SendVeilZurück zu SendVeil

AUFTRAGSVERARBEITUNGSVERTRAG · VERSION 1 · 8. OKTOBER 2026

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Dieser Vertrag ist auf Englisch (verbindlich) und Deutsch verfügbar.

Dieser Vertrag gilt, wenn der Kunde personenbezogene Daten anderer Personen über SendVeil verarbeitet. Er wird zusammen mit den SendVeil-Nutzungsbedingungen angenommen und erfordert keine gesonderte Unterschrift. Der englische Text ist verbindlich; Übersetzungen dienen der Information.

1. Parteien

2. Gegenstand und Art

Der Auftragsverarbeiter hostet und übermittelt die Dateien, Übertragungsmetadaten (Titel, Dateinamen, Ablauf, Download-Ereignisse), Markenressourcen, Einreichungen über Dateianfragen und Arbeitsbereich-Nutzerdaten (E-Mail, Rolle, Sitzungen, Audit-Ereignisse), die der Verantwortliche in seinem SendVeil-Arbeitsbereich bereitstellt. Vorgänge: Empfang fortsetzbarer Uploads, Speicherung der Originalbytes, Bereitstellung über signierte Links, optionale E-Mail-Benachrichtigung, Ablauf, endgültige Löschung und Export. Zweck: Bereitstellung des SendVeil-Dienstes für den Verantwortlichen. Kategorien betroffener Personen: Mitglieder des Arbeitsbereichs, Empfänger und hochladende Personen des Verantwortlichen. Datenkategorien: vom Verantwortlichen zum Upload ausgewählte Daten (können besondere Kategorien umfassen; der Verantwortliche ist für seine Rechtsgrundlage verantwortlich).

3. Dauer

Solange der Arbeitsbereich besteht. Übertragungen folgen dem vom Verantwortlichen gewählten Ablauf (ab 1 Tag bis zum Tarifhöchstwert von 7–365 Tagen; kein fester Ablauf mit dem Infinity-Zusatz, 30 Tage Nachlauf nach dessen Ende). Audit-Ereignisse werden nach 365 Tagen gelöscht. Ein Arbeitsbereich ohne aktives kostenpflichtiges Abonnement wird nach 180 Tagen ohne Kontoaktivität gelöscht. Der Vertrag endet mit der Löschung des Arbeitsbereichs.

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)

  1. Verarbeitet nur auf dokumentierte Weisungen des Verantwortlichen (die Nutzung des Produkts und seiner Einstellungen bildet die Weisungen); informiert den Verantwortlichen, wenn eine Weisung rechtswidrig erscheint.
  2. Personen mit Zugang sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter ist derzeit die einzige Person mit administrativem Zugang.
  3. Setzt die Maßnahmen in Abschnitt 5 um.
  4. Unterauftragsverarbeiter nur gemäß Abschnitt 6; der Verantwortliche wird über Änderungen informiert.
  5. Unterstützt bei Anfragen betroffener Personen (Export und Löschung durch den Inhaber in der Einstellungs-App; sonstige Anfragen über privacy@sendveil.link) und bei den Pflichten aus Art. 32–36.
  6. Benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat.
  7. Stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Prüfungen nach vorheriger Ankündigung, vorzugsweise zunächst anhand von Dokumentation.

5. Technische und organisatorische Maßnahmen (wie umgesetzt)

Die Verschlüsselung ruhender Daten wird von den Speicheranbietern bereitgestellt; stärkere Zusagen (z. B. kundenseitig verwaltete Schlüssel) werden hier nicht gemacht.

6. Unterauftragsverarbeiter

Cloudflare, Inc. ist der einzige Unterauftragsverarbeiter für Arbeitsbereichsinhalte: Workers, R2 und Durable Objects mit EU-Jurisdiktion, ausgehende E-Mails und Turnstile. Die Speicherung erfolgt in der EU; Netzwerk- und Betriebsdaten können außerhalb der EU gemäß den eigenen Datenverarbeitungsbedingungen von Cloudflare verarbeitet werden.

Stripe (Managed Payments) verarbeitet Zahlungs-, Abrechnungs- und Steuerdaten als eigenständiger Verantwortlicher, nicht als Unterauftragsverarbeiter.

Support-Korrespondenz an hello@sendveil.link oder privacy@sendveil.link, einschließlich ihrer Kopie in Google Gmail und optionaler KI-Antwortvorschläge über Mistral AI, gehört nicht zu den Arbeitsbereichsinhalten und wird beschrieben in der Datenschutzerklärung.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail oder im Produkt über beabsichtigte Ergänzungen; der Verantwortliche kann widersprechen oder den Arbeitsbereich schließen.

7. Internationale Übermittlungen

Kundeninhalte bleiben in der EU-Speicherkonfiguration. Soweit Cloudflare Betriebsdaten außerhalb der EU verarbeitet, gelten die eigenen Datenverarbeitungsbedingungen von Cloudflare.

8. Löschung und Rückgabe bei Kontoschließung

Bei Kontolöschung durch den Inhaber oder automatischer Löschung nach Inaktivität entfernt der Auftragsverarbeiter das Arbeitsbereichsregister, alle Dateiobjekte in R2, Sitzungen, Branding, Mitgliedschaften, Anwendungsdatenbanktabellen und den Durable-Object-Speicher einschließlich Alarmen; öffentliche und Gastlinks liefern ab Beginn der Löschung „nicht gefunden“ zurück. Vor der Löschung kann der Inhaber Kontometadaten exportieren; der Verantwortliche ist dafür zuständig, seine Dateien vorher herunterzuladen. Bei Cloudflare (Mailzustellungs- oder Unterdrückungsprotokolle) oder Stripe (Zahlungs- und Steuerunterlagen) gespeicherte Aufzeichnungen, Kopien der Support-Korrespondenz und gesetzlich vom Auftragsverarbeiter aufzubewahrende Aufzeichnungen unterliegen eigenen Aufbewahrungsfristen und werden durch die Kontolöschung nicht entfernt.

9. Haftung und anwendbares Recht

Die Haftung richtet sich nach den SendVeil-Nutzungsbedingungen; dieser Vertrag fügt keine gesonderte Haftungsobergrenze hinzu, und Art. 82 DSGVO bleibt unberührt. Es gilt österreichisches Recht unter Ausschluss seiner Kollisionsnormen. Die für Graz zuständigen Gerichte sind zuständig, sofern zwingendes Recht nichts anderes vorsieht.