Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO · Fassung 2026-10-21

zwischen dem Verantwortlichen (Kunde), dessen Daten bei der Registrierung oder bei der Annahme eines vom Auftragsverarbeiter vorbereiteten Kontos festgehalten werden, und dem Auftragsverarbeiter Banana CRM, Martin Elmentaler, Einzelunternehmen, Hittfeldstraße 40, 45478 Mülheim an der Ruhr.
Dieser Vertrag kommt durch die ausdrückliche elektronische Erklärung des Kunden bei der Registrierung bzw. bei der Annahme eines vorbereiteten Kontos zustande (gemeinsame Bestätigung mit den AGB und der Datenschutzerklärung, Zeitpunkt und Fassung werden protokolliert). Eine Unterschrift ist nicht erforderlich.

§ 1 Gegenstand
Der Auftragsverarbeiter stellt Banana CRM als browserbasierte SaaS-Anwendung bereit. Dieser Vertrag regelt die Auftragsverarbeitung nach Art. 28 DSGVO und geht bei Widersprüchen insoweit den AGB vor.

§ 2 Dauer
Die Verarbeitung besteht für die Dauer der kostenlosen Testphase und eines anschließenden Nutzungsvertrags. Danach gelten § 12 und gesetzliche Aufbewahrungspflichten. Die Verarbeitung beginnt mit der Registrierung bzw. der Annahme eines vorbereiteten Kontos. Daten, die der Auftragsverarbeiter vor der Annahme auf Wunsch des Kunden eingerichtet hat, unterliegen ab der Annahme diesem Vertrag.

§ 3 Zweck
Technische Bereitstellung, Speicherung von Firmen- und Kontaktdaten, Aufgaben, E-Mail-Inhalte und Dokumente, Postfachanbindung soweit eingerichtet, Volltextsuche, CSV-Import und -Export, E-Mail-Versand, Logoabruf, Nutzerverwaltung, Sicherheit, Sicherung und Wiederherstellung. Soweit der Verantwortliche im Reiter „KI“ die KI einschaltet oder sie mit „Mal gratis ausprobieren“ ausprobiert (höchstens dreimal, je Versuch zehn Firmen), zusätzlich die KI-Auswertung öffentlicher Meldungen über seine Firmen; dafür werden ausschließlich Firmenname, Ort und Website seiner Firmen, öffentliche Meldungstexte und die Angabe des Verantwortlichen zu seiner Leistung an den in Anlage 2 genannten KI-Dienst übermittelt. Name, Ort und Website der eigenen Firma des Verantwortlichen nur beim Klick auf „Banana einen Vorschlag machen lassen“; der öffentliche Text einer vom Verantwortlichen eingetragenen Website nur bei deren Prüfung; nie Ansprechpartner, E-Mail-Adressen, Telefonnummern, Notizen oder E-Mail-Inhalte. Ist für das Konto der Handwerk-Modus eingerichtet, zusätzlich die Speicherung importierter Aufträge (Datum, Betrag, Rechnungstext, Zahlstatus, Kundenart, Postleitzahl) und das einmalige Zuordnen neuer Rechnungstexte zu wenigen Leistungen durch den in Anlage 2 genannten KI-Dienst; dafür werden ausschließlich die Rechnungstexte und die Namen bereits vorhandener Leistungen übermittelt, nie Namen, Adressen, Beträge, Rechnungsnummern oder Zahlstatus. Keine Nutzung zu eigenen Werbe-, Verkaufs- oder Marketingzwecken.

§ 4–5 Datenarten und Betroffene
Namen, geschäftliche Kontaktdaten, Firmen- und Organisationsdaten, Aufgaben, Notizen, E-Mail-Inhalte, Dokumente (PDF), Postfach-Zugangsdaten soweit angebunden, CSV-Importdaten, im Handwerk-Modus Auftrags- und Rechnungsdaten (Datum, Betrag, Rechnungstext, Zahlstatus, Kundenart, Postleitzahl), Login- und Berechtigungsdaten, betriebsnotwendige Protokolldaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand. Betroffene: Geschäftskontakte des Verantwortlichen sowie dessen Mitarbeiter und Nutzer.

§ 6 Weisungen
Verarbeitung nur auf dokumentierte Weisung aus Nutzungsvertrag, diesem Vertrag, den Funktionen von Banana CRM oder Textform an martin.elmentaler@bananacrm.de. Der Verantwortliche bleibt für Rechtmäßigkeit und Informationspflichten verantwortlich.

§ 7–11 Pflichten
Vertraulichkeit; TOM nach Anlage 1; Unterstützung bei Art. 32 bis 36 DSGVO und Betroffenenrechten; Meldung von Verletzungen unverzüglich nach Bekanntwerden, angestrebt binnen 24 Stunden.

§ 12 Löschung und Rückgabe
12.1 Während der Testphase und der Laufzeit ist ein Export insbesondere als CSV möglich. Gelöschte Einträge bleiben in dieser Zeit 90 Tage wiederherstellbar.
12.2 Endet die Testphase ohne kostenpflichtigen Abschluss, bleibt der Export bis zur Löschung möglich. 60 Tage nach Ende der Testphase werden alle Daten des Verantwortlichen endgültig gelöscht; der Verantwortliche wird vorher per E-Mail informiert. Auf Wunsch kann die Löschung verschoben werden.
12.3 Nach Ende eines kostenpflichtigen Nutzungsvertrags Löschung oder Rückgabe nach Wahl des Verantwortlichen, soweit keine gesetzliche Pflicht entgegensteht. Export bis 30 Tage nach Vertragsende.
12.4 Das verschlüsselte Hetzner-Backup bleibt bis zu 30 Tage unveränderbar und wird nicht für den Betrieb genutzt.

§ 13 Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern für den technischen Betrieb ist gestattet. Die aktuelle Liste steht in Anlage 2. Weitere nur unter den gesetzlichen Voraussetzungen und nach Information des Verantwortlichen. Der Verantwortliche kann der Aufnahme innerhalb von zehn Tagen nach Information widersprechen. Unterauftragsverarbeiter werden auf ein vergleichbares Schutzniveau verpflichtet.

§ 14 Drittländer
Bei Render kann auch bei EU-Region ein Drittlandbezug durch Konzern, Support oder Subprozessoren bestehen. Soweit erforderlich EU-US Data Privacy Framework und/oder Standardvertragsklauseln. Eine Garantie vollständiger Freiheit von Drittlandzugriffen wird nicht gegeben.
Die KI-Auswertung durch X.AI LLC (SpaceXAI LLC) findet in den USA statt, nur wenn der Verantwortliche sie einschaltet oder ausprobiert, sowie im Handwerk-Modus beim Zuordnen neuer Rechnungstexte; Grundlage der Übermittlung sind die EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.

§ 15–17 Nachweise, Pflichten, Schluss
Nachweise und Audits nach angemessener Vorankündigung. Deutsches Recht. Anlagen sind Vertragsbestandteil.

Anlage 1 – Technische und organisatorische Maßnahmen
Übertragung zwischen Browser und Anwendung per TLS.
Passwörter mit Argon2id gespeichert (ersatzweise bcrypt); Sitzungen serverseitig; Sitzungscookies HttpOnly, Secure, SameSite; CSRF-Schutz; begrenzte Anmeldeversuche.
Mandantentrennung in der Datenbank über PostgreSQL Row-Level Security. Fehlt die Zuordnung, liefert die Datenbank nichts.
Der Mandant ergibt sich aus der serverseitigen Anmeldung und nicht aus einer clientseitig manipulierbaren Angabe.
Datenbank aus dem Internet nicht direkt erreichbar.
Zugangsdaten angebundener Postfächer gesondert geschützt.
Protokollierung von Anmeldeversuchen (Löschung nach 7 Tagen) und von Änderungen je Konto für die Dauer der Nutzung.
Tägliches eigenes Backup, vor Verlassen des Servers verschlüsselt, Speicherung bei Hetzner in Falkenstein, 30 Tage unveränderbar. Entschlüsselungsschlüssel nicht auf den Anwendungsservern.
Gelöschte CRM-Einträge 90 Tage wiederherstellbar, danach Löschung vorbehaltlich Gesetz und Backup-Laufzeiten.
Endgültige Löschung abgelaufener Testkonten über eine eng begrenzte Datenbankfunktion, die die Löschbedingungen selbst prüft; die Löschung wird ohne CRM-Inhalte protokolliert.
Zugänge zu Code, Hosting und Backups mit Zwei-Faktor-Authentifizierung.

Anlage 2 – Unterauftragsverarbeiter
Render Services, Inc., San Francisco, USA – Hosting Anwendung und Datenbank, Region Frankfurt; Verarbeitung auch USA laut DPA 19.12.2024; DPF/SCC; Subprozessoren render.com/trust.
Hetzner Online GmbH, Deutschland – Speicherung der verschlüsselten eigenen Backups, Falkenstein.
Brevo – Versand von E-Mails aus Banana CRM.
Logo.dev – Abruf öffentlich verfügbarer Firmenlogos anhand der hinterlegten Website-Domain.
X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA – Anbieter von Grok; KI-Auswertung im Reiter „KI“, nur wenn der Verantwortliche die KI einschaltet oder ausprobiert. Übermittelt werden ausschließlich Firmenname, Ort und Website seiner Firmen, öffentliche Meldungstexte und die Angabe des Verantwortlichen zu seiner Leistung; Name, Ort und Website der eigenen Firma nur beim Klick auf „Banana einen Vorschlag machen lassen“, der öffentliche Text einer eingetragenen Website nur bei deren Prüfung. Im Handwerk-Modus zusätzlich das einmalige Zuordnen neuer Rechnungstexte zu Leistungen; übermittelt werden nur die Rechnungstexte und die Namen vorhandener Leistungen. Datenverarbeitungsvertrag von xAI (x.ai/legal/data-processing-addendum, Fassung vom 22.09.2026); Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.
Carrd betrifft nur die öffentliche Website des Anbieters, nicht die CRM-Inhalte des Kunden, und ist deshalb kein Unterauftragsverarbeiter im Sinne dieses AVV.