Auftragsverarbeitungsvertrag

Dieser Vertrag zwischen dem Kunden und NEWWORK [legal form to confirm] (der „Auftragsverarbeiter“) ist Teil der Allgemeinen Geschäftsbedingungen und gilt immer dann, wenn wir personenbezogene Daten im Auftrag des Kunden verarbeiten. Wenn Sie ein unterschriebenes Exemplar benötigen, schreiben Sie an privacy@newworkprojects.com.

1. Gegenstand, Dauer, Art und Zweck

Wir hosten und verarbeiten die Workspaces des Kunden, um NEWWORK Projects bereitzustellen: Inhalte speichern und anzeigen, Benachrichtigungen senden, Integrationen und Agenten anbinden und KI-Funktionen ausführen, wenn Mitglieder sie nutzen. Der Vertrag gilt, solange wir Daten für den Kunden verarbeiten.

2. Daten und betroffene Personen

• Datenarten: Namen, E-Mail-Adressen und Profilbilder von Mitgliedern und Gästen; die Inhalte von Tickets, Kommentaren, Dateien und Dokumenten; Zeiteinträge; Aktivitäts- und Zugriffsaufzeichnungen, einschließlich der Support-Zugriffe und dessen, was der Support geöffnet hat.
• Nutzungsdaten: tägliche Zählungen je Workspace, welche Ansichten, Funktionen und MCP-Werkzeuge genutzt wurden, und für jede KI-Anfrage die Funktion, das Modell, die Token-Zahlen und die Kosten, ohne ihren Inhalt. Wir nutzen sie, um die Grenzen des Plans anzuwenden, abzurechnen und den Dienst zu betreiben, und bewahren sie höchstens 25 Monate auf (KI-Anfragen 13 Monate).
• Audit-Log: jede Änderung in einem Workspace mit der Person, die sie vorgenommen hat, und dem vorherigen Stand, Anmeldungen (Zeitpunkt, Methode und IP-Adresse), Abrechnungsereignisse und Support-Zugriffe. Die Admins des Workspace lesen und exportieren es in Business und Enterprise. Einträge werden in Business und Enterprise ein Jahr aufbewahrt, in den anderen Plänen 90 Tage, und dann gelöscht.
• Betroffene Personen: die Mitglieder und Gäste des Kunden und alle Personen, die in den Inhalten erwähnt werden.
• Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt. Der Kunde entscheidet, ob er sie speichert.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, also nach diesen Bedingungen, den Einstellungen des Kunden und seiner Nutzung des Dienstes, sofern das Recht nichts anderes verlangt. Wir informieren den Kunden, wenn wir eine Weisung für datenschutzwidrig halten.

4. Vertraulichkeit

Alle Personen bei NEWWORK [legal form to confirm] mit Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet.

Unsere Mitarbeitenden lesen keine Workspace-Inhalte, es sei denn, ein Admin des Workspace gewährt dem Support Zugriff, für 1, 3 oder 7 Tage, unter Workspace-Einstellungen → Data & privacy. Solange eine Freigabe besteht, dürfen Mitarbeitende mit der Support-Rolle die Projekte und Tickets des Workspace lesen, nur lesend und ohne Dateien, um die Anfrage des Kunden zu beantworten. Jede Seite, die sie öffnen, wird für die Admins des Workspace aufgeführt, die den Zugriff jederzeit beenden können. Die Freigabe ist eine Weisung im Sinne von Abschnitt 3.

5. Sicherheit (Art. 32 DSGVO)

• Daten werden in der EU (Frankfurt) gespeichert und bei der Übertragung und im Ruhezustand verschlüsselt.
• Jede Tabelle ist mit Row-Level Security nach Workspace getrennt, und eine automatisierte Testreihe prüft bei jeder Änderung, dass ein Workspace die Daten eines anderen weder lesen noch ändern kann.
• Agent-Tokens werden als Hashes gespeichert, gehören zu einem Workspace, laufen nach 90 Tagen ab und können jederzeit widerrufen werden.
• Der Zugriff auf die Produktion ist auf die Personen beschränkt, die den Dienst betreiben. Mitarbeitende arbeiten in einer separaten Konsole mit Zwei-Faktor-Anmeldung, und was sie dort tun, wird protokolliert.
• Datenbanken werden täglich gesichert.

6. Unterauftragsverarbeiter

Der Kunde genehmigt die unten genannten Unterauftragsverarbeiter. Wir verpflichten jeden von ihnen zu Datenschutzpflichten, die diesem Vertrag entsprechen. Wir informieren die Workspace-Owner mindestens 30 Tage vorher per E-Mail, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, der Kundendaten verarbeitet. Der Kunde kann aus wichtigem Grund widersprechen; können wir den Einwand nicht ausräumen, kann der Kunde den betroffenen Plan kündigen.

Stand der Liste: 15. Oktober 2026. Übermittlungen außerhalb der EU stützen sich auf das EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln.

7. Unterstützung

Wir helfen dem Kunden, Anfragen betroffener Personen zu beantworten, meist über den Dienst selbst (Export, Bearbeiten und Löschen), und unterstützen ihn bei der Sicherheit, bei Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO).

8. Verletzungen des Schutzes personenbezogener Daten

Wir informieren den Kunden unverzüglich, nachdem uns eine Verletzung bekannt geworden ist, die seine Daten betrifft, mit den Informationen, die uns vorliegen, und den Maßnahmen, die wir ergreifen.

9. Löschung und Rückgabe

Owner können einen Workspace jederzeit exportieren. Wird ein Workspace gelöscht, oder endet der Vertrag und der Kunde hat den Workspace gelöscht, löschen wir seine Inhalte und sein Audit-Log, sofern das Recht keine Aufbewahrung verlangt. Kopien in Sicherungen werden entfernt, sobald die Sicherungen turnusmäßig überschrieben werden.

10. Kontrollen

Wir stellen dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind. Der Kunde kann uns prüfen oder durch einen zur Vertraulichkeit verpflichteten Prüfer prüfen lassen, nach angemessener Vorankündigung, während der Geschäftszeiten und ohne den Dienst zu stören, in der Regel einmal im Jahr.

11. Haftung und Vorrang

Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen und Art. 82 DSGVO. Wo dieser Vertrag und die Allgemeinen Geschäftsbedingungen beim Datenschutz voneinander abweichen, hat dieser Vertrag Vorrang.