Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO für Daysi (daysi.studio), ein Angebot der Momentesammler GmbH, und die darüber erreichbaren Tools · Version 1.1 vom 01.10.2026

Worum es geht (Zusammenfassung – maßgeblich sind die folgenden Regelungen): Wenn du in den Tools personenbezogene Daten anderer Personen speicherst – zum Beispiel Kunden in Buchungen, Geschäftspartner in Projekten oder Teilnehmende deiner Umfragen –, bist du dafür verantwortlich und wir verarbeiten diese Daten in deinem Auftrag. Dieser Vertrag regelt, was wir mit den Daten tun dürfen, wie wir sie schützen und was nach dem Ende deines Zugangs passiert. Du schließt ihn unter Konto › Privatsphäre für dein Unternehmen ab.

§ 1 Vertragsparteien

(1) Auftragnehmer ist die Momentesammler GmbH, Hildegard-von-Bingen Str. 1, 61273 Wehrheim, eingetragen im Handelsregister des Amtsgerichts Bad Homburg v.d. Höhe unter HRB 17438, vertreten durch den Geschäftsführer Patrick Reymann, E-Mail hallo@daysi.studio. Einen Datenschutzbeauftragten hat der Auftragnehmer nicht bestellt, weil dafür keine gesetzliche Pflicht besteht; Ansprechpartner für den Datenschutz ist der Geschäftsführer unter der genannten Adresse.

(2) Auftraggeber ist das Unternehmen, das beim Abschluss dieses Vertrags in Daysi mit Firma, Anschrift, vertretungsberechtigter Person und einer E-Mail-Adresse für Datenschutzmitteilungen angegeben wird. Diese Angaben sind Bestandteil des Vertrags. Sie stehen in der Bestätigung, die der Auftraggeber nach dem Abschluss per E-Mail erhält und in Daysi jederzeit aufrufen kann.

(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung von Daysi nach den Nutzungsbedingungen ergeben.

§ 2 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber Daysi (daysi.studio) und die darüber erreichbaren Tools bereit (zusammen „Daysi“). Dabei verarbeitet er die personenbezogenen Daten, die der Auftraggeber in den Tools speichert, in dessen Auftrag: Speichern, Anzeigen und Auswerten in den Funktionen der Tools, Versand der vom Auftraggeber eingerichteten Erinnerungen und Benachrichtigungen, Datensicherung und Löschung sowie – nur wenn der Auftraggeber es selbst einrichtet – Bereitstellung an einen KI-Assistenten über den KI-Connector (§ 3 Abs. 4). Einzelheiten stehen in Anlage 1.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragnehmer selbst verantwortlich ist und die in der Datenschutzerklärung beschrieben sind, insbesondere Konto- und Anmeldedaten der Nutzer, Sitzungen, Sicherheits- und Zugriffsprotokolle, Feedback und Support-Anfragen sowie Lernfortschritt und Antworten im Workshop. Der Workshop ist ein eigenes Kursangebot des Auftragnehmers, dessen Kursleitung die Antworten der Teilnehmenden sieht; der Auftraggeber trägt dort keine personenbezogenen Daten Dritter ein.

(3) Der Vertrag beginnt mit dem Abschluss in Daysi und gilt, solange der Auftraggeber über das Konto, mit dem er ihn abgeschlossen hat, Zugang zu Daysi hat. Er endet ohne Kündigung mit dem Ende dieses Zugangs, in der Regel mit dem Ende der Mitgliedschaft in der Skool-Community des Auftragnehmers. Die Pflichten nach § 11 und die Vertraulichkeit gelten bis zur vollständigen Löschung der Daten fort. Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

§ 3 Art und Zweck der Verarbeitung, Daten und Betroffene

(1) Art der Verarbeitung: Erfassen durch Eingabe oder Import des Auftraggebers, Speichern, Ordnen, Anzeigen, Auswerten und Berechnen, Bereitstellen für Personen, mit denen der Auftraggeber einen Workspace selbst teilt, Versand von E-Mail-Erinnerungen und -Benachrichtigungen, Sichern, Exportieren und Löschen.

(2) Zweck der Verarbeitung ist die Bereitstellung der Funktionen von Daysi für die geschäftliche Tätigkeit des Auftraggebers, etwa Projekt- und Wochenplanung, Übersicht über Einnahmen, Ausgaben und Liquidität, Kennzahlen sowie Termin- und Meinungsabstimmungen. Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, nicht für Werbung und gibt sie nicht weiter, soweit dieser Vertrag nichts anderes bestimmt.

(3) Die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(4) KI-Connector: Verbindet der Auftraggeber selbst einen KI-Assistenten eines anderen Anbieters mit Daysi, stellt der Auftragnehmer dem Assistenten auf dessen Abruf die Daten der freigegebenen Bereiche bereit; der Assistent übermittelt sie an seinen Anbieter. Diese Bereitstellung und Änderungen, die der Assistent im Namen des Auftraggebers vornimmt, gelten als Weisung des Auftraggebers. Der Auftraggeber legt beim Verbinden fest, welche Bereiche der Assistent nutzen darf und ob er nur lesen oder auch ändern darf, und kann die Verbindung jederzeit unter Konto › Verbundene Apps trennen. Der Anbieter des Assistenten ist kein Unterauftragsverarbeiter des Auftragnehmers: Der Auftraggeber wählt ihn selbst aus und nutzt ihn zu dessen eigenen Bedingungen; für die Übermittlung an diesen Anbieter und eine dafür etwa erforderliche Vereinbarung mit ihm ist der Auftraggeber selbst verantwortlich. Ohne eine solche Verbindung findet keine Übermittlung an KI-Anbieter statt.

(5) Der Auftragnehmer verarbeitet die Daten auf Servern in Deutschland. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR findet nur statt, soweit sie in Anlage 3 genannt ist oder der Auftraggeber sie nach Abs. 4 selbst veranlasst, und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 4 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf Übermittlungen in Drittländer –, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Auftraggebers sind in diesem Vertrag festgelegt und werden im Übrigen durch die Nutzung der Funktionen von Daysi erteilt: Anlegen, Ändern, Importieren, Teilen, Exportieren und Löschen von Daten, Einrichten von Erinnerungen und Benachrichtigungen sowie Verbinden und Trennen des KI-Connectors. Handlungen, die über das Konto des Auftraggebers vorgenommen werden, darf der Auftragnehmer als Weisungen des Auftraggebers behandeln.

(3) Weitere Weisungen erteilt der Auftraggeber in Textform, zum Beispiel per E-Mail an hallo@daysi.studio. Weisungen, die über die Funktionen von Daysi hinausgehen, setzt der Auftragnehmer um, soweit ihm das technisch möglich und zumutbar ist; andernfalls teilt er das dem Auftraggeber mit.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 5 Vertraulichkeit

(1) Der Auftragnehmer stellt sicher, dass sich die Personen, die er zur Verarbeitung der Daten befugt, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort.

(2) Zugriff auf die Daten des Auftraggebers erhalten beim Auftragnehmer nur Personen, die ihn für Betrieb, Wartung, Fehlerbehebung oder die Unterstützung des Auftraggebers benötigen, und nur in diesem Umfang. Zur Unterstützung können Administratoren Daysi und Tools so ansehen, wie der Auftraggeber sie sieht („Vorschau“): nur lesend, höchstens 30 Minuten, protokolliert und für den Auftraggeber unter Konto › Privatsphäre sichtbar.

§ 6 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen.

(2) Der Auftragnehmer darf die Maßnahmen weiterentwickeln und durch gleichwertige oder bessere ersetzen, solange das Schutzniveau nicht unterschritten wird. Eine aktualisierte Anlage 2 stellt er mit einer neuen Fassung dieses Vertrags bereit (§ 14 Abs. 2).

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Will der Auftragnehmer einen weiteren Unterauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, kündigt er das dem Auftraggeber mindestens vier Wochen vorher per E-Mail an die angegebene Adresse für Datenschutzmitteilungen an (Name, Sitz, Leistung, betroffene Daten). Der Auftraggeber kann der Änderung innerhalb dieser Frist in Textform widersprechen. Die Parteien suchen dann nach einer Lösung. Gelingt das nicht, kann jede Partei diesen Vertrag beenden; die Daten des Auftraggebers werden dann nach § 11 gelöscht. Ist ein sofortiger Wechsel zur Abwehr einer Gefahr für die Sicherheit oder Verfügbarkeit der Daten nötig, informiert der Auftragnehmer unverzüglich nach dem Wechsel; das Widerspruchsrecht gilt entsprechend.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich nach Art. 28 Abs. 4 DSGVO, insbesondere zu geeigneten technischen und organisatorischen Maßnahmen. Bei Anbietern, die nur standardisierte Bedingungen anbieten, geschieht das über deren Vereinbarungen zur Auftragsverarbeitung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer dem Auftraggeber dafür nach Art. 28 Abs. 4 Satz 2 DSGVO.

(4) Keine Unterauftragsverarbeitung sind Leistungen Dritter, bei denen diese keinen Zugriff auf die Daten des Auftraggebers erhalten (z. B. die Ausstellung von TLS-Zertifikaten), sowie der vom Auftraggeber selbst gewählte Anbieter eines KI-Assistenten (§ 3 Abs. 4).

§ 8 Unterstützung bei den Rechten betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Dafür stellt Daysi insbesondere bereit: Einträge lassen sich in den Tools direkt ändern und löschen; in Planungstool und Cashflow kann der Eigentümer eines Workspace unter Einstellungen › Datenschutz nach einer Person suchen und die gefundenen Daten als Datei exportieren.

(2) Wendet sich eine betroffene Person wegen Daten des Auftraggebers direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern der Auftraggeber nichts anderes anweist.

(3) Soweit die Funktionen von Daysi nicht ausreichen, unterstützt der Auftragnehmer den Auftraggeber auf Anfrage in angemessenem Umfang, zum Beispiel mit einem Export aus der Datenbank.

§ 9 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(2) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die angegebene Adresse für Datenschutzmitteilungen. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie einen Ansprechpartner. Noch fehlende Angaben reicht er nach, sobald sie vorliegen.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Auftraggeber ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Auftraggeber vor; der Auftragnehmer gibt sie nur auf dessen Weisung ab.

(4) Bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde stellt der Auftragnehmer dem Auftraggeber die ihm vorliegenden Informationen zur Verfügung.

§ 10 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen und die Erfüllung ihrer Rechte.

(2) Der Auftraggeber verpflichtet sich, keine besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO (z. B. Gesundheitsdaten, Angaben zur Religion oder zur Gewerkschaftszugehörigkeit) und keine Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO in Daysi einzutragen, sofern die Parteien dies nicht gesondert in Textform vereinbaren. Das gilt auch für Freitexte.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Auftraggeber hält die bei Abschluss angegebenen Daten, insbesondere die E-Mail-Adresse für Datenschutzmitteilungen, unter Konto › Privatsphäre aktuell.

(5) Daysi ist kein Archiv für gesetzliche Aufbewahrungspflichten des Auftraggebers. Daten, die er aufbewahren muss, sichert der Auftraggeber selbst, zum Beispiel über die Exportfunktionen der Tools.

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit kann der Auftraggeber Daten jederzeit selbst löschen und, soweit ein Tool eine Exportfunktion hat, exportieren. Einträge, die er löscht, entfernt der Auftragnehmer sofort aus dem laufenden System. Auf Anfrage löscht der Auftragnehmer das Konto des Auftraggebers mit allen Daten auch vorzeitig.

(2) Endet der Zugang des Auftraggebers zu Daysi, sperrt der Auftragnehmer das Konto und teilt dem Auftraggeber per E-Mail an die Adresse des Kontos mit, an welchem Tag er es löscht. 30 Tage nach dem Ende des Zugangs löscht der Auftragnehmer das Konto und alle Daten des Auftraggebers in den Tools – einschließlich der Workspaces, deren Eigentümer der Auftraggeber ist – automatisch und endgültig. Innerhalb dieser 30 Tage stellt der Auftragnehmer dem Auftraggeber auf Anfrage einen Export seiner Daten zur Verfügung (Rückgabe). Erhält der Auftraggeber innerhalb der Frist wieder Zugang, wird das Konto reaktiviert und die Löschung entfällt.

(3) Einträge, die der Auftraggeber in Workspaces anderer Nutzer vorgenommen hat, die diese mit ihm geteilt haben, gehören zu deren Workspace. Sie werden nicht mit dem Konto des Auftraggebers gelöscht, sondern mit dem jeweiligen Workspace.

(4) Die Daten sind nach der Löschung noch in den verschlüsselten täglichen Sicherungen enthalten. Diese werden spätestens 14 Tage nach der Löschung überschrieben.

(5) Eine Pflicht zur Löschung besteht nicht, soweit der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zur Speicherung verpflichtet ist. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 12 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten in Textform zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 2.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht, kann die Einhaltung der Pflichten überprüfen, auch durch eine Kontrolle vor Ort in den Geschäftsräumen des Auftragnehmers. Kontrollen vor Ort sind mit angemessener Frist, in der Regel mindestens zwei Wochen, vorher anzumelden, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Server stehen im Rechenzentrum eines Unterauftragsverarbeiters (Anlage 3); insoweit stellt der Auftragnehmer die Nachweise zur Verfügung, die dieser bereitstellt.

(3) Jede Partei trägt die ihr durch Nachweise und Kontrollen entstehenden Kosten selbst.

(4) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie Daten des Auftraggebers betreffen.

§ 13 Haftung

(1) Für Schäden, die einer betroffenen Person wegen eines Verstoßes gegen die DSGVO entstehen, haften die Parteien nach Art. 82 DSGVO.

(2) Im Verhältnis der Parteien zueinander gelten ergänzend die Haftungsregeln der Nutzungsbedingungen (Abschnitt 6), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 14 Schlussbestimmungen

(1) Dieser Vertrag wird in einem elektronischen Format und damit in Textform geschlossen (Art. 28 Abs. 9 DSGVO): Der Auftraggeber schließt ihn in Daysi unter Konto › Privatsphäre mit seinen Angaben ab. Der Auftragnehmer speichert Zeitpunkt, Version, eine Prüfsumme (SHA-256) des abgeschlossenen Vertragstextes und die Angaben des Auftraggebers und bestätigt den Abschluss per E-Mail. Änderungen und Ergänzungen bedürfen ebenfalls der Textform.

(2) Der Auftragnehmer kann eine neue Fassung dieses Vertrags bereitstellen, etwa bei geänderten Maßnahmen, Unterauftragsverarbeitern oder geänderter Rechtslage. Er weist den Auftraggeber in Daysi darauf hin; die neue Fassung gilt ab ihrem Abschluss durch den Auftraggeber. Bis dahin gilt die zuletzt abgeschlossene Fassung; § 7 Abs. 2 bleibt unberührt.

(3) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen der Parteien, insbesondere den Nutzungsbedingungen, geht dieser Vertrag in Fragen des Datenschutzes vor.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Bad Homburg v.d. Höhe.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1 – Daten und betroffene Personen

Der Vertrag erfasst die personenbezogenen Daten, die der Auftraggeber in den folgenden Bereichen von Daysi speichert oder über sie erhebt:

Arten von Daten: Namen und Kontaktangaben, Vertrags-, Abrechnungs- und Zahlungsdaten, Bankverbindungen, Gehaltsdaten, Projekt-, Aufgaben- und Termindaten, Freitexte und Kommentare. Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind ausgeschlossen (§ 10 Abs. 2).

Kategorien betroffener Personen: Kunden und Interessenten, Lieferanten und andere Zahlungspartner, Geschäftspartner und deren Ansprechpartner, Beschäftigte des Auftraggebers, Teilnehmende an Umfragen des Auftraggebers sowie sonstige Personen, die der Auftraggeber in seinen Einträgen nennt.

E-Mails an den Auftraggeber: Richtet der Auftraggeber Abo-Erinnerungen im Cashflow oder Benachrichtigungen zu seinen Umfragen ein, gehen Bezeichnung und Betrag der Abos bzw. Titel der Umfrage und Anzahl neuer Stimmen per E-Mail an die Adresse seines Kontos.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben sind nur Maßnahmen, die zum Stand dieser Version tatsächlich umgesetzt sind.

1. Vertraulichkeit

• Zutritt: Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Deutschland; den physischen Zutrittsschutz stellt Hetzner sicher. Der Auftragnehmer betreibt keine eigenen Serverräume.
• Zugang zum Server: Administration nur per SSH mit Schlüssel, die Anmeldung per Passwort ist abgeschaltet; wiederholte Fehlversuche werden automatisch gesperrt (fail2ban). Die Firewall lässt von außen nur SSH, HTTP und HTTPS zu. Einziger öffentlicher Eingang für Daysi und Tools ist ein Reverse-Proxy; die Anwendungen selbst sind von außen nicht direkt erreichbar.
• Anmeldung in Daysi: Passwörter werden nur als Argon2id-Hash gespeichert, müssen mindestens 12 Zeichen lang sein und werden gegen bekannte Datenlecks geprüft (dabei verlässt nur ein kurzer Teil eines Hash-Werts den Server). Fehlversuche sind je Konto (5 in 15 Minuten) und je IP-Adresse begrenzt.
• Zwei-Faktor-Anmeldung (TOTP): Pflicht für Administratoren; für andere Konten freiwillig oder vom Auftragnehmer je Konto vorgegeben. Für das Cashflow-Tool (Finanzdaten) ist sie Pflicht; die Einrichtung kann einmalig um 14 Tage verschoben werden. „Diesem Gerät vertrauen“ gilt höchstens 30 Tage.
• Sitzungen: Sitzungs-Cookies werden nur über HTTPS übertragen und sind für Skripte nicht lesbar; Formulare sind gegen Cross-Site-Request-Forgery geschützt. Sitzungen enden nach 12 Stunden, mit „Angemeldet bleiben“ nach höchstens 30 Tagen (Administratoren 7 Tage). Eine Passwortänderung beendet alle anderen Sitzungen; „Überall abmelden“ trennt zusätzlich verbundene KI-Apps. Eine strenge Content-Security-Policy verhindert das Nachladen fremder Skripte und das Einbetten in fremde Seiten.
• Zugriff auf Daten: Tools sind nur mit ausdrücklicher Freischaltung nutzbar. Daten in Planungstool, Cashflow und Statistik liegen in Workspaces, die nur der Eigentümer und die von ihm eingeladenen Personen sehen; einladen kann nur der Eigentümer. Die „Vorschau“ für die Unterstützung (§ 5 Abs. 2) ist nur lesend, auf 30 Minuten begrenzt, erfordert beim Start einen aktuellen Zwei-Faktor-Code des Administrators, wird protokolliert und ist für den Nutzer sichtbar.
• KI-Connector: Verbindung nur nach ausdrücklicher Zustimmung des Nutzers auf einer Zustimmungsseite, mit Auswahl der Bereiche und der Zugriffsstufe (nur lesen oder lesen und ändern). Löschen, Importe und Einstellungen sind über den Connector nicht möglich. Zugangs-Tokens werden nur als Hash gespeichert; die Verbindung ist jederzeit trennbar.
• Trennung: Jedes Tool hat eine eigene Datenbank und läuft in einem eigenen Container mit eigenem Netzwerk. Tools greifen nicht direkt aufeinander zu, sondern nur über geprüfte Schnittstellen von Daysi mit einem eigenen Zugangsgeheimnis je Tool.
• Verschlüsselung: Übertragung ausschließlich per HTTPS (TLS) mit HSTS. Die Datenbanken von Daysi und Tools, in denen Daten des Auftraggebers liegen, werden verschlüsselt gespeichert (SQLCipher); die Schlüssel liegen getrennt von den Datenbankdateien, die Dateien sind nur für den Anwendungsbenutzer lesbar. Geheimnisse für die Zwei-Faktor-Anmeldung sind verschlüsselt, Wiederherstellungscodes sowie Zugangs- und Einmal-Tokens nur als Hash gespeichert.

2. Integrität

• Weitergabe: Alle Verbindungen sind verschlüsselt. Einmal-Codes in Adressen werden in den Zugriffsprotokollen unkenntlich gemacht. Inhalte aus den Tools werden nur in den vom Auftraggeber eingerichteten Erinnerungen und Benachrichtigungen per E-Mail versandt.
• Protokollierung: Ein Sicherheits-Log erfasst Anmeldungen und Fehlversuche, Sperren, Änderungen an Passwort und Zwei-Faktor-Anmeldung, verbundene Apps, Aktionen von Administratoren und AVV-Abschlüsse (Aufbewahrung 90 Tage). Zugriffe über den KI-Connector werden ohne Inhalte protokolliert (Zeitpunkt, App, Bereich, Funktion, Status; 90 Tage). Zugriffsprotokolle des Webservers werden nach 7 Tagen gelöscht.
• Nachvollziehbarkeit: KI-Regeln werden mit Versionen gespeichert; Änderungen durch einen KI-Assistenten sind gekennzeichnet und können zurückgenommen werden.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: Einmal täglich wird eine vollständige Sicherung erstellt und mit age verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server. Sicherungen werden 14 Tage aufbewahrt und danach gelöscht. Sie liegen derzeit auf demselben Server; eine zusätzliche Kopie an einem anderen Ort besteht noch nicht. Für die Wiederherstellung gibt es eine schriftliche Anleitung.
• Aktualität: Sicherheitsupdates des Betriebssystems werden automatisch installiert; ist ein Neustart nötig, erfolgt er automatisch nachts nach der Sicherung.
• Betrieb: Die Anwendungen starten nach einem Absturz oder einem Neustart des Servers automatisch neu. Anmeldungen und andere missbrauchsanfällige Anfragen sind in ihrer Häufigkeit begrenzt.

4. Überprüfung und Bewertung

• Der Auftragnehmer hat die Sicherheit von Daysi und Tools im September 2026 zweimal geprüft und die Befunde mit den ergriffenen Maßnahmen dokumentiert.
• Sicherheitsrelevante Funktionen (u. a. Anmeldung, Rechte, Schutz vor Cross-Site-Request-Forgery) sind durch automatisierte Tests abgedeckt.
• Ein internes Verzeichnis der Verarbeitungen mit Speicherfristen wird bei Änderungen fortgeschrieben.

5. Auftragskontrolle, Datenschutz durch Voreinstellungen und Löschung

• Weisungen erteilt der Auftraggeber über die Funktionen von Daysi (§ 4); Unterauftragsverarbeiter werden nur nach Anlage 3 und § 7 eingesetzt.
• Kein Tracking, keine Analyse-Tools, keine Werbung; Inhalte der Tools werden nicht für andere Zwecke genutzt.
• Automatische Löschfristen: Sitzungen nach Ablauf, Sicherheits-Log und KI-Connector-Protokoll nach 90 Tagen, Zugriffsprotokolle nach 7 Tagen, Sicherungen nach 14 Tagen, Umfragen 90 Tage nach ihrem Ende, Konto und Tool-Daten 30 Tage nach dem Ende des Zugangs (§ 11).

Anlage 3 – Unterauftragsverarbeiter

Nicht als Unterauftragsverarbeiter gilt der Anbieter eines KI-Assistenten, den der Auftraggeber selbst über den KI-Connector verbindet (§ 3 Abs. 4). Änderungen dieser Liste kündigt der Auftragnehmer mindestens vier Wochen vorher per E-Mail an; der Auftraggeber kann widersprechen (§ 7 Abs. 2).

Version 1.0 vom 01.10.2026