Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch die Capme Digital GmbH, c/o TechHub.K67, Kasernenstraße 67, 40213 Düsseldorf („Auftragsverarbeiter“, „Capme“) im Auftrag des in Anhang I bezeichneten Kunden („Verantwortlicher“, „Kunde“) im Rahmen der Erbringung des Capme-Dienstes nach den Nutzungsbedingungen unter https://capme.app/terms (der „Vertrag“). Diese Klauseln folgen den von der Europäischen Kommission nach Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/915) mit den nachstehend gewählten Optionen und sollen die Anforderungen des Artikels 28 Absätze 3 und 4 DSGVO erfüllen. Sie gelten für jeden Workspace des Kunden und für jeden Plan. Der AVV wird beim Start eines Tests oder eines Plans für den Workspace des Kunden angenommen, indem die für den Kunden handelnde Person das Kästchen mit dem Verweis auf ihn anhakt; die Annahme wird mit der angenommenen Fassung, dem Zeitpunkt, der IP-Adresse und dem Browser aufgezeichnet. Auf Anfrage stellt Capme denselben Text als von beiden Parteien gegengezeichnetes PDF bereit.

Die Parteien verpflichten sich, die Klauseln dieses AVV nicht zu ändern, außer um Angaben in den Anhängen zu ergänzen oder zu aktualisieren. Das hindert die Parteien nicht daran, diese Klauseln in einen umfassenderen Vertrag aufzunehmen oder weitere Klauseln hinzuzufügen, sofern diese nicht im Widerspruch zu diesem AVV stehen oder die Grundrechte und Grundfreiheiten der betroffenen Personen beeinträchtigen. In der DSGVO definierte Begriffe haben die dort bestimmte Bedeutung. Dieser AVV ist im Lichte der DSGVO auszulegen und nicht in einer Weise, die ihren Rechten und Pflichten widerspricht. Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen der Parteien, einschließlich der Nutzungsbedingungen, geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.

Die Einzelheiten der Verarbeitung, insbesondere die Kategorien personenbezogener Daten und die Zwecke, zu denen die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II festgelegt. Nutzt der Kunde seinen eigenen Speicher-Bucket, werden Aufnahmen aus den Browsern der Mitglieder direkt in diesen Bucket übertragen, und Capme speichert nur die in Anhang II beschriebenen Metadaten; der Anbieter des Buckets wird vom Kunden beauftragt und ist kein Unterauftragsverarbeiter von Capme.

4.1 Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Vertrag, dieser AVV und die Nutzung der Einstellungen und Funktionen des Dienstes durch den Verantwortlichen sind dessen Weisungen; weitere Weisungen können in Textform an security@capme.app erteilt werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt. 4.2 Zweckbindung. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur zu den in Anhang II genannten Zwecken, sofern er keine weiteren Weisungen des Verantwortlichen erhält. 4.3 Dauer. Die Verarbeitung erfolgt für die Dauer des Vertrags und bis zur Löschung nach Klausel 8. 4.4 Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschließlich des Schutzes vor einer Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung oder zum unbefugten Zugang führt. Bei der Beurteilung des angemessenen Schutzniveaus haben die Parteien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die betroffenen Personen berücksichtigt. Der Auftragsverarbeiter gewährt seinem Personal Zugang zu den personenbezogenen Daten nur, soweit dies für die Erfüllung des Vertrags zwingend erforderlich ist, und stellt sicher, dass es sich zur Vertraulichkeit verpflichtet hat oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt. 4.5 Sensible Daten. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) bestimmt. Eine Aufnahme kann solche Daten dennoch beiläufig enthalten, etwa durch das, was ein Bildschirm zeigt oder eine Person sagt. Der Verantwortliche entscheidet, ob er sie aufnimmt; der Auftragsverarbeiter wendet die Maßnahmen des Anhangs III auf alle Aufnahmen gleichermaßen an, einschließlich des auf den Workspace beschränkten Zugriffs, signierter Wiedergabe-Links, Verschlüsselung bei der Übertragung und im Ruhezustand und Löschung nach dem Zeitplan des Verantwortlichen. 4.6 Dokumentation und Einhaltung. Die Parteien können die Einhaltung dieses AVV nachweisen. Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen zur Verarbeitung umgehend und angemessen, stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus diesem AVV und Artikel 28 DSGVO erforderlich sind, und ermöglicht und trägt zu Überprüfungen der von diesem AVV erfassten Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen einer Nichteinhaltung bei. Der Verantwortliche kann die Überprüfung selbst durchführen oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer beauftragen; Überprüfungen werden mindestens dreißig Tage vorher in Textform angekündigt, finden während der Geschäftszeiten und ohne unverhältnismäßige Störung statt und können zunächst durch die vom Auftragsverarbeiter geführte Dokumentation beantwortet werden (dieser AVV, das Trust Center unter https://capme.app/trustcenter und das vom Verantwortlichen exportierbare Audit-Log). Die Parteien stellen die in dieser Klausel genannten Informationen einschließlich der Ergebnisse von Überprüfungen der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung. 4.7 Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter hat die allgemeine Genehmigung des Verantwortlichen, Unterauftragsverarbeiter aus der Liste in Anhang IV einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform, per E-Mail an die Adresse des Workspace-Inhabers, mindestens dreißig Tage im Voraus ausdrücklich über beabsichtigte Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und gibt ihm damit ausreichend Zeit, vor dem Einsatz Einspruch zu erheben. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können die Parteien den Einspruch nicht beilegen, kann der Verantwortliche den betroffenen Dienst mit sofortiger Wirkung kündigen und erhält vorausbezahlte Entgelte für den nicht genutzten Zeitraum anteilig zurück. Setzt der Auftragsverarbeiter einen Unterauftragsverarbeiter ein, geschieht dies durch einen Vertrag, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diesem AVV dem Auftragsverarbeiter, und er stellt sicher, dass der Unterauftragsverarbeiter diese Pflichten einhält. Auf Anfrage des Verantwortlichen stellt der Auftragsverarbeiter eine Kopie eines solchen Vertrags und späterer Änderungen mit geschwärzten Geschäftsinformationen zur Verfügung. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters voll verantwortlich. 4.8 Internationale Übermittlungen. Jede Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation durch den Auftragsverarbeiter erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder zur Erfüllung einer besonderen Anforderung des Unionsrechts oder des Rechts eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und im Einklang mit Kapitel V DSGVO. Der Verantwortliche ist damit einverstanden, dass der Auftragsverarbeiter und der Unterauftragsverarbeiter, wenn ein nach Klausel 4.7 eingesetzter Unterauftragsverarbeiter Daten in ein Drittland übermittelt, die Einhaltung von Kapitel V durch die von der Kommission nach Artikel 46 Absatz 2 DSGVO erlassenen Standardvertragsklauseln oder durch einen Angemessenheitsbeschluss einschließlich des EU-US Data Privacy Framework bei zertifizierten Unterauftragsverarbeitern sicherstellen können. Anhang IV nennt den für jeden Unterauftragsverarbeiter genutzten Mechanismus.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von einer betroffenen Person erhält, und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche hat ihn dazu ermächtigt. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten, durch die Funktionen des Dienstes (Mitglieder und Admins können die Daten, die der Dienst über eine Person hält, einsehen, berichtigen und löschen; Admins können Mitglieder entfernen und in Business und Enterprise das Audit-Log exportieren) und darüber hinaus auf Anfrage. Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO: Sicherheit der Verarbeitung (Anhang III), Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und Benachrichtigung der betroffenen Personen (Klausel 6), Datenschutz-Folgenabschätzung und vorherige Konsultation. Die für das Verzeichnis der Verarbeitungstätigkeiten des Verantwortlichen nötigen Angaben stellt der Auftragsverarbeiter auf Anfrage bereit; die Beschreibung in Anhang II und das Trust Center sind zu diesem Zweck geschrieben.

Im Fall einer Verletzung des Schutzes personenbezogener Daten, die vom Auftragsverarbeiter nach diesem AVV verarbeitet werden, meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat, per E-Mail an die Adresse des Workspace-Inhabers und an jede weitere vom Verantwortlichen benannte Adresse. Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die Anlaufstelle für weitere Informationen; die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Können nicht alle Informationen auf einmal bereitgestellt werden, werden sie ohne unangemessene weitere Verzögerung schrittweise nachgereicht. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten nach den Artikeln 33 und 34 DSGVO, insbesondere durch die vorstehenden Informationen und durch die Aufbewahrung der zur Rekonstruktion des Vorfalls nötigen Aufzeichnungen einschließlich des Audit-Logs. Eine Verletzung bei einem Unterauftragsverarbeiter gilt für die Zwecke dieser Klausel als Verletzung beim Auftragsverarbeiter.

Unbeschadet der DSGVO kann der Verantwortliche, wenn der Auftragsverarbeiter gegen seine Pflichten aus diesem AVV verstößt, den Auftragsverarbeiter anweisen, die Verarbeitung auszusetzen, bis der Verstoß behoben oder der Vertrag beendet ist. Der Verantwortliche kann den Vertrag, soweit er die Verarbeitung nach diesem AVV betrifft, kündigen, wenn der Auftragsverarbeiter erheblich oder anhaltend gegen diesen AVV verstößt, wenn der Auftragsverarbeiter einer verbindlichen Entscheidung eines zuständigen Gerichts oder einer Aufsichtsbehörde zu seinen Pflichten aus diesem AVV oder der DSGVO nicht nachkommt oder wenn die Verarbeitung länger als einen Monat ausgesetzt war. Der Auftragsverarbeiter kann den Vertrag kündigen, wenn der Verantwortliche auf einer Weisung besteht, die der Auftragsverarbeiter als rechtswidrig beanstandet hat, und der Verantwortliche sie nicht innerhalb von dreißig Tagen zurücknimmt.

Der Verantwortliche kann seine personenbezogenen Daten während der Vertragslaufzeit jederzeit abrufen: Aufnahmen als MP4-Dateien, die der Auftragsverarbeiter auf Anfrage kostenlos exportiert; das Audit-Log als CSV, das Admins in Business und Enterprise selbst exportieren und das der Auftragsverarbeiter in anderen Plänen auf Anfrage bereitstellt; und die übrigen Metadaten auf Anfrage als JSON oder CSV. Nach Vertragsende hat der Verantwortliche 30 Tage Zeit, die Daten abzurufen. Der Auftragsverarbeiter löscht sie auf Weisung des Verantwortlichen (Löschung des Workspace, die der Verantwortliche selbst auslöst und die nach einer Frist von vierzehn Tagen wirksam wird) oder, ohne Weisung, mit Ablauf dieser 30 Tage. Die Löschung umfasst jeden Host, den der Auftragsverarbeiter nutzt, einschließlich seines Video-Anbieters, sowie den Zugriffsschlüssel zum eigenen Bucket des Verantwortlichen. Aufnahmen im eigenen Bucket des Verantwortlichen werden durch die Löschung des Workspace nicht gelöscht: Sie bleiben Dateien des Verantwortlichen unter den Regeln des Buckets. Der Auftragsverarbeiter entfernt eine Aufnahme aus diesem Bucket, wenn ein Mitglied sie im Dienst löscht, und bei keinem anderen Anlass. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform. Daten, die der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats aufbewahren muss, insbesondere Rechnungen und Buchungsbelege, werden für die gesetzliche Frist aufbewahrt und dann gelöscht. Das Audit-Log des Workspace überdauert dessen Löschung unverändert; jeder Eintrag wird 365 Tage nach seiner Entstehung gelöscht.

Die Haftung zwischen den Parteien für Schäden durch eine Verarbeitung, die gegen die DSGVO verstößt, richtet sich nach Artikel 82 DSGVO: Jede Partei haftet für den durch ihren eigenen Verstoß verursachten Schaden. Gegen eine Partei verhängte Geldbußen trägt diese Partei. Die Haftungsbeschränkung der Nutzungsbedingungen gilt für Ansprüche zwischen den Parteien aus diesem AVV, soweit sie nicht im Widerspruch zu Artikel 82 DSGVO oder zwingendem Recht steht. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Düsseldorf. Er besteht in deutscher und englischer Sprache; beide Fassungen sind verbindlich, bei Abweichungen geht die deutsche Fassung vor. Die Anhänge sind Bestandteil dieses AVV: Anhang I (Parteien), Anhang II (Beschreibung der Verarbeitung), Anhang III (technische und organisatorische Maßnahmen) und Anhang IV (Unterauftragsverarbeiter). Änderungen des Anhangs III, die das Schutzniveau nicht senken, und Änderungen des Anhangs IV nach Klausel 4.7 erfordern keine erneute Annahme dieses AVV.

Verantwortlicher: der Kunde, der den Workspace angelegt hat, identifiziert durch den Namen des Workspace und die bei der Annahme aufgezeichneten Angaben der annehmenden Person sowie durch eingetragenen Namen, Rechtsform, Rechnungsanschrift und Steuerkennung, die der Kunde vor Beginn eines kostenpflichtigen Plans angibt. Der Inhaber des Workspace ist die Kontaktperson des Verantwortlichen für diesen AVV, sofern in den Einstellungen keine andere benannt ist. Auftragsverarbeiter: Capme Digital GmbH, c/o TechHub.K67, Kasernenstraße 67, 40213 Düsseldorf. Kontakt für Datenschutz: security@capme.app. Annahme: pro Workspace aufgezeichnet mit der Fassung des AVV, Datum und Uhrzeit, der E-Mail-Adresse, IP-Adresse und dem Browser der annehmenden Person. Die Aufzeichnung steht dem Verantwortlichen auf Anfrage zur Verfügung und wird für die Dauer des Workspace aufbewahrt.

Kategorien betroffener Personen - Mitglieder des Workspace des Verantwortlichen: Beschäftigte, Auftragnehmer und andere vom Verantwortlichen aufgenommene Personen. - Referenten: Mitglieder, die ein Thema aufnehmen. - Zuschauer: Personen, die der Verantwortliche in das Publikum eines Meetings aufnimmt; Mitglieder oder Externe. - Personen, die in einer Aufnahme erscheinen (im Bild, in der Stimme oder auf einem geteilten Bildschirm), ohne Mitglied zu sein. - Personen, die einen vom Verantwortlichen geteilten nicht gelisteten Link öffnen. Kategorien personenbezogener Daten - Aufnahmen: Videobild, Stimme und Bildschirminhalt der aufgenommenen Personen, mit Titel, Länge, Größe, Vorschaubild und Status. Dies ist die Hauptkategorie. - Identität und Profil: E-Mail-Adresse, Anzeigename, Berufsbezeichnung, Rolle, Sprache; hat der Verantwortliche seinen Identity Provider angebunden, die von ihm gesendete Anmelde-Assertion (E-Mail-Adresse sowie Name und Berufsbezeichnung, soweit gesendet) und die pro Sitzung festgehaltene Anmeldemethode. - Meetings: Titel, Beschreibungen, Agenden mit dem Referenten jedes Themas, Fristen, Publikumslisten, Veröffentlichungsstatus. - Interaktion: Sehfortschritt pro Person und Thema (erreichter Punkt, Zeitpunkt), Applaus, In-App-Benachrichtigungen und deren Lesestatus, versandte Erinnerungen. - Aufnahmestatistik: zu jeder Aufnahme, wie sie entstanden ist (Aufnahmemodus, Qualität, Format, Länge, Größe, genutzte Recorder-Funktionen), nie ihr Inhalt. - Workspace-Verwaltung: Einstellungen, Branding-Dateien, beanspruchte Domains, Bestellungen von Referenten, Speicherkonfiguration (mit verschlüsselten Bucket-Zugangsdaten), die Anbindung des Identity Providers mit Erzwingungsumfang und Ausnahmen je Adresse, öffentliche Links und ihre Aufrufzahlen. - Audit-Log: wer was wann von welcher IP-Adresse und mit welchem Browser getan hat. - Nachweise der Annahme: welche Fassung der Nutzungsbedingungen, der Datenschutzhinweise und dieses AVV wann und von wo angenommen wurde. Besondere Kategorien (Artikel 9 DSGVO): nicht vorgesehen. Eine Aufnahme kann sie beiläufig enthalten; siehe Klausel 4.5. Art und Zweck der Verarbeitung: Hosting, Speicherung, Transkodierung, Auslieferung und Löschung von Aufnahmen; Durchführung asynchroner Meetings (Einladen von Referenten, Sammeln von Aufnahmen, Veröffentlichen von Playlists, Erinnern, Aufzeichnen des Sehfortschritts); Anmeldung der Mitglieder per E-Mail-Code oder, wo der Verantwortliche seinen Identity Provider angebunden hat, per Single Sign-on über SAML 2.0, wobei der Auftragsverarbeiter weder Passwort noch zweiten Faktor hält; Verwaltung des Workspace (Mitglieder, Rollen, Referenten, Zugang, Branding, Speicher, Aufbewahrung); Versand der dafür nötigen Transaktions-E-Mails; Führung des Audit-Logs. Kein anderer Zweck: Der Auftragsverarbeiter analysiert keine Inhalte, trainiert keine Modelle und nutzt die Daten nicht zu eigenen Zwecken über aggregierte, anonyme Nutzungsstatistiken hinaus. Einzige Ausnahme ist die oben genannte Aufnahmestatistik: Sie nutzt der Auftragsverarbeiter auch als eigener Verantwortlicher, um den Recorder zu verbessern, wie es seine Datenschutzhinweise beschreiben. Sie enthält nie, was aufgenommen wurde, und wird ein Konto, ein Workspace oder eine Aufnahme gelöscht, verweist sie nicht mehr darauf. Dauer: die Vertragslaufzeit, die vom Verantwortlichen gesetzten Aufbewahrungsfenster und die Löschfristen der Klausel 8. Unterauftragsverarbeitung: Die Unterauftragsverarbeiter in Anhang IV verarbeiten die vorstehenden Kategorien in dem dort genannten Umfang. Nutzt der Verantwortliche seinen eigenen Speicher-Bucket, werden Aufnahmen und Vorschaubilder nur dort gespeichert.

Die Maßnahmen nach Artikel 32 DSGVO, die Capme für die in Anhang II beschriebene Verarbeitung unterhält. Zuletzt geprüft am 1. Oktober 2026. Derselbe Katalog ist im Trust Center veröffentlicht. C.1 Wo Daten liegen Der Dienst kennt drei Orte für eine Aufnahme, und der Kunde wählt zwischen ihnen durch Plan und Einstellung. - Im Browser. Der kostenlose Recorder schreibt jede Aufnahme in den privaten Speicher des Browsers auf dem Gerät des Nutzers. Keine Aufnahme verlässt das Gerät, es sei denn, der Nutzer lädt sie hoch; der Recorder meldet, wie eine Aufnahme entstanden ist (Einstellungen, Länge und Größe), nie ihren Inhalt. Das ist der einzige Ort im Free-Plan. - EU-Hosting. Eine Aufnahme für ein Meeting oder für die Bibliothek wird, sobald die Aufnahme endet, aus dem Browser direkt in die EU-Speicherregion von Bunny Stream in Deutschland hochgeladen und dort gespeichert und transkodiert. Capmes Server speichern die Metadaten und reichen das Vorschaubild einer Aufnahme durch, wenn eine Seite es zeigt; das Video speichern sie nie. - Der eigene Bucket des Kunden. In Business und Enterprise und in der Business-Testphase kann ein Workspace Aufnahmen in einen selbst betriebenen S3-kompatiblen Bucket lenken. Das Video geht vom Browser in den Bucket und wird von dort abgespielt, ohne Capme zu durchlaufen. Das Vorschaubild wird an Capmes Server gesendet, der es in den Bucket schreibt und durchreicht, wenn eine Seite es zeigt. Die Anwendung läuft bei Hetzner in Deutschland; Datenbank, Authentifizierung und Branding-Dateien laufen auf Capmes eigener Supabase-Instanz unter id.capme.app, betrieben von Elestio Limited (Irland) auf Infrastruktur der netcup GmbH im Rechenzentrum Nürnberg. Capme selbst speichert keine Kundendaten außerhalb der Europäischen Union; Unterauftragsverarbeiter, die Daten dorthin übermitteln, stehen mit ihrer Übermittlungsgrundlage in Anhang IV. C.2 Verschlüsselung bei der Übertragung Jede Verbindung zwischen einem Browser und Capme, zwischen Capme und seinen Unterauftragsverarbeitern und zwischen einem Browser und einem Video-Host verwendet TLS 1.2 oder höher, bevorzugt TLS 1.3. Uploads zum Video-Host und in einen Kunden-Bucket laufen per HTTPS aus dem Browser; ein Bucket-Endpunkt ohne HTTPS wird abgewiesen. Das CDN vor der Website terminiert TLS und fügt jeder Anfrage ein gemeinsames Ursprungsgeheimnis hinzu, das die Anwendung prüft. HTTP Strict Transport Security ist auf jeder Antwort gesetzt. C.3 Verschlüsselung im Ruhezustand Aufnahmen im EU-Hosting speichert Bunny im Ruhezustand verschlüsselt. Die Datenbank liegt auf Capmes eigener Instanz in Nürnberg (C.1). Ihr Port ist aus dem Internet nicht erreichbar, und ihre Programmierschnittstellen antworten nur auf einen Schlüssel, der Capmes Server nie verlässt; ausgenommen sind die Anmeldelinks, die Endpunkte für Single Sign-on und die im Folgenden beschriebenen Branding-Dateien. Branding-Dateien (Logos und Hintergründe) liegen in einem öffentlich lesbaren Speicher-Bucket derselben Instanz, weil jede Aufnahme und jede öffentliche Seite sie zeigt. Jede Datei hat einen zufälligen Namen, und der Bucket lässt sich nicht auflisten; öffnen kann eine Datei also nur, wem ihre Adresse gezeigt wurde. Aufnahmen in einem Kunden-Bucket verschlüsselt dessen Anbieter nach der Konfiguration des Kunden. Der geheime Zugangsschlüssel, den ein Workspace Capme für seinen Bucket gibt, wird mit AES-256-GCM unter einem Schlüssel verschlüsselt, der nur auf Capmes Servern existiert, nach der Eingabe nie wieder angezeigt und nie in ein Log geschrieben; Endpunkt, Bucket-Name und Schlüssel-ID werden als gewöhnliche Einstellungen gespeichert. Aufnahmen im Browser schützt die Speicherverschlüsselung des Geräts (etwa FileVault oder BitLocker), sofern der Nutzer sie aktiviert hat. C.4 Authentifizierung - Die Anmeldung erfolgt mit E-Mail-Adresse und einem sechsstelligen Einmalcode oder einem Magic Link an diese Adresse. Es gibt keine Passwörter, die gephisht, wiederverwendet oder geleakt werden könnten. - Code-Anforderungen sind auf 5 pro 15 Minuten je Adresse und 20 je IP-Adresse begrenzt; Code-Versuche auf 6 pro 15 Minuten je Adresse und 30 je IP-Adresse. Anmeldungen und Fehlversuche werden mit Adresse, IP-Adresse und Browser protokolliert (C.11). - Sitzungen sind HttpOnly- und SameSite=Lax-Cookies von Capmes eigenem Anmeldedienst (Supabase Auth unter id.capme.app), werden automatisch rotiert und bei Abmeldung gelöscht. Eine Sitzung endet spätestens nach 30 Tagen oder nach 14 Tagen ohne Nutzung. - Einladungen, ein Thema aufzunehmen, tragen ein HMAC-signiertes Token mit sieben bis vierzehn Tagen Gültigkeit, das zeitkonstant verglichen und beim Öffnen gegen die aktuelle Zuweisung und eine aktive Mitgliedschaft geprüft wird. - Single Sign-on über SAML 2.0 steht Business und Enterprise und in der Business-Testphase zur Verfügung: eine Verbindung je Workspace für seine verifizierten E-Mail-Domains, eingerichtet vom Inhaber des Workspace und mit einer echten Anmeldung getestet, bevor sie erzwungen werden kann. Eine Sitzung über den Identity Provider gilt nur für Adressen an diesen Domains und nur in diesem Workspace. Wird Single Sign-on erzwungen, nimmt Capme keinen neuen E-Mail-Code mehr an für die Personen des Workspace an diesen Domains und für Adressen dort, die noch zu keinem Workspace gehören, auch nicht am Speichern-Schritt des kostenlosen Recorders; bereits offene Sitzungen laufen bis zu ihrem Ende weiter. Ausnahmen werden je Adresse mit Grund und Ablaufdatum erteilt, ein Break-Glass-Konto gibt es nicht. Konten entstehen bei der ersten Anmeldung; SCIM und OIDC werden nicht angeboten. - Capme hat keinen eigenen zweiten Faktor. Erzwingt ein Workspace Single Sign-on, ist Multi-Faktor-Authentifizierung die Richtlinie des Identity Providers des Kunden und wird dort durchgesetzt; Capme hält die Anmeldemethode fest und prüft den Faktor nicht. C.5 Zugriffskontrolle im Workspace - Drei Rollen: Inhaber, Admin, Mitglied. Ein Inhaber je Workspace, von der Datenbank erzwungen. Inhaber verwalten Admins, Admins verwalten Mitglieder. Speichereinstellungen und die Löschung des Workspace sind allein Sache des Inhabers. - Personen kommen dazu, wenn ein Admin sie hinzufügt. Ein Admin kann außerdem Mitgliedern erlauben, Kolleginnen und Kollegen an den verifizierten Domains des Workspace als Zuschauer hinzuzufügen, und in Business und Enterprise jeden selbst beitreten lassen, der sich mit einer Adresse an diesen Domains anmeldet. Eine Domain verifiziert ein Admin, indem er sich mit einer Adresse an ihr anmeldet; öffentliche Mailbox-Domains können nicht beansprucht werden, und eine Domain kann nur von einem Workspace beansprucht werden. - Ein Meeting ist für seinen Organisator, seine Referenten, sein Publikum und die Admins und den Inhaber des Workspace sichtbar. Wer nicht auf der Liste steht, kann beim Organisator nur Zugang anfragen. - Eine Aufnahme kann von ihrem Eigentümer oder einem Workspace-Admin gelöscht werden. Ein Meeting außerhalb des Workspace zu veröffentlichen ist nur seinem Organisator möglich, nur nach Bestätigung, dass jeder Referent zugestimmt hat, und nur, solange ein Workspace-Admin öffentliche Links überhaupt erlaubt hat; eine einzelne eigene Aufnahme kann ein Referent unter demselben Schalter veröffentlichen. Jeder Referent kann seine Aufnahmen über sein eigenes Profil aus öffentlichen Links zurückziehen. - Jede privilegierte Aktion wird in das Audit-Log des Workspace geschrieben (C.11). C.6 Mandantentrennung und interner Zugriff - Jede Tabelle des Meeting-Produkts hat Row-Level-Security aktiviert, ohne Richtlinien und mit entzogenen Rechten für anonyme und authentifizierte Rollen. Nur der Server erreicht die Daten, mit einem in Umgebungsvariablen gehaltenen Dienstzugang und nur über Server-Aktionen und API-Routen, die bei jeder Anfrage Mitgliedschaft und Rolle des Aufrufers prüfen. Tabellen aus der vorigen Version des Produkts liegen noch auf der Instanz und werden entfernt. - Aufnahmen in einem Kunden-Bucket sind nach Workspace-Kennung getrennt. Kein automatischer Job löscht eine Aufnahme in einem Kunden-Bucket: Die Dateien einer Aufnahme werden nur entfernt, wenn ein Mitglied diese Aufnahme löscht. Ein nächtlicher Job bricht Upload-Vorgänge ab, die unter dem Präfix des Workspace begonnen und nie beendet wurden. - Der Zugang zu Produktionssystemen (Hosting-Konsole, Datenbank-Konsole, Video-Host, DNS) ist auf die Personen beschränkt, die den Dienst betreiben, und erfordert Mehr-Faktor-Authentifizierung. Die Datenbank-Konsole verlangt erst einen Passkey bei Capmes eigenem Identitätsdienst und dann ein Passwort. Per SSH melden sich Administratoren auf den Servern nur mit Schlüsseln an, nicht mit Passwörtern. Administrative Aktionen auf diesen Systemen werden von den Anbietern protokolliert. - Capmes Mitarbeiter öffnen Kundenaufnahmen nur auf Anfrage des Kunden zu Supportzwecken, und jeder solche Zugriff wird dokumentiert. C.7 Cookies und Speicher im Browser Die Website setzt keine Marketing- oder Tracking-Cookies und zeigt keinen Einwilligungsbanner, weil keiner erforderlich ist: Im Einsatz sind die Anmeldesitzung, eine Sitzungsmarkierung für einen gesehenen Rechtshinweis, ein einstündiges Einladungs-Cookie, ein vierzehntägiges Trust-Center-Zugangs-Cookie und Einstellungen (Sprache, Design, eingeklappte Leiste). Die vollständige Liste mit Laufzeiten ist Abschnitt 3 der Datenschutzhinweise. Sitzungs- und Zugangs-Cookies sind HttpOnly und SameSite=Lax. Recorder-Einstellungen, Entwürfe und die Stelle, an der die Wiedergabe fortsetzt, bleiben im Browser; die am weitesten erreichte Stelle einer Person in einem Thema wird als Sehfortschritt gespeichert (C.14), und der Recorder meldet seine Einstellungen, nie seinen Inhalt, an die Reichweitenmessung (C.9). C.8 Netz, CDN und Anwendungshärtung - Der gesamte Verkehr zu capme.app läuft über das CDN von bunny.net, das volumetrische Angriffe abfängt und Anfragedaten nur sekundenlang im Arbeitsspeicher hält. Das CDN fügt jeder Anfrage ein gemeinsames Geheimnis hinzu, das die Anwendung prüft, und übergibt die Client-Adresse in einem Header, den die Anwendung liest. - Eine Content Security Policy wird pro Anfrage mit Nonce und strict-dynamic erzeugt, sodass nur Skripte laufen, die die Seite selbst gestartet hat; Medien und Verbindungen sind auf die benannten Video-Hosts und die Kunden-Bucket-Hosts auf einer Zulassungsliste beschränkt, die Code ist, nicht Konfiguration. Einbettung ist überall untersagt außer auf der Embed-Route für öffentliche Links. - Die Wiedergabe gehosteter Videos nutzt pro Datei signierte Adressen, die die Wiedergabeseite während des Zuschauens selbst erneuert; stellt ein Kunde seinen Bucket öffentlich bereit, werden dessen eigene Adressen verwendet. Upload-Zugangsdaten laufen nach 15 Minuten (Kunden-Bucket) oder 6 Stunden (EU-Hosting) ab. - Webhooks des Video-Hosts und des Zahlungsdienstleisters werden mit gemeinsamem Geheimnis oder Signatur geprüft; interne Jobs erfordern ein zeitkonstant verglichenes Geheimnis. - Eingaben werden an jeder Grenze gegen ein Schema geprüft; Felder, die das Schema nicht kennt, werden verworfen. C.9 Reichweitenmessung und Telemetrie Die Reichweitenmessung läuft mit OpenPanel, selbst gehostet auf Capmes eigenem Server in der EU. Kein Cookie, kein dauerhafter Identifikator, kein seitenübergreifendes Tracking; die IP-Adresse dient der Ableitung eines Landes und wird nicht gespeichert. Ereignisse enthalten Seitenaufrufe, auch im Meeting-Produkt, und Interface-Aktionen wie das Öffnen eines Meetings oder das Ansehen eines Kapitels, und aus dem Recorder die Einstellungen einer Aufnahme, nie ihren Inhalt. Kein Ereignis trägt eine Nutzerkennung. Nutzer können über einen Browser-Speicherschlüssel widersprechen; automatisierte Browser sind ausgenommen. Fehlerverfolgung ist nicht aktiviert; an einen Fehlermeldedienst wird nichts gesendet. C.10 Verfügbarkeit und Backups Die Anwendung wird über Coolify auf Hetzner aus einem Container-Image ausgerollt, das nur gebaut wird, wenn Typprüfung, Lint-Regeln und Unit-Tests bestehen. Die Datenbank läuft auf Capmes eigener Instanz, deren Betreiber Elestio Snapshots der gesamten virtuellen Maschine anlegt. Einen Zeitplan für logische Datenbank-Backups oder eine Point-in-Time-Wiederherstellung sagt Capme derzeit nicht zu. Aufnahmen im EU-Hosting speichert Bunny in einer Speicherregion, und eine gelöschte Aufnahme lässt sich daraus nicht wiederherstellen; Aufnahmen in einem Kunden-Bucket sichert der Kunde selbst. Ein Workspace kann Capme jederzeit bitten, seine Aufnahmen kostenlos als MP4-Dateien zu exportieren. Aktueller Status und Verfügbarkeit sind unter https://status.capme.app veröffentlicht. Capme betreibt kein eigenes Rechenzentrum. C.11 Protokollierung und Audit-Log Jeder Workspace hat ein Audit-Log darüber, wer was wann getan hat, mit der Adresse des Handelnden und, wo eine Anfrage den Eintrag ausgelöst hat, deren IP-Adresse und Browser: hinzugefügte, entfernte und wieder aufgenommene Mitglieder, Rollenwechsel und Inhaberübertragungen, Änderungen an Einstellungen, Branding und Speicher (nie der Wert eines Geheimnisses), Aufbewahrungs- und Behalten-Entscheidungen, Löschungen, angelegte und widerrufene öffentliche Links mit der Bestätigung des Organisators, Exporte, Planwechsel und Annahmen von Rechtstexten. Anmeldungen, fehlgeschlagene Codes und Abmeldungen werden ebenso protokolliert, als Eintrag zur Person und nicht zu einem Workspace; sie gehören daher nicht zum Log oder Export eines Workspace, und Capme nutzt sie, um einen Sicherheitsvorfall zu rekonstruieren. Nichts im Produkt ändert einen Eintrag; das Log überdauert die Löschung seines Workspace und wird nach 365 Tagen von einem nächtlichen Job entfernt. Business und Enterprise können es als CSV exportieren (die jüngsten 5.000 Einträge, bis zu fünf Exporte pro Stunde), und der Export wird selbst protokolliert; in anderen Plänen stellt Capme den Export auf Anfrage bereit. C.12 Sicherheitsprogramm Zertifizierungen. Capme hat keine eigene Zertifizierung (kein SOC 2, kein ISO 27001). Seine Hosts schon: Hetzner ISO 27001; netcup ISO 27001 und ISO 27701. Prüfungen. Ein unabhängiger Penetrationstest oder eine unabhängige Sicherheitsprüfung wurde noch nicht durchgeführt, weder am Produkt noch gegen die Produktion. Schwachstellenmanagement. Abhängigkeiten werden automatisch überwacht; kritische Sicherheits-Patches werden innerhalb von sieben Tagen nach Bekanntwerden eingespielt. Das Container-Image wird nur gebaut, wenn Typprüfung, Lint-Regeln und Unit-Tests bestehen, und das Release-Skript prüft das Umgebungsmanifest. Änderungen macht ein einzelner Entwickler; eine zweite prüfende Person gibt es nicht. Verantwortungsvolle Offenlegung. security@capme.app, maschinenlesbar veröffentlicht unter https://capme.app/.well-known/security.txt. Personen. Die Capme Digital GmbH wird von ihrem Geschäftsführer betrieben; jede Person mit Produktionszugang ist zur Vertraulichkeit verpflichtet. C.13 Datensparsamkeit Aufnehmen braucht kein Konto. Ein Konto braucht eine E-Mail-Adresse und sonst nichts; Anzeigename und Berufsbezeichnung sind freiwillig. Öffentliche Seiten zeigen den Anzeigenamen eines Referenten oder, wenn keiner gesetzt ist, den Teil der Adresse vor dem @, nie die Adresse. Die Reichweitenmessung trägt keine Nutzerkennung. E-Mails enthalten, was der Empfänger zum Handeln braucht. Einstellungen, Entwürfe und eigene Bilder des Recorders bleiben auf dem Gerät. Ein Zähler der Speichervorgänge wird seit dem 21. September 2026 nicht mehr geführt. Das Audit-Log hält nie den Wert eines Geheimnisses fest und bei Speichereinstellungen nur die Namen der geänderten Felder. C.14 Zweckbindung Kundendaten werden verarbeitet, um dem Workspace den Dienst zu erbringen, und zu nichts anderem. Capme analysiert den Inhalt von Aufnahmen nicht, transkribiert oder fasst sie nicht zusammen, trainiert keine Modelle damit und nutzt sie nicht zu eigenen Zwecken. Aggregierte, anonyme Nutzungsstatistiken sind die einzige Zweitnutzung. Der Sehfortschritt wird dem Organisator des Meetings und den Admins des Workspace als Funktion des Produkts gezeigt; Capme bildet daraus keine Bewertungen oder Leistungsmessungen. Ein Admin des Workspace kann ihn auf Summen beschränken; dann verlässt der Fortschritt einzelner Personen den Server nicht, auch nicht, ob jemand ein Meeting geöffnet hat. Die Admin-Übersicht nennt außerdem bis zu zehn Personen, die noch Aufnahmen schulden, mit Anzahl und seit wann; diese Liste hängt nicht von der Summen-Einstellung ab. Wo das Recht des Arbeitgebers es verlangt (in Deutschland die Mitbestimmung des Betriebsrats nach §87 Abs. 1 Nr. 6 BetrVG), entscheidet der Kunde, ob und wie er diese Funktionen einsetzt; das Trust Center dokumentiert, was gemessen wird und wer es sieht. C.15 Aufbewahrung und Löschung - Gehostete Aufnahmen: von einem nächtlichen Job nach dem Aufbewahrungsfenster des Workspace gelöscht (365 Tage; in Solo, Business und Enterprise kann der Workspace 1 bis 365 Tage festlegen). Das Löschdatum einer Aufnahme wird bei ihrer Entstehung gesetzt und erneut, wenn sie einem Meeting hinzugefügt wird; ein geändertes Fenster gilt also ab dann. Würde die nächtliche Löschung einen ungewöhnlich großen Teil der Aufnahmen eines Workspace erfassen, wird sie angehalten, bis eine Person sie prüft. Eine Aufnahme oder ein Meeting kann über das Fenster hinaus behalten werden; Löschen gewinnt immer über Behalten. Aufnahmen in einem Kunden-Bucket haben kein Fenster von uns; es gelten die Lebenszyklusregeln des Buckets. - Das Löschen einer Aufnahme entfernt sie unverzüglich beim Host und löst sie aus jedem Meeting. - Löschen eines Workspace: 14 Tage Frist, in der nichts vernichtet wird und der Antrag zurückgenommen werden kann; dann die von uns gehosteten Aufnahmen, die Branding-Dateien, jeder Datensatz außer dem Audit-Log (C.11) einschließlich des Bucket-Zugriffsschlüssels und die Anmeldungen von Mitgliedern, die keinem anderen Workspace angehören; Aufnahmen in einem Kunden-Bucket bleiben dort. Branding-Dateien, auf die kein Datensatz mehr verweist, werden nächtlich bereinigt; in einem Kunden-Bucket werden Dateien, auf die keine Aufnahme verweist, nur gemeldet. - Ein Workspace, dessen bezahlter Plan beendet ist: 30 Tage nur lesbar, Inhaber und Admins werden 7 Tage vor Ablauf per E-Mail erinnert, dann wie oben gelöscht, ohne die Frist. Ein abgelaufener Test wird so nicht gelöscht. - Audit-Log: 365 Tage. Server-Logs: kurzzeitig, zur Sicherheit und Fehlersuche. Support-Mails: höchstens drei Jahre. Trust-Center-Anfragen: zwei Jahre. Rechnungen: zehn Jahre. - Betroffenenanfragen werden innerhalb eines Monats von Hand nach einem Runbook bearbeitet, das jede Tabelle nennt, in der eine Person vorkommen kann. C.16 Reaktion auf Vorfälle 1. Jeder kann einen Vorfall oder eine Sicherheitslücke an security@capme.app melden. 2. Capme grenzt den Vorfall ein, ermittelt anhand des Audit-Logs und der Anbieterprotokolle, welche Workspaces und Daten betroffen sind, und sichert die Beweise. 3. Betroffene Kunden werden unverzüglich und innerhalb von 48 Stunden, nachdem Capme Kenntnis erlangt hat, an der Adresse des Workspace-Inhabers mit den in Artikel 33 Absatz 3 DSGVO genannten Informationen benachrichtigt, damit der Kunde seine eigene 72-Stunden-Pflicht erfüllen kann; Aufsichtsbehörden und betroffene Personen werden benachrichtigt, wo Capme selbst Verantwortlicher ist. 4. Eine schriftliche Nachbereitung hält Ursache, Behebung und Änderungen fest. Vorfälle bei einem Unterauftragsverarbeiter werden genauso behandelt. Die Liste der zu benachrichtigenden Workspaces wird aus der Datenbank abgeleitet. Das Verfahren wurde noch nicht geprobt; eine Probe steht vor dem ersten zahlenden Kunden an.

Die folgenden Unterauftragsverarbeiter sind nach Klausel 4.7 berechtigt, personenbezogene Daten zu den genannten Zwecken zu verarbeiten. Letzte Änderung: 30. September 2026. Capme benachrichtigt den Workspace-Inhaber per E-Mail mindestens dreißig Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters.