Data processing agreement
Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Knowhand (Auftragsverarbeiter). Sie gilt mit dem Anlegen eines Boards.
Last updated 25 September 2026. Legal texts are provided in German.
PDF in German with the same version, last updated 25. September 2026
1. Parteien
Auftragsverarbeiter: Paul Krügel, Stephensongasse 2 / 19, 1210 Wien, Österreich („Knowhand“). Verantwortlicher: das Unternehmen, für das ein Board angelegt wurde („Kunde“), vertreten durch den Admin des Boards.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist der Betrieb der Anwendung Knowhand für den Kunden. Dauer: bis zur Löschung des Boards. Art und Zweck: Speicherung, Anzeige und Zustellung von Anfragen, Profilen, Hilfsangeboten und Benachrichtigungen, damit Mitarbeitende des Kunden einander bei konkreten Aufgaben helfen.
3. Art der Daten und Kategorien betroffener Personen
Betroffene: Mitarbeitende und sonstige vom Kunden eingeladene Personen. Daten: Name, E-Mail-Adresse, optional Bild, Team, Rolle, Kurztext, Expertise-Kategorien und Tags, Booking-Link, Kontaktart, Kapazität und Abwesenheit; Inhalte von Anfragen, Anhängen, Hilfsangeboten, Rückfragen, Hinweisen und Danksagungen; technische Zustellprotokolle. Keine besonderen Kategorien nach Art. 9 DSGVO, sofern der Kunde sie nicht selbst einträgt.
4. Weisungen
Knowhand verarbeitet die Daten nur nach dokumentierten Weisungen des Kunden; Weisungen erfolgen über die Funktionen der Anwendung (Admin-Bereich) oder per E-Mail. Knowhand informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
5. Vertraulichkeit
Knowhand verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit. Ein Zugriff auf Kundendaten durch Knowhand erfolgt nur zur Fehlerbehebung auf Anfrage des Kunden oder zur Abwehr von Missbrauch und wird protokolliert.
6. Technische und organisatorische Maßnahmen
- Hosting und Datenhaltung ausschließlich in der EU (Frankfurt), verschlüsselte Übertragung (TLS), verschlüsselte Speicherung beim Datenbankanbieter.
- Serverseitige Zugriffsprüfung je Board (Row Level Security), Rollen Admin und Mitglied, keine Zugriffe über Board-Grenzen.
- Anhänge und Bilder nur über kurzlebige signierte Links; Schlüssel des Kunden für den KI-Assistenten verschlüsselt (AES-256-GCM).
- Datensparsamkeit: keine Nutzungsprotokolle je Person über das technisch Nötige hinaus (Anmeldesitzung, Zustellprotokolle für Mails, kurzzeitige Zugriffsprotokolle der Hosting- und Datenbankanbieter), keine Reaktionszeiten je Person, Kennzahlen nur aggregiert.
- Tägliche Backups mit 7 Tagen Aufbewahrung; Löschfristen wie in den AGB; Protokolle ohne Anfrageinhalte.
- Zugriff des Betreibers auf Produktionssysteme nur mit Mehrfaktor-Authentifizierung.
7. Sub-Prozessoren
Der Kunde genehmigt die folgenden Sub-Prozessoren. Änderungen kündigt Knowhand mindestens 30 Tage vorher per E-Mail an die Admins an; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag kündigen.
| Anbieter | Zweck | Ort und Garantie |
|---|---|---|
| Vercel Inc. | Hosting und Auslieferung der Anwendung | EU (Region Frankfurt), Unternehmenssitz USA, EU-Standardvertragsklauseln |
| Supabase Inc. | Datenbank, Authentifizierung, Dateispeicher | EU (Frankfurt), Unternehmenssitz USA, EU-Standardvertragsklauseln |
| Resend (Plus Five Five, Inc.) | Versand von Anmelde- und Benachrichtigungsmails | EU (Irland), Unternehmenssitz USA, EU-Standardvertragsklauseln |
| Cloudflare, Inc. (Turnstile) | Schutz des Anmeldeformulars vor automatisierten Anfragen; verarbeitet beim Laden des Formulars (Anmeldeseite, Einladungsseite) technische Merkmale des Browsers und die IP-Adresse zur Bot-Erkennung | Unternehmenssitz USA, EU-Standardvertragsklauseln |
| Google Cloud EMEA Ltd. (Vertex AI) | KI-Assistent, nur bei eingeschaltetem Assistenten ohne eigenen Schlüssel; verarbeitet den eingegebenen Anfragetext und die Namen der Board-Kategorien | EU (Frankfurt) |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Rechnungen | EU (Irland) |
8. Rechte der betroffenen Personen
Knowhand unterstützt den Kunden mit den Funktionen Export, Konto löschen, Mitglied entfernen (Pseudonymisierung) und Workspace-Export. Anfragen betroffener Personen, die Knowhand direkt erreichen, leitet Knowhand an den Kunden weiter.
9. Meldung von Verletzungen
Knowhand meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adressen der Admins mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.
10. Nachweise und Prüfungen
Knowhand stellt dem Kunden auf Anfrage die Beschreibung der Maßnahmen und die Bestätigungen der Sub-Prozessoren zur Verfügung. Vor-Ort-Prüfungen sind nach Ankündigung von vier Wochen und höchstens einmal jährlich möglich, sofern die Nachweise nicht ausreichen.
11. Löschung und Rückgabe
Nach Vertragsende oder auf Weisung löscht Knowhand alle Daten des Boards innerhalb der in den AGB genannten Fristen; vorher kann der Kunde alle Daten als JSON und CSV exportieren. Backups werden nach 7 Tagen überschrieben.
12. Sonstiges
Diese Vereinbarung geht bei Widersprüchen den AGB vor. Es gilt österreichisches Recht. Die Vereinbarung wird mit dem Anlegen des Boards durch den Admin des Kunden wirksam und in dieser Fassung auf der Website vorgehalten.