Hinweis: Diese deutsche Fassung ist eine Übersetzung. Bei Abweichungen zwischen der deutschen und der englischen Fassung gilt die englische Fassung.
Stand: 16. September 2026
zwischen dem Kunden („Verantwortlicher“) und der NeoRebels GmbH („Auftragsverarbeiter“), Dreiherrnsteinplatz 11, 63263 Neu-Isenburg, Deutschland, vertreten durch ihren Geschäftsführer Ufuk Ören, Amtsgericht Offenbach am Main HRB 56637.
Geschlossen gemäß Art. 28 Abs. 3 DSGVO und Bestandteil der Allgemeinen Geschäftsbedingungen (AGB). Soweit beide einander widersprechen, geht dieser Vertrag für die Verarbeitung personenbezogener Daten vor.
1. Gegenstand, Dauer, Art und Zweck
Der Auftragsverarbeiter betreibt Sqemes Cloud, eine KI-Management-Plattform, auf der der Verantwortliche wiederverwendbare Vorlagen – Prompts, Assistenten und Skills – mit den Kontextdateien, auf die sie zugreifen, speichert und an die Oberflächen verteilt, die sein Team nutzt.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur zur Erbringung dieses Dienstes und nur auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag läuft so lange wie das Abonnement; die Pflichten zur Vertraulichkeit und zur Löschung bestehen über sein Ende hinaus fort.
2. Art der personenbezogenen Daten und Kategorien betroffener Personen
Betroffene Personen: die Beschäftigten des Verantwortlichen und andere Personen, denen er Zugriff auf seinen Workspace gewährt, sowie jede Person, deren personenbezogene Daten der Verantwortliche in den Workspace einzubringen beschließt.
Arten von Daten: Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, Rolle, Mitgliedschaft, letzte Anmeldung) · vom Verantwortlichen bereitgestellte Inhalte (Vorlagen, Kontextdateien, Markeneinstellungen, Tags, Angebote) · Chatdaten (Nachrichten, Antworten, das verwendete Modell) · Nutzungsdaten (KI-Credits, gezählt in Tokens, nicht in Inhalten) · technische Daten (Fehlerberichte mit Stacktraces und Browserkontext).
Die zweite Kategorie ist nicht abschließend bestimmt, und wir sagen das lieber offen, als es in einer Tabelle zu verstecken. Eine Kontextdatei kann alles enthalten, was der Verantwortliche hochlädt – einen Vertrag, eine Kundenliste, eine Personalakte. Der Verantwortliche entscheidet, was eingebracht wird; der Auftragsverarbeiter prüft es weder noch beschränkt er es. Genau deshalb bleibt der Verantwortliche der Verantwortliche.
3. Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, die durch die AGB, diesen Vertrag und die Nutzung des Produkts durch den Verantwortlichen erteilt wird. Weisungen können auch in Textform erteilt werden.
Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung seiner Auffassung nach gegen Datenschutzrecht verstößt, und kann die Ausführung dieser Weisung aussetzen, bis der Verantwortliche sie bestätigt.
4. Vertraulichkeit
Alle Personen, die der Auftragsverarbeiter zur Verarbeitung personenbezogener Daten befugt, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet, und diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus fort.
5. Sicherheit der Verarbeitung (Art. 32)
Durchgängige Verschlüsselung bei der Übertragung und Verschlüsselung im Ruhezustand für API-Schlüssel von Anbietern · Passwörter werden nur als Hashes gespeichert · Zugriffskontrolle, die in der Datenbank durch Row-Level-Security auf Grundlage der Workspace-Mitgliedschaft durchgesetzt wird, nicht allein durch Anwendungscode · eine Content-Security-Policy, die fremde Skripte verhindert · getrennte Umgebungen, sodass Tests nicht mit Produktionsdaten laufen · Fehlerüberwachung, die ausschließlich auf Fehler konfiguriert ist – keine Sitzungsaufzeichnung, kein Performance-Tracing, Aufbewahrung 30 Tage in der EU.
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter führt die aktuelle Liste in diesem Abschnitt, veröffentlicht sie unter https://sqemes.com/dpa/ und verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die keinen geringeren Schutz bieten als die dieses Vertrags.
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform und gibt dem Verantwortlichen damit die Möglichkeit, Einspruch zu erheben. Wenn eine Änderung keinen Aufschub duldet – weil sie aus Sicherheitsgründen oder zur Aufrechterhaltung des Dienstes erforderlich ist –, informiert der Auftragsverarbeiter stattdessen unverzüglich, und das Einspruchsrecht bleibt unberührt. Erhebt der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen Einspruch und können sich die Parteien nicht einigen, kann der Verantwortliche das betroffene Abonnement fristlos kündigen.
| Unterauftragsverarbeiter | Zweck | Standort | Übermittlungsgrundlage |
|---|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicherung, Backend-Funktionen | Europäische Union (Frankfurt) | — |
| Vercel | Auslieferung der Anwendung | globales CDN; die Anwendung ist statisch und speichert dort keine personenbezogenen Daten. IP-Adressen in Zugriffsprotokollen | Standardvertragsklauseln |
| Stripe Payments Europe Ltd., Irland | Zahlungs- und Abonnementabwicklung | Europäische Union | — |
| Mistral AI, Paris, Frankreich | das Modell hinter den von Sqemes finanzierten KI-Credits | Europäische Union | — |
| Sentry | Fehlerüberwachung | Europäische Union | — |
| Plus Five Five, Inc. („Resend“), USA | transaktionale E-Mails | Vereinigte Staaten | EU-Standardvertragsklauseln, Modul 2, zuzüglich des UK-Addendums |
| Gleap GmbH, Österreich | Feedback und Fehlerberichte im Produkt | Europäische Union | — |
Stripe – doppelte Rolle. Bei der Abwicklung einer Zahlung im Auftrag des Verantwortlichen ist Stripe Unterauftragsverarbeiter und entsprechend gebunden. Für Betrugsprävention, Prüfungen zur Geldwäschebekämpfung und seine eigenen regulatorischen Pflichten handelt Stripe als eigenständiger Verantwortlicher; diese Verarbeitung erfolgt nicht auf Weisung des Auftragsverarbeiters und liegt außerhalb des Anwendungsbereichs dieses Vertrags.
KI-Anbieter Dritter, die der Verantwortliche mit seinem eigenen Schlüssel verbindet, sind keine Unterauftragsverarbeiter, ebenso wenig Connectors, die der Verantwortliche verknüpft. Diese Daten gehen an den jeweiligen Anbieter im Rahmen des eigenen Vertrags des Verantwortlichen.
7. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen:
- Bei Anträgen betroffener Personen (Art. 12–23). Geht ein Antrag direkt beim Auftragsverarbeiter ein, wird er unverzüglich an den Verantwortlichen weitergeleitet und nicht vom Auftragsverarbeiter beantwortet. Das Produkt deckt die beiden häufigsten Fälle ohne uns ab: Der Verantwortliche kann seine Daten exportieren und sein Konto innerhalb der Anwendung löschen, auch nachdem das Abonnement abgelaufen ist.
- Bei den Pflichten nach Art. 32 bis 36 – Sicherheit, Meldung von Verletzungen, Folgenabschätzungen.
- Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden ist, mit den verfügbaren Informationen, damit der Verantwortliche seine eigene 72-Stunden-Pflicht erfüllen kann.
8. Löschung und Rückgabe
Bei Beendigung löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht eine gesetzliche Pflicht zur weiteren Speicherung besteht.
In der Praxis: 30 Tage Exportzugang nach Ende der Laufzeit, weitere 60 Tage Aufbewahrung, Löschung nach 90 Tagen. Abrechnungsunterlagen werden nach § 147 AO und § 257 HGB bis zu zehn Jahre aufbewahrt und sind für diesen Zeitraum ausgenommen.
9. Audits
Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind, und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei.
In der Praxis, und ehrlich gesagt: Der Auftragsverarbeiter ist ein kleines Unternehmen. Audits werden in erster Linie durch Dokumentation und schriftliche Antworten erfüllt; eine Vor-Ort-Inspektion erfordert eine angemessene Vorankündigung, darf den Betrieb nicht stören und erfolgt auf Kosten des Verantwortlichen.
10. Internationale Übermittlungen
Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR, stellt der Auftragsverarbeiter eine angemessene Grundlage nach Kapitel V DSGVO sicher. Derzeit betrifft dies einen Anbieter – transaktionale E-Mails über Resend in den Vereinigten Staaten, abgedeckt durch die Standardvertragsklauseln. Der aktuelle Stand für jeden Unterauftragsverarbeiter ist in Abschnitt 6 angegeben.
11. Haftung und anwendbares Recht
Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen. Es gilt deutsches Recht.