Vereinbarung nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden (Verantwortlicher) und Marco Lohmann, newways.consulting (Auftragsverarbeiter). Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen und kommt mit der Buchung zustande.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung von newways.suite einstellt oder die dabei anfallen.
Die Vereinbarung läuft, solange der Hauptvertrag läuft, und endet mit ihm – ergänzt um die Löschfrist nach Ziffer 10.
2. Art und Zweck der Verarbeitung
Speichern, Ordnen, Auslesen, Verwenden, Übermitteln und Löschen zum Zweck der Bereitstellung einer betriebswirtschaftlichen Anwendung: Kundenverwaltung, Angebote und Rechnungen, Projekte und Aufgaben, Zeiterfassung, Termine, Dateiablage, Posteingang und Kundenbereich.
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich weisungsgebunden und zu keinem eigenen Zweck. Insbesondere werden sie nicht zum Training von Modellen künstlicher Intelligenz verwendet, weder durch den Auftragsverarbeiter noch – nach dessen vertraglicher Zusicherung – durch die in Ziffer 6 genannten Unterauftragsverarbeiter.
3. Art der Daten
Stammdaten, Kontaktdaten, Vertrags- und Abrechnungsdaten, Inhaltsdaten aus Nachrichten und Dokumenten, Nutzungs- und Protokolldaten, hochgeladene Dateien, gegebenenfalls Unterschriftsbilder aus der Angebotsannahme.
Der Verantwortliche entscheidet, welche Daten er einstellt. Er stellt sicher, dass für deren Verarbeitung eine Rechtsgrundlage besteht. Besondere Kategorien nach Art. 9 DSGVO sollen nicht eingestellt werden; geschieht es dennoch, verarbeitet der Auftragsverarbeiter sie mit denselben Maßnahmen.
4. Kreis der Betroffenen
Kunden und Interessenten des Verantwortlichen, deren Ansprechpartner, Mitarbeiter des Verantwortlichen, Absender eingehender Nachrichten.
5. Weisungen
- Der Verantwortliche erteilt Weisungen in Textform. Die Nutzung der Anwendung und ihre Einstellungen gelten als Weisung.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.
- Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dies vorher mit, sofern das Recht dies nicht verbietet.
6. Unterauftragsverarbeiter
- Der Verantwortliche stimmt der Beauftragung der in der Liste der Unterauftragsverarbeiter genannten Stellen zu. Die Liste ist Bestandteil dieser Vereinbarung.
- Weitere oder andere Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum geplanten Wechsel kündigen.
- Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf dieselben Pflichten und haftet für sie wie für eigenes Handeln.
- Zum Assistenten: Die Übermittlung an Anthropic PBC findet statt, solange der Assistent eingeschaltet ist und eine Auswertung ausgelöst wird. Bei Zugängen, die ab dem 1. November 2026 eingerichtet werden, wird er eingeschaltet ausgeliefert; der Verantwortliche weist damit die Verarbeitung an und kann sie jederzeit unter Einstellungen → Assistent beenden. Ab dem Ausschalten findet die Übermittlung nicht mehr statt. Früher eingerichtete Zugänge behalten ihren Zustand.
- Zur Sprache: Für Diktat und Vorlesen gilt dasselbe gegenüber ElevenLabs Inc. Beides wird ab dem 1. November 2026 ebenfalls eingeschaltet ausgeliefert und arbeitet wahlweise mit einem eigenen Schlüssel des Verantwortlichen oder mit dem des Auftragsverarbeiters. Übermittelt wird nur die jeweils aufgenommene Passage beziehungsweise der vorzulesende Text, und nur, wenn der Verantwortliche oder seine Beschäftigten sie auslösen.
7. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter unterhält die Maßnahmen nach Art. 32 DSGVO, insbesondere:
| Bereich | Maßnahme |
|---|---|
| Übertragung | Ausschließlich TLS; HSTS bei verschlüsselter Verbindung |
| Zugangskontrolle | Passwörter nur als bcrypt-Hash; Begrenzung der Fehlversuche; Sitzungskennung wird bei der Anmeldung erneuert |
| Zugriffskontrolle | Rollen je Mandant; automatische Mandantenfilterung auf Datenbankebene; getrennter Betreiberbereich |
| Trennungskontrolle | Jeder Mandant führt eine eigene Kennung an jedem Datensatz; Abfragen ohne diese Kennung sind im Programm nicht möglich |
| Eingabekontrolle | Protokoll über Anlage, Änderung und Löschung; unveränderliches Protokoll für Zugriffe des Betreibers |
| Verfügbarkeit | Tägliche Sicherung, Aufbewahrung 30 Tage |
| Verschlüsselung | Zugangsdaten zu Postfächern und Schnittstellen verschlüsselt gespeichert |
| Auslieferung von Uploads | Eigene Auslieferungsschicht mit Pfadprüfung und eingeschränkter Inhaltsrichtlinie |
| Datenträgerkontrolle | Betrieb in Rechenzentren mit ISO-27001-Zertifizierung |
Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:
- Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit). Die Anwendung stellt dafür Export und Löschung bereit; darüber hinausgehende Unterstützung erfolgt unverzüglich.
- der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (Art. 35, 36 DSGVO), soweit erforderlich.
- Meldepflichten nach Art. 33, 34 DSGVO.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
10. Löschung und Rückgabe
- Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit selbst exportieren (CSV je Liste, vollständiges Archiv als ZIP).
- Nach Vertragsende bleiben die Daten 30 Tage lesbar und exportierbar.
- Danach werden sie gelöscht, einschließlich der Sicherungen im Rahmen des Sicherungsrhythmus, spätestens 60 Tage nach Vertragsende.
- Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; sie werden gesperrt und nach Ablauf der Frist gelöscht.
11. Nachweise und Kontrolle
- Der Auftragsverarbeiter weist die Einhaltung auf Anfrage in Textform nach.
- Der Verantwortliche darf sich vor Ort überzeugen, nach Ankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und höchstens einmal im Kalenderjahr – häufiger nur bei konkretem Anlass.
- Vorliegende Zertifikate und Prüfberichte der Unterauftragsverarbeiter werden auf Anfrage zur Verfügung gestellt.
12. Vertraulichkeit
Die mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.
13. Anwendbares Recht
Es gilt spanisches Recht. Maßgeblich ist die spanische Fassung.