inhouseticket

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: Oktober 2026

zwischen dem Kunden, der einen Workspace auf inhouseticket.com nutzt („Verantwortlicher“), und Len Messerschmidt e.K., Inhaber Len Messerschmidt, Norderreihe 21, 22767 Hamburg („Auftragsverarbeiter“). Der Vertrag gilt mit dem Anlegen eines Workspace als geschlossen und endet mit dessen Löschung.

1. Gegenstand, Art und Zweck

Der Auftragsverarbeiter betreibt für den Verantwortlichen das Ticketsystem inhouseticket: Speichern, Anzeigen, Ändern, Durchsuchen, Exportieren und Löschen der Inhalte des Workspace sowie Versand von Anmeldelinks, Einladungen und Benachrichtigungen per E-Mail.

2. Daten und betroffene Personen

  • Betroffene: Mitglieder und eingeladene Personen des Workspace; Personen, die in Tickets oder Kommentaren genannt werden.
  • Daten: Name, geschäftliche E-Mail-Adresse, Rolle; Inhalte von Projekten, Tickets, Unteraufgaben, Kommentaren und Bild-Anhängen; Aktivitätsprotokoll; Benachrichtigungen; technische Daten der Anmeldung (Passwort nur als Hash, Sitzung mit IP-Adresse und Browser-Kennung, API-Tokens als Hash).
  • Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen; der Verantwortliche stellt sicher, dass solche Daten nicht eingegeben werden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Anwendung durch berechtigte Mitglieder sowie Anweisungen per E-Mail an hello@inhouseticket.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

4. Pflichten des Auftragsverarbeiters

  • Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
  • Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
  • Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 15–22 DSGVO), insbesondere durch Export und Löschung in der Anwendung, sowie bei den Pflichten nach Art. 32–36 DSGVO.
  • Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an den Besitzer des Workspace.
  • Er stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Ankündigung; bevorzugt durch schriftliche Auskunft.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp – Hosting der Anwendung und Datenbank, Sicherungskopien, E-Mail-Versand; Rechenzentrum in Deutschland.

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail; der Verantwortliche kann aus wichtigem Grund widersprechen und den Workspace löschen. Eine Übermittlung in Drittländer findet nicht statt.

Verbindet ein Mitglied den Workspace mit einem KI-Assistenten (z. B. Claude von Anthropic), ruft dieser Daten im Namen und mit den Rechten des Mitglieds ab. Der Anbieter des Assistenten ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; über diese Nutzung entscheidet der Verantwortliche.

6. Löschung und Rückgabe

Der Verantwortliche kann alle Daten jederzeit exportieren (JSON/CSV). Mit dem Löschen des Workspace werden die Daten aus der laufenden Anwendung sofort entfernt; in Sicherungskopien verbleiben sie höchstens 30 Tage und werden dann überschrieben.

Anlage 1: Technische und organisatorische Maßnahmen

  • Standort: Betrieb ausschließlich in einem Rechenzentrum in Deutschland (mittwald); dessen Maßnahmen zur physischen Sicherheit gelten ergänzend.
  • Mandantentrennung: Jede Datenbankabfrage ist auf den Workspace beschränkt; zusammengesetzte Fremdschlüssel verhindern Verknüpfungen über Workspaces hinweg; Zugriff nur für aktive Mitglieder.
  • Zugang: Anmeldung mit persönlichem Passwort (mindestens 10 Zeichen) oder per einmaligem, 15 Minuten gültigem Link; ein Konto ohne Passwort muss nach der Anmeldung zuerst eines festlegen, bevor es auf Workspaces, API oder KI-Verbindungen zugreifen kann; Zurücksetzen nur per einmaligem, 30 Minuten gültigem Link, danach werden alle Sitzungen beendet; nur geschäftliche E-Mail-Adressen; Rollen (Besitzer, Admin, Mitglied); Begrenzung von Anmelde-, Einladungs- und API-Anfragen je IP-Adresse sowie von Anmeldeversuchen und Mails je E-Mail-Adresse (pseudonymisiert als Hash der Adresse).
  • Geheimnisse: Passwörter nur als scrypt-Hash mit zufälligem Salt; Anmeldecodes, Codes zum Zurücksetzen des Passworts, API- und OAuth-Tokens nur als Hash gespeichert; API-Tokens widerrufbar und mit wählbarem Ablauf; Verbindungen zu KI-Assistenten jederzeit trennbar.
  • Übertragung: ausschließlich verschlüsselt (TLS); Sicherheits-Header und Content-Security-Policy gegen eingeschleuste Inhalte; Prüfung der Herkunft bei schreibenden Anfragen.
  • Eingaben: Prüfung aller Eingaben auf dem Server; Bild-Anhänge werden am Dateiinhalt erkannt, nur WebP, JPEG und PNG bis 100 KB; Inhalte werden ohne ausführbares HTML dargestellt.
  • Nachvollziehbarkeit: Aktivitätsprotokoll je Ticket (wer, was, wann, ob über einen KI-Assistenten).
  • Verfügbarkeit: tägliche Sicherung der Datenbank (konsistenter Dump) und tägliches Projekt-Backup beim Hoster, Aufbewahrung 30 Tage; dokumentiertes Wiederherstellungsverfahren.
  • Betrieb: Änderungen werden vor dem Ausrollen automatisch getestet; administrativer Zugang nur für Personen des Auftragsverarbeiters; die Betreiberübersicht zeigt nur Kennzahlen, keine Inhalte.