allesgemacht

Vertrag zur Auftragsverarbeitung

Stand: Oktober 2026

Dieser Vertrag gilt zwischen der Organisation, die allesgemacht nutzt (Verantwortlicher, im Folgenden „Kunde“), und der ClickSummits LLC, 2880 W Oakland Park Blvd, Suite 225C, Oakland Park, FL 33311, USA (Auftragsverarbeiter, im Folgenden „wir“). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit dem Anlegen einer Organisation vereinbart. Auf Wunsch stellen wir ihn auch zur Unterschrift bereit (Anfrage an mail@allesgemacht.de).

1. Gegenstand und Dauer

Wir stellen dem Kunden allesgemacht als Software über das Internet bereit. Dabei verarbeiten wir personenbezogene Daten, die der Kunde und seine Nutzer in der Organisation speichern, ausschließlich im Auftrag des Kunden. Der Vertrag gilt, solange wir solche Daten für den Kunden verarbeiten.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung der Funktionen von allesgemacht – Chat, Projekte und Aufgaben, Wissen und Dokumente, Kalender, Dateien, Benachrichtigungen, Suche, KI-Funktionen (Suche nach Bedeutung, Zusammenfassungen, Entwürfe, Sprachnachrichten als Text, KI-Agenten), Verbindungen zu Diensten, die der Kunde selbst verbindet, sowie Support.

Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Durchsuchen, Übermitteln an die vom Kunden berechtigten Personen, Verarbeiten durch KI-Funktionen, Sichern und Löschen.

Arten von Daten: Namen, E-Mail-Adressen und Profilangaben der Nutzer; Inhalte von Nachrichten, Aufgaben, Projekten, Dokumenten, Terminen und Dateien; Daten aus verbundenen Diensten (z. B. Bestellungen oder Kontakte), soweit der Kunde sie abrufen lässt; Protokolldaten (wer hat wann was geändert).

Betroffene Personen: Mitarbeitende, Mitglieder und Gäste der Organisation sowie Personen, deren Daten der Kunde in Inhalten speichert (z. B. Kunden, Interessenten, Geschäftspartner).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) soll der Kunde nur speichern, wenn er dafür die Voraussetzungen geschaffen hat.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind abschließend in diesem Vertrag, den AGB und den Einstellungen festgelegt, die der Kunde in allesgemacht vornimmt (z. B. KI-Funktionen ein- oder ausschalten, Verbindungen einrichten, Inhalte löschen). Weitere Weisungen erteilt der Kunde in Textform an mail@allesgemacht.de. Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden darauf hin. Eine Verarbeitung aufgrund gesetzlicher Pflichten teilen wir dem Kunden vorab mit, soweit das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Wir greifen auf Inhalte des Kunden nur zu, soweit dies für Betrieb, Sicherheit oder eine Supportanfrage des Kunden erforderlich ist.

5. Technische und organisatorische Maßnahmen

Wir treffen die in Anlage 1 beschriebenen Maßnahmen zur Sicherheit der Verarbeitung (Art. 32 DSGVO). Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Kunde ist mit den in Anlage 2 genannten Unterauftragsverarbeitern einverstanden. Über die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter informieren wir den Kunden mindestens 30 Tage vorher per E-Mail an die Eigentümer der Organisation. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; können wir die Änderung dann nicht vermeiden, darf der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

7. Übermittlung in Drittländer

Wir haben unseren Sitz in den USA. Die Daten des Kunden speichern wir in Rechenzentren in Frankfurt am Main; KI-Funktionen laufen in Rechenzentren in der EU. Ein Zugriff aus den USA (durch uns oder Unterauftragsverarbeiter) ist dennoch möglich. Ist der Kunde in der EU oder im EWR ansässig, gelten für Übermittlungen an uns ergänzend die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2: Verantwortlicher an Auftragsverarbeiter), die hiermit Bestandteil dieses Vertrags werden; Klausel 7 (Kopplungsklausel) gilt nicht, für Klausel 9 gilt Option 2 mit der Frist aus Abschnitt 6, für Klausel 17 gilt das Recht Irlands und für Klausel 18 die Gerichte Irlands. Die Angaben in den Anhängen der Klauseln ergeben sich aus diesem Vertrag und seinen Anlagen. Bei Übermittlungen an Unterauftragsverarbeiter in Drittländern stützen wir uns auf Standardvertragsklauseln oder das EU-US Data Privacy Framework.

8. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Vieles kann der Kunde selbst in allesgemacht erledigen, etwa Inhalte bearbeiten oder löschen und Daten exportieren. Wenden sich betroffene Personen direkt an uns, leiten wir die Anfrage an den Kunden weiter. Wir unterstützen den Kunden außerdem bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden, soweit die Informationen bei uns liegen.

9. Verletzungen des Schutzes personenbezogener Daten

Wird uns eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, informieren wir den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die Eigentümer der Organisation – mit den Angaben, die der Kunde für eine Meldung nach Art. 33 und 34 DSGVO benötigt, soweit sie uns vorliegen. Wir ergreifen unverzüglich Maßnahmen, um die Verletzung einzudämmen.

10. Löschung und Rückgabe

Nach Ende der Verarbeitung – insbesondere wenn der Kunde seine Organisation löscht – löschen wir die Daten des Kunden, soweit keine gesetzliche Pflicht zur Speicherung besteht. Vorher kann der Kunde seine Daten selbst exportieren. Sicherungskopien werden im üblichen Rhythmus überschrieben.

11. Nachweise und Kontrollen

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Kontrollen erfolgen vorrangig durch Auskünfte und Unterlagen, etwa Nachweise unserer Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung (in der Regel 30 Tage) während der Geschäftszeiten möglich, sofern Auskünfte und Unterlagen nicht ausreichen; dabei ist die Vertraulichkeit anderer Kunden zu wahren.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, bei Widersprüchen zu den Standardvertragsklauseln gehen diese vor.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit
- Mandantentrennung in der Datenbank: Jede Tabelle mit Kundendaten ist einer Organisation zugeordnet; der Zugriff wird bei jeder Abfrage in der Datenbank geprüft (Row Level Security), nicht nur in der Oberfläche.
- Automatisierte Tests stellen für jede Tabelle sicher, dass eine fremde Organisation Daten weder lesen noch ändern kann.
- Rollenmodell (Eigentümer, Admin, Mitglied, Gast); private Projekte und Kanäle nur für freigegebene Personen und Teams.
- Passwörter, Einladungs-Links und Kalender-Links nur als nicht umkehrbare Prüfwerte gespeichert; Anmelde-Links zeitlich begrenzt.
- Dateien in privatem Speicher, Abruf nur für berechtigte Personen.
- Zugangsdaten zu verbundenen Diensten verschlüsselt gespeichert.
- Administrativer Zugang zu den Systemen nur durch den Betreiber; Geheimnisse nur in geschützten Umgebungsvariablen.

Integrität
- Verschlüsselte Übertragung (TLS/HTTPS) und Verschlüsselung der gespeicherten Daten bei den Hosting-Anbietern.
- Alle Eingaben werden serverseitig geprüft; Änderungen nur über geprüfte Server-Funktionen.
- Änderungsprotokoll: Schreibende Aktionen werden mit Zeitpunkt und handelnder Person protokolliert.
- KI-Agenten ändern Daten in verbundenen Diensten nur nach Freigabe durch eine berechtigte Person.

Verfügbarkeit und Belastbarkeit
- Betrieb in Rechenzentren mit Redundanz (Amazon Web Services Frankfurt, Vercel).
- Regelmäßige Datensicherungen durch den Datenbank-Anbieter.

Verfahren zur regelmäßigen Überprüfung
- Änderungen an der Datenbank nur über versionierte, getestete Migrationen.
- Anwendungs-Protokolle enthalten keine personenbezogenen Inhalte.
- Regelmäßige Überprüfung der Unterauftragsverarbeiter und der Maßnahmen.

Anlage 2: Unterauftragsverarbeiter

  • Supabase Inc., USA – Datenbank, Anmeldung, Dateispeicher, Echtzeit-Übertragung. Ort: Amazon Web Services, Frankfurt am Main.
  • Vercel Inc., USA – Hosting der Anwendung. Ort: Funktionen in Frankfurt am Main; Auslieferung über ein weltweites Netz.
  • Amazon Web Services EMEA SARL, Luxemburg – KI-Funktionen über Amazon Bedrock (Suche nach Bedeutung, Antworten, Zusammenfassungen, Entwürfe, KI-Agenten) und Amazon Transcribe (Sprachnachrichten als Text). Ort: Frankfurt am Main bzw. Rechenzentren in der EU.
  • ALL-INKL.COM – Neue Medien Münnich, Deutschland – Versand von E-Mails (z. B. Einladungen, Benachrichtigungen).
  • Tavily AI, USA – Web-Recherche für KI-Agenten, nur wenn der Kunde sie für einen Agenten einschaltet; übermittelt werden Suchbegriffe und Adressen öffentlicher Webseiten.