Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftragsverarbeiterin

Mittu Klangfeld UG (haftungsbeschränkt)
Luxemburger Straße 308, 50937 Köln, Deutschland
Handelsregister Amtsgericht Köln, HRB 129013
Vertreten durch Amit Yadava (Geschäftsführer)
E-Mail: events@klangfeld.org

(nachfolgend „wir“ oder „Auftragsverarbeiterin“)

Verantwortlicher

Die Organisation, die KlangCity nutzt und in deren Namen ein kostenpflichtiges Paket gebucht wurde, vertreten durch die Person, die die Organisation angelegt oder das Paket gebucht hat.

(nachfolgend „du“ oder „Verantwortlicher“)

0. Wie dieser Vertrag zustande kommt

Dieser Vertrag ergänzt die AGB und wird Bestandteil des Nutzungsvertrags, sobald du für deine Organisation ein kostenpflichtiges Paket buchst oder KlangCity mit personenbezogenen Daten Dritter (z. B. Beschäftigten, Mitgliedern, Kundinnen und Kunden) nutzt. Er gilt in Textform gemäß Art. 28 Abs. 9 DSGVO; einer Unterschrift bedarf es nicht.

Brauchst du ein unterschriebenes Einzelexemplar oder dein eigenes Vertragsmuster, schreib an events@klangfeld.org, wir stellen es bereit.

Rollenverteilung. Für die Daten, die du in KlangCity verarbeitest, bist du der Verantwortliche: Du entscheidest, wer ein Konto bekommt, welche Inhalte entstehen und wie lange sie bleiben. Wir verarbeiten diese Daten ausschließlich für dich. Für unsere eigenen Kundendaten (Rechnungen, Vertragskorrespondenz, Zahlungsabwicklung) sind wir selbst Verantwortliche; dafür gilt unsere Datenschutzerklärung, nicht dieser Vertrag.

1. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist der Betrieb der Software KlangCity als von uns gehosteter Dienst (Software as a Service). Wir verarbeiten personenbezogene Daten ausschließlich, um dir die im Nutzungsvertrag vereinbarten Funktionen bereitzustellen. Dazu gehören:

Projekt- und Aufgabenverwaltung einschließlich Kommentaren, Checklisten und Verlaufseinträgen
Chat in Kanälen und Direktnachrichten, einschließlich Anhängen, Sprachnachrichten und Linkvorschauen (unser Server ruft dafür den Kopf einer verlinkten Seite ab)
Video- und Sprachanrufe sowie deren Transkription und Protokollierung
Videocalls mit externen Gästen ohne Konto, die du über einen persönlichen Link einlädst, einschließlich Einladung, Änderung und Absage per E-Mail
Kalender, Meetings, Umfragen und Präsentationen
Dateiablage (Drive), Lager und Unternehmenshandbuch
das E-Mail-Postfach für Kundenkorrespondenz, sofern du es einrichtest
Benachrichtigungen per Push und E-Mail
KI-gestützte Funktionen (Hinweise, Wochenberichte, Meeting-Protokolle und ihre Auswertung, Vorlesen und Sprachbefehl im Call, Fragen an Klangi, Einordnung neuer Aufgaben, Materialbedarf, Gliedern von Handbuch-Kapiteln auf Knopfdruck, Strategiebild auf Knopfdruck, Marktcheck auf Knopfdruck), soweit du sie nicht abschaltest
die Verbindung mit Claude (ab Paket Pro, nur wenn die Inhaberin oder der Inhaber sie einschaltet): Mitglieder können ihr eigenes Claude-Konto mit KlangCity verbinden; Claude liest und ändert dann in ihrem Namen Projekte, Gruppen, Aufgaben und Rückmeldungen, mit ihren Rechten in der App

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Wir werten deine Inhalte weder aus noch nutzen wir sie zum Training von KI-Modellen, und wir geben sie nicht zu Werbezwecken weiter. Für personenbezogene Signale gilt zusätzlich die Zweckbindung in Anlage 4.

2. Dauer

Der Vertrag beginnt mit der Bereitstellung des Dienstes und läuft, solange der Nutzungsvertrag besteht. Er endet mit dessen Beendigung. Ziffer 9 (Löschung und Rückgabe) gilt darüber hinaus.

3. Art der Daten und Kreis der Betroffenen

Kategorien betroffener Personen

deine Beschäftigten, Mitglieder, Ehrenamtlichen und Gäste, die ein KlangCity-Konto haben
Personen, die in Inhalten vorkommen, ohne selbst ein Konto zu haben (etwa als genannte Ansprechperson in einer Aufgabe)
deine Kundinnen, Kunden und sonstigen Korrespondenzpartner, wenn du das E-Mail-Postfach nutzt
deine Kundinnen und Kunden, deren Bestellungen du in die Lager-App übernimmst, über die Bestell-Schnittstelle (etwa aus einem Shop- oder Buchungsformular) oder aus dem E-Mail-Postfach
externe Gesprächspartner ohne Konto, die du zu einem Videocall einlädst

Kategorien personenbezogener Daten

Stammdaten: Name, E-Mail-Adresse, Rolle, Zugehörigkeit zu Organisation, Team und Expertisengruppen
Zugangsdaten: Passwort-Hash, Sitzungsmerkmale, Geräte-Kennung für Push-Benachrichtigungen
Inhaltsdaten: alles, was in der App entsteht: Aufgaben, Kommentare, Nachrichten, Dateien, Kalendereinträge, Notizen
Kommunikationsdaten: Chatverläufe, Sprachnachrichten, Anrufe, Transkripte, Meeting-Protokolle, E-Mails im Postfach
Nutzungsdaten: Zeitpunkte von Anmeldungen und Aktivitäten, gelesen/ungelesen, Anwesenheit im Anruf
Abrechnungsdaten: Paket, Anzahl der Plätze, Zahlungsstatus (die Zahlungsdaten selbst liegen bei Stripe, nicht bei uns)
Bestelldaten deiner Kundschaft: Produkt, Menge, Freitext der Bestellung, die von der Quelle mitgelieferten Kundenangaben (etwa Name, E-Mail-Adresse, Telefonnummer, Bestellnummer) und hochgeladene Motivbilder. Kundenangaben, Freitext und Motivbilder werden 90 Tage nach Erledigung der Bestellung automatisch gelöscht; Produkt, Menge und Bedarfspositionen bleiben als Nachweis des Materialverbrauchs
Gastdaten externer Gesprächspartner: Name, E-Mail-Adresse, Termin, Zeitpunkte von Einladung, Öffnen des Links, Warteraum, Einlass, Beitritt und Verlassen, Zustellstatus der Einladung (gelöscht 30 Tage nach Ende des Termins)

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Dienstes. KlangCity fragt sie nicht ab. Weil die Inhaltsfelder frei beschreibbar sind, kannst du sie technisch dennoch eintragen; dann bist du dafür verantwortlich, dass eine Rechtsgrundlage dafür besteht, und du sagst uns vorher Bescheid, damit wir prüfen können, ob unsere Maßnahmen dafür ausreichen.

4. Weisungsgebundenheit

Wir verarbeiten die Daten ausschließlich auf deine dokumentierte Weisung. Der Nutzungsvertrag, dieser Vertrag und die Funktionen, die du in der App auswählst, sind deine Weisung. Weitere Weisungen erteilst du in Textform an events@klangfeld.org.

Halten wir eine Weisung für rechtswidrig, sagen wir es dir und dürfen die Ausführung aussetzen, bis du sie bestätigst oder änderst. Sind wir aufgrund einer Rechtsvorschrift der EU oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informieren wir dich vorher darüber, sofern das Recht dies nicht verbietet.

Weisungen, die eine Änderung der Software erfordern, setzen wir nur um, soweit sie technisch möglich und zumutbar sind; über den Aufwand verständigen wir uns vorher.

Verbindung mit Claude. Schaltest du die Verbindung mit Claude ein, weist du uns an, Inhalte an das Claude-Konto der jeweils verbundenen Person zu übermitteln, sobald diese Person es in Claude anfordert, und Änderungen aus Claude zu übernehmen. Übermittelt wird nur, was die Person auch in der App sehen darf. Für die Verarbeitung bei Anthropic, dem Anbieter von Claude, gilt der Vertrag zwischen dir bzw. der Person und Anthropic; Anthropic ist dabei nicht unser Unterauftragsverarbeiter. Du kannst die Verbindung jederzeit ausschalten (Apps → Automationen); alle bestehenden Verbindungen enden dann sofort.

5. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf deine Daten haben können, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet. Die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus.

Der Betrieb erfolgt derzeit ausschließlich durch den Geschäftsführer. Kommen weitere Personen hinzu, gilt dasselbe für sie, bevor sie Zugriff erhalten.

Zugriff auf Inhalte nehmen wir nur, soweit es für Betrieb, Fehlersuche oder eine von dir angefragte Unterstützung erforderlich ist.

6. Unterauftragsverarbeiter

6.1 Du erteilst uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Stand dieses Vertrages eingesetzten Unternehmen sind in Anlage 3 abschließend aufgeführt.

6.2 Wir schließen mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Pflichten auferlegt, die uns dieser Vertrag auferlegt. Findet eine Übermittlung in ein Drittland statt, geschieht das nur auf einer der in Art. 44 ff. DSGVO vorgesehenen Grundlagen; welche das im Einzelfall ist, steht in Anlage 3.

6.3 Wollen wir einen Unterauftragsverarbeiter hinzufügen oder austauschen, informieren wir dich mindestens vier Wochen vorher per E-Mail an die im Konto hinterlegte Adresse. Du kannst innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Können wir den Widerspruch nicht ausräumen, darfst du den Nutzungsvertrag zum geplanten Wechseldatum außerordentlich kündigen; wir erstatten dir im Voraus gezahlte Entgelte anteilig.

6.4 Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten reine Nebenleistungen ohne bestimmungsgemäßen Zugriff auf Inhalte, etwa Telekommunikationsleistungen oder Wartung von Hardware.

6.5 Änderungen an der KI-Verarbeitung. Ändern wir, welche Inhalte an einen KI-Anbieter übermittelt werden, oder setzen wir einen weiteren KI-Anbieter ein, informieren wir dich mindestens 30 Tage vorher per E-Mail an die im Konto hinterlegte Adresse. Ziffer 6.3 Satz 2 und 3 gelten entsprechend. Unabhängig davon kannst du alle KI-Funktionen jederzeit selbst abschalten.

7. Unterstützung des Verantwortlichen

7.1 Betroffenenrechte. Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Lösch- oder sonstigen Antrag direkt an uns, leiten wir ihn unverzüglich an dich weiter und beantworten ihn nicht selbst. Wir unterstützen dich bei der Erfüllung mit geeigneten technischen Mitteln, soweit dir das nicht ohnehin in der App möglich ist.

Die App enthält dafür bereits: den Export der eigenen Daten als Datei (JSON, Einstellungen → Sicherheit), die Änderung der Stammdaten, die Löschung des eigenen Kontos und die Löschung einzelner Inhalte.

7.2 Sicherheit, Meldungen, Folgenabschätzung. Wir unterstützen dich bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde, bei Benachrichtigungen betroffener Personen und bei einer Datenschutz-Folgenabschätzung. Anlage 2 ist dafür die Beschreibung unserer Maßnahmen.

7.3 Verletzungen des Schutzes personenbezogener Daten. Werden uns Verletzungen bekannt, die deine Daten betreffen, informieren wir dich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis in Textform. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Datensätze, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reichen wir nach. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dir.

8. Nachweise und Kontrollen

8.1 Wir weisen dir auf Anfrage die Einhaltung der Pflichten aus diesem Vertrag nach, in der Regel durch Auskunft in Textform und durch die jeweils aktuelle Fassung der Anlage 2.

8.2 Du darfst dich im erforderlichen Umfang von der Einhaltung überzeugen: nach Terminabsprache, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich, es sei denn, es gibt einen konkreten Anlass. Prüfungen durch von dir beauftragte Dritte setzen voraus, dass diese nicht mit uns im Wettbewerb stehen und zur Verschwiegenheit verpflichtet sind.

8.3 Nachweise unserer Unterauftragsverarbeiter (etwa deren Zertifizierungen oder Prüfberichte) legen wir vor, soweit sie uns vorliegen und wir sie weitergeben dürfen.

9. Löschung und Rückgabe nach Vertragsende

9.1 Nach Beendigung des Nutzungsvertrags löschen wir alle für dich verarbeiteten personenbezogenen Daten oder geben sie dir zurück, nach deiner Wahl, die du bis zum Ende des Vertrags mitteilst.

9.2 Ohne abweichende Mitteilung gilt: Wir halten die Daten 30 Tage nach Vertragsende zum Export bereit und löschen sie danach aus dem laufenden Betrieb.

9.3 Sicherungen. Aus technischen Sicherungskopien werden Daten nicht einzeln entfernt; das würde die Sicherung als Ganzes entwerten. Sie verschwinden dort automatisch mit dem Ablauf der Aufbewahrung. Die längste Frist beträgt 90 Tage (Anlage 2, Ziffer 4). Bis dahin bleiben die Sicherungen den in Anlage 2 beschriebenen Schutzmaßnahmen unterworfen und werden ausschließlich zur Wiederherstellung verwendet.

9.4 Gesetzliche Aufbewahrungspflichten bleiben unberührt. Sie betreffen nicht deine Inhalte, sondern unsere eigenen Handels- und Steuerunterlagen (Rechnungen, Vertragsdaten).

10. Haftung

Es gelten die Haftungsregeln des Nutzungsvertrags. Art. 82 DSGVO bleibt unberührt.

11. Schlussbestimmungen

11.1 Änderungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.

11.2 Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag oder den AGB geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten in deinem Auftrag geht.

11.3 Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung tritt, was ihrem wirtschaftlichen Zweck am nächsten kommt.

11.4 Es gilt deutsches Recht. Gerichtsstand ist Köln, soweit du Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen bist.

Anlage 1: Übersicht der Verarbeitungen

Verarbeitung	Zweck	Datenkategorien
Konto und Anmeldung	Zugang, Rollen, Sicherheit	Stammdaten, Zugangsdaten, Anmeldezeitpunkte
Projekte, Aufgaben, Kanban	Zusammenarbeit	Inhaltsdaten, Zuordnung zu Personen
Chat und Direktnachrichten	Kommunikation im Team	Kommunikationsdaten, Anhänge, Linkvorschauen verlinkter Seiten
Anrufe und Meetings	Besprechungen, Protokolle	Kommunikationsdaten, Transkripte, Teilnahme
Drive, Lager, Handbuch	Dateiablage und Wissen	Inhaltsdaten, Dateien, Metadaten
Lager-Bestellungen	Materialbedarf aus Kundenbestellungen	Bestelldaten und Motivbilder Dritter
E-Mail-Postfach	Kundenkorrespondenz	Kommunikationsdaten Dritter
Benachrichtigungen	Hinweise auf Ereignisse	Stammdaten, Geräte-Kennung
KI-Funktionen	Protokolle, Berichte, Vorschläge	die jeweils übergebenen Inhalte
Abrechnung	Vertragserfüllung	Abrechnungsdaten

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den Stand zum oben genannten Datum. Sie nennt nur Maßnahmen, die tatsächlich umgesetzt sind.

1. Vertraulichkeit

Zutritt. Die Server stehen in Rechenzentren unserer Anbieter (Anlage 3); physische Zutrittskontrolle liegt dort. Eigene Serverräume unterhalten wir nicht.

Zugang. Der administrative Zugang zum Server erfolgt ausschließlich über SSH mit Schlüsselpaar; Anmeldung mit Passwort und Anmeldung als Administrator per Passwort sind abgeschaltet. Wiederholte Fehlversuche werden automatisch gesperrt (fail2ban). Eine Firewall lässt nur die benötigten Dienste zu; Datenbank, Zwischenspeicher und interne Dienste sind ausschließlich lokal erreichbar und nicht aus dem Internet.

Nutzerkonten werden mit E-Mail-Adresse und Passwort angelegt. Passwörter werden nur als bcrypt-Hash gespeichert, nie im Klartext; sie müssen mindestens zehn Zeichen haben, dürfen weder Namen noch Adresse der Person enthalten und werden gegen bekannte Datenlecks geprüft (dabei verlassen nur fünf Zeichen eines Hashes den Server). Die Registrierung und die Anmeldung sind gegen automatisierte Angriffe geschützt (Bot-Prüfung, Sperre nach mehreren Fehlversuchen, Begrenzung der Anfragen je Adresse). Die E-Mail-Adresse muss bestätigt werden. Ein Passwort-Zurücksetzen läuft über einen Einmal-Link, der nur als Hash gespeichert ist und nach einer Stunde verfällt.

Zweiter Faktor. Jede Person kann einen zweiten Faktor nach RFC 6238 (Authenticator-App) einrichten; das Geheimnis dafür liegt verschlüsselt in der Datenbank, Ersatzcodes nur als Hash. Du kannst den zweiten Faktor für alle Mitglieder deiner Organisation verpflichtend machen; wer keinen hat, kommt dann nicht über die Einrichtungsseite hinaus. Die Pflicht ist in jedem Paket enthalten.

Anmeldungen. Jeder Anmeldeversuch wird mit Zeitpunkt, Adresse, gekürzter Browser-Kennung und Ergebnis festgehalten (90 Tage); die Person sieht die Liste selbst und wird bei einem unbekannten Gerät per E-Mail gewarnt. Passwortänderung und „überall abmelden“ beenden alle bestehenden Sitzungen sofort.

Netze. Du kannst den Zugriff auf deine Organisation auf bestimmte IP-Bereiche beschränken (etwa Büro oder VPN). Die Prüfung sitzt an derselben Stelle wie jede Rechteprüfung und greift bei jeder Anfrage; Inhaber:innen sind ausgenommen, damit eine fehlerhafte Liste korrigierbar bleibt; sobald Netze beschränkt sind, brauchen sie dafür einen zweiten Faktor. Wahlweise gelten die Netze auch für die Schnittstelle (API-Schlüssel).

Zugriff. Jede Organisation ist ein eigener Mandant. Die Zugriffsregeln liegen zentral im Code und prüfen bei jeder Anfrage die Zugehörigkeit zur Organisation; unbekannte Fälle sind grundsätzlich gesperrt, nicht erlaubt. Es gibt abgestufte Rollen (Inhaber, Verwaltung, Mitglied, Gast) und für das E-Mail-Postfach eigene Stufen (Lesen, Entwerfen, Antworten, Verwalten). Direktnachrichten sind nur den beiden Beteiligten zugänglich. Dateien werden nicht über einen freien Pfad ausgeliefert, sondern über Routen, die vorher die Berechtigung prüfen. Die hochgeladenen Originale liegen in einem Objektspeicher, der nicht öffentlich lesbar ist; nach bestandener Prüfung erhält der Browser eine signierte Adresse, die nach fünf Minuten verfällt. Wird eine Person aus einer Organisation entfernt oder ihr Passwort geändert, verliert ihre bestehende Sitzung sofort ihre Gültigkeit. Der Schlüssel der Schnittstelle (ab Paket Pro) wird nur als Prüfsumme gespeichert; welche Bereiche er nutzen darf, legst du fest.

Verbindung mit Claude. Claude meldet sich nicht mit einem Schlüssel der Organisation an, sondern im Namen einer einzelnen Person, nach deren ausdrücklicher Zustimmung (OAuth 2.1 mit PKCE). Codes und Token liegen nur als Prüfsumme in der Datenbank. Ein Zugangs-Token gilt eine Stunde und wird bei jedem Aufruf erneut geprüft: Mitgliedschaft, Rolle (Gäste sind ausgeschlossen), Paket und Schalter der Organisation. Die Verbindung ist ausgeschaltet, bis die Inhaberin oder der Inhaber sie einschaltet; Ein- und Ausschalten sowie das Trennen einzelner Verbindungen stehen im Verwaltungsprotokoll. Die Anmelde-Adressen sind gegen massenhafte Aufrufe gedrosselt.

Externe Gäste in Videocalls. Gäste ohne Konto kommen nur über einen persönlichen Link herein, dessen Geheimnis 256 Bit Zufall hat, nur als Prüfwert und verschlüsselt gespeichert wird und hinter dem „#“ der Adresse steht (es erreicht damit weder Server-Logs noch den Fehler-Tracker). Der Link gilt nur von 15 Minuten vor bis 30 Minuten nach dem Termin und ist einzeln sperrbar; ein zweites Gerät mit demselben Link verdrängt das erste. Ein Gast kommt erst in den Call, wenn ein Mitglied ihn aus dem Warteraum einlässt (abschaltbar je Termin) und jemand vom Team im Raum ist. Seine Berechtigung im Call ist auf Kamera und Mikrofon begrenzt (Bildschirm nur, wenn du es erlaubst), Datennachrichten sind ihm verwehrt, und sein Name trägt fest den Zusatz „(Gast)“. Gäste sehen keine Inhalte der Organisation außer Titel, Zeit und Gastgeber; in Räumen mit Gästen gibt es weder Mitschrift noch Protokoll noch Chat. Die öffentlichen Endpunkte sind je Adresse gebremst, ein Fehlversuch mit einem unbekannten Link zählt strenger. Die Funktion gehört zum Paket Pro und prüft das bei jedem Schritt.

Zugriffe des Anbieters. Als Betreiber haben wir technisch Zugriff auf Server und Datenbank. Wir nutzen ihn nur für Betrieb, Sicherung und Fehlerbehebung. Jeden direkten Zugriff auf die Datenbank außerhalb der App halten wir intern mit Datum, Anlass und Umfang fest. KI-gestützte Werkzeuge, die wir für Betrieb und Entwicklung einsetzen, fragen auf dem Server nur Aufbau und Zahlen ab (Tabellen, Spalten, Anzahlen), nie Inhalte. Inhalte sieht nur ein Mensch, und nur, wenn eine Fehlerbehebung es erfordert. Diese Zugriffe stehen nicht im Verwaltungsprotokoll deiner Organisation; dort steht jeder Zugriff über die Support-Funktion der App.

Trennung. Produktions-, Test- und Entwicklungsdaten sind getrennt. Innerhalb der Datenbank sind alle Inhalte einer Organisation zugeordnet und werden über diese Zuordnung gefiltert.

Pseudonymisierung. Löscht eine Person ihr Konto, werden die Personenbezüge überschrieben (Name durch einen Platzhalter, E-Mail durch eine nicht zustellbare Ersatzadresse), während gemeinsame Team-Inhalte erhalten bleiben. Anhänge und Nachrichten, die ihr allein gehören, werden gelöscht.

Verschlüsselung gespeicherter Geheimnisse. Werte, die der Dienst im Klartext braucht und deshalb nicht hashen kann (die Signaturschlüssel deiner Automationen, die Einwurfadressen deiner Postfächer, die Geheimnisse des zweiten Faktors), liegen mit AES-256-GCM verschlüsselt in der Datenbank. Der Schlüssel dazu liegt in der Umgebung des Servers, nicht in der Datenbank und nicht in ihren Sicherungen. Was nicht verschlüsselt ist: Nachrichten, Aufgaben und Postfach-Inhalte selbst. Die Funktionen des Dienstes (Protokolle, Berichte, geteiltes Postfach, Suche) setzen lesbare Inhalte voraus; eine Ende-zu-Ende-Verschlüsselung bieten wir nicht an und behaupten sie nicht.

Löschfristen und Rückgabe. Du kannst je Organisation festlegen, nach wie vielen Tagen Kanal-Nachrichten, Postfach-Verläufe, erledigte Meldungen und Meeting-Protokolle entfernt werden (Meeting-Protokolle ohne eigene Einstellung nach 30 Tagen); ein täglicher Lauf setzt das um und vermerkt es im Protokoll. Derselbe Lauf löscht Kundenangaben, Freitext und Motivbilder von Lager-Bestellungen 90 Tage nach deren Erledigung und Linkvorschauen, die an keiner Nachricht mehr hängen, 30 Tage nach ihrem letzten Abruf. Jede Person kann ihre eigenen Daten als Datei (JSON) herunterladen.

2. Integrität

Übertragung. Der gesamte Verkehr zwischen Endgerät und Server läuft über TLS mit gültigen, automatisch erneuerten Zertifikaten. HSTS ist gesetzt. Unverschlüsselte Zugänge sind nicht erreichbar. Nach außen gehende Verbindungen der Anwendung sind gegen das Ansteuern interner Adressen abgesichert.

Eingaben. Alle Eingaben werden serverseitig gegen ein Schema geprüft, unabhängig von den Prüfungen im Browser. Datenbankabfragen sind parametrisiert. Hochgeladene Dateien werden anhand ihres tatsächlichen Inhalts (Magic Bytes) eingeordnet, nicht anhand der Angabe des Absenders; nicht sicher erkennbare Dateien werden nicht weiterverarbeitet und immer als Anhang ausgeliefert, nie im Browser ausgeführt. Aktive Formate sind gesperrt.

Nachvollziehbarkeit. Änderungen an Aufgaben werden als Verlaufseinträge mit Person und Zeitpunkt festgehalten. Meldungen über Inhalte, Moderationsentscheidungen und Freigaben im E-Mail-Ausgang sind mit Person und Zeitpunkt gespeichert. Darüber hinaus protokolliert jede Organisation die unumkehrbaren und vertrauenskritischen Handlungen (Rollenwechsel, Schlüssel und Automationen, Postfächer, endgültige Löschungen, Export und Löschung der Organisation, Sicherheitseinstellungen) und jeden Zugriff über die Support-Funktion der App auf Daten der Organisation. Inhaber:in und Verwaltung sehen es in der App; ändern oder löschen kann seine Einträge niemand, sie verschwinden nach einem Jahr.

3. Verfügbarkeit und Belastbarkeit

Der Dienst läuft in Containern mit begrenztem Speicher und begrenzter Prozesszahl, sodass ein einzelner Fehler nicht den ganzen Server mitnimmt. Ein Wächter prüft alle fünf Minuten Erreichbarkeit, Plattenplatz, alle Dienste, die Aktualität der Sicherung und neue Fehlermeldungen und alarmiert per E-Mail; zusätzlich meldet er sich bei einem externen Dienst, der Alarm schlägt, wenn er selbst ausfällt. Fehler der Anwendung laufen in einen Fehler-Tracker mit Rechenzentrum in der EU; Inhalte, Sitzungsmerkmale und Zugangsdaten werden vor dem Versand entfernt.

Der Anbieter des Servers hält die Anlage vor; das Betriebssystem bezieht Sicherheitsaktualisierungen automatisch.

4. Sicherungen

Jede Nacht werden die Datenbank und alle abgelegten Dateien gesichert, sowohl die auf der Anlage selbst als auch die im Objektspeicher. Die Sicherung wird zusätzlich zu einem zweiten Anbieter in einem anderen Rechenzentrum übertragen, damit ein Ausfall der Anlage nicht auch die Sicherung trifft. Der Übertragungsweg ist verschlüsselt (SFTP), und die Sicherung liegt dort zusätzlich verschlüsselt (Inhalte und Dateinamen); die Schlüssel liegen nicht beim Speicheranbieter. Der Zielspeicher ist ein eigenes Unterkonto ohne Zugriff auf andere Daten und mit Zwei-Faktor-Schutz am Hauptkonto; der Anbieter erstellt darüber hinaus eigene tägliche Momentaufnahmen, die vom Server aus nicht verändert werden können.

Vor dem Überschreiben wird geprüft, ob die Quelle plausibel ist; ersetzte Dateien wandern in einen datierten Ordner und bleiben 30 Tage rückholbar. Die Wiederherstellung der Datenbank wurde am 06.09., 24.09. und 26.09.2026 durchgespielt, zuletzt aus der verschlüsselten externen Kopie, und jeweils mit dem Ausgangsstand verglichen. Ein vollständiger Neuaufbau samt Dateien ist noch nicht geprobt.

Wiederherstellungsziele: Datenverlust im Ernstfall höchstens 24 Stunden (nächtliche Sicherung); Ziel für die Wiederherstellung des Betriebs auf einer neuen Anlage 8 Stunden.

Aufbewahrung: Datenbankabzüge 14 Tage lokal und 90 Tage extern; der Spiegel der Dateien folgt dem laufenden Stand, ersetzte Fassungen 30 Tage.

5. Verfahren zur Überprüfung

Der Code wird versioniert; jede Änderung ist einem Zeitpunkt und einem Grund zugeordnet. Vor jeder Auslieferung laufen Typprüfung und eine automatisierte Testsuite. Sicherheitsrelevante Regeln sind durch Tests abgesichert, die anschlagen, wenn eine Regel entfernt wird. Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft. Der Gesamtbestand wurde zuletzt am 24.09.2026 einer vollständigen internen Prüfung von Anwendung und Serverbetrieb unterzogen; die Befunde sind abgearbeitet.

6. Auftragskontrolle

Unterauftragsverarbeiter werden nach ihren Datenschutz- und Sicherheitszusagen ausgewählt und vertraglich gebunden (Anlage 3). Weisungen und Meldewege sind in diesem Vertrag festgelegt.

Anlage 3: Unterauftragsverarbeiter

Stand: 09.11.2026

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage bei Drittlandbezug
Hostinger International Ltd.	Betrieb des Servers (VPS)	Deutschland (Rechenzentrum Frankfurt am Main)	entfällt
Hetzner Online GmbH	Speicherung hochgeladener Dateien (Object Storage) und externe Sicherung (Storage Box)	Deutschland	entfällt
Sendinblue GmbH (Brevo)	Versand von System- und Bestätigungs-E-Mails, von Einladungen an externe Videocall-Gäste, wenn kein eigenes Postfach eingerichtet ist, und von Belegen an Steuerbüro oder Lexware, wenn du diese Weiterleitung einrichtest	EU	entfällt
Anthropic PBC	KI-Funktionen (Protokolle, Berichte, Vorschläge)	USA (Speicherung); Berechnung auch in weiteren Ländern	EU-Standardvertragsklauseln
Functional Software, Inc. (Sentry)	Fehler-Tracker	EU (Rechenzentrum Frankfurt)	entfällt
Google Ireland Ltd.	Push-Zustellung Android (FCM)	EU / USA	EU-Standardvertragsklauseln
Apple Inc.	Push-Zustellung iOS (APNs)	USA	EU-Standardvertragsklauseln
Cloudflare, Inc.	Bot-Schutz bei Registrierung und Anmeldung	EU / USA	EU-Standardvertragsklauseln
Meta Platforms Ireland Ltd. (WhatsApp Business API)	Zustellung von Meeting-Protokollen an Mitglieder, die eine WhatsApp-Nummer eingetragen haben, über unseren eigenen Automatisierungsserver	EU / USA	EU-Standardvertragsklauseln

Hinweise

Anthropic erhält nur die Inhalte, die für die jeweilige KI-Funktion nötig sind; welche das je Funktion sind, steht in Abschnitt 3 e der Datenschutzerklärung. Einige Funktionen laufen automatisch, solange die KI eingeschaltet ist: die Hinweise der Stadt-Figur, der Wochenbericht, Meeting-Protokoll und Auswertung, die Einordnung neuer Aufgaben und der Materialbedarf. Fragen an Klangi laufen nur, wenn jemand fragt, und werden nicht gespeichert. Beim Materialbedarf sind das Produkt, Menge, Wünsche und bis zu drei Motivbilder einer Bestellung; Telefonnummern, E-Mail-Adressen, Links und Signaturen entfernen wir vorher. Dateien aus Drive, Chat und Projekten gehen nie an Anthropic. Beim Marktcheck (nur auf Knopfdruck, Paket Business) erhält Anthropic den Steckbrief, den die Organisation dafür ausfüllt, und gibt Suchanfragen an einen Suchdienst weiter, den Anthropic als eigenen Unterauftragsverarbeiter einsetzt; die Suchanfragen bestehen aus Branche, Angebot und Ort, Namen von Personen und interne Angaben gehören laut Anweisung an die KI nicht hinein. Einzelne Seiten aus den Suchergebnissen ruft Anthropic selbst ab. Eine Verwendung zum Training der Modelle findet nach den Geschäftsbedingungen der API nicht statt. Anthropic löscht Ein- und Ausgaben spätestens 30 Tage nach Eingang; Inhalte, die Anthropics automatische Missbrauchserkennung markiert, darf Anthropic bis zu 2 Jahre aufbewahren, ebenso, wo ein Gesetz es verlangt. Anthropic speichert in den USA, lässt die Antworten aber auch in Rechenzentren in weiteren Ländern berechnen; das regelt Anthropics Vertrag zur Auftragsverarbeitung mit uns. Du kannst alle KI-Funktionen für deine Organisation selbst abschalten (Apps → Sicherheit & Datenschutz); dann verlässt kein Inhalt deiner Organisation mehr über diese Funktionen den Dienst in Richtung Anthropic. Davon getrennt ist die Verbindung mit Claude (Ziffer 4): Sie läuft über das Claude-Konto der jeweiligen Person, nicht über uns als Auftraggeber von Anthropic, und ist nur aktiv, wenn du sie einschaltest.
WhatsApp erhält Nummer und Protokolltext nur für Mitglieder, die im eigenen Profil eine Nummer eingetragen haben; das Eintragen ist die Einwilligung der Person.
Have I Been Pwned (Troy Hunt, Australien) ist kein Unterauftragsverarbeiter: Bei der Prüfung eines neuen Passworts gegen bekannte Datenlecks werden ausschließlich die ersten fünf Zeichen eines SHA-1-Hashes übermittelt: kein Passwort, kein Hash, keine Kennung der Person. Der Dienst erfährt weder, welches Passwort geprüft wurde, noch für wen. Er steht hier der Vollständigkeit halber.
Sentry erhält Fehlermeldungen. Inhalte von Anfragen, Cookies, Kopfzeilen mit Zugangsdaten und der Abfrageteil von Adressen werden vor dem Versand entfernt. Eine Aufzeichnung von Sitzungen („Session Replay“) ist abgeschaltet.
Stripe (Stripe Payments Europe, Ltd.) ist kein Unterauftragsverarbeiter nach diesem Vertrag: Die Zahlungsabwicklung betrifft unseren eigenen Vertrag mit dir, dafür sind wir selbst Verantwortliche (siehe „Rollenverteilung“ oben). Stripe erhält die für die Zahlung nötigen Daten direkt von dir; Kartendaten laufen nicht über unsere Server und werden von uns nicht gespeichert.
Push-Dienste erhalten die Geräte-Kennung und den Text der Benachrichtigung. Wer keine Benachrichtigungen erlaubt, wird dort nicht geführt.
Video- und Sprachanrufe laufen über einen von uns selbst betriebenen Server auf derselben Anlage; ein fremder Anbieter ist daran nicht beteiligt. Das gilt auch für Calls mit externen Gästen.
Einladungen an externe Gäste gehen über dein eigenes Postfach (unser Mailserver, kein Dritter), wenn du eins in der E-Mail-App eingerichtet hast; nur sonst über Brevo.
Linkvorschauen ruft unser eigener Server ab. Die verlinkten Seiten sind keine Unterauftragsverarbeiter: Sie erhalten nur die Anfrage nach der Adresse, die jemand im Chat geteilt hat, ohne IP-Adresse, Gerät oder Namen der Person. Das Vorschaubild liefern wir selbst aus.

Anlage 4: Zweckbindung der Personen-Signale

KlangCity leitet aus der Arbeit in der App Signale zu einzelnen Personen ab, etwa drohende Überlastung, freie Kapazität oder die Zahl der Direktnachrichten zwischen Gruppen. Für diese Signale gilt:

Zweck. Personenbezogene Signale dienen der Entlastung und der Arbeitsverteilung. Keine Leistungs- oder Verhaltenskontrolle, keine arbeitsrechtlichen Maßnahmen auf Grundlage der Signale.
Datengrundlage. Die Signale beruhen auf Aufgaben, Fristen, Zuweisungen und Kommentaren. Bei Direktnachrichten zählt nur ihre Anzahl, nie ihr Inhalt.
Sichtbarkeit. Du legst fest, wer die Signale sieht: alle Mitglieder, die Person und die Leitung, die Person selbst mit einer Team-Ansicht für die Leitung (nur Zahlen je Gruppe ohne Namen, Gruppen unter fünf Personen nur zusammengefasst), nur die Person selbst oder niemand (Aus). Bei „Aus“ entstehen keine Hinweise zu Personen, es geht kein Personenbezug an die KI, und Wochenbericht und Strategiebild sprechen nur über Gruppen und Projekte. Gäste sehen Personen-Signale nie. Jede Änderung der Einstellung wird im Verwaltungsprotokoll vermerkt.
Mitbestimmung. Hat deine Organisation einen Betriebs- oder Personalrat, stellst du vor der Einführung sicher, dass seine Beteiligungsrechte gewahrt sind. Ein Informationsblatt für Betriebsräte stellen wir auf Anfrage bereit.
Fragen an Klangi. Klangi gibt über eine Person nur Auskunft, wenn die Einstellung nach Ziffer 3 es der fragenden Person erlaubt, und je Frage zu höchstens einer Person. Klangi vergleicht Personen nicht, erstellt keine Ranglisten, nennt nie den Grund einer Abwesenheit und sagt nur dann etwas zum Befinden, wenn du das gesondert erlaubst. Die Gespräche werden nicht gespeichert.

Stand: 09.11.2026