Auftragsverarbeitungsvertrag

Fassung 2026-10-09

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Vereinbarung zwischen Craftkite („Craftkite“, „Auftragsverarbeiter“) und dem Kunden, der ihn annimmt („Kunde“, „Verantwortlicher“), über die Nutzung von Craftkite (der „Dienst“). Er gilt, wenn Craftkite personenbezogene Daten im Auftrag des Kunden verarbeitet, und zwar nach der EU-Datenschutz-Grundverordnung (DSGVO), der UK GDPR, dem türkischen Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK) und sonstigen anwendbaren Datenschutzgesetzen („Datenschutzrecht“).

1. Rollen und Anwendungsbereich

1. Der Kunde ist Verantwortlicher für personenbezogene Daten, die er, seine Mitglieder oder die Endnutzer seiner veröffentlichten Apps in den Dienst einbringen („personenbezogene Kundendaten“). Craftkite ist sein Auftragsverarbeiter.
2. Craftkite ist Verantwortlicher für Konto-, Abrechnungs- und Sicherheitsdaten, die es zum Betrieb seines eigenen Geschäfts benötigt, wie in der Datenschutzerklärung beschrieben. Dieser AVV erfasst diese Daten nicht.
3. Anlage 1 beschreibt die Verarbeitung.

2. Weisungen

Craftkite verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden: die Vereinbarung, diesen AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden. Craftkite informiert den Kunden, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt, sofern das Gesetz dies nicht verbietet.

3. Vertraulichkeit und Zugriff durch Mitarbeitende

1. Craftkite stellt sicher, dass alle zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind.
2. Mitarbeitende von Craftkite greifen auf personenbezogene Kundendaten und Inhalte des Kunden (Prompts, Projektdateien, Vorschauen, App-Daten) nur zu, soweit dies zur Bearbeitung einer Supportanfrage des Kunden, einer Missbrauchsmeldung, einer rechtlichen Verpflichtung oder eines Sicherheitsvorfalls erforderlich ist. Jeder Zugriff erfordert eine dokumentierte Begründung, ist zeitlich und im Umfang (ein Konto oder ein Projekt) beschränkt, wird mit jedem gelesenen Element in einem nur fortschreibbaren Audit-Trail protokolliert und dem Kunden unter Konto → Datenschutz angezeigt. Personenbezogene Daten sind in internen Werkzeugen standardmäßig maskiert.
3. Craftkite verwendet personenbezogene Kundendaten oder Kundeninhalte nicht zum Training von KI-Modellen, zur Erstellung von Beispielen, Vorlagen oder Evaluierungen oder für Analysen und teilt Inhalte in seiner Community-Galerie nur, wenn der Kunde sie mit ausdrücklicher, widerruflicher Einwilligung einreicht.

4. Sicherheit

Craftkite setzt die technischen und organisatorischen Maßnahmen gemäß Anlage 2 um und hält sie dem Risiko angemessen. Craftkite darf sie aktualisieren, solange das Gesamtschutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung für die auf der Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter.
2. Craftkite kündigt neue Unterauftragsverarbeiter auf dieser Seite mindestens 30 Tage an, bevor sie mit der Verarbeitung personenbezogener Kundendaten beginnen. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; können die Parteien den Widerspruch nicht ausräumen, kann der Kunde den betroffenen Teil des Dienstes beenden und erhält eine anteilige Erstattung der hierfür im Voraus gezahlten Entgelte.
3. Craftkite erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, und bleibt für deren Erfüllung verantwortlich.

6. Internationale Übermittlungen

Werden personenbezogene Kundendaten außerhalb des EWR, des Vereinigten Königreichs, der Schweiz oder der Türkei in ein Land ohne Angemessenheitsbeschluss übermittelt, stützen sich die Parteien auf die EU-Standardvertragsklauseln (Modul 2 bzw. 3), das UK International Data Transfer Addendum und für die Türkei auf die von der Datenschutzbehörde veröffentlichten Standardverträge, die durch Verweis einbezogen werden. Verlangt das Datenschutzrecht für eine Übermittlung die ausdrückliche Einwilligung der betroffenen Person, ist der Kunde dafür verantwortlich, diese von seinen eigenen Nutzern einzuholen.

7. Unterstützung und Anfragen betroffener Personen

Craftkite unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen und bei der Erfüllung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation. Der Dienst ermöglicht es dem Kunden, seine Daten selbst zu exportieren und zu löschen.

8. Verletzungen des Schutzes personenbezogener Daten

Craftkite benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist, und stellt die Informationen bereit, die der Kunde zur Erfüllung seiner eigenen Pflichten benötigt.

9. Löschung und Rückgabe

Nach Beendigung der Vereinbarung kann der Kunde seine Daten 30 Tage lang exportieren. Anschließend löscht Craftkite die personenbezogenen Kundendaten, einschließlich der Backups im Rahmen ihres üblichen Rotationszyklus, sofern das Gesetz keine Aufbewahrung verlangt.

10. Audits

Craftkite stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, einschließlich seiner Sicherheitsrichtlinien und, sofern vorhanden, unabhängiger Prüfberichte (etwa SOC 2). Reicht dies nicht aus, kann der Kunde einmal jährlich mit einer Ankündigungsfrist von 30 Tagen während der Geschäftszeiten, auf eigene Kosten und unter Wahrung der Vertraulichkeit ein Audit durchführen.

11. Haftung und Vorrang

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen der Vereinbarung. Steht dieser AVV im Widerspruch zur Vereinbarung, hat dieser AVV für die Verarbeitung personenbezogener Kundendaten Vorrang. Weicht eine Übersetzung dieses AVV von der englischen Fassung ab, ist die englische Fassung maßgeblich.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (TLS) und von Secrets im Ruhezustand; App-Secrets in einem verschlüsselten Tresor.
• Jedes Projekt läuft in einer isolierten Sandbox mit eingeschränktem Netzwerk; jede App-Datenbank ist getrennt.
• Rollenbasierter Zugriff für Mitarbeitende von Craftkite, verpflichtende Zwei-Faktor-Authentifizierung für Administratoren, eine IP-Allowlist für die Admin-Konsole und ein nur fortschreibbares Sicherheits-Audit-Log.
• Workspace-Rollen (Owner, Admin, Editor, Viewer) und Single Sign-on (SAML oder OpenID Connect) für Enterprise-Workspaces.
• Backups, Monitoring und Incident Response gemäß den Sicherheitsrichtlinien von Craftkite.
• Anbieter von KI-Modellen sind vertraglich verpflichtet, nicht mit Kundendaten zu trainieren; Anfragen nutzen, soweit angeboten, die Nicht-Speicherungs-Optionen der Anbieter (OpenAI store: false) und enthalten keine Mitgliederkennungen.
• Break-Glass-Zugriff für Mitarbeitende: Begründung, Zeitlimit, Umfang, Audit je Lesevorgang und Transparenz gegenüber dem Kunden; Maskierung personenbezogener Daten in internen Werkzeugen mit protokollierter Aufdeckung; vollständige Exporte personenbezogener Daten nur für Super-Administratoren.
• Private Vorschauen: nur für die Mitglieder des Projekts oder über signierte, ablaufende Links sichtbar.
• Aufbewahrungsfristen für Protokolle, Anhänge, Screenshots, Support-Tickets und E-Mail-Protokolle, durchgesetzt durch eine geplante Bereinigung; Fehlerberichte und Analysen werden von personenbezogenen Daten und Inhalten befreit.