Auftrags­verarbeitungs­vertrag

Stand: 1. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen unter https://kanroo.app/de/legal/terms/. Er gilt zwischen dem Kunden als Verantwortlichem („Kunde“) und TECHPOINT, Seestraße 3, 82211 Herrsching am Ammersee, Bayern, Deutschland, als Auftragsverarbeiter („Kanroo“). Der Kunde nimmt ihn mit den Nutzungsbedingungen an.

1. Gegenstand und Dauer

1.1 Kanroo verarbeitet personenbezogene Daten im Auftrag des Kunden, um Kanroo Cloud bereitzustellen. Anlage 1 beschreibt Art und Zweck der Verarbeitung, die Arten der Daten und die betroffenen Personen.

1.2 Dieser AVV gilt, solange Kanroo personenbezogene Daten für den Kunden auf Grundlage der Nutzungsbedingungen verarbeitet.

2. Weisungen

2.1 Kanroo verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der Union oder der Mitgliedstaaten etwas anderes verlangt. In diesem Fall teilt Kanroo dies dem Kunden vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

2.2 Die Nutzungsbedingungen, dieser AVV sowie die Nutzung und Konfiguration von Kanroo Cloud durch den Kunden sind die vollständigen Weisungen des Kunden. Weitere Weisungen bedürfen der Textform und müssen sich im Rahmen des Dienstes halten.

2.3 Kanroo informiert den Kunden unverzüglich, wenn Kanroo der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

3. Pflichten von Kanroo

3.1 Kanroo gewährleistet, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind.

3.2 Kanroo trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Kanroo darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

3.3 Kanroo unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung:

• mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO); die meisten Anträge lassen sich mit den Funktionen des Dienstes erledigen, etwa Export und Löschung;
• bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation (Art. 32 bis 36 DSGVO).

3.4 Kanroo informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Kunden betrifft. Die Meldung enthält die Informationen nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

3.5 Kanroo leitet Anträge betroffener Personen, die Daten des Kunden betreffen, an den Kunden weiter und beantwortet sie ohne Weisung nicht selbst.

4. Unterauftragsverarbeiter

4.1 Der Kunde genehmigt Kanroo den Einsatz der Unterauftragsverarbeiter in Anlage 3.

4.2 Kanroo informiert den Kunden mindestens 14 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kann Kanroo dem Widerspruch nicht abhelfen, kann der Kunde den Vertrag vor Wirksamwerden der Änderung beenden.

4.3 Kanroo erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind.

5. Ort der Verarbeitung

Kanroo verarbeitet die Daten des Kunden ausschließlich in der Europäischen Union. Eine Übermittlung in ein Drittland bedarf der Weisung des Kunden und muss die Anforderungen der Art. 44 bis 49 DSGVO erfüllen. Push-Benachrichtigungen, die ein Nutzer aktiviert, gehen Ende-zu-Ende verschlüsselt an den Push-Dienst des Browserherstellers dieses Nutzers, der außerhalb der Europäischen Union liegen kann und nicht der Kontrolle von Kanroo unterliegt.

6. Rechte des Kunden und Überprüfungen

6.1 Kanroo stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.

6.2 Der Kunde kann die Einhaltung überprüfen, auch durch einen zur Vertraulichkeit verpflichteten Prüfer. Überprüfungen sind mit einer Frist von mindestens 30 Tagen anzukündigen. Sie finden während der Geschäftszeiten statt, ohne Störung des Betriebs und auf Kosten des Kunden. Kanroo kann zunächst mit schriftlichen Auskünften oder geeigneten Zertifikaten antworten; reichen diese nicht aus, kann der Kunde anschließend eine Überprüfung durchführen.

7. Löschung und Rückgabe

7.1 Der Kunde kann seine Daten jederzeit mit den Exportfunktionen des Dienstes exportieren, außer während einer Sperrung nach den Nutzungsbedingungen.

7.2 Bei Vertragsende löscht Kanroo die Daten des Kunden, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Das Löschen einer Organisation löscht ihre Daten sofort. Kopien in Datensicherungen verfallen nach 30 Tagen.

7.3 Inhalte, die der Kunde mit den Funktionen des Dienstes löscht, etwa Aufgaben, Kommentare, Anhänge und Seiten, werden 30 Tage nach dem Löschen endgültig gelöscht. Kopien in Datensicherungen verfallen 30 Tage später.

8. Haftung und Vorrang

8.1 Die Haftung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen.

8.2 Widersprechen sich dieser AVV und die Nutzungsbedingungen, hat dieser AVV in Datenschutzfragen Vorrang.

Anlage 1: Verarbeitungsdetails

Zweck und Art. Hosting und Betrieb von Kanroo Cloud, einem Dienst zur Organisation von Arbeit in Boards, Aufgaben, Formularen und Wiki-Seiten: Speichern, Anzeigen, Suchen, Versenden von Benachrichtigungen, Empfangen von E-Mails für die Organisation des Kunden, Export und Löschung.

Arten personenbezogener Daten.

• Nutzerdaten: Name, E-Mail-Adresse, Profilbild (Avatar) und Rolle von Mitgliedern und eingeladenen Personen;
• Inhaltsdaten: Aufgaben, Kommentare, Dateien, Formulareinsendungen, Wiki-Seiten und alle personenbezogenen Daten, die Nutzer darin eingeben;
• E-Mail-Daten: E-Mails, die externe Personen an die E-Mail-Eingänge (Email Intakes) oder Antwortadressen des Kunden senden;
• Nutzungs- und Audit-Daten: Aktionen im Workspace mit Zeitpunkt und Person sowie bei der Anmeldung IP-Adresse und Browserinformationen.

Betroffene Personen. Mitglieder und eingeladene Personen der Organisationen des Kunden; Personen, die dem Kunden Formulare einsenden oder E-Mails senden; Personen, die in den Inhalten des Kunden genannt werden.

Besondere Kategorien. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt. Speichert der Kunde solche Daten, ist er dafür verantwortlich zu beurteilen, ob die Maßnahmen in Anlage 2 angemessen sind.

Anlage 2: Technische und organisatorische Maßnahmen

Standort. Alle Server laufen bei netcup in Nürnberg, Deutschland. Dateien werden bei Scaleway in Amsterdam, Niederlande, gespeichert. Transaktionale E-Mails werden über Scaleway in Paris, Frankreich, versendet.

Zutrittskontrolle. Die Server stehen in den Rechenzentren von netcup und Scaleway, die den physischen Zutritt kontrollieren. Kanroo hat keinen physischen Zutritt.

Zugangskontrolle.

• Serveradministration nur über ein privates VPN. SSH akzeptiert nur Schlüssel; die Root-Anmeldung ist deaktiviert.
• Host-Firewalls lassen nur die öffentlichen Ports zu, die der Dienst braucht.
• Automatische Sicherheitsupdates und regelmäßige Härtungsprüfungen auf allen Hosts.

Zugriffskontrolle.

• Nutzer melden sich mit Einmalcodes per E-Mail oder Single Sign-on (SSO) an; es gibt keine Passwörter, die gestohlen werden könnten. Anmeldecodes werden als Hash gespeichert, verfallen nach 10 Minuten und erlauben drei Versuche.
• Rollen innerhalb jeder Organisation steuern, wer Inhalte lesen und ändern darf.
• Die Anwendung trennt die Daten jeder Organisation und prüft bei jedem Zugriff die Organisation.
• Datenbankrollen haben nur die Rechte, die sie benötigen.
• Geheimnisse von Webhooks, Push-Abonnements und SSO werden mit AES-256-GCM verschlüsselt.
• Dateien im Objektspeicher verschlüsselt der Anbieter im Ruhezustand serverseitig.
• Administrativer Zugriff auf Produktivsysteme ist auf benannte Personen beschränkt, die ihn benötigen.

Weitergabekontrolle.

• Alle Verbindungen von Nutzern verwenden TLS. Verbindungen zwischen den Servern laufen über ein verschlüsseltes privates VPN.
• Die Anwendung lädt keine Ressourcen von Dritten und nutzt kein Content Delivery Network.
• Push-Nachrichten sind zwischen Server und Browser Ende-zu-Ende-verschlüsselt.

Eingabekontrolle. Das Audit-Log protokolliert sicherheitsrelevante Aktionen mit Zeitpunkt und Person. Nutzer und Owner von Organisationen können ihre Sicherheitsaktivität und ihr Audit-Log einsehen.

Verfügbarkeitskontrolle.

• Datenbanken werden täglich in Scaleway Object Storage in Amsterdam, Niederlande, gesichert. Datensicherungen werden 30 Tage aufbewahrt, und ihre Wiederherstellung wird getestet.
• Ein Monitoring mit Alarmierung läuft auf Kanroos eigenen Servern. Logs enthalten keine IP-Adressen und keine Browserinformationen.
• Anfragen werden begrenzt (Rate Limiting), um den Dienst vor Überlastung und Missbrauch zu schützen.

Trennungskontrolle. Die Daten der Organisationen sind logisch voneinander getrennt.

Überprüfung. Kanroo überprüft diese Maßnahmen regelmäßig und nach jeder relevanten Änderung.

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland	Server-Hosting für die Anwendung, die Datenbank, den Mailserver und das Monitoring	Nürnberg, Deutschland
Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich	Objektspeicher für Dateien und Datensicherungen	Amsterdam, Niederlande
Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich	Transaktionale E-Mails	Paris, Frankreich