Stand: 20.10.2026 · Version 2026-10-3

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Dieser Vertrag gilt, wenn eine Institution (zum Beispiel ein Repetitorium, eine Hochschule, eine Fachschaft oder ein Unternehmen) in MILO eine Organisation anlegt oder ihr beitritt und dort personenbezogene Daten ihrer Mitglieder verarbeiten lässt. Er wird mit dem Anlegen der Organisation (Bestätigung „Ich handle für diese Institution“) abgeschlossen; die bestätigte Fassung und der Zeitpunkt werden gespeichert.

Entwurf, keine Rechtsberatung. Vor dem ersten unterschriebenen oder bestätigten Vertrag mit einer Institution von einer Person mit Datenschutz-Fachkenntnis prüfen lassen.

Parteien

• Verantwortliche: die Institution, die die Organisation angelegt hat (Angaben bei der Anlage der Organisation und in der Rechnung).
• Auftragsverarbeiter: Sherwin Ghayoumi, Futura Intelligence, Eichenweg 20, 63683 Ortenberg, Deutschland, unter der Bezeichnung „MILO notes“, E-Mail kontakt@milonotes.app (nachfolgend „MILO notes“).

1. Gegenstand und Dauer

1. MILO notes stellt der Verantwortlichen eine Organisation in der Lern-Anwendung MILO bereit: Mitglieder mit Rollen, Einladungen, geteilte Lernzettel und Ordner (nur lesend für Mitglieder), Nutzungsberichte und die KI-gestützte Formatierung von Lernmaterial.
2. Der Vertrag gilt, solange die Organisation besteht. Er endet mit der Löschung der Organisation (Abschnitt 11).

2. Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen stehen in Anlage 1.

3. Weisungen

1. MILO notes verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Weisung ist die Nutzung der Anwendung (Mitglieder einladen, Inhalte veröffentlichen, Rollen ändern, Organisation löschen) sowie schriftliche Weisungen per E-Mail an kontakt@milonotes.app.
2. Hält MILO notes eine Weisung für rechtswidrig, weist es unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.
3. MILO notes verarbeitet die Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht zum Training von KI-Modellen.

4. Vertraulichkeit

MILO notes verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Zugriff hat ausschließlich die betreibende Person von MILO notes.

5. Technische und organisatorische Maßnahmen

MILO notes setzt die Maßnahmen aus Anlage 2 um und entwickelt sie weiter. Wesentliche Verschlechterungen des Schutzniveaus sind unzulässig; Verbesserungen sind jederzeit möglich.

6. Unterauftragsverarbeiter

1. Die Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
2. MILO notes informiert über jede beabsichtigte Hinzufügung oder Ersetzung mindestens 30 Tage vorher per E-Mail an die Eigentümer der Organisation. Die Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen; dann kann jede Seite den Vertrag zum Ende des laufenden Abrechnungszeitraums kündigen.
3. MILO notes verpflichtet jeden Unterauftragsverarbeiter vertraglich auf mindestens dasselbe Datenschutzniveau.

7. Verarbeitung außerhalb der EU

Die Inhalte der Organisation werden in der Europäischen Union verarbeitet (Anlage 3). Soweit Unterauftragsverarbeiter im Einzelfall Daten in Drittländern verarbeiten dürfen (zum Beispiel Support-Zugriffe von Microsoft), geschieht das nur mit geeigneten Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss zum EU-US Data Privacy Framework und/oder Standardvertragsklauseln).

8. Unterstützung der Verantwortlichen

1. MILO notes unterstützt die Verantwortliche bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Die Anwendung bietet dafür Selbstbedienung: Mitglieder entfernen, Inhalte löschen, Daten als Datei herunterladen, Organisation löschen.
2. MILO notes leitet Anfragen, die bei ihm eingehen und die Verantwortliche betreffen, unverzüglich weiter und beantwortet sie nicht selbst.
3. MILO notes unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit das für die Verarbeitung nötig ist, und stellt die dafür nötigen Informationen bereit.

9. Meldung von Datenschutzverletzungen

MILO notes meldet der Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel binnen 24 Stunden, an die E-Mail-Adresse der Eigentümer der Organisation. Die Meldung beschreibt, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen. Der Ablauf steht im internen Plan „Datenpanne“.

10. Nachweise und Kontrollen

MILO notes stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind (insbesondere Anlagen 2 und 3 in der jeweils aktuellen Fassung und das Löschkonzept). Kontrollen, auch vor Ort, sind nach rechtzeitiger Ankündigung (in der Regel 14 Tage) und während üblicher Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören. Der Aufwand wird nach Absprache vergütet, soweit er über eine einfache Auskunft hinausgeht.

11. Rückgabe und Löschung

1. Solange die Organisation besteht, kann jedes Mitglied ab der Rolle Administrator die Inhalte der Organisation als Sicherungsdatei herunterladen.
2. Bei Zahlungsverzug bleibt die Organisation 14 Tage voll nutzbar, danach nur noch lesbar (Export bleibt möglich). Bei Kündigung bleibt sie bis zum Ende der Laufzeit lesbar, danach 30 Tage nur für den Export offen.
3. Danach, oder früher auf Veranlassung der Verantwortlichen (Eigentümer löschen die Organisation), löscht MILO notes alle Inhalte, Mitgliedschaften, Einladungen und Abrechnungsdaten der Organisation unwiderruflich. Technische Sicherungskopien werden spätestens nach 7 Tagen (Datenbank) bzw. 37 Tagen (Dateisicherung) überschrieben. Ein Protokolleintrag „Organisation gelöscht“ ohne Inhalte bleibt bis zum Ende der Aufbewahrungsfrist von 12 Monaten.
4. Gesetzliche Aufbewahrungspflichten (zum Beispiel für Rechnungen) bleiben unberührt.

12. Haftung

Für die Haftung gilt Art. 82 DSGVO im Verhältnis zu betroffenen Personen. Im Innenverhältnis gelten die Haftungsregeln der Nutzungsbedingungen.

13. Schlussbestimmungen

1. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von MILO notes.
2. Änderungen dieses Vertrags werden mit mindestens 6 Wochen Vorlauf angekündigt und gelten erst nach Zustimmung der Verantwortlichen; bis dahin gilt die bisherige Fassung.
3. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen in datenschutzrechtlichen Fragen, geht dieser Vertrag vor.

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zugangskontrolle: Anmeldung ohne Passwort mit einem 6-stelligen Einmal-Code an die E-Mail-Adresse (gültig 10 Minuten, höchstens 5 Fehlversuche je Code, Code und Adresse nur als Hash gespeichert, gilt genau einmal). Begrenzung der Code-Anforderungen je Adresse und je IP-Adresse; Bot-Schutz (Cloudflare Turnstile) auf der Anmeldeseite. Sitzungs-Tokens werden nur als SHA-256-Hash gespeichert und laufen nach 90 Tagen ohne Nutzung ab; Geräte lassen sich einzeln abmelden. Das Löschen des Kontos erfordert einen neuen Code.
• Zugriffskontrolle: Rollen je Organisation (Eigentümer, Administrator, Bearbeiter, Mitglied). Jeder Zugriff auf Mitglieder, Einladungen und Inhalte prüft serverseitig die Mitgliedschaft und die Rolle; Außenstehende erfahren nicht einmal, dass eine Organisation existiert. Mitglieder können Inhalte nur lesen (automatisierte Tests decken alle Schreibwege ab). Die Mitgliederliste sehen nur Administratoren und Eigentümer.
• Trennung: Inhalte jeder Organisation sind logisch getrennt (Bereichskennung je Organisation in jeder Abfrage); private Lernzettel der Nutzer liegen in getrennten Speichern und werden nie in die Organisation übernommen.
• Verschlüsselung: Übertragung nur per TLS (HTTPS erzwungen, TLS 1.2 oder höher; Datenbankverbindung mit erzwungenem TLS). Ruhende Daten verschlüsselt der Hosting-Anbieter (Azure Storage und Azure Database for PostgreSQL, Standardverschlüsselung).
• Geheimnisse: Zugangsdaten zur Datenbank liegen als Secret der Container App, nicht im Programmcode. Der Zugriff auf die KI erfolgt mit einer verwalteten Identität (kein API-Schlüssel).
• Datenminimierung in Protokollen: Server-Logs enthalten keine Inhalte und keine Klartext-Kennungen von Nutzern (pseudonymisiert; die Pseudonyme wechseln standardmäßig mit jedem Neustart), nur Art der Anfrage, Größen, Dauer und Fehlercodes.

Integrität

• Eingabekontrolle: Das Protokoll hält Rollenwechsel, Einladungen, Entfernen, Löschen und Änderungen der Abrechnung fest (12 Monate). Veröffentlichte Inhalte tragen eine Versionsnummer; gleichzeitige Änderungen werden erkannt (Konflikt statt Überschreiben).
• Weitergabekontrolle: Inhalte gehen nur an Mitglieder der Organisation, nie an Dritte. KI-Aufrufe gehen über den MILO-Server an den KI-Dienst in der EU-Datenzone; der MILO-Server speichert die übermittelten Inhalte nicht.
• Transaktionen: Mehrschrittige Änderungen (Einladung einlösen, Konto löschen, Organisation löschen, Rollen ändern) laufen in einer Datenbank-Transaktion; der letzte Eigentümer und der letzte Betreiber bleiben geschützt.

Verfügbarkeit und Belastbarkeit

• Automatische Datensicherung der Datenbank (Wiederherstellung auf einen Zeitpunkt der letzten 7 Tage) und tägliche Sicherung der Dateifreigabe (30 Tage plus 7 Tage Papierkorb). Eine Wiederherstellung wird vor dem Produktivbetrieb mit Kunden getestet.
• Betrieb auf Azure in Schweden (Anwendung) und Irland (Datenbank); Container wird bei Last gestartet, ausgefallene Instanzen starten neu. Begrenzung von Anfragen je Nutzer und Minute. Kostenbudget mit Alarm.
• Bekannte Grenze: eine einzelne Serverinstanz; Anfragenbegrenzungen sind im Arbeitsspeicher und gelten nicht über mehrere Instanzen.

Wiederherstellung, Überprüfung, Organisation

• Löschung: siehe Löschkonzept; Löschaufträge für Dateien werden in derselben Transaktion vorgemerkt und wiederholt, bis sie erledigt sind; täglicher Aufräumlauf.
• Meldeweg für Datenpannen (Plan „Datenpanne“, 24 Stunden bis zur Information der Verantwortlichen, 72 Stunden bis zur Meldung an die Aufsichtsbehörde).
• Entwicklung mit automatisierten Tests (Rollen, Trennung der Organisationen, Löschen, Export). Vor jeder Veröffentlichung werden die Abhängigkeiten mit pnpm audit auf bekannte Schwachstellen geprüft (Release-Checkliste in der Betriebsanleitung).
• Zugriff auf Produktivsysteme hat nur die betreibende Person; Zugang zu Azure mit eigenem Konto und Mehr-Faktor-Anmeldung.
• Die Datenbank ist über das Internet erreichbar, aber nur für Azure-Dienste freigeschaltet und durch Passwort und erzwungenes TLS geschützt. Ein privates Netz ist als Ausbau vorgesehen.

Anlage 3: Unterauftragsverarbeiter

Stripe Payments Europe, Ltd. kommt erst hinzu, wenn die Bezahlung per Stripe eingeführt wird (Ankündigung nach Abschnitt 6).