Vereinbarung zur Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung

Vertragspartner
Auftraggeber: der im individuellen Abschlussblatt identifizierte Kunde. Dessen vollständige Identität, Vertragsbezug und Weisungsberechtigung sind Bestandteil der Vereinbarung.
Auftragsverarbeiter/Auftragnehmer:
Richard Schneider, handelnd unter RS Code Werk (Einzelunternehmen)
Josef-Schregel-Straße 3
52349 Düren, Deutschland
Telefon: +49 162 9857845
E-Mail: Richard.schneider@rscodewerk.de

1. Gegenstand, Dauer und Weisungen
Gegenstand ist das Hosting der gebuchten Supabase-Instanzen einschließlich Datenbank, Authentifizierung, Dateispeicher, Funktionen, technischer Wartung und vereinbarter Sicherungen. Dauer und Beendigung richten sich nach dem Hostingvertrag einschließlich vereinbarter Export- und Löschphasen. Art, Zwecke, Datenarten und betroffene Personen sind in Anlage 1 konkretisiert.
Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich bei Übermittlungen, soweit keine gesetzliche Verpflichtung entgegensteht. Über eine solche Verpflichtung informiert er vorab, soweit zulässig. Bei einer nach seiner Auffassung rechtswidrigen Weisung informiert er unverzüglich und setzt deren Ausführung bis zur Klärung aus.

2. Vertraulichkeit und Sicherheit
Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriffe werden nach Erforderlichkeit vergeben. Der Auftragnehmer setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um und dokumentiert sie in Anlage 2. Änderungen dürfen das vereinbarte Sicherheitsniveau nicht unterschreiten. Der Auftraggeber prüft die Eignung für seine Verarbeitung.

3. Weitere Auftragsverarbeiter
Die in Anlage 3 einzeln benannten Unternehmen werden für die dort beschriebenen Leistungen genehmigt. Beabsichtigte Änderungen werden mindestens 30 Tage vorher mitgeteilt, damit der Auftraggeber aus nachvollziehbaren Datenschutzgründen widersprechen kann. In diesem Fall suchen die Parteien eine angemessene Lösung; eine streitige neue Unterbeauftragung beginnt nicht ohne Klärung. Unterauftragnehmer erhalten gleichwertige Datenschutzpflichten. Die Verantwortung des Auftragnehmers gegenüber dem Auftraggeber bleibt bestehen.
Verarbeitungsländer und Fernzugriffe werden dokumentiert. Drittlandübermittlungen erfolgen nur auf dokumentierter Weisung und unter Einhaltung der Art. 44 ff. DSGVO.

4. Unterstützung und Vorfälle
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten und den Pflichten aus Art. 32 bis 36 DSGVO. An ihn gerichtete Betroffenenanfragen leitet er unverzüglich weiter und beantwortet sie nicht eigenmächtig, sofern keine gesetzliche Pflicht besteht. Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich nach Bekanntwerden mit den verfügbaren Informationen; fehlende Angaben werden nachgereicht. Ansprechpartner und Meldekanal stehen in Anlage 1.

5. Nachweise und Kontrollen
Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht angemessene Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Schutz anderer Kunden und Vertraulichkeit werden gewahrt; dringende Prüfungen und Befugnisse von Aufsichtsbehörden bleiben unberührt.

6. Rückgabe und Löschung
Nach Abschluss der Leistungen werden personenbezogene Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Speicherungspflicht besteht. Vor der Löschung besteht die vereinbarte Exportmöglichkeit. Zurückbehaltene gesetzliche Daten werden gesperrt und ausschließlich für diesen Zweck verarbeitet. Technisch nicht unmittelbar einzeln löschbare Sicherungen bleiben geschützt, werden nicht produktiv genutzt und innerhalb der in Anlage 2 vereinbarten Frist überschrieben. Nach einem Restore werden bereits erteilte Löschweisungen erneut umgesetzt. Löschung wird auf Anforderung bestätigt.

7. Zuständigkeit und Verarbeitungskette
Der Kunde entscheidet über Zwecke, Rechtsgrundlagen, Informationspflichten und die Zulässigkeit seiner Inhalte. godbase übernimmt die vereinbarten technischen Verarbeitungen als Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter, muss er die erforderliche Erlaubnis seines Verantwortlichen für diese weitere Beauftragung besitzen.
Der Kunden-AVV wird zwischen Kunde und Richard Schneider / RS Code Werk geschlossen. Der Kunde muss keinen eigenen Vertrag mit dem von godbase eingesetzten Serveranbieter schließen. godbase schließt seinerseits die erforderlichen Verträge mit den Unterauftragnehmern und weist deren Einbeziehung nach. Eine Kundenbestätigung ersetzt diese Anbieter-Verträge nicht.
Eigene Kontoführung, Abrechnung und gesetzliche Geschäftspflichten von RS Code Werk sind getrennte Verarbeitungen in eigener Verantwortung. Dafür gilt die Datenschutzerklärung.

8. Dokumentation, Weisungskanäle und Vertragsrang
Weisungen werden durch die im Abschlussblatt benannten Personen über das authentifizierte Portal oder nach Identitätsprüfung in Textform erteilt. Mündliche Eilweisungen werden anschließend dokumentiert. Der Auftragnehmer dokumentiert Weisung und Umsetzung; zusätzliche Aufwendungen werden vorab transparent abgestimmt, ohne gesetzliche Pflichten zu beschränken.
Die Vereinbarung einschließlich ihrer verbindlichen Anlagen geht bei Widersprüchen über die Verarbeitung personenbezogener Daten allgemeinen Leistungsbeschreibungen vor. Gesetzliche Verantwortlichkeit und Betroffenenrechte bleiben unberührt. Bloße Anzeige eines Textes oder Zahlung schließt diesen AVV nicht automatisch ab.

Anlage 1 – Leistungsbeschreibung und individuelles Abschlussblatt
Gegenstand: Betrieb der jeweils zugeordneten Supabase-Projekte mit PostgreSQL, Authentifizierung, Dateispeicher und Edge Functions; weisungsgebundene Wartung, Störungsbehebung, Datenexport und vereinbarte Sicherung.
Verarbeitungsvorgänge: Erfassen durch die Kundenanwendung, Speichern, Strukturieren, Abrufen, Bereitstellen, Ändern, Übermitteln, Sichern, Wiederherstellen und Löschen. Zugriffe des Betreibers nur soweit für eine dokumentierte Weisung oder den vereinbarten Betrieb erforderlich.
Dauer: Laufzeit des zugeordneten Hostingvertrags einschließlich der vereinbarten Rückgabe-/Löschphase. Vertraulichkeit und Schutz zurückbehaltener Daten gelten fort.
Verarbeitungsregion: Kundenserver in der EU. Backups, Unterauftragnehmer und Fernzugriffe nach der abschließend bestätigten Anlage 3. Keine pauschale Freigabe ungeprüfter Drittlandzugriffe.
Kontakt Auftragnehmer: Richard Schneider, Richard.schneider@rscodewerk.de, +49 162 9857845.

Angaben im individuellen Abschlussblatt:
- Vollständiger Kundenname/Firma, Rechtsform, Anschrift und vertretungsberechtigte Person.
- Rolle: Verantwortlicher oder selbst Auftragsverarbeiter; gegebenenfalls Beauftragungsbefugnis.
- Kundenkonto, Vertrags-/Projektkennungen, Beginn und gewählte Leistungen.
- Konkreter Zweck der Anwendung und Art der Verarbeitung.
- Tatsächlich verarbeitete Datenarten und betroffene Personengruppen. Beispiele sind Endnutzer-Kontodaten oder Kundenkontakte; die Beispiele sind keine automatische Freigabe aller Datenarten.
- Besondere Kategorien nach Art. 9, Daten nach Art. 10 oder sonstige erhöhte Risiken ausdrücklich angeben. Vorherige Eignungs- und Risikoprüfung erforderlich; aktuell keine pauschale Zusage für Gesundheitsdaten.
- Weisungsberechtigte Personen, erreichbarer Sicherheitskontakt und Vertretung.
- Auswahl Rückgabe/Löschung bei Vertragsende, Exportformat und bestätigte Lösch-/Backupfristen.
- Fassung von AVV, TOM und Unterauftragnehmerliste, Zustimmung beider Parteien, Datum und dauerhafte Textkopie.

Abschlussverfahren im Kundenportal
Kunde prüft und bestätigt das ausgefüllte Abschlussblatt sowie die konkrete Dokumentfassung. godbase dokumentiert die Annahme. Das vereinbarte Dokumentpaket wird als separate Vertragskopie versioniert mit Vertragsbezug und Zeitstempeln gespeichert und dem Kunden dauerhaft zur Verfügung gestellt. Änderungen überschreiben den bisherigen Nachweis nicht. Vertragspartner des Kunden ist ausschließlich Richard Schneider / RS Code Werk als Betreiber von godbase. Die in Anlage 3 genannten Unternehmen sind keine Vertragspartner dieses Kunden-AVV. Der Kunde erhält einen Download der vollständigen Vertragskopie einschließlich Anlagen und Abschlussnachweis.

Anlage 2 – Technische und organisatorische Maßnahmen von godbase
Version 2026-10-21-redaktion-2

Geltungsbereich
Diese Anlage beschreibt den Verwaltungsdienst und die vorgesehene Verarbeitung
in Kundeninstanzen. Die beiden importierten Bestandsserver werden dadurch nicht
zu geprüften godbase-Kundeninstanzen. Verantwortlich für Betrieb und Freigabe:
Richard Schneider, RS Code Werk. Standorte der Kundenserver: EU-Region gemäß
bereitgestellter Serverzuordnung; keine ausschließliche Deutschland-Zusage.
Diese Beschreibung ist keine Zertifizierung und kein Nachweis eines vollständigen Penetrationstests.

1. Zutritt und Infrastruktur
Physischer Zutritt liegt beim Infrastrukturbetreiber. Die Anforderungen an Zutrittskontrollen, Standorte und Support richten sich nach den verbindlichen Datenschutzvereinbarungen mit dem Infrastrukturbetreiber.
Diese Anlage enthält keine Zusage einer vollständigen Verschlüsselung oder eines zertifizierten Schutzes der Betreiber-Endgeräte.

2. Zugang und Berechtigungen
Die Plattform verwendet persönliche Benutzerkonten, Django-Passworthashes,
Rollenprüfung und eine erneute Passwortabfrage vor Anzeige von Instanzgeheimnissen.
Kundendatenansichten werden nach Eigentümer gefiltert. Die Admin-Oberfläche ist
am vorgeschalteten Webserver zusätzlich auf freigegebene IP-Adressen begrenzt.
Der Verwaltungsserver erlaubt öffentlich SSH, HTTP und HTTPS; SSH ist derzeit
nicht auf die Admin-IP eingeschränkt. Datenbank und Webanwendungsport sind nur
an localhost gebunden. Eine MFA-Pflicht ist in godbase noch nicht umgesetzt.

3. Übertragung und Geheimnisse
Verwaltungsoberfläche: HTTPS-Weiterleitung, gültiges Zertifikat, HSTS, Secure-
Session- und CSRF-Cookies, HttpOnly-Sitzungscookie und SameSite=Lax.
SMTP verwendet STARTTLS; dies ist keine Ende-zu-Ende-Verschlüsselung von E-Mails.
Instanzgeheimnisse werden in der Verwaltungsdatenbank mit Fernet verschlüsselt.
Der Schlüssel liegt außerhalb der Datenbank in geschützter Betriebskonfiguration.
Ein kompromittierter Verwaltungsserver kann auf Daten und Schlüssel zugreifen.
Eine vollständige Festplatten-/Datenbankverschlüsselung ist nicht nachgewiesen.
Kundenserver-Code: individuelle SSH-Hostschlüssel, Prüfung des erwarteten Schlüssels,
interne TLS-Zertifikate, nur Verwaltungsserver-IP für SSH/TLS-Gateway zugelassen,
Supabase-Gateway nur lokal gebunden.
Keine Passwörter oder API-Geheimnisse in Supporttickets oder Betriebshandbüchern.

4. Trennung, Integrität und Auftragskontrolle
Eigener virtueller Server je neuer Kundeninstanz; kein gemeinsam genutzter
Kunden-PostgreSQL-Datenbestand. Provider besitzt technisch privilegierte Zugriffe.
Serveraktionen prüfen die zugeordnete Servernummer und die eindeutige Projekt-
kennung. Unklare Bestellantworten dürfen keine zweite Bestellung auslösen.
PayPal-Ereignisse werden vor Annahme verifiziert. ZIP-Uploads werden auf Pfade,
Größe, Dateianzahl und Symlinks geprüft. Kundenfunktionen erhalten weder Docker-
Socket noch Verwaltungs-SSH-Schlüssel.
Kunden bestimmen Tabellen, Zwecke, RLS-/API-Regeln und Funktionscode. Diese
Konfigurationen müssen zum Schutzbedarf passen; Bereitstellung ersetzt keine
fachliche Prüfung der Kundenanwendung.

5. Verfügbarkeit, Sicherung und Wiederanlauf
Verwaltungsdatenbank: tägliche lokale pg_dump-Sicherung, ungefähr sieben Tage
Aufbewahrung; Wiederherstellung wurde im bisherigen Einrichtungsablauf getestet.
Lokale Sicherungen liegen auf demselben Server und schützen nicht allein gegen
dessen Totalausfall. Eine serverweite Anbietersicherung ist durch diese lokale Sicherung nicht zugesichert.
Neue Kundenbestellungen fordern das Auto-Backup-Addon an. Das beweist noch nicht
die Aktivierung, erfolgreiche Sicherung oder Wiederherstellbarkeit einer Instanz.
Die Anbieterbeschreibung nennt tägliche Sicherungen, bis zu zehn Stände und
maximal zehn Tage im laufenden Sicherungszyklus. Der konkrete Sicherungsstandort,
Supportzugriffe und die Löschung nach Kündigung sind noch vertraglich zu belegen.
Bei bloßer Deaktivierung kann der Anbieter den letzten Stand weiter aufbewahren;
deshalb darf daraus keine allgemeine Zehn-Tage-Löschgarantie abgeleitet werden.
Restic ist im Livebetrieb nicht eingerichtet. Eine unabhängige Kundensicherung
über dieses Verfahren wird derzeit nicht zugesichert. Keine Hochverfügbarkeit,
kein nachgewiesener RPO/RTO und keine garantierte Wiederanlaufzeit.

6. Protokollierung und Löschung
Admin-Aktionen, Zahlungen und Hintergrundaufträge werden in der Plattform erfasst.
Es besteht kein nachgewiesenes lückenloses Zugriffsprotokoll aller Datenbank-
abfragen oder Root-Aktionen. Docker-Logs sind größenbegrenzt (Web/Worker je
10 MB, drei Dateien); das ist keine feste zeitliche Löschfrist. Derzeit fehlen
verbindliche, technisch durchgesetzte Fristen für sämtliche Logs und Auditdaten.
Exportdateien werden zeitlich begrenzt bereitgestellt und nach Ablauf entfernt.
Kundenserver-Löschung und Vertragskündigung sind getrennte Schritte. Lokales
Entfernen von Dateien ist kein Nachweis physischer Überschreibung von SSDs oder
Löschung aus Anbieter-Sicherungen. Dafür ist ein Anbieternachweis erforderlich.
Kein pauschales Versprechen „alle Sicherungen nach sieben Tagen gelöscht“.

7. Organisatorischer Betrieb
Richard Schneider verantwortet Weisungen, Berechtigungen, Vorfallbearbeitung und
Dienstleisterkontrolle. Weitere Personen dürfen erst nach dokumentierter
Vertraulichkeitsverpflichtung und Einweisung Zugriff erhalten. Kein bestehendes
Schulungsprogramm oder benannter Datenschutzbeauftragter wird unterstellt.

Kundeninhalte werden nur auf dokumentierte Kundenweisung eingesehen. Eine Nutzung für eigene Werbung oder ein Upload in KI-/Supportdienste ohne geprüfte Rechtsgrundlage ist nicht gestattet.

Anlage 3 – Dienstleister und Unterauftragnehmer von godbase
Version 2026-10-21-redaktion-2

1. Infrastruktur und vorgesehene Server-Sicherungen
Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland.
Leistung: virtueller Verwaltungsserver, neue dedizierte Kunden-VPS sowie das
jeweils gebuchte Auto Backup. godbase betreibt Supabase und die Anwendung selbst.
Daten: beim Kunden-VPS sämtliche vom Kunden dort verarbeiteten Inhalte,
Authentifizierungs-/Nutzungsdaten, Konfigurationen, technische Verbindungsdaten
und Sicherungsabbilder; beim Verwaltungsserver Konto-/Vertrags-/Betriebsdaten.
Rolle: Unterauftragsverarbeiter für Kundeninhalte; Auftragsverarbeiter von
RS Code Werk für dessen eigene Verwaltungsdaten, soweit vertraglich erfasst.
Serverregion: EU. Konto-API nennt European Union 1, 2, 3 und 4. Keine Bestätigung
eines konkreten Staats je Kennung. Backup-Länder und mögliche Support-Fernzugriffe sind in dieser Anlage nicht konkret ausgewiesen. Sitz in Deutschland bedeutet
nicht automatisch, dass jede Verarbeitung einschließlich Support dort erfolgt.
Vertragsgrundlage: Art.-28-AVV für VPS und eingesetzte Backup-Leistungen nötig.
Abschluss und Geltungsbereich der Anbietervereinbarung einschließlich Anlagen, weiterer Unterauftragnehmer und etwaiger Drittlandmechanismen sind in dieser Anlage nicht dokumentiert.
Quelle Identität: https://contabo.com/en/legal/terms-and-conditions/
AVV-Bezug: https://docs.contabo.com/docs/dpa/dpa/
Backup: https://docs.contabo.com/docs/servers-hosting/vps-auto-backup/

2. E-Mail und DNS
ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich,
Hauptstraße 68, 02742 Friedersdorf, Deutschland.
Leistung: DNS für godbase.de sowie SMTP/Postfach für Servicemails. Die aktive
godbase-Webanwendung und ihre Verwaltungsdatenbank laufen nicht auf ALL-INKL.
Daten: Absender-/Empfängeradressen, Nachrichteninhalt und Transportmetadaten;
DNS-Zonen/Abfragedaten entsprechend der genutzten Leistung. Keine planmäßige
Übertragung von Datenbankinhalten, Kundendateien oder Zugangsschlüsseln per Mail.
Rolle: Auftragsverarbeiter für eigene godbase-Verwaltungsmails; nur soweit im
Kundenauftrag verarbeitete Inhalte versandt werden, zusätzlicher Unterauftragnehmer.
Kundenseitig selbst konfiguriertes Supabase-SMTP ist davon nicht erfasst.
Speicherstandort laut Anbieter: Deutschland, Rechenzentren Dresden. Konkrete Vertragsanlagen, Supportzugriffe, weitere Empfänger und Löschfristen sind in dieser Anlage nicht dokumentiert.

https://all-inkl.com/impressum
https://all-inkl.com/info/rechenzentrum
https://all-inkl.com/datenschutzinformationen

3. Abgrenzung weiterer Empfänger
PayPal ist Zahlungsdienstleister für den eigenen Hostingvertrag, kein beauftragter
Hoster von Kundenprojektinhalten.
Supabase-Software wird selbst betrieben. Die Nutzung der Open-Source-Software
allein macht Supabase Inc. nicht automatisch zum Unterauftragnehmer. Externe Verbindungen können durch Integrationen, Telemetrie, Zertifizierungsstellen, Paket-/Containerregistries oder DNS-Auflösung entstehen; diese sind nicht pauschal von der Unterauftragnehmerliste erfasst.
Vom Kunden eingebundene APIs, SMTP-Dienste, Analytics und Funktionen sind vom
Kunden zu dokumentieren. Externe Dienste, die godbase selbst hinzunimmt, benötigen
vorab eine Rollen-, Standort- und Vertragsprüfung.

4. Änderungen und Vertragsdokumentation
Richard Schneider führt je Dienstleister Vertragsdatum, Vertragsversion, erfasste
Leistungen, Länder, Supportzugriffe, weitere Beauftragte, Garantien und Prüftermin.
Derzeit lautet der Nachweisstatus für beide Anbieter: Vertragsunterlagen fehlen.
Diese Liste dokumentiert eingesetzte/vorgesehene Dienste; sie behauptet keinen
bereits abgeschlossenen Kunden-AVV und keine Kundengenehmigung.
Änderungen an Unterauftragnehmern werden entsprechend dem Kunden-AVV vorab
mitgeteilt. Historische Listen und Zustimmungen werden versioniert aufbewahrt.