Vereinbarung zur Auftragsverarbeitung

Anlage 1 zu den Nutzungsbedingungen der Impact Matrix · Stand: 19. Oktober 2026

Diese Vereinbarung gilt zwischen dem Kunden, der den bezahlten Plan der Impact Matrix bestellt, als Verantwortlichem und der UNEQ Consulting GmbH, Roßstraße 96, 40476 Düsseldorf, Amtsgericht Düsseldorf HRB 87650 („UNEQ“), als Auftragsverarbeiter nach Art. 28 DSGVO. Sie ist Anlage 1 der Nutzungsbedingungen und wird mit der Bestellung vereinbart. Begriffe wie „Kunde“, „Tool“ und „Plan“ haben dieselbe Bedeutung wie dort.

§ 1 Gegenstand und Dauer

1. UNEQ stellt dem Kunden das Tool nach den Nutzungsbedingungen bereit. Dabei verarbeitet UNEQ personenbezogene Daten im Auftrag des Kunden. Welche Daten das sind, steht in § 2.
2. Die Vereinbarung gilt, solange der Plan läuft. Danach gilt sie weiter, bis UNEQ die Daten des Kunden nach § 11 gelöscht hat.
3. Nicht unter diese Vereinbarung fallen die Daten, die UNEQ als eigener Verantwortlicher verarbeitet: Konten und Anmeldung, Freischaltung, Abrechnung, Sicherheit und Server-Protokolle. Dazu informieren die Datenschutzhinweise.

§ 2 Zweck, Art der Verarbeitung, Daten und betroffene Personen

1. Zweck der Verarbeitung ist die Bereitstellung des Tools: Der Kunde sammelt Ideen in Matrizen, bewertet sie nach Impact und Aufwand, verfolgt sie in Kanbans weiter und kommentiert sie.
2. Art der Verarbeitung: UNEQ speichert die Daten, zeigt sie den berechtigten Nutzern an, bildet aus den Stimmen Mittelwerte, sichert die Daten und löscht sie.
3. Arten von Daten:
   • Matrizen mit ihren Ideen (Titel, Beschreibung, Farbe) und den Stimmen zu Impact und Aufwand
   • Kanbans mit ihren Phasen und Karten
   • Kommentare mit @-Erwähnungen und die Benachrichtigungen dazu
   • Mitgliedschaften und Rollen in Matrizen und Kanbans
   • der Fortschritt in der Einführung im Tool
   • zu jedem Inhalt, wer ihn angelegt hat und wann, und zu jeder Stimme, wer sie abgegeben hat
   • personenbezogene Daten, die Nutzer in Inhalte schreiben, etwa Namen in der Beschreibung einer Idee
4. Betroffene Personen:
   • Beschäftigte und Beauftragte des Kunden, die das Tool nutzen
   • weitere Personen, die der Kunde zu seinen Matrizen und Kanbans hinzufügt, etwa Beschäftigte von UNEQ bei einer Moderation
   • Personen, die in Inhalten genannt werden
5. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, gehören nicht ins Tool. Der Kunde legt sie dort nicht ab.

§ 3 Weisungen

1. UNEQ verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Das gilt auch für eine Übermittlung in ein Land außerhalb der EU oder des EWR. Verpflichtet das Recht der EU oder Deutschlands UNEQ zu einer anderen Verarbeitung, teilt UNEQ das dem Kunden vorher mit, soweit das Recht diese Mitteilung nicht verbietet.
2. Weisungen sind diese Vereinbarung, die Nutzungsbedingungen und das, was der Kunde und seine Nutzer im Tool tun, etwa Inhalte anlegen und löschen oder Personen einladen, deaktivieren und löschen. Weitere Weisungen erteilt der Kunde in Textform, etwa per E-Mail an info@uneq.de.
3. Hält UNEQ eine Weisung für einen Verstoß gegen Datenschutzrecht, sagt UNEQ das dem Kunden unverzüglich. Bis der Kunde die Weisung bestätigt oder ändert, darf UNEQ sie aussetzen.

§ 4 Pflichten des Kunden

1. Der Kunde ist dafür verantwortlich, dass er die Daten im Tool verarbeiten darf, auch gegenüber seinen Beschäftigten. Er informiert seine Nutzer über die Verarbeitung, zum Beispiel darüber, dass nach dem Ende einer Abstimmung alle Mitglieder der Matrix die einzelnen Stimmen mit Namen sehen.
2. Stellt der Kunde Fehler oder Unregelmäßigkeiten beim Schutz der Daten fest, informiert er UNEQ unverzüglich.

§ 5 Vertraulichkeit und Zugriff bei UNEQ

1. UNEQ setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Beschäftigte von UNEQ sehen Inhalte des Kunden im Tool, wenn der Kunde sie zu einer Matrix oder einem Kanban hinzufügt oder ihnen den Code zum Beitreten gibt, etwa für eine Moderation. Außerdem können Admins von UNEQ das Tool für Support und Betrieb so ansehen, wie eine Person des Kunden es sieht, mit den Inhalten, die diese Person sieht. In dieser Ansicht ändern sie nichts, und die Person erscheint für andere nicht als anwesend.
3. Auf die Datenbank selbst greifen nur die Personen zu, die den Server betreuen, und nur, soweit es für Betrieb, Sicherung, Wiederherstellung und Fehlerbehebung nötig ist oder der Kunde es anweist.

§ 6 Technische und organisatorische Maßnahmen

UNEQ schützt die Daten nach Art. 32 DSGVO mindestens mit diesen Maßnahmen:

• Verschlüsselung: Verbindungen zum Tool laufen über HTTPS. E-Mails verschickt das Tool nur über verschlüsselte Verbindungen. Sicherungskopien außerhalb des Servers sind verschlüsselt. Der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
• Anmeldung: Anmeldelinks gelten 15 Minuten und höchstens zweimal, Einladungen 7 Tage und nur einmal. Sitzungen, Anmeldelinks und Einladungen speichert das Tool nur als Hashwert. Das Sitzungs-Cookie können Skripte im Browser nicht lesen. Wie oft jemand Anmeldelinks anfordern oder einen Code zum Beitreten ausprobieren kann, ist begrenzt.
• Trennung der Unternehmen und Rollen: Jede Person, jede Matrix und jedes Kanban gehört zu genau einem Unternehmen. Nutzer des Kunden sehen nur Daten ihres eigenen Unternehmens, das prüft der Server. Im Unternehmen gibt es Admins und Mitglieder, in Matrizen und Kanbans eigene Rollen. Deaktiviert oder löscht ein Admin eine Person, endet deren Anmeldung sofort auf allen Geräten.
• Sicherung und Wiederherstellung: Jede Nacht sichert UNEQ die Datenbank und prüft die Sicherung auf Fehler. Sie bleibt 14 Tage auf dem Server und 90 Tage verschlüsselt bei Hetzner in Deutschland. Vor jeder Aktualisierung mit Neustart sichert UNEQ die Datenbank zusätzlich. Antwortet das Tool danach nicht, stellt sich der vorige Stand von selbst wieder her. Die Wiederherstellung aus einer Sicherung ist erprobt.
• Zugang zum Server: Zugang zum Server haben nur benannte Personen von UNEQ. Automatische Zugänge, etwa für Aktualisierungen, können nur einen fest eingestellten Befehl ausführen.
• Änderungen am Tool: Änderungen laufen über ein Git-Repository mit automatischen Tests und kommen nur über einen festgelegten Ablauf auf den Server.
• Test und Entwicklung: Kopien der Datenbank für Test und Entwicklung enthalten keine Daten des Kunden.
• Keine fremden Dienste: Das Tool lädt keine Inhalte von fremden Servern und setzt keine Analyse- oder Werbedienste ein.

UNEQ passt die Maßnahmen an, wenn sich die Technik weiterentwickelt. Das Schutzniveau sinkt dabei nicht.

§ 7 Unterauftragsverarbeiter

1. Der Kunde ist einverstanden, dass UNEQ diese Unterauftragsverarbeiter einsetzt:

2. Google (E-Mail-Versand und „Mit Google anmelden“) und Stripe (Bezahlung) erhalten keine Inhalte aus Matrizen und Kanbans. Sie verarbeiten nur Daten, für die UNEQ selbst verantwortlich ist, und stehen deshalb nicht in der Liste.
3. UNEQ verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die dieser Vereinbarung entsprechen, insbesondere auf geeignete technische und organisatorische Maßnahmen. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet UNEQ dem Kunden dafür wie für eigenes Handeln.
4. Will UNEQ einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, informiert UNEQ die Admins des Kunden mindestens 14 Tage vorher in Textform. Der Kunde kann in dieser Zeit aus wichtigem datenschutzrechtlichem Grund widersprechen. Hält UNEQ trotz des Widerspruchs am Wechsel fest, kann der Kunde den Plan zum Tag des Wechsels kündigen.

§ 8 Ort der Verarbeitung

Die Daten des Kunden liegen auf Servern in Deutschland. In ein Land außerhalb der EU oder des EWR übermittelt UNEQ sie nur auf dokumentierte Weisung des Kunden und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

§ 9 Unterstützung des Kunden

1. UNEQ unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten, etwa auf Auskunft, Berichtigung oder Löschung. Vieles erledigt der Kunde selbst im Tool: Nutzer löschen eigene Ideen, Karten und Kommentare. Admins deaktivieren und löschen Personen. Was der Kunde im Tool nicht selbst erledigen kann, erledigt UNEQ auf seine Weisung, etwa eine Auskunft über alle Inhalte einer Person oder einen Export der Daten des Unternehmens.
2. Löscht ein Admin eine Person, löscht das Tool ihr Konto mit Name, E-Mail-Adresse und Anmeldungen, ihre persönliche Matrix und ihr persönliches Kanban. Ihre Ideen, Stimmen, Karten und Kommentare in Team-Matrizen und Team-Kanbans bleiben, dort steht dann „Ehemalige Person“ statt des Namens. Namen, die jemand in einen Text geschrieben hat, ändert das Tool nicht.
3. Wendet sich eine betroffene Person mit einem Anliegen zu den Inhalten direkt an UNEQ, leitet UNEQ es unverzüglich an den Kunden weiter. In der Sache antwortet UNEQ nur auf Weisung des Kunden.
4. UNEQ unterstützt den Kunden außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO: bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach einer Datenschutzverletzung, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. UNEQ stellt dafür die Informationen bereit, die UNEQ vorliegen.
5. Prüft eine Aufsichtsbehörde bei UNEQ Vorgänge, die Daten des Kunden betreffen, informiert UNEQ den Kunden unverzüglich, soweit das erlaubt ist.

§ 10 Meldung von Datenschutzverletzungen

1. Bemerkt UNEQ eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, meldet UNEQ sie dem Kunden ohne schuldhaftes Zögern. Die Meldung geht in Textform an die Admins des Kunden, etwa per E-Mail.
2. Die Meldung enthält, soweit bekannt: was passiert ist, welche Arten von Daten und ungefähr wie viele Personen betroffen sind, welche Folgen wahrscheinlich sind und was UNEQ dagegen unternimmt. Was UNEQ erst später erfährt, reicht UNEQ nach.
3. UNEQ ergreift sofort die nötigen Maßnahmen, um die Daten zu schützen und mögliche Folgen zu mindern. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen sind Sache des Kunden. UNEQ unterstützt ihn dabei.

§ 11 Löschung und Rückgabe nach dem Ende

1. Nach dem Ende des Plans ist der Zugang gesperrt. Die Daten bleiben 12 Monate erhalten (§ 8 Abs. 3 der Nutzungsbedingungen). Diese Aufbewahrung geschieht auf Weisung des Kunden, damit er mit einem neuen Plan an seinen bisherigen Matrizen weiterarbeiten kann. In dieser Zeit stellt UNEQ sie ihm auf Anfrage als Export bereit.
2. Der Kunde kann in Textform verlangen, dass UNEQ die Daten schon vor Ablauf der 12 Monate löscht.
3. Nach Ablauf der 12 Monate löscht UNEQ die Daten des Kunden. In den Sicherungskopien bleiben sie, bis diese planmäßig gelöscht werden, spätestens 90 Tage lang. Spielt UNEQ in dieser Zeit eine Sicherung ein, löscht UNEQ die Daten des Kunden darin erneut.
4. Auf Anfrage bestätigt UNEQ dem Kunden die Löschung in Textform.

§ 12 Nachweise und Kontrollen

1. UNEQ stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieser Vereinbarung und des Art. 28 DSGVO nachzuweisen.
2. Der Kunde kann die Einhaltung selbst kontrollieren oder durch einen Prüfer kontrollieren lassen, der zur Verschwiegenheit verpflichtet ist. UNEQ wirkt daran mit. Kontrollen vor Ort stimmt der Kunde mit angemessenem Vorlauf mit UNEQ ab. Sie finden zu den üblichen Geschäftszeiten statt und stören den Betrieb nicht mehr als nötig.

§ 13 Haftung

Für die Haftung zwischen dem Kunden und UNEQ gilt § 10 der Nutzungsbedingungen. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt davon unberührt.

§ 14 Schlussbestimmungen

1. Widersprechen sich diese Vereinbarung und die Nutzungsbedingungen oder die Datenschutzhinweise in Fragen des Datenschutzes, geht diese Vereinbarung vor.
2. Für einen laufenden Plan gilt die Fassung dieser Vereinbarung, die bei der Bestellung galt. Neue Unterauftragsverarbeiter kommen nach § 7 Abs. 4 hinzu.
3. Fragen zu dieser Vereinbarung beantwortet UNEQ unter info@uneq.de.
4. Im Übrigen gelten die Schlussbestimmungen der Nutzungsbedingungen (§ 12), etwa zum anwendbaren Recht und zum Gerichtsstand.

Stand: 1. Oktober 2026