Stand: 26. August 2026
Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird automatisch Bestandteil eures Team-Lizenz-Vertrags, sobald ihr die Team-Kalender-, Team-Chat- oder Mitgliederverwaltungs-Funktionen auf unserer zentral betriebenen Installation (Standard: mfc.domenicmoran.de) nutzt – Details in Abschnitt 1 Abs. 5 unten, die Ausnahme für eine eigene Selfhost-Installation in Anlage 2.
Auftragsverarbeitungsvertrag zwischen dem Team-Lizenz-Kunden („Auftraggeber“ oder „Lizenzinhaber“; Firma/Vertretung/Anschrift/E-Mail: siehe Angebot bzw. Bestellung der Team-Lizenz) und Domenic Moran, Heidelberger Straße 36, 12059 Berlin, E-Mail: mfc@domenicmoran.de („Auftragsverarbeiter“ oder „Anbieter“ – Anbieter von Moran Fleet Control, „MFC“) – gemeinsam „die Parteien“.
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Team-Mitglieder des Auftraggebers, die anfällt, sobald der Auftraggeber eine MFC-Team-Lizenz nutzt und dabei die Funktionen Team-Kalender, Team-Chat und/oder Mitgliederverwaltung (inkl. Dienstplanung) einsetzt. Diese Funktionen speichern Daten serverseitig in einer vom Auftragsverarbeiter zentral betriebenen Supabase-Datenbank (bei dieser Installation: mfc.domenicmoran.de) — anders als die reine Desktop-/Lokalnutzung von MFC, bei der Einstellungen und Inhalte ausschließlich auf dem Gerät des Nutzers verbleiben.
(2) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO: Er entscheidet, welche Personen er als Team-Mitglieder aufnimmt, welche Namen/E-Mail-Adressen er hinterlegt und welche Inhalte (Chat-Nachrichten, Kalendereinträge, Dienstplan-Notizen) über die Team-Funktionen erfasst werden. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich, um die technische Funktion bereitzustellen — er nutzt sie nicht für eigene Zwecke (kein Marketing, kein Training, keine Weitergabe an Dritte außerhalb der in Anlage 2 genannten Unterauftragsverarbeiter).
(3) Art der Verarbeitung: Speicherung, Abruf, Änderung, Löschung von strukturierten Datensätzen über eine PostgREST-Schnittstelle (Supabase) sowie Übermittlung dieser Daten an berechtigte Team-Mitglieder beim Laden der jeweiligen Ansicht (Team-Kalender, Team-Chat, Dienstplan, Mitgliederliste).
(4) Zweck der Verarbeitung: Bereitstellung eines team-weiten, serverseitig persistenten Kalenders, eines Gruppen-Chats sowie einer Mitglieder-/Dienstplanverwaltung als Bestandteil der lizenzierten MFC-Team-Edition — ausschließlich zur Erfüllung des Lizenzvertrags zwischen Auftraggeber und Auftragsverarbeiter.
(5) Dauer: Dieser Vertrag beginnt mit der ersten Nutzung einer der in Abs. 1 genannten Funktionen und läuft für die Dauer der Team-Lizenz. Er endet automatisch mit vollständiger Löschung der in Abschnitt 9 genannten Daten nach Vertragsende.
Team-Mitglieder (Mitarbeiter, freie Mitarbeiter oder sonstige Personen), die der Auftraggeber unter seiner Team-Lizenz anmeldet — unabhängig davon, ob sie die Rolle „admin", „manager" oder „mitglied" innehaben (web/lib/lizenz-nutzer.ts).
Auf Basis des tatsächlichen Datenmodells (web/supabase/migrations/20260825120000_mfc_nutzer_und_lizenz_nutzer.sql, …190000_team_kalender_und_chat.sql, …200000_nutzer_email_manager_rolle_und_dienstplan.sql):
Es werden keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO durch das Produkt selbst erhoben (kein Gesundheits-, Gewerkschafts- oder ähnliches Datenfeld) — der Auftraggeber ist jedoch darauf hinzuweisen, dass Freitextfelder (Chat, Kalendernotiz, Dienstplan-Notiz) technisch nicht daran gehindert werden, solche Daten zu enthalten, falls ein Team-Mitglied sie dort einträgt.
Es werden keine Passwörter der Team-Mitglieder gespeichert oder verarbeitet (siehe Abschnitt „Bekannte Grenze der Zugriffskontrolle" in Anlage 1).
(1) Der Auftraggeber bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und ist insbesondere verantwortlich für: die Rechtmäßigkeit der Erhebung (z. B. arbeitsrechtliche Grundlage für die Verarbeitung von Mitarbeiterdaten), die Information seiner Team-Mitglieder über diese Verarbeitung, und die Wahrung von deren Betroffenenrechten.
(2) Weisungen erfolgen in Textform an mfc@domenicmoran.de. Die Nutzung der vertragsgemäßen Produktfunktionen (Anlegen/Ändern/Löschen von Terminen, Nachrichten, Mitgliedern, Schichten über die dafür vorgesehenen Oberflächen/API-Routen) gilt als dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO.
(3) Der Auftraggeber ist dafür verantwortlich, seine Team-Mitglieder und deren Zugangswege (Lizenz-Token, Einladungscodes) so zu handhaben, dass Unbefugte keinen Zugriff erhalten — siehe die in Anlage 1 beschriebene, bewusst einfach gehaltene Zugriffskontrolle.
(1) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers (Abs. 4.2) und nur für die in Abschnitt 1 genannten Zwecke.
(2) Der Auftragsverarbeiter stellt sicher, dass sich zur Verarbeitung befugte Personen (er selbst; siehe Anlage 2 zu Unterauftragsverarbeitern für Dritte) zur Vertraulichkeit verpflichtet haben bzw. einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und hält sie während der Vertragsdauer aufrecht bzw. verbessert sie im Rahmen zumutbarer Weiterentwicklung.
(4) Der Auftragsverarbeiter unterstützt den Auftraggeber, soweit technisch möglich, bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Erreichen ihn Anfragen betroffener Personen direkt, leitet er sie unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst inhaltlich.
(5) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), soweit dies die von ihm bereitgestellten Funktionen betrifft.
(6) Der Auftragsverarbeiter setzt zur Unterstützung der Verarbeitung den in Anlage 2 genannten Unterauftragsverarbeiter ein. Ein Wechsel oder eine Erweiterung wird dem Auftraggeber mindestens 30 Tage vor Wirksamwerden in Textform mitgeteilt; der Auftraggeber kann innerhalb dieser Frist widersprechen (siehe Abschnitt 6).
(1) Aktuell eingesetzte Unterauftragsverarbeiter siehe Anlage 2.
(2) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter nur mit vorheriger, mindestens 30 Tage im Voraus in Textform angekündigter Zustimmung (Widerspruchslösung) des Auftraggebers einsetzen. Widerspricht der Auftraggeber berechtigt und einigen sich die Parteien nicht auf eine Alternative, kann jede Partei diesen Vertrag zum Zeitpunkt des geplanten Wechsels außerordentlich kündigen.
(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter eine Vereinbarung, die den in diesem Vertrag festgelegten Datenschutzpflichten in der Sache entspricht (Art. 28 Abs. 4 DSGVO).
Die Verarbeitung erfolgt technisch über Server, deren Standort/Region sich nach der jeweiligen Konfiguration des in Anlage 2 genannten Unterauftragsverarbeiters richtet. Sollte danach eine Übermittlung in ein Drittland (außerhalb EU/EWR ohne Angemessenheitsbeschluss) stattfinden, erfolgt dies auf Grundlage von EU-Standardvertragsklauseln zwischen dem Auftragsverarbeiter und dem jeweiligen Unterauftragsverarbeiter bzw. einer gleichwertigen Garantie nach Kapitel V DSGVO.
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die die unter diesem Vertrag verarbeiteten Daten betreffen, und unterstützt ihn bei der Erfüllung seiner Meldepflichten nach Art. 33/34 DSGVO.
(1) Ehrlicher Hinweis zum heutigen technischen Stand: MFC hat aktuell keine automatisierte Löschfunktion, die bei Ablauf/Kündigung einer Team-Lizenz sämtliche Datensätze einer lizenz_id (mfc_nutzer/lizenz_nutzer/lizenz_einladungen/team_termine/team_kanaele/team_nachrichten/team_schichten) automatisch entfernt. Löschung erfolgt heute manuell auf Anfrage des Auftraggebers (Text- oder E-Mail-Anfrage an mfc@domenicmoran.de) durch den Auftragsverarbeiter, analog zu dem in der Datenschutzerklärung Ziffer 3/4 beschriebenen Weg für die Geräteprüfungsdaten. Diese Lücke ist als offener technischer Punkt vermerkt (siehe USER-TODO.md) und sollte vor einem größeren Team-Lizenz-Kundenstamm geschlossen werden (automatisierte Löschung X Tage nach Vertragsende, analog zu einer Kündigungsfrist).
(2) Der Auftragsverarbeiter löscht die in Abschnitt 3 genannten Daten auf Anforderung des Auftraggebers unverzüglich, spätestens innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
(3) Eine Rückgabe der Daten in strukturierter Form (Export) kann der Auftraggeber vor Löschung verlangen; der Auftragsverarbeiter stellt sie in einem gängigen, maschinenlesbaren Format (z. B. JSON) bereit.
Der Auftragsverarbeiter erteilt auf Anforderung Auskunft über die getroffenen technischen und organisatorischen Maßnahmen und ermöglicht Kontrollen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach angemessener Ankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten. Da der Auftragsverarbeiter als Einzelperson ohne eigenes Rechenzentrum arbeitet, beschränkt sich die eigene Kontrolle auf die Anwendungs-/Konfigurationsebene; für die Infrastruktur des Unterauftragsverarbeiters (Anlage 2) gelten dessen eigene, öffentlich verfügbare Zertifizierungen/Nachweise (z. B. SOC 2).
(1) Es gilt die gesetzliche Haftungsverteilung nach Art. 82 DSGVO im Verhältnis zu betroffenen Personen (gesamtschuldnerische Außenhaftung).
(2) Im Innenverhältnis zwischen den Parteien haftet der Auftragsverarbeiter für Schäden, die auf einer schuldhaften Verletzung seiner Pflichten aus diesem Vertrag beruhen, nach den allgemeinen Grundsätzen. Für leichte Fahrlässigkeit ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Unberührt bleibt die unbeschränkte Haftung für Vorsatz, grobe Fahrlässigkeit sowie Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit.
(3) Diese Begrenzung ändert nichts an der unmittelbaren Außenhaftung gegenüber betroffenen Personen nach Art. 82 DSGVO.
(1) Bei Widersprüchen zwischen diesem AVV und dem zugrunde liegenden Lizenzvertrag (AGB) gehen die Regelungen dieses AVV vor, soweit es um die Verarbeitung personenbezogener Daten geht.
(2) Änderungen und Ergänzungen bedürfen der Textform.
(3) Es gilt deutsches Recht. Gerichtsstand ist Berlin, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
(4) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt der übrige Vertrag wirksam.
Diese Anlage beschreibt die tatsächlich im Code umgesetzten Maßnahmen (Stand 26.08.2026, siehe Sicherheitsaudit docs/github-security-audit- 2026-08-26.md) — bewusst konkret statt allgemein, damit sie überprüfbar bleibt.
Übertragung
Zugriffskontrolle auf Datenbankebene
Zugriffskontrolle auf Anwendungsebene
Verschlüsselung ruhender Daten
Bekannte Grenze der Zugriffskontrolle (Transparenzhinweis)
Ratenbegrenzung
Organisatorisch
| Unterauftragsverarbeiter | Zweck | Verarbeitungsort |
|---|---|---|
| Supabase, Inc. (bzw. die vom Betreiber gewählte Supabase-Projektregion) | Hosting der PostgreSQL-Datenbank, in der Team-Kalender/Team-Chat/Mitgliederdaten liegen (PostgREST-API) | Projekt-Endpunkt jtqbpibembduqcgvdduw.supabase.co — die konkrete Server-Region dieses Projekts kann auf Anfrage im Supabase-Dashboard des Betreibers geprüft werden (nicht aus dem Code ermittelbar, kein Region-Header im PostgREST-Antwortpfad geprüft) |
| Vercel Inc. | Hosting der Web-Fassung von MFC (Next.js), sofern der Auftraggeber die Web-/Companion-Fassung statt einer rein lokalen Desktop-Installation nutzt — verarbeitet dabei technische Server-Logfiles (Zugriffszeitpunkt, IP), nicht die Team-Kalender-/Chat-Inhalte selbst, die direkt zwischen Next.js-Server und Supabase fließen | USA (Vercel Inc. ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert — aktueller Zertifizierungsstand: Vercels eigene Datenschutzerklärung) |
Hinweis: Bei einer Selfhost-Installation, die der Auftraggeber selbst mit einer eigenen, vom Anbieter unabhängigen Supabase-/Server-Instanz betreibt, ändert sich diese Liste — in diesem Fall ist der Auftraggeber selbst datenschutzrechtlich Verantwortlicher UND faktischer Betreiber der Infrastruktur, ein AVV mit dem Anbieter (Domenic Moran) ist dann nicht einschlägig, weil keine Daten mehr über dessen Systeme laufen. Der vorliegende AVV gilt nur, sofern der Auftraggeber die vom Anbieter zentral betriebene Installation (Standard: mfc.domenicmoran.de) nutzt.
Dieser AVV wird automatisch Bestandteil eures Team-Lizenz-Vertrags, zu den in Abschnitt 1 Abs. 5 oben beschriebenen Bedingungen – unabhängig davon, ob ihr über den Checkout auf dieser Seite kauft oder über ein individuell vereinbartes Angebot per E-Mail (siehe AGB Ziffer 3). Eine gesonderte Unterschrift ist dafür nicht erforderlich. Bei einem individuell vereinbarten Angebot könnt ihr zusätzlich eine unterschriebene Fassung für eure eigenen Unterlagen per E-Mail an mfc@domenicmoran.de anfordern.