Vertrag zur Auftragsverarbeitung

Für Tippfaul Business · Stand: 14. Oktober 2026

Nutzt ihr Tippfaul Business, verarbeiten wir personenbezogene Daten in eurem Auftrag. Dieser Vertrag regelt das nach Art. 28 DSGVO. Er gilt mit dem Abschluss eines Business-Abos als vereinbart, auch während der Testphase, und läuft so lange wie das Abo. Zum Ablegen könnt ihr diese Seite als PDF speichern oder drucken.

1. Die Parteien

Verantwortlicher ist die Firma oder Person, die das Business-Abo abschließt („ihr“). Auftragsverarbeiter ist Adrian Schmidt, „Tippfaul“, Adalbert-Stifter-Straße 4, 82494 Krün („wir“), erreichbar unter hallo@tippfaul.app.

2. Gegenstand, Art und Zweck

Wir stellen euch Tippfaul bereit: Diktat am Computer, Aufnahme und Protokoll von Meetings, Konten und Team-Verwaltung, auf Wunsch ein Ende-zu-Ende verschlüsseltes Team-Archiv. Dafür machen wir aus Aufnahmen Text, zählen die genutzten Minuten, verwalten euer Team und rechnen ab. Andere Zwecke verfolgen wir mit euren Daten nicht.

3. Welche Daten, wessen Daten

Nur während der Verarbeitung, nie gespeichert: Aufnahmen von Diktaten und Meetings, der daraus erzeugte Text, markierter Text für einen Schreibauftrag, die eigene Wortliste und die Art des Textfelds.
Gespeichert, solange das Konto besteht: E-Mail-Adressen, Plan, Geräte-Kennungen und genutzte Sekunden pro Monat; im Team der Name des Teams, die Zahl der Plätze und zu jedem Mitglied E-Mail-Adresse, Rolle und ob die Einladung angenommen ist; Team-Wörter und Textbausteine, die eure Verwaltung einträgt; bei Meetings nur, welcher Abschnitt abgerechnet ist; Kunden- und Abo-Nummer bei Stripe.
Gespeichert, wenn ihr Protokolle an die Teilnehmer schickt: das Protokoll eines Meetings (ohne Transkript), auf dem Computer verschlüsselt, 30 Tage lang. Den Schlüssel speichern wir nicht; er steht nur im Link der Mail. Zu jeder Empfängeradresse speichern wir eine Prüfsumme, die Adressen selbst nicht.
Gespeichert, wenn ihr das Team-Archiv einschaltet: Meetings und, wer es will, Diktate (Transkript, Protokoll, Namen der Sprecher), Ende-zu-Ende verschlüsselt auf euren Geräten. Den Schlüssel haben nur eure Geräte und euer Wiederherstellungsschlüssel, wir nicht. Lesbar für uns sind nur Konto, Team, Art, Größe, Zeitpunkt und ob ein Eintrag fürs Team freigegeben ist.
Kurz gespeichert: Anmeldecodes höchstens 15 Minuten, Anmeldungen im Browser als Prüfsumme bis zu ihrem Ablauf.

Betroffen sind eure Beschäftigten und alle, die ihr ins Team einladet, außerdem Menschen, deren Stimme in einem Diktat oder Meeting zu hören ist oder über die ihr diktiert, etwa Patientinnen und Mandanten, und die Teilnehmer, denen ihr ein Protokoll schickt.

In Diktaten und Meetings können auch besondere Kategorien personenbezogener Daten vorkommen (Art. 9 DSGVO), etwa Gesundheitsdaten in einer Praxis. Für sie gilt dasselbe wie für alle Inhalte oben: Wir verarbeiten sie nur, um daraus Text zu machen, und speichern sie nicht.

4. Weisungen

Wir verarbeiten die Daten nur nach euren Weisungen. Sie stehen in diesem Vertrag und in dem, was ihr in Tippfauleinstellt und auslöst. Weitere Weisungen gebt ihr per E-Mail. Halten wir eine Weisung für rechtswidrig, sagen wir euch das sofort. Müssen wir Daten aufgrund eines Gesetzes anders verarbeiten, sagen wir es euch vorher, soweit das Gesetz es erlaubt.

5. Vertraulichkeit und Berufsgeheimnis

Zugriff auf die Systeme haben nur Personen, die zur Vertraulichkeit verpflichtet sind. Auf Inhalte kann niemand zugreifen, weil wir Aufnahmen nicht speichern und Texte nur im Team-Archiv, Ende-zu-Ende verschlüsselt, ohne dass wir den Schlüssel haben. Protokolle an die Teilnehmer liegen bei uns nur verschlüsselt; den Schlüssel speichern wir nicht.

Seid ihr an ein Berufsgeheimnis gebunden, etwa nach § 203 StGB als Ärztin, Psychotherapeut, Apothekerin, Anwältin, Notar, Steuerberaterin, Wirtschaftsprüfer oder Beratungsstelle, gilt zusätzlich, auch als Vereinbarung nach § 43e BRAO, § 62a StBerG und den entsprechenden Regeln anderer Berufe:

Wir wirken an eurer beruflichen Tätigkeit mit (§ 203 Abs. 3 StGB). Wir verpflichten uns, über alle fremden Geheimnisse zu schweigen, die wir dabei erfahren, auch nach dem Ende des Vertrags.
Uns ist bekannt: Wer als mitwirkende Person ein fremdes Geheimnis unbefugt offenbart, wird nach § 203 Abs. 4 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Ebenso wird bestraft, wer weitere Personen heranzieht, ohne dafür zu sorgen, dass sie zur Geheimhaltung verpflichtet sind.
Von fremden Geheimnissen verschaffen wir uns nur Kenntnis, soweit es für unsere Leistung nötig ist. Inhalte von Diktaten und Meetings sieht bei uns niemand an; sie laufen automatisch durch.
Weitere Personen ziehen wir nur heran, soweit es für die Leistung nötig ist: wer bei uns Zugang zu den Systemen hat, und die Unterauftragsverarbeiter aus Abschnitt 7. Alle sind in Textform zur Verschwiegenheit verpflichtet; wer bei uns arbeitet, kennt die strafrechtlichen Folgen.
Inhalte von Diktaten und Meetings verarbeiten wir nur in Deutschland und der EU und, wenn ihr es wählt, in der Schweiz.
Dasselbe gilt, wenn ihr nach österreichischem Recht an eine Verschwiegenheitspflicht gebunden seid. Für die Schweiz steht das Berufsgeheimnis in Abschnitt 13.

6. Sicherheit

Wir schützen die Daten mit diesen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO):

Server in Deutschland und, für die Verarbeitung in der Schweiz, in der Schweiz, Übertragung nur verschlüsselt (TLS).
Aufnahmen und Texte werden nach der Verarbeitung verworfen. Protokolle des Servers enthalten nur Ereignis, den Anfang einer Kennung, Sekunden und Status, nie Inhalte und keine Zugriffsprotokolle mit IP-Adressen.
Zugang zum Server nur mit Schlüssel, Anmeldung mit Passwort abgeschaltet; eine Firewall lässt nur Web und Fernwartung durch; Zugangsdaten zu Diensten liegen nur in einer geschützten Datei auf dem Server.
Anmeldung mit Einmal-Code per E-Mail, mit Google oder mit Microsoft; Anmeldungen im Browser speichern wir nur als Prüfsumme.
Rollen im Team: Nur Inhaber und Verwaltung laden ein und entfernen Mitglieder. Die Verwaltung sieht pro Mitglied nur die Minuten des Monats, nie Inhalte.
Team-Archiv: Verschlüsselung auf euren Geräten mit AES-256-GCM, gebunden an Team, Eintrag und Art; der Schlüssel verlässt ein Gerät nur verschlüsselt (Wiederherstellungsschlüssel, Kopplungscode für 10 Minuten). Zugriff nur für aktive Mitglieder, freigegebene Einträge fürs Team, alle anderen nur für die Person.
Nächtliche Sicherung der Datenbank, außer Haus nur verschlüsselt; die Sicherungen werden nach spätestens 35 Tagen gelöscht.

Wir passen die Maßnahmen dem Stand der Technik an. Das Schutzniveau sinkt dabei nicht.

7. Unterauftragsverarbeiter

Ihr seid einverstanden, dass wir diese Dienste einsetzen:

Hetzner Online GmbH (Gunzenhausen, Deutschland): Betrieb unseres Servers. Rechenzentrum in Nürnberg, Deutschland.
Mistral AI SAS (Paris, Frankreich): Spracherkennung, Glätten, Schreibaufträge, Protokolle und Sprecher-Erkennung; Diktate und Meetings, die ihr in der Schweiz verarbeiten lasst, gehen stattdessen an Infomaniak. EU und Europäischer Wirtschaftsraum, keine Speicherung über das Ergebnis hinaus, kein Training.
Infomaniak Network SA (Rue Eugène Marziano 25, 1227 Les Acacias (Genf), Schweiz): Betrieb unseres Servers in der Schweiz (dort auch die Sprecher-Erkennung von Meetings), Spracherkennung, Glätten, Schreibaufträge und Protokolle, wenn ihr in der Schweiz verarbeiten lasst. Rechenzentren in der Schweiz (angemessenes Datenschutzniveau, Art. 45 DSGVO), keine Speicherung über das Ergebnis hinaus, kein Training.
Resend, Inc. (San Francisco, USA): Versand von Anmeldecodes und Einladungen (E-Mail-Adresse, Code), Protokolle an die Teilnehmer eines Meetings (Adresse, Zeitpunkt, Link, kein Inhalt) und, wer es will, Hinweisen auf neue Aufnahmen im Team-Archiv ohne Inhalt. Rechenzentrum in Irland (EU); EU-US Data Privacy Framework und Standardvertragsklauseln.
Functional Software, Inc. („Sentry“) (San Francisco, USA): Fehler- und Absturzberichte von Server und Apps, ohne Audio und ohne Text. EU-US Data Privacy Framework und Standardvertragsklauseln, Löschung nach spätestens 90 Tagen.
Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA): Aufbewahrung der nächtlichen Sicherungskopie unserer Datenbank, verschlüsselt mit einem Schlüssel, den nur wir haben. Rechenzentren in der EU; EU-US Data Privacy Framework und Standardvertragsklauseln, Löschung nach 35 Tagen.

Bezahlung über Stripe und Anmeldung mit Google oder Microsoft laufen bei diesen Diensten als eigene Verantwortliche, nicht in unserem Auftrag. Einen neuen Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail an. Ihr könnt aus wichtigem datenschutzrechtlichem Grund widersprechen; finden wir keine Lösung, könnt ihr das Abo zum Wechsel kündigen. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf denselben Schutz wie hier.

8. Unterstützung

Wir helfen euch, Anfragen von Betroffenen zu beantworten, etwa auf Auskunft oder Löschung. Vieles geht direkt inTippfaul: Mitglieder löschen ihr Konto selbst, die Verwaltung entfernt Mitglieder. Ebenso unterstützen wir euch bei Sicherheit, Meldungen von Datenpannen und Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO).

9. Datenpannen

Erfahren wir von einer Verletzung des Schutzes eurer Daten, informieren wir euch unverzüglich, spätestens innerhalb von 48 Stunden, mit allem, was ihr für eine Meldung an die Aufsichtsbehörde braucht.

10. Ende des Vertrags

Endet das Abo, bleiben Konten und Team bestehen, bis ihr sie löscht: mit „Konto löschen“ oder indem der Inhaber das Team auflöst. Dann löschen wir die Daten sofort; in den Sicherungen sind sie nach höchstens 35 Tagen weg. Aufnahmen gibt es nicht zurückzugeben, weil wir sie nicht speichern; das Team-Archiv könnt ihr vorher im Browser lesen, kopieren und herunterladen. Auf Wunsch löschen wir alles auch auf eine E-Mail hin.

11. Nachweise und Kontrollen

Wir geben euch alle Informationen, die ihr braucht, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen vor Ort stimmen wir vorher ab; sie finden höchstens einmal im Jahr statt, außer es gibt einen konkreten Anlass.

12. Sonstiges

Für die Haftung gilt Art. 82 DSGVO, ergänzend gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Mehr zur Verarbeitung steht in der Datenschutzerklärung.

13. Zusatz für die Schweiz

Habt ihr euren Sitz in der Schweiz oder gilt für eure Daten das Schweizer Datenschutzgesetz (DSG), gilt zusätzlich:

Dieser Vertrag ist auch der Vertrag über die Bearbeitung durch einen Auftragsbearbeiter nach Art. 9 DSG. Verweise auf die DSGVO gelten, soweit das DSG anwendbar ist, als Verweise auf die entsprechenden Regeln des DSG.
Zuständige Aufsichtsbehörde ist insoweit der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern.
Daten geben wir nur in Staaten bekannt, deren Datenschutz der Bundesrat als angemessen anerkannt hat (Anhang 1 der Datenschutzverordnung, darunter Deutschland und die anderen Staaten der EU und des EWR), oder mit Standardvertragsklauseln, die der EDÖB anerkannt hat (Art. 16 Abs. 2 lit. d DSG). Lasst ihr Diktate und Meetings in der Schweiz verarbeiten, verlassen deren Aufnahmen und Texte die Schweiz nicht; nur Protokolle, die ihr per Mail an Teilnehmer schickt, gehen verschlüsselt über unseren Server in Deutschland.
Berufsgeheimnis: Wir und alle, die bei uns Zugang zu den Systemen haben, behandeln eure Daten vertraulich und sind dazu verpflichtet. Jeden Unterauftragsverarbeiter verpflichten wir vertraglich zur Vertraulichkeit. Seid ihr an ein Berufsgeheimnis gebunden, etwa nach Art. 321 StGB als Anwältin, Notar, Ärztin oder Revisor, oder an eine andere berufliche Schweigepflicht (Art. 62 DSG), etwa im Treuhandwesen, handeln wir als eure Hilfsperson und wahren dieses Geheimnis wie ihr. Aufnahmen speichern wir ohnehin nicht, Texte nur im Team-Archiv, Ende-zu-Ende verschlüsselt, ohne dass wir sie lesen können.
Verletzungen der Datensicherheit melden wir euch unverzüglich, wie in Abschnitt 9 beschrieben, damit ihr eure Pflichten gegenüber dem EDÖB erfüllen könnt.