Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO, Anlage zu den AGB. Fassung 2026-11, gültig ab 08.11.2026.

Dieser Vertrag gilt automatisch mit jedem Vertrag über SecretBoost, auch im Free-Tarif; du musst nichts unterschreiben. Zum Ablegen kannst du diese Seite über die Druckfunktion deines Browsers als PDF speichern.

1. Parteien und Geltung

1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) gilt zwischen dem Kunden von SecretBoost als Verantwortlichem und der START PROJECT MANAGEMENT EST., Boulevard Plaza Tower 2, Dubai, Vereinigte Arabische Emirate, Handelslizenz Nr. 1363340 des Dubai Department of Economic Development, als Auftragsverarbeiter („wir“).

1.2 Der AVV ist Anlage und Bestandteil der AGB („Hauptvertrag“). Er gilt ab Abschluss des Hauptvertrags und endet mit ihm; Pflichten, die über das Vertragsende hinaus wirken (insbesondere Punkt 10), bestehen fort. Bei Widersprüchen zwischen AGB und AVV geht zum Datenschutz der AVV vor.

1.3 Ist der Kunde selbst Auftragsverarbeiter eines Dritten, sind wir sein weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass seine Weisungen mit denen seines Verantwortlichen übereinstimmen.

2. Gegenstand, Art, Zweck und Dauer

2.1 Gegenstand: Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, soweit wir SecretBoost für ihn bereitstellen, insbesondere:

• Speicherung der im Browser des Kunden verschlüsselten Inhalte seiner Secrets und deren Auslieferung an die Personen, die einen Link des Kunden abrufen,
• Speicherung der Bezeichnungen, die der Kunde seinen Secrets gibt, und des Abrufstatus,
• bei Pro auf Wunsch die Benachrichtigung des Kunden per E-Mail, wenn ein Secret abgerufen wurde.

2.2 Art der Verarbeitung: Speichern, Bereitstellen zum Abruf, Anzeigen und Löschen. Den Inhalt der Secrets können wir nicht entschlüsseln, weil der Schlüssel nur im Link des Kunden steht und unseren Server nicht erreicht.

2.3 Zweck: Bereitstellung der Funktionen des Hauptvertrags, insbesondere das sichere Teilen von Secrets über selbstzerstörende Links.

2.4 Arten von Daten:

• Inhalte der Secrets in verschlüsselter Form, zum Beispiel Zugangsdaten, Passwörter und API-Schlüssel, soweit sie sich auf Personen beziehen,
• Bezeichnungen der Secrets, soweit der Kunde darin personenbezogene Angaben einträgt,
• Abrufstatus (Zahl und Zeitpunkt der Abrufe).

2.5 Betroffene Personen: Personen, deren Daten der Kunde in Secrets oder deren Bezeichnungen einträgt (zum Beispiel Inhaber von Zugängen), und Empfänger der Links des Kunden.

2.6 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nur, wenn der Kunde sie selbst in Secrets einträgt. Wir können das nicht erkennen.

2.7 Nicht Gegenstand dieses AVV sind die Daten, die wir als eigener Verantwortlicher verarbeiten: Konto-, Vertrags- und Zahlungsdaten des Kunden, Anmeldung, das Abruf-Protokoll mit Prüfsumme der IP-Adresse, Zähler gegen massenhafte Anfragen und sonstige Sicherheitsmaßnahmen (siehe Datenschutzerklärung).

3. Weisungen

3.1 Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, das Recht der EU oder eines EU-Mitgliedstaats verpflichtet uns zu einer Verarbeitung; dann teilen wir das dem Kunden vorher mit, soweit das Recht es nicht verbietet.

3.2 Die Weisungen des Kunden sind abschließend festgelegt im Hauptvertrag, in diesem AVV und in den Einstellungen, die der Kunde beim Erstellen eines Secrets oder im Dashboard trifft (zum Beispiel Ablauf, Ansichts-Limit, Passphrase, Benachrichtigung, Vernichten). Weitere Weisungen erteilt der Kunde in Textform an office@startdxb.ae. Weisungen, die über den Leistungsumfang hinausgehen, behandeln wir als Änderungswunsch.

3.3 Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich und dürfen die Umsetzung aussetzen, bis der Kunde sie bestätigt oder ändert.

3.4 Löschfristen: Den verschlüsselten Inhalt eines Secrets löschen wir sofort, wenn es verbraucht, abgelaufen oder vernichtet ist. Die übrigen Angaben zum Secret löschen wir 90 Tage nach seiner Erstellung.

4. Pflichten des Kunden

4.1 Der Kunde ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist, insbesondere dass er die Daten weitergeben darf, für die Rechtsgrundlage und die Information der betroffenen Personen.

4.2 Der Kunde gibt Links nur über sichere Wege und nur an berechtigte Empfänger weiter und trägt keine Inhalte in die unverschlüsselte Bezeichnung ein.

4.3 Der Kunde informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Vertraulichkeit

Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO, § 6 DSG). Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit.

6. Sicherheit der Verarbeitung

6.1 Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

6.2 Wir dürfen die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir.

7. Unterauftragsverarbeiter

7.1 Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten stehen in Anlage 2 und gelten als genehmigt.

7.2 Einen neuen oder geänderten Unterauftragsverarbeiter teilen wir dem Kunden mindestens 30 Tage vorher per E-Mail mit. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann der Kunde den Hauptvertrag zum Einsatz des neuen Unterauftragsverarbeiters kostenlos kündigen; bereits bezahlte Beträge für die Zeit danach erstatten wir anteilig (bei Pro Lifetime nach Punkt 7.3 der AGB). In Notfällen (zum Beispiel Ausfall eines Anbieters) dürfen wir sofort wechseln und informieren unverzüglich; das Widerspruchsrecht gilt dann ab der Information.

7.3 Wir verpflichten jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem AVV, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Wir haften gegenüber dem Kunden für seine Einhaltung.

7.4 Keine Unterauftragsverarbeitung sind Leistungen, die wir als Nebenleistung in Anspruch nehmen, etwa Telekommunikation oder Zertifikate (Let's Encrypt).

8. Drittländer

Daten übermitteln wir oder unsere Unterauftragsverarbeiter nur in Länder außerhalb der EU und des EWR, wenn die Voraussetzungen der Art. 44 ff. DSGVO vorliegen, zum Beispiel ein Angemessenheitsbeschluss (etwa EU-US Data Privacy Framework) oder Standardvertragsklauseln. Anlage 2 nennt die Grundlage je Unterauftragsverarbeiter.

9. Unterstützung des Kunden

9.1 Betroffenenrechte: Der Kunde sieht seine Secrets mit Bezeichnung und Status im Dashboard und kann sie dort jederzeit vernichten. Den Inhalt kann nur er mit dem Link entschlüsseln; Auskunft über den Inhalt erteilt daher der Kunde. Wendet sich eine betroffene Person an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und antworten nicht selbst, außer der Kunde weist uns an. Soweit der Kunde eine Anfrage nicht selbst beantworten kann, unterstützen wir ihn.

9.2 Verletzungen des Schutzes: Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, die Daten des Kunden betrifft, informieren wir ihn unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen. Weitere Angaben reichen wir nach.

9.3 Weitere Pflichten: Wir unterstützen den Kunden bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) mit den Informationen, die uns vorliegen.

9.4 Für Unterstützung, die über die Selbstbedienung im Dashboard und über gesetzliche Pflichten aus unserem Verantwortungsbereich hinausgeht, können wir von Unternehmern eine angemessene Vergütung nach Aufwand verlangen, wenn wir sie vorher ankündigen. Die Unterstützung selbst machen wir nicht von der vorherigen Zahlung abhängig.

9.5 Behörden und Dritte: Über Kontrollen und Maßnahmen einer Aufsichtsbehörde, die diesen AVV betreffen, informieren wir den Kunden unverzüglich, soweit das zulässig ist. Werden die Daten bei uns durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informieren wir den Kunden ebenfalls unverzüglich und weisen die Dritten darauf hin, dass der Kunde Verantwortlicher der Daten ist.

9.6 Ansprechpartner: Einen Datenschutzbeauftragten müssen wir nicht bestellen. Ansprechpartner für Datenschutz und diesen AVV ist die Geschäftsführung, erreichbar unter office@startdxb.ae.

10. Löschung und Rückgabe

10.1 Der Kunde kann seine Secrets jederzeit vernichten. Eine Rückgabe der Inhalte ist nicht möglich, weil wir sie nicht entschlüsseln können.

10.2 Nach Ende des Hauptvertrags löschen wir die im Auftrag verarbeiteten Daten. Wird das Konto gelöscht, löschen wir alle Secrets des Kontos. Wechselt ein Konto nur in den Free-Tarif, besteht der Hauptvertrag fort.

10.3 In unseren verschlüsselten Datensicherungen sind gelöschte Daten noch bis zum Ablauf der Sicherungen enthalten (siehe Datenschutzerklärung, Abschnitt 15). Sie werden bis dahin nicht weiter verarbeitet und nur im Fall einer Wiederherstellung genutzt; danach löschen wir sie erneut.

10.4 Eine Pflicht zur Speicherung nach EU- oder österreichischem Recht bleibt unberührt.

11. Nachweise und Kontrollen

11.1 Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV nötig sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und die Verträge mit Unterauftragsverarbeitern in ihren datenschutzrelevanten Teilen.

11.2 Reicht das nicht aus, kann der Kunde eine Überprüfung (auch vor Ort) durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht in Wettbewerb zu uns steht. Er kündigt sie mindestens 30 Tage vorher an; sie findet während unserer Geschäftszeiten und ohne Störung des Betriebs statt, in der Regel höchstens einmal im Jahr, außer nach einer Verletzung des Schutzes personenbezogener Daten. Unternehmer tragen ihre eigenen Kosten und unseren angemessenen Aufwand.

12. Haftung und Schlussbestimmungen

12.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

12.2 Änderungen dieses AVV erfolgen nach Punkt 18.3 der AGB, bei neuen Unterauftragsverarbeitern nach Punkt 7.2 dieses AVV.

12.3 Es gelten österreichisches Recht und die Regeln der AGB zu Rechtswahl und Gerichtsstand.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zero-Knowledge: Der Inhalt jedes Secrets wird im Browser des Kunden mit AES-256-GCM und einem 32 Byte langen Zufallsschlüssel verschlüsselt. Der Schlüssel steht im Fragment des Links (hinter „#“) und wird nicht an den Server übertragen. Mit Passphrase wird der Schlüssel im Browser per HKDF-SHA256 aus Fragment-Schlüssel und Passphrase abgeleitet; die Passphrase erreicht den Server nie. Der Server speichert nur verschlüsselte Daten.
• Zutritt: Die Server stehen in einem Rechenzentrum unseres Hosting-Anbieters Hostinger in Frankfurt am Main, Deutschland. Den physischen Zutritt regelt der Hosting-Anbieter als Unterauftragsverarbeiter (Anlage 2); wir selbst haben keinen physischen Zugang zu den Servern.
• Zugang zu den Servern: nur per SSH mit Schlüssel; Zugang nur für die Geschäftsführung und beauftragte Administratoren.
• Zugang zur Anwendung: Anmeldung ohne Passwort mit Einmalcode per E-Mail (10 Minuten gültig, nur als Hash gespeichert, begrenzte Zahl an Versuchen und Anforderungen); Sitzungs-Cookie signiert (HMAC-SHA256) und HttpOnly.
• Zugriff: Kennungen der Secrets mit 128 Bit Zufall, nicht erratbar; Abfragen der Anwendung nur auf die Daten des angemeldeten Kontos beschränkt; eigene Datenbankrolle der Anwendung ohne Eigentümerrechte.
• Datensparsamkeit: Abrufe nur mit Prüfsumme der IP-Adresse (Hash mit geheimem Zusatzwert); keine Analyse- oder Tracking-Dienste; E-Mail-Adressen und Anmeldecodes nicht vollständig in den Protokollen der Anwendung.

Integrität

• Weitergabe: Übertragung ausschließlich verschlüsselt (HTTPS/TLS); AES-GCM erkennt Veränderungen am verschlüsselten Inhalt; Datensicherungen vor dem Hochladen mit AES-256 verschlüsselt.
• Abruf: Der Aufruf eines Links zeigt zuerst eine Schutzseite ohne Schreibzugriff auf die Datenbank; erst die Bestätigung durch die abrufende Person verbraucht das Secret in einem einzigen, atomaren Datenbankvorgang. Beim letzten erlaubten Abruf wird der verschlüsselte Inhalt im selben Vorgang gelöscht.
• Prüfung von Anfragen: Prüfung der Herkunft schreibender Anfragen gegen Cross-Site-Request-Forgery.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung der Datenbank, vor dem Hochladen mit AES-256 verschlüsselt (der Schlüssel liegt nicht beim Speicheranbieter), auf dem Server (14 Tage) und extern über Google Workspace (Google Drive, tägliche Sicherungen 30 Tage); Skript zur Wiederherstellung.
• Begrenzung von Anfragen gegen Überlastung und Missbrauch; harte Obergrenze für die Größe eines Secrets.

Überprüfung und Löschung

• Automatische Löschfristen durch einen regelmäßigen Bereinigungslauf (Datenschutzerklärung, Abschnitt 15).
• Automatisierte Tests, unter anderem zur Verschlüsselung.
• Verpflichtung der Beschäftigten auf Vertraulichkeit.

Anlage 2: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Grundlage Drittland
Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern	Server: Datenbank und Anwendung	Rechenzentrum Frankfurt am Main, Deutschland	nicht nötig (EU)
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace, Google Drive; Cloud-Datenverarbeitungszusatz)	Speicherung verschlüsselter Datensicherungen (vor dem Hochladen mit AES-256 verschlüsselt, der Schlüssel liegt nicht bei Google; Google kann den Inhalt nicht lesen)	EU und USA	EU-US Data Privacy Framework (Google LLC), zusätzlich Standardvertragsklauseln
easyname GmbH, Canettistraße 5/10, 1100 Wien, Österreich	Versand der Benachrichtigungen beim Abruf über SMTP (mit der Bezeichnung des Secrets, nie mit dem Inhalt)	Österreich	nicht nötig (EU)

Fassung 2026-11, gültig ab 08.11.2026.