Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

Zwischen [Organisation], [Anschrift] (Verantwortliche, nachfolgend „Organisation“)
und MyFeedback, , vertreten durch (Auftragsverarbeiter, nachfolgend „MyFeedback“).

1. Gegenstand und Dauer

MyFeedback stellt der Organisation eine Plattform für anonymes Feedback von Mitarbeitenden bereit und verarbeitet dabei personenbezogene Daten im Auftrag der Organisation. Der Vertrag gilt, solange die Organisation die Plattform nutzt.

2. Art und Zweck der Verarbeitung

• Entgegennahme, verschlüsselte Speicherung und Zustellung von Feedback an die von der Organisation festgelegten Empfänger:innen
• Anonymer Austausch zwischen Feedback-Gebenden und Empfänger:innen über eine Vorgangsnummer
• Verwaltung der Konten von Admins und Empfänger:innen der Organisation
• Auf Wunsch der Organisation: Durchführung und Auswertung von Befragungen durch die Fachstelle von MyFeedback
• Auf Wunsch der Feedback-gebenden Person: Bearbeitung von Feedback durch die Fachstelle als neutrale Stelle

3. Art der Daten und Kreis der Betroffenen

• Konten: Name, dienstliche E-Mail-Adresse, Rolle der Admins und Empfänger:innen
• Feedback-Inhalte: Freitexte, die Angaben über Dritte enthalten können (z. B. Kolleg:innen, Führungskräfte)
• Befragungen: Antworten ohne Personenbezug; Freitexte können Angaben über Dritte enthalten

Betroffen sind Beschäftigte der Organisation sowie Personen, die in Feedback-Inhalten erwähnt werden. Über Feedback-gebende Personen werden keine Identifikationsdaten erhoben: keine Namen, keine IP-Adressen, keine Geräte-Informationen, keine Cookies, keine Uhrzeiten.

4. Technische und organisatorische Maßnahmen

• Feedback-Inhalte werden beim Eingang verschlüsselt. Lesen können nur die freigeschalteten Empfänger:innen der gewählten Ebene. Für die Freischaltung weiterer Personen gilt das Vier-Augen-Prinzip.
• Mitarbeitende von MyFeedback haben im Regelbetrieb keinen Zugriff auf Feedback-Inhalte.
• Zwei-Faktor-Anmeldung für das Team von MyFeedback; für Admins der Organisation nach Einstellung.
• Verschlüsselte Übertragung (TLS), Hosting in einem Rechenzentrum in Deutschland, tägliche verschlüsselte Datensicherung.
• Automatische Löschung nach der von der Organisation gewählten Speicherdauer.
• Unveränderliches Protokoll aller Verwaltungs- und Notfallzugriffe.

5. Notfallzugriff

MyFeedback verwahrt einen Notfallschlüssel offline (auf Papier, gegebenenfalls geteilt zwischen Inhaber und einer Kanzlei). Mit ihm können Feedback-Inhalte nur in Ausnahmefällen gelesen werden, insbesondere bei Erpressungsversuchen, Straftaten, behördlichen oder gerichtlichen Anordnungen oder wenn die Organisation darum bittet, weil sie den Zugriff verloren hat. Jeder Notfallzugriff wird mit Anlass protokolliert. MyFeedback informiert die Organisation unverzüglich, soweit dies rechtlich zulässig ist. Der Notfallschlüssel macht Inhalte lesbar, aber nicht die Identität der Feedback-gebenden Person, da diese nicht gespeichert wird.

6. Unterauftragsverarbeiter

Die Organisation stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• [Hosting-Anbieter, Sitz, Rechenzentrum in Deutschland]
• [E-Mail-Versanddienst, Sitz] – nur für Benachrichtigungen ohne Feedback-Inhalte

MyFeedback informiert die Organisation vorab über Änderungen; die Organisation kann widersprechen.

7. Pflichten von MyFeedback

MyFeedback verarbeitet Daten nur auf dokumentierte Weisung der Organisation, verpflichtet alle Beschäftigten zur Vertraulichkeit, unterstützt die Organisation bei Anfragen Betroffener und bei Datenschutzverletzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich.

8. Rechte der Organisation

Die Organisation kann sich von der Einhaltung dieses Vertrags überzeugen, insbesondere durch Auskünfte und geeignete Nachweise.

9. Löschung und Rückgabe

Nach Ende der Nutzung löscht MyFeedback alle Daten der Organisation, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (z. B. für Rechnungen). Vorab kann die Organisation ihre Vorgänge als PDF exportieren.

10. Datenschutzkontakt

kontakt@my-feedback.org

Angenommen im Namen der Organisation durch [Name] am [Datum] (elektronisch).

Version 1.0, gültig seit 13.11.2026