Archivierte Fassung vom 6. Oktober 2026. Dieses Dokument wird nicht mehr verändert. Die jeweils gültige Fassung steht unter deinkummerkasten.com/avv; alle archivierten Fassungen listet deinkummerkasten.com/rechtliches.

Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der JKVertrieb GbR, vertreten durch die Gesellschafter Jacob Rapp und Kay Weichert als Auftragsverarbeiter. Dieser Vertrag wird mit Abschluss des Nutzungsvertrags in elektronischer Form wirksam (§ 14) — eine gesonderte Unterschrift ist nicht erforderlich.

§ 1 Vertragsparteien und Gegenstand

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde des Nutzungsvertrags (nachfolgend „Auftraggeber"). Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist die JKVertrieb GbR, vertreten durch die Gesellschafter Jacob Rapp und Kay Weichert, Freienwalder Straße 10, 16269 Wriezen, Deutschland, Anbieterin der Software Kummerkasten (nachfolgend „Auftragnehmer"). Datenschutz-Kontaktstelle: kontakt@deinkummerkasten.com · +49 172 572 8634. Einen Datenschutzbeauftragten hat der Auftragnehmer nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb einer Software für anonyme Rückmeldungen von Beschäftigten sowie der davon abhängigen Zusatzfunktionen (Umfragen, Ideenmanagement, Auswertungen, KI-Dialog, interne Meldestelle, Benachrichtigungen). Der Hauptvertrag ergibt sich aus den Allgemeinen Geschäftsbedingungen des Auftragnehmers; dieser Vertrag geht ihnen in Fragen der Auftragsverarbeitung vor.

Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Vertrags-, Abrechnungs- und Kontaktdaten des Auftraggebers, soweit der Auftragnehmer sie für eigene Zwecke verarbeitet (Registrierung, Vertragsdurchführung, Abrechnung, Support, Sicherheit des Dienstes, gesetzliche Pflichten). Hierfür ist er selbst Verantwortlicher; es gilt seine Datenschutzerklärung.

§ 2 Art, Umfang und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

Eine Verarbeitung der in diesem Vertrag genannten Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere werden Inhalte nicht zum Training von KI-Modellen verwendet.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Beschäftigte des Auftraggebers (als Verfassende anonymer Rückmeldungen und, sofern der Auftraggeber Empfängerlisten pflegt, als Empfängerinnen und Empfänger von Umfrage-Einladungen) sowie die vom Auftraggeber benannten Verwaltungsnutzerinnen und -nutzer.

Datenarten Verwaltungsnutzung: E-Mail-Adresse, Rolle, Passwort-Prüfwert, optionales Zwei-Faktor-Geheimnis in verschlüsselter Form, Sitzungsdaten, Protokolle sicherheitsrelevanter Vorgänge.

Datenarten Rückmeldungen: Freitext, Stimmungswert, gewählte Kategorie, optionale Abteilungsangabe, Eingangszeitpunkt (technisch notwendig für die zeitversetzte Anzeige und für Monatsauswertungen; nach außen wird ausschließlich das Datum gezeigt), Zeitpunkt der Freischaltung sowie die Herkunft der Rückmeldung (selbst geschrieben oder als KI-Zusammenfassung aus dem KI-Dialog). Es werden bewusst keine IP-Adressen, Browser-Kennungen, Benutzer-Kennungen oder Identifikations-Cookies erhoben. Freitext kann jedoch personenbezogene Angaben enthalten, wenn die verfassende Person sie freiwillig hineinschreibt.

Datenarten Umfragen (nur bei Nutzung der Umfragen): Antworten auf die vom Auftraggeber gestellten Fragen einschließlich freier Textantworten, optionale Abteilungsangabe, Eingangszeitpunkt und Zeitpunkt der Freischaltung. Wie bei Rückmeldungen werden keine IP-Adressen, Browser-Kennungen oder Identifikations-Cookies erhoben.

Datenarten Ideenmanagement (nur bei Nutzung des Ideenmanagements): Titel und Beschreibung einer Idee, Kommentare, Stimmen in Form eines nicht umkehrbaren Prüfwerts sowie, nur wenn die einreichende Person ihn selbst angibt, ihr Name.

Datenarten Rückkanal: Nachrichten zwischen Auftraggeber und einreichender Person zu einer Rückmeldung oder Umfrage-Antwort sowie ein nicht umkehrbarer Prüfwert des Fallcodes.

Datenarten interne Meldestelle (nur bei aktivierter Meldestelle): Freitext der Meldung, gewählte Kategorie, Fall-Kennung, Bearbeitungsvermerke und Fristen der Meldestelle. Meldungen können Angaben über die meldende Person und über in der Meldung genannte Personen enthalten; betroffene Personen sind insoweit auch Personen, die in Meldungen genannt werden. Der Zugriff ist auf die benannte Meldestellen-Rolle beschränkt (§ 8 HinSchG).

Datenarten Empfängerlisten (nur bei Nutzung der E-Mail-Einladungen): E-Mail-Adresse, Zugehörigkeit zu einer Liste, Aufnahmedatum, Abmeldezustand und — sofern gemeldet — die Kennzeichnung als unzustellbar. Nicht erhoben werden Öffnungen, Klicks, Lesezeitpunkte sowie jede Angabe darüber, ob eine bestimmte Adresse an einer Umfrage teilgenommen hat; eine Verknüpfung mit einzelnen Rückmeldungen oder Umfrage-Antworten findet nicht statt.

Flüchtig verarbeitete Daten (KI-Dialog und Spracheingabe): Gesprächsinhalte des KI-Dialogs und Sprachaufnahmen der Spracheingabe werden nur für die Dauer der jeweiligen Anfrage verarbeitet und nicht gespeichert. Gespeichert wird allein die abgeschickte Rückmeldung.

§ 4 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Als Weisung gelten dieser Vertrag, die Einstellungen, die der Auftraggeber in der Software vornimmt, sowie Weisungen in Textform an die Datenschutz-Kontaktstelle des Auftragnehmers (kontakt@deinkummerkasten.com · +49 172 572 8634). Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen; kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht dem Auftraggeber ein Sonderkündigungsrecht zu.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten. Bei den im Grundbetrieb eingesetzten Unterauftragsverarbeitern ist dies die Auftragsverarbeitungsvereinbarung des jeweiligen Anbieters, die nach dessen Vertragsbedingungen Bestandteil des Nutzungsvertrags ist; die Fundstellen stehen auf der Seite deinkummerkasten.com/unterauftragsverarbeiter. Mit den als optional gekennzeichneten, derzeit nicht eingerichteten Anbietern wird die Vereinbarung vor der Einrichtung geschlossen.

Die jeweils aktuelle Liste ist öffentlich abrufbar unter deinkummerkasten.com/unterauftragsverarbeiter.

§ 8 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit dies erforderlich ist und dem Auftragnehmer möglich ist.

Grenze der Unterstützung bei anonymen Rückmeldungen: Anonyme Rückmeldungen lassen sich weder einer Person zuordnen noch für eine Person auffinden. Eine Auskunft, Berichtigung oder Löschung einzelner Rückmeldungen auf Personenbezug ist deshalb faktisch nicht möglich. Das ist gewollter Bestandteil des Schutzkonzepts und dem Auftraggeber bekannt.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält die betroffenen Datenkategorien, den vermuteten Umfang, die ergriffenen Maßnahmen und eine Kontaktstelle für Rückfragen. Die Meldepflichten des Auftraggebers nach Art. 33 und 34 DSGVO bleiben unberührt.

§ 10 Löschung und Rückgabe

Der Auftraggeber legt die Aufbewahrungsfrist für Rückmeldungen selbst fest. Ohne abweichende Einstellung gilt eine Frist von 24 Monaten; einstellbar ist ein Wert zwischen 3 und 36 Monaten. Nach Ablauf der Frist entfernt ein automatischer nächtlicher Lauf die betroffenen Daten physisch aus der Datenbank; sie werden nicht lediglich ausgeblendet. In der zeitpunktgenauen Wiederherstellung des Datenbankanbieters bleiben gelöschte Daten technisch bedingt bis zum Ablauf des dort eingestellten Wiederherstellungsfensters erhalten; sie werden in dieser Zeit nicht verwendet und danach automatisch verworfen.

Meldungen der internen Meldestelle unterliegen nicht dieser Einstellung: Ihre Dokumentation wird 3 Jahre nach Abschluss des Verfahrens durch den nächtlichen Lauf gelöscht (§ 11 Abs. 5 HinSchG); ein noch laufender Vorgang wird nicht gelöscht. Die allgemeine Aufbewahrungsfrist kann diese Frist nicht verkürzen. Eine längere Aufbewahrung, die § 11 Abs. 5 HinSchG im Einzelfall zulässt, sieht die Software nicht vor; braucht die Meldestelle eine Dokumentation länger, sichert sie sie vor Fristablauf über die Druckansicht der Fallakte (Ausdruck oder PDF).

Nach Beendigung des Vertrags werden alle Daten des Auftraggebers nach dessen Wahl herausgegeben oder gelöscht. Vertragsende ist das Ende des letzten laufenden Abonnements, also des Tarifs und gesondert gebuchter Zusatzmodule; bei einem individuell vereinbarten Vertrag ohne Online-Abonnement ist es das dort vereinbarte Ende. Ohne abweichende Weisung werden die Daten spätestens 30 Tage nach Vertragsende endgültig gelöscht. Bis dahin kann der Auftraggeber sie im Dashboard unter „Einstellungen → Datenschutz-Unterlagen“ exportieren; mit dem Ende des Tarif-Abonnements erhalten seine Administratorinnen und Administratoren eine E-Mail mit dem Löschdatum. Bei einem individuell vereinbarten Vertrag wird das Konto mit dem Vertragsende gesperrt; den Export nimmt der Auftraggeber dann vor dem Vertragsende vor. Ausgenommen sind Meldungen der internen Meldestelle: Solange Fallakten gespeichert sind — laufende Verfahren ebenso wie abgeschlossene, deren Aufbewahrungsfrist nach § 11 Abs. 5 HinSchG noch läuft —, wird das Konto des Auftraggebers auch nach Vertragsende nicht endgültig gelöscht. Die Fallakten sichert und übergibt die vom Auftraggeber benannte Meldestelle selbst über die Druckansicht der Fallakte (Ausdruck oder PDF); der Auftragnehmer hat auf Meldungen keinen Zugriff und gibt sie nicht heraus. Nach der Übergabe löscht der Auftragnehmer Fallakten und Konto auf Weisung des Auftraggebers; bis dahin gilt für die übrigen Daten weiter die eingestellte Aufbewahrungsfrist. Aufbewahrungspflichten, denen der Auftragnehmer nach dem Recht der Union oder der Mitgliedstaaten unterliegt, bleiben unberührt; die betroffenen Daten werden in diesem Fall gesperrt und nicht weiter verarbeitet.

§ 11 Nachweise und Kontrollrechte

Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach, insbesondere durch die aktuelle Fassung von Anlage 1 sowie durch Nachweise über die mit Unterauftragsverarbeitern geschlossenen Verträge. Weitergehende Kontrollen durch den Auftraggeber oder eine von ihm beauftragte Prüferin sind nach vorheriger Ankündigung mit angemessener Frist und ohne Störung des Betriebsablaufs zulässig.

§ 12 Drittlandtransfer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Die für die einzelnen Unterauftragsverarbeiter geltenden Garantien sind in Anlage 2 ausgewiesen. Der Auftraggeber kann die KI-gestützte Auswertung und die Spracheingabe in den Einstellungen vollständig abschalten; derselbe Schalter beendet auch die automatische Übersetzung und den KI-Dialog. Nach dem Abschalten findet keine Übermittlung von Rückmeldungsinhalten an KI-Dienstleister statt.

§ 13 Laufzeit und Schlussbestimmungen

Dieser Vertrag läuft, solange der Hauptvertrag besteht. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.

§ 14 Abschluss in elektronischer Form

Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Er wird wirksam, indem der Auftraggeber den Nutzungsvertrag über die Software Kummerkasten abschließt (Registrierung mit Tarifwahl); einer gesonderten Unterschrift bedarf es nicht. Die jeweils geltende Fassung ist öffentlich unter deinkummerkasten.com/avv abrufbar; Kunden können den Vertrag im Dashboard jederzeit mit ihrem Firmennamen versehen als PDF drucken. Auf Wunsch stellt der Auftragnehmer eine Fassung in Textform bereit.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den technisch und organisatorisch umgesetzten Schutz und wird bei wesentlichen Änderungen fortgeschrieben.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO — Zutritt, Zugang, Zugriff, Trennung)

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO — Weitergabe- und Eingabekontrolle)

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und lit. c DSGVO)

5. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

6. Auftragskontrolle, Löschung und Rückgabe (Art. 28 Abs. 3 lit. a und lit. g DSGVO)

Anlage 2: Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

Die vollständige, jeweils aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Verarbeitungsort und Transfer-Garantien ist Bestandteil dieses Vertrags und öffentlich abrufbar: deinkummerkasten.com/unterauftragsverarbeiter.

Stand: 6. Oktober 2026