Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) gilt, wenn ein Unternehmen Routira nutzt, um personenbezogene Daten in seinem Auftrag verarbeiten zu lassen, insbesondere die E-Mails seines Teams in einem Team-Workspace. Er ergänzt unsere Allgemeinen Geschäftsbedingungen.

1. Vertragsparteien und Abschluss#

1.1 Vertragsparteien sind das Unternehmen, die Organisation oder die öffentliche Stelle, die Routira nutzt („Kunde“), als Verantwortlicher, und Michael Ketzer, Rotkehlchenweg 51, 40789 Monheim am Rhein, Deutschland („Routira“), als Auftragsverarbeiter.

1.2 Dieser AVV ist Teil des Vertrags nach den AGB. Er kommt zustande, wenn der Kunde die AGB für eine Nutzung für ein Unternehmen oder eine Organisation annimmt (Abschnitte 3.2 und 4 der AGB), spätestens wenn er einen Team-Workspace nutzt. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Auf Anfrage schickt Routira dem Kunden eine Ausfertigung in Textform.

1.3 Nicht erfasst sind Daten, für die Routira selbst verantwortlich ist, insbesondere die Benutzerkonten der Menschen, die für den Kunden arbeiten, Anmelde- und Sicherheitsdaten sowie die Kommunikation zwischen Routira und dem Kunden. Für diese Daten gilt die Datenschutzerklärung.

2. Gegenstand und Dauer#

2.1 Gegenstand ist die Bereitstellung von Routira: das Synchronisieren, Speichern, Anzeigen, Durchsuchen, Sortieren, Teilen und Versenden von E-Mails aus den Postfächern, die der Kunde verbindet oder die Routira für den Kunden empfängt, die KI-Funktionen sowie die damit verbundenen Funktionen für Zusammenarbeit, Benachrichtigungen und die Apps.

2.2 Die Verarbeitung dauert so lange wie der Vertrag nach den AGB und danach, bis die Daten nach Abschnitt 13 gelöscht sind.

3. Art und Zweck der Verarbeitung#

3.1 Art der Verarbeitung: Erheben von E-Mails über die Verbindung zum E-Mail-Anbieter des Kunden (IMAP und SMTP) und über die Empfangsadressen von Routira; Speichern; Ordnen und Strukturieren; Anpassen (zum Beispiel Aufbereiten von Nachrichten für die Anzeige); Auslesen; Auswerten mit KI-Modellen (Klassifizieren, Priorisieren, Zusammenfassen, Erkennen von Vereinbarungen und Fristen, Beantworten von Fragen, Aufbau eines Suchindex); Verwenden; Offenlegen gegenüber berechtigten Nutzenden des Kunden; Übermitteln (Versand von E-Mails auf Anweisung von Nutzenden, Benachrichtigungen); Einschränken; Löschen.

3.2 Zweck: die Bereitstellung von Routira für den Kunden nach den AGB.

4. Art der personenbezogenen Daten#

• Kontakt- und Identifikationsdaten in E-Mails, etwa Namen, E-Mail-Adressen, Telefonnummern und Signaturen;
• Inhalte und Metadaten von E-Mails, etwa Betreff, Nachrichtentext, Anhänge, Datum, Kopfzeilen, Ordner und Markierungen;
• Inhalte, die die Nutzenden des Kunden in Routira erstellen, etwa Notizen, Erwähnungen, Zuweisungen, Projekte, Labels und Entwürfe;
• aus E-Mails abgeleitete Daten, etwa Kategorien, Prioritäten mit ihren Begründungen, Fristen, Zusammenfassungen, erkannte Vereinbarungen mit ihren Zitaten und der Suchindex einschließlich Embeddings;
• Zugangsdaten zu Postfächern (Serveradressen, Benutzernamen, Passwörter), verschlüsselt gespeichert;
• Daten zur Nutzung des Workspaces durch die Nutzenden des Kunden, etwa Zugriffsrechte, Aktivitäten und Einträge im Audit-Log;
• alle sonstigen Daten, die E-Mails enthalten. Dazu können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) gehören, wenn Absendende sie in ihre Nachrichten aufnehmen.

5. Kategorien betroffener Personen#

• Beschäftigte des Kunden und andere Personen, die Routira für den Kunden nutzen;
• Personen, die mit dem Kunden E-Mails austauschen, etwa Kundschaft, Interessierte, Lieferfirmen, Partnerunternehmen und Menschen, die sich beim Kunden bewerben;
• Personen, die in E-Mails oder Anhängen erwähnt werden.

6. Weisungen des Kunden#

6.1 Routira verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittländer, sofern Routira nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt Routira dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

6.2 Der Kunde erteilt seine Weisungen durch die AGB, diesen AVV sowie durch seine Nutzung und Konfiguration von Routira, zum Beispiel durch das Verbinden oder Trennen von Postfächern, die Vergabe von Rechten, das Ein- oder Ausschalten der KI-Funktionen und das Löschen von Inhalten. Weitere Weisungen kann der Kunde in Textform an privacy@routira.com erteilen.

6.3 Ist Routira der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert Routira den Kunden unverzüglich. Routira darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

6.4 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass eine Rechtsgrundlage besteht, dass die betroffenen Personen (zum Beispiel die eigenen Beschäftigten) informiert werden und dass, wo nötig, Beschäftigtenvertretungen beteiligt werden.

7. Vertraulichkeit#

7.1 Routira gewährleistet, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit hat nur Michael Ketzer Zugriff auf die Produktivsysteme von Routira.

7.2 Routira greift auf den Inhalt der E-Mails des Kunden nur zu, soweit es nötig ist, um den Dienst bereitzustellen, auf Bitte des Kunden oder einer seiner Nutzenden in einem Supportfall, um ein Sicherheitsproblem zu beheben oder um eine gesetzliche Pflicht zu erfüllen.

8. Sicherheit der Verarbeitung#

8.1 Routira trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO).

8.2 Routira darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Die aktuelle Beschreibung steht auf der Seite zur Sicherheit.

9. Unterauftragsverarbeiter#

9.1 Der Kunde erteilt Routira die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und auf der Seite zu den Unterauftragsverarbeitern; sie gelten als genehmigt.

9.2 Routira informiert den Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter eingesetzt oder einer ersetzt wird, per E-Mail an die Person, der der Workspace des Kunden gehört, und auf der Seite zu den Unterauftragsverarbeitern. Der Kunde kann innerhalb von 30 Tagen nach der Mitteilung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Vertrag kündigen, bevor die Änderung wirksam wird.

9.3 Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, um Sicherheit oder Verfügbarkeit zu erhalten, oder nimmt ein Unterauftragsverarbeiter mit kürzerer Frist Änderungen vor, informiert Routira den Kunden unverzüglich. Für das Widerspruchsrecht gilt Abschnitt 9.2 entsprechend.

9.4 Routira erlegt jedem Unterauftragsverarbeiter aus Anlage 2 vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Kunden für seine Unterauftragsverarbeiter.

9.5 Keine Unterauftragsverarbeiter sind die E-Mail-Anbieter des Kunden, auf die Routira auf Weisung des Kunden zugreift, Anbieter, die Daten nur übertragen (Telekommunikation), und Apple, das Benachrichtigungen an Apple-Geräte (APNs) und die Testversionen der Apps (TestFlight) nach seinen eigenen Bedingungen als eigenständig Verantwortlicher bereitstellt.

10. Übermittlung in Drittländer#

10.1 Routira speichert die Daten des Kunden in der EU. Letterpier versendet und empfängt E-Mails über Infrastruktur in Deutschland und eine Neon-Datenbank in Frankfurt. OpenAI kann KI-Anfragen bis zu 30 Tage zur Missbrauchserkennung in den USA aufbewahren. Einige Unterauftragsverarbeiter haben ihren Sitz in den USA oder verarbeiten Daten dort (Anlage 2), insbesondere OpenAI für die KI-Funktionen.

10.2 Übermittlungen erfolgen nur nach Art. 44 ff. DSGVO: auf Grundlage der Standardvertragsklauseln der EU in den Auftragsverarbeitungsverträgen der Unterauftragsverarbeiter und, wenn der Unterauftragsverarbeiter zertifiziert ist, zusätzlich auf Grundlage des EU-U.S. Data Privacy Framework. Apple ist kein Unterauftragsverarbeiter (Abschnitt 9.5) und stützt Übermittlungen aus der EU nach seiner Datenschutzrichtlinie auf die Standardvertragsklauseln der EU; Benachrichtigungen an Apple-Geräte enthalten standardmäßig weder Absender noch Betreff, und der Kunde kann seine Nutzenden bitten, Vorschauen ausgeschaltet zu lassen. Der Kunde weist Routira an, diese Übermittlungen vorzunehmen.

11. Anfragen betroffener Personen#

11.1 Routira unterstützt den Kunden angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte zu beantworten (Art. 12 bis 23 DSGVO). Viele Anfragen lassen sich direkt in Routira erledigen, etwa durch Suchen, Löschen oder Trennen.

11.2 Wendet sich eine betroffene Person wegen Daten, die für den Kunden verarbeitet werden, direkt an Routira, leitet Routira die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist Routira dazu an.

12. Weitere Unterstützung und Datenschutzverletzungen#

12.1 Routira unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

12.2 Routira meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Routira sie bemerkt hat, per E-Mail an die Person, der der Workspace des Kunden gehört. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; weitere Angaben folgen, sobald sie bekannt sind.

13. Löschung und Rückgabe#

13.1 Während der Vertragslaufzeit kann der Kunde Daten in Routira jederzeit selbst löschen, zum Beispiel indem er Postfächer trennt oder löscht oder Konversationen und Notizen löscht.

13.2 Nach Vertragsende löscht Routira alle für den Kunden verarbeiteten personenbezogenen Daten, soweit nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Verlangt der Kunde es vor Vertragsende, gibt Routira die Daten in einem gängigen Format zurück (Art. 28 Abs. 3 lit. g DSGVO). Die E-Mails selbst bleiben beim E-Mail-Anbieter des Kunden.

13.3 Routira löscht die Daten innerhalb von 30 Tagen nach Vertragsende aus den laufenden Systemen; aus den Backups verschwinden sie innerhalb weiterer 30 Tage. Auf Anfrage bestätigt Routira die Löschung in Textform.

14. Informationen und Kontrollen#

14.1 Routira stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die der Kunde oder eine von ihm beauftragte prüfende Stelle durchführt, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).

14.2 Der Kunde kündigt Kontrollen mindestens 30 Tage im Voraus an. Sie finden während der üblichen Geschäftszeiten statt, höchstens einmal im Jahr, sofern kein besonderer Anlass besteht (zum Beispiel eine Datenschutzverletzung), ohne den Betrieb zu stören, ohne Zugriff auf Daten anderer Kunden und unter Verpflichtung zur Vertraulichkeit. Die prüfende Stelle darf nicht im Wettbewerb mit Routira stehen. Soweit das genügt, kann Routira stattdessen aktuelle Unterlagen vorlegen, etwa die Beschreibung der Maßnahmen. Jede Partei trägt ihre eigenen Kosten.

14.3 Die Rechte der Aufsichtsbehörden bleiben unberührt.

15. Haftung#

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB, soweit zwingendes Recht nichts anderes bestimmt.

16. Laufzeit und Schlussbestimmungen#

16.1 Dieser AVV gilt, solange Routira personenbezogene Daten für den Kunden verarbeitet.

16.2 Bei Widersprüchen geht dieser AVV in Fragen des Datenschutzes den AGB vor.

16.3 Änderungen und Ergänzungen bedürfen der Textform. Für Änderungen dieses AVV gilt das Verfahren für Änderungen der AGB.

16.4 Es gilt das Recht der Bundesrepublik Deutschland. Maßgeblich ist die deutsche Fassung dieses AVV; die englische Fassung ist eine Übersetzung.

Anlage 1: Technische und organisatorische Maßnahmen#

Verschlüsselung

• Alle Verbindungen zu Routira und zwischen Routira und seinen Dienstleistern sind per TLS verschlüsselt; die Web-App sendet HSTS.
• Die Datenbank und der Objektspeicher werden von den Anbietern im Ruhezustand verschlüsselt.
• Routira verschlüsselt selbst Original-E-Mails und Anhänge, bevor sie gespeichert werden (AES-256-GCM, ein Schlüssel pro Workspace), ebenso die Zugangsdaten zu Postfächern (ein Schlüssel pro Postfach). Diese Schlüssel sind ihrerseits mit einem Hauptschlüssel verschlüsselt, der als geschütztes Geheimnis in der Hosting-Umgebung liegt. Wird ein Postfach getrennt, wird der Schlüssel seiner Zugangsdaten vernichtet.

Vertraulichkeit: Zugriffskontrolle

• Nutzende melden sich mit Einmalcodes an, die per E-Mail kommen (sechs Ziffern, 10 Minuten gültig, fünf Versuche, nur als Hash gespeichert). Eine Sitzung endet nach 30 Tagen ohne Nutzung oder bei Abmeldung.
• Jede Anfrage wird gegen den Workspace und die Rechte der Nutzenden geprüft. Geteilte Postfächer kennen die Rechte Lesen, Mitglied und Verwaltung.
• Administrativen Zugriff auf die Produktivsysteme hat nur Michael Ketzer, geschützt durch starke Authentifizierung. Die Server stehen in den Rechenzentren der in Anlage 2 genannten Anbieter, die die Zutrittskontrolle gewährleisten.

Integrität

• Sicherheitsrelevante Ereignisse und Aktionen in einem Workspace werden protokolliert.
• Änderungen an Routira werden vor dem Ausrollen automatisiert getestet.

Verfügbarkeit und Belastbarkeit

• Routira läuft auf verwalteten Plattformen mit Redundanz. Der Datenbankanbieter führt eine Wiederherstellungshistorie; Backups laufen innerhalb von 30 Tagen aus.
• Die E-Mails bleiben beim E-Mail-Anbieter des Kunden, sodass Routira sie bei Bedarf erneut synchronisieren kann.

Datenminimierung und Trennung

• Echtzeit-Signale enthalten nur technische IDs. Benachrichtigungen an Apple-Geräte enthalten weder Absender noch Betreff, es sei denn, Nutzende schalten Vorschauen ein.
• KI-Anfragen enthalten nur den für die Aufgabe nötigen Text; die Speicherung beim KI-Anbieter ist abgeschaltet, und die Daten werden nicht zum Training genutzt.
• Dateien und Zugangsdaten verschiedener Workspaces werden mit getrennten Schlüsseln verschlüsselt; Datenbankinhalte sind logisch getrennt.

Löschung

• Wird ein Postfach getrennt, werden seine Zugangsdaten sofort und seine synchronisierten Kopien innerhalb von 24 Stunden gelöscht; gelöschte Daten laufen innerhalb von 30 Tagen aus den Backups aus.

Überprüfung

• Routira überprüft seine Maßnahmen regelmäßig und passt sie an den technischen Fortschritt an. Ein unabhängiger Penetrationstest ist vor dem öffentlichen Start geplant.

Anlage 2: Unterauftragsverarbeiter#

Stand: 26. September 2026. Einzelheiten (Daten, Orte, Garantien für Übermittlungen) stehen auf der Seite zu den Unterauftragsverarbeitern.