Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO, für die Daten, die Sie als Unternehmer in Ihren Backends speichern. Stand: 28. September 2026.
Die deutsche Fassung ist maßgeblich. Die englische Fassung ist eine Übersetzung. Dieser Vertrag wird mit der Annahme der AGB durch einen Unternehmer geschlossen. Eine Unterschrift ist nicht nötig. Eine unterschriebene Fassung erhalten Sie auf Anfrage an hello@typestate.com.
zwischen dem Kunden als Verantwortlichem ("Auftraggeber") und Lütfi Demirci, handelnd unter "Typestate", Neckarstr. 21, 12053 Berlin, Deutschland, als Auftragsverarbeiter ("Auftragnehmer").
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer betreibt für den Auftraggeber die Plattform Typestate nach den AGB ("Hauptvertrag"). Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber in seinen Backends speichert oder über sie verarbeitet.
(2) Dieser Vertrag gilt, solange der Auftragnehmer solche Daten verarbeitet, mindestens für die Dauer des Hauptvertrags.
§ 2 Art, Zweck, Daten, Betroffene
(1) Art der Verarbeitung: Speichern, Ausführen, Lesen, Anzeigen im Cockpit, Übermitteln an die Endpunkte des Auftraggebers, Protokollieren und Löschen.
(2) Zweck: Bereitstellung der Backends, Websites und Werkzeuge des Auftraggebers nach dem Hauptvertrag.
(3) Arten von Daten: die Daten, die der Auftraggeber in seinen Datensatztypen festlegt, typischerweise Kontaktdaten, Anmeldedaten seiner Nutzer (E-Mail-Adresse, Passwort-Hash, Sitzungen), Inhalte, Bestell- und Vertragsdaten, Zahlungsdaten nach Abs. 6, Nutzungs- und Protokolldaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse) und hochgeladene Dateien. Besondere Kategorien nach Art. 9 DSGVO speichert der Auftraggeber nur nach vorheriger Abstimmung in Textform.
(4) Betroffene: Nutzer, Kunden, Interessenten, Beschäftigte und Kontaktpersonen des Auftraggebers.
(5) Nicht Gegenstand: Die Beschreibungen und Tests des Auftraggebers. Sie werden zur Übersetzung an Sprachmodell-Anbieter übermittelt und sollen keine personenbezogenen Daten seiner Nutzer enthalten (AGB § 8 Abs. 4). Enthalten sie doch solche Daten, gelten die Sprachmodell-Anbieter der Liste in § 6 für diese Daten als Unterauftragsverarbeiter.
(6) Zahlungen. Nutzt der Auftraggeber die Zahlungsfunktion, speichert sein Backend Bestellungen, Abonnements, Zahlungen, Erstattungen und Kündigungen seiner Käufer. Kartendaten und Kontoverbindungen gibt der Käufer nur beim Zahlungsanbieter ein; sie erreichen den Auftragnehmer nicht. Den Zahlungsanbieter wählt der Auftraggeber und schließt mit ihm einen eigenen Vertrag. Er ist ein Empfänger, den der Auftraggeber bestimmt, und kein Unterauftragsverarbeiter des Auftragnehmers. Dasselbe gilt für den Anbieter, über den ein Backend des Auftraggebers E-Mails versendet.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Auftraggeber im Cockpit oder über seinen Agenten trifft, zum Beispiel Aufbewahrungsfristen, Zugriffsregeln und das Löschen von Datensätzen. Weitere Weisungen erteilt der Auftraggeber in Textform.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit. Er darf ihre Ausführung bis zur Bestätigung aussetzen.
(3) Verpflichtet ihn das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung, teilt er das vorher mit, sofern das Recht das nicht verbietet.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Heute hat nur der Auftragnehmer selbst Zugriff.
§ 5 Sicherheit der Verarbeitung
Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen der Anlage (Art. 32 DSGVO). Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter, die auf der Seite Unterauftragsverarbeiter genannt sind.
(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie dieser Vertrag.
§ 7 Übermittlung in Drittländer
Eine Übermittlung in ein Drittland findet nur nach Art. 44 bis 49 DSGVO statt. Die Grundlage für jeden Unterauftragsverarbeiter steht in der Liste nach § 6.
§ 8 Unterstützung des Auftraggebers
(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO). Der Auftraggeber kann Datensätze im Cockpit, über seinen Agenten und über seine eigenen Endpunkte lesen, berichtigen und löschen. Erreicht eine Anfrage den Auftragnehmer, leitet er sie unverzüglich weiter.
(2) Der Auftragnehmer unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO.
(3) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
§ 9 Löschung und Rückgabe
(1) Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf Anfrage die Datensätze seiner Backends in einem gängigen, maschinenlesbaren Format bereit und löscht danach alle Daten des Auftraggebers nach den Fristen der AGB § 7, sofern keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht.
(2) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.
§ 10 Nachweise und Kontrollen
(1) Der Auftragnehmer stellt die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
(2) Der Auftraggeber kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Anmeldung mit einer Frist von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne den Betrieb zu stören. Für die Rechenzentren genügen die Nachweise der Unterauftragsverarbeiter, zum Beispiel ISO/IEC 27001 oder SOC 2.
§ 11 Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregel des Hauptvertrags.
§ 12 Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Gerichtsstand ist Berlin, soweit zulässig.
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Rechenzentren: Hetzner in Deutschland und Cloudflare. Nachweis über deren Zertifikate. Der Auftragnehmer betreibt keine eigenen Räume mit Servern.
- Zugang zum Server: nur über SSH mit Schlüssel, nur für den Auftragnehmer.
- Zugang zum Cockpit: E-Mail-Adresse und Passwort. Passwörter werden nur als Hash mit Salt gespeichert. Das Sitzungscookie ist signiert und höchstens 7 Tage gültig.
- Zugang für Agenten: OAuth mit PKCE oder API-Schlüssel. Schlüssel und Tokens werden nur als Hash gespeichert und können jederzeit widerrufen werden.
- Zugriffskontrolle: Jeder Zugriff auf Daten eines Kontos nennt das Konto, und die Mitgliedschaft wird bei jeder Anfrage geprüft. Die Backends setzen die Zugriffsregeln durch, die der Auftraggeber für jeden Datensatztyp festlegt.
- Trennung: Jedes Backend läuft als eigenes Skript mit eigener Datenbank, getrennt nach Sandbox und Live. Kein Backend kann die Datenbank eines anderen lesen. Die Trennung ist logisch; alle Backends laufen in einem Cloudflare-Konto des Auftragnehmers.
- Verschlüsselung: Übertragung nur über TLS. Geheime Werte der Kunden (Umgebungsvariablen, Zugangsdaten zu Drittsystemen) werden mit AES-GCM verschlüsselt gespeichert.
- Kein fremder Code: Der Auftragnehmer nimmt keinen Programmcode von Kunden an. Der erzeugte Code wird vor jeder Bereitstellung geprüft.
Integrität
- Eingabekontrolle: Jede Änderung an Beschreibungen, Datensatztypen und Einstellungen wird als Version gespeichert. Änderungen für Live laufen über eine Freigabe. Jede Aktion eines Agenten wird mit Zeitpunkt protokolliert.
- Weitergabekontrolle: Übertragung nur verschlüsselt, an Unterauftragsverarbeiter nur nach § 6.
Verfügbarkeit und Belastbarkeit
- Live-Backends laufen bei Cloudflare und bleiben erreichbar, wenn der Server bei Hetzner ausfällt.
- Die Datenbank der Plattform wird jede Nacht gesichert. Die Sicherungen werden nach höchstens 30 Tagen überschrieben.
- Überwachung der Server und Protokolle.
Regelmäßige Überprüfung
- Automatische Tests vor jeder Bereitstellung. Eine Bereitstellung ohne diese Prüfungen wird auf dem Server vermerkt.
- Der Auftraggeber kann für jeden Datensatztyp eine Aufbewahrungsfrist setzen, nach der seine Backends Datensätze löschen.
Organisation
- Der Auftragnehmer ist ein Einzelunternehmen. Nur der Auftragnehmer hat Zugriff auf Server, Datenbank und die Konten bei den Unterauftragsverarbeitern.