Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung 2026-10, Stand: 13. Oktober 2026.

Diese Vereinbarung (nachfolgend „ADV“) gilt zwischen dem Kunden und dem im Impressum genannten Anbieter von todo.monster. Der Kunde ist Verantwortlicher (Art. 4 Nr. 7 DSGVO): Er entscheidet, welche Daten in todo.monster landen und wofür. Der Anbieter ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Er speichert und verarbeitet diese Daten nur für den Kunden. Wer die Parteien sind und wer sie vertritt, ergibt sich aus dem Nutzungsvertrag über todo.monster (nachfolgend „Hauptvertrag“: die Allgemeinen Geschäftsbedingungen mit dem gebuchten Tarif oder eine Pilotvereinbarung).

Geltungsbereich und Rangfolge

(1) todo.monster richtet sich nur an Unternehmer (§ 14 BGB). Diese ADV wird bei der Registrierung zusammen mit den Allgemeinen Geschäftsbedingungen geschlossen. Sie greift, sobald in den Projekten, Firmenbereichen, Postfächern oder Kalendern des Kunden Daten anderer Personen liegen, zum Beispiel der Name eines Interessenten in einer Aufgabe, eine Lieferantin als Absenderin einer E-Mail oder die Teilnehmer eines Termins. Verarbeitet der Kunde dort nur eigene Daten, löst diese ADV keine Pflichten aus.

(2) Für einige Dinge ist der Anbieter selbst Verantwortlicher und nicht Auftragsverarbeiter: für das Nutzerkonto jeder einzelnen Person, die Anmeldung, die Abrechnung, die Protokolle über Zustimmungen, die Sicherheit und Missbrauchsabwehr des Dienstes, das Pilot- und Onboarding-Programm und die System-E-Mails an Kontoinhaber. Diese Verarbeitungen gehören nicht zum Auftrag; sie stehen in der Datenschutzerklärung.

(3) Widersprechen sich diese ADV und der Hauptvertrag, gilt in Fragen des Datenschutzes diese ADV. Eine Pilotvereinbarung darf diese ADV ergänzen, aber keine Pflicht aus ihr abschwächen.

(4) Verbindlich ist nur die deutsche Fassung. Übersetzungen helfen beim Verstehen; bei Abweichungen gilt der deutsche Text.

(5) Der Kunde schließt diese ADV elektronisch (Art. 28 Abs. 9 DSGVO), indem er sie bei der Registrierung bestätigt. Bucht er später einen Firmentarif oder eine Pilotvereinbarung, bestätigt er die dann geltende Fassung noch einmal. Zu jeder Bestätigung speichert der Anbieter Fassung, Zeitpunkt und eine Prüfsumme des bestätigten Textes.

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden todo.monster als Software über das Internet bereit. Dazu gehören: Aufgaben und Projekte, Zeiterfassung, Kommentare und Anhänge, Firmenpostfächer sowie Postfächer und Kalender, die der Kunde oder seine Nutzer verbinden, Benachrichtigungen, die KI-Umwandlung einer E-Mail in eine Aufgabe (nur wenn ein Nutzer sie auslöst) und Fehlermeldungen mit Bildschirmfoto. Verarbeiten heißt dabei: speichern, anzeigen, an die vom Kunden gewählten Gegenstellen übertragen (etwa eine Antwort über das verbundene Postfach versenden), sichern, in den Papierkorb legen und im Support helfen. Was genau mit welchen Daten geschieht, steht in Anhang A.

(2) Diese ADV läuft so lange wie der Hauptvertrag. Sie endet erst, wenn die Daten nach § 11 zurückgegeben oder gelöscht sind.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Was der Anbieter mit welchen Daten tut, zu welchem Zweck, um welche Datenarten es geht und welche Personen betroffen sind, steht in Anhang A, geordnet nach den Funktionen des Dienstes.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten des Kunden nur, um den Dienst vertragsgemäß zu erbringen, und nur so, wie der Kunde es über diese Vereinbarung, die AGB und die Nutzung des Dienstes anordnet. Jede Eingabe, Einstellung und Funktionsauslösung im Dienst gilt als Weisung. Nur wenn ein Gesetz der EU oder Deutschlands den Anbieter zu einer anderen Verarbeitung verpflichtet, etwa zur Herausgabe an eine Behörde oder zur Aufbewahrung von Rechnungsdaten, darf er davon abweichen. In diesem Fall informiert er den Kunden vorher, sofern das Gesetz es nicht verbietet.

(2) Weisungen sind zum Beispiel: eine Aufgabe anlegen, ändern oder löschen; ein Mitglied oder einen Gast einladen; ein Postfach oder einen Kalender eines Drittanbieters verbinden; die KI-Funktion für eine einzelne E-Mail starten; eine Fehlermeldung mit Bildschirmfoto absenden; einen Datenexport starten. Der Anbieter tut dann genau das, was die Funktion verspricht, und nichts darüber hinaus.

(3) Wünscht der Kunde etwas, das keine Funktion im Dienst abdeckt, zum Beispiel die Wiederherstellung eines Projekts, das er im Papierkorb nicht mehr findet, schickt er die Weisung in Textform an support@todo.monster. Weisungen erteilt der Kunde selbst; für eine Firma in todo.monster ihr Inhaber und die in der Firmenverwaltung benannten Verwalter. Der Anbieter bestätigt den Eingang und hält fest, was er wann ausgeführt hat.

(4) Wiederherstellung: Gelöschte Projekte, Module, Aufgaben, Postfächer und Kalender liegen für die in Anhang B, Ziffer 3 genannte Frist im Papierkorb. Dort holen der Kunde und seine berechtigten Nutzer sie selbst zurück. Bittet der Kunde den Anbieter um eine Wiederherstellung, ist das eine Weisung nach Absatz 3. Der Anbieter führt sie aus, wenn die Daten technisch noch vorhanden sind; eine Frist oder einen Erfolg kann er nicht versprechen. Welche Daten der Anbieter dabei sieht, steht in Anhang B, Ziffer 5.

(5) Hält der Anbieter eine Weisung für einen Verstoß gegen die DSGVO oder ein anderes Datenschutzgesetz, sagt er das dem Kunden sofort. Bis der Kunde die Weisung bestätigt oder ändert, darf der Anbieter sie unausgeführt lassen.

§ 4 Pflichten des Kunden

(1) Der Kunde ist dafür verantwortlich, dass er die Daten überhaupt verarbeiten darf: Er braucht eine Rechtsgrundlage, informiert die betroffenen Personen und beantwortet ihre Anfragen. Beispiel: Legt ein Mitarbeiter des Kunden eine Aufgabe mit Name und Telefonnummer eines Interessenten an, muss der Kunde das gegenüber dem Interessenten rechtfertigen können, nicht der Anbieter.

(2) Betreibt der Kunde eine Firma in todo.monster, vergibt er die Rollen (Inhaber, Verwalter, Mitglied, Gast) selbst und entzieht sie, wenn jemand ausscheidet. Er sagt seinen Nutzern, dass ihre Inhalte in Firmenbereichen der Firma gehören.

(3) Verbindet der Kunde oder einer seiner Nutzer ein Postfach oder einen Kalender eines Drittanbieters, zum Beispiel ein Microsoft-Konto, hat der Kunde diesen Empfänger gewählt. Er trägt die Verantwortung dafür, dass die Daten dorthin dürfen, auch wenn der Drittanbieter sie außerhalb des Europäischen Wirtschaftsraums verarbeitet (§ 13 Abs. 3).

(4) Die KI-Funktion wandelt eine E-Mail nur dann in eine Aufgabe um, wenn ein Nutzer das für genau diese E-Mail anstößt; jeder Nutzer kann die Funktion für sich abschalten. Der Kunde entscheidet, ob seine Nutzer sie verwenden dürfen, und verantwortet die Rechtsgrundlage gegenüber seinen Nutzern und den Absendern der E-Mails. Seine eigene Rolle dabei beschreibt der Anbieter in der Datenschutzerklärung.

(5) Nicht für todo.monster gedacht sind besondere Datenkategorien (Art. 9 DSGVO, etwa Gesundheitsdaten), Daten über Straftaten (Art. 10 DSGVO) und Daten unter Berufsgeheimnis (§ 203 StGB, etwa Mandantenakten einer Kanzlei). Will der Kunde solche Daten trotzdem verarbeiten lassen, spricht er das vorher mit dem Anbieter in Textform ab.

(6) Der Kunde hält die E-Mail-Adresse seines Kontos aktuell, bei einer Firma die des Firmeninhabers. An diese Adresse gehen die Mitteilungen nach § 7 und § 10.

§ 5 Vertraulichkeit

Alle Personen, die beim Anbieter mit den Daten des Kunden umgehen können, sind schriftlich zur Verschwiegenheit verpflichtet oder unterliegen einer gesetzlichen Schweigepflicht (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht gilt auch nach dem Ende ihrer Tätigkeit weiter. Auf Inhalte des Kunden greifen sie ohnehin nur in den Fällen zu, die Anhang B, Ziffer 5 abschließend nennt.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Anbieter schützt die Daten mit den Maßnahmen in Anhang B (Art. 32 DSGVO), zum Beispiel durch verschlüsselte Speicherung von Aufgabentexten und durch ein Rollenmodell, das jede Anfrage serverseitig prüft. Diese Maßnahmen sind der Mindeststandard, auf den sich die Parteien bei Vertragsschluss einigen.

(2) Der Anbieter darf die Maßnahmen weiterentwickeln, solange der Schutz dadurch nicht schlechter wird. Wesentliche Änderungen hält er fest; die jeweils aktuelle Fassung von Anhang B steht auf dieser Seite.

§ 7 Unterauftragsverarbeiter

(1) Der Anbieter darf die in Anhang C, Abschnitt 1 genannten Unternehmen einsetzen, zum Beispiel den Hoster, bei dem die Datenbank läuft. Mit der Registrierung genehmigt der Kunde diese Liste (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO).

(2) Will der Anbieter ein weiteres Unternehmen hinzunehmen oder eines austauschen, schreibt er dem Kunden vorher eine System-E-Mail an die Adresse nach § 4 Abs. 6 und aktualisiert Anhang C. Der Kunde hat 30 Tage ab Zugang Zeit, aus Datenschutzgründen in Textform zu widersprechen. Vorher wird der Wechsel für ihn nicht wirksam.

(3) Widerspricht der Kunde, darf er den Hauptvertrag zu dem Zeitpunkt kündigen, an dem der Wechsel wirksam wird. Rückgabe und Löschung richten sich nach § 11.

(4) Auch ein Wechsel des Dienstes, der das Sprachmodell für die KI-Funktion stellt, ist ein Wechsel nach Absatz 2, selbst wenn der Anbieter dafür nur eine Einstellung ändert.

(5) Jedem Unterauftragsverarbeiter legt der Anbieter per Vertrag dieselben Datenschutzpflichten auf, die er selbst in dieser ADV hat, vor allem ausreichende Schutzmaßnahmen (Art. 28 Abs. 4 DSGVO). Versäumt ein Unterauftragsverarbeiter etwas, haftet der Anbieter dem Kunden dafür wie für ein eigenes Versäumnis.

(6) Keine Unterauftragsverarbeiter sind die Empfänger in Anhang C, Abschnitt 2, die keine Daten aus dem Auftrag bekommen, und die Dienste in Anhang C, Abschnitt 3, die der Kunde oder seine Nutzer selbst verbinden.

§ 8 Unterstützung bei den Rechten betroffener Personen

(1) Bittet eine Person den Kunden um Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragung ihrer Daten oder widerspricht sie der Verarbeitung (Kapitel III DSGVO), hilft der Anbieter dem Kunden, die Anfrage zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Erstes Mittel sind die Funktionen des Dienstes: Suche und Anzeige, Bearbeiten und Löschen von Inhalten, Entfernen von Mitgliedern und Gästen und der Datenexport (§ 11 Abs. 3). Beispiel: Verlangt ein früherer Geschäftspartner Auskunft, sucht der Kunde selbst in seinen Projekten und Postfächern nach dessen Namen. Reicht das nicht, hilft der Anbieter auf Anfrage in Textform; dafür darf er eine angemessene Vergütung nach Aufwand verlangen, außer die Anfrage geht auf einen Fehler des Anbieters zurück.

(2) Wendet sich eine Person direkt an den Anbieter und geht es um Daten, die der Anbieter für den Kunden verarbeitet, leitet der Anbieter die Anfrage sofort an den Kunden weiter und beantwortet sie nicht selbst. Der Person sagt er, dass er weitergeleitet hat.

§ 9 Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO

Der Anbieter hilft dem Kunden, seine Pflichten aus Art. 32 bis 36 DSGVO zu erfüllen (Art. 28 Abs. 3 lit. f DSGVO): bei der Sicherheit der Verarbeitung durch die Maßnahmen in Anhang B, bei Datenpannen durch die Meldung nach § 10 und mit Auskünften über die Verarbeitung, wenn der Kunde eine Datenschutz-Folgenabschätzung durchführt oder seine Aufsichtsbehörde vorher anhören muss. Dabei berücksichtigt er, was er über die Verarbeitung weiß und wie sie abläuft. Anfragen gehen in Textform an support@todo.monster.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Erfährt der Anbieter von einer Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, etwa einem unbefugten Zugriff auf die Datenbank oder einem Leck in einer Datensicherung, meldet er das dem Kunden unverzüglich an die Adresse nach § 4 Abs. 6 (Art. 33 Abs. 2 DSGVO). Er meldet so schnell, dass der Kunde seine eigene Frist von 72 Stunden gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann.

(2) Die Meldung enthält, soweit der Anbieter es schon weiß: was passiert ist, welche Arten von Daten und ungefähr wie viele Personen und Datensätze betroffen sind, welche Folgen wahrscheinlich sind, was der Anbieter getan hat und vorschlägt, und wer beim Anbieter Ansprechpartner ist (Art. 33 Abs. 3 DSGVO). Was er noch nicht weiß, reicht er nach, sobald er es weiß.

(3) Der Anbieter sichert die Daten sofort, begrenzt den Schaden und stimmt die weiteren Schritte mit dem Kunden ab.

§ 11 Ende des Auftrags, Rückgabe und Löschung

(1) Für eine Firma endet der Auftrag, wenn der Firmentarif oder die Pilotvereinbarung gekündigt oder sonst beendet wird, ohne dass direkt ein anderer Firmentarif anschließt, oder wenn die Firma aufgelöst wird (nachfolgend „Vertragsende“). Ein Wechsel zwischen Firmentarifen oder von der Pilotvereinbarung in einen Firmentarif beendet den Auftrag nicht. Für einen Kunden ohne Firma endet der Auftrag, wenn er sein Konto löscht; den Ablauf beschreibt die Datenschutzerklärung.

(2) Nach dem Vertragsende kann der Firmeninhaber die Daten der Firma noch 30 Tage lang lesen und exportieren. In dieser Zeit holt er die Daten über den Firmenexport selbst zurück. Will der Kunde die Daten stattdessen sofort gelöscht haben, schreibt er das dem Anbieter in Textform; der Anbieter löscht dann unverzüglich. So hat der Kunde die Wahl zwischen Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO).

(3) Der Firmenexport ist der Weg der Rückgabe: Der Firmeninhaber lädt ein Archiv in gängigen, maschinenlesbaren Formaten (JSON, CSV) mit Projekten, Modulen, Aufgaben, Kommentaren, Zeiteinträgen, Zuweisungen, Tags, Serienregeln, Änderungshistorie und Anhängen herunter. Nicht enthalten sind Inhalte von Firmenpostfächern und verbundenen Postfächern, Kalender und Termine, Rechnungen und Belege sowie Profile anderer Personen. Braucht der Kunde Postfach- oder Kalenderinhalte, fordert er sie innerhalb der 30 Tage aus Absatz 2 in Textform an; der Anbieter stellt sie innerhalb von 30 Tagen nach Eingang bereit, soweit sie noch vorhanden sind. Kunden ohne Firma nutzen den persönlichen Datenexport mit demselben Umfang für ihre eigenen Projekte.

(4) Rechnungen und Belege, die der Anbieter dem Kunden als Verantwortlicher ausgestellt hat, bleiben jederzeit im Konto abrufbar; sie gehören nicht zum Auftrag.

(5) 60 Tage nach dem Vertragsende löscht ein automatischer Aufräumlauf die Daten der Firma einschließlich Papierkorb, soweit kein Gesetz eine längere Aufbewahrung verlangt. In den Datensicherungen des Hosters werden die Daten innerhalb weiterer 30 Tage überschrieben. Eine Datensicherung, die gelöschte Daten enthält, wird nur nach einem Ausfall zurückgespielt; danach führt der Anbieter bereits erfolgte Löschungen erneut aus.

(6) Die persönlichen Konten der Mitglieder und Gäste bleiben vom Vertragsende unberührt; ihre eigenen Daten außerhalb der Firma bleiben in ihren Konten. Nicht gelöscht werden Daten, die der Anbieter als Verantwortlicher aufbewahren muss: Rechnungen und Belege (§ 147 AO, § 257 HGB), Protokolle über Zustimmungen und Audit-Protokolle ohne Inhaltsdaten. Für diese Daten gilt nach dem Vertragsende nicht mehr diese ADV, sondern die Datenschutzerklärung.

(7) Auf Anfrage bestätigt der Anbieter die Löschung in Textform. Bis Rückgabe und Löschung abgeschlossen sind, gilt diese ADV weiter.

§ 12 Nachweise und Beiträge zu Überprüfungen

(1) Der Kunde darf prüfen, ob der Anbieter diese ADV einhält (Art. 28 Abs. 3 lit. h DSGVO). Der Anbieter gibt ihm dafür alle nötigen Informationen und wirkt an Prüfungen mit, die der Kunde selbst oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer durchführt.

(2) Die Prüfung läuft über Unterlagen: Auf Anfrage stellt der Anbieter die aktuelle Fassung der Anhänge B und C bereit, eine Eigenauskunft zu den Maßnahmen in Anhang B, die Nachweise, Berichte und Zertifikate seines Hosters und seiner übrigen Unterauftragsverarbeiter sowie Antworten auf Fragen des Kunden in Textform. Eine Prüfung vor Ort beim Anbieter oder bei seinen Unterauftragsverarbeitern ist nicht vorgesehen. An Prüfungen einer Aufsichtsbehörde wirkt der Anbieter unverändert mit.

(3) Der Anbieter darf Geschäftsgeheimnisse und die Daten anderer Kunden schützen und die Auskunft auf die Systeme und Unterlagen beschränken, die den Kunden betreffen.

§ 13 Verarbeitungsort und Drittland

(1) Der Anbieter und seine Unterauftragsverarbeiter in Anhang C, Abschnitt 1 verarbeiten die Daten des Kunden ausschließlich in Deutschland.

(2) In ein Land außerhalb der EU und des Europäischen Wirtschaftsraums überträgt der Anbieter aus eigener Entscheidung nichts. Wollte er das einmal, wäre das ein Wechsel nach § 7 Abs. 2, und die Voraussetzungen der Art. 44 ff. DSGVO müssten erfüllt sein.

(3) Anders ist es bei Diensten, die der Kunde oder seine Nutzer selbst mit todo.monster verbinden (Anhang C, Abschnitt 3): Postfächer über IMAP und SMTP, Kalender über CalDAV sowie Google- und Microsoft-Kalender. Dorthin überträgt der Anbieter nur das, was die Funktion braucht, zum Beispiel einen im Dienst angelegten Termin an den verbundenen Kalender. Ob so ein Dienst Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, hängt vom gewählten Dienst ab; bei Google und Microsoft ist mit einer Verarbeitung in den USA zu rechnen. Dass diese Übertragung zulässig ist und die nötigen Garantien bestehen, verantwortet der Kunde (§ 4 Abs. 3).

§ 14 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gilt die Haftungsklausel der Allgemeinen Geschäftsbedingungen. Die gesetzliche Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt davon unberührt.

(2) Änderungen dieser ADV brauchen Textform. Der Anbieter darf sie ändern, wenn sich die Verarbeitung, die Unterauftragsverarbeiter oder die Rechtslage ändern; er informiert den Kunden per System-E-Mail mindestens 30 Tage vorher. Für Anhang C gilt § 7 Abs. 2.

(3) Es gilt deutsches Recht. Gerichtsstand ist Berlin, wenn der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Ist eine Bestimmung dieser ADV unwirksam, bleiben die übrigen wirksam; an ihre Stelle tritt die gesetzliche Regelung.

Anhang A: Gegenstand der Verarbeitung

1. Funktionen und Zwecke

Der Anbieter verarbeitet die Daten des Kunden, um die folgenden Funktionen für den Kunden und seine Firma bereitzustellen. Eine Funktion verarbeitet nur dann Daten, wenn der Kunde oder seine Nutzer sie verwenden.

2. Kategorien betroffener Personen

• Der Kunde selbst sowie Inhaber, Verwalter und Mitglieder seiner Firma (Beschäftigte, Auftragnehmer, Beauftragte).
• Projektgäste und eingeladene Externe: Personen ohne eigenen Platz in der Firma, die der Kunde oder seine Nutzer in Projekte einladen, auch solche, deren Einladung noch offen ist. Ihre Inhalte in den Projekten des Kunden sind Daten des Kunden. Für ihr eigenes Nutzerkonto bei todo.monster sind sie Nutzer des Anbieters; dafür gilt die Datenschutzerklärung.
• Absender und Empfänger von E-Mails in Firmenpostfächern und verbundenen Postfächern sowie Personen, die in Nachrichten genannt werden.
• Teilnehmer von Kalenderterminen.
• Kunden, Geschäftspartner, Lieferanten und sonstige Dritte, deren Daten Nutzer des Kunden in Aufgaben, Kommentaren, Anhängen, Zeiteinträgen, Anwendungshinweisen oder Bildschirmfotos erfassen.

3. Dauer

Die Verarbeitung dauert so lange wie der Hauptvertrag, bis zur Rückgabe oder Löschung nach § 11. Innerhalb der Laufzeit gelten die Fristen in Anhang B, Ziffer 3 für den Papierkorb und für Protokolle.

Anhang B: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen sind nach ihrem Ort beschrieben: im Dienst (vom Anbieter entwickelt und betrieben), beim Hoster (durch den Unterauftragsverarbeiter in Anhang C, Abschnitt 1) oder organisatorisch beim Anbieter. Der Anbieter sagt nur Maßnahmen zu, die eingerichtet sind.

1. Vertraulichkeit

• Zutritt und Zugang beim Hoster: Die Server stehen in Rechenzentren des Hosters in Deutschland mit Zutrittsschutz und Zugangskontrolle nach dessen Sicherheitskonzept; der Anbieter stellt es auf Anfrage als Nachweis bereit (§ 12). Der Anbieter selbst hat keinen physischen Zugang.
• Zugang zum Dienst: Anmeldung mit E-Mail-Adresse und Passwort oder per Anmeldelink an die hinterlegte E-Mail-Adresse. Passwörter werden nur als Hash gespeichert; neue Passwörter müssen Mindestanforderungen erfüllen und werden gegen bekannte Datenlecks geprüft, ohne dass das Passwort den Dienst verlässt. Anmeldeversuche sind je Absenderadresse und je Konto begrenzt. Sitzungen laufen nach zwei Stunden ohne Aktivität ab; Sitzungs-Cookies gelten nur über HTTPS und sind für Skripte unzugänglich. Zugriffstoken der Mobil-App und der Programmierschnittstelle laufen nach 30 Tagen ab und können jederzeit widerrufen werden.
• Zugriff innerhalb des Dienstes: Rollenmodell je Firma (Inhaber, Verwalter, Mitglied, Gast) und je Projekt; jeden Lese- und Schreibzugriff auf Aufgaben, Projekte und Firmen prüft der Server gegen zentrale Berechtigungsregeln. Ein Verwaltungskonto des Anbieters kann Beschreibungen, Kommentare, Anhänge, Postfach- und Kalenderinhalte nicht lesen; was es sieht, steht abschließend in Ziffer 5.
• Trennung: Die Daten aller Kunden liegen in einer gemeinsamen Datenbank und sind logisch über die Zuordnung zu Firma und Projekt getrennt; diese Zuordnung setzt der Server und übernimmt sie nie aus einer Anfrage. Entwicklung, Test und Produktion sind getrennte Systeme; die Entwicklungsumgebung ist zusätzlich durch eine Zugangssperre geschützt und enthält keine Produktionsdaten.
• Verschlüsselung gespeicherter Daten: Titel und Beschreibungen von Projekten und Aufgaben, Kommentare, Betreff und Text von E-Mails, Termininhalte sowie Zugangsdaten angeschlossener Postfächer und Kalender liegen serverseitig verschlüsselt (AES-256); Passwörter werden nur als Argon2id-Hash gespeichert. Es ist eine serverseitige Verschlüsselung, keine Ende-zu-Ende-Verschlüsselung: Der Anbieter kann technisch auf die Daten zugreifen; wann er das tut, steht in Ziffer 5.
• Verschlüsselung der Übertragung: Der Dienst ist nur über HTTPS erreichbar (Umleitung und HSTS); Verbindungen zu Postfächern, Kalendern, dem Sprachmodell, dem Meldeserver und dem Zahlungsdienst sind transportverschlüsselt.
• Vertraulichkeit der Personen: Alle Personen, die beim Anbieter Zugang zu Produktionssystemen haben, sind schriftlich zur Vertraulichkeit verpflichtet.

2. Integrität

• Eingabekontrolle: Änderungen an Aufgaben werden mit Bearbeiter, Zeitpunkt, altem und neuem Wert in einer Historie festgehalten. Verwaltungshandlungen in der Firma (Rollen, Einladungen, Postfächer, Auflösung) stehen im Audit-Protokoll der Firma. Anmeldungen werden mit Zeitpunkt, Absenderadresse und Client festgehalten. Zugriffe des Anbieters nach Ziffer 5 werden protokolliert.
• Schutz der Anwendung: Schutz gegen eingeschleuste Anfragen (CSRF) durch Sitzungs-Token; serverseitige Bereinigung formatierter Eingaben; durchgehendes Maskieren von Ausgaben; Sicherheits-Header gegen Einbettung in fremde Seiten und gegen Typ-Erraten sowie zur Steuerung des Referrers. Anhänge werden nur angenommen, wenn Dateiendung und erkannter Inhaltstyp zusammenpassen; sie liegen unter zufälligen Namen außerhalb des Webroots und werden mit einer isolierenden Sicherheitsrichtlinie ausgeliefert. Profilfotos werden ohne Metadaten neu kodiert.
• Weitergabekontrolle: Daten verlassen den Dienst nur an die in Anhang C genannten Stellen und nur im dort beschriebenen Umfang; an das Sprachmodell gehen keine Anhänge, an den Zahlungsdienst keine Inhaltsdaten; Buchhaltungs- und Bankdaten des Anbieters verlassen das System nicht. Verwaltungs- und Datenbankzugriffe des Anbieters laufen über die Verwaltungsoberfläche des Hosters und verschlüsselte Verbindungen.
• Entwicklungsprozess: Jede Änderung am Dienst durchläuft vor der Auslieferung automatisierte Tests, darunter Vertragstests für Berechtigungsregeln, Verschlüsselung und Modulgrenzen, und wird nachvollziehbar zusammengeführt. Die Auslieferung erfolgt reproduzierbar als Container-Abbild; Fehlermeldungen werden in Produktion nie im Browser ausgegeben.

3. Verfügbarkeit, Belastbarkeit und Löschung

• Datensicherung: Datenbank und Dateiablage sichert der Hoster; Sicherungen werden bis zu 30 Tage aufbewahrt und danach überschrieben.
• Wiederherstellung: Die Anwendung läuft als Container-Stack mit getrennten Prozessen für Web, Zeitsteuerung und Hintergrundarbeiten; ein Wartungsmodus hält den Dienst während einer Wiederherstellung kontrolliert an. Ein Gesundheitsendpunkt erlaubt die Überwachung.
• Belastbarkeit: Begrenzung von Anfragen je Absenderadresse und Konto für Anmeldung, Registrierung, Einladungen, Schreibzugriffe über die Programmierschnittstelle und Verwaltungsfunktionen; Größen-, Anzahl- und Speichergrenzen für Anhänge; Monatskontingente für die KI-Funktion.
• Papierkorb: Gelöschte Projekte, Module, Aufgaben, Postfächer und Kalender werden zunächst nur als gelöscht markiert und erst nach einer konfigurierten Frist endgültig entfernt (Vorgabe 30 Tage, Untergrenze ein Tag); gelöschte E-Mails bleiben 45 Tage im Papierkorb des Postfachs. Bis dahin holen berechtigte Nutzer sie selbst zurück. Verwaiste Anhangdateien werden täglich entfernt.
• Protokoll- und Löschfristen: Benachrichtigungen 30 Tage; Protokolle des Postfach- und Kalenderabgleichs drei Tage, bei Fehlern sieben Tage; Exportarchive 24 Stunden; Anmeldeprotokolle 90 Tage; Nutzungsprotokoll der KI-Funktion 90 Tage; Audit-Protokolle der Firma und der Wiederherstellung drei Jahre, Audit-Protokoll der Abrechnung zehn Jahre (steuerliche Aufbewahrung); IP-Adresse von Zustimmungen bis zum Vertragsende zuzüglich drei Jahre; Bildschirmfotos von Fehlermeldungen 90 Tage; Anwendungsprotokolle 30 Tage.
• Verfügbarkeitszusage: Die Verfügbarkeit des Dienstes regeln die Allgemeinen Geschäftsbedingungen, nicht diese ADV.

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige automatische Prüfung, dass verschlüsselt zu speichernde Daten verschlüsselt gespeichert sind, und regelmäßiger Abgleich der Anhangablage mit der Datenbank.
• Automatisierte Tests bei jeder Änderung; dokumentierte Anleitungen für Auslieferung, Schlüsselrotation, Wartungsmodus und Störungen.
• Änderungen an den Maßnahmen dieses Anhangs werden dokumentiert (§ 6 Abs. 2).
• Datenschutz durch Voreinstellung: Die KI-Funktion läuft nur, wenn ein Nutzer sie für eine E-Mail auslöst, und kann je Nutzer abgeschaltet werden; Fehlermeldungen mit Bildschirmfoto gehen nur auf Auslösung des Nutzers ab; Postfächer und Kalender sind nur verbunden, wenn ein Nutzer sie verbindet; Profilfotos sehen nur Personen mit gemeinsamem Projekt oder gemeinsamer Firma.

5. Zugriff des Anbieters auf Daten des Kunden (Zugriffsregel)

Beschäftigte des Anbieters sehen sich Inhalte des Kunden nicht routinemäßig an. Ein Mensch greift nur zu, wenn es einen Anlass gibt (eine Weisung des Kunden oder ein Sicherheits- oder Betriebsvorfall), nur so weit wie nötig, und jeder Zugriff wird protokolliert. Die automatische Verarbeitung durch den Dienst nach Anhang A bleibt davon unberührt. Mehr als die folgenden Zugriffe gibt es nicht:

• Wiederherstellung (§ 3 Abs. 4): Auf Anfrage des Kunden sieht ein Verwaltungskonto des Anbieters mit dem Recht zur Wiederherstellung Benutzername, E-Mail-Adresse, Status und Löschzeitpunkt des betroffenen Nutzers sowie die Namen seiner Projekte und Module, die Titel seiner Aufgaben und die Löschzeitpunkte gelöschter Datensätze. Nicht sichtbar sind Beschreibungen, Kommentare, Anhänge, Zeiteinträge sowie Postfach- und Kalenderinhalte. Jede Wiederherstellung wird mit ausführender Person und Zeitpunkt protokolliert.
• Supportdiagnose: Auf Anfrage des Kunden sieht ein Verwaltungskonto des Anbieters die Mitgliedschaften, Einladungen und Postfach-Verbindungen der Firma (Hostnamen, Status, Zeitpunkt des letzten Abrufs), nicht die Inhalte von Nachrichten. Jede Diagnose wird vor der Anzeige im Audit-Protokoll der Firma festgehalten.
• Fehlermeldungen: Bildschirmfotos und Beschreibungen, die ein Nutzer über die Fehlermeldefunktion sendet, sieht der Anbieter, um den gemeldeten Fehler zu beheben; sie werden nach der Frist in Ziffer 3 gelöscht.
• Betrieb und Sicherheit: Zugriff auf Datenbank, Dateiablage und Protokolle, um eine Störung zu beheben, einen Sicherheitsvorfall zu untersuchen oder eine Weisung auszuführen. Der Anlass wird dokumentiert; Inhalte des Kunden sieht der Anbieter dabei nur so weit, wie es der Anlass erfordert.

Anhang C: Unterauftragsverarbeiter und weitere Empfänger

1. Unterauftragsverarbeiter (§ 7 Abs. 1)

2. Empfänger außerhalb des Auftrags

Die folgenden Stellen erhalten keine Daten aus dem Auftrag des Kunden. Der Anbieter setzt sie als Verantwortlicher für eigene Zwecke ein; sie stehen hier nur zur Abgrenzung, Einzelheiten stehen in der Datenschutzerklärung. Buchhaltungs- und Bankdaten des Anbieters werden innerhalb des Dienstes verarbeitet und an keinen weiteren Empfänger übermittelt.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande: Zahlungsabwicklung kostenpflichtiger Tarife. Mollie erhält Name und E-Mail-Adresse des Rechnungskontos und die Zahlungsdaten, keine Inhaltsdaten; Mollie handelt bei der Zahlungsabwicklung als eigener Verantwortlicher.
• EU-Captcha (Myra Security GmbH, München): Bot-Schutz bei der Registrierung und im Kontaktformular; übermittelt werden IP-Adresse, Browserkennung und das Captcha-Token der registrierenden bzw. schreibenden Person. Die Prüfung ist eine Verarbeitung des Anbieters als Verantwortlicher.
• Have I Been Pwned (api.pwnedpasswords.com, Betreiber Troy Hunt, Australien): Beim Setzen eines Passworts wird ein kurzes Fragment eines Hashwerts übermittelt, nie das Passwort und keine Kennung der Person; eine Zuordnung zu einer Person ist nicht möglich.

3. Vom Kunden beauftragte Drittdienste

Verbindet der Kunde oder ein Nutzer des Kunden einen der folgenden Dienste mit todo.monster, hat der Kunde diesen Dienst selbst gewählt und steht zu ihm in einem eigenen Vertragsverhältnis. Der Dienst ist kein Unterauftragsverarbeiter des Anbieters; der Anbieter überträgt dorthin nur, was die Funktion braucht, und ruft von dort ab, was der Nutzer freigegeben hat (§ 13 Abs. 3).

• Postfächer über IMAP und SMTP beim E-Mail-Anbieter des Kunden oder Nutzers: Abruf und Versand von Nachrichten mit den Zugangsdaten, die der Nutzer hinterlegt.
• Kalender über CalDAV (zum Beispiel Nextcloud oder Fastmail): Abgleich von Terminen mit den Zugangsdaten, die der Nutzer hinterlegt.
• Google-Kalender (Google LLC bzw. Google Ireland Limited): Der Nutzer meldet sich direkt bei Google an und erteilt dort die Freigabe; der Anbieter liest Termine aus den gewählten Kalendern und überträgt im Dienst angelegte oder geänderte Termine an Google. Verarbeitung regelmäßig auch in den USA. Verfügbar nur, soweit der Anbieter die Funktion freigeschaltet hat.
• Microsoft-Kalender (Microsoft Corporation bzw. Microsoft Ireland Operations Limited) für private Microsoft-Konten: Der Nutzer meldet sich direkt bei Microsoft an und erteilt dort die Freigabe; der Anbieter liest Termine aus den gewählten Kalendern und überträgt im Dienst angelegte oder geänderte Termine mit ihren Teilnehmern an Microsoft, das Einladungen verschicken kann. Verarbeitung regelmäßig auch in den USA.

Für Google und Microsoft gilt: Welche Garantien die Übertragung in die USA absichern, richtet sich nach dem Vertragsverhältnis, das der Kunde oder sein Nutzer selbst mit dem jeweiligen Dienst hat (§ 4 Abs. 3).

Trennt der Nutzer die Verbindung, löscht der Anbieter die Zugangsdaten und Zugriffstoken; bereits abgerufene Nachrichten und Termine bleiben im Dienst, bis der Nutzer sie löscht oder das Konto beziehungsweise die Firma entfernt wird.