Auftragsverarbeitungsvertrag (AVV)

Stand: Oktober 2026

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO gilt zwischen dem Kunden als Verantwortlichem und Marco Kerwitz, kerwitz.dev, Birkenweg 21, 31226 Peine (nachfolgend "Auftragsverarbeiter") für die Nutzung des SaaS-Dienstes "kanman".

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Der Auftragsverarbeiter stellt dem Verantwortlichen "kanman", ein KI-Teammitglied, das auf den vom Verantwortlichen verbundenen Repositories und Issue-Trackern arbeitet, als SaaS-Lösung bereit. Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

1.2 Dauer

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags über die Nutzung von kanman. Nach Beendigung des Hauptvertrags werden die Daten gemäß Ziffer 6.6 gelöscht oder zurückgegeben.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Erbringung des Dienstes kanman, insbesondere:

• Umwandlung von Anforderungen in Stories mit Akzeptanzkriterien und deren Übertragung in den Tracker des Verantwortlichen
• Ausführung von Coding-Agenten auf dem Quellcode des Verantwortlichen in einer isolierten Sandbox und Eröffnung von Pull Requests
• Prüfung der Ergebnisse gegen Akzeptanzkriterien und Speicherung der Nachweise (Testberichte, Screenshots, Traces)
• Übermittlung von Prompts sowie des für einen Run nötigen Code- und Tracker-Kontexts an den vom Verantwortlichen gewählten Modellanbieter
• Dokumentation von Entscheidungen und Aktionen in einem Audit-Log und Bereitstellung von Exporten
• Nutzerauthentifizierung und Zugriffsverwaltung
• Bereitstellung von API-, Webhook- und Chat-Integrationen
• Technischer Support und Fehlerbehebung

3. Art der personenbezogenen Daten

Verarbeitet werden die folgenden Datenkategorien, die personenbezogene Daten enthalten können:

• Kontodaten: Name, E-Mail-Adresse und Rolle der Nutzer des Verantwortlichen
• Quellcode und Repository-Metadaten: Code, Branches, Commits, Pull Requests, einschließlich Autorennamen und E-Mail-Adressen in der Commit-Historie und in Code-Kommentaren
• Tracker-Inhalte: Issues, Stories, Kommentare, Zuständigkeiten
• CI-Logs: Build- und Testausgaben der Pipelines des Verantwortlichen
• Run-Artefakte und Nachweise: Berichte von Akzeptanztests, Screenshots, Browser-Traces, Run-Logs
• Audit-Log-Einträge: Aktionen, Entscheidungen, Freigaben, Kosten, Zeitstempel und beteiligte Nutzer
• Nutzungsdaten: Login-Daten, Aktivitätsprotokolle, IP-Adressen

4. Kategorien betroffener Personen

Betroffene Personen sind:

• Beschäftigte und Beauftragte des Verantwortlichen
• Weitere Nutzer, denen der Verantwortliche Zugang zu kanman gewährt
• Personen, die im Quellcode, in der Commit-Historie, in Tracker-Inhalten oder Logs des Verantwortlichen genannt sind (zum Beispiel Mitwirkende und Meldende)

5. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und stellt sicher, dass

• eine geeignete Rechtsgrundlage für die Verarbeitung besteht;
• die betroffenen Personen ordnungsgemäß informiert wurden;
• die Weisungen an den Auftragsverarbeiter rechtmäßig sind;
• nur Repositories und Tracker verbunden werden, zu deren Verarbeitung der Verantwortliche berechtigt ist;
• bei Nutzung eines eigenen Vertrags mit einem Modellanbieter (BYOK) oder eines Self-hosted-Runners die eigenen Vereinbarungen und Maßnahmen des Verantwortlichen hierfür bestehen;
• die Einhaltung der Datenschutzvorschriften regelmäßig überprüft wird.

Die Einstellungen des Verantwortlichen im Produkt (verbundene Repositories und Tracker, Modellanbieter, BYOK, Cloud- oder Self-hosted-Runner, Aufbewahrungseinstellungen, Richtlinien) sind dokumentierte Weisungen im Sinne von Ziffer 6.1.

6. Pflichten des Auftragsverarbeiters

6.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht zum Training von KI-Modellen.

6.2 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.3 Sicherheit der Verarbeitung

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die technischen und organisatorischen Maßnahmen (TOMs) sind in Anlage 1 beschrieben.

6.4 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Die aktuellen Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Nutzt der Verantwortliche seinen eigenen Vertrag mit einem Modellanbieter (BYOK), wird dieser Anbieter vom Verantwortlichen direkt beauftragt und ist kein Unterauftragsverarbeiter des Auftragsverarbeiters.

6.5 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen

• bei der Erfüllung der Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 15-22 DSGVO);
• bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO (Sicherheit, Datenschutz-Folgenabschätzung, vorherige Konsultation);
• bei Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33-34 DSGVO.

6.6 Aufbewahrung, Löschung und Rückgabe

Während der Laufzeit werden Audit-Log-Einträge für die im Workspace eingestellte Aufbewahrungsdauer gespeichert, standardmäßig 365 Tage. Nachweis-Artefakte und Run-Logs werden für die im Workspace eingestellte Aufbewahrungsdauer gespeichert, standardmäßig wie in der Dokumentation unter docs.kanman.ai/de/security/retention/ angegeben. Für einen Run ausgecheckter Quellcode wird verworfen, sobald die Sandbox des Runs entfernt wird. Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten einschließlich des Audit-Logs bis zum Ende der Vertragslaufzeit exportieren. Anschließend löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Speicherpflicht besteht. Auf Verlangen des Verantwortlichen werden die Daten vor der Löschung in einem gängigen Format zurückgegeben.

6.7 Nachweis der Einhaltung und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

7. Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44-49 DSGVO erfüllt sind. Für Übermittlungen in die USA werden EU-Standardvertragsklauseln (SCCs) und, soweit anwendbar, Zertifizierungen nach dem EU-US Data Privacy Framework genutzt. Anwendungsdaten werden in der EU gehostet, der Cloud-Runner arbeitet in Frankfurt am Main. Mit einem Self-hosted-Runner findet die Code-Ausführung im eigenen Netzwerk des Verantwortlichen statt.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den gesamten Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wurde. Die Partei, die Schadensersatz geleistet hat, kann von der anderen Partei den Teil des Schadensersatzes zurückfordern, der ihrem Anteil an der Verantwortung für den Schaden entspricht.

9. Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Zutrittskontrolle

Die Serverinfrastruktur wird in zertifizierten Rechenzentren der in Anlage 2 genannten Unterauftragsverarbeiter betrieben, die über physische Zutrittskontrollen, Überwachung und Sicherheitspersonal verfügen. Bei Self-hosted-Runnern liegt die physische Sicherheit in der Verantwortung des Verantwortlichen.

Zugangskontrolle

• Passwortrichtlinien für alle Benutzerkonten
• Verschlüsselte Speicherung von Passwörtern (bcrypt)
• Sitzungsverwaltung mit automatischem Timeout
• Administratorzugang nur für autorisiertes Personal

Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle innerhalb von Workspaces
• Trennung der Berechtigungen zwischen Workspaces
• Repository-, Pfad- und Merge-Berechtigungen begrenzt durch die Richtlinie des Verantwortlichen
• Zugriffsprotokollierung und ein nur ergänzbares Audit-Log

Sandbox-Isolation

• Jeder Run läuft in einer eigenen isolierten Sandbox
• Die Sandbox wird nach dem Run zusammen mit dem ausgecheckten Code entfernt
• Akzeptanzprüfungen laufen auf einem sauberen Checkout

Umgang mit Geheimnissen

• API-Schlüssel, Tokens und Schlüssel von Modellanbietern werden verschlüsselt gespeichert
• Geheimnisse werden nur dem Run bereitgestellt, der sie benötigt
• Geheimnisse werden nicht in Logs oder Nachweis-Artefakte geschrieben

Weitergabekontrolle

• TLS-Verschlüsselung für alle Datenübertragungen
• Verschlüsselte Datenbankverbindungen
• Keine unverschlüsselte Datenübertragung

Speicherverschlüsselung

• Verschlüsselung gespeicherter Daten

Eingabekontrolle

• Protokollierung von Datenänderungen
• Audit-Log von Aktionen, Entscheidungen und Freigaben

Verfügbarkeitskontrolle

• Regelmäßige automatische Datensicherungen
• Überwachung und Alarmierung
• Notfallwiederherstellungsverfahren

Trennungskontrolle

• Logische Trennung der Kundendaten über Workspace-IDs und zeilenbasierte Zugriffsregeln
• Strikte Isolation zwischen Kunden

Anlage 2: Liste der Unterauftragsverarbeiter

Plattform

Modellanbieter je Executor

Daten erhält nur der Anbieter des vom Verantwortlichen gewählten Modells, und nur wenn der Verantwortliche den Modellzugang über den Auftragsverarbeiter nutzt. Bei BYOK wird der Anbieter vom Verantwortlichen direkt beauftragt und ist kein Unterauftragsverarbeiter.

Änderungen dieser Liste werden dem Verantwortlichen mindestens 14 Tage vor ihrem Wirksamwerden mitgeteilt.

Kontakt

Bei Fragen zu diesem AVV oder um eine unterzeichnete Version anzufordern:

E-Mail: support@kanman.ai