im Kalenderjahr verlangen.

Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die Unterauftragsverarbeiter in der Anlage Unterauftragsverarbeiter einzusetzen. Will der Anbieter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Kunden mindestens 14 Tage vorher in Textform. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Vertrag über die Nutzung von Eigenlaut zum Zeitpunkt der Änderung kündigen.

Der Anbieter legt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf wie dieser Vertrag dem Anbieter und haftet gegenüber dem Kunden für dessen Pflichterfüllung.

Google ist kein Unterauftragsverarbeiter des Anbieters. Die Daten aus Google Workspace liegen im Google Workspace des Kunden, das der Kunde selbst mit Google vereinbart hat. Der Anbieter liest und schreibt sie über die Schnittstellen von Google im Auftrag des Kunden; Google verarbeitet sie dabei für den Kunden, nicht für den Anbieter. Das Dienstkonto, über das der Zugriff läuft, liegt in einem Google-Cloud-Projekt des Anbieters; dort verarbeitet Google für den Anbieter nur dessen Anmeldung bei den Schnittstellen und Nutzungszahlen der Schnittstellen.

Stripe ist kein Unterauftragsverarbeiter für diese Verarbeitung. An Stripe gehen keine Daten aus Google Workspace, sondern nur Angaben zur Abrechnung des Vertrags, für die der Anbieter selbst verantwortlich ist (Datenschutzerklärung).

Übermittlungen in Drittländer

Übermittlungen in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf Weisung des Kunden und nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind. Mit diesem Vertrag weist der Kunde die Übermittlungen an, die beim Einsatz der genehmigten Unterauftragsverarbeiter nötig sind; deren Grundlage steht in der Anlage Unterauftragsverarbeiter.

Unterstützung des Kunden

Erhält der Anbieter eine Anfrage einer betroffenen Person, leitet er sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist ihn dazu an. Er unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung solcher Anfragen (Art. 12 bis 22 DSGVO). Viele Rechte kann der Kunde selbst erfüllen: Die Verzeichnisdaten ändert er in Google Workspace, Ergebnisse von Übertragungsläufen sieht er im Kundenbereich, und mit dem Löschen der Organisation entfernt er alle Daten.

Der Anbieter unterstützt den Kunden außerdem bei der Sicherheit der Verarbeitung, der Meldung und Benachrichtigung bei Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit er dazu beitragen kann und unter Berücksichtigung der ihm vorliegenden Informationen.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Kunden betrifft, meldet er sie dem Kunden unverzüglich, spätestens 48 Stunden nachdem er davon Kenntnis erlangt hat, per E-Mail an die Administratoren der Organisation. Die Meldung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• einen Ansprechpartner,
• die wahrscheinlichen Folgen,
• die ergriffenen oder vorgeschlagenen Maßnahmen, auch zur Abmilderung nachteiliger Folgen.

Was noch nicht bekannt ist, meldet der Anbieter nach, sobald es vorliegt. Er dokumentiert die Verletzung und unterstützt den Kunden bei dessen Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen (Art. 33 und 34 DSGVO).

Verstöße und Kündigung

Verstößt der Anbieter gegen diesen Vertrag, kann der Kunde ihn anweisen, die Verarbeitung auszusetzen, bis der Verstoß behoben ist. Der Kunde kann den Vertrag über die Nutzung von Eigenlaut fristlos kündigen, soweit er die Verarbeitung betrifft, wenn der Anbieter einen wesentlichen oder anhaltenden Verstoß nicht innerhalb eines Monats nach der Aussetzung behebt, eine verbindliche Entscheidung eines Gerichts oder einer Aufsichtsbehörde nicht befolgt oder eine Weisung nicht befolgt, die der Kunde nach einem Hinweis des Anbieters bestätigt hat. Der Anbieter kann den Vertrag aus wichtigem Grund kündigen, wenn der Kunde auf einer Weisung besteht, die gegen Datenschutzrecht verstößt.

Für die Haftung gelten die Allgemeinen Geschäftsbedingungen; Art. 82 DSGVO bleibt unberührt.

Löschung und Rückgabe

Der Kunde kann alle Daten seiner Organisation jederzeit selbst löschen: im Kundenbereich unter „Organisation löschen“. Der Anbieter löscht dann sofort alle Daten der Organisation aus seiner Datenbank. Ausgenommen sind nur Daten, die der Anbieter als eigener Verantwortlicher aufbewahrt (Datenschutzerklärung): der Nachweis, wer die AGB und diesen Vertrag wann in welcher Fassung angenommen hat, und der Vermerk der Testphase (ein Prüfwert der Kundennummer bei Google und das Ende der Testphase) gegen wiederholte Testphasen bis 365 Tage nach deren Ende.

Endet der Vertrag über die Nutzung von Eigenlaut (mit dem Ende der Testphase ohne Abonnement oder mit dem Ende des Abonnements, AGB) und hat der Kunde die Daten nicht selbst gelöscht, löscht der Anbieter sie 30 Tage nach dem Vertragsende mit der nächsten täglichen Löschroutine, es sei denn, der Kunde schließt bis dahin ein Abonnement ab. Bis dahin kann der Kunde das Prüfprotokoll und die Ergebnisse der Übertragungsläufe im Kundenbereich herunterladen und seine Vorlagen, Regeln und Kampagnen einsehen und kopieren. Eine weitere Rückgabe ist nicht nötig: Die Verzeichnisdaten und Signaturen liegen im Google Workspace des Kunden; der Anbieter hält davon keine Originale.

Gelöschte Daten können in der Versionsgeschichte der Datenbank (Cloudflare D1 „Time Travel“) noch bis zu 30 Tage enthalten sein und verschwinden danach automatisch; Server-Protokolle nach höchstens 7 Tagen. Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt. Nach dem Vertragsende entzieht der Kunde dem Dienstkonto des Anbieters in der Google-Admin-Konsole den Zugriff.

Anlage: Parteien

Verantwortlicher: der Kunde, mit Namen und Anschrift wie bei der Bestellung angegeben; Ansprechpartner sind die Administratoren seiner Organisation im Kundenbereich. Tätigkeit: Nutzung von Eigenlaut für die E-Mail-Signaturen der eigenen Organisation.

Auftragsverarbeiter:

Justus-Constantin Weidhaus
Hauptstraße 52
96191 Viereth-Trunnstadt
Deutschland
E-Mail: contact@eigenlaut.app

Tätigkeit: Betrieb von Eigenlaut als gehosteter Dienst. Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht.

Anlage: Beschreibung der Verarbeitung

Kategorien betroffener Personen:

• Nutzerinnen und Nutzer der Google-Workspace-Organisation des Kunden, vor allem Beschäftigte, deren Signaturen Eigenlaut setzt oder für die eine Vorschau angezeigt wird,
• Personen, die der Kunde selbst in Vorlagen oder Kampagnen nennt.

Kategorien personenbezogener Daten:

• aus dem Google-Verzeichnis die Felder, die die Vorlagen des Kunden verwenden: Vor- und Nachname, E-Mail-Adresse und weitere Absenderadressen, Funktion, Abteilung, Telefon- und Mobilnummer, Arbeitsort und vom Kunden angelegte Zusatzfelder, außerdem Organisationseinheit, Gruppenmitgliedschaften, ob das Konto gesperrt oder archiviert ist und ob die Person Super-Administrator ist,
• aus Gmail die aktuelle Signatur jeder Absenderadresse,
• die daraus erzeugten Signaturen,
• je Übertragungslauf und Adresse das Ergebnis,
• Inhalte, die der Kunde in Vorlagen, Kampagnen und Firmenangaben einträgt.

Keine E-Mail-Inhalte, keine Kalender, keine Dateien, keine IP-Adressen.

Art der Verarbeitung: Lesen der Verzeichnisdaten über die Google-Schnittstellen, Auswahl der Vorlage nach den Regeln des Kunden, Erzeugen der Signatur, Vergleich mit der vorhandenen Signatur, Schreiben der Signatur in Gmail (nur das Feld „Signatur“), Vorschau im Kundenbereich, Protokollieren des Ergebnisses, Löschen nach Fristen.

Zweck: einheitliche E-Mail-Signaturen für die Organisation des Kunden nach dessen Vorlagen und Regeln, einschließlich zeitlich begrenzter Kampagnen, und deren Prüfung vor der Übertragung.

Speicherung und Fristen:

Dauer: die Laufzeit des Vertrags über die Nutzung von Eigenlaut, danach bis zur Löschung nach dem Abschnitt Löschung und Rückgabe.

Anlage: Technische und organisatorische Maßnahmen

Die Maßnahmen beschreiben, was Eigenlaut tatsächlich tut.

Mandantentrennung

• Jede Organisation ist ein eigener Mandant. Jede Datenbankabfrage nach Daten eines Mandanten ist an die Mandantenkennung aus der angemeldeten Sitzung gebunden, nie an eine Angabe aus der Anfrage; automatische Tests prüfen, dass ein Mitglied einer Organisation Vorlagen, Läufe und Mitglieder einer anderen nicht abrufen kann.
• Eine Google-Workspace-Organisation kann nur mit einem Mandanten verbunden sein (eindeutige Google-Kundennummer).
• Das Dienstkonto handelt nur im Namen von (a) dem Super-Administrator, den die Einrichtungsprüfung des Mandanten bestätigt hat, (b) der angemeldeten Person während dieser Prüfung und (c) Adressen, die das Google-Verzeichnis dieses Mandanten zurückgegeben hat. Keine Schnittstelle nimmt eine beliebige Adresse aus einer Anfrage entgegen.

Minimale Zugriffsrechte bei Google

• Domainweite Delegierung nur für drei Bereiche: Benutzer lesen, Gruppenmitglieder lesen, Gmail-Einstellungen; der Kunde sieht sie vor der Freigabe und kann sie jederzeit entziehen.
• Kein Zugriff auf E-Mail-Inhalte, Kalender oder Dateien, kein Schreibzugriff auf das Verzeichnis.
• In Gmail wird nur das Feld „Signatur“ geändert (Teilaktualisierung), keine anderen Einstellungen.
• Verzeichnisabfragen fordern nur die Felder an, die Vorlagen verwenden; von benutzerdefinierten Feldern nur die Schemata, die Vorlagen nennen, und deren übrige Felder verwerfen wir sofort.

Zugangskontrolle zum Kundenbereich

• Anmeldung nur mit einem Google-Workspace-Konto über „Mit Google anmelden“ (OpenID Connect mit PKCE, Zustandsprüfung in konstanter Zeit, Einmalwert, Bindung an den Browser); das Anmeldetoken wird mit den öffentlichen Schlüsseln von Google geprüft (Signatur, Aussteller, Empfänger, Ablauf, bestätigte E-Mail-Adresse, Workspace-Domain). Private Google-Konten werden abgewiesen.
• Sitzungsschlüssel aus 256 Zufallsbits, in der Datenbank nur als SHA-256-Hash; Cookie mit __Host--Präfix, Secure, HttpOnly, SameSite=Lax; höchstens 12 Stunden gültig; Abmelden löscht die Sitzung.
• Schutz vor Cross-Site-Request-Forgery: Ändernde Anfragen müssen JSON sein und von derselben Herkunft kommen.
• Anfragebegrenzung je IP-Adresse (ohne Speicherung der Adresse) und für Vorschauen je Mandant.

Zugriffskontrolle und Rollen

• Drei Rollen: Administrator (alles), Bearbeiter (Vorlagen, Regeln, Firmenangaben, Vorschauen, Testläufe), Leser (nur lesen). Live-Übertragungen, Zeitplan, Mitglieder, Abrechnung, Einrichtung und das Löschen der Organisation nur für Administratoren.
• Mitglieder nur mit Adressen der Domain des Mandanten. Rolle und Mitgliedschaft werden bei jeder Anfrage neu gelesen; wer entfernt wird, verliert den Zugang mit der nächsten Anfrage, seine Sitzungen werden gelöscht.
• Der Anbieter selbst hat eine Betreiberansicht mit einem eigenen Zugangsschlüssel (mindestens 32 Zeichen, Vergleich in konstanter Zeit, Anfragebegrenzung). Zugang zu den Konten bei Cloudflare, Google Cloud und Stripe hat nur der Anbieter, jeweils mit Zwei-Faktor-Authentisierung.

Eingabekontrolle

• Prüfprotokoll jeder Änderung, jeder Anmeldung und jedes Übertragungslaufs mit Zeitpunkt, handelnder Person, Aktion und Ziel, ohne Signaturinhalte; Aufbewahrung 400 Tage; für Administratoren einsehbar und als CSV exportierbar (Formel-Injektion in Tabellenprogrammen wird verhindert).
• Für jeden Lauf das Ergebnis je Adresse (aktualisiert, unverändert, übersprungen, fehlgeschlagen mit Grund).

Weitergabekontrolle und Verschlüsselung

• Alle Verbindungen verschlüsselt (HTTPS mit HSTS); die Schnittstellen von Google und Stripe nur über HTTPS.
• Daten in Cloudflare D1 sind nach Angaben von Cloudflare im Ruhezustand verschlüsselt (AES-256-GCM).
• Geheimnisse (Schlüssel des Dienstkontos, OAuth- und Stripe-Geheimnisse, Betreiberschlüssel) liegen als verschlüsselte Worker-Secrets bei Cloudflare, nie im Quellcode oder in der Datenbank, und werden nie protokolliert oder ausgegeben. Fehlt ein Geheimnis, ist die Funktion, die es braucht, abgeschaltet.
• Benachrichtigungen von Stripe werden nur mit gültiger Signatur (HMAC-SHA256, höchstens 5 Minuten alt) angenommen.

Integrität der Signaturen

• Vorlagen werden beim Speichern geprüft; aktive Inhalte (Skripte, Formulare, eingebettete Objekte, Ereignis-Attribute, javascript:-Adressen) werden abgewiesen, nicht nur bereinigt.
• Vorschauen laufen in einem abgeschotteten Rahmen (sandbox) und nie im Kundenbereich selbst.
• Vor einer Live-Übertragung kann der Kunde einen Testlauf ohne Änderungen starten; je Mandant läuft höchstens ein Lauf gleichzeitig (Datenbankregel).

Datenminimierung und Speicherbegrenzung

• Verzeichnisdaten werden nicht dauerhaft gespeichert (Anlage Beschreibung der Verarbeitung); IP-Adressen werden nirgends gespeichert.
• Fehlerantworten von Google und Stripe werden vor dem Speichern oder Protokollieren auf einen Code gekürzt.
• Server-Protokolle ohne IP-Adressen und ohne Aufrufprotokolle je Anfrage, höchstens 7 Tage.
• Eine tägliche Löschroutine entfernt abgelaufene Sitzungen, Ergebnisse nach 90 Tagen, Läufe und Prüfprotokoll nach 400 Tagen und nie verbundene Organisationen nach 30 Tagen, Organisationen ohne Abonnement 30 Tage nach dem Vertragsende.

Verfügbarkeit, Belastbarkeit und Wiederherstellung

• Betrieb im weltweiten Netz von Cloudflare; Datenbank und Warteschlange in der EU-Jurisdiktion von Cloudflare.
• Wiederherstellung der Datenbank auf jeden Zeitpunkt der letzten 30 Tage (Cloudflare D1 „Time Travel“); nach einer Wiederherstellung werden zwischenzeitliche Löschungen erneut ausgeführt.
• Übertragungsaufträge werden bei vorübergehenden Fehlern von Google bis zu fünfmal wiederholt, zuerst nach 30 Sekunden, danach mit jeweils doppeltem Abstand oder nach der von Google genannten Wartezeit (höchstens 24 Stunden); hängende Läufe werden spätestens 3 Stunden nach ihrem letzten Fortschritt als fehlgeschlagen markiert.

Regelmäßige Überprüfung

• Vor jeder Veröffentlichung einer neuen Version laufen Typprüfung und automatische Tests, darunter Tests der Sicherheitsanforderungen (Mandantentrennung, Sitzungen, Signaturprüfung, Vorlagenprüfung); neue Versionen gehen zuerst auf eine Testadresse.
• Abhängigkeiten werden monatlich auf bekannte Schwachstellen geprüft.
• Meldewege für Sicherheitslücken und ein Ablauf für Sicherheitsvorfälle sind dokumentiert (Sicherheitsrichtlinie des Anbieters).

Anlage: Unterauftragsverarbeiter

Cloudflare setzt seinerseits Unterauftragsverarbeiter ein; die Liste veröffentlicht Cloudflare unter https://www.cloudflare.com/gdpr/subprocessors/. Vertragsgrundlage ist das Cloudflare Customer Data Processing Addendum: https://www.cloudflare.com/cloudflare-customer-dpa/