Auftragsverarbeitungsvertrag

1. Definitionen

„Personenbezogene Daten", „Verarbeitung", „Verantwortlicher" und „Auftragsverarbeiter" haben die Bedeutungen, die ihnen in der EU-Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) zugewiesen werden. „Kundenpersonenbezogene Daten" bezeichnet alle personenbezogenen Daten, die Capme im Auftrag des Kunden im Rahmen der Erbringung der Dienste verarbeitet.

2. Geltungsbereich und Rollen der Parteien

Rollen: Die Parteien erkennen an und stimmen zu, dass der Kunde in Bezug auf kundenbezogene personenbezogene Daten als Verantwortlicher und Capme als Auftragsverarbeiter handelt. Architektonischer Ausschluss von Videodaten: Der Kunde erkennt ausdrücklich an und stimmt zu, dass die Architektur von Capme „Local-First" ist. Videodateien, Bildschirmaufzeichnungen, Audiodaten und Webcam-Aufnahmen werden direkt im lokalen Browser-Speicher des Nutzers (Origin Private File System) gespeichert und werden niemals auf die Infrastruktur von Capme hochgeladen, dort gespeichert oder über diese verarbeitet. Folglich sind Videoinhalte vollständig vom Umfang der kundenbezogenen personenbezogenen Daten ausgeschlossen, und Capme trägt keine Haftung oder Verarbeitungspflichten in Bezug auf die Videodateien des Kunden. Rangfolge der Vereinbarungen: Im Falle eines Konflikts zwischen diesem AVV und den Nutzungsbedingungen oder der Datenschutzerklärung hinsichtlich der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang.

3. Pflichten des Auftragsverarbeiters

Capme verpflichtet sich zu: Weisungen: Kundenbezogene personenbezogene Daten ausschließlich im Auftrag und gemäß den dokumentierten Weisungen des Kunden zu verarbeiten. Der Vertrag und dieser Auftragsverarbeitungsvertrag stellen die vollständigen Weisungen des Kunden dar. Vertraulichkeit: Sicherzustellen, dass der administrative Zugang zur Produktionsinfrastruktur streng begrenzt und protokolliert wird. Sicherheitsmaßnahmen: Geeignete technische und organisatorische Maßnahmen zum Schutz der Serverinfrastruktur zu implementieren und aufrechtzuerhalten, wie in Anhang C dieses AVV beschrieben. Rechte der betroffenen Personen: Unter Berücksichtigung der Art der Verarbeitung den Kunden durch geeignete technische Maßnahmen zu unterstützen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht, auf Anfragen von betroffenen Personen zu reagieren. Haftung für Unterauftragsverarbeiter: Capme haftet dem Kunden gegenüber für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in gleichem Umfang wie für eigene Handlungen und Unterlassungen im Rahmen dieses AVV. Datenschutzverletzungen: Den Kunden unverzüglich und spätestens innerhalb von 72 Stunden zu benachrichtigen, nachdem Capme Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten erlangt hat, die die Serverinfrastruktur von Capme betrifft. Benachrichtigungen enthalten soweit bekannt: die Art der Verletzung; die Kategorien und die ungefähre Anzahl der betroffenen Personen; die Kategorien und die ungefähre Anzahl der betroffenen Datensätze; die voraussichtlichen Folgen; sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung. Löschung: Kundenbezogene personenbezogene Daten innerhalb eines angemessenen Zeitraums nach Beendigung des Dienstes oder auf schriftliche Anfrage des Kunden zu löschen, sofern nicht das geltende europäische oder deutsche Recht eine weitere Speicherung vorschreibt. DSFA-Unterstützung: Auf begründete schriftliche Anfrage des Kunden und unter Berücksichtigung der Art der Verarbeitung sowie der Capme verfügbaren Informationen, den Kunden in angemessener Weise bei der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) gemäß DSGVO Art. 35 sowie erforderlichenfalls bei vorherigen Konsultationen mit Aufsichtsbehörden gemäß DSGVO Art. 36 zu unterstützen.

4. Unterauftragsverarbeiter

Allgemeine Genehmigung: Durch Annahme dieser Vereinbarung erteilt der Kunde Capme die allgemeine Genehmigung gemäß Art. 28 Abs. 2 DSGVO, Unterauftragsverarbeiter für betriebliche Infrastruktur- und Softwarebereitstellungsdienste einzusetzen. Änderungen bei Unterauftragsverarbeitern: Die aktuelle Liste der genehmigten Unterauftragsverarbeiter wird in Anhang B dieses AVV geführt. Capme informiert den Kunden über wesentliche Änderungen an der Liste der Unterauftragsverarbeiter per E-Mail an die registrierte Kontoadresse oder über eine In-App-Benachrichtigung sowie durch Aktualisierung dieses AVV. Kunden können einer neuen Unterauftragsverarbeitung innerhalb von 14 Tagen nach Benachrichtigung auf begründeten datenschutzrechtlichen Grundlagen widersprechen. Kann Capme dem Widerspruch nicht Rechnung tragen, ist der Kunde berechtigt, diese Vereinbarung mit sofortiger Wirkung zu kündigen und erhält eine anteilige Erstattung vorausgezahlter Gebühren für den ungenutzten Teil des laufenden Abonnementzeitraums.

5. Haftungsbeschränkung & Beta-Hinweis

Haftungsgrenze: Im größtmöglichen nach deutschem und EU-Recht zulässigen Umfang ist die Gesamthaftung von Steffen Rosenögger (Capme) für alle Ansprüche, Schäden oder Verluste, die sich aus oder in Verbindung mit diesem Auftragsverarbeitungsvertrag ergeben, auf die vom Kunden in den 12 Monaten vor dem Anspruch gezahlten Gebühren begrenzt. Die Haftung für Vorsatz und grobe Fahrlässigkeit bleibt unberührt. Kein Ersatz mittelbarer Schäden: Capme haftet unter keinen Umständen für mittelbare, zufällige, besondere, Folge- oder Strafschäden, einschließlich, aber nicht beschränkt auf entgangene Gewinne, Datenverlust, Goodwill oder Betriebsunterbrechung, auch wenn auf die Möglichkeit solcher Schäden hingewiesen wurde. Beta-Status: Der Kunde erkennt an, dass der Dienst derzeit eine öffentliche Beta ist, die „wie besehen" und „wie verfügbar" ohne jegliche Gewährleistung bereitgestellt wird. Ungeachtet dessen bleiben Capmes Pflichten aus diesem AVV hinsichtlich Schutz, Rückgabe und Löschung kundenbezogener personenbezogener Daten unabhängig vom Beta-Status des Dienstes in vollem Umfang bestehen. Pflichten des Verantwortlichen: Als Verantwortlicher ist der Kunde verantwortlich für: (a) die Sicherstellung einer Rechtsgrundlage für die Verarbeitung gemäß DSGVO; (b) die Einholung der erforderlichen Einwilligungen von betroffenen Personen vor deren Bereitstellung des Zugangs zu Capme; (c) die Bereitstellung von Datenschutzhinweisen für Workspace-Nutzer gemäß DSGVO Art. 13/14; (d) die Überprüfung der Identität betroffener Personen vor der Erfüllung von Rechtsanfragen; (e) die Benachrichtigung von Aufsichtsbehörden und betroffenen Personen bei Verletzungen, soweit nach DSGVO Art. 33–34 erforderlich. DSGVO Artikel 82: Gemäß DSGVO Art. 82 Abs. 3 wird die Haftung für Schäden zwischen Verantwortlichem und Auftragsverarbeiter nach Verschulden aufgeteilt. Jede Partei haftet nur für Schäden, die durch ihre eigene DSGVO-Verletzung verursacht wurden.

6. Internationale Datenübermittlungen

Soweit die Verarbeitung kundenbezogener personenbezogener Daten eine Übermittlung außerhalb des Europäischen Wirtschaftsraums (EWR) in ein Drittland ohne Angemessenheitsbeschluss umfasst, werden solche Übermittlungen durch geeignete Garantien geregelt, einschließlich nachgelagert mit den jeweiligen Unterauftragsverarbeitern abgeschlossener Standardvertragsklauseln (SCC) oder des EU-US Data Privacy Framework. CCPA-Dienstleisterbezeichnung: Soweit Capme personenbezogene Daten von Einwohnern Kaliforniens im Auftrag des Kunden verarbeitet, handelt Capme als „Service Provider" im Sinne des California Consumer Privacy Act (CCPA) und seiner Durchführungsverordnungen. Capme: (a) verarbeitet solche personenbezogenen Daten ausschließlich für die in diesem AVV und in den dokumentierten Weisungen des Kunden festgelegten Geschäftszwecke; (b) verkauft oder teilt (im Sinne des CCPA) die personenbezogenen Daten des Kunden nicht; (c) bewahrt, nutzt oder offenbart solche personenbezogenen Daten nicht für kommerzielle Zwecke, die über die in der Vereinbarung festgelegten Dienste hinausgehen; und (d) kombiniert solche personenbezogenen Daten nicht mit personenbezogenen Daten, die von oder im Auftrag anderer Unternehmen empfangen oder erhoben werden, außer soweit nach dem CCPA zulässig.

7. Prüfungsrechte

Der Kunde kann die Einhaltung dieses AVV durch Capme unter folgenden Bedingungen überprüfen: - Anfragen müssen schriftlich an security@capme.app mit mindestens 60 Tagen Vorlaufzeit eingereicht werden. - Prüfungen sind auf einmal pro Kalenderjahr beschränkt, sofern keine Aufsichtsbehörde etwas anderes vorschreibt. - Prüfungen müssen von einem unabhängigen Dritten durchgeführt werden, der zur Vertraulichkeit verpflichtet ist. - Der Kunde trägt alle Kosten der Prüfung. - Der Prüfungsumfang ist auf die DSGVO-Konformität im Rahmen dieses AVV beschränkt. Anstelle einer vollständigen Prüfung stellt Capme auf begründete Anfrage Dokumentationen zur Verfügung, die die Einhaltung dieses AVV belegen, einschließlich dieses öffentlich verfügbaren AVV, der Datenschutzerklärung und der genehmigten Unterauftragsverarbeiterliste in Anhang B dieses AVV.

8. Anwendbares Recht

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland, in Übereinstimmung mit der Rechtswahlklausel in den Nutzungsbedingungen. Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Düsseldorf, Deutschland. Zwingende Bestimmungen der DSGVO und des anwendbaren EU-Datenschutzrechts haben Vorrang vor etwaigen entgegenstehenden nationalen Rechtsvorschriften.

9. Freistellung

Freistellung durch den Auftragsverarbeiter: Capme stellt den Kunden frei von DSGVO-Bußgeldern, behördlichen Sanktionen und angemessenen Rechtskosten, soweit diese unmittelbar und ausschließlich auf einen wesentlichen Verstoß von Capme gegen seine Pflichten als Auftragsverarbeiter gemäß diesem AVV oder dem anwendbaren Datenschutzrecht zurückzuführen sind. Freistellung durch den Verantwortlichen: Der Kunde stellt Capme frei von DSGVO-Bußgeldern, behördlichen Sanktionen und angemessenen Rechtskosten, soweit diese unmittelbar und ausschließlich auf einen Verstoß des Kunden gegen seine Pflichten als Verantwortlicher gemäß diesem AVV, der DSGVO oder anderem anwendbaren Datenschutzrecht zurückzuführen sind — einschließlich des Versäumnisses des Kunden, eine Rechtsgrundlage für die Verarbeitung zu schaffen, betroffenen Personen angemessene Datenschutzhinweise bereitzustellen oder anderen Verantwortlichenpflichten gemäß DSGVO Art. 24–26 nachzukommen. DSGVO Artikel 82: Die Haftung für Schäden gemäß DSGVO Art. 82 wird zwischen Verantwortlichem und Auftragsverarbeiter nach Verschulden aufgeteilt. Jede Partei haftet nur für Schäden, die durch eine DSGVO-widrige Verarbeitung verursacht wurden und der eigenen Pflichtverletzung zurechenbar sind. Haftungsgrenze: Die Freistellungspflichten jeder Partei gemäß diesem Abschnitt 9 unterliegen der Gesamthaftungsgrenze gemäß Abschnitt 5 dieses AVV.

Anhang A: Einzelheiten der Verarbeitung

A.1 Kategorien betroffener Personen - Autorisierte Nutzer des Capme-Arbeitsbereichs des Kunden (Mitarbeiter, Auftragnehmer). - Externe Gastbetrachter, die auf mit dem Kunden gebrandete Arbeitsbereich-Landingpages zugreifen. A.2 Kategorien personenbezogener Daten - Kontoidentifikation: Dienstliche E-Mail-Adressen der Nutzer. - Sitzungsverwaltung: Authentifizierungs-Token (HttpOnly-Cookies). - Arbeitsbereichskonfigurationen: Arbeitsbereichsnamen, benutzerdefinierte Branding-Assets, Admin-Listen und Domain-Whitelist-Einstellungen. - Operative Metadaten: Anonymisierte Aufzeichnungstelemetrie (Zeitstempel, Dauern, Auflösungsmetriken und Feature-Flags). A.3 Art und Zweck der Verarbeitung Die Verarbeitung von Konfigurationsdaten und Metadaten erfolgt ausschließlich zur Bereitstellung, Sicherung und Wartung des Capme-Bildschirmaufnahme-Studios und der Arbeitsbereich-Administrations-Dashboards gemäß dem Vertrag. A.4 Dauer der Verarbeitung Kundenbezogene personenbezogene Daten werden für die Dauer des aktiven Kontoabonnements verarbeitet und innerhalb eines angemessenen Zeitraums nach Beendigung des Dienstes gelöscht oder anonymisiert.

Anhang B: Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter sind zum Zeitpunkt dieses AVV zur Verarbeitung kundenbezogener personenbezogener Daten autorisiert:

Capme benachrichtigt den Kunden per E-Mail mindestens 14 Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters.

Anhang C: Technische und Organisatorische Sicherheitsmaßnahmen

Dieser Anhang ist das vollständige TOM-Dokument (Technische und Organisatorische Maßnahmen) von Capme. Zuletzt geprüft: Mai 2026. Status: Aktiv — Öffentliche Beta. C.1 Local-First-Architektur Die primäre Sicherheitsmaßnahme von Capme ist architektonischer Natur: Videoinhalte passieren niemals die Capme-Infrastruktur. - Die MediaRecorder Web-API des Browsers erfasst Bildschirm- und Webcam-Eingaben. - Daten werden in Echtzeit in OPFS (Origin Private File System) geschrieben — ein sandboxed Browser-Speicherbereich, der von anderen Ursprüngen isoliert und nur durch den Browser und das Betriebssystem des Nutzers zugänglich ist. - Vom OPFS aus kann das Betriebssystem des Nutzers Dateien mit dessen eigenem Speicher synchronisieren (OneDrive, SharePoint, Google Drive, S3, lokaler Ordner). Capme ist an dieser Synchronisierung nicht beteiligt und hat keine Einsicht darin. - Eine Kompromittierung der Capme-Infrastruktur würde nur Workspace-Konfiguration, Aufzeichnungsmetadaten und Auth-Tokens (automatisch rotiert) betreffen. Videoinhalte sind vollständig unberührt. C.2 Verschlüsselung bei der Übertragung Die gesamte Kommunikation zwischen Nutzerbrowsern und Capme-Diensten verwendet mindestens TLS 1.2; TLS 1.3 wird bevorzugt. Dies umfasst Authentifizierung, Workspace-Konfiguration, Analytics, Fehlerberichte und transaktionale E-Mail-Zustellung. Videoinhalte werden nie zu Capme hochgeladen — es gibt keine Videodaten in der Übertragung zu oder von Capme-Servern. C.3 Verschlüsselung im Ruhezustand Videodateien werden im Ruhezustand durch den eigenen Speicheranbieter des Nutzers verschlüsselt. OneDrive, SharePoint, Google Drive und Amazon S3 verwenden standardmäßig AES-256; gerätebasierte Verschlüsselung (BitLocker unter Windows, FileVault unter macOS) bietet eine zusätzliche Schicht. Capme hält keine Verschlüsselungsschlüssel für Videoinhalte und kann Dateien nicht entschlüsseln. Workspace-Konfiguration und Metadaten werden in einer verschlüsselten EU-gehosteten Datenbank gespeichert. Das Verschlüsselungsschlüssel-Management wird vom Datenbankbetreiber (Supabase; siehe Anhang B) verwaltet. C.4 Authentifizierung - E-Mail-basierte Einmalpasswörter (OTP) — keine gespeicherten Passwörter, nichts zum Phishing oder Wiederverwenden. - OTPs werden von Supabase Auth generiert und über den transaktionalen E-Mail-Anbieter (Plunk; siehe Anhang B) zugestellt. - Rate Limiting: 5 OTP-Anfragen pro 15 Minuten pro E-Mail-Adresse, 20 pro 15 Minuten pro IP. - Sitzungs-Tokens (sb-*) sind HttpOnly-Cookies, werden bei der Abmeldung gelöscht und automatisch rotiert. C.5 Workspace-Zugangskontrolle Zwei Bereitstellungsmethoden werden unterstützt:

Admin-Rollen können Branding, Einstellungen, Domain-Whitelist, Zugriffslinks, andere Admins, Analytics und Abrechnung verwalten. Videoinhalte sind für Admins über Capme nie zugänglich. C.6 Interne Zugangskontrolle - MFA für alle administrativen Zugriffe auf Produktionssysteme erforderlich. - Row-Level Security (RLS) erzwingt Mandantenisolierung auf Datenbankebene: Nutzer können nur auf Daten ihres eigenen Workspace zugreifen. - Capme wird von Steffen Rosenögger als Privatperson betrieben. - Alle administrativen Aktionen auf der Produktionsinfrastruktur werden protokolliert. C.7 Cookie-Sicherheit

Es werden keine Marketing- oder Tracking-Cookies gesetzt. OpenPanel (Analytics) und Better Stack (Fehlerverfolgung) setzen keine Cookies. C.8 CDN und DDoS-Schutz Der gesamte Traffic zu capme.app läuft über Gcore (CDN, DDoS-Schutz, Caching; siehe Anhang B). Gcore setzt bei standardmäßigem CDN-Traffic keine Cookies und handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO. C.9 Analytics OpenPanel läuft auf dem eigenen On-Premise-Server von Capme in Deutschland (EU). Daten verlassen die EU-Infrastruktur nie und werden nie an Dritte weitergegeben. Für alle Besucher: keine Cookies; IP-Adressen werden transient zur geografischen Ortung (Land/Region) verarbeitet und nicht in der Analysedatenbank gespeichert. Ein täglich rotierender kryptografischer Hash schätzt einzigartige Besucher innerhalb von 24 Stunden; kein dauerhafter Identifikator auf dem Gerät gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für eingeloggte Nutzer: Ereignisse enthalten ein Plan-Attribut ('business' oder 'public') zur Unterscheidung von Sitzungstypen. Es werden keine Nutzer-ID, E-Mail-Adresse, Name oder Organisationskennung an OpenPanel übermittelt. Nutzungsstatistiken im Admin-Dashboard stammen aus Aufzeichnungs-Metadaten, die separat in Supabase gespeichert werden (siehe unten), nicht aus OpenPanel. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Anonymisierte Aufzeichnungsmetadaten (Dauer, Auflösung, Modus, Branding-Nutzung) werden in einer EU-gehosteten Datenbank gespeichert und nach 24 Monaten automatisch gelöscht. C.10 Fehlerverfolgung Technische Fehler (Browserversion, Fehler-Stack-Traces) werden von Better Stack (EU-gehostet; siehe Anhang B) zur Fehlerbehebung protokolliert. Kein Nutzer-Tracking, keine Cookies. C.11 Offline-Fähigkeit Eingeschränkte Offline-Aufzeichnungsfunktionen können über die Capme Progressive Web App (PWA) verfügbar sein. Dies ist ein experimentelles Feature; Offline-Funktionalität ist nicht garantiert, hängt von Browser und Gerätekonfiguration ab und kann jederzeit geändert oder entfernt werden. Sitzungen bleiben bis zu 7 Tage nach der letzten Online-Authentifizierung gültig. Capme gibt keine Gewährleistung hinsichtlich der Offline-Verfügbarkeit oder -Zuverlässigkeit; dieses Feature stellt keine Zusage für den Einsatz in air-gapped oder netzwerkbeschränkten Umgebungen dar. C.12 Sicherheitsprogramm Zertifizierungen: Capme hält zum Datum dieses Dokuments keine unabhängigen Sicherheitszertifizierungen (SOC 2 Type II, ISO 27001). EU-gehostete Unterauftragsverarbeiter pflegen ihre eigenen Zertifizierungen; siehe Anhang B. Physische Sicherheit: Capme betreibt keine eigenen Rechenzentren. Die physische Sicherheit wird durch die eigenen Kontrollen jedes Unterauftragsverarbeiters gewährleistet (siehe Anhang B). Schwachstellenmanagement: Abhängigkeiten werden über automatisierte Tools (Dependabot) überwacht. Kritische Sicherheits-Patches werden innerhalb von 7 Tagen nach öffentlicher Bekanntmachung eingespielt. Da keine Nutzervideodaten serverseitig gespeichert werden, ist die angreifbare Angriffsfläche erheblich begrenzt. Sicherheitsüberprüfung: Im Mai 2026 wurde eine interne Sicherheitsüberprüfung der Authentifizierungs-, API- und Datenverarbeitungsschichten durchgeführt. Alle kritischen Befunde wurden vor dem Deployment behoben. Ein unabhängiger Penetrationstest durch Dritte ist noch nicht geplant. Backup und Wiederherstellung: Supabase pflegt automatisierte Backups der Workspace-Konfiguration und Metadaten nach eigenem Standard-Zeitplan. Videodaten werden von Capme nicht gesichert — sie liegen auf dem eigenen Gerät und in der Speicherumgebung des Nutzers. Sichere Entwicklung: Code-Änderungen werden vor dem Deployment geprüft. Die Anwendung basiert auf gewarteten Open-Source-Frameworks. Kein Drittanbieter-Code hat Zugang zu Nutzervideodaten. Personal: Capme wird von Steffen Rosenögger als Privatperson betrieben. Vorfallshistorie: Es sind bis dato keine Sicherheitsvorfälle oder Datenschutzverletzungen aufgetreten. C.13 Datensparsamkeit Für die Registrierung ist nur eine E-Mail-Adresse erforderlich — kein Name, keine Telefonnummer oder weitere personenbezogene Daten. Analytics-Metadaten sind anonymisiert; es werden serverseitig keine Videoinhalte, Audiodaten oder Bildschirmaufzeichnungen erfasst. Für nicht authentifizierte Besucher werden keine dauerhaften Identifikatoren gespeichert. C.14 Zweckbindung

C.15 Aufbewahrungsfristen

C.16 Reaktion auf Vorfälle Im Falle eines Sicherheitsvorfalls: 1. Kontakt: security@capme.app. 2. Aufgrund der Local-First-Architektur ist jede Kompromittierung der Capme-Infrastruktur auf Workspace-Konfiguration, Aufzeichnungsmetadaten und Auth-Tokens (automatisch rotiert) beschränkt. Videoinhalte können in einem Capme-Breach nicht exponiert werden, da sie niemals auf Capme-Infrastruktur gespeichert werden. 3. Betroffene Kunden und zuständige Aufsichtsbehörden werden gemäß DSGVO Art. 33–34 benachrichtigt (72-Stunden-Benachrichtigungsfenster). Während der Beta-Phase kann Capme Änderungen an diesen Maßnahmen per In-App-Benachrichtigung statt per E-Mail mitteilen. Nach der allgemeinen Verfügbarkeit werden wesentliche Änderungen per E-Mail oder In-App-Benachrichtigung kommuniziert und in einem aktualisierten AVV dokumentiert.