Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Zustandekommen

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen Ihnen als Verantwortlichem („Auftraggeber“) und Mindcaptain Services OÜ, Ahtri tn 12, 15551 Tallinn, Harju maakond, Estland als Auftragnehmer („wir“). Er konkretisiert die Pflichten nach Art. 28 DSGVO für personenbezogene Daten, die wir in Ihrem Auftrag verarbeiten. Er wird mit Annahme der AGB bei Nutzung der Dienste geschlossen und gilt für alle unter Smallwerk betriebenen Apps, derzeit Formlane.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist das Formular-Backend von Formlane: das Entgegennehmen, Speichern, Anzeigen, Exportieren (CSV) und Löschen von Formular-Einsendungen, Prüfungen auf Spam und Missbrauch (Honeypot, Stichwortprüfung, Begrenzung pro IP mit gesalzenem IP-Hash) sowie E-Mail-Benachrichtigungen an die von Ihnen festgelegten Adressen. Die Verarbeitung dauert an, solange Ihr Konto besteht, bis Sie das Konto löschen.

3. Art der Daten und betroffene Personen

Verarbeitet werden die Inhalte der von Ihnen definierten Formularfelder (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachricht und weitere von Ihnen angelegte Felder), Metadaten der Einsendung (Zeitpunkt, gesalzener IP-Hash, Spam-Kennzeichnung) sowie die Empfängeradressen der Benachrichtigungen. Betroffene Personen sind die Absender Ihrer Formulare sowie Ihre Mitarbeitenden, die Benachrichtigungen erhalten. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9, 10 DSGVO) ausgelegt; solche dürfen Sie über Formlane nur erheben, wenn Sie deren Zulässigkeit selbst sichergestellt haben.

4. Weisungen

Dokumentierte Weisungen sind die AGB, dieser AVV und Ihre Einstellungen und Handlungen in der App (Formulare und Einsendungen anlegen oder löschen, Export, Benachrichtigungsadresse, erlaubte Domains, Weiterleitung). Weitere Weisungen erteilen Sie in Textform an hello@smallwerk.com. Halten wir eine Weisung für datenschutzrechtlich unzulässig, informieren wir Sie unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und dürfen ihre Ausführung bis zur Klärung aussetzen. Wir verarbeiten die Daten ausschließlich nach Ihren Weisungen, es sei denn, wir sind nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall informieren wir Sie vorab, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen die folgenden umgesetzten Maßnahmen:

• Übertragung verschlüsselt über HTTPS/TLS; in der Produktivumgebung erzwingt die Content-Security-Policy zusätzlich ein Upgrade auf verschlüsselte Verbindungen.
• Speicherung in einer Supabase-Datenbank in Frankfurt (eu-central-1); die Verschlüsselung im Ruhezustand erfolgt durch den Anbieter.
• Datenbankzugriff nur serverseitig über einen Service-Schlüssel; Row Level Security ist aktiviert, ohne öffentliche Richtlinien.
• Daten sind je Konto getrennt.
• Anmeldung über einen Einmal-Link per E-Mail; Passwörter speichern wir nicht.
• Content-Security-Policy mit einem Nonce pro Anfrage sowie weitere Sicherheits-Header (X-Frame-Options, X-Content-Type-Options, Referrer-Policy).
• Begrenzung der Anfragen pro IP und Spam-Prüfungen.
• IP-Adressen nur als gesalzener Hash, nach 30 Tagen gelöscht.
• Löschen einzelner Einsendungen, ganzer Formulare und des gesamten Kontos jederzeit in der App.
• Keine KI-Dienste, kein Tracking.

Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Subunternehmer

Sie erteilen die allgemeine Genehmigung, die folgenden Subunternehmer (Unterauftragsverarbeiter) einzusetzen. Wir informieren Sie mindestens 30 Tage vor Hinzunahme oder Austausch eines Subunternehmers per E-Mail; Sie können widersprechen und, falls keine Lösung gefunden wird, kündigen. Wir verpflichten Subunternehmer zu gleichwertigen Pflichten.

• Vercel Inc., USA — Hosting und Ausführung der Anwendung; Serverless-Funktionen in Frankfurt (fra1), statische Auslieferung/Edge-Netz weltweit. Übermittlungsgrundlage: EU-US Data Privacy Framework und/oder Standardvertragsklauseln.
• Supabase Inc., USA — Datenbank und Anmeldung; Daten gespeichert in Frankfurt (eu-central-1). Data Privacy Framework/Standardvertragsklauseln für etwaige Zugriffe von außerhalb der EU.
• Resend (Plus Five Five, Inc.), USA — Versand der Benachrichtigungs- und Service-E-Mails (enthalten den Inhalt der Einsendung und die Empfängeradresse); Verarbeitung in den USA; Data Privacy Framework/Standardvertragsklauseln.

Keine Subunternehmer für Einsendungsdaten: Stripe (Stripe Payments Europe Ltd., Irland; Daten werden auch von Stripe in den USA verarbeitet) verarbeitet nur Ihre eigenen Abrechnungsdaten, und ActiveCampaign (ActiveCampaign LLC, USA) nur Ihre eigenen Kontaktdaten und nur mit Einwilligung; hierfür sind wir Verantwortlicher (siehe Datenschutzerklärung). Keiner von beiden erhält Formular-Einsendungen.

8. Übermittlungen in Drittländer

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss / Data Privacy Framework oder Standardvertragsklauseln).

9. Unterstützung des Auftraggebers

Wir unterstützen Sie bei Anfragen betroffener Personen (Export und Löschung in der App, sonst auf Anfrage) sowie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO, soweit dies angesichts der uns vorliegenden Informationen angemessen und möglich ist. Anfragen betroffener Personen, die bei uns eingehen, leiten wir an Sie weiter.

10. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, nach Möglichkeit innerhalb von 48 Stunden, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.

11. Nachweise und Überprüfungen

Wir stellen Ihnen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Überprüfungen sind nach angemessener Vorankündigung (mindestens 30 Tage), während der Geschäftszeiten, ohne Störung des Betriebs und auf Ihre Kosten möglich, in der Regel höchstens einmal jährlich. Sie können auch durch aktuelle Prüfberichte oder Zertifikate unserer Subunternehmer erfüllt werden.

12. Löschung und Rückgabe

Sie können Einsendungen jederzeit als CSV exportieren und Daten in der App löschen. Endet ein Abo, wechselt Ihr Konto in den Free-Tarif; Ihre Daten bleiben erhalten, bis Sie sie oder Ihr Konto löschen. Eine automatische Löschung nach Vertragsende gibt es nicht. Löschen Sie Ihr Konto in der App, werden die Daten sofort entfernt. Restkopien in Backups des Hosting-Anbieters werden in dessen regulärem Backup-Zyklus entfernt. Eine darüber hinausgehende Aufbewahrung erfolgt nur, soweit gesetzlich vorgeschrieben.

13. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach AGB § 8. Bei Widersprüchen geht dieser AVV den AGB vor. Änderungen erfolgen wie für die AGB (§ 9); es gilt das Recht wie in AGB § 10.