Auftragsverarbeitungs-Vereinbarung

§ 1 Parteien

Verantwortliche:r ist die nutzende Person, die ein Konzeptiv-Cloud-Konto im Rahmen ihrer beruflichen oder gewerblichen Tätigkeit nutzt (im Folgenden „Kund:in“).
Auftragsverarbeiter ist:
Valentin Rausch (geb. Wider), Einzelunternehmer, Peter-Thumb-Straße 14, 79100 Freiburg, v.rausch@konzeptiv.net (im Folgenden „Konzeptiv“).

§ 2 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der Konzeptiv-Cloud-Plattform inklusive der darin enthaltenen Werkzeuge, Speicher- und Veröffentlichungsfunktionen. Die Dauer richtet sich nach der Laufzeit des Cloud-Kontos der Kund:in.

§ 3 Art und Zweck der Verarbeitung

Konzeptiv verarbeitet personenbezogene Daten ausschließlich, um die folgenden Funktionen für die Kund:in bereitzustellen:

• Anlegen und Speichern von Seminarvorlagen, Seminartagen, gespeicherten Tools und Tool-Vorlagen
• Durchführen von Live-Werkzeugen (Metaplanboard, Gruppen, Skalenfragen, Ausreden, Quiz und Umfrage, Postkarte, ABC-Liste, Montagsmaler, Seminar-Bühne) mit Teilnehmenden
• Zusammenfassen von Schreibvarianten in der Auswertung von Wortwolken-Fragen mithilfe eines KI-Dienstes („KI-Sortierung“; je Wortwolken-Folie einzeln zuschaltbar, standardmäßig ausgeschaltet, Einzelheiten in § 7)
• Bereitstellen veröffentlichter Materialboards unter einer öffentlichen URL, auf Wunsch der Kund:in mit ihren öffentlichen Profilangaben
• Übertragen, Speichern und Anzeigen hochgeladener Dateien (Storage)
• Versenden technisch notwendiger System- und Anmelde-E-Mails an die Kund:in
• Auf Veranlassung der Kund:in: Bereitstellen von Seminardaten an eine von ihr verbundene Drittanwendung (§ 11)

§ 4 Kategorien betroffener Personen und Datenarten

Betroffene Personen:

• Mitarbeitende und Kund:innen der Kund:in (Trainer:innen mit Cloud-Konto)
• Teilnehmende von Seminaren, Workshops und Live-Sitzungen der Kund:in
• Besucher:innen veröffentlichter Materialboards der Kund:in

Datenkategorien:

• Kontodaten der Kund:in: E-Mail-Adresse, Anzeigename, Passwort-Hash, Anmeldezeitpunkte
• Öffentliche Profilangaben der Kund:in, soweit sie sie hinterlegt und je Board freigibt: Name, Organisation, Postanschrift, E-Mail-Adresse, Telefonnummer, LinkedIn-Adresse, Profilbild
• Inhaltsdaten der Vorlagen, Sitzungen und Boards (Texte, Bilder, Dateien, Links)
• Beiträge der Teilnehmenden, einschließlich frei formulierter Eingaben: Karten, Textfelder und Sitzungstitel im Metaplanboard; offene Quiz- und Umfrageantworten, Begriffe in Wortwolken; Einträge und Anzeigenamen in der ABC-Liste; Spielernamen, Zeichnungen und sämtliche Rateversuche im Montagsmaler; Postkartentexte, Absender- und Empfängernamen sowie Zeichnungen als Strichfolge; Einreichungen im Ausreden-Werkzeug; Skalenwerte
• Pseudonyme Zuordnungsdaten der Teilnehmenden: zufällige Geräte-Kennungen oder deren Prüfsummen, Nicknames, Punkte, Antwortzeiten, Abstimmungen (Punkte je Karte), Aufstellungspositionen je Runde, Stimmen im Ausreden-Werkzeug, Gruppenzuordnung
• Optional von Teilnehmenden bereitgestellte Anzeigenamen und Avatare in der Metaplan-Aufstellung, einschließlich selbst aufgenommener Selfie-Fotos, sofern die teilnehmende Person diese freiwillig bereitstellt (verschlüsselt gespeichert)
• Technische Verbindungsdaten (IP-Adresse, Zeitstempel, Logs) bei Hoster und Datenbankbetreiber

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Die Kund:in trägt dafür Sorge, dass solche Daten nicht in Konzeptiv eingegeben werden. Konzeptiv weist ausdrücklich darauf hin, dass die genannten Freitextfelder von Teilnehmenden befüllt werden und ihr Inhalt technisch weder geprüft noch gefiltert wird. Die Steuerung erfolgt allein über die Ansage der Kund:in an ihre Teilnehmenden.

§ 5 Weisungsrecht der Kund:in

Konzeptiv verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Kund:in. Als Weisung gelten insbesondere die in der Plattform vorgenommenen Konfigurationen und Handlungen (etwa das Starten einer Sitzung, das Einschalten der KI-Sortierung, das Veröffentlichen eines Boards, das Verbinden einer Drittanwendung, das Löschen des Kontos), die abgeschlossenen Verträge sowie diese AVV. Einzelweisungen können in Textform an v.rausch@konzeptiv.net erteilt werden.

§ 6 Pflichten von Konzeptiv

• Verarbeitung nur im Rahmen dieser AVV und auf Weisung der Kund:in
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit
• Umsetzung der in § 9 beschriebenen technischen und organisatorischen Maßnahmen
• Unterstützung der Kund:in bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung) im Rahmen technischer Möglichkeiten
• Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, in der Regel innerhalb von 72 Stunden nach Kenntnis
• Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden im erforderlichen Umfang

§ 7 Unterauftragsverarbeiter

Die Kund:in stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

• Lovable Labs Incorporated, USA (Hosting und Betrieb der Anwendung; Betrieb von Datenbank, Authentifizierung, Dateispeicher und Serverfunktionen als verwaltete Umgebung („Lovable Cloud“), siehe § 7a; Versand der System- und Anmelde-E-Mails). Die Anwendungsdaten werden in einem Rechenzentrum in Irland (EU) gespeichert.
• Supabase (Infrastrukturanbieter von Lovable: Datenbank, Authentifizierung, Object Storage, Serverfunktionen; die Datenbank liegt in einem AWS-Rechenzentrum in Irland, EU, Region eu-west-1)
• Cloudflare, Inc., USA (Netzwerk- und Sicherheitsdienst, über den Lovable die Website ausliefert; sieht die Verbindungsdaten der Website-Aufrufe, darunter die IP-Adresse; von Lovable eingesetzt, Konzeptiv hat dazu keinen eigenen Vertrag mit Cloudflare)
• OpenAI, L.L.C. (KI-gestütztes Zusammenfassen von Schreibvarianten in Wortwolken-Auswertungen, nur bei eingeschalteter Option; Verarbeitung in den USA)

Umfang der Übermittlung an OpenAI

Die Übermittlung findet nur statt, wenn die Kund:in für eine Wortwolken-Folie die Option „KI-Sortierung“ einschaltet. Die Option ist standardmäßig ausgeschaltet und wird je Folie einzeln gesetzt. Ist sie eingeschaltet, werden nach dem Schließen der Folie folgende Daten an OpenAI gesendet:

• die von den Teilnehmenden frei eingegebenen Begriffe dieser Frage (vereinheitlicht in Kleinschreibung, ohne Satzzeichen, je Begriff auf 100 Zeichen gekürzt);
• zu jedem Begriff die Anzahl seiner Nennungen;
• höchstens 200 Begriffe je Auswertung.

Nicht übermittelt werden Nicknames, Teilnehmer- und Sitzungskennungen, die Fragestellung sowie die Zuordnung eines Begriffs zu einer Person. Zweck ist ausschließlich das Zusammenfassen von Schreibvarianten desselben Begriffs (Tippfehler, Singular/Plural, Wortformen); eine weitergehende inhaltliche Auswertung findet nicht statt.

Zur Art der Daten: Es handelt sich um Freitext aus einem offenen Eingabefeld. Was Teilnehmende dort eingeben, bestimmen sie selbst; die Eingaben können Namen, Firmen- und Kundenbezeichnungen, Angaben zur Gesundheit oder andere Angaben nach Art. 9 DSGVO enthalten. Konzeptiv prüft, filtert und erkennt diese Inhalte nicht. Ein Ausschluss personenbezogener Daten in dieser Übermittlung ist technisch nicht möglich.

Drittland: OpenAI verarbeitet diese Daten in den USA. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in Verbindung mit dem Datenverarbeitungszusatz von OpenAI. Ob im Einzelfall ergänzende Maßnahmen erforderlich sind, ist Gegenstand der Transfer-Folgenabschätzung der Kund:in; Konzeptiv unterstützt dabei im Rahmen von § 6.

Pflicht der Kund:in: Nutzt die Kund:in die KI-Sortierung, informiert sie ihre Teilnehmenden vor der betreffenden Frage über diese Übermittlung in die USA und weist sie an, keine personenbezogenen Angaben und keine Angaben nach Art. 9 DSGVO in die Wortwolke zu schreiben. Ohne eingeschaltete Option findet keine Übermittlung an OpenAI statt; die Kund:in kann sie damit jederzeit selbst unterbinden.

Konzeptiv informiert die Kund:in über beabsichtigte Änderungen des Bestands an Unterauftragsverarbeitern mindestens 30 Tage vor Wirksamwerden. Die Kund:in kann der Änderung innerhalb dieser Frist aus wichtigem Datenschutzgrund widersprechen. Bei Widerspruch kann jede Partei das Vertragsverhältnis mit angemessener Frist kündigen.

Mit Lovable besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Data Processing Agreement von Lovable), der die Standardvertragsklauseln einbezieht. Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO); das gilt für Lovable und Supabase. Cloudflare, Inc. (USA) stützt sich nach Angabe des Anbieters auf die Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise auf Standardvertragsklauseln.

§ 7a Zugriff des Datenbankbetreibers

Konzeptiv betreibt keine eigene Datenbank. Datenbank, Authentifizierung und Dateispeicher laufen in einer von Lovable verwalteten Umgebung. Lovable hält in dieser Datenbank eine Plattformrolle mit administrativem Zugriff (technischer Name: sandbox_exec). Diese Rolle umgeht die Zeilensicherheit, mit der Konzeptiv die Daten verschiedener Kund:innen trennt, und kann sämtliche Tabellen lesen und schreiben, einschließlich der in § 9 beschriebenen anwendungsseitig verschlüsselten Inhalte in entschlüsselter Form.

Das ist keine Besonderheit von Lovable: Wer eine Datenbank betreibt, kann sie lesen. Konzeptiv nennt diesen Zugang, damit die Kund:in die Reichweite der Verschlüsselung in § 9 richtig einschätzen kann: Sie schützt gegen Zugriffe über die Schnittstelle und gegen zu weit gesetzte Leserechte, nicht gegen den Betreiber. Lovable ist dafür in § 7 als Unterauftragsverarbeiter genannt.

§ 8 Kontroll- und Auditrechte

Die Kund:in hat das Recht, sich von der Einhaltung der getroffenen Maßnahmen zu überzeugen. Konzeptiv stellt auf Anfrage in Textform Nachweise (z. B. Beschreibung der TOMs, Bestätigungen der Unterauftragsverarbeiter) zur Verfügung. Vor-Ort-Kontrollen erfolgen nach Voranmeldung mit angemessener Frist und dürfen den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen.

§ 9 Technische und organisatorische Maßnahmen (TOMs)

• Transportverschlüsselung: TLS 1.2+ für alle Verbindungen zwischen Browser, API und Datenbank.
• Verschlüsselung at rest: Datenbank- und Storage-Inhalte sind in der Cloud-Infrastruktur verschlüsselt gespeichert; sensible Tool-Inhalte (alle Textinhalte des Metaplanboards einschließlich Anzeigenamen und Avataren der Aufstellung, Postkarten-Texte) zusätzlich anwendungsseitig per AES (pgp_sym_encrypt, AES-128). Der Schlüssel dieser Anwendungsverschlüsselung liegt in einem über die Programmierschnittstelle gesperrten Bereich derselben Datenbank. Sie schützt damit gegen Zugriffe über die Schnittstelle und gegen zu weit gesetzte Leserechte, nicht gegen eine vollständige Kopie des Datenbestands einschließlich Schlüsselbereich und nicht gegen den Betreiber der Datenbank (§ 7a). Ohne diese zusätzliche Verschlüsselung gespeichert sind: Quiz, Umfrage, ABC-Liste, Montagsmaler, Ausreden, Skalenfragen, die Zeichnungen der Postkarte und des Montagsmalers sowie im Metaplanboard die Abstimmungen und Aufstellungspositionen mit ihren Geräte-Kennungen.
• Zugriffskontrolle: Row-Level-Security (RLS) auf jeder Cloud-Tabelle; jede:r Kund:in sieht ausschließlich eigene Daten (Owner-Modell mit owner_id = auth.uid()). Sitzungsdaten werden nur über serverseitige Funktionen ausgeliefert, die den Zugriff auf genau eine Sitzung prüfen; anonyme und angemeldete Rollen haben keinen direkten Tabellenzugriff auf Sitzungsdaten. Live-Aktualisierungen enthalten nur Metadaten, keine Inhalte.
• Authentifizierung: Passwörter ausschließlich gehasht (bcrypt) gespeichert; serverseitige Sitzungstokens mit kurzer Lebensdauer.
• Geheimnisschutz: Verschlüsselungsschlüssel, Creator-Secrets und Beitrittsschlüssel in über die Schnittstelle gesperrten Bereichen der Datenbank, Zugriff ausschließlich über SECURITY DEFINER-Funktionen. Materialboard-Schlüssel werden als Prüfsumme gespeichert; die zusätzlich abgelegte Kopie ist mit einem Schlüssel verschlüsselt, der nur in der Laufzeitumgebung der Serverfunktionen existiert. Bei PIN-geschützten Sitzungen wird die PIN einmal gegen einen zufälligen Zugangsnachweis getauscht; die Datenbank speichert davon nur eine Prüfsumme (SHA-256). Der Nachweis gilt höchstens 12 Stunden und wird mit jeder Änderung der PIN widerrufen.
• Gerätespeicherung: Auf den Geräten der Teilnehmenden werden Geräte-Kennungen, Entwürfe, Abstimmstand und freiwillige Anzeigenamen im Browserspeicher gehalten, der Zugangsnachweis nach einer PIN-Eingabe nur bis zum Schließen des Tabs. Diese Daten unterliegen keiner Kontrolle durch Konzeptiv und werden durch die serverseitige Löschung nicht entfernt. Die Kund:in weist ihre Teilnehmenden auf geteilten Geräten darauf hin.
• Löschkonzept: Live-Sessions ohne Account werden 60 Tage nach letztem Zugriff automatisch gelöscht, einem Cloud-Konto zugeordnete Sessions 365 Tage nach letztem Zugriff. Einträge in „Meine Tools“ werden für alle Werkzeuge zwölf Monate nach ihrer letzten Nutzung gelöscht (das Öffnen des Eintrags zählt als Nutzung); eine Session, die zu einem solchen Eintrag gehört, folgt ihm und wird nicht vorher gelöscht. Die Löschung läuft als täglicher Datenbank-Job und erfasst alle acht Tools einschließlich ABC-Liste und Montagsmaler; fehlt der Zeitpunkt des letzten Zugriffs, zählt die Frist ab Anlage der Session. Materialboards werden zwölf Monate nach der letzten Bearbeitung gelöscht, frühestens ab dem 19.09.2027. Konto- und Vorlagendaten werden auf Wunsch der Kund:in vollständig entfernt (Account-Löschung im Profil, § 10). Verwaiste Daten werden durch Fremdschlüssel mit Löschkaskade und tägliche Abgleiche verhindert. Abgelaufene oder widerrufene PIN-Zugangsnachweise und abgelaufene Zähler der Missbrauchsbremsen löscht ein täglicher Datenbank-Job, sobald sie seit einem Tag ungültig sind.
• Backups: Tägliche automatische Datenbank-Backups beim Cloud-Provider mit einer Aufbewahrungsdauer von rund 14 Tagen.
• Protokollierung: Auth- und Edge-Function-Logs zur Fehleranalyse und Sicherheitsüberwachung mit begrenzter Aufbewahrung. Versandprotokoll transaktionaler E-Mails: 90 Tage.
• Trennung: Produktions- und Testumgebungen sind getrennt; Daten verschiedener Kund:innen sind logisch über RLS getrennt.
• Missbrauchsbremsen: Serverseitige Ratenbegrenzungen für Beiträge, Stimmen, Schlüsselprüfungen und das Anlegen von Sitzungen, je nach Weg je Sitzung, je Teilnahme, je Konto oder insgesamt; bei PIN-geschützten Sitzungen ein Budget für falsche PIN-Eingaben je Sitzung; clientseitige Zähler auf dem Gerät. IP-Adressen werden dafür weder ausgewertet noch gespeichert.
• Regelmäßige Überprüfung: Ein täglicher Datenbank-Job prüft die Invarianten des Zugriffsmodells (keine Tabellenrechte für anonyme und angemeldete Rollen auf Sitzungstabellen, keine offenen Lesepolicies) und protokolliert Befunde. Zugriffsrechte der Plattformrolle (§ 7a) werden manuell nachgemessen.

§ 10 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Cloud-Kontos werden alle personenbezogenen Daten der Kund:in einschließlich der durch sie verarbeiteten Teilnehmendendaten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage stellt Konzeptiv die gespeicherten Vorlagen vor der Löschung in einem maschinenlesbaren Format zur Verfügung.

Umsetzungsstand: Mit der Kontolöschung entfallen Profil, öffentliche Profilangaben, Seminarvorlagen, Seminartage, gespeicherte Tools, Tool-Vorlagen, Materialboards samt hochgeladener Dateien sowie die kontogebundenen Sitzungen aller acht Werkzeuge: Metaplanboard, Gruppen, Skalenfragen, Ausreden, Quiz und Umfrage, Postkarte, ABC-Liste und Montagsmaler. Die Kopplung an das Konto wirkt seit dem 10.09.2026 auf Datenbankebene und damit unabhängig vom Löschweg.

Ausgenommen sind: das Versandprotokoll transaktionaler E-Mails, in dem die Empfängeradresse bei Kontolöschung überschrieben wird und dessen Einträge spätestens nach 90 Tagen gelöscht werden; die Liste unzustellbarer oder widersprechender E-Mail-Adressen, die auf Weisung gelöscht wird; sowie Datenbank-Backups des Anbieters, in denen gelöschte Daten noch bis zu rund 14 Tage nach der Löschung liegen können, bis die jeweilige Sicherung nach Ablauf ihrer Aufbewahrungsfrist entfällt (§ 9). Was auf den Geräten der Teilnehmenden gespeichert ist (§ 9, Gerätespeicherung), kann Konzeptiv nicht löschen.

§ 11 Drittanwendungen auf Veranlassung der Kund:in

Die Kund:in kann über eine Freigabeseite von Konzeptiv eine selbst gewählte externe Anwendung mit ihrem Konto verbinden. Die verbundene Anwendung kann danach in ihrem Namen Seminare anlegen, auflisten, lesen und ändern, Phasen hinzufügen sowie Quiz-, Umfrage- und Skalenfragen anlegen, ändern und entfernen; sie erhält außerdem E-Mail-Adresse und Kontokennung der Kund:in. Teilnehmerbeiträge aus Live-Sitzungen gibt die Schnittstelle nicht heraus.

Die Freigabe ist eine in der Plattform vorgenommene Konfiguration im Sinne von § 5. Konzeptiv hat auf die verbundene Anwendung keinen Einfluss; die Kund:in wählt und prüft deren Anbieter selbst.

§ 12 Haftung und Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieser AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen dieser AVV erfolgen in Textform mit angemessenem Vorlauf.