Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 14. Oktober 2026

zwischen dem Kunden als Verantwortlichem – nachfolgend Kunde – und Michael Widmann, handelnd unter Marginwerk, Aidenbachstraße 115, 81379 München, Deutschland, als Auftragsverarbeiter – nachfolgend Marginwerk.

1. Gegenstand und Rangfolge

(1) Diese Vereinbarung gilt, soweit Marginwerk bei Bereitstellung der Marginwerk-Anwendung personenbezogene Daten im Auftrag des Kunden verarbeitet. Sie konkretisiert die datenschutzrechtlichen Pflichten aus dem Marginwerk-Vertrag und ist dessen Bestandteil.

(2) Im Konfliktfall geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung den AGB vor. Zwingendes Datenschutzrecht bleibt unberührt.

(3) Marginwerk verarbeitet eigene Konto-, Vertrags-, Sicherheits-, Abrechnungs- und Zahlungsdaten als Verantwortlicher. Solche Verarbeitungen fallen nicht unter diese Vereinbarung und werden in der Datenschutzerklärung erläutert.

2. Dauer, Art und Zweck der Verarbeitung

(1) Die Auftragsverarbeitung beginnt mit der Nutzung des Workspace und dauert bis zur vollständigen Rückgabe oder kontrollierten Löschung der auftragsverarbeiteten Daten. Nach dem Ende des bezahlten Zugangs gilt die vereinbarte 30-tägige, zugriffsgesperrte Aufbewahrung ausschließlich für eine bezahlte Reaktivierung. Sicherungskopien laufen anschließend innerhalb der dokumentierten Rotation aus, soweit keine gesetzliche Pflicht entgegensteht.

(2) Gegenstand sind Speicherung, Organisation, Berechnung, Änderung, Abruf, Anzeige, Export, Sicherung, Wiederherstellung, Einschränkung und kontrollierte Löschung der vom Kunden bestimmten Workspace-Daten. Die Verarbeitung dient ausschließlich der Bereitstellung, Sicherung, Wartung und Wiederherstellung der vereinbarten Anwendung.

(3) Eine Nutzung kundenbestimmter Daten zu Werbung, Profilbildung oder zum Training allgemeiner Modelle ist nicht gestattet.

3. Datenarten und betroffene Personen

(1) Abhängig von den Eingaben des Kunden können insbesondere folgende Datenarten verarbeitet werden:

Stamm- und Kontaktdaten von Beschäftigten, Vertretern, Lieferanten und sonstigen Geschäftskontakten;
geschäftliche Artikel-, Lieferanten-, Rezeptur-, Menü-, Verkaufs-, Kalkulations-, Historien- und Exportdaten;
Nutzerkennungen, Rollen, Änderungs- und Sicherheitsprotokolle;
private Dokument- und Exportobjekte, soweit der Kunde sie in freigegebenen Funktionen verarbeitet.

(2) Betroffene Personen können insbesondere Beschäftigte und Vertreter des Kunden, Lieferanten, Ansprechpartner und sonstige Personen sein, deren Daten der Kunde rechtmäßig in seinem Workspace verarbeitet.

(3) Der Dienst ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten ausgelegt. Eine solche Verarbeitung bedarf vorab einer gesonderten dokumentierten Vereinbarung und geeigneter zusätzlicher Schutzmaßnahmen.

4. Weisungen des Kunden

(1) Marginwerk verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verarbeitungspflicht besteht. Die erstmalige Weisung ergibt sich aus Vertrag, AGB, dieser Vereinbarung und der bestimmungsgemäßen Nutzung der Anwendung.

(2) Zusätzliche Weisungen übermittelt ein verifizierter Workspace Owner an kontakt@marginwerk.de. Marginwerk dokumentiert Weisungen und weist den Kunden unverzüglich darauf hin, wenn eine Weisung nach Auffassung von Marginwerk gegen Datenschutzrecht verstößt. Die Ausführung darf bis zur Klärung ausgesetzt werden.

(3) Weisungen, die den vereinbarten Leistungsumfang überschreiten, können nur nach gesonderter Vereinbarung und gegen angemessenen Aufwand ausgeführt werden.

5. Pflichten von Marginwerk

Marginwerk verpflichtet sich insbesondere,

Daten nur im vereinbarten Umfang und nur durch befugte, auf Vertraulichkeit verpflichtete Personen zu verarbeiten;
angemessene technische und organisatorische Maßnahmen aufrechtzuerhalten;
den Kunden unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden angemessen zu unterstützen;
datenschutzrechtlich relevante Sicherheitsverletzungen ohne unangemessene Verzögerung mit den verfügbaren Pflichtangaben mitzuteilen;
die Einhaltung dieser Vereinbarung nachzuweisen und angemessene Prüfungen zu ermöglichen;
personenbezogene Daten nach Ende der Verarbeitung nach Wahl des Kunden zurückzugeben oder kontrolliert zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

6. Pflichten des Kunden

Der Kunde bleibt für Rechtmäßigkeit, Transparenz, Richtigkeit und Zweckbestimmung seiner Datenverarbeitung verantwortlich. Er stellt insbesondere sicher, dass erforderliche Rechtsgrundlagen und Informationen bestehen, Nutzer nur erforderliche Berechtigungen erhalten, Daten nicht unbefugt in den Dienst eingestellt werden und Weisungen rechtmäßig sind.

7. Technische und organisatorische Maßnahmen

Marginwerk setzt dem Risiko angemessene Maßnahmen ein. Dazu gehören insbesondere:

TLS-geschützte Übertragung und strikt serverseitige Verarbeitung von Zugangsdaten und Zahlungsgeheimnissen;
passwortbasierte Anmeldung mit gehashten Passwörtern, verifizierten E-Mail-Adressen, geschützten Sitzungs-Cookies, CSRF-Schutz und begrenzten Anmelde- und Registrierungsversuchen;
Workspace-Isolation durch serverseitige Berechtigungsprüfung und PostgreSQL-Zugriffsgrenzen;
getrennte, gering privilegierte Anwendungs-, Worker-, Queue-, Migrations- und Leseberechtigungen;
privater Objektspeicher mit kurzlebigen signierten Downloads;
strukturierte, datenarme Fehler- und Sicherheitsprotokolle ohne absichtliche Übermittlung von Passwörtern, Token oder Dokumentinhalten;
verschlüsselte, zusammengehörige PostgreSQL- und Privatobjekt-Sicherungen mit 14 täglichen, 8 wöchentlichen und 12 monatlichen Wiederherstellungspunkten sowie geprüften Wiederherstellungsverfahren;
kontrollierte, nachvollziehbare Migrationen, Änderungen, Löschungen und Wiederherstellungen;
regelmäßige Abhängigkeits-, Qualitäts-, Sicherheits- und Zugriffstests vor Releases.

Marginwerk darf diese Maßnahmen dem technischen Fortschritt entsprechend ändern, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, die in der jeweils vereinbarten Liste genannten Unterauftragsverarbeiter einzusetzen. Bei Annahme dieser Vereinbarung gilt die Liste in Version unterauftragsverarbeiter-de-2026-10-1.

(2) Marginwerk verpflichtet Unterauftragsverarbeiter schriftlich mindestens zu gleichwertigen Datenschutzpflichten und bleibt dem Kunden gegenüber für die Erfüllung der Pflichten verantwortlich.

(3) Änderungen der Liste werden grundsätzlich mindestens 30 Tage vor ihrem Wirksamwerden an die verifizierte Owner-Adresse mitgeteilt. Ein sachlich begründeter Widerspruch ist innerhalb dieser Frist möglich. Die aktuelle Liste ist unter /unterauftragsverarbeiter abrufbar.

9. Drittlandübermittlungen

Marginwerk setzt für kundenbestimmte Workspace-Daten vorrangig deutsche beziehungsweise europäische Infrastruktur ein. Soweit ein genehmigter Unterauftragsverarbeiter Daten in einem Drittland verarbeitet oder von dort darauf zugreift, muss ein zulässiger Übermittlungsmechanismus bestehen, insbesondere ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder Standardvertragsklauseln der Europäischen Kommission mit erforderlichen ergänzenden Maßnahmen. Einzelheiten ergeben sich aus der Unterauftragsverarbeiterliste und der Datenschutzerklärung.

10. Betroffenenanfragen und Behörden

Marginwerk leitet Anfragen, die erkennbar kundenbestimmte Daten betreffen, unverzüglich an den Kunden weiter und antwortet ohne Weisung nur, soweit eine gesetzliche Pflicht besteht. Der Kunde bleibt für die inhaltliche Entscheidung und fristgerechte Antwort verantwortlich. Marginwerk unterstützt ihn im Rahmen der verfügbaren Produktfunktionen und mit angemessenem Zusatzaufwand.

11. Nachweise und Prüfungen

(1) Marginwerk stellt auf Anfrage geeignete Nachweise über die Schutzmaßnahmen und die eingesetzten Unterauftragsverarbeiter bereit.

(2) Der Kunde kann bei berechtigtem Anlass, sonst höchstens einmal jährlich, eine verhältnismäßige Prüfung ankündigen. Prüfungen erfolgen während üblicher Geschäftszeiten, unter Wahrung von Geheimnissen und Rechten anderer Kunden und grundsätzlich zuerst anhand vorhandener Dokumentation. Vor-Ort-Prüfungen bedürfen einer angemessenen Vorankündigung. Zusatzaufwand außerhalb gesetzlicher Pflichten kann dem Kunden angemessen berechnet werden.

12. Rückgabe und Löschung

(1) Während bezahlten Zugangs stehen die freigegebenen Exportfunktionen zur Verfügung. Nach bezahltem Zugangsende bestehen kein operativer Zugriff und kein Selbstbedienungs-Export; gesetzliche Rechte werden getrennt bearbeitet.

(2) Operative Workspace-Daten werden nach dem verifizierten Zugangsende 30 vollständige Tage ausschließlich zur bezahlten Reaktivierung gesperrt aufbewahrt. Danach sind sie für ein kontrolliertes Löschverfahren berechtigt. Eine automatische irreversible Löschung ist nicht aktiviert.

(3) Gesetzlich aufzubewahrende Vertrags-, Rechnungs-, Zahlungs-, Steuer- und Sicherheitsnachweise verarbeitet Marginwerk außerhalb dieser Auftragsverarbeitung in eigener Verantwortlichkeit. Sicherungskopien werden nicht als aktiver Produktionsbestand verwendet und laufen mit der dokumentierten Rotation aus.

13. Schlussbestimmungen

Änderungen dieser Vereinbarung bedürfen einer dokumentierten elektronischen oder schriftlichen Vereinbarung. Im Übrigen gelten der Marginwerk-Vertrag und deutsches Recht. Zwingende Rechte und Zuständigkeiten nach der DSGVO bleiben unberührt.

Anlage: genehmigte Unterauftragsverarbeiter

Die bei Annahme geltende vollständige Liste ist Bestandteil dieser Vereinbarung und wird unter /unterauftragsverarbeiter in der bezeichneten Version dauerhaft abrufbar gehalten.

Anlage — Unterauftragsverarbeiter

Unterauftragsverarbeiter für Marginwerk

Stand: 14. Oktober 2026

Diese Liste gilt für die Verarbeitung personenbezogener Daten, die Marginwerk als Auftragsverarbeiter für einen Kunden innerhalb des Marginwerk-Workspace verarbeitet. Zahlungsdaten, die Marginwerk und Stripe für eigene Vertrags-, Zahlungs-, Betrugspräventions- oder Rechtspflichten als jeweils Verantwortliche verarbeiten, fallen nicht allein deshalb unter diese Liste.

Hetzner Online GmbH

Anschrift: Industriestraße 25, 91710 Gunzenhausen, Deutschland
Leistung: Hosting der Anwendung, PostgreSQL-Datenbank, privater Objektspeicher sowie verschlüsselte Sicherungs- und Wiederherstellungsinfrastruktur
Verarbeitungsort: Deutschland; die eingesetzten Marginwerk-Ressourcen liegen in deutschen Hetzner-Regionen
Betroffene Daten: Workspace-, Dokument-, Konto-, Protokoll- und Sicherungsdaten, soweit sie personenbezogen sind
Drittlandübermittlung: für die von Marginwerk ausgewählten deutschen Ressourcen nicht vorgesehen

manitu GmbH

Anschrift: Welvertstraße 2, 66606 St. Wendel, Deutschland
Leistung: authentifizierter SMTP-Versand notwendiger Transaktions-E-Mails
Verarbeitungsort: Deutschland
Betroffene Daten: Empfängeradresse, technische Versanddaten sowie der erforderliche Inhalt der jeweiligen Transaktionsnachricht
Drittlandübermittlung: nicht vorgesehen

Functional Software, Inc. dba Sentry

Anschrift: 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
Leistung: technische Fehleranalyse und Sicherheitsdiagnose
Verarbeitungsort: deutsche beziehungsweise europäische Produktdatenregion; ein Zugriff aus den USA oder durch internationale Unterauftragsverarbeiter ist nicht vollständig ausgeschlossen
Betroffene Daten: freigegebene technische Fehler-, Release-, Service-, Zeit- und Korrelationsdaten; Passwörter, Authentifizierungs-Token und Workspace-Dokumentinhalte werden nicht absichtlich übermittelt
Drittlandgarantien: EU-US Data Privacy Framework; soweit dieses nicht anwendbar ist, Standardvertragsklauseln der Europäischen Kommission nach dem Sentry-DPA

Nicht als Unterauftragsverarbeiter dieser AVV-Liste eingeordnet

Stripe: Empfänger und Dienstleister für Registrierung, Zahlung, Rechnung und Abonnement. Stripe verarbeitet Daten abhängig vom Vorgang als Auftragsverarbeiter und als eigener beziehungsweise gemeinsamer Verantwortlicher. Die Einzelheiten stehen in der Datenschutzerklärung.
GoatCounter: ausschließlich datensparsame Reichweitenmessung auf der öffentlichen Website; keine Verarbeitung kundenbestimmter Workspace-Daten.
Mistral AI: Die frühere Dokument-OCR- und Extraktionsfunktion gehört nicht zum aktuellen Marginwerk-Angebot und ist technisch nicht aktiviert. Mistral erhält im aktuellen Dienst keine Workspace-Dokumente.

Änderungen

Marginwerk erteilt eine allgemeine Genehmigung für die vorstehend genannten Unterauftragsverarbeiter. Beabsichtigte Ergänzungen oder Ersetzungen werden dem Kunden grundsätzlich mindestens 30 Tage vor ihrem Wirksamwerden an die verifizierte Owner-Adresse mitgeteilt. Der Kunde kann aus sachlich begründeten Datenschutzgründen widersprechen. Ist keine zumutbare datenschutzkonforme Alternative möglich, können die Parteien die betroffene Verarbeitung oder den Vertrag nach den gesetzlichen und vertraglichen Regeln beenden.