Auftragsverarbeitungsvertrag
Der Vertrag nach Art. 28 DSGVO, den Organisationen mit uns schließen, wenn sie Daten Dritter in Facilitools verarbeiten — hier öffentlich, bevor irgendjemand danach fragen muss. Stand: 14. August 2026.
Ehrliches Etikett: Das ist ein Entwurf. Er ist von Nicht-Juristen aus dem tatsächlichen Betrieb heraus geschrieben und geht vor der ersten Unterzeichnung mit einer Behörde durch einen juristischen Gegencheck. Größere Auftraggeber bringen ohnehin ihren eigenen AVV mit — dann ist dieses Dokument die Grundlage, um deren Fassung zu prüfen. Wir legen ihn trotzdem jetzt schon offen: Wer Facilitools prüft, soll sehen, was drinstehen wird, nicht raten.
Wann dieser Vertrag gebraucht wird
Nicht bei jeder Nutzung. Wer Facilitools nur für sich verwendet — Abläufe planen, Methoden nachschlagen, eigene Whiteboards oder Kanban-Boards bauen — verarbeitet keine Daten Dritter, und es gibt nichts zu vereinbaren. Gebraucht wird der Vertrag, sobald Daten anderer Menschen ins System kommen: Teilnehmendenverwaltung eines Seminars, Terminumfragen mit benannten Personen, eingeladene Mitarbeitende auf Kanban-Boards und Whiteboards, Beiträge aus der Live-Beteiligung, Tonaufnahmen und Transkripte beim Mithören.
§ 1 Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Web-Anwendung Facilitools. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, soweit dies zur Erbringung dieser Leistung erforderlich ist. Die Laufzeit entspricht der Laufzeit des Nutzungsverhältnisses.
§ 2 Art, Zweck, Datenarten, betroffene Personen
Zweck: Planung, Durchführung und Nachbereitung von Workshops, Seminaren und vergleichbaren Veranstaltungen. Datenarten: Name, E-Mail-Adresse, Anmelde- und Teilnahmestatus, freiwillige Kommentare, Beiträge in Beteiligungsformaten, hochgeladene Bilder, im Fall des Mithörens Sprachaufnahmen und daraus erzeugte Transkripte. Betroffene Personen: Teilnehmende, Eingeladene und Mitarbeitende des Auftraggebers.
§ 3 Weisungsbindung
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers; die Nutzung der Anwendung gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.
§ 4 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der administrative Zugang ist auf die Geschäftsführung beschränkt.
§ 5 Sicherheit der Verarbeitung
Es gelten die technischen und organisatorischen Maßnahmen nach Anlage 2 (TOMs). Diese Anlage benennt auch die derzeit offenen Punkte — sie ist bewusst nicht beschönigt, damit der Auftraggeber sein Risiko einschätzen kann.
§ 6 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der in Anlage 1 genannten Unterauftragnehmer zu. Beabsichtigte Änderungen teilt der Auftragnehmer mindestens vier Wochen vorher mit; der Auftraggeber kann widersprechen und bei fortbestehendem Widerspruch ordentlich kündigen. Mit jedem Unterauftragnehmer werden Verpflichtungen vereinbart, die den hier getroffenen entsprechen.
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragnehmer unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Praktisch heißt das: Der Auftraggeber kann Teilnehmendendaten in der Anwendung selbst einsehen, ändern, exportieren und löschen; Teilnehmende können sich über einen persönlichen Abmeldelink selbst austragen, ohne Konto; Exporte sind in offenen Formaten möglich (Art. 20).
§ 8 Unterstützung bei Pflichten des Verantwortlichen
Der Auftragnehmer unterstützt bei Sicherheit der Verarbeitung, Meldung von Verletzungen und Datenschutz-Folgenabschätzung, soweit ihm die erforderlichen Informationen vorliegen. Meldung von Verletzungen: Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dieser seine Frist nach Art. 33 (72 Stunden) einhalten kann.
§ 9 Löschung oder Rückgabe
Nach Ende des Nutzungsverhältnisses löscht der Auftragnehmer die Daten oder gibt sie zurück, nach Wahl des Auftraggebers. Der Auftraggeber kann seine Daten jederzeit selbst exportieren und löschen. Ausgenommen sind Daten mit gesetzlicher Aufbewahrungspflicht (insbesondere Rechnungsdaten nach §§ 147 AO, 257 HGB). Wie Löschung im Einzelnen funktioniert, steht öffentlich im Löschkonzept.
§ 10 Nachweise und Kontrollen
Der Auftragnehmer stellt die zum Nachweis erforderlichen Informationen bereit — insbesondere dieses Dokument, die TOM-Anlage, das Verarbeitungsverzeichnis und die Erklärung zur Barrierefreiheit. Vor-Ort-Prüfungen sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich.
§ 11 Ort der Verarbeitung
Die Verarbeitung findet in Deutschland statt (Hetzner Online GmbH). Ausnahmen, die der Auftraggeber kennen muss:
- KI-Funktionen laufen wahlweise über Mistral AI (Frankreich, EU) oder Anthropic (USA) — es ist immer nur einer aktiv, und welcher, entscheidet die Konfiguration der Installation. Wird Mistral eingestellt oder die KI ganz abgeschaltet, findet keine Drittlandübermittlung statt. Auf Wunsch teilen wir schriftlich mit, welcher Anbieter für diesen Auftrag eingestellt ist. Zusätzlich kann jede einzelne Person die KI im eigenen Konto abwählen, und eine Team-Verwaltung kann sie für ihr ganzes Team sperren — beide Sperren werden serverseitig durchgesetzt.
- Zahlungen laufen über einen Dienstleister mit Sitz in Irland; Übermittlungen in die USA sind dabei möglich.
- Mailversand läuft über einen Dienstleister mit EU-Verarbeitung.
Anlagen
Anlage 1 — Unterauftragsverarbeiter · Anlage 2 — TOMs (Art. 32) · Anlage 3 — Verarbeitungsverzeichnis (auf Anfrage, nachrichtlich).
Zum Abschluss
Du brauchst diesen Vertrag unterschrieben, oder deine Organisation bringt eine eigene Fassung mit? Schreib an hey@tomorrow.tools — Antwort kommt in der Regel am selben Werktag.