Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Stand: 26.09.2026

1. Vertragsparteien und Einbeziehung

Dieser Vertrag wird zwischen dem im BookHost-Hauptvertrag und in der Bestellbestätigung bezeichneten Kunden als Verantwortlichem und Auftraggeber und der productivity-boost.com Betriebs UG (haftungsbeschränkt) & Co. KG, Reichenbergerstr. 2, 94036 Passau, Deutschland, vertreten durch Florian Standhartinger, als Auftragsverarbeiter und Auftragnehmer geschlossen. Kontakt: info@productivity-boost.com, Telefon: +49 178 1981631. Die weiteren Vertretungs- und Registerangaben ergeben sich aus dem Impressum.

Der AVV wird durch ausdrückliche elektronische Einbeziehung in den Hauptvertrag oder gesonderte Vereinbarung wirksam. Er muss vor der Verarbeitung personenbezogener Kundeninhalte geschlossen sein. Die Parteien dokumentieren Annahme, Datum, vereinbarte Fassung und Identität des Kunden. Kunde und weisungsberechtigte Kontoverwalter sind anhand der Bestellbestätigung und der vom Kunden gepflegten Berechtigungen bestimmbar; eine öffentliche Nennung des Kunden ist nicht erforderlich.

Ist der Kunde selbst Auftragsverarbeiter, handelt BookHost als weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass die Einbeziehung von BookHost durch die Weisungen und Genehmigungen seines Verantwortlichen gedeckt ist. Die nachfolgenden Pflichten gelten entsprechend in der Verarbeitungskette.

Bei Widersprüchen zu anderen vertraglichen Regelungen hat dieser AVV hinsichtlich der Auftragsverarbeitung Vorrang. Die Anlagen sind Vertragsbestandteil. Die Verarbeitung eigener Vertrags-, Rechnungs- und gesetzlich erforderlicher Unternehmensdaten des Auftragnehmers als Verantwortlicher fällt nicht unter diesen AVV; hierfür gilt die Datenschutzerklärung.

2. Gegenstand und Weisungen

Der Auftragnehmer verarbeitet die in Anlage 1 beschriebenen Daten ausschließlich zu den dort genannten Zwecken und nach dokumentierten Weisungen des Auftraggebers. Hauptvertrag, dieser AVV und die bestimmungsgemäße Nutzung autorisierter Funktionen bilden die anfänglichen Weisungen. Zusätzliche Weisungen können in Textform an info@productivity-boost.com erteilt werden. Bei Zweifeln an der Berechtigung darf der Auftragnehmer die Identität angemessen prüfen.

Mündliche Eilweisungen werden unverzüglich dokumentiert. Der Auftragnehmer informiert unverzüglich, wenn er eine Weisung für datenschutzrechtswidrig hält, und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit erforderlich. Eine Verarbeitung zu eigenen Zwecken, Werbung oder Modelltraining ist nicht erlaubt.

Verlangt Unionsrecht oder das Recht eines Mitgliedstaates ausnahmsweise eine andere Verarbeitung, informiert der Auftragnehmer den Auftraggeber vorab über diese Pflicht, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

3. Pflichten des Auftraggebers

Der Auftraggeber verantwortet die Rechtmäßigkeit der Erhebung und Nutzung der Inhalte, die Information der Betroffenen, die Auswahl einer Rechtsgrundlage sowie seine Weisungen. Er vergibt und überprüft Benutzer- und Freigaberechte. Er informiert den Auftragnehmer über besondere Schutzanforderungen und erkennbare Fehler oder Sicherheitsvorfälle.

Bei der technisch verfügbaren Upload-Beta veranlasst der Kunde die KI-Verarbeitung je Upload. Für die Nutzung mit personenbezogenen Kundeninhalten gelten die Voraussetzungen in Anlage 3; die technische Verfügbarkeit belegt deren Erfüllung nicht. Der Auftraggeber minimiert übermittelte Inhalte auf das für den jeweiligen Zweck Erforderliche. Nicht vereinbarte besondere Kategorien personenbezogener Daten und strafrechtliche Daten dürfen nicht gezielt zur KI-Verarbeitung übermittelt werden.

Beim Agentenzugriff über MCP (Beta) veranlasst der Auftraggeber jeden Zugriff, indem er einem MCP-Client das API-Token eines BookStack-Benutzers seines Workspaces überlässt. Er legt über dessen BookStack-Rolle und den Schreibmodus fest, welche Inhalte gelesen oder geändert werden können. Den verbundenen Client und den dahinterstehenden KI-Dienst wählt der Auftraggeber selbst; die Übermittlung von Inhalten dorthin erfolgt in seiner Verantwortung und ist keine Unterauftragsverarbeitung durch den Auftragnehmer.

4. Vertraulichkeit und Sicherheit

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus. Berechtigungen werden auf notwendige Aufgaben beschränkt und bei Wegfall unverzüglich entzogen.

Der Auftragnehmer verpflichtet sich, die Maßnahmen aus Anlage 2 vor Beginn der jeweiligen Verarbeitung umzusetzen und über deren Dauer zu erhalten. Er berücksichtigt Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Maßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen bei dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen einer Aufsichtsbehörde. Er benennt auf Anfrage die zuständige Datenschutzkontaktperson und, sofern bestellt, den Datenschutzbeauftragten.

5. Betroffenenrechte und Sicherheitsverletzungen

Gehen beim Auftragnehmer Anträge betroffener Personen zu Kundeninhalten ein, leitet er sie unverzüglich an den Auftraggeber weiter. Er erteilt dazu keine eigenständige inhaltliche Auskunft ohne Weisung, soweit keine gesetzliche Verpflichtung besteht. Er unterstützt durch geeignete technische und organisatorische Maßnahmen insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, damit gesetzliche Fristen eingehalten werden können.

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an dessen hinterlegte Kontaktadresse, nach Möglichkeit innerhalb von 24 Stunden. Diese Zielzeit ist keine Erlaubnis, eine mögliche frühere Meldung aufzuschieben. Die Meldung enthält, soweit bekannt, Art und Umfang des Vorfalls, betroffene Daten- und Personenkategorien, ungefähre Anzahlen, Kontaktstelle, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Der Auftragnehmer sichert angemessene Nachweise, begrenzt den Schaden und unterstützt bei der Prüfung von Melde- und Benachrichtigungspflichten. Die Entscheidung über Meldungen des Verantwortlichen an Behörde und Betroffene liegt beim Auftraggeber. Eigene gesetzliche Pflichten des Auftragnehmers bleiben unberührt.

6. Nachweise und Kontrollen

Der Auftragnehmer stellt alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV und des Art. 28 DSGVO bereit. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten unabhängigen Prüfer und trägt dazu bei. Berichte, aussagekräftige Dokumentation und geeignete Nachweise können zunächst genutzt werden; sie schließen eine erforderliche Vor-Ort-Kontrolle nicht aus.

Reguläre Kontrollen werden mit angemessener Vorankündigung und möglichst während üblicher Geschäftszeiten durchgeführt. Bei konkreten Vorfällen, begründetem Verdacht oder behördlichen Anforderungen sind kurzfristige Kontrollen möglich. Geheimnisse und Daten anderer Kunden werden geschützt, ohne das Prüfungsrecht auszuhöhlen. Etwaige Kosten außergewöhnlicher Unterstützungsleistungen bedürfen einer gesonderten angemessenen Vereinbarung; gesetzlich notwendige Zusammenarbeit und dringende Hilfe werden nicht von einer vorherigen Zahlung abhängig gemacht.

Der Auftragnehmer informiert über behördliche Maßnahmen, Beschlagnahmen oder sonstige Zugriffe, die die Auftragsdaten betreffen, soweit ihm dies rechtlich erlaubt ist. Er weist zugreifende Stellen auf die Zuordnung der Daten zum Auftraggeber hin und wirkt im rechtlich möglichen Umfang auf deren Schutz hin.

7. Weitere Auftragsverarbeiter und Drittlandtransfers

Der Auftraggeber erteilt eine allgemeine schriftliche beziehungsweise elektronische Genehmigung für weitere Auftragsverarbeiter nach Maßgabe dieser Regelung. Die anfänglich vorgesehenen Empfänger sind in Anlage 3 aufgeführt. Eine reine Aufnahme in die Liste ersetzt nicht den erforderlichen Vertrag und die dort genannten Aktivierungsvoraussetzungen.

Der Auftragnehmer informiert mindestens 30 Tage vor dem beabsichtigten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters in Textform über Identität, Aufgabe, Verarbeitungsorte und relevante Garantien. Der Auftraggeber kann vor Einsatz aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Alternative. Bis zur Klärung findet die beanstandete neue Übermittlung nicht statt. Ist keine zumutbare datenschutzkonforme Lösung möglich, kann der Auftraggeber die betroffene Leistung ohne zusätzliche Beendigungsgebühr zum geplanten Änderungszeitpunkt kündigen; bei Untrennbarkeit gilt dies für den gesamten Dienst. Vorauszahlungen für danach nicht erbrachte Leistungen werden erstattet.

Der Auftragnehmer legt weiteren Auftragsverarbeitern mindestens dieselben einschlägigen Datenschutzpflichten auf und prüft deren Eignung. Er bleibt gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten verantwortlich. Auch weitere Stufen der Kette sind einzubeziehen. Auf Anfrage stellt er relevante Nachweise und Vertragsinformationen bereit, gegebenenfalls mit erforderlichen Schwärzungen.

Die Verarbeitung von Instanz- und Sicherungsdaten bei Hetzner ist auf Deutschland und Finnland beschränkt. Übermittlungen oder Zugriffe aus Drittländern durch weitere Anbieter setzen eine dokumentierte Weisung und die Voraussetzungen der Art. 44 ff. DSGVO voraus. Soweit kein einschlägiger Angemessenheitsbeschluss greift, sind wirksame Standardvertragsklauseln im passenden Modul, eine Bewertung der Übermittlung und erforderliche ergänzende Maßnahmen zu dokumentieren. TEE-Technik allein ersetzt keine Transfergrundlage. Vor einer entsprechenden Übermittlung erhält der Auftraggeber die maßgeblichen Länder- und Garantieninformationen.

8. Beendigung, Rückgabe und Löschung

Nach Ende des Hauptvertrags gibt der Auftragnehmer personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie und löscht bestehende Kopien, soweit keine gesetzliche Speicherpflicht entgegensteht. Exporte sind während der Laufzeit über BookStack möglich; bis zur aktiven Löschung unterstützt der Auftragnehmer die Rückgabe noch vorhandener Daten auf Anfrage. Eine Inhaltsausgabe ersetzt nur dann eine vollständige Datenrückgabe, wenn sie deren vereinbarten Umfang abdeckt.

Ohne abweichende zulässige Weisung erfolgt die Löschung aus den aktiven Systemen spätestens 30 Tage nach Vertragsende. Der Auftraggeber kann eine frühere Löschung verlangen. Technisch abgeschottete Sicherungen werden innerhalb von höchstens sieben weiteren Tagen durch die Sicherungsrotation entfernt, spätestens also am 37. Tag nach Vertragsende. Der Auftraggeber genehmigt diese eng begrenzte Restaufbewahrung ausschließlich zu Sicherungszwecken. Solche Daten stehen nicht mehr für produktive Verarbeitung zur Verfügung; bei Wiederherstellung werden bereits erteilte Löschweisungen erneut umgesetzt.

Besteht eine zwingende gesetzliche Aufbewahrungspflicht, teilt der Auftragnehmer deren Umfang und Grundlage mit, soweit zulässig, und beschränkt Speicherung und Zugriff auf den gesetzlichen Zweck. Gesetzliche Pflichten für eigene Rechnungen rechtfertigen keine Aufbewahrung sämtlicher Kundeninhalte. Auf Wunsch bestätigt der Auftragnehmer die abgeschlossene Löschung einschließlich des Ablaufs der Sicherungskopien in Textform. Die Schutzpflichten gelten bis zur tatsächlichen Löschung fort.

9. Schlussbestimmungen

Die Verantwortlichkeit und Haftung gegenüber Betroffenen, insbesondere nach Art. 82 DSGVO, wird nicht eingeschränkt. Ergänzend gilt der Hauptvertrag, soweit er diesem AVV und zwingendem Datenschutzrecht nicht widerspricht. Änderungen werden schriftlich oder in elektronischer Form dokumentiert. Die jeweils angenommene Fassung bleibt für die Parteien abrufbar beziehungsweise speicherbar.

Anlage 1 – Gegenstand, Dauer, Art und Zweck der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Die folgenden Maßnahmen sind vertraglicher Mindeststandard. Sie beschreiben die vom Auftragnehmer zu erfüllenden Pflichten und sind kein Zertifikat oder Bericht über einen bereits durchgeführten unabhängigen Audit.

1. Zutritt und physischer Schutz

Der Serverbetrieb erfolgt in zugangsbeschränkten Hetzner-Rechenzentren. Der Auftragnehmer prüft die vom Infrastrukturbetreiber bereitgestellten Sicherheitsnachweise. Datenträger und Sicherungsmedien werden ausschließlich über die vorgesehenen Verwaltungswege genutzt und bei Aufgabe des Speichers sicher gelöscht beziehungsweise nach dokumentierten Verfahren des Anbieters ausgesondert.

2. Administrations- und Zugangsschutz

Administrative Serverzugriffe erfolgen über persönliche SSH-Schlüssel; Passwortanmeldung für SSH ist deaktiviert. Verwaltungsoberflächen mit administrativem Zugriff werden durch Zwei-Faktor-Authentisierung geschützt. Zugänge werden personenbezogen vergeben, auf das erforderliche Maß begrenzt, regelmäßig geprüft und bei Ausscheiden entzogen. Schlüssel und Wiederherstellungscodes werden getrennt von Kundeninhalten geschützt verwahrt. Notfallzugriffe werden begründet und protokolliert. Kundenseitige Zugänge werden durch sichere Sitzungen und rollenbasierte Berechtigungen abgesichert.

3. Mandantentrennung

Jede Kundeninstanz läuft in einem eigenen Container beziehungsweise einer eigenen Containergruppe. Datenbanken, Dateibereiche und Zugangsdaten werden je Mandant getrennt zugeordnet. Die Kontoverwaltung prüft für jede mandantenbezogene Aktion die Zugehörigkeit und Berechtigung. Gemeinsame Infrastruktur bedeutet keine gemeinsame Sichtbarkeit von Kundeninhalten. Interne Datenbank- und Verwaltungsdienste werden durch Netzwerkregeln vor unberechtigtem Zugriff geschützt.

4. Übertragung und Sicherungsverschlüsselung

Öffentliche Zugriffe auf Website, Kontoverwaltung und BookStack erfolgen über TLS mit gültigen Zertifikaten; unverschlüsseltes HTTP wird auf HTTPS umgeleitet. Datenübermittlungen an vereinbarte Dienste nutzen verschlüsselte Verbindungen. Sicherungen werden vor Ablage im Backup-Speicher verschlüsselt; Schlüsselzugriffe sind getrennt vom Zugriff auf Sicherungsdateien zu kontrollieren. Eine Verschlüsselung sämtlicher aktiver Datenträger oder eine durchgängige Ende-zu-Ende-Verschlüsselung wird damit nicht behauptet.

5. Protokollierung und Integrität

Administrative Änderungen, Berechtigungsänderungen, Sicherungsläufe, Wiederherstellungen und sicherheitsrelevante Ereignisse werden nachvollziehbar dokumentiert. Protokollzugriff ist beschränkt. Geheimnisse, vollständige Authentisierungstoken und Dokumentinhalte werden nicht absichtlich in Betriebslogs geschrieben. Die Aufbewahrungsfristen werden dokumentiert und technisch durchgesetzt. Updates werden kontrolliert eingespielt; Sicherheitsmeldungen und fehlgeschlagene Sicherungen werden bearbeitet.

6. Verfügbarkeit und Wiederherstellbarkeit

Mindestens tägliche Sicherungen umfassen Datenbank und erforderliche Instanzdateien. Die laufende Backup-Rotation entfernt Sicherungen, die älter als sieben Tage sind, beim nächsten täglichen Lauf; bei planmäßigem Betrieb können bis zu 24 Stunden hinzukommen. Sicherungen werden vor unberechtigtem Überschreiben und Zugriff geschützt. Wiederherstellungsprüfungen erfolgen regelmäßig sowie nach wesentlichen Änderungen des Sicherungsverfahrens; Datum, Sicherungsstand, Prüfergebnis und Abhilfen werden dokumentiert. Wiederherstellungen werden in einem getrennten Ziel geprüft, bevor eine produktive Instanz ersetzt wird. Wiederanlauf- und Vorfallverfahren sind dokumentiert; eine feste Wiederherstellungszeit ist nicht zugesagt.

7. Löschkonzept und Datenminimierung

Aktive Instanzdaten werden spätestens 30 Tage nach Vertragsende gelöscht, auf zulässige Weisung früher. Sicherungskopien laufen spätestens sieben Tage nach aktiver Löschung aus. Löschvorgänge und ihre Ausnahmen werden dokumentiert. Temporäre Dateien und Exporte werden nach Erfüllung ihres Zwecks entfernt; gesetzlich zurückbehaltene Daten werden isoliert. Nach Rücksicherung werden zwischenzeitliche Löschungen erneut ausgeführt. Verantwortliche und technische Fristen für Logs und temporäre Verarbeitungen werden festgelegt.

8. Organisation und beauftragter Support

Vertraulichkeitsverpflichtungen, rollenbezogene Datenschutzunterweisung, minimale Rechte, ein dokumentiertes Verfahren für Betroffenenanfragen sowie ein Verfahren zur unverzüglichen Meldung von Sicherheitsverletzungen sind verbindlich. Dienstleister werden vor Einsatz und bei wesentlichen Änderungen geprüft. Supportzugriffe auf Kundeninhalte sind auf den erforderlichen Anlass und Umfang beschränkt. Die Wirksamkeit der Maßnahmen wird regelmäßig überprüft und dokumentiert.

9. Zusätzliche Maßnahmen für den Dokument-Eingang (Upload-Beta)

Die Standardkonfiguration verwendet auf TensorX gehostete Modellnamen. Der Inferenzpfad prüft keine TEE-Attestierung und sperrt abweichend konfigurierte Modellnamen nicht; eine Modellbezeichnung allein belegt keine TEE-Eigenschaft. Nur für den Auftrag erforderliche Inhalte werden übermittelt. Eine Nutzung für Modelltraining oder eine freiwillige Inhaltsprotokollierung wird nicht aktiviert; nach § 2.2.3 der Vendor-DPA (Anlage 1: „Zero data retention“) werden Prompts und Completionen in der ephemeren Verarbeitung nicht gespeichert. Entwürfe bleiben bis zur menschlichen Freigabe unveröffentlicht. Die aktuelle Wiki-Antworten-Beta steht nur Workspace-Ownern und -Admins offen und nutzt die über das Workspace-API-Token zugänglichen Inhalte. Für künftig angebotene berechtigungsgeprüfte KI-Antworten pro Mitglied müssen Berechtigungen bereits bei der Auswahl der Quellinhalte und bei der Ausgabe beachtet werden; ein späteres Ausblenden einzelner Links reicht nicht. Separate Löschfristen gelten für Eingangsdaten, Entwürfe und technische Metadaten.

10. Zusätzliche Maßnahmen für den Agentenzugriff (MCP-Beta)

Der Workspace wird allein über die aufgerufene Adresse bestimmt; ein Token wirkt nur in dem Workspace, zu dem sein BookStack-Benutzer gehört. Das interne Dienstkonto des Auftragnehmers ist für den Agentenzugriff gesperrt. Im Dashboard angelegte Agenten-Benutzer erhalten keine Administrator- oder Gastrolle; ihr Token-Geheimnis wird nur einmal angezeigt und beim Auftragnehmer lediglich verschlüsselt aufbewahrt, bis es in BookStack eingerichtet ist. Owner und Admins können einzelne Token widerrufen und den Agentenzugriff für den Workspace abschalten; beides wirkt ab der nächsten Anfrage. Anfragen sind je Token begrenzt (120 je Minute, 1.500 je Stunde, 60 Schreibvorgänge je Stunde); wiederholte Fehlanmeldungen werden je IP-Adresse begrenzt. Das Aktivitätsprotokoll enthält nur Metadaten und wird nach 90 Tagen gelöscht.

Anlage 3 – Dienstleister und Unterauftragsverarbeiter

Die Rollen werden je Verarbeitungsvorgang bestimmt. Stripe und Google sind für ihre eigenen Konto-, Zahlungs-, Sicherheits- und gesetzlichen Aufgaben eigene Verantwortliche; ihre Nennung macht diese Tätigkeiten nicht zu einer Unterauftragsverarbeitung von BookStack-Seiten. Vom Auftraggeber beim Agentenzugriff über MCP verbundene Clients und KI-Dienste sind keine Unterauftragsverarbeiter des Auftragnehmers; der Auftraggeber wählt und verantwortet sie selbst.

TensorX: Bestätigung und Aktivierungsvoraussetzungen

TensorX Limited, registered office Unit 25, Classon House, Dundrum Business Park, Dublin 14, Irland, betreibt den Inferenzdienst der Upload-Beta. Die GPU-Infrastruktur liegt laut Anbieterangaben in Dublin (Irland) und Helsinki (Finnland). Die Vendor-DPA ist über die Vendor-Nutzungsbedingungen automatisch einbezogen; § 2.2.3 der DPA (Anlage 1: „Zero data retention“) sieht vor, dass Prompts und Completionen in der ephemeren Verarbeitung nicht gespeichert werden (Null-Retention). Die aktuelle Liste der Unterauftragsverarbeiter des Anbieters ist unter tensorx.ai/sub-processors veröffentlicht. Diese Angaben stammen vom Anbieter; sie sind eine Beschreibung der Verarbeitung und keine rechtliche Bewertung durch BookHost.

Die Upload-Beta ist technisch verfügbar. Bei jedem Upload wird der extrahierte Text, nicht die Originaldatei, an TensorX Limited zur Erstellung eines Seitenentwurfs mit Zusammenfassung, Tags und Prüfliste übermittelt. Ohne Upload findet über diese Funktion keine Übermittlung an TensorX statt. Originaldateien werden bei BookHost temporär gespeichert und nach Abschluss des Verarbeitungsversuchs entfernt; nach Unterbrechungen erfolgt die Bereinigung beim Start oder im stündlichen Lauf für temporäre Verzeichnisse, die älter als 30 Minuten sind. Gespeicherter Quelltext wird bei Veröffentlichung oder Ablehnung entfernt. Intake-Einträge einschließlich Entwürfen werden unabhängig von der Vertragslaufzeit nach 30 Tagen ab Erstellung beim nächsten stündlichen Bereinigungslauf gelöscht. Für veröffentlichte BookStack-Seiten und Sicherungen gelten die Vertragsende-Fristen. Diese Beschreibung der technischen Verarbeitung ist keine rechtliche Bewertung und kein Compliance-Nachweis. Die für die Nutzung mit personenbezogenen Kundeninhalten vorgesehene Aktivierungsvoraussetzung ist mit der am 26.09.2026 dokumentiert abgeschlossenen Prüfung der vom Anbieter veröffentlichten Verarbeitungsbedingungen erfüllt (keine Rechtsberatung); bei uns dokumentiert sind die geprüften Bedingungen und verbleibenden Unsicherheiten. Die Upload-Beta, die Wiki-Antworten-Beta und die optionale semantische Wiki-Indexierung sind damit im Rahmen dieses AVV für personenbezogene Kundeninhalte freigegeben. Für veröffentlichte BookStack-Seiten und Sicherungen gilt Abschnitt 8; Anwendungsprotokolle nach 14 Tagen, Sicherheitsprotokolle nach 30 Tagen.

Die semantische Wiki-Indexierung („Matching by meaning“, Beta) ist für einen Workspace nicht aktiviert, bis ein Owner oder Admin sie im Dashboard aktiviert. Bei Aktivierung wird der Text aller Seiten des eigenen Workspaces an TensorX Limited zur Berechnung von Suchvektoren übermittelt; die Vektoren und die zugehörigen Textpassagen werden in der eigenen Datenbank von BookHost auf Servern in der EU gespeichert und stündlich aktualisiert. Beim Deaktivieren werden Vektoren und Textpassagen sofort gelöscht. Ohne Aktivierung findet über diese Funktion keine Übermittlung an TensorX statt. Die Aktivierungsvoraussetzung für die Nutzung mit personenbezogenen Kundeninhalten ist mit der am 26.09.2026 dokumentiert abgeschlossenen Prüfung der vom Anbieter veröffentlichten Verarbeitungsbedingungen erfüllt (keine Rechtsberatung); bei uns dokumentiert sind die geprüften Bedingungen und verbleibenden Unsicherheiten.

Die abschließende Freigabe nach Prüfung der aktualisierten Verarbeitungsbedingungen ist am 26.09.2026 mit der dokumentiert abgeschlossenen Prüfung der vom Anbieter veröffentlichten Verarbeitungsbedingungen erteilt worden: Die Textstände der Vendor-DPA (einschließlich § 2.2.3 „Zero data retention“, Anlage 1, der aktuellen Unterauftragsverarbeiterliste und der dokumentierten Verarbeitungsorte Dublin/Helsinki) wurden am 26.09.2026 geprüft und für das hier beschriebene Verarbeitungsszenario für erfüllt befunden; bei uns dokumentiert sind die geprüften Bedingungen und verbleibenden Unsicherheiten (keine Rechtsberatung). Die Upload-Beta, die Wiki-Antworten-Beta und die optionale semantische Wiki-Indexierung sind damit für personenbezogene Kundeninhalte im Rahmen dieses AVV freigegeben; der Auftraggeber bleibt als Verantwortlicher für Zweck, Rechtsgrundlage und zulässige Inhalte verantwortlich; die Minimierungsregel gilt fort; besondere Kategorien personenbezogener Daten und strafrechtliche Daten bleiben ohne ausdrückliche Vereinbarung von der Übermittlung an TensorX ausgeschlossen.

Die Freigabe beruht auf der am 26.09.2026 dokumentiert abgeschlossenen Prüfung der vom Anbieter veröffentlichten Verarbeitungsbedingungen und ist keine Rechtsberatung und keine rechtliche Bewertung. Die Annahme dieses AVV ist keine Einwilligung in unbestimmte Übermittlungen.

E-Mail-Verarbeitung

Passwort-Reset-Nachrichten, gegebenenfalls Login-Links und Benachrichtigungen werden über Resend Inc. versandt (USA, EU-Datenverarbeitung nach Standardvertragsklauseln). Der Dienst verarbeitet Empfängeradresse, Nachrichteninhalt und Zustellmetadaten. Ein zukünftiger Dokument-E-Mail-Eingang ist damit nicht freigeschaltet; vor dessen Aktivierung werden der konkrete Empfangsdienst, Speicherfristen und Verarbeitungsorte nach dem Verfahren dieses AVV mitgeteilt.

Reine Anmeldemails zur eigenen Kontoverwaltung werden rollenbezogen in der Datenschutzerklärung erläutert. Ein Dienstleister, der Dokument-Eingangsmails für Kunden verarbeitet, ist zusätzlich als Unterauftragsverarbeiter nach diesem AVV einzubeziehen.