Vertrag zur Auftragsverarbeitung

Präambel

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem („Kunde“) und der Wimbex UG (haftungsbeschränkt), Pulverturmstraße 8, 84028 Landshut, Deutschland, vertreten durch den Geschäftsführer Felix Wimberger, eingetragen im Handelsregister des Amtsgerichts Landshut unter HRB 15568, als Auftragsverarbeiter („Anbieter“).

Er gilt für Kunden, die Napyon als Unternehmer (§ 14 BGB) nutzen und dort personenbezogene Daten Dritter verarbeiten, etwa von Kunden, Ansprechpartnern oder Mitarbeitenden. Er wird mit der Zustimmung zu den AGB Teil des Nutzungsvertrags. Auf Wunsch schicken wir ihn auch zur Unterschrift; schreib dazu an support@napyon.com.

§ 1 Gegenstand und Dauer

Gegenstand ist der Betrieb von Napyon für den Kunden: Speichern, Anzeigen, Teilen, Exportieren und auf Anforderung automatisches Verarbeiten der Inhalte, die der Kunde und die von ihm eingeladenen Personen in Napyon ablegen. Der Vertrag läuft so lange wie der Nutzungsvertrag und endet mit ihm, frühestens aber, wenn der Anbieter alle Daten des Kunden gelöscht hat (§ 10).

§ 2 Art und Zweck der Verarbeitung

• Hosting und Speicherung von Inhalten und Dateien in einer Datenbank und einem Dateispeicher
• Darstellung, Suche, Zusammenarbeit in Echtzeit, Freigaben an Mitglieder, Gäste und über Links
• Bereitstellung von Inhalten an Kunden des Kunden über Kundenbereiche, Freigabelinks und Freigaben von Lieferungen ohne Anmeldung, samt Speicherung von Aufrufen, Freigaben, Änderungswünschen und Dateien, die diese Personen hochladen
• Versand von E-Mails, die Napyon im Auftrag des Kunden verschickt (Einladungen, Freigaben, Erinnerungen, Benachrichtigungen)
• Export und Import von Inhalten
• Verarbeitung durch Napyon AI (Modelle von Anthropic), nur wenn eine berechtigte Person eine KI-Funktion startet; Ergebnisse werden als „mit Napyon AI erstellt“ gekennzeichnet
• Aufnahme, Speicherung und Transkription von Gesprächen in der Kundenakte und ihre Auswertung durch Napyon AI, nur wenn eine berechtigte Person ein Gespräch aufnimmt oder hochlädt; vor jeder Aufnahme bestätigt sie die Zustimmung aller Beteiligten, die der Kunde nach dem Recht am Ort der Beteiligten einholt (in Deutschland § 201 StGB); die Rechtsgrundlage für die Daten der Gesprächspartner legt der Kunde fest
• Bereitstellung von Inhalten an KI-Assistenten, die eine berechtigte Person selbst mit Napyon verbindet (Claude von Anthropic, ChatGPT von OpenAI), nur auf ihre Anweisung (§ 6)
• Datensicherung, Fehleranalyse und Schutz vor Missbrauch

§ 3 Art der Daten und Kreis der Betroffenen

Arten personenbezogener Daten: Inhalte, die der Kunde ablegt (Texte, Aufgaben, Kommentare, Dateien, Bilder, Tabellen), darin enthaltene Kontakt- und Projektdaten, Aufnahmen und Transkripte von Gesprächen (Stimme und gesprochene Inhalte), Namen und E-Mail-Adressen von Mitgliedern und Gästen, Rollen und Rechte, Nutzungs- und Protokolldaten (zum Beispiel Zeitpunkte, Versionen, Sitzungen).

Betroffene Personen: Nutzer des Kunden (Mitglieder eines Workspaces, Gäste), Kunden, Interessenten, Ansprechpartner, Gesprächspartner und Dienstleister des Kunden, Personen, die einen Kundenbereich, Freigabelink oder Link zur Freigabe einer Lieferung des Kunden öffnen, sowie weitere Personen, die in den Inhalten des Kunden genannt sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags. Legt der Kunde solche Daten dennoch ab, ist er selbst dafür verantwortlich, dass die Verarbeitung zulässig ist.

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dies dem Kunden vorher mit, soweit das Gesetz es nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen von Napyon durch den Kunden und die von ihm berechtigten Personen. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.

§ 5 Pflichten des Anbieters

• Der Anbieter verarbeitet die Daten nur im Rahmen dieses Vertrags und nicht für eigene Zwecke. Er nutzt sie insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.
• Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und entwickelt sie weiter. Das Schutzniveau darf dabei nicht sinken.
• Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Viele Rechte kann der Kunde selbst in Napyon umsetzen, etwa durch Export, Bearbeiten und Löschen.
• Der Anbieter unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
• Ein Datenschutzbeauftragter ist beim Anbieter nicht bestellt, weil die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner ist der Geschäftsführer Felix Wimberger, support@napyon.com.

§ 6 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

Verbindet eine berechtigte Person Napyon mit ihrem eigenen KI-Assistenten (Claude von Anthropic oder ChatGPT von OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland), ruft dieser Inhalte des dabei gewählten Workspaces auf Weisung dieser Person ab, und zwar nur die Inhalte, mit denen der Assistent gerade arbeitet. Anthropic bzw. OpenAI ist dabei kein Unterauftragsverarbeiter des Anbieters, sondern ein vom Kunden bzw. von der berechtigten Person gewählter Empfänger; für dessen Verarbeitung gilt der eigene Vertrag mit Anthropic bzw. OpenAI. Der Anbieter schickt von sich aus keine Inhalte an diese Empfänger. Jede Verbindung lässt sich in Napyon jederzeit trennen; danach ist kein Zugriff mehr möglich.

Über einen neuen oder geänderten Unterauftragsverarbeiter informiert der Anbieter den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

§ 7 Übermittlung in Drittländer

Daten werden außerhalb der EU bzw. des EWR nur verarbeitet, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (zum Beispiel EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission. Die Inhalte des Kunden werden in Rechenzentren in Frankfurt am Main gespeichert.

§ 8 Kontrollen

Der Anbieter weist dem Kunden die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Auskünfte, die Beschreibung der Maßnahmen in Anlage 1 und Nachweise seiner Unterauftragsverarbeiter (zum Beispiel Zertifizierungen und Prüfberichte). Darüber hinaus kann der Kunde nach rechtzeitiger Anmeldung, in der Regel mindestens 30 Tage vorher, während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, ohne den Betrieb unverhältnismäßig zu stören. Den Aufwand für Kontrollen vor Ort trägt der Kunde, soweit die Kontrolle keinen erheblichen Verstoß ergibt.

§ 9 Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, nach Möglichkeit innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Anbieter ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mildern.

§ 10 Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit selbst exportieren (komplettes Backup als ZIP sowie Markdown, PDF und Bilder) und löschen. Nach Ende des Nutzungsvertrags löscht der Anbieter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Löscht der Kunde einen Workspace oder sein Konto, werden die Daten sofort gelöscht; in den täglichen Sicherungen sind sie nach spätestens sieben Tagen nicht mehr enthalten. Audiodateien und Aufnahmen von Gesprächen löscht der Anbieter unmittelbar nach der erfolgreichen Transkription, bei endgültig gescheiterter Verarbeitung nach sieben Tagen; die Transkripte bleiben, bis der Kunde sie löscht.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen zur Haftung in den AGB.

§ 12 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam. Es gilt deutsches Recht; Gerichtsstand ist Landshut.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Napyon betreibt keine eigenen Server. Die Daten liegen in Rechenzentren der Unterauftragsverarbeiter (Amazon Web Services in Frankfurt am Main über Supabase, Server-Funktionen von Vercel in Frankfurt am Main), die nach anerkannten Standards zertifiziert sind und den physischen Zutritt kontrollieren.
• Zugangskontrolle: Anmeldung mit E-Mail und Passwort (mindestens zehn Zeichen, Prüfung gegen bekannte Datenlecks), optional zweiter Faktor per Authenticator-App. Sitzungen sind einsehbar und lassen sich überall beenden. Begrenzung von Anmelde- und Registrierungsversuchen. Administrativen Zugang zu den Systemen hat nur der Geschäftsführer des Anbieters über persönliche Konten bei den Dienstleistern.
• Zugriffskontrolle: Jede Tabelle der Datenbank ist durch Zugriffsregeln auf Zeilenebene (Row Level Security) geschützt: Nur Mitglieder eines Workspaces sehen dessen Daten, in der Rolle, die ihnen zugewiesen ist (Besitzer, Bearbeiter, Betrachter; Gäste nur auf freigegebenen Seiten). Neue Tabellen erhalten keine Standardrechte. Dateien liegen in einem privaten Speicher und sind nur über zeitlich begrenzte, signierte Links erreichbar. Schlüssel mit erweiterten Rechten liegen nur auf dem Server. Freigabelinks, Links zu Kundenbereichen und Freigaben, Einladungen und Zugangsschlüssel werden nur als Hashwert gespeichert, Passwörter für Links als sicherer Hashwert mit Sperre nach Fehlversuchen. Links ohne Anmeldung lassen sich jederzeit widerrufen, zeigen nur die freigegebenen Inhalte, sind für Suchmaschinen gesperrt (noindex) und durch Grenzen je Adresse gegen das Durchprobieren geschützt; nach einer berechtigten Meldung kann der Anbieter einen solchen Link sperren.
• Trennungskontrolle: Die Daten verschiedener Workspaces sind logisch durch die Zugriffsregeln getrennt. Entwicklung und Tests laufen in einer getrennten lokalen Umgebung ohne Produktivdaten.
• Pseudonymisierung: @-Erwähnungen von Personen gehen an die KI nur als Kürzel; Namen, die im Text selbst, in Transkripten oder in Kundenakten stehen, gehen so an die KI, wie sie dort stehen. Ein komplettes Backup ersetzt Namen und E-Mail-Adressen anderer Personen durch zufällige Kürzel.

Integrität

• Weitergabekontrolle: Alle Verbindungen sind mit TLS verschlüsselt, auch zur Datenbank und beim Versand von E-Mails. Die Datenbank und ihre Sicherungen sind beim Dienstleister im Ruhezustand verschlüsselt (AES-256). Sicherheits-Header und eine Content Security Policy begrenzen, was Seiten laden und wohin Formulare senden dürfen.
• Eingabekontrolle: Versionsverlauf der Seiten mit Urheber und Zeitpunkt, Kennzeichnung der Inhalte nach Ersteller und der Inhalte von Napyon AI, Protokoll der KI-Anfragen (ohne Inhalt) und der Zahlungsereignisse.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherungen der Datenbank beim Dienstleister, sieben Tage aufbewahrt.
• Papierkorb und Versionsverlauf schützen vor versehentlichem Löschen.
• Grenzen für Anfragen und Mengen je Workspace sowie Schutz vor Anfragen an interne Adressen (Link-Vorschau) halten das System belastbar.
• Betrieb bei etablierten Dienstleistern mit redundanter Infrastruktur.

Verfahren zur regelmäßigen Überprüfung

• Sicherheitsprüfungen des Codes und der Einstellungen (zuletzt im Oktober 2026) mit dokumentierten Korrekturen.
• Automatische Tests vor jeder Änderung, darunter für jede Tabelle ein Test, dass Nutzer keine fremden Daten sehen.
• Regelmäßige Prüfung der verwendeten Bibliotheken auf bekannte Sicherheitslücken.
• Meldungen der Content Security Policy werden gesammelt und ausgewertet.
• Datenschutzfreundliche Voreinstellungen: tägliche Übersicht und Benachrichtigungen per E-Mail sind aus, bis die Person sie einschaltet; KI nur auf ausdrückliche Anforderung.

Anlage 2: Unterauftragsverarbeiter

Eine Kopie der Standardvertragsklauseln schickt der Anbieter auf Anfrage. Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsbeziehung zwischen Kunde und Anbieter und ist nicht Gegenstand dieses Vertrags. Anthropic (für das eigene Claude) und OpenAI (für das eigene ChatGPT) sind bei Verbindungen, die eine berechtigte Person selbst anlegt, keine Unterauftragsverarbeiter (§ 6).