← Zurück zur Startseite

Entwurf — noch nicht anwaltlich geprüft

Dieser Text ist ein Arbeitsstand. Alle hervorgehobenen Angaben müssen ausgefüllt und alle Hinweiskästen aufgelöst werden, bevor die Seite öffentlich erreichbar ist.

Auftragsverarbeitungsvertrag

Stand: 12. Oktober 2026

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

1. Parteien und Vertragsschluss

Dieser Vertrag gilt zwischen dem Server-Betreiber als Verantwortlichem und Kilian Hauber, Am Rosengarten 18B, 79183 Waldkirch („Herukan“) als Auftragsverarbeiter. Server-Betreiber ist, wer laut Discord Eigentümer des Discord-Servers ist, auf dem Herukan eingesetzt wird.

Der Vertrag ist Bestandteil unserer Allgemeinen Geschäftsbedingungen und kommt für jeden Server zustande, sobald der Bot dort eingesetzt wird. Lädt eine andere Person den Bot ein oder verwaltet ihn im Dashboard, handelt sie dabei für den Server-Betreiber. Im Übrigen gelten die AGB; bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor.

2. Gegenstand, Art und Zweck der Verarbeitung

Herukan verarbeitet personenbezogene Daten im Auftrag des Server-Betreibers, um die Funktionen bereitzustellen, die er auf seinem Server aktiviert und im Dashboard konfiguriert, etwa Moderation, AutoMod, Leveling, Tickets, Giveaways, Minispiele, Statistiken, Transcription, /ask, das Änderungsprotokoll und den eigenen Bot im Ultimate-Paket. Die Verarbeitung umfasst das Erheben über die Discord-Schnittstelle, Speichern, Auslesen, Anzeigen im Dashboard und in der App, Übermitteln an die Unterauftragsverarbeiter nach Anlage 2 und Löschen.

Welche Daten bei welcher Funktion verarbeitet werden und wie lange sie gespeichert bleiben, beschreibt Ziffer 4 der Datenschutzerklärung im Einzelnen; diese Beschreibung ist Teil dieses Vertrags.

3. Art der Daten und Kreis der Betroffenen

Betroffene sind die Mitglieder des Servers, sein Team (Moderatoren, Administratoren) sowie Personen, die mit dem Bot auf dem Server interagieren.

Datenarten sind je nach aktivierten Funktionen: Discord-IDs, Anzeigenamen und Avatare; Moderationsdaten wie Verwarnungen und deren Begründungen; Leveling-, Spiel- und Giveaway-Daten; Nachrichten in Ticket-Kanälen und Ticket-Transkripte; bei Transcription die Einwilligungsentscheidung, Sprachaufnahmen bis zur Umwandlung und der erkannte Text; Fragen an /ask; Einträge im Änderungsprotokoll; im Embed-Builder hochgeladene Bilder; der Token des eigenen Bots. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; sie können aber in freien Texten wie Ticket-Nachrichten enthalten sein, ohne dass Herukan darauf Einfluss hat.

4. Dauer

Der Vertrag läuft, solange Herukan auf dem Server eingesetzt wird. Er endet mit dem Entfernen des Bots vom Server; die Pflichten nach Ziffer 11 gelten darüber hinaus.

5. Weisungen

Herukan verarbeitet die Daten nur auf dokumentierte Weisung des Server-Betreibers, es sei denn, Herukan ist nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet; in diesem Fall teilt Herukan dem Server-Betreiber diese Anforderung vorher mit, sofern das betreffende Recht dies nicht verbietet.

Die Weisungen sind abschließend in diesem Vertrag, den AGB und den Einstellungen festgelegt, die der Server-Betreiber oder sein Team im Dashboard, in der App und über Bot-Commands vornimmt. Weitere Weisungen erteilt der Server-Betreiber in Textform an [email protected]. Herukan informiert den Server-Betreiber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

6. Vertraulichkeit

Herukan gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Sicherheit der Verarbeitung

Herukan trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Herukan darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Server-Betreiber erteilt Herukan die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert Herukan mindestens 30 Tage vorher auf dieser Seite und im Dashboard. Der Server-Betreiber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann Herukan dem Einwand nicht abhelfen, ist der Server-Betreiber berechtigt, den Vertrag zu beenden, indem er den Bot von seinem Server entfernt; bereits gezahlte Beträge richten sich nach Ziffer 6 der AGB.

Herukan legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die sich aus diesem Vertrag ergeben. Eine Übermittlung in ein Land außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission.

Discord selbst ist kein Unterauftragsverarbeiter von Herukan: Der Server-Betreiber nutzt Discord in eigener Verantwortung, und Herukan greift über die Schnittstelle von Discord auf die Daten zu.

9. Unterstützung des Server-Betreibers

Herukan unterstützt den Server-Betreiber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12 bis 23 DSGVO). Dafür stellt Herukan im Dashboard unter anderem Funktionen zum Löschen von Mitgliederdaten bereit. Wendet sich eine betroffene Person direkt an Herukan, leitet Herukan die Anfrage unverzüglich an den Server-Betreiber weiter, soweit er sich ermitteln lässt.

Herukan unterstützt den Server-Betreiber außerdem unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.

10. Verletzungen des Schutzes personenbezogener Daten

Herukan meldet dem Server-Betreiber eine Verletzung des Schutzes personenbezogener Daten, die seinen Server betrifft, unverzüglich nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. Die Meldung erfolgt über das Dashboard, über den Discord-Server des Server-Betreibers oder auf einem anderen geeigneten Weg. Herukan ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern.

11. Löschung und Rückgabe nach Vertragsende

Nach dem Entfernen des Bots löscht Herukan die Daten des Servers innerhalb von 30 Tagen. Die Frist erlaubt es, ein versehentliches Entfernen ohne Datenverlust rückgängig zu machen. Datenbanksicherungen werden nach weiteren 30 Tagen überschrieben. Möchte der Server-Betreiber die Daten vorher zurückerhalten, kann er dies innerhalb der 30 Tage in Textform verlangen; Herukan stellt die vorhandenen Daten dann in einem gängigen, maschinenlesbaren Format bereit. Eine Pflicht zur weiteren Speicherung nach dem Recht der Union oder eines Mitgliedstaats bleibt unberührt.

12. Nachweise und Überprüfungen

Herukan stellt dem Server-Betreiber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Nachweis erfolgt vorrangig durch Unterlagen, etwa diese Beschreibung der Maßnahmen, Auskünfte und Nachweise der Unterauftragsverarbeiter wie Zertifikate oder Prüfberichte.

Reichen diese Unterlagen im Einzelfall nicht aus, kann der Server-Betreiber eine Überprüfung einschließlich einer Inspektion durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht in einem Wettbewerbsverhältnis zu Herukan steht. Die Überprüfung ist mindestens 30 Tage vorher in Textform anzukündigen, findet zu den üblichen Geschäftszeiten und ohne Störung des Betriebs statt und ist höchstens einmal im Kalenderjahr möglich, es sei denn, ein konkreter Anlass wie eine Verletzung nach Ziffer 10 rechtfertigt eine weitere. Die Kosten trägt der Server-Betreiber. Rechenzentren von Unterauftragsverarbeitern sind nur nach deren eigenen Regeln zugänglich; insoweit treten deren Nachweise an die Stelle einer Inspektion.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Server-Betreiber und Herukan gilt die Haftungsregelung in Ziffer 9 der AGB.

14. Änderungen

Änderungen dieses Vertrags richten sich nach Ziffer 10 der AGB. Änderungen der Liste in Anlage 2 richten sich nach Ziffer 8.

Anlage 1: Technische und organisatorische Maßnahmen

  • Zutrittskontrolle: Server und Datenbank laufen in Rechenzentren der Hetzner Online GmbH in Deutschland, deren physische Sicherheit Hetzner verantwortet (nach ISO/IEC 27001 zertifiziert). Herukan betreibt keine eigenen Serverräume.
  • Zugangskontrolle: Administrativer Zugang zu Servern, Datenbank und Verwaltungsoberfläche besteht ausschließlich für den Betreiber von Herukan persönlich. Die Datenbank ist nicht aus dem Internet erreichbar. Die Anmeldung im Dashboard und in der App erfolgt ausschließlich über Discord (OAuth2).
  • Zugriffskontrolle: Im Dashboard und in der App sieht und ändert eine Person nur die Server, die sie nach ihren Discord-Berechtigungen und den Zugriffseinstellungen des Servers verwalten darf; die Berechtigung wird serverseitig geprüft.
  • Trennungskontrolle: Die Daten aller Server liegen logisch getrennt, jeder Datensatz ist einem Server zugeordnet und wird nur im Zusammenhang mit diesem Server verarbeitet.
  • Weitergabekontrolle: Alle Verbindungen zur Website, zum Dashboard, zur App-Schnittstelle und zu Unterauftragsverarbeitern sind per TLS verschlüsselt. Bot-Tokens und Discord-Zugangstokens werden verschlüsselt gespeichert (AES). Transkripte liegen in einem nicht öffentlichen Speicher.
  • Eingabekontrolle: Änderungen an den Einstellungen eines Servers über Dashboard und App werden im Änderungsprotokoll mit handelnder Person, Zeitpunkt und geänderten Werten festgehalten.
  • Verfügbarkeitskontrolle: Tägliche Sicherung der Datenbank in einen Speicher mit Datenhaltung in der EU, Aufbewahrung 30 Tage; die Wiederherstellung wurde erfolgreich getestet. Laufende Zustandsüberwachung aller Dienste mit automatischem Neustart.
  • Datenminimierung und Löschung: Nachrichteninhalte werden außerhalb von Ticket-Kanälen nicht gespeichert; Fragen an /ask gehen ohne Discord-ID an den Anbieter. Für alle Datenarten gelten automatische Löschfristen nach der Datenschutzerklärung.
  • Überprüfung: Die Maßnahmen werden bei wesentlichen Änderungen des Dienstes, mindestens aber jährlich, überprüft.

Anlage 2: Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting von Bot, Dashboard, App-Schnittstelle und Datenbank; Standort Deutschland.
  • Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Speicherung von Bildern und Transkripten, Datenbanksicherungen (mit Datenhaltung in der EU) sowie Auslieferung von Website und Dashboard über das Cloudflare-Netzwerk; EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln.
  • Groq, Inc., USA — Umwandlung von Sprache in Text (Transcription) und Beantwortung von Fragen (/ask), nur bei Nutzung dieser Funktionen; Standardvertragsklauseln.
  • 650 Industries, Inc. (Expo), USA, mit Weitergabe an Apple bzw. Google — Zustellung von Push-Benachrichtigungen der Herukan-App, die Servername und Ticket- bzw. Bewerbungsnummer enthalten; EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln.