Die Frage kommt in fast jedem Kundenprojekt: „Schickt ihr uns bitte den Auftragsverarbeitungsvertrag und eine Übersicht der eingesetzten Dienste?" Meist folgt eine Suche in alten E-Mails, ein Dokument aus einem früheren Projekt und die Unsicherheit, ob der Stand noch stimmt.
Seit dem 5. August gibt es dafür einen eigenen Bereich in der Plattform, der die Unterlagen aus dem erzeugt, was in deiner Organisation tatsächlich konfiguriert ist.
Was der Compliance-Bereich enthält
Für jede Organisation stehen vier Dokumente in Deutsch und Englisch bereit:
- Auftragsverarbeitungsvertrag (AVV) — der Vertrag zwischen dir und der Plattform als Auftragsverarbeiter
- Technische und organisatorische Maßnahmen (TOMs) — welche Schutzmaßnahmen für Zugang, Übertragung und Verfügbarkeit gelten
- Datenschutzerklärung — die Verarbeitung im Kontext der Plattform
- Scope Statement — was die Plattform übernimmt und wo deine Verantwortung beginnt
Dazu kommt eine Liste der Unterauftragsverarbeiter: welche Dienste an der Verarbeitung beteiligt sind — genau die Angabe, die Kunden für ihr eigenes Verzeichnis von Verarbeitungstätigkeiten brauchen.
Jedes Dokument lädst du einzeln als PDF herunter. Für eine vollständige Übergabe gibt es einen ZIP-Export mit allen Unterlagen auf einmal.
Die Dokumente entstehen aus deinen Daten
Der Unterschied: Die Dokumente sind nicht statisch. In den Organisationseinstellungen hinterlegst du Firmenname, Anschrift und Ansprechpartner, und diese Angaben fließen automatisch in die erzeugten PDFs ein. Ein Vertrag, der bei „Firma, Straße, Ort" beginnt, reicht man ungern weiter — durch die hinterlegten Daten kommt das Dokument ausgefüllt heraus.
Ergänzt wird das durch eine Projektübersicht: Nutzt du Firebase in einem Projekt, Sentry in einem anderen und Mailtrap in einem dritten, ist das im Compliance-Bereich sichtbar, statt aus jedem Projekt einzeln zusammengesucht werden zu müssen.
Wofür das im Alltag hilft
Drei Situationen kommen häufig vor:
Kunden-Onboarding. Ein Neukunde fragt vor Vertragsabschluss nach den Datenschutzunterlagen. Statt Rückfragen schickst du den ZIP-Export.
Audits und Zertifizierungen. Bei einer ISO-27001-Prüfung wird nach dem Nachweis gefragt, welche Dienstleister eingebunden sind und welche Verträge bestehen. Die Liste der Unterauftragsverarbeiter deckt genau das ab.
Ausschreibungen. Im öffentlichen Sektor und in regulierten Branchen sind AVV und TOMs häufig Teil der geforderten Unterlagen — wer sie kurzfristig liefert, spart einen Umlauf.
Ein Hinweis zur Einordnung
Die Plattform stellt Unterlagen bereit und dokumentiert, was auf ihrer Seite passiert. Sie ersetzt keine rechtliche Beratung. Ob dein Anwendungsfall zusätzliche Maßnahmen erfordert — etwa eine Datenschutz-Folgenabschätzung bei besonders sensiblen Daten — bleibt eine Frage für deine Rechtsberatung. Was die Plattform übernimmt, ist der Teil, der sich automatisieren lässt: aktuelle Dokumente, korrekt ausgefüllt, in beiden Sprachen, jederzeit abrufbar.
Zusammen mit dem Betrieb in der EU
Der Compliance-Bereich ergänzt eine Eigenschaft, die die Plattform von Anfang an hat: Betrieb und Datenverarbeitung finden in der EU statt, auf Servern, die du selbst auswählst. Für Teams, die mit Kunden aus dem öffentlichen Sektor, dem Gesundheitswesen oder der Finanzbranche arbeiten, ist das oft die Bedingung, unter der ein Projekt zustande kommt. Mehr dazu steht auf der Seite zu DSGVO-konformem Hosting.
