Art. 28 DSGVO
Vertrag zur Auftragsverarbeitung
Stand: 28. Juli 2026
Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und gilt, sobald Sie über Foliofonds personenbezogene Daten Dritter verarbeiten lassen. Er wird mit der Nutzung des Dienstes Vertragsbestandteil; einer gesonderten Unterzeichnung bedarf es nicht. Auf Wunsch stellen wir Ihnen eine unterzeichnete Fassung zur Verfügung.
1. Parteien
Verantwortlicher ist der Kunde: das Unternehmen, das ein Konto bei Foliofonds unterhält.
Auftragsverarbeiter ist:
Chateau Commerce Ltd
Room C, 13/F, Harvard Commercial Building
105–111 Thomson Road, Wan Chai, Hongkong
2. Der Punkt, den Ihre Compliance-Abteilung zuerst prüft
Der Auftragsverarbeiter ist in Hongkong ansässig. Für Hongkong besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Wir sagen das an dieser Stelle statt im Anhang, weil es Ihre Prüfung bestimmt.
Drei Punkte gehören zu einer vollständigen Bewertung:
- Rechtsgrundlage. Die Übermittlung wird auf die EU-Standardvertragsklauseln gestützt (Durchführungsbeschluss (EU) 2021/914, Modul 2, Verantwortlicher an Auftragsverarbeiter). Sie sind Anlage 3 dieses Vertrags.
- Speicherort. Die Datenbank mit Kontodaten, Dokumenten, Fondsdaten und Verteilerlisten läuft in Irland (AWS eu-west-1), also innerhalb der Europäischen Union; der E-Mail-Versand wird über dieselbe Region zugestellt. Auf Systemen in Hongkong werden keine personenbezogenen Daten gespeichert. Hongkong ist der Sitz des Unternehmens und der Ort, von dem aus administrativ zugegriffen werden kann.
- Umfang. Betroffen sind ausschließlich die Kontaktdaten, die Sie selbst in eine Verteilerliste eintragen, sowie die Kontaktdaten Ihrer eigenen Nutzerinnen und Nutzer. Fondsdaten sind keine personenbezogenen Daten.
Für Ihre Transfer-Folgenabschätzung stellen wir auf Anfrage Angaben zu behördlichen Zugriffsersuchen zur Verfügung. Bis heute liegt uns kein solches Ersuchen vor.
3. Gegenstand, Art und Zweck der Verarbeitung
Foliofonds erstellt Fondsdokumente, betreibt Fonds-Websites und versendet diese Unterlagen an Empfänger, die der Verantwortliche bestimmt. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich, um diese Leistungen zu erbringen.
Kategorien betroffener Personen
- Beschäftigte des Verantwortlichen, die den Dienst nutzen
- Empfängerinnen und Empfänger von Fondsunterlagen (Investoren, Vertriebspartner, Berater)
- Personen, die über das Kontaktformular einer Fonds-Website anfragen
Kategorien personenbezogener Daten
- Name, E-Mail-Adresse, Anrede, Unternehmen, Funktion
- Zugangsdaten und Kontoeinstellungen der Nutzenden
- Versandprotokolle: wann welche Unterlage an wen ging, ob sie geöffnet wurde
- Anfragen aus dem Kontaktformular einer Fonds-Website
Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verantwortliche verpflichtet sich, solche Daten nicht in den Dienst einzustellen.
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes gilt als Weisung. Weitergehende Weisungen erfolgen in Textform.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
5. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Diese Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.
6. Technisch-organisatorische Maßnahmen (Anlage 1)
Die folgenden Maßnahmen nach Art. 32 DSGVO sind umgesetzt. Was hier steht, ist der tatsächliche Stand, nicht eine Absichtserklärung.
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | Übertragung ausschließlich über TLS. Speicherung verschlüsselt bei den Unterauftragsverarbeitern. Passwörter werden nur als Hash abgelegt. |
| Zugriffskontrolle | Trennung der Mandanten auf Datenbankebene über Row Level Security: Jede Abfrage ist an die Kennung des angemeldeten Kontos gebunden, nicht an die Anwendungslogik. Verwaltungszugänge nur mit Zwei-Faktor-Authentisierung. |
| Trennungsgebot | Daten verschiedener Kunden liegen in denselben Tabellen, sind aber über die Kontenkennung getrennt und durch Datenbankregeln gegeneinander abgeschirmt. |
| Protokollierung | Sicherheitsrelevante Vorgänge (Anmeldung, Rechteänderung, Versand, Löschung) werden protokolliert. |
| Verfügbarkeit | Tägliche Sicherung der Datenbank durch den Datenbankanbieter, Wiederherstellung auf einen Zeitpunkt möglich. |
| Löschung | Nach Kündigung 30 Tage Frist zur Wiederherstellung, danach vollständige Löschung. Einzelne Empfänger können jederzeit aus einer Verteilerliste entfernt werden. |
| Belastbarkeit | Der Dienst läuft auf verwalteter Infrastruktur mit automatischer Skalierung und Ausfallsicherung durch den jeweiligen Anbieter. |
7. Unterauftragsverarbeiter (Anlage 2)
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Änderungen teilen wir mindestens 30 Tage vorher mit; innerhalb dieser Frist können Sie widersprechen und den Vertrag außerordentlich kündigen.
| Anbieter | Leistung | Ort | Grundlage |
|---|---|---|---|
| Vercel Inc. | Betrieb der Anwendung, Auslieferung, DNS | USA | SCC |
| Supabase Inc. | Datenbank, Anmeldung, Sicherung | Irland (eu-west-1) | SCC |
| Railway Corp. | Abruf öffentlicher Fondsdaten, Erzeugung der PDF-Dateien | USA | SCC |
| Resend Inc. | Versand von E-Mails und Unterlagen | USA, Zustellung über eu-west-1 | SCC |
| Stripe Payments Europe Ltd. | Abrechnung, Rechnungen | Irland | EU |
| Anthropic PBC | Erzeugung von Texten, Auslesen von Bestandslisten | USA | SCC |
An das Sprachmodell werden keine Verteilerlisten, Kontaktdaten oder Kontodaten übermittelt, sondern ausschließlich Fondsbeschreibungen und der Inhalt hochgeladener Fondsdokumente.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei:
- Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit)
- der Sicherheit der Verarbeitung nach Art. 32 DSGVO
- der Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 und 34 DSGVO
- Datenschutz-Folgenabschätzungen nach Art. 35 und 36 DSGVO
Auskunft, Berichtigung und Löschung einzelner Datensätze können Sie überwiegend selbst im Dienst vornehmen.
9. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform an die hinterlegte Kontaktadresse. Die Meldung beschreibt Art des Vorfalls, betroffene Datenkategorien, wahrscheinliche Folgen und ergriffene Maßnahmen.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, in erster Linie durch Auskünfte und die Nachweise seiner Unterauftragsverarbeiter. Der Verantwortliche kann darüber hinaus mit angemessener Vorankündigung eine Prüfung durchführen oder durch einen unabhängigen Prüfer durchführen lassen, sofern dieser nicht mit dem Auftragsverarbeiter im Wettbewerb steht.
11. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten. Die Löschung erfolgt 30 Tage nach Vertragsende; innerhalb dieser Frist kann der Verantwortliche seine Daten in gängigen Formaten exportieren. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, insbesondere Rechnungsunterlagen.
12. Standardvertragsklauseln (Anlage 3)
Da der Auftragsverarbeiter außerhalb der Union sitzt und für Hongkong kein Angemessenheitsbeschluss besteht, gelten ergänzend die Standardvertragsklauseln der Europäischen Kommission, Durchführungsbeschluss (EU) 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter), mit folgenden Festlegungen:
- Klausel 7 (Beitrittsklausel): findet Anwendung
- Klausel 9 (Unterauftragsverarbeiter): Option 2, allgemeine schriftliche Genehmigung, Vorlauffrist 30 Tage
- Klausel 11 (unabhängige Streitbeilegung): findet keine Anwendung
- Klausel 17 (anwendbares Recht): Recht der Bundesrepublik Deutschland
- Klausel 18 (Gerichtsstand): Frankfurt am Main
- Anhänge I bis III der Klauseln ergeben sich aus den Abschnitten 3, 6 und 7 dieses Vertrags
Bei Widersprüchen zwischen diesem Vertrag und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.
13. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Frankfurt am Main. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
Fragen zu diesem Vertrag oder Wunsch nach einer unterzeichneten Fassung: hallo@foliofonds.de.