Auftragsverarbeitungsvertrag
Nach Artikel 28 der Datenschutz-Grundverordnung. Diesen Vertrag brauchst du, wenn du in mydoos personenbezogene Daten anderer Menschen speicherst – zum Beispiel Namen von Kundinnen und Kunden in Projekten oder Aufgaben. Dann bist du Verantwortlicher und wir verarbeiten diese Daten in deinem Auftrag.
So kommt der Vertrag zustande
Schreib eine E-Mail an info@mydoos.de mit dem Betreff „AVV" und dem Namen und der Anschrift deines Unternehmens. Du bekommst den Vertrag mit deinen Angaben als PDF zum Gegenzeichnen zurück. Bis dahin gelten die hier veröffentlichten Bedingungen als Grundlage.
1. Vertragsparteien
Verantwortlicher (Auftraggeber): das Unternehmen, das mydoos nutzt.
Auftragsverarbeiter: Codemerk GmbH i. G., Bremer Baumwollbörse,
Wachtstraße 17–24, 28195 Bremen, vertreten durch die Geschäftsführung Neda Mahrokh und
Caglar Imrek. Die Gesellschaft befindet sich in Gründung; eine Eintragung im Handelsregister
besteht noch nicht. Mit der Eintragung tritt die Gesellschaft an die Stelle der Gesellschaft
in Gründung, ohne dass sich an diesem Vertrag etwas ändert.
2. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Webanwendung mydoos zur Projekt- und Aufgabenverwaltung. Die Verarbeitung dauert so lange, wie der Zugang besteht. Sie endet mit der Beendigung der Nutzung.
3. Art, Umfang und Zweck der Verarbeitung
Wir speichern und zeigen die Daten, die der Verantwortliche und seine Beschäftigten selbst in die Anwendung eingeben, und protokollieren Änderungen daran. Eine Nutzung zu eigenen Zwecken findet nicht statt. Wir werten die Inhalte nicht aus und nutzen sie nicht zum Trainieren von KI-Modellen.
4. Kategorien betroffener Personen
- Beschäftigte des Verantwortlichen (Nutzerkonten)
- Kundinnen und Kunden sowie Geschäftspartner, soweit sie in Projekten oder Aufgaben genannt werden
- Personen, die auf hochgeladenen Fotos erkennbar sind
5. Kategorien von Daten
- Kontodaten: Name, E-Mail-Adresse, Namenskürzel, Passwort als Hashwert
- Inhaltsdaten: Projekte, Aufgaben, Beschreibungen, Arbeitsschritte, Fristen, Zuständigkeiten
- Dateien: hochgeladene Fotos
- Protokolldaten: Änderungen mit Zeitpunkt und handelnder Person; technische Zugriffsdaten
- Sprachaufnahmen zur Erstellung von Aufgaben, sofern diese Funktion genutzt wird
6. Weisungsbindung
Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen.
7. Technische und organisatorische Maßnahmen
- Übertragung ausschließlich verschlüsselt über HTTPS
- Passwörter nur als nicht rückrechenbare Hashwerte (scrypt)
- Sitzungszeichen nur als Hashwert gespeichert; Cookie mit HttpOnly und SameSite
- Serverseitige Rechteprüfung bei jeder einzelnen Anfrage; strikte Trennung der Workspaces
- Schutz vor Anmeldeversuchen in Serie (Sperre nach mehreren Fehlversuchen)
- Regelmäßige, konsistente Sicherungen der Datenbank
- Zugriff auf Server und Sicherungen ausschließlich durch den Inhaber
- Protokollierung von Änderungen an Inhalten, nachvollziehbar nach Person und Zeit
Während der Testphase läuft der Dienst auf eigener Infrastruktur in Bremen (Deutschland). Der Umzug auf ein Rechenzentrum in Deutschland ist für Januar 2027 vorgesehen; wir informieren vorher.
8. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Dienstleister zu:
| Dienstleister | Zweck | Ort |
|---|---|---|
| Cloudflare Germany GmbH / Cloudflare, Inc. | Auslieferung, Angriffsschutz, E-Mail-Weiterleitung | EU / USA (Standardvertragsklauseln, Data Privacy Framework) |
| Resend (Plus Five Five, Inc.) | Versand von System-E-Mails (Bestätigungen, Einladungen, Passwortlinks) | EU-Versandweg, Unternehmenssitz USA (Standardvertragsklauseln) |
| OpenAI Ireland Ltd. | Umwandlung von Sprachaufnahmen in Aufgaben – nur bei Nutzung dieser Funktion | Irland, Verarbeitung auch in den USA (Standardvertragsklauseln) |
Über Wechsel oder Ergänzungen informieren wir mindestens vier Wochen vorher. Der Verantwortliche kann widersprechen; in diesem Fall kann er den Vertrag beenden.
9. Unterstützung des Verantwortlichen
Wir unterstützen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Eine Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
10. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Derzeit hat ausschließlich der Inhaber Zugriff auf die Systeme.
11. Nachweise und Prüfung
Wir weisen die Einhaltung auf Anfrage nach, insbesondere durch diese Dokumentation. Der Verantwortliche kann nach Ankündigung mit angemessener Frist eine Prüfung verlangen.
12. Löschung und Rückgabe
Nach Beendigung löschen wir die Daten innerhalb von 30 Tagen, ebenso die Sicherungen innerhalb ihres regulären Zyklus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellen wir vorher eine Ausgabe der Daten bereit.
13. Haftung
Es gilt Artikel 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Nutzungsbedingungen.
Stand: Oktober 2026. Dieser Text ist eine Vorlage des Anbieters und ersetzt keine Rechtsberatung.