Stand: 14. November 2026

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Christian Schmitt, Performance Web Development, Konsul-Smidt-Straße 8C, 28217 Bremen (Auftragsverarbeiter, im Folgenden Anbieter), für die Nutzung von Margin.

1. Zustandekommen, Gegenstand und Dauer

Dieser Vertrag ist Teil des Vertrags über die Nutzung von Margin und kommt mit dessen Abschluss zustande, ohne dass eine Unterschrift nötig ist; Art. 28 Abs. 9 DSGVO lässt die elektronische Form zu. Er gilt für alle Workspaces des Kunden. Er regelt, wie der Anbieter personenbezogene Daten verarbeitet, die der Kunde und seine Gäste in Margin erfassen, und ergänzt die AGB (Abschnitt 10). Bei Widersprüchen in Datenschutzfragen geht dieser Vertrag vor. Wer eine unterschriebene Ausfertigung braucht, schreibt an info@christianschmitt.dev.

Der Vertrag beginnt mit der Nutzung von Margin und endet mit dem Vertrag über die Nutzung. Er wirkt weiter, solange der Anbieter noch Daten des Kunden speichert.

2. Art und Zweck der Verarbeitung

Der Anbieter speichert und verarbeitet die Daten, um Margin zu betreiben: Feedback zu Websites erfassen und anzeigen, Screenshots erstellen, Mitglieder und Gäste verwalten, Benachrichtigungen versenden und Daten für den Zugriff durch KI-Agenten bereitstellen, die der Kunde selbst verbindet. Zu eigenen Zwecken verarbeitet der Anbieter diese Inhalte nicht.

Nicht unter diesen Vertrag fällt, was der Anbieter als eigener Verantwortlicher verarbeitet: Konto und Anmeldung (Passkeys, Anmeldecodes, Sitzungen), Vertrag und Abrechnung, Schutz vor Missbrauch, Betriebsprotokolle und seine eigene Kommunikation mit dem Kunden, etwa Produkt-Neuigkeiten nach Einwilligung. Das beschreibt die Datenschutzerklärung.

Betroffen sind Teammitglieder des Kunden, seine Gäste (zum Beispiel Auftraggeber, die im Widget kommentieren) und Personen, die in Kommentaren genannt werden oder deren Daten auf kommentierten Seiten und in Screenshots zu sehen sind. Welche Daten das sind und wie lange sie gespeichert werden, steht in Anlage 1. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Zweck der Verarbeitung; der Kunde erfasst sie nicht in Margin.

3. Weisungen

Der Anbieter verarbeitet die Daten nur nach dokumentierter Weisung des Kunden. Weisungen sind dieser Vertrag und die AGB, die Einstellungen und Aktionen des Kunden in der App (zum Beispiel Löschen, Exportieren, Rollen und Zugänge) sowie Einzelweisungen in Textform an info@christianschmitt.dev. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin und darf sie bis zur Klärung aussetzen. Verlangt das Recht der Union oder eines Mitgliedstaats eine Verarbeitung, teilt der Anbieter das dem Kunden vorher mit, soweit das Recht es erlaubt.

4. Pflichten des Anbieters

Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und entwickelt sie weiter, ohne das vereinbarte Schutzniveau zu senken.

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Der Kunde kann die meisten dieser Anträge selbst in der App erfüllen: Export, Löschen von Kommentaren, Gästen und Workspaces. Wendet sich eine betroffene Person wegen Daten, die der Anbieter im Auftrag verarbeitet, direkt an ihn, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

Der Anbieter unterstützt den Kunden bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit es um die Verarbeitung in Margin geht. Eine Verletzung des Schutzes der Daten des Kunden meldet der Anbieter ihm unverzüglich nach Kenntnis, in der Regel innerhalb von 48 Stunden, mit den Angaben, die er zu Art, Umfang, Folgen und ergriffenen Maßnahmen hat. Ansprechpartner für den Datenschutz ist info@christianschmitt.dev.

Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5. Pflichten des Kunden

Der Kunde ist Verantwortlicher im Sinne der DSGVO. Er prüft, ob seine Weisungen und die Daten, die er und seine Gäste in Margin erfassen, rechtmäßig sind, und informiert seine Gäste und Mitarbeiter über die Verarbeitung, wo das erforderlich ist. Er richtet Zugänge nur für Personen ein, die sie brauchen, schützt seine Zugangsdaten und entfernt Mitglieder, Gäste und Zugänge für Agenten, die sie nicht mehr brauchen. Er meldet dem Anbieter Unregelmäßigkeiten, die er bemerkt.

6. Unterauftragsverarbeiter

Der Kunde erlaubt dem Anbieter, die Unterauftragsverarbeiter in Anlage 3 einzusetzen. Der Anbieter schließt mit ihnen Verträge, die ihnen mindestens die Pflichten dieses Vertrags auferlegen, und haftet dem Kunden für ihre Einhaltung.

Will der Anbieter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das dem Kunden mindestens 30 Tage vorher per E-Mail an die Owner der Workspaces mit und aktualisiert Anlage 3. Der Kunde kann innerhalb von 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Vertrag zum Zeitpunkt des Wechsels außerordentlich kündigen; im Voraus gezahlte Entgelte eines Abonnements für die Zeit danach erstattet der Anbieter anteilig.

7. Übermittlung in Drittländer

Datenbank und Dateispeicher liegen in der EU. Die Anwendung selbst läuft im weltweiten Netzwerk von Cloudflare; das Rendern der Screenshots, der Versand der E-Mails, der Schlüsselspeicher für OAuth-Zugänge, die Betriebsprotokolle und die Umwandlung von Sprachnachrichten in Text (Workers AI) sind nicht auf die EU festgelegt. Eine Übermittlung in Drittländer, vor allem in die USA, ist deshalb möglich. Sie ist durch die Standardvertragsklauseln der EU-Kommission im Vertrag mit Cloudflare und durch dessen Zertifizierung nach dem EU-U.S. Data Privacy Framework abgesichert. Eine weitere Übermittlung in Drittländer findet nur statt, wenn Art. 44 ff. DSGVO erfüllt sind.

8. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Angaben zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, vor allem diesen Vertrag, die Datenschutzerklärung und auf Anfrage weitere Auskünfte zu den Maßnahmen und den Unterauftragsverarbeitern. Der Kunde kann die Einhaltung dieses Vertrags auch selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, in der Regel einmal im Jahr, nach 30 Tagen Ankündigung, in den üblichen Geschäftszeiten und ohne den Betrieb zu stören. Die Kontrolle erfasst keine Daten anderer Kunden und keine Geschäftsgeheimnisse des Anbieters, die nicht für den Nachweis nötig sind. Der Kunde trägt die Kosten seiner Kontrolle, soweit sie keine wesentlichen Verstöße des Anbieters ergibt. Aufsichtsbehörden bleiben unberührt.

9. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit in der App exportieren und Workspaces, Projekte, Kommentare und Gäste selbst löschen. Nach Vertragsende gibt der Anbieter die Daten nach Wahl des Kunden heraus oder löscht sie; eine Weisung zur Löschung setzt er innerhalb von 30 Tagen um. Ein Workspace, den der Kunde weder gelöscht hat noch löschen lässt, bleibt nach Abschnitt 6 der AGB eingefroren erhalten, mindestens 12 Monate, damit der Kunde ihn exportieren kann; vor einer Löschung durch den Anbieter kündigt dieser das per E-Mail an. Kopien in den Sicherungen der Datenbank bei Cloudflare verschwinden dort mit deren Aufbewahrungsfrist. Pflichten zur Aufbewahrung nach dem Gesetz bleiben unberührt; das betrifft die Abrechnungsdaten des Anbieters, nicht die Inhalte des Kunden.

10. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und im Verhältnis der Parteien nach Abschnitt 13 der AGB. Es gilt deutsches Recht; Gerichtsstand ist wie in den AGB geregelt. Maßgeblich ist die deutsche Fassung. Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Rest wirksam. Ergänzungen und Änderungen, die sich aus Gesetzen, Behörden oder Gerichten ergeben, darf der Anbieter vornehmen, wenn sie das Schutzniveau für die Daten des Kunden nicht senken; er kündigt sie wie Änderungen der AGB an.

Anlage 1: Daten, Betroffene und Speicherdauer

Die Datenkategorien richten sich nach dem, was der Kunde und seine Gäste in Margin eingeben. Die Speicherdauer gilt, bis der Kunde die Daten selbst löscht, sofern nichts anderes steht.

Mitglieder im Workspace: E-Mail-Adresse, optional Anzeigename und Profilbild, Rolle im Workspace. Die Mitgliedschaft endet, wenn die Person den Workspace verlässt oder entfernt wird. Löscht eine Person ihr Konto, werden Name und Bild gelöscht und ihre Adresse an ihren Kommentaren und Antworten durch eine anonyme Kennung ersetzt.
Einladungen: E-Mail-Adresse der eingeladenen Person, Rolle und einladende Person. Eine Einladung gilt 14 Tage.
Gäste des Kunden: Name und optionale E-Mail-Adresse, wie vom Team eingetragen, Zeitpunkt des letzten Besuchs, persönlicher Link (nur als Hash). Gelöscht, wenn das Team den Gast entfernt oder das Projekt löscht.
Kommentare und Antworten: Text, Autor, Adresse und Titel der Seite, Element auf der Seite, Viewport, Bildschirmgröße, Pixeldichte, Browser, Betriebssystem, Sprache, Farbschema, Status, Priorität, Tags, Aktivitätsprotokoll. Gelöscht, wenn das Team Kommentar oder Projekt löscht.
Screenshots: Bild der kommentierten Seite, vom Server gerendert und privat gespeichert. Es zeigt, was die Seite zum Zeitpunkt des Kommentars anzeigt. Gelöscht 30 Tage nach dem Erledigen des Kommentars.
Bildvorschläge: Hochgeladene Datei, Dateiname, Fokuspunkt, optionale Quellenangabe. Gelöscht 30 Tage nach dem Erledigen des Kommentars.
Sprachnachrichten: Aufnahme und Transkript. Die Aufnahme wird 30 Tage nach dem Erledigen des Kommentars gelöscht, eine nie abgeschickte nach einem Tag. Das Transkript bleibt beim Kommentar.
Benachrichtigungen: E-Mail-Adresse des Empfängers und Verweise auf Kommentare, bis zum Versand der Zusammenfassung. Vorgemerkte Einträge werden 30 Tage nach dem Versand gelöscht. Bestellt jemand die E-Mails ab, bleibt seine Adresse mit dem Projekt gespeichert, damit er keine mehr bekommt.
Zugänge für KI-Agenten: Projekt-Tokens und OAuth-Zugänge nur als Hash, mit Projekt, Zugriffsstufe und Ablaufdatum; bei OAuth zusätzlich die Adresse des freigebenden Mitglieds. Gelöscht beim Widerruf, Ablauf oder Verlassen des Workspace.
Technische Anfragedaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung jeder Anfrage von Mitgliedern und Gästen. Die IP-Adresse dient der Auslieferung und der Begrenzung von Anfragen und wird nicht mit den Inhalten gespeichert.

Anlage 2: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, soweit sie die Verarbeitung in Margin betreffen. Der Anbieter betreibt die Anwendung auf der Plattform von Cloudflare; für deren Rechenzentren und Plattformdienste gelten ihre Maßnahmen.

Zutritts- und Zugangskontrolle

Der Anbieter betreibt keine eigenen Server. Die Rechenzentren von Cloudflare sichern den physischen Zutritt; Zertifizierungen wie ISO 27001 und SOC 2 weist Cloudflare selbst aus.
Anmeldung mit Passkey (mit Nutzerverifizierung) oder einem sechsstelligen Code per E-Mail. Codes werden nur als Hash mit Schlüssel gespeichert, gelten 10 Minuten, erlauben fünf Fehlversuche und werden bei der Nutzung gelöscht; je Adresse gibt es höchstens fünf pro Stunde.
Die Sitzung liegt in einem Cookie mit den Eigenschaften __Host-, HttpOnly und SameSite=Lax; in der Datenbank steht nur ihr Hash. Sie endet nach 30 Tagen ohne Nutzung, spätestens nach 90 Tagen, und auf Wunsch überall sofort.
Anmelde- und Widget-Schnittstellen sind pro IP-Adresse begrenzt und prüfen die Herkunft der Anfrage. Der Schutz vor automatisierten Anmeldungen läuft über Cloudflare Turnstile.

Zugriffskontrolle und Mandantentrennung

Jeder Zugriff auf ein Projekt läuft über eine zentrale Prüfung. Daten gehören zu einem Workspace und einem Projekt; fremde und unbekannte Kennungen werden gleich beantwortet. Automatische Tests prüfen die Trennung zwischen Workspaces, auch für KI-Zugänge und Freigaben.
Rollen (Owner, Admin, Mitglied) legen fest, wer verwalten, löschen und einladen darf. Gäste sehen nur das Feedback ihres Projekts, ändern nur ihre eigenen Kommentare und werden bei jeder Anfrage erneut geprüft, sodass ein Widerruf sofort wirkt.
Zugänge für KI-Agenten gelten für ein Projekt oder einen Workspace, sind standardmäßig nur lesend, laufen ab und lassen sich widerrufen. Agenten können keine Kommentare löschen und keine Projekte, Mitglieder oder Einstellungen ändern.
Der Zugriff auf die Produktivsysteme und ihre Schlüssel ist auf den Anbieter beschränkt. Geheimnisse liegen im Secret-Speicher von Cloudflare, nicht im Quellcode.
Werkzeuge für Betrieb und Fehlersuche, auch KI-gestützte, arbeiten mit Betriebsprotokollen und Kennzahlen. Inhalte des Kunden (Kommentare, Gäste, Screenshots, Bilder, Sprachaufnahmen) lesen sie nicht.

Weitergabe und Verschlüsselung

Alle Verbindungen laufen verschlüsselt über HTTPS. Datenbank und Dateispeicher von Cloudflare sind im Ruhezustand verschlüsselt.
Screenshots, Bilder und Sprachaufnahmen liegen privat; jeder Abruf wird gegen das Projekt geprüft. Download-Links für Agenten sind signiert und 15 Minuten gültig.
Der Server rendert nur Seiten, deren Adresse das Team des Projekts vorab freigegeben hat. Die vom Widget gesendeten Mausbewegungen werden nur für dieses eine Rendern genutzt und nicht gespeichert.
Zahlungs-Webhooks werden über ihre Signatur geprüft. E-Mails werden über die authentifizierte Absenderdomain des Anbieters verschickt (SPF, DKIM, DMARC).

Eingabekontrolle und Protokollierung

Statuswechsel, Antworten und Änderungen an Kommentaren stehen im Aktivitätsprotokoll des Kommentars, mit Person und Zeitpunkt.
Die Anwendung schreibt in ihre Betriebsprotokolle (Cloudflare Workers Observability) Fehler mit Kennungen, aber keine Namen, Kommentartexte oder E-Mail-Adressen im Klartext. Zu jeder Anfrage hält Cloudflare technische Angaben wie Pfad, Zeitpunkt und Status fest; Query-Strings sind geschwärzt.

Verfügbarkeit und Wiederherstellung

Betrieb im Netzwerk von Cloudflare mit redundanter Infrastruktur. Die Datenbank lässt sich über D1 Time Travel auf einen früheren Zeitpunkt zurücksetzen.
Der Kunde kann seine Daten jederzeit selbst exportieren (Workspace-Export, Konto-Export). Missbrauch und Überlast begrenzen Rate-Limits und Kontingente.

Datenschutz durch Voreinstellung und Löschkonzept

In der App und im Widget setzt Margin keine Analyse- oder Tracking-Werkzeuge von Drittanbietern und keine Cookies dafür ein. App und Widget laden ihre Dateien von Margin selbst; die einzige Ausnahme ist das Turnstile-Skript von Cloudflare auf der Anmeldeseite. Für die eigene Produktverbesserung zählt Margin auf dem Server nur, welche Schritte ein Workspace ausführt (Name des Schritts, Workspace-ID, Zeitpunkt), ohne Kundeninhalte und ohne Angaben zu Gästen oder Besuchern der Kunden-Websites; diese Zählung ist nicht Teil der Auftragsverarbeitung.
Automatische Löschung: Screenshots, Bildvorschläge und Sprachaufnahmen 30 Tage nach dem Erledigen eines Kommentars, nicht abgeschickte Aufnahmen nach einem Tag.
Der Kunde kann Kommentare, Projekte, Gäste und den ganzen Workspace selbst löschen. Dateien werden zuerst im Speicher, dann in der Datenbank entfernt. Ein gelöschtes Konto wird anonymisiert.

Auftragskontrolle und Überprüfung

Unterauftragsverarbeiter werden nur mit Auftragsverarbeitungsvertrag eingesetzt (Anlage 3).
Änderungen am Code laufen über Pull Requests mit automatischen Prüfungen: Typprüfung, Unit-Tests, Ende-zu-Ende-Tests für Zugriffsrechte und Mandantentrennung sowie eine Prüfung der Abhängigkeiten. Die Sicherheitslage wird regelmäßig überprüft.
Wer für den Anbieter Zugang zu Auftragsdaten hat, ist zur Vertraulichkeit verpflichtet.

Anlage 3: Unterauftragsverarbeiter

Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: Betrieb der App, der Schnittstellen und des Widgets (Workers), Datenbank (D1) und Dateispeicher (R2) in der EU-Jurisdiktion von Cloudflare, Schlüsselspeicher für OAuth-Zugänge (KV), Rendern der Screenshots (Browser Run), Umwandlung von Sprachnachrichten in Text (Workers AI), Versand der E-Mails (Email Service), Schutz vor automatisierten Anmeldungen (Turnstile) und Betriebsprotokolle (Observability). Datenbank und Dateispeicher liegen in der EU; die Anwendung läuft im weltweiten Netzwerk von Cloudflare, Workers AI kann Audio auch außerhalb der EU verarbeiten. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission im Auftragsverarbeitungsvertrag von Cloudflare und das EU-U.S. Data Privacy Framework.

Keine Unterauftragsverarbeiter für die Inhalte des Kunden sind Stripe Payments Europe, Ltd. (Dublin, Irland), das die Zahlung des Kunden abwickelt und dazu seine Zahlungs- und Rechnungsdaten verarbeitet, sowie der Anbieter von KI-Agenten, den der Kunde selbst verbindet. Wie diese Daten verarbeiten, steht in der Datenschutzerklärung und in den Bedingungen des jeweiligen Anbieters.

Auftragsverarbeitungs­vertrag (AVV)