nach Art. 28 DSGVO, zwischen dem Betrieb, der SQUADRAI Cloud nutzt (im Folgenden "Auftraggeber"), und SQUADRAI, Inhaber Sam Squillacioti, Drosselweg 28, 71397 Leutenbach, Deutschland (im Folgenden "Auftragnehmer").
Dieser Vertrag wird mit dem Haken bei den Geschäftsbedingungen geschlossen. Er gilt für die gesamte Dauer der Nutzung und für die Zeit danach, bis die Daten gelöscht oder zurückgegeben sind.
Der Auftragnehmer stellt dem Auftraggeber die Software SQUADRAI Cloud zur Verfügung und verarbeitet dabei personenbezogene Daten, die der Auftraggeber einträgt oder über angebundene Dienste holen lässt. Die Verarbeitung dauert so lange wie der Nutzungsvertrag und endet mit der Löschung oder Rückgabe der Daten nach Ziffer 9.
Speichern, Anzeigen, Ordnen, Durchsuchen, Auswerten und Sichern der Daten des Auftraggebers, damit er seinen Betrieb führen kann: Kundenverwaltung, Aufträge, Belege, Nachrichten, Termine, Serviceeinsätze, Zeiterfassung, Vertrieb. Dazu gehört die Verarbeitung durch die digitale Assistentin, die auf Anfrage des Auftraggebers Texte vorschlägt, Nachrichten einordnet und Fragen beantwortet.
Betroffen sind Kunden, Interessenten, Lieferanten, Geschäftspartner und Mitarbeiter des Auftraggebers sowie Personen, die ihm Nachrichten schicken.
Verarbeitet werden Namen, Anschriften, Telefonnummern, E-Mail-Adressen, Inhalte von Nachrichten und Anhängen, Auftrags- und Rechnungsdaten, Termine, Arbeitszeiten, Notizen und Fotos, die der Auftraggeber einträgt. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Vertrags; trägt der Auftraggeber solche Daten ein, verantwortet er das allein.
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisung ergibt sich aus der Nutzung der Software: Was der Auftraggeber einträgt, anbindet, auslöst oder abfragt, ist seine Weisung. Weitere Weisungen erteilt der Auftraggeber per Mail an hello@squadrai.com.
Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das dem Auftraggeber und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt.
Der Auftragnehmer verpflichtet sich:
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Der Auftragnehmer kündigt einen neuen Unterauftragsverarbeiter mindestens vier Wochen vorher per Mail an. Widerspricht der Auftraggeber aus wichtigem Grund, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Pflichten auferlegt wie diesem Vertrag.
Die Daten werden in Deutschland gespeichert. Eine Übermittlung in ein Drittland findet nur im Rahmen von Ziffer 6 statt (Anthropic, OpenAI und Anam bei Nutzung der Assistentin, Anbieter mit eigener Anbindung des Auftraggebers) und nur auf einer der in Kapitel V DSGVO vorgesehenen Grundlagen.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen verantwortlich. Er trägt nur Daten ein, die er eintragen darf, und informiert seine Kunden und Mitarbeiter, soweit das Gesetz es verlangt. Er hält seine Zugangsdaten geheim.
Nach dem Ende des Nutzungsvertrags archiviert der Auftragnehmer den Betrieb: Die Daten bleiben lesbar und exportierbar, werden aber nicht mehr verändert und nicht mehr an Dritte übermittelt. Der Auftragnehmer übergibt dem Auftraggeber einen vollständigen Export in maschinell auswertbarer Form (Tabellen als CSV, die Originale der Belege, die Dateien, wie sie ankamen, das Protokoll und eine Liste mit Prüfsummen). Der Auftraggeber kann ihn jederzeit selbst abrufen.
Weil der Auftraggeber seine Belege gesetzlich aufbewahren muss, löscht der Auftragnehmer einen Betrieb mit Belegen erst, wenn der Auftraggeber den Empfang des vollständigen Exports bestätigt hat, oder wenn die gesetzliche Aufbewahrungsfrist abgelaufen ist. Hat der Auftraggeber ein Archiv gebucht, bewahrt der Auftragnehmer die Daten bis zum Ende der Aufbewahrungsfrist auf. Ein Betrieb ohne Belege, etwa ein Probezugang, wird spätestens 90 Tage nach dem Ende gelöscht.
Gelöscht werden alle Daten des Auftraggebers vollständig, in der Datenbank und als Dateien, einschließlich der Sicherungen innerhalb ihres Umlaufs. Der Auftragnehmer hält jede Löschung mit Zeitpunkt fest und bestätigt sie auf Anfrage. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.
Für die Haftung gilt Ziffer 10 der Geschäftsbedingungen. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform.
Zutritt und Zugang. Die Server stehen in einem Rechenzentrum mit Zutrittskontrolle. Der Zugang zu den Servern erfolgt nur über verschlüsselte Verbindungen mit Schlüsseln, nicht mit Passwörtern. Der Zugang zur Anwendung erfolgt über persönliche Zugänge mit Passwort oder über Google und Microsoft, jede Sitzung ist zeitlich begrenzt.
Trennung der Betriebe. Jeder Betrieb ist in der Datenbank durch Zeilenschutz von jedem anderen getrennt. Die Anwendung kann nur die Zeilen des Betriebs lesen und schreiben, dessen Mitglied gerade angemeldet ist. Die Trennung wird durch die Datenbank erzwungen, nicht nur durch die Anwendung.
Rechte in der Datenbank. Ohne Anmeldung lässt sich in der Datenbank nichts lesen und keine Funktion ausführen. Funktionen mit erweiterten Rechten kann nur die Anwendung selbst aufrufen, ein angemeldeter Mensch nur die wenigen, die er braucht, jede mit dokumentiertem Grund. Eine automatische Prüfung hält das an der laufenden Datenbank fest und meldet jede Abweichung. Die Dienste der Datenbank sind nur auf dem Server selbst erreichbar, nicht aus dem Netz, zusätzlich gesichert durch eine Firewall.
Verschlüsselung. Alle Verbindungen zur Cloud sind mit TLS verschlüsselt. Zugangsschlüssel zu fremden Diensten werden verschlüsselt gespeichert und nie wieder angezeigt. Passwörter werden nur als Abbild gespeichert, aus dem sich das Passwort nicht zurückrechnen lässt.
Verfügbarkeit. Die Datenbank wird täglich gesichert. Die Sicherungen werden regelmäßig auf Wiederherstellbarkeit geprüft. Störungen werden protokolliert und behoben.
Nachvollziehbarkeit. Wesentliche Vorgänge werden mit Zeitpunkt und Urheber protokolliert. Was aus der Cloud an Dritte hinausgeht, durchläuft eine Freigabe. Im Probezugang geht nichts hinaus.
Organisation. Prüfungen laufen täglich automatisch und melden Abweichungen. Änderungen an der Software werden versioniert und vor dem Aufspielen geprüft. Es gibt einen dokumentierten Ablauf für Störungen und für die Meldung von Datenschutzverletzungen.
Löschung und Aufbewahrung. Daten werden nach Ziffer 9 gelöscht. Eine gestellte Rechnung lässt sich weder ändern noch löschen; ihr Original wird mit Prüfsumme aufbewahrt. Ein Betrieb mit Belegen in der Aufbewahrungsfrist lässt sich erst nach bestätigtem Export oder abgelaufener Frist löschen, erzwungen von der Datenbank. Beispiel- und Testdaten sind als solche gekennzeichnet und lassen sich getrennt entfernen.
Fassung: 2026-10-06
Stand: Entwurf, die Prüfung durch einen Anwalt steht aus.