Rechtliches

Vereinbarung zur Auftragsverarbeitung (AVV)

Nach Art. 28 DSGVO — für Kunden, die die optionalen Server-Dienste von AnnexCREATE (Team-Sync, gemeinsame Workspaces, geteilte Projektverzeichnisse) geschäftlich nutzen.

1. Wann diese Vereinbarung greift

Die AnnexCREATE-Apps arbeiten offline-first; für die reine Nutzung der Software findet keine Auftragsverarbeitung statt. Erst wenn ein Kunde als Verantwortlicher die Team-Funktionen nutzt (gemeinsame Asset-Bibliotheken, Versions-Sync, geteilte Projektverzeichnisse auf unserem Server oder einem von uns betriebenen On-Prem-System), verarbeiten wir personenbezogene Daten in seinem Auftrag. Für diesen Fall gilt diese Vereinbarung.

2. Parteien

Auftragsverarbeiter:

Verantwortlicher: der Kunde, der die Team-Funktionen bestellt bzw. aktiviert.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

• Gegenstand: Betrieb der Team-Sync-Dienste (Speicherung und Abgleich von Assets, Dokument-Versionen, Freigaben und Workspace-Einstellungen).
• Dauer: Laufzeit der Nutzung der Team-Funktionen; endet mit Kündigung bzw. Löschung des Teams.
• Art und Zweck: Speicherung, Übermittlung und Abgleich der vom Kunden eingestellten Inhalte zwischen den Arbeitsplätzen seines Teams.

4. Datenarten und betroffene Personen

• Datenarten: E-Mail-Adressen und Namen von Team-Mitgliedern, Rollen, Asset- und Dokument-Metadaten (Dateinamen, Schlagworte, Zeitstempel), Datei-Inhalte der synchronisierten Assets, Gerätekennungen und Gerätenamen aktivierter Arbeitsplätze (die Kennung wird aus Name, Netzwerkname und Prozessorzahl des Macs gebildet; der Gerätename enthält oft den Vornamen).
• Betroffene Personen: Mitarbeitende und Beauftragte des Verantwortlichen; Personen, deren Daten in den synchronisierten Inhalten vorkommen.

5. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Sync-Funktionen durch den Kunden gilt als Weisung.
• Vertraulichkeitsverpflichtung der mit der Verarbeitung befassten Personen (lit. b).
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (lit. c) — siehe Ziffer 7.
• Unterstützung bei Betroffenenrechten und bei den Pflichten aus Art. 32–36 DSGVO (lit. e, f).
• Löschung oder Rückgabe aller Daten nach Ende der Verarbeitung (lit. g); die Löschroutine des Kontos (DELETE /v1/account) und das Auflösen von Teams stehen dem Kunden jederzeit selbst zur Verfügung.
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen (lit. h).

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz des folgenden Unterauftragsverarbeiters:

• Webspace-Verkauf.de ISP e.K., Lichtenfelser Straße 17a, 96271 Grub am Forst — Bereitstellung des Servers (Rechenzentrum Leipzig), auf dem Server-Dienste, Datenbank und E-Mail-Versand laufen. Den E-Mail-Versand betreiben wir als eigenen Mailserver auf diesem Server; ein weiterer Versanddienst ist nicht beteiligt.

Eine Übermittlung in Länder außerhalb der EU/des EWR findet nicht statt. Einen weiteren oder anderen Unterauftragsverarbeiter setzen wir erst ein, nachdem wir den Verantwortlichen per E-Mail informiert haben; er kann binnen 14 Tagen widersprechen (Art. 28 Abs. 2 DSGVO).

7. Technische und organisatorische Maßnahmen (Auszug)

• Transportverschlüsselung (TLS) für alle Verbindungen.
• Zugriff auf Workspaces nur mit gültiger Lizenz und Workspace-Mitgliedschaft; Sitzungs-Tokens mit Ablauf.
• Gerätekennungen werden in Übersichten und Antworten der Schnittstelle maskiert ausgegeben (nur Anfang und Ende sichtbar).
• Zugangs-Codes des Konto-Postfachs werden ausschließlich als SHA-256-Hash gespeichert.
• Signaturschlüssel liegen mit restriktiven Dateirechten (chmod 0600) außerhalb der Versionsverwaltung.
• Regelmäßige Backups; Wiederherstellungsverfahren dokumentiert (On-Prem-Guide).

8. Abschluss dieser Vereinbarung

Die Vereinbarung wird in Textform geschlossen (Art. 28 Abs. 9 DSGVO): Geschäftskunden, die die Team-Funktionen nutzen, erhalten sie auf Anfrage an mail@annexcreate.com als PDF und bestätigen sie per E-Mail.

Stand: September 2026. Dieses Dokument beschreibt den tatsächlichen Funktionsumfang der Server-Dienste (Team-Sync, Versions-Sync, geteilte Verzeichnisse, Konto-Postfach); es wird bei Funktionsänderungen fortgeschrieben.