Vertrag zur Auftragsverarbeitung

Fassung 2026-10-09.2. Vertrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Maßgeblich ist die englische Fassung; dies ist eine Übersetzung zum besseren Verständnis.

zwischen dem Unternehmen, das ein sumwerk-Konto führt (der Kunde, Verantwortlicher)

und der Kitchn Venture GmbH, Französische Straße 12, 10117 Berlin, Deutschland, Betreiberin von sumwerk (der Auftragsverarbeiter).

Der Kunde nimmt diesen Vertrag elektronisch an, bei der Registrierung oder unter Account → General. sumwerk hält fest, wer welche Fassung wann und von welcher Adresse aus angenommen hat. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Wer annimmt, bestätigt, dass er dies für den Kunden tun darf.

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter erbringt für den Kunden den Dienst sumwerk: Abo-Kennzahlen aus dem Stripe-Konto des Kunden sowie Kundendatensätze, Notizen, Aufgaben, E-Mails und Automationen drumherum. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Anlage 1 beschreibt diese Verarbeitung.
2. Der Vertrag läuft, solange das Konto des Kunden besteht, und endet mit ihm. Regelungen zu Löschung und Vertraulichkeit gelten darüber hinaus, soweit nötig.
3. Für Daten der eigenen Nutzer des Kunden, die der Auftragsverarbeiter zum Betrieb des Kontos braucht (Login, Server-Protokolle, das API-Protokoll), ist der Auftragsverarbeiter selbst Verantwortlicher. Dafür gelten die Datenschutzhinweise unter sumwerk.com/de/datenschutz, nicht dieser Vertrag.

2. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind: dieser Vertrag, die Einstellungen, die der Kunde in sumwerk vornimmt, die Aufrufe seiner Systeme über die API und das, was seine Nutzer in der Anwendung tun. Weitere Weisungen erfolgen in Textform an hello@sumwerk.com.
2. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er dies dem Kunden unverzüglich mit und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
3. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, informiert er den Kunden vorher, sofern dieses Recht das nicht verbietet.

3. Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und seiner Weisungen verantwortlich, einschließlich einer Rechtsgrundlage für die Daten, die er an sumwerk sendet, und für E-Mails, die er aus sumwerk versendet.
2. Der Kunde verbindet Stripe, indem er die sumwerk-App in seinem Stripe-Konto installiert, die ihre Berechtigungen vor der Installation anzeigt, und bewahrt die Logins und API-Token seiner Nutzer und Systeme sicher auf. sumwerk liest das Stripe-Konto nur, bis der Kunde die Abrechnungsverwaltung einschaltet; ab dann ändert es die Abrechnung in Stripe nur so, wie die Nutzer des Kunden es in sumwerk anweisen.
3. Der Kunde speichert in sumwerk keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO). Der Dienst ist dafür nicht gemacht.
4. Dienste, die der Kunde verbindet (Stripe, Google, Plain, ChartMogul, eigene Systeme, Empfänger von Webhooks, KI-Assistenten über MCP), sind eigene Dienstleister des Kunden und keine Unterauftragsverarbeiter des Auftragsverarbeiters.

4. Vertraulichkeit

Personen, die der Auftragsverarbeiter zur Verarbeitung der Daten befugt, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet, auch nach Ende ihrer Tätigkeit. Sie verarbeiten die Daten nur auf Weisung des Auftragsverarbeiters und nur, soweit ihre Aufgabe es erfordert.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen der Anlage 2 (Art. 32 DSGVO). Er darf sie weiterentwickeln, solange das dort beschriebene Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Annahme eingesetzten stehen in Anlage 3.
2. Der Auftragsverarbeiter kündigt einen neuen oder ersetzten Unterauftragsverarbeiter mindestens 30 Tage vorher an: auf sumwerk.com/de/datenschutz, im Changelog und per E-Mail an die Inhaber des Kontos. Der Kunde kann in dieser Zeit aus einem datenschutzbezogenen Grund widersprechen. Findet sich keine Lösung, kann der Kunde das Konto zum Zeitpunkt der Änderung beenden. Weiteres ist dann nicht geschuldet.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die diesem Vertrag entsprechen, und haftet dem Kunden gegenüber für ihn.
4. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums, beruht die Übermittlung auf einem Angemessenheitsbeschluss oder auf den Standardvertragsklauseln der Europäischen Kommission (Anlage 3).

7. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Kunden nach Möglichkeit dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Kunde kann Kundendatensätze in der Anwendung und über die API selbst einsehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person wegen Daten des Kunden an den Auftragsverarbeiter, leitet dieser die Anfrage weiter und beantwortet sie nicht selbst.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis, über eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft: was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, welche Folgen wahrscheinlich sind und was unternommen wurde. Er unterstützt den Kunden bei seinen Pflichten nach Art. 33 und 34 DSGVO.

9. Weitere Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden auf Anfrage und unter Berücksichtigung der ihm vorliegenden Informationen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO).

10. Löschung und Rückgabe

1. Der Kunde kann seine Daten jederzeit als CSV und über die API exportieren.
2. Das Trennen von Stripe oder das Deinstallieren der sumwerk-App in Stripe beendet den Zugriff von sumwerk auf das Stripe-Konto sofort. Endet das Konto, löscht der Auftragsverarbeiter die Daten des Kunden innerhalb von 30 Tagen. Sicherungen, die sie noch enthalten, laufen innerhalb weiterer 30 Tage von selbst ab und werden bis dahin zu keinem anderen Zweck wiederhergestellt.
3. Länger bewahrt der Auftragsverarbeiter Daten nur auf, soweit das Recht der Union oder eines Mitgliedstaats es verlangt, und dann nur zu diesem Zweck.

11. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Kunden die Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen: diesen Vertrag mit seinen Anlagen, Antworten auf angemessene Fragen in Textform sowie Zertifikate und Berichte seiner Unterauftragsverarbeiter, soweit verfügbar.
2. Genügt das nicht, kann der Kunde oder ein von ihm benannter, zur Vertraulichkeit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, eine Kontrolle durchführen: einmal im Jahr oder aus konkretem Anlass, mit mindestens 30 Tagen Vorlauf, zu Geschäftszeiten, ohne den Betrieb zu stören und ohne Zugang zu Daten anderer Kunden. Jede Seite trägt ihre eigenen Kosten. Aufwand des Auftragsverarbeiters über einen Arbeitstag im Jahr hinaus wird zum Selbstkostenpreis vergütet.

12. Haftung

Zwischen den Parteien und gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung nach den Nutzungsbedingungen.

13. Schlussbestimmungen

1. Bei Widersprüchen geht dieser Vertrag anderen Abreden der Parteien vor, soweit es um den Schutz personenbezogener Daten geht.
2. Der Auftragsverarbeiter darf diesen Vertrag ändern, wenn sich das Recht, der Dienst oder die Unterauftragsverarbeiter ändern. Eine neue Fassung wird mit Datum veröffentlicht und muss erneut angenommen werden. Bis dahin gilt die angenommene Fassung. Jede Annahme bleibt festgehalten.
3. Ist oder wird eine Bestimmung unwirksam, bleibt der Rest bestehen.
4. Es gilt deutsches Recht. Maßgeblich ist die englische Fassung.

Anlage 1: Die Verarbeitung

Zweck	Erbringung von sumwerk: Berechnung von Abo-Kennzahlen aus Stripe-Daten; Führen von Kundendatensätzen, Personen, Notizen, Anrufprotokollen, Aufgaben und E-Mails; Ausführen der Automationen und Risikoregeln des Kunden; Importe und Exporte; die API und der MCP-Server
Art	Lesen aus Stripe (nie Schreiben), Speichern, Berechnen, Anzeigen, Senden von E-Mails und Webhooks auf Weisung des Kunden, Löschen
Betroffene Personen	Kunden und Interessenten des Kunden und die Personen, die dort arbeiten; Empfänger von E-Mails, die der Kunde aus sumwerk sendet
Arten von Daten	Namen, E-Mail-Adressen, Anschrift und Steuerangaben, soweit Stripe sie hat, Unternehmen, Land, Telefon, Position, LinkedIn-Adresse; Abonnements, Preise, Rechnungen, Zahlungsstatus (keine Kartennummern: Stripe gibt sie nicht weiter); eigene Merkmale des Kunden, Schlagworte, Notizen, Anrufprotokolle, Aufgaben; in sumwerk geschriebene E-Mails; aus Plain: Titel, Status, Labels und Beteiligte von Support-Gesprächen (der Nachrichtentext wird bei Bedarf gelesen und nicht gespeichert)
Besondere Kategorien	Nicht vorgesehen (Ziffer 3.3)
Ort	Deutschland (Ausnahmen in Anlage 3)
Dauer	Solange das Konto besteht (Ziffer 10)

Anlage 2: Technische und organisatorische Maßnahmen

Zugang zu Systemen und Daten. Die Server erreicht nur der Betreiber, über SSH. Das Administratorkonto nimmt nur Schlüssel an, keine Passwörter. Die Datenbank lauscht nur auf dem Server selbst und ist aus dem Internet nicht erreichbar. In der Anwendung: Passwörter werden als bcrypt-Hash gespeichert, mindestens zehn Zeichen. Anmeldung, Registrierung und Passwort-Zurücksetzen sind in der Häufigkeit begrenzt. Sitzungen sind signierte Cookies, die nur über HTTPS an unsere eigene Domain gesendet werden. API-Token werden als SHA-256-Hash gespeichert, haben Lese- oder Lese-und-Schreibrechte und lassen sich einzeln widerrufen.

Trennung. Jeder Datensatz gehört zu einem Konto, und jede Abfrage der Anwendung ist auf das Konto des angemeldeten Nutzers oder des Tokens beschränkt. Automatische Tests prüfen, dass ein Konto die Daten eines anderen nicht erreicht. Sandboxes sind getrennte Konten mit eigenen Daten und Token. Der Verwaltungsbereich des Betreibers zeigt Zustände und Anzahlen eines Kontos, nicht dessen Kunden oder Beträge.

Verschlüsselung. Alle Verbindungen nutzen TLS. Schlüssel und Token verbundener Dienste (Google, Plain, Import-Schlüssel) liegen auf Anwendungsebene verschlüsselt in der Datenbank und werden nie wieder angezeigt oder protokolliert. Sicherungen werden verschlüsselt (AES-256), bevor sie den Server verlassen.

Datensparsamkeit. Stripe ist über die sumwerk-App verbunden: Kein Schlüssel des Stripe-Kontos des Kunden wird gespeichert, und sumwerk schreibt nur in Stripe, solange der Kunde die Abrechnungsverwaltung eingeschaltet hat. Support-Nachrichten aus Plain und Gesprächsmitschriften werden nicht gespeichert. Das API-Protokoll hält die Namen von Feldern fest, nie ihre Werte. Fehlerberichte enthalten keine Daten der Anfrage.

Integrität und Nachvollziehbarkeit. Stripe-Ereignisse bleiben als Protokoll erhalten, an das nur angehängt wird. Abgeschlossene Monate ändern sich nur über eine festgehaltene Korrektur. Was ein Betreiber von Hand an einem Konto ändert, steht in einem Protokoll, das sich nicht bearbeiten lässt. Das API-Protokoll zeigt 30 Tage lang jeden Aufruf mit den Token des Kunden.

Verfügbarkeit und Belastbarkeit. Jede Nacht eine Sicherung, nach dem Schreiben geprüft, 14 Tage auf dem Server und 30 Tage verschlüsselt in getrenntem Speicher. Die Wiederherstellung wurde getestet. Ein Wächter außerhalb unseres eigenen Servers prüft den Dienst jede Minute und alarmiert den Betreiber. Festplatte, Arbeitsspeicher, Datenbank und Zertifikate werden auf dem Server überwacht. Der Status ist öffentlich unter status.sumwerk.com.

Entwicklung. Jede Änderung durchläuft vor der Auslieferung automatische Tests, eine statische Sicherheitsanalyse und eine Prüfung der Abhängigkeiten auf bekannte Schwachstellen. Daten von Kunden werden nicht aus der Produktion in Entwicklung oder Tests kopiert. Tests und das Demo-Konto verwenden synthetische Daten. Die eine Ausnahme ist das mit dem Betreiber verbundene eigene Unternehmen, dessen Daten mit dessen Einverständnis zur Überprüfung der Berechnungen dienen.

Organisation. Zugang zur Produktion haben nur die Personen, die ihn zum Betrieb brauchen. Sie sind zur Vertraulichkeit verpflichtet. Vorfälle bearbeitet der Betreiber, hält sie fest und meldet sie nach Ziffer 8. Unterauftragsverarbeiter werden nach ihrer Sicherheit ausgewählt und vertraglich gebunden.

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Aufgabe	Ort, Grundlage einer Übermittlung
Hetzner Online GmbH, Gunzenhausen, Deutschland	Server, Datenbank, Speicher für die verschlüsselten Sicherungen	Deutschland (Nürnberg)
ActiveCampaign, LLC (Postmark), Chicago, USA	E-Mail-Versand: die Mails von sumwerk an die Nutzer des Kunden, und die Mails der Nutzer des Kunden an ihre Kunden, wenn sie über den Absender von sumwerk gehen (Empfänger, Absender, Betreff, Text)	USA. Standardvertragsklauseln; das Unternehmen gibt an, unter dem EU-U.S. Data Privacy Framework zertifiziert zu sein
Cloudflare, Inc., San Francisco, USA	Nameserver für sumwerk.com; die Statusseite und der Wächter, die keine Kundendaten halten. Der Datenverkehr der Anwendung läuft nicht über Cloudflare	Weltweit. Standardvertragsklauseln; das Unternehmen gibt an, unter dem EU-U.S. Data Privacy Framework zertifiziert zu sein