Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO · Fassung 2026-10-26

zwischen dem Verantwortlichen (Kunde), dessen Daten bei der Registrierung oder bei der Annahme eines vom Auftragsverarbeiter vorbereiteten Kontos festgehalten werden, und dem Auftragsverarbeiter Banana CRM, Martin Elmentaler, Einzelunternehmen, Hittfeldstraße 40, 45478 Mülheim an der Ruhr.
Dieser Vertrag kommt durch die ausdrückliche elektronische Erklärung des Kunden bei der Registrierung bzw. bei der Annahme eines vorbereiteten Kontos zustande (gemeinsame Bestätigung mit den AGB und der Datenschutzerklärung, Zeitpunkt und Fassung werden protokolliert). Eine Unterschrift ist nicht erforderlich.

§ 1 Gegenstand
Der Auftragsverarbeiter stellt Banana CRM als browserbasierte SaaS-Anwendung bereit. Dieser Vertrag regelt die Auftragsverarbeitung nach Art. 28 DSGVO und geht bei Widersprüchen insoweit den AGB vor.

§ 2 Dauer
Die Verarbeitung besteht für die Dauer der kostenlosen Testphase und eines anschließenden Nutzungsvertrags. Danach gelten § 12 und gesetzliche Aufbewahrungspflichten. Die Verarbeitung beginnt mit der Registrierung bzw. der Annahme eines vorbereiteten Kontos. Daten, die der Auftragsverarbeiter vor der Annahme auf Wunsch des Kunden eingerichtet hat, unterliegen ab der Annahme diesem Vertrag.

§ 3 Zweck
Technische Bereitstellung, Speicherung von Firmen- und Kontaktdaten, Aufgaben, E-Mail-Inhalte und Dokumente, Postfachanbindung soweit eingerichtet, Volltextsuche, CSV-Import und -Export, E-Mail-Versand, Logoabruf, Nutzerverwaltung, Sicherheit, Sicherung und Wiederherstellung. Soweit der Verantwortliche im Reiter „KI“ die KI einschaltet oder sie mit „Mal gratis ausprobieren“ ausprobiert (höchstens dreimal, je Versuch zehn Firmen), zusätzlich die KI-Auswertung öffentlicher Meldungen über seine Firmen; dafür werden ausschließlich Firmenname, Ort und Website seiner Firmen, öffentliche Meldungstexte und die beiden Angaben des Verantwortlichen zu seinem Betrieb („Was wir anbieten“, „Wie wir Kontakte pflegen“) an den in Anlage 2 genannten KI-Dienst übermittelt. Name, Ort und Website der eigenen Firma des Verantwortlichen nur beim Klick auf „Banana einen Vorschlag machen lassen“; der öffentliche Text einer vom Verantwortlichen eingetragenen Website nur bei deren Prüfung; für diese Auswertung nie Ansprechpartner, E-Mail-Adressen, Telefonnummern, Notizen oder E-Mail-Inhalte. Bei eingeschalteter KI zusätzlich Mail- und WhatsApp-Entwürfe auf Klick des Verantwortlichen, die Suche nach öffentlichen Meldungen zu einer einzelnen Firma auf Klick „Anlass suchen“ sowie die automatische Einordnung eingehender E-Mails von Kontakten; dafür gehen gekürzte Verlaufseinträge, bei Firmen mit gespeicherten Aufträgen Leistung und Datum der neuesten Aufträge (nie Beträge) und nur die Angabe, ob die Zahlungen reibungslos liefen, bzw. Betreff und Text eingehender E-Mails an den in Anlage 2 genannten KI-Dienst, in denen Namen, E-Mail-Adressen, Telefonnummern und erkennbare Anschriften vorher durch neutrale Ersatzbegriffe ersetzt sind. Das ist keine Anonymisierung; die Texte können weiterhin personenbezogene Angaben enthalten. Einzelheiten in Anlage 2. Bei der Suche nach öffentlichen Meldungen zusätzlich das Gründungsjahr einer Firma samt Quelle, nur wenn es öffentlich verlässlich belegt ist (für Firmenjubiläen). Ist für das Konto der Handwerk-Modus eingerichtet, zusätzlich die Speicherung importierter Aufträge (Datum, Betrag, Rechnungstext, Zahlstatus, Kundenart, Postleitzahl) und das einmalige Zuordnen neuer Rechnungstexte zu wenigen Leistungen durch den in Anlage 2 genannten KI-Dienst; dafür werden ausschließlich die Rechnungstexte und die Namen bereits vorhandener Leistungen übermittelt, nie Namen, Adressen, Beträge, Rechnungsnummern oder Zahlstatus. Keine Nutzung zu eigenen Werbe-, Verkaufs- oder Marketingzwecken.

§ 4–5 Datenarten und Betroffene
Namen, geschäftliche Kontaktdaten, Firmen- und Organisationsdaten, Aufgaben, Notizen, E-Mail-Inhalte, Dokumente (PDF), Postfach-Zugangsdaten soweit angebunden, CSV-Importdaten, im Handwerk-Modus Auftrags- und Rechnungsdaten (Datum, Betrag, Rechnungstext, Zahlstatus, Kundenart, Postleitzahl), Login- und Berechtigungsdaten, betriebsnotwendige Protokolldaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand. Betroffene: Geschäftskontakte des Verantwortlichen sowie dessen Mitarbeiter und Nutzer.

§ 6 Weisungen
Verarbeitung nur auf dokumentierte Weisung aus Nutzungsvertrag, diesem Vertrag, den Funktionen von Banana CRM oder Textform an martin.elmentaler@bananacrm.de. Der Verantwortliche bleibt für Rechtmäßigkeit und Informationspflichten verantwortlich.

§ 7–11 Pflichten
Vertraulichkeit; TOM nach Anlage 1; Unterstützung bei Art. 32 bis 36 DSGVO und Betroffenenrechten; Meldung von Verletzungen unverzüglich nach Bekanntwerden, angestrebt binnen 24 Stunden.

§ 12 Löschung und Rückgabe
12.1 Während der Testphase und der Laufzeit ist ein Export insbesondere als CSV möglich. Gelöschte Einträge bleiben in dieser Zeit 90 Tage wiederherstellbar.
12.2 Endet die Testphase ohne kostenpflichtigen Abschluss, bleibt der Export bis zur Löschung möglich. 60 Tage nach Ende der Testphase werden alle Daten des Verantwortlichen endgültig gelöscht; der Verantwortliche wird vorher per E-Mail informiert. Auf Wunsch kann die Löschung verschoben werden.
12.3 Nach Ende eines kostenpflichtigen Nutzungsvertrags Löschung oder Rückgabe nach Wahl des Verantwortlichen, soweit keine gesetzliche Pflicht entgegensteht. Export bis 30 Tage nach Vertragsende.
12.4 Das verschlüsselte Hetzner-Backup bleibt bis zu 30 Tage unveränderbar und wird nicht für den Betrieb genutzt.

§ 13 Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern für den technischen Betrieb ist gestattet. Die aktuelle Liste steht in Anlage 2. Weitere nur unter den gesetzlichen Voraussetzungen und nach Information des Verantwortlichen. Der Verantwortliche kann der Aufnahme innerhalb von zehn Tagen nach Information widersprechen. Unterauftragsverarbeiter werden auf ein vergleichbares Schutzniveau verpflichtet.

§ 14 Drittländer
Bei Render kann auch bei EU-Region ein Drittlandbezug durch Konzern, Support oder Subprozessoren bestehen. Soweit erforderlich EU-US Data Privacy Framework und/oder Standardvertragsklauseln. Eine Garantie vollständiger Freiheit von Drittlandzugriffen wird nicht gegeben.
Die KI-Auswertung durch X.AI LLC (SpaceXAI LLC) findet in den USA statt, nur wenn der Verantwortliche sie einschaltet oder ausprobiert, für Mail- und WhatsApp-Entwürfe und die Einordnung eingehender E-Mails bei eingeschalteter KI sowie im Handwerk-Modus beim Zuordnen neuer Rechnungstexte; Grundlage der Übermittlung sind die EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.

§ 15–17 Nachweise, Pflichten, Schluss
Nachweise und Audits nach angemessener Vorankündigung. Deutsches Recht. Anlagen sind Vertragsbestandteil.

Anlage 1 – Technische und organisatorische Maßnahmen
Übertragung zwischen Browser und Anwendung per TLS.
Passwörter mit Argon2id gespeichert (ersatzweise bcrypt); Sitzungen serverseitig; Sitzungscookies HttpOnly, Secure, SameSite; CSRF-Schutz; begrenzte Anmeldeversuche.
Mandantentrennung in der Datenbank über PostgreSQL Row-Level Security. Fehlt die Zuordnung, liefert die Datenbank nichts.
Der Mandant ergibt sich aus der serverseitigen Anmeldung und nicht aus einer clientseitig manipulierbaren Angabe.
Datenbank aus dem Internet nicht direkt erreichbar.
Zugangsdaten angebundener Postfächer gesondert geschützt.
Protokollierung von Anmeldeversuchen (Löschung nach 7 Tagen) und von Änderungen je Konto für die Dauer der Nutzung.
Tägliches eigenes Backup, vor Verlassen des Servers verschlüsselt, Speicherung bei Hetzner in Falkenstein, 30 Tage unveränderbar. Entschlüsselungsschlüssel nicht auf den Anwendungsservern.
Gelöschte CRM-Einträge 90 Tage wiederherstellbar, danach Löschung vorbehaltlich Gesetz und Backup-Laufzeiten.
Endgültige Löschung abgelaufener Testkonten über eine eng begrenzte Datenbankfunktion, die die Löschbedingungen selbst prüft; die Löschung wird ohne CRM-Inhalte protokolliert.
Zugänge zu Code, Hosting und Backups mit Zwei-Faktor-Authentifizierung.

Anlage 2 – Unterauftragsverarbeiter
Render Services, Inc., San Francisco, USA – Hosting Anwendung und Datenbank, Region Frankfurt; Verarbeitung auch USA laut DPA 19.12.2024; DPF/SCC; Subprozessoren render.com/trust.
Hetzner Online GmbH, Deutschland – Speicherung der verschlüsselten eigenen Backups, Falkenstein.
Brevo – Versand von E-Mails aus Banana CRM.
Logo.dev – Abruf öffentlich verfügbarer Firmenlogos anhand der hinterlegten Website-Domain.
X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA – Anbieter von Grok; KI-Auswertung im Reiter „KI“, nur wenn der Verantwortliche die KI einschaltet oder ausprobiert. Übermittelt werden ausschließlich Firmenname, Ort und Website seiner Firmen, öffentliche Meldungstexte und die beiden Angaben des Verantwortlichen zu seinem Betrieb („Was wir anbieten“, „Wie wir Kontakte pflegen“); Name, Ort und Website der eigenen Firma nur beim Klick auf „Banana einen Vorschlag machen lassen“, der öffentliche Text einer eingetragenen Website nur bei deren Prüfung. Im Handwerk-Modus zusätzlich das einmalige Zuordnen neuer Rechnungstexte zu Leistungen; übermittelt werden nur die Rechnungstexte und die Namen vorhandener Leistungen. Bei eingeschalteter KI auf Klick „Mail“, „WhatsApp“ oder „Neu schreiben“: Anlass der Aufgabe, gekürzter Verlauf des Kontakts (bis zu zehn Einträge), bei Firmen mit gespeicherten Aufträgen Leistung und Datum der neuesten Aufträge (nie Beträge) und nur die Angabe, ob die Zahlungen reibungslos liefen, Datum und Art des letzten Kontakts, weitere aktuelle Anlässe der Firma, Firmenname und die beiden Angaben zum Betrieb, gegebenenfalls ein kurzer Grund, warum die Firma an diesem Tag vorgelegt wird, und ein mit „Anlass suchen“ gefundener Anlass; auf Klick „Anlass suchen“ zusätzlich eine Suche nach öffentlichen Meldungen der letzten sechs Wochen zu dieser einen Firma (Firmenname, Ort, Website, die beiden Angaben zum Betrieb); bei den Suchen nach öffentlichen Meldungen nennt die KI, nur wenn verlässlich belegt, das Gründungsjahr der Firma mit Quelle, das Banana CRM selbst nachprüft und an der Firma speichert; Namen, E-Mail-Adressen, Telefonnummern und Anschriften werden vorher durch neutrale Ersatzbegriffe ersetzt, Freitext kann vereinzelt dennoch persönliche Angaben enthalten; der Entwurf wird nur im Konto des Verantwortlichen gespeichert, bis die Aufgabe erledigt ist. Bei eingeschalteter KI zusätzlich die automatische Einordnung eingehender E-Mails von Kontakten (in den letzten 14 Tagen gespeichert, ohne erkannte Abwesenheitsnotizen; auf Veranlassung des Auftragsverarbeiters für ein einzelnes Konto einmalig auch die letzte eingegangene E-Mail je Firma der letzten sechs Monate): übermittelt werden das aktuelle Datum, der Betreff und der Text ohne zitierte frühere Nachrichten (höchstens 2.000 Zeichen), nicht Absender- und Empfängeradresse, Kopfzeilen, Anhänge oder der Firmenname aus dem Konto; die Namen der Kontakte der Firma und der Nutzer, Personennamen nach Anrede, Titel oder Grußformel, E-Mail-Adressen, Telefonnummern und erkennbare Anschriften werden vorher durch neutrale Ersatzbegriffe ersetzt. Das ist keine Anonymisierung, der bereinigte Text kann weiterhin personenbezogene Angaben enthalten. Zweck: Einordnung der E-Mail (Art einschließlich „Ansprechpartner nicht mehr im Unternehmen“, gegebenenfalls Zeitpunkt, Sicherheit, kurze Begründung), gespeichert an der E-Mail im Konto des Verantwortlichen. Datenverarbeitungsvertrag von xAI (x.ai/legal/data-processing-addendum, Fassung vom 22.09.2026); Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.
Carrd betrifft nur die öffentliche Website des Anbieters, nicht die CRM-Inhalte des Kunden, und ist deshalb kein Unterauftragsverarbeiter im Sinne dieses AVV.