Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 11. Februar 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Vereinbarung zwischen der Surface Layer Limited (Company No. 17396632), handelnd unter supportpages.io („Auftragsverarbeiter“, „wir“, „uns“), mit eingetragenem Sitz in 128 City Road, London, United Kingdom, EC1V 2NX, und dem Unternehmen, das diesen Bedingungen zustimmt („Verantwortlicher“, „Kunde“, „Sie“), über die Nutzung der Dienste von supportpages.io.

Dieser AVV setzt die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) um, insbesondere die des Artikels 28.

1. Begriffsbestimmungen

Personenbezogene Daten bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung bezeichnet jeden Vorgang im Zusammenhang mit personenbezogenen Daten, einschließlich Erhebung, Speicherung, Verwendung, Offenlegung und Löschung.

Verantwortlicher bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Das sind Sie.

Auftragsverarbeiter bezeichnet die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Das sind wir.

Unterauftragsverarbeiter bezeichnet jeden Dritten, den wir mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag beauftragen.

Betroffene Person bezeichnet die natürliche Person, deren personenbezogene Daten verarbeitet werden.

2. Gegenstand und Zweck

2.1 Geltungsbereich

Dieser AVV gilt für personenbezogene Daten, die wir in Ihrem Auftrag verarbeiten, wenn Sie supportpages.io nutzen, um:
- Code-Repositorys zu analysieren
- Dokumentation zu erstellen
- veröffentlichte Dokumentation zu hosten

2.2 Rollen

Sie sind der Verantwortliche für personenbezogene Daten in Ihren Repositorys und erzeugten Inhalten
Wir sind der Auftragsverarbeiter und handeln auf Ihre Weisung, um den Dienst zu erbringen

2.3 Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich, um die Dienste von supportpages.io wie in unseren Nutzungsbedingungen beschrieben zu erbringen. Wir verarbeiten Ihre Daten nicht für eigene Zwecke.

3. Datenkategorien

Wir können in Ihrem Auftrag die folgenden Kategorien personenbezogener Daten verarbeiten:

Kategorie	Beispiele	Quelle
Kennungen von Entwicklern	Namen, E-Mail-Adressen in Code/Commits	Ihre Repositorys
Commit-Metadaten	Namen der Autoren, Commit-Nachrichten	GitHub-Webhooks
Inhalte der Dokumentation	Alle personenbezogenen Daten in erzeugter Dokumentation	Von KI aus Ihrem Code erzeugt

Hinweis: Welche personenbezogenen Daten tatsächlich verarbeitet werden, hängt vom Inhalt Ihrer Repositorys ab. Wir haben keinen Einfluss darauf, welche Daten Sie in Ihren Code aufnehmen.

4. Weisungen zur Verarbeitung

4.1 Ihre Weisungen

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage Ihrer dokumentierten Weisungen. Dazu gehören:
- die Nutzungsbedingungen, denen Sie zugestimmt haben
- Konfigurationsentscheidungen, die Sie im Dienst treffen
- konkrete Anfragen, die Sie über den Support an uns richten

4.2 Hinweispflicht

Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informieren wir Sie vor der Verarbeitung (sofern dies nicht gesetzlich untersagt ist).

4.3 Keine sonstige Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten zu keinem anderen Zweck als der Erbringung des Dienstes, es sei denn:
- dies ist gesetzlich vorgeschrieben (in diesem Fall informieren wir Sie, soweit zulässig)
- Sie erteilen uns zusätzliche Weisungen

5. Sicherheitsmaßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten um:

5.1 Technische Maßnahmen

Verschlüsselung bei der Übertragung: TLS 1.2+ für alle Verbindungen
Verschlüsselung gespeicherter Daten: Datenbankverschlüsselung
Zugriffskontrollen: Rollenbasierter Zugriff, Authentifizierung erforderlich
Infrastruktur: Server in der EU (Hetzner, Finnland)

5.2 Organisatorische Maßnahmen

Zugriff durch Mitarbeitende: Beschränkt auf Personen, die ihn benötigen
Vertraulichkeit: Mitarbeitende sind zur Vertraulichkeit verpflichtet
Schulung: Sensibilisierung der Teammitglieder für Sicherheitsthemen

5.3 Umgang mit Code

Code wird in isolierten, flüchtigen Umgebungen verarbeitet
Die Umgebungen werden nach jeder Analyse zerstört
Ihr Quellcode wird nie in unserer Datenbank gespeichert
Nur die erzeugte Dokumentation wird aufbewahrt

Weitere Einzelheiten finden Sie in unserer Sicherheitsübersicht.

6. Unterauftragsverarbeiter

6.1 Aktuelle Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter ein:

Unterauftragsverarbeiter	Zweck	Standort
Anthropic	KI-Analyse	USA
GitHub	Code-Zugriff, Webhooks	USA
Hetzner	Hosting-Infrastruktur	Finnland (EU)
Cloudflare	DNS, eigene Domains	Weltweit
Rollbar	Fehlerüberwachung	USA

Die aktuelle Liste finden Sie in unserer Liste der Unterauftragsverarbeiter.

6.2 Änderungen bei Unterauftragsverarbeitern

Bevor wir Unterauftragsverarbeiter hinzufügen oder ändern:
1. aktualisieren wir unsere Liste der Unterauftragsverarbeiter
2. informieren wir Sie per E-Mail (sofern Sie dem zugestimmt haben) oder durch eine Aktualisierung unserer Website
3. haben Sie 30 Tage Zeit, Widerspruch einzulegen

6.3 Widerspruch

Wenn Sie einem neuen Unterauftragsverarbeiter widersprechen:
- Kontaktieren Sie uns, um Ihre Bedenken zu besprechen
- Können wir Ihre Bedenken nicht ausräumen, können Sie die betroffenen Dienste kündigen
- Für eine Kündigung aus diesem Grund fallen keine Gebühren für eine vorzeitige Kündigung an

6.4 Pflichten der Unterauftragsverarbeiter

Unsere Unterauftragsverarbeiter sind durch Verträge gebunden, die ihnen Datenschutzpflichten auferlegen, die denen dieses AVV gleichwertig sind.

7. Rechte der betroffenen Personen

7.1 Ihre Verantwortung

Sie sind dafür verantwortlich, Anfragen betroffener Personen (Auskunft, Löschung usw.) zu personenbezogenen Daten in Ihren Repositorys und Inhalten zu beantworten.

7.2 Unsere Unterstützung

Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen, indem wir:
- Werkzeuge zum Exportieren und Löschen von Daten bereitstellen
- Anfragen beantworten, die Sie an uns weiterleiten
- Informationen über unsere Verarbeitung bereitstellen

7.3 Direkte Anfragen

Wendet sich eine betroffene Person direkt an uns wegen ihrer Daten in Ihren Inhalten:
- verweisen wir sie an Sie (sofern gesetzlich nichts anderes vorgeschrieben ist)
- informieren wir Sie über die Anfrage
- antworten wir ohne Ihre Weisung nicht in Ihrem Namen

8. Meldung von Datenschutzverletzungen

8.1 Unsere Verpflichtung

Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Ihre Daten betrifft, werden wir:
- Sie unverzüglich (und innerhalb von 72 Stunden) benachrichtigen
- Informationen über die Art der Verletzung bereitstellen
- die wahrscheinlichen Folgen beschreiben
- die ergriffenen oder vorgeschlagenen Maßnahmen beschreiben

8.2 Was wir Ihnen mitteilen

Unsere Meldung enthält (soweit bekannt):
- die Kategorien der betroffenen Daten
- die ungefähre Zahl der betroffenen Datensätze
- eine Anlaufstelle für weitere Informationen
- Maßnahmen zur Behebung der Verletzung

8.3 Ihre Pflichten

Sie sind dafür verantwortlich, die Datenschutzbehörden und die betroffenen Personen wie gesetzlich vorgeschrieben zu benachrichtigen. Wir unterstützen Sie dabei nach Bedarf.

9. Audits

9.1 Ihre Rechte

Sie können prüfen, ob wir diesen AVV einhalten. Dies kann Folgendes umfassen:
- die Anforderung von Unterlagen zu unseren Sicherheitsmaßnahmen
- die Anforderung von Ergebnissen externer Audits oder Zertifizierungen
- die Durchführung oder Beauftragung eines eigenen Audits

9.2 Ablauf eines Audits

Für die Durchführung eines Audits gilt:
1. Sie kündigen es uns mit einer Frist von 30 Tagen schriftlich an
2. Audits finden während der Geschäftszeiten statt
3. Audits beeinträchtigen unseren Betrieb nicht unangemessen
4. Sie tragen die Kosten des Audits (es sei denn, es wird ein Verstoß unsererseits festgestellt)
5. Prüfer müssen Vertraulichkeitsvereinbarungen unterzeichnen

9.3 Auskunftsersuchen

Wir stellen angemessene Informationen zum Nachweis der Einhaltung bereit, etwa:
- Unterlagen zu den Sicherheitsmaßnahmen
- Zusammenfassungen von Auditergebnissen
- Zertifizierungen, über die wir verfügen

10. Löschung von Daten

10.1 Während der Nutzung des Dienstes

Sie können Daten über die Oberfläche des Dienstes löschen:
- einzelne Artikel löschen
- Projekte löschen
- Ihr Konto löschen

10.2 Bei Beendigung

Wenn Sie den Dienst beenden:
- löschen wir Ihre personenbezogenen Daten innerhalb von 30 Tagen
- können einige Daten für bis zu weitere 30 Tage in Backups verbleiben
- stellen wir Ihnen auf Anfrage vor der Löschung einen Datenexport bereit

10.3 Ausnahmen

Wir können Daten aufbewahren, wenn dies:
- gesetzlich vorgeschrieben ist
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist
- in anonymisierter Form für aggregierte Analysen erfolgt

11. Internationale Übermittlungen

11.1 Primäre Speicherung

Ihre Daten werden in der EU (Finnland) gespeichert.

11.2 Übermittlungen an Unterauftragsverarbeiter

Werden Daten an Unterauftragsverarbeiter außerhalb der EU übermittelt:
- stellen wir geeignete Garantien sicher (Standardvertragsklauseln)
- haben wir mit allen Unterauftragsverarbeitern Auftragsverarbeitungsverträge geschlossen
- finden Sie die Standorte der Unterauftragsverarbeiter in Abschnitt 6

11.3 Übermittlungsmechanismen

Für Unterauftragsverarbeiter mit Sitz in den USA stützen wir uns auf:
- die EU-Standardvertragsklauseln (SCCs)
- das EU-US Data Privacy Framework (sofern zertifiziert)

12. Haftung

12.1 Unsere Verantwortung

Wir haften für Schäden, die durch eine Verarbeitung verursacht werden, die verstößt gegen:
- diesen AVV
- die Pflichten eines Auftragsverarbeiters nach der DSGVO
- Ihre rechtmäßigen Weisungen

12.2 Beschränkungen

Die Haftung ist gemäß unseren Nutzungsbedingungen beschränkt, außer:
- soweit dies gesetzlich untersagt ist
- bei grober Fahrlässigkeit oder vorsätzlichem Fehlverhalten

13. Laufzeit und Beendigung

13.1 Laufzeit

Dieser AVV tritt in Kraft, wenn Sie beginnen, supportpages.io zu nutzen, und gilt, bis Sie die Nutzung beenden.

13.2 Fortgeltung

Bestimmungen, die ihrer Natur nach über die Beendigung hinaus gelten sollen (etwa Löschpflichten und Haftung), gelten fort.

14. Änderungen

Wir können diesen AVV aktualisieren, um Folgendem Rechnung zu tragen:
- Änderungen von Gesetzen oder Vorschriften
- Änderungen unserer Verarbeitungstätigkeiten
- verbesserten Sicherheitsmaßnahmen

Über wesentliche Änderungen informieren wir Sie und räumen Ihnen eine Frist von 30 Tagen für einen Widerspruch ein, bevor die Änderungen wirksam werden.

15. Kontakt

Für Anfragen zum AVV:

E-Mail: dpa@supportpages.io

Anhang A: Technische und organisatorische Maßnahmen

A.1 Zugriffskontrolle

Authentifizierung für jeden Zugriff erforderlich
Rollenbasierte Berechtigungen
Sitzungsverwaltung mit sicheren Tokens

A.2 Verschlüsselung

TLS 1.2+ für Daten bei der Übertragung
Datenbankverschlüsselung für gespeicherte Daten
Verschlüsselte Backups

A.3 Sicherheit der Infrastruktur

Hosting in der EU (Hetzner, Finnland)
Schutz durch Firewall
Regelmäßige Sicherheitsupdates

A.4 Datenminimierung

Code-Diffs werden nur vorübergehend verarbeitet
Rohcode wird nicht langfristig gespeichert
Nur erforderliche Daten werden aufbewahrt

A.5 Reaktion auf Sicherheitsvorfälle

Überwachung auf Sicherheitsereignisse
Festgelegte Verfahren zur Reaktion auf Sicherheitsvorfälle
Verfahren zur Meldung von Datenschutzverletzungen

Dieser AVV legt unsere Verpflichtungen als Ihr Auftragsverarbeiter fest. Wenn Sie Fragen haben oder eine unterzeichnete Ausfertigung für Ihre Unterlagen benötigen, kontaktieren Sie uns.