Auftragsverarbeitungsvertrag (AVV)

Hier findest Du den Auftragsverarbeitungsvertrag (AVV) von FunnelCAD nach Art. 28 DSGVO mit seinen Anlagen: der Beschreibung der Verarbeitung (Anlage 1), den technischen und organisatorischen Maßnahmen (Anlage 2) und der Liste der Unterauftragsverarbeiter (Anlage 3). Er gilt für die personenbezogenen Daten anderer Personen, die Du in FunnelCAD speicherst oder darüber teilst, in jedem Plan. Um ihn abzuschließen, schreibst Du an legal@funnelcad.com, wie in § 14 Abs. 5 beschrieben.

Fassung vom 30. September 2026

zwischen dem Kunden, der FunnelCAD mit seinem Konto als Unternehmer nutzt und diesen Vertrag nach § 14 Abs. 5 annimmt (Firma, Anschrift und annehmende Person wie bei der Annahme angegeben) — im Folgenden „Verantwortlicher“ oder „Kunde“ —

und

Dmitry Dugarev, Einzelunternehmen, handelnd unter „FunnelCAD“
Mombacher Weg 26, 65936 Frankfurt am Main, Deutschland
E-Mail: legal@funnelcad.com
— im Folgenden „Auftragsverarbeiter“ oder „FunnelCAD“ —

— gemeinsam die „Parteien“ —

Präambel

Der Kunde nutzt die Webanwendung FunnelCAD (im Folgenden „Dienst“) auf Grundlage der Allgemeinen Geschäftsbedingungen von FunnelCAD (im Folgenden „Hauptvertrag“). Soweit der Kunde dabei personenbezogene Daten im Dienst speichert oder über den Dienst mit Dritten teilt, verarbeitet FunnelCAD diese Daten im Auftrag des Kunden. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“). Begriffe werden wie in Art. 4 DSGVO verwendet.

§ 1 Gegenstand, Abgrenzung und Dauer

(1) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Daten, die FunnelCAD als eigener Verantwortlicher verarbeitet, insbesondere die Kontodaten des Kunden und seiner Nutzer (Name, E-Mail-Adresse, Anmeldeverfahren, Sitzungen), Daten zur Vertragsabwicklung und Abrechnung sowie die Konten von Personen, die sich selbst bei FunnelCAD registrieren, um auf einem Link des Kunden zu kommentieren. Hierfür gilt die Datenschutzerklärung von FunnelCAD.

(3) Dieser Vertrag gilt, solange FunnelCAD personenbezogene Daten im Auftrag des Kunden verarbeitet, mindestens für die Laufzeit des Hauptvertrags. Er endet nicht vor der Löschung oder Rückgabe der Daten nach § 10.

(4) Vertragsende im Sinne dieses Vertrags ist die Beendigung des Nutzungsverhältnisses (die Kündigung des Hauptvertrags) oder die Löschung des Kontos, je nachdem, was früher eintritt. Das Ende eines bezahlten Tarifs ist kein Vertragsende: Das Konto besteht dann im kostenlosen Tarif fort, und dieser Vertrag gilt weiter.

§ 2 Weisungen

(1) FunnelCAD verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, FunnelCAD ist durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt FunnelCAD dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen des Kunden sind abschließend im Hauptvertrag, in diesem Vertrag und in den Einstellungen und Handlungen festgelegt, die der Kunde im Dienst selbst vornimmt (zum Beispiel das Anlegen, Ändern, Freigeben, Kennwortschützen, Beenden der Freigabe und Löschen von Boards und Links, das Verbinden und Trennen von Apps, das Exportieren und das Löschen des Kontos). Weitere Weisungen erteilt der Kunde in Textform an legal@funnelcad.com.

(3) Verbundene Apps. Verbindet der Kunde eine App mit seinem Konto (zum Beispiel Claude von Anthropic) und bestätigt er die Verbindung auf der Seite von FunnelCAD („Allow“), ist das eine dokumentierte Weisung, der App die Daten aus seinem Konto zu übermitteln, die sie anfragt (einschließlich der Kommentare auf seinen Live-Links mit den Anzeigenamen der Kommentierenden), und die Handlungen auszuführen, die sie in seinem Namen vornimmt: Änderungen an seinen Boards, Notizen und Aufgaben; Kommentare und Antworten auf seinen Live-Links; Entscheidungen über Wertvorschläge und das Sperren von Kommentierenden (die Beteiligten werden benachrichtigt wie bei einer Handlung des Kunden); Freigaben (Links ein- und ausschalten, ersetzen, ein Kennwort setzen oder entfernen, das der Kunde der App dafür nennt); Export und Import ganzer Boards; Löschungen (Boards in den Papierkorb und endgültig, Leeren des Papierkorbs, Links mit ihren Statistiken, Kommentare einschließlich solcher anderer Personen) — bis der Kunde die Verbindung trennt („Account settings ▸ Connections“) oder sie auf andere Weise endet (Änderung oder Zurücksetzen des Passworts, Abmelden auf allen anderen Geräten, Ablauf, Löschung des Kontos). Die Verbindung, ihre Berechtigungen und jede Anfrage der App sind im Konto des Kunden dokumentiert (Anlage 1 Nr. 3). Der Anbieter der App handelt nicht im Auftrag von FunnelCAD (Anlage 3 Nr. 2).

(4) FunnelCAD informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt, und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 3 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und die Wahrung ihrer Rechte verantwortlich.

(2) Der Kunde speichert im Dienst keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO). Der Dienst ist für die Modellierung von Vertriebs- und Marketingprozessen bestimmt; personenbezogene Daten sind dafür in der Regel nicht erforderlich.

(3) Der Kunde entscheidet selbst, welche Inhalte er über Links Dritten zugänglich macht. Er weiß, dass ein Link ohne Kennwort von jeder Person geöffnet werden kann, die ihn kennt, und dass eine Vorschau des Links (Name, Form und Kennzahlen des Boards) auch Personen angezeigt wird, die den Link nicht öffnen, sobald er in sozialen Netzwerken oder Nachrichtendiensten geteilt wird.

§ 4 Vertraulichkeit

(1) FunnelCAD gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Derzeit verarbeitet ausschließlich der Inhaber selbst die Daten. Werden weitere Personen befugt, verpflichtet FunnelCAD sie vor Aufnahme der Tätigkeit schriftlich oder in Textform.

(3) FunnelCAD greift auf Inhalte der Boards des Kunden nur zu, soweit dies für den Betrieb, die Fehlerbehebung, die Abwehr von Missbrauch (zum Beispiel das Abschalten eines missbräuchlich verwendeten Links) oder auf Weisung des Kunden erforderlich ist.

(4) Ein Datenschutzbeauftragter ist nicht bestellt, da dies nicht erforderlich ist (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für den Datenschutz: legal@funnelcad.com.

(5) FunnelCAD führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der Verarbeitung nach Art. 30 Abs. 2 DSGVO.

§ 5 Technische und organisatorische Maßnahmen

(1) FunnelCAD trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. FunnelCAD darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Kunden auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) FunnelCAD informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder dem Ersatz eines Unterauftragsverarbeiters per E-Mail an die Adresse des Kontos. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) FunnelCAD legt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und haftet gegenüber dem Kunden für deren Einhaltung.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen ohne Zugriff auf personenbezogene Daten des Kunden (zum Beispiel die Bereitstellung von Software-Abbildern) sowie Dienste, die der Kunde selbst wählt und nutzt (zum Beispiel die Anmeldung mit Google, das Teilen eines Links auf LinkedIn oder eine App, die der Kunde nach § 2 Abs. 3 verbindet). Anlage 3 nennt sie mit Begründung.

§ 7 Unterstützung bei den Rechten der betroffenen Personen

(1) FunnelCAD unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Der Dienst stellt dafür insbesondere bereit: das Bearbeiten und Löschen einzelner Inhalte, Notizen, Aufgaben, Kommentare und Links; den Export einzelner Boards (.fcad, PDF, PNG, SVG); den vollständigen Export aller Daten des Kontos („Download everything“, JSON); das Löschen des Kontos. Snapshot-Links enthalten eine eingefrorene Kopie des Boards: Wird eine Angabe auf dem Board gelöscht, bleibt sie im Snapshot, bis der Kunde ihn aktualisiert oder den Link löscht; für ein Löschersuchen ist der Snapshot daher zu aktualisieren oder zu löschen. Vorschauen, die Dritte bereits abgerufen haben, bleiben dort (§ 3 Abs. 3).

(2) Wendet sich eine betroffene Person unmittelbar an FunnelCAD, leitet FunnelCAD den Antrag unverzüglich an den Kunden weiter, soweit eine Zuordnung zum Kunden möglich ist, und beantwortet ihn nicht selbst, es sei denn, der Kunde weist dies an.

§ 8 Unterstützung bei weiteren Pflichten

FunnelCAD unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch die Informationen in Anlage 2.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) FunnelCAD meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, per E-Mail an die Adresse des Kontos.

(2) Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Ansprechperson. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.

(3) FunnelCAD ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern (zum Beispiel das Ersetzen betroffener Links, das Beenden von Sitzungen und Verbindungen von Apps, das Wechseln von Schlüsseln).

§ 10 Löschung und Rückgabe

(1) Der Kunde kann seine Daten während der gesamten Laufzeit selbst exportieren und löschen (§ 7 Abs. 1).

(2) Vor der Löschung wählt der Kunde zwischen Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO). Rückgabe bedeutet den Export aller Daten des Kontos durch den Kunden selbst („Download everything“, JSON). Kann sich der Kunde nicht mehr anmelden, verhilft FunnelCAD ihm auf Anfrage in Textform binnen 14 Tagen wieder zum Zugang (zum Beispiel über das Zurücksetzen des Passworts), damit er selbst exportieren kann. Löscht der Kunde das Konto selbst, hat er die Löschung gewählt.

(3) Kündigt der Kunde den Hauptvertrag, ohne das Konto zu löschen (§ 1 Abs. 4), weist FunnelCAD ihn per E-Mail auf die Wahl nach Abs. 2 hin und löscht das Konto 30 Tage nach dem Hinweis, wenn der Kunde bis dahin keine Rückgabe verlangt hat; eine verlangte Rückgabe wird vor der Löschung erfüllt. Das Ende eines bezahlten Tarifs ist keine Kündigung (§ 1 Abs. 4).

(4) FunnelCAD bestätigt dem Kunden die Löschung auf Anfrage in Textform.

(5) In den verschlüsselten Sicherungskopien verbleiben gelöschte Daten, bis die jeweilige Kopie nach dem Sicherungsplan überschrieben wird, höchstens 6 Monate (Anlage 2 Nr. 3.2). Sie werden in dieser Zeit nicht verarbeitet, außer zur Wiederherstellung nach einem Ausfall; nach einer solchen Wiederherstellung werden zwischenzeitlich gelöschte Konten erneut gelöscht, bevor der Dienst wieder erreichbar ist. Einzelne Löschungen nach dem Stand der Sicherung (ein endgültig gelöschtes Board, ein Link, ein Kommentar, ein aktualisierter oder gelöschter Snapshot) kehren mit der Wiederherstellung zurück; FunnelCAD schaltet dann alle Links ab, bis der Kunde sie wieder einschaltet, und teilt dem Kunden mit, welche Änderungen er wiederholen muss.

(6) Gesetzliche Aufbewahrungspflichten von FunnelCAD (zum Beispiel für Rechnungen: 8 Jahre nach § 147 AO in der seit 2025 geltenden Fassung) bleiben unberührt; sie betreffen keine im Auftrag verarbeiteten Inhalte. Den Nachweis dieses Vertrags (Firma, annehmende Person, Fassung, Datum der Annahme) bewahrt FunnelCAD auch nach Löschung des Kontos bis zum Ende der regelmäßigen Verjährungsfrist auf (§§ 195, 199 BGB; Art. 5 Abs. 2, Art. 17 Abs. 3 lit. e DSGVO).

§ 11 Nachweise und Überprüfungen

(1) FunnelCAD stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag, Anlage 2 in ihrer jeweils aktuellen Fassung und die Liste der Unterauftragsverarbeiter.

(2) Der Kunde kann Überprüfungen, einschließlich Inspektionen, durch sich selbst oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber von FunnelCAD ist. Überprüfungen werden mit angemessener Frist, in der Regel 30 Tagen, angekündigt, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Soweit schriftliche Auskünfte genügen, gehen diese einer Vor-Ort-Prüfung vor.

§ 12 Ort der Verarbeitung und Drittlandübermittlung

(1) Die Daten werden in der Europäischen Union gespeichert (Deutschland, Anlage 3 Nr. 1.2 und 1.3; E-Mail-Versand in Frankreich, Anlage 3 Nr. 1.4). Eine Verarbeitung außerhalb der Europäischen Union erfolgt nur durch die in Anlage 3 genannten Unterauftragsverarbeiter nach Abs. 2.

(2) Eine Übermittlung in ein Drittland findet nur über die in Anlage 3 genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (Angemessenheitsbeschluss, insbesondere das EU-U.S. Data Privacy Framework, oder Standardvertragsklauseln der EU-Kommission).

(3) Abs. 2 gilt nicht für Übermittlungen an eine App, die der Kunde selbst verbunden hat (§ 2 Abs. 3): Sie erfolgen auf seine Weisung an den von ihm gewählten Anbieter, dessen Anfragen auch aus einem Drittland kommen können (bei Claude: Server von Anthropic, auch in den USA). Wie der Anbieter die Daten verarbeitet, richtet sich nach dem Vertrag des Kunden mit diesem Anbieter.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für den Verzicht auf dieses Formerfordernis. Änderungen der Anlagen 2 und 3 richten sich nach § 5 Abs. 2 und § 6.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Frankfurt am Main.

(5) Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Kunde teilt FunnelCAD per E-Mail an legal@funnelcad.com Firma und Anschrift sowie Name und Funktion der annehmenden Person mit und erklärt, diese Fassung anzunehmen; FunnelCAD bestätigt den Abschluss in Textform. Sobald der Dienst eine Annahme im Konto anbietet, kann der Kunde den Vertrag auch dort annehmen.

---

Anlage 1 — Beschreibung der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung der Webanwendung FunnelCAD zur Modellierung von Vertriebs- und Marketingprozessen („Funnels“): Speicherung der Boards des Kunden in seinem Konto („Cloud-Boards“), Synchronisation zwischen Geräten, Berechnung der Kennzahlen, Export, Freigabe von Boards über Links (Live- und Snapshot-Links) einschließlich Vorschaubildern und Aufrufstatistiken, Kommentare und Wertvorschläge auf Live-Links sowie Benachrichtigungen darüber; für Apps, die der Kunde selbst mit seinem Konto verbindet (zum Beispiel Claude von Anthropic, § 2 Abs. 3): Führen der Verbindung und ihres Aktivitätsprotokolls sowie Ausführen der Lese- und Änderungsanfragen der App im Konto des Kunden, einschließlich des Lesens und Schreibens von Kommentaren auf seinen Live-Links, der Entscheidung über Wertvorschläge, des Sperrens von Kommentierenden, der Freigabe und Weitergabe über Links (einschließlich ihrer Kennwörter), des Exports und Imports ganzer Boards und des Löschens von Boards, Links und Kommentaren auf Weisung des Kunden (nur im Tarif Pro, einschließlich des Pro-Tests).

2. Art der Verarbeitung

Erheben (durch Eingabe des Kunden), Speichern, Ordnen, Anzeigen, Übermitteln an die vom Kunden bestimmten Empfänger (Link, verbundene App), Berechnen, Ändern, Freigeben und Weitergeben (Links und ihre Kennwörter) sowie Löschen (Boards, Links, Kommentare) auf Anfrage einer verbundenen App, Protokollieren dieser Anfragen, Exportieren, Sichern, Wiederherstellen, Löschen.

3. Art der personenbezogenen Daten

Personenbezogene Daten sind für den Zweck des Dienstes nicht erforderlich; sie entstehen nur, wenn der Kunde sie eingibt oder Dritte über seine Links beitragen:

Datenart	Beispiele	Quelle
Inhalte der Boards	Namen von Boards, Blöcken und Szenarien; Notizen und Aufgaben (Freitext, Kürzel des Verfassers, Datum); Kennzahlen, soweit sie sich auf bestimmbare Personen beziehen	der Kunde
Kommentare und Vorschläge auf Live-Links	Text, Anzeigename des Verfassers zum Zeitpunkt des Schreibens, Bezug (Block, Feld, Wert), Zeitpunkte, Status	Personen, denen der Kunde den Link gibt
Freigabe-Einstellungen und Statistiken	Einstellungen des Links; tägliche Zählwerte (Aufrufe, eindeutige Browser-Tabs, Kopien); für 2 Tage ein Einweg-Code je Browser-Tab und Tag (HMAC), ohne IP-Adresse	der Dienst
Snapshot-Links	eine eingefrorene Kopie des Boards (Inhalte wie oben) zum Zeitpunkt des Einfrierens; spätere Änderungen und Löschungen auf dem Board erreichen sie erst mit „Update snapshot“	der Kunde
Benachrichtigungen zu Kommentaren	E-Mail-Adresse und Anzeigename des Empfängers, Name des Boards, Auszug aus dem Kommentar; Versand über den E-Mail-Versanddienst nach Anlage 3 Nr. 1.4. Die Adresse ist Kontodatum (FunnelCAD als Verantwortlicher, § 1 Abs. 2); Board-Name und Auszug sind Inhalte des Kunden (Auftragsverarbeitung)	der Dienst
Verbundene Apps	An die App übermittelt, nur auf ihre Anfrage und nur aus dem Konto des Kunden: Inhalte der Boards wie oben (Namen, Blöcke mit Eingaben und berechneten Kennzahlen, Verbindungen, Einstellungen, Szenarien, Warnungen, Text der Auswertung; Notizen und Aufgaben nur auf ausdrückliche Anfrage), Adressen der Links, die die App selbst angelegt hat; bei Boards des Kunden mit Live-Link die Kommentare und Wertvorschläge mit den Anzeigenamen ihrer Verfasser; die Aufrufzahlen der Links; ganze Boards als Datei (Export) — nie E-Mail-Adressen, Boards anderer Konten, Passwort, Tarif oder Abrechnung. Von der App geschrieben oder gelöscht, im Namen des Kunden: Änderungen an Boards, Notizen und Aufgaben; importierte Boards; Kommentare und Antworten; Entscheidungen über Wertvorschläge und Sperren von Kommentierenden (mit Benachrichtigung der Beteiligten wie bei einer Handlung des Kunden); Links, ihre Adressen und Kennwörter (ein Kennwort nennt der Kunde der App); gelöschte Boards, Links mit ihren Statistiken und Kommentare, auch die anderer Personen (Name und Text der Kommentierenden können so gelöscht oder über ihre Vorschläge entschieden werden). Bei FunnelCAD gespeichert: die Verbindung (Name und Rücksprungadresse der App, Berechtigungen, Zeitpunkte von Verbindung, letzter Nutzung und Ende, Grund des Endes); ein Aktivitätsprotokoll je Anfrage (Funktion, Board, Zeitpunkt, Ergebnis, Zahl der Änderungen — keine Board-Inhalte, keine Texte der App); die Registrierung der App; Anmelde-Tokens nur als SHA-256-Hash	der Kunde (Freigabe und Anfragen seiner App) und der Dienst
Verbindungsdaten	IP-Adressen der Aufrufenden von Links: nur flüchtig im Arbeitsspeicher zur Missbrauchsabwehr (Minuten). Anders bei angemeldeten Nutzern: IP-Adresse und User-Agent werden mit der Sitzung in der Datenbank gespeichert, bis die Sitzung abläuft oder beendet wird (Kontodaten, § 1 Abs. 2)	technisch

4. Kategorien betroffener Personen

Kunden, Interessenten, Geschäftspartner und Beschäftigte des Kunden, soweit der Kunde sie in Boards erwähnt; Personen, die über Links des Kunden Boards ansehen (nur als Zählwert) oder kommentieren.

5. Dauer

Für die Laufzeit des Vertrags; im Einzelnen bestimmt der Kunde die Dauer durch Löschen. Löschfristen des Dienstes:

• Papierkorb 30 Tage, dann endgültige Löschung;
• tägliche Linkstatistiken 400 Tage (danach nur Summen); Einweg-Codes 2 Tage;
• Snapshot-Links: die eingefrorene Kopie bis zur Aktualisierung („Update snapshot“) oder Löschung des Links, des Boards oder des Kontos — unabhängig von Löschungen auf dem Board;
• pausierte Links (nach Ende eines bezahlten Tarifs): Einstellungen und Statistiken bleiben gespeichert, solange der Link besteht; der Link ist in dieser Zeit nicht aufrufbar;
• Kommentare und archivierte Diskussionen auf Live-Links: bis der Kunde sie löscht oder das Board oder Konto gelöscht wird; Kommentare einer Person, die ihr eigenes Konto löscht, werden dabei entfernt;
• verbundene Apps: Einträge des Aktivitätsprotokolls 90 Tage; beendete Verbindungen samt Protokoll 90 Tage nach dem Ende; registrierte Apps ohne Verbindung höchstens 7 Tage; Zugriffs-Token 1 Stunde, Erneuerungs-Token 30 Tage; mit dem Konto sofort;
• Zwischenspeicher für Vorschaubilder bei Cloudflare: bis 300 Sekunden;
• Sicherungskopien höchstens 6 Monate (§ 10 Abs. 5).

---

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (physischer Zugang zu den Systemen)

• Produktivsystem: ein Cloud-Server der Hetzner Online GmbH im Rechenzentrum Nürnberg, Deutschland (Anlage 3 Nr. 1.2); die Offsite-Sicherung in einer Storage Box desselben Anbieters im Rechenzentrum Falkenstein (Anlage 3 Nr. 1.3). Zutrittskontrolle, Stromversorgung und Brandschutz sind die des Rechenzentrumsbetreibers; physischen Zugang zu den Systemen hat der Inhaber nicht.
• Wiederherstellung im Notfall: ein neuer Server desselben Anbieters, eingerichtet mit einem dokumentierten Skript.
• Verschlüsselung der Datenträger: Die Datenbank liegt unverschlüsselt auf dem Datenträger des Cloud-Servers; der Anbieter bietet für ihn keine vom Kunden verwaltete Verschlüsselung, und eine eigene (LUKS) verlangte bei jedem Neustart die Eingabe eines Schlüssels. Beim Löschen eines Servers werden seine Datenträger vom Anbieter überschrieben. Sicherungskopien sind clientseitig verschlüsselt (Nr. 2.1), auch die lokalen Kopien auf dem Server.

1.2 Zugangskontrolle (Anmeldung an den Systemen)

• Der Server nimmt aus dem Internet nur SSH an: die Firewall des Servers und die vorgeschaltete Cloud-Firewall des Anbieters lassen nur Port 22 zu, mit Ratenbegrenzung und automatischer Sperre wiederholter Fehlversuche. Die Anwendung ist nur über einen vom Server ausgehenden, verschlüsselten Tunnel (Cloudflare Tunnel) erreichbar; kein Port der Anwendung ist veröffentlicht. Die Datenbank ist nur in einem internen Container-Netz ohne Verbindung nach außen erreichbar. Metriken sind nur auf dem Server selbst erreichbar und über keinen Tunnel geroutet.
• Administrativer Zugang nur für den Inhaber: SSH ausschließlich mit Schlüssel, ohne Passwort-Anmeldung, ohne Anmeldung als root, nur für ein Benutzerkonto; Sicherheitsaktualisierungen des Betriebssystems werden täglich automatisch eingespielt. Ein Schlüssel für automatische Auslieferungen kann auf dem Server nur einen einzigen Befehl ausführen (eine neue Version starten).
• Nutzerkonten: Anmeldung per E-Mail und Passwort (mindestens 12 Zeichen, gehasht), Passkeys (WebAuthn) oder Google; ein Konto wird erst nach Bestätigung der E-Mail-Adresse nutzbar. Sitzungs-Cookies mit __Host--Präfix, HttpOnly, Secure, SameSite. Ein neues Passwort beendet alle Sitzungen; Nutzer sehen und beenden ihre Sitzungen selbst. Anmeldeversuche und E-Mail-Versand sind je IP-Adresse und je Empfänger begrenzt.
• Verbundene Apps (zum Beispiel Claude; nur Pro): Anmeldung nach OAuth 2.1 mit PKCE; eine Verbindung entsteht nur nach ausdrücklicher Freigabe des Kunden auf der Seite von FunnelCAD, die nennt, wohin die App zurückkehrt; eine unbekannte App oder eine nicht registrierte Rücksprungadresse wird abgewiesen. Zugriffs-Token gelten 1 Stunde, Erneuerungs-Token 30 Tage und werden bei jeder Nutzung ersetzt; kehrt ein bereits ersetztes Erneuerungs-Token zurück (wie ein gestohlenes), endet die ganze Verbindung. Tokens werden nur als SHA-256-Hash gespeichert. Trennen wirkt ab der nächsten Anfrage; eine Änderung oder ein Zurücksetzen des Passworts und das Abmelden auf allen anderen Geräten trennen alle Apps.

1.3 Zugriffskontrolle (Zugriff nur auf die eigenen Daten)

• Jede Anfrage prüft Anmeldung, bestätigte Adresse und Eigentum am Board an einer einzigen Stelle im Code; fremde Boards sind nicht auffindbar (dieselbe Antwort wie für nicht vorhandene).
• Row-Level Security in PostgreSQL als zweite Schicht: jede Tabelle mit Kundendaten hat ENABLE und FORCE ROW LEVEL SECURITY; die Anwendung verbindet sich mit einer eigenen Rolle ohne BYPASSRLS, die nur die Zeilen des angemeldeten Kontos sieht. Der Start der Anwendung bricht ab, wenn diese Bedingungen nicht erfüllt sind.
• Die Tabellen verbundener Apps haben ebenfalls ENABLE und FORCE ROW LEVEL SECURITY und gehören einer eigenen Rolle ohne Anmeldung, die die Anwendung nur über geprüfte Funktionen erreicht; der Start bricht ab, wenn die Rolle fehlt, sich anmelden kann oder die Rolle der Anwendung die Tabellen direkt berühren könnte. Eine verbundene App erreicht nur die Boards des verbundenen Kontos, der Tarif wird bei jedem Aufruf geprüft; Kommentare liest und schreibt sie nur auf Live-Links dieser Boards; sie kann alles, was der Kunde mit seinen Boards, Links und Kommentaren tun kann, aber weder Konto, Tarif oder Abrechnung sehen oder ändern noch Apps verbinden oder trennen.
• Anonyme Aufrufe von Links laufen über eine eigene Datenbankrolle ohne Anmeldung, die nur über den Hash eines Link-Tokens und nur freigegebene Boards lesen kann; sie liest weder Tokens noch E-Mail-Adressen oder Passwörter.
• Schreibende Anfragen werden nur vom eigenen Ursprung angenommen (Origin-Prüfung); eine strenge Content-Security-Policy verhindert fremde Skripte; Links laden nichts von Dritten.

1.4 Trennungskontrolle

• Mandantentrennung je Konto durch Eigentümerspalte, Row-Level Security und zusammengesetzte Fremdschlüssel (ein Link oder Label kann kein Board eines anderen Kontos benennen).
• Getrennte Datenbanken für Betrieb und Tests; Testdaten sind keine Kundendaten.
• Wiederhergestellte Kopien für Übungen werden sofort neutralisiert (Sitzungen und Tokens gelöscht, Ursprung auf eine nicht auflösbare Adresse gesetzt, keine Mails, keine Alarme), laufen in einem eigenen Container-Netz ohne Verbindung nach außen, sind nicht aus dem Internet erreichbar und werden am Ende der Übung, im selben Lauf, vernichtet (Container, Volume und entschlüsselte Konfiguration gelöscht). Die Übung läuft auf dem Produktivserver selbst, dessen Datenträger dieselben Daten ohnehin hält; an anderem Ort nur auf verschlüsselten Datenträgern.

1.5 Pseudonymisierung und Datensparsamkeit

• Aufrufstatistiken von Links speichern keine IP-Adresse, keinen User-Agent, keinen Referrer und keine Zeit eines einzelnen Aufrufs; eindeutige Aufrufende werden nur als Einweg-Code (HMAC) je Browser-Tab, Link und Tag gezählt und nach 2 Tagen gelöscht.
• IP-Adressen von Aufrufenden der Links werden nur flüchtig im Arbeitsspeicher zur Missbrauchsabwehr verwendet (Minuten). Bei angemeldeten Nutzern speichert die Anmeldung IP-Adresse und User-Agent mit der Sitzung in der Datenbank, bis die Sitzung abläuft oder beendet wird; Nutzer sehen und beenden ihre Sitzungen selbst.
• Protokolle enthalten E-Mail-Adressen nur maskiert, nie Tokens, nie Board-Inhalte; sie werden höchstens 14 Tage aufbewahrt (täglicher Zuschnitt auf dem Server).
• Das Aktivitätsprotokoll verbundener Apps speichert je Anfrage nur Funktion, Board, Zeitpunkt, Ergebnis und Zahl der Änderungen — keine Board-Inhalte und keine Texte der App — und wird nach 90 Tagen gelöscht; Protokolle des Servers enthalten keine Tokens, Codes, Board-Namen, Board-Inhalte oder Zeilen der App.
• Zähler zur Begrenzung des E-Mail-Versands sind mit einem geheimen Schlüssel (HMAC) über die Adresse gebildet.
• Kommentierende sehen voneinander nur Anzeigenamen, nie E-Mail-Adressen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Übertragung ausschließlich verschlüsselt (TLS bis zu Cloudflare, verschlüsselter Tunnel bis zum Server). Cloudflare sieht die Anfragen am Netzwerkrand im Klartext (Anlage 3 Nr. 1.1).
• Freigaben an Dritte nur durch den Kunden selbst (Links mit 128 Bit zufälligem Token; optional Kennwort, gespeichert als scrypt-Hash); Links sind für Suchmaschinen gesperrt (noindex) und senden keinen Referrer. Der Kunde kann jeden Link beenden, ersetzen oder löschen.
• Sicherungskopien werden auf dem Server verschlüsselt, bevor sie ihn verlassen (age: X25519 und ChaCha20-Poly1305), und per SFTP in die Storage Box übertragen; der Offsite-Speicher sieht nur Chiffretext. Verschlüsselt wird mit einem öffentlichen Schlüssel; der private Schlüssel zum Entschlüsseln liegt nicht auf dem Server, sondern nur beim Inhaber (Passwortmanager und eine Offline-Kopie) und wird nur für eine Wiederherstellung oder Übung kurz in den Arbeitsspeicher des Servers gebracht. Wer den Server übernimmt, kann ältere Sicherungen daher nicht lesen.

2.2 Eingabekontrolle

• Jedes Board hat eine Revisionsnummer und den Zeitpunkt der letzten Änderung; gleichzeitige Änderungen von zwei Geräten werden erkannt und nicht still überschrieben.
• Jede Anfrage einer verbundenen App wird im Aktivitätsprotokoll festgehalten (Nr. 1.5), das der Kunde in seinem Konto sieht und mit „Download everything“ erhält; eine Änderung durch die App ist eine neue Revision des Boards, die die App benennt.
• Kommentare speichern Verfasser (Konto), Zeitpunkt und Bearbeitung; Entscheidungen über Vorschläge werden als Ereignis im Verlauf festgehalten.
• Administrative Änderungen an Tarifen erfolgen nur per Kommandozeile auf dem Server, mit einer eigenen Datenbankrolle ohne Zugriff auf Board-Inhalte; jede Änderung wird mit Zeitpunkt, vorherigem und neuem Stand und der handelnden Person in einer nur erweiterbaren Tabelle festgehalten.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle

• Container starten nach einem Neustart des Hosts selbstständig; Gesundheits- und Lebendigkeitsprüfungen jede Minute mit Alarmierung des Inhabers per E-Mail (die Alarme enthalten keine personenbezogenen Daten).
• Begrenzungen je IP-Adresse, je Konto und je Link schützen vor Überlast; rechenintensive Arbeit (Vorschaubilder, Dokumente für Links) läuft in begrenzten Hintergrund-Workern mit Zeitbudget.
• Verbundene Apps sind je Konto begrenzt: höchstens 60 Anfragen auf einmal, danach 1 pro Sekunde; 2.000 lesende Anfragen pro Stunde; 300 Änderungen pro Stunde und 2.000 pro Tag; eine Änderung höchstens 100 Zeilen. Berechnungen für Apps laufen in einem Worker mit Zeitbudget (5 Sekunden je Auftrag). Der Betreiber kann die Funktion mit einem Schalter sofort abschalten; bestehende Verbindungen bleiben dann gespeichert, wirken aber nicht.
• Offline-Änderungen der Nutzer bleiben im Browser gepuffert und werden nachgereicht.
• Stromversorgung, USV, Netzanbindung und Brandschutz: die des Rechenzentrumsbetreibers (Nr. 1.1).

3.2 Rasche Wiederherstellbarkeit

• Nächtliche Sicherung der gesamten Datenbank und der Konfiguration, verschlüsselt (Nr. 2.1), in einem anderen Rechenzentrum (Falkenstein) als der Server (Nürnberg), aufbewahrt: 14 tägliche, 8 wöchentliche und 6 monatliche Stände und in keinem Fall länger als 6 Kalendermonate (ältere Stände löscht die nächtliche Bereinigung); lokale, ebenfalls verschlüsselte Kopien 3 Tage. Eine tägliche Prüfung alarmiert den Inhaber, wenn die letzte Sicherung älter als 30 Stunden oder beschädigt ist, ein Monat ohne Sicherung blieb oder ein Stand älter als 6 Monate ist.
• Dokumentiertes Wiederherstellungsverfahren, monatliche Wiederherstellungsübung mit Alarm, wenn sie 35 Tage ausbleibt; Wiederherstellung auf einem frischen Server möglich.
• Nach einer Wiederherstellung werden Konten, die seit dem Stand der Sicherung gelöscht wurden, erneut gelöscht, bevor der Dienst erreichbar ist (ein HMAC der Kontokennung je Löschung, 7 Monate aufbewahrt).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO): kein Konto für die Modellierung nötig; Live-Links sind standardmäßig ohne Kopierfunktion; Snapshot-Links blenden Notizen und Aufgaben standardmäßig aus, erlauben aber standardmäßig, eine Kopie im eigenen Browser anzulegen („ansehen und kopieren“ ist der Zweck des Snapshot-Links; der Kunde kann es mit einem Schalter abstellen); Vorschaubilder kennwortgeschützter Links zeigen nichts vom Board; keine Tracking-Cookies; nichts von Dritten auf Link-Seiten.
• Löschkonzept: Papierkorb 30 Tage, dann nächtliche endgültige Löschung; Kontolöschung durch den Nutzer selbst mit sofortiger kaskadierender Löschung aller Boards, Links, Statistiken, Kommentare und Verbindungen von Apps; Linkstatistiken nach 400 Tagen zu Summen verdichtet; Einweg-Codes nach 2 Tagen gelöscht. Snapshot-Links behalten eine eingefrorene Kopie des Boards, bis sie aktualisiert oder gelöscht werden — Löschungen auf dem Board erreichen sie nicht (§ 7 Abs. 1). Übungskopien werden am Tag der Übung vernichtet (Nr. 1.4).
• Auskunft und Übertragbarkeit: vollständiger Export aller Daten des Kontos als JSON durch den Nutzer selbst.
• Automatisierte Prüfungen: jede Änderung am Code durchläuft Tests, die unter anderem Row-Level Security, die Rechte der Datenbankrollen, die Trennung der Konten, die Vollständigkeit der Löschung und das Fehlen von Geheimnissen in Protokollen prüfen.
• Umgang mit Sicherheitsvorfällen: Alarmierung des Inhabers; dokumentierte Sofortmaßnahmen (Link abschalten, Link-Tokens ersetzen, Schlüssel wechseln, Sitzungen und Verbindungen von Apps beenden); Meldung an den Kunden nach § 9.
• Auftragskontrolle: Unterauftragsverarbeiter nur nach Anlage 3 und mit Verträgen nach Art. 28 Abs. 4 DSGVO; Überprüfung dieser Anlage mindestens jährlich.

---

Anlage 3 — Unterauftragsverarbeiter

1. Genehmigte Unterauftragsverarbeiter

Nr.	Unterauftragsverarbeiter	Leistung	Betroffene Daten	Ort der Verarbeitung	Garantien für Drittlandübermittlung
1.1	Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA	Netzwerk: DNS, TLS-Terminierung, Tunnel zum Server (der Server nimmt keine Verbindungen aus dem Internet an, der Tunnel wird vom Server aus aufgebaut), Schutz vor Angriffen, Zwischenspeicher für Vorschaubilder (bis 300 Sekunden)	alle übertragenen Daten im Klartext am Netzwerkrand (TLS endet bei Cloudflare, auch mit dem Tunnel), IP-Adressen, aufgerufene Adressen (einschließlich Link-Tokens)	weltweites Netz des Anbieters	EU-U.S. Data Privacy Framework; Standardvertragsklauseln im Data Processing Addendum des Anbieters
1.2	Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting von Anwendung und Datenbank: ein Cloud-Server, auf dem die Anwendung, die Datenbank und die lokalen Sicherungskopien liegen; außerdem Wiederherstellungsübungen auf diesem Server	alle Daten des Kunden (Datenbank im Klartext auf dem Datenträger des Servers; Sicherungskopien auf dem Server nur verschlüsselt)	Deutschland, Rechenzentrum Nürnberg	nicht erforderlich (EU)
1.3	Hetzner Online GmbH (wie Nr. 1.2) — Storage Box	Speicherort der Offsite-Sicherung	ausschließlich clientseitig verschlüsselte Sicherungskopien (verschlüsselt auf dem Server, bevor sie ihn verlassen); der Schlüssel zum Entschlüsseln liegt nur beim Auftragsverarbeiter, nicht auf dem Server und nicht bei Hetzner	Deutschland, Rechenzentrum Falkenstein	nicht erforderlich (EU)
1.4	Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich — „Transactional Email“	Versand der E-Mails des Dienstes über SMTP (Port 587, STARTTLS) vom Absender no-reply@funnelcad.com: Benachrichtigungen über Kommentare und Antworten auf Live-Links des Kunden (Anlage 1 Nr. 3); außerdem Kontomails von FunnelCAD als eigenem Verantwortlichen (Anmelde- und Bestätigungscodes, Zurücksetzen des Passworts, Hinweise zum Konto, zum Test und zum Tarif — nicht Gegenstand dieses Vertrags, § 1 Abs. 2) und Alarme an den Inhaber (ohne personenbezogene Daten)	E-Mail-Adressen und Namen der Empfänger; Inhalt der E-Mails: bei Benachrichtigungen Name des Boards, Anzeigename der kommentierenden Person und ein Auszug aus dem Kommentar; bei Kontomails Codes und Links	EU, Frankreich (Region Paris, fr-par)	nicht erforderlich (EU)

Cloudflare (Nr. 1.1) bleibt als Netzwerkanbieter im Weg der Daten: Der Tunnel ändert nichts daran, dass Cloudflare die Anfragen am Netzwerkrand im Klartext sieht.

2. Keine Unterauftragsverarbeiter (mit Begründung)

Dienst	Warum kein Unterauftragsverarbeiter
Alarm-E-Mails an den Inhaber (Versand über Nr. 1.4 an die eigene Adresse des Inhabers)	Alarme enthalten keine personenbezogenen Daten: keine Adressen, keine Tokens, keine Inhalte — nur die Art des Problems und technische Angaben dazu.
GitHub (Container-Registry, Quellcode)	enthält Software, keine Daten des Kunden.
Google-Anmeldung („Mit Google anmelden“)	wählt der Nutzer selbst für sein eigenes Konto; Google handelt dabei als eigener Verantwortlicher; es werden keine Inhalte des Kunden übermittelt.
LinkedIn („Post on LinkedIn“)	wird nur auf Klick des Kunden in einem neuen Tab geöffnet; FunnelCAD übermittelt nichts außer dem Link, den der Kunde teilen will. LinkedIn liest danach die öffentliche Vorschau des Links.
Soziale Netzwerke und Nachrichtendienste, die Vorschaubilder abrufen	rufen öffentliche Vorschauen der Links ab, die der Kunde selbst geteilt hat; sie sind Empfänger nach Weisung des Kunden, nicht Dienstleister von FunnelCAD.
PostHog	wird nur auf der Website funnelcad.com mit Einwilligung eingesetzt, nicht in der Anwendung.
Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland) — Zahlungsabwicklung für Pro	verarbeitet ausschließlich die Abrechnungsdaten des Kunden für dessen eigenen Vertrag mit FunnelCAD (Name, E-Mail-Adresse, Rechnungsanschrift, USt-IdNr., Zahlungsmittel, Rechnungen); FunnelCAD handelt dabei als eigener Verantwortlicher, Stripe für die Zahlungsdienste als eigener Verantwortlicher. Stripe erhält keine Inhalte des Kunden (Boards, Links, Kommentare). FunnelCAD speichert von Stripe nur Kunden- und Abonnement-Kennungen, den Status und das Ende des bezahlten Zeitraums.
Verbundene KI-Apps (zum Beispiel Claude von Anthropic: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland; Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA) — nur im Tarif Pro	verbindet der Kunde selbst und erteilt dafür die Freigabe; FunnelCAD übermittelt Daten nur auf diese Weisung des Kunden an den vom Kunden gewählten Anbieter, der nicht im Auftrag von FunnelCAD handelt (§ 2 Abs. 3). FunnelCAD wählt und bezahlt den Anbieter nicht, sendet ihm nichts, solange der Kunde keine App verbunden hat, und sieht nicht, was er mit den Daten tut; der Anbieter verarbeitet sie nach dem eigenen Vertrag des Kunden mit ihm. Die Anfragen kommen von Servern des Anbieters (auch aus den USA) über Cloudflare (Nr. 1.1). Was übermittelt und was bei FunnelCAD gespeichert wird: Anlage 1 Nr. 3.

3. Änderungen

Neue oder ersetzte Unterauftragsverarbeiter werden nach § 6 Abs. 2 mindestens 30 Tage vorher per E-Mail angekündigt. Diese Anlage trägt ein Datum; die jeweils aktuelle Fassung steht auf dieser Seite, ist in der Anwendung unter „Account settings ▸ Your data“ verlinkt und wird auf Anfrage zur Verfügung gestellt.