Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der JKVertrieb GbR, vertreten durch die Gesellschafter Jacob Rapp und Kay Weichert als Auftragsverarbeiter. Dieser Vertrag wird mit Abschluss des Nutzungsvertrags in elektronischer Form wirksam (§ 14) — eine gesonderte Unterschrift ist nicht erforderlich.

§ 1 Vertragsparteien und Gegenstand

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde des Nutzungsvertrags (nachfolgend „Auftraggeber"). Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist die JKVertrieb GbR, vertreten durch die Gesellschafter Jacob Rapp und Kay Weichert, Freienwalder Straße 10, 16269 Wriezen, Deutschland, Anbieterin der Software Kummerkasten (nachfolgend „Auftragnehmer"). Datenschutz-Kontaktstelle: kontakt@deinkummerkasten.com · +49 172 572 8634.

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb einer Software für anonyme Rückmeldungen von Beschäftigten sowie der davon abhängigen Zusatzfunktionen (Umfragen, Ideenmanagement, Auswertungen, Benachrichtigungen). Der Hauptvertrag ergibt sich aus den Allgemeinen Geschäftsbedingungen des Auftragnehmers; dieser Vertrag geht ihnen in Fragen der Auftragsverarbeitung vor.

§ 2 Art, Umfang und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

• Betrieb der Verwaltungsoberfläche für die vom Auftraggeber benannten Nutzerinnen und Nutzer (Konten, Anmeldung, Rollen).
• Entgegennahme, Speicherung und Anzeige von Rückmeldungen der Beschäftigten des Auftraggebers.
• Automatische Übersetzung eingehender fremdsprachiger Texte in die vom Auftraggeber eingestellte Hauptsprache (Standardfunktion in allen Tarifen; über den KI-Schalter jederzeit vollständig deaktivierbar).
• Betrieb der internen Meldestelle nach dem Hinweisgeberschutzgesetz, sofern der Auftraggeber sie aktiviert: Entgegennahme, Fallbearbeitung und Fristenverwaltung von Meldungen in einem vom übrigen Feedback getrennten Kanal.
• Versand von Umfrage-Einladungen und Erinnerungen an vom Auftraggeber hinterlegte Empfängerlisten, sofern er diese Funktion nutzt.
• Optionale Zusatzfunktionen, die der Auftraggeber selbst aktiviert: Umfragen, Ideenmanagement, KI-gestützte Auswertung, Spracheingabe, Benachrichtigung in Chat-Kanälen.
• Abrechnung des Nutzungsvertrags gegenüber dem Auftraggeber.

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere werden Inhalte nicht zum Training von KI-Modellen verwendet.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Beschäftigte des Auftraggebers (als Verfassende anonymer Rückmeldungen und, sofern der Auftraggeber Empfängerlisten pflegt, als Empfängerinnen und Empfänger von Umfrage-Einladungen) sowie die vom Auftraggeber benannten Verwaltungsnutzerinnen und -nutzer.

Datenarten Verwaltungsnutzung: E-Mail-Adresse, Rolle, Passwort-Prüfwert, optionales Zwei-Faktor-Geheimnis in verschlüsselter Form, Sitzungsdaten, Protokolle sicherheitsrelevanter Vorgänge.

Datenarten Rückmeldungen: Freitext, Stimmungswert, gewählte Kategorie, optionale Abteilungsangabe, Eingangszeitpunkt (technisch notwendig für die zeitversetzte Anzeige und für Monatsauswertungen; nach außen wird ausschließlich das Datum gezeigt) sowie Zeitpunkt der Freischaltung. Es werden bewusst keine IP-Adressen, Browser-Kennungen, Benutzer-Kennungen oder Identifikations-Cookies erhoben. Freitext kann jedoch personenbezogene Angaben enthalten, wenn die verfassende Person sie freiwillig hineinschreibt.

Datenarten interne Meldestelle (nur bei aktivierter Meldestelle): Freitext der Meldung, gewählte Kategorie, Fall-Kennung, Bearbeitungsvermerke und Fristen der Meldestelle. Meldungen können Angaben über die meldende Person und über in der Meldung genannte Personen enthalten; betroffene Personen sind insoweit auch Personen, die in Meldungen genannt werden. Der Zugriff ist auf die benannte Meldestellen-Rolle beschränkt (§ 8 HinSchG).

Datenarten Empfängerlisten (nur bei Nutzung der E-Mail-Einladungen): E-Mail-Adresse, Zugehörigkeit zu einer Liste, Aufnahmedatum, Abmeldezustand und — sofern gemeldet — die Kennzeichnung als unzustellbar. Nicht erhoben werden Öffnungen, Klicks, Lesezeitpunkte sowie jede Angabe darüber, ob eine bestimmte Adresse an einer Umfrage teilgenommen hat; eine Verknüpfung mit einzelnen Rückmeldungen oder Umfrage-Antworten findet nicht statt.

§ 4 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, die Einstellungen, die der Auftraggeber in der Software vornimmt, sowie Weisungen in Textform an die Datenschutz-Kontaktstelle des Auftragnehmers (kontakt@deinkummerkasten.com · +49 172 572 8634). Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen; kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht dem Auftraggeber ein Sonderkündigungsrecht zu.

Die jeweils aktuelle Liste ist öffentlich abrufbar unter deinkummerkasten.com/unterauftragsverarbeiter.

§ 8 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit dies erforderlich ist und dem Auftragnehmer möglich ist.

Grenze der Unterstützung bei anonymen Rückmeldungen: Anonyme Rückmeldungen lassen sich weder einer Person zuordnen noch für eine Person auffinden. Eine Auskunft, Berichtigung oder Löschung einzelner Rückmeldungen auf Personenbezug ist deshalb faktisch nicht möglich. Das ist gewollter Bestandteil des Schutzkonzepts und dem Auftraggeber bekannt.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält die betroffenen Datenkategorien, den vermuteten Umfang, die ergriffenen Maßnahmen und eine Kontaktstelle für Rückfragen. Die Meldepflichten des Auftraggebers nach Art. 33 und 34 DSGVO bleiben unberührt.

§ 10 Löschung und Rückgabe

Der Auftraggeber legt die Aufbewahrungsfrist für Rückmeldungen selbst fest. Ohne abweichende Einstellung gilt eine Frist von 24 Monaten; einstellbar ist ein Wert zwischen 3 und 36 Monaten. Nach Ablauf der Frist entfernt ein automatischer nächtlicher Lauf die betroffenen Daten physisch aus der Datenbank; sie werden nicht lediglich ausgeblendet. Der automatische Löschlauf befindet sich derzeit im Prüfbetrieb: Er ermittelt und protokolliert die fälligen Datensätze, führt die Löschung aber noch nicht selbst aus. Bis zu seiner Freischaltung werden abgelaufene Daten auf Weisung des Verantwortlichen gelöscht.

Meldungen der internen Meldestelle unterliegen nicht dieser Einstellung: Ihre Dokumentation wird 3 Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG); ein noch laufender Vorgang wird nicht gelöscht. Die allgemeine Aufbewahrungsfrist kann diese Frist nicht verkürzen.

Nach Beendigung des Vertrags werden alle Daten des Auftraggebers nach dessen Wahl herausgegeben oder gelöscht. Ohne abweichende Weisung erfolgt die endgültige Löschung spätestens 30 Tage nach Vertragsende. Gesetzliche Aufbewahrungspflichten — insbesondere für Rechnungsunterlagen — bleiben unberührt; die betroffenen Daten werden in diesem Fall gesperrt und nicht weiter verarbeitet.

§ 11 Nachweise und Kontrollrechte

Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach, insbesondere durch die aktuelle Fassung von Anlage 1 sowie durch Nachweise über die mit Unterauftragsverarbeitern geschlossenen Verträge. Weitergehende Kontrollen durch den Auftraggeber oder eine von ihm beauftragte Prüferin sind nach vorheriger Ankündigung mit angemessener Frist und ohne Störung des Betriebsablaufs zulässig.

§ 12 Drittlandtransfer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Die für die einzelnen Unterauftragsverarbeiter geltenden Garantien sind in Anlage 2 ausgewiesen. Der Auftraggeber kann die KI-gestützte Auswertung und die Spracheingabe in den Einstellungen vollständig abschalten; derselbe Schalter beendet auch die automatische Übersetzung. Nach dem Abschalten findet keine Übermittlung von Rückmeldungsinhalten an KI-Dienstleister statt.

§ 13 Laufzeit und Schlussbestimmungen

Dieser Vertrag läuft, solange der Hauptvertrag besteht. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.

§ 14 Abschluss in elektronischer Form

Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Er wird wirksam, indem der Auftraggeber den Nutzungsvertrag über die Software Kummerkasten abschließt (Registrierung mit Tarifwahl); einer gesonderten Unterschrift bedarf es nicht. Die jeweils geltende Fassung ist öffentlich unter deinkummerkasten.com/avv abrufbar; Kunden können den Vertrag im Dashboard jederzeit mit ihrem Firmennamen versehen als PDF drucken. Auf Wunsch stellt der Auftragnehmer eine Fassung in Textform bereit.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den technisch und organisatorisch umgesetzten Schutz und wird bei wesentlichen Änderungen fortgeschrieben.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Anonyme Datenerhebung als Grundeinstellung: Zu Feedbacks und Umfrage-Antworten werden weder IP-Adresse noch Browser-Kennung, Benutzer-Kennung oder Sitzungsbezug gespeichert. Es gibt kein Anmeldeverfahren für die Feedback-Abgabe und keine Identifikations-Cookies.
• Transportverschlüsselung: Sämtliche Verbindungen laufen ausschließlich über TLS. HSTS ist mit einer Gültigkeit von zwei Jahren, Einbeziehung aller Subdomains und Preload-Kennzeichnung aktiv.
• Verschlüsselung ruhender Daten: Datenbank- und Dateiablage werden vom Infrastrukturanbieter verschlüsselt gespeichert (Verschlüsselung im Ruhezustand).
• Passwörter niemals im Klartext: Zugangspasswörter werden ausschließlich als scrypt-Hash gespeichert (N = 2^15, r = 8, p = 1, 32-Byte-Salt). Der Vergleich erfolgt laufzeitkonstant.
• Zwei-Faktor-Geheimnisse verschlüsselt: TOTP-Geheimnisse liegen AES-256-GCM-verschlüsselt in der Datenbank; der Schlüssel wird per HKDF aus dem Anwendungsgeheimnis abgeleitet. Von Wiederherstellungscodes werden nur SHA-256-Prüfwerte gespeichert.
• Rückkanal ohne Personenbezug: Der anonyme Fallcode für den Zwei-Wege-Rückkanal wird zufällig erzeugt; gespeichert wird nur ein nicht umkehrbarer Prüfwert. Ein Rückschluss auf die einreichende Person ist ausgeschlossen.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO — Zutritt, Zugang, Zugriff, Trennung)

• Zutrittskontrolle: Es werden keine eigenen Server betrieben. Die Rechenzentren der eingesetzten Infrastrukturanbieter sind nach anerkannten Standards zertifiziert; die Zutrittskontrolle liegt vertraglich bei diesen Anbietern.
• Zugangskontrolle: Der Zugang zum Verwaltungsbereich erfordert E-Mail und Passwort mit serverseitig erzwungener Mindeststärke (12 Zeichen, Sperrliste häufiger Passwörter, kein E-Mail-Bestandteil). Optional kommt eine Zwei-Faktor-Authentisierung per Authenticator-App hinzu. Nach fünf Fehlversuchen greift eine Sperre mit exponentiell wachsender Wartezeit (Obergrenze 60 Minuten).
• Zugriffskontrolle über Rollen: Vier Rollen mit abgestuften Rechten: Super-Admin, Admin, Betrachter sowie die gesondert benannte Meldestellen-Rolle (§ 8 HinSchG), deren Leserecht auf die Meldungen der internen Meldestelle beschränkt ist und von keiner anderen Rolle geerbt wird. Jede schützenswerte Schnittstelle prüft Sitzung und Rolle serverseitig; eine Prüfung allein in der Oberfläche gilt als unzureichend.
• Mandantentrennung: Jeder Datensatz ist einem Mandanten zugeordnet. Vor jeder Änderung wird die Mandantenzugehörigkeit geprüft; mandantenübergreifende Abfragen sind ausgeschlossen und durch automatisierte Tests abgesichert.
• Schutz vor Identifikation in kleinen Gruppen: Auswertungen und KI-Analysen werden erst ab einer Mindestanzahl von Rückmeldungen erstellt (k-Anonymität). Die Sichtbarkeit eingehender Rückmeldungen ist zeitverzögert, damit sich Einreichungen nicht über den Zeitpunkt zuordnen lassen.
• Sparsame Fehlerprotokolle: Sobald ein Fehler-Monitoring eingesetzt wird, werden Anfrageinhalte serverseitig verworfen, bevor ein Ereignis den Server verlässt; es verbleibt eine enge Positivliste technischer Felder ohne Feedback-Texte.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO — Weitergabe- und Eingabekontrolle)

• Weitergabekontrolle: Eine Weitergabe erfolgt ausschließlich an die in Anlage 2 genannten Unterauftragsverarbeiter und nur zu den dort genannten Zwecken. Benachrichtigungen an Chat-Kanäle enthalten bewusst keinen Feedback-Text, sondern nur Kategorie und Link in den geschützten Bereich.
• Eingabekontrolle: Sicherheitsrelevante Vorgänge im Verwaltungsbereich (Anmeldung, Rollenänderung, Einladung, Löschung, Zwei-Faktor-Änderungen) werden protokolliert. Für anonyme Rückmeldungen wird bewusst kein Urheberprotokoll geführt — das wäre ein Widerspruch zur zugesagten Anonymität.
• Eingabeprüfung und Schutz vor Manipulation: Jede Schnittstelle prüft Struktur, Längen und zulässige Werte der Eingaben. Mutierende Aufrufe mit Sitzungscookie sind gegen seitenübergreifende Anfragefälschung geschützt; öffentliche Endpunkte sind zusätzlich durch Köderfeld und Zeitprüfung gegen automatisierte Einträge abgesichert.
• Schutz vor Skript-Einschleusung: Eine Content-Security-Policy begrenzt zulässige Quellen. Datenexporte werden gegen Formel-Einschleusung in Tabellenkalkulationen abgesichert.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und lit. c DSGVO)

• Betrieb auf redundanter Infrastruktur: Anwendung und Datenbank laufen auf verwalteter Infrastruktur mit automatischer Skalierung und Ausfallabsicherung durch den Anbieter.
• Datensicherung und Wiederherstellbarkeit: Die Datenbank verfügt über zeitpunktgenaue Wiederherstellung durch den Anbieter; zusätzlich existiert ein Sicherungsskript für manuelle Ausleitungen.
• Überlastschutz: Ein mehrstufiges Anfragelimit (Redis, ersatzweise Datenbank oder Arbeitsspeicher) begrenzt die Zahl der Einreichungen je Mandant und Zeitfenster.
• Fehlerüberwachung: Laufzeitfehler werden in den Betriebsprotokollen der Hosting-Plattform erfasst und dort ausgewertet, damit Störungen zeitnah erkannt werden. Eine zusätzliche zentrale Fehlerüberwachung ist vorbereitet, aber derzeit nicht aktiv; ihre Aktivierung wird den Kunden vorab angekündigt.

5. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

• Automatisierte Prüfungen vor jeder Auslieferung: Statische Codeprüfung, automatisierte Tests und ein Produktionsbau laufen bei jeder Änderung. Eigene Regressionstests sichern die Anonymitäts- und Mandantentrennungs-Zusagen ab.
• Dokumentiertes Bedrohungsmodell: Abgewehrte Angriffswege und bewusst akzeptierte Restrisiken sind schriftlich festgehalten und werden fortgeschrieben.
• Meldeweg für Schwachstellen: Sicherheitsmeldungen laufen über eine benannte Kontaktadresse; die Rückmeldung erfolgt innerhalb von 48 Stunden, die Offenlegung nach einer Frist von 90 Tagen nach Behebung.
• Überprüfung der Unterauftragsverarbeiter: Vor Einsatz eines Dienstleisters wird ein Auftragsverarbeitungsvertrag geschlossen und abgelegt. Änderungen werden Kunden mit einer Frist von 30 Tagen vorab mitgeteilt.

6. Auftragskontrolle, Löschung und Rückgabe (Art. 28 Abs. 3 lit. a und lit. g DSGVO)

• Verarbeitung nur auf Weisung: Personenbezogene Daten der Beschäftigten des Kunden werden ausschließlich zu den im Vertrag festgelegten Zwecken verarbeitet. Eine Nutzung für eigene Zwecke, insbesondere für das Training von KI-Modellen, findet nicht statt.
• Einstellbare Aufbewahrungsfrist: Der Kunde legt die Aufbewahrungsfrist für Feedback-Daten selbst fest (Vorgabe 24 Monate, einstellbar zwischen 3 und 36 Monaten). Nach Ablauf entfernt ein nächtlicher Lauf die Daten physisch aus der Datenbank. Der automatische Löschlauf befindet sich derzeit im Prüfbetrieb: Er ermittelt und protokolliert die fälligen Datensätze, führt die Löschung aber noch nicht selbst aus. Bis zu seiner Freischaltung werden abgelaufene Daten auf Weisung des Verantwortlichen gelöscht.
• Löschung bei Vertragsende: Nach Beendigung des Vertrags werden die Daten des Kunden auf dessen Wahl herausgegeben oder gelöscht. Als gelöscht gekennzeichnete Mandanten werden nach einer Karenzzeit von 30 Tagen endgültig entfernt.
• Abschaltbare KI-Verarbeitung: Die KI-gestützte Auswertung ist eine gesondert buchbare Zusatzfunktion; die automatische Übersetzung eingehender fremdsprachiger Texte läuft standardmäßig in allen Tarifen. Beides hängt am selben KI-Schalter und kann vom Kunden jederzeit vollständig deaktiviert werden — nach dem Abschalten verlässt kein Feedback-Text mehr die Verarbeitungskette in Richtung der KI-Dienstleister.

Anlage 2: Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

Die vollständige, jeweils aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Verarbeitungsort und Transfer-Garantien ist Bestandteil dieses Vertrags und öffentlich abrufbar: deinkummerkasten.com/unterauftragsverarbeiter.

Stand: 5. September 2026