Auftragsverarbeitung (AVV): Warum gottrix keinen braucht
gottrix verarbeitet Dateiinhalte ausschließlich lokal im Browser - sie erreichen unsere Server nie. Weil keine Übertragung stattfindet, entsteht auch kein Auftragsverarbeitungs-Vorgang nach Art. 28 DSGVO, den ein AVV regeln müsste. Das gilt strukturell für jede Berufsgruppe, die mit vertraulichen Dateien arbeitet - von Kanzleien über Praxen und Steuerberatung bis zu Behörden, Betriebsräten und Schulen. Diese Seite ordnet das für 9 konkrete Berufsgruppen ein; jede Einschätzung ist mit dem Zusatz "nach unserer Einschätzung" gehedged und ersetzt keine Rechtsberatung im Einzelfall.
Wer beruflich mit vertraulichen oder personenbezogenen Unterlagen arbeitet - eine Mandantenakte, ein Arztbrief, ein Jahresabschluss, eine Personalakte, ein behördlicher Vorgang, eine Schülerliste - stellt sich vor jedem neuen Online-Werkzeug dieselbe Frage: Muss ich dafür einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen, und darf ich das Werkzeug in meiner Kanzlei, Praxis, Behörde oder Schule überhaupt einsetzen?
Bei den allermeisten Online-Datei-Werkzeugen ist die Antwort ja: Die Datei wird zu einem fremden Server hochgeladen, dort verarbeitet und zurückgesendet - ein klassischer Auftragsverarbeitungs-Vorgang, für den ein AVV zwingend ist.
gottrix funktioniert strukturell anders: Die Umwandlung läuft vollständig im Browser, auf dem eigenen Gerät. Die Datei wird nie an einen gottrix-Server gesendet - weder zum Verarbeiten noch zum Zwischenspeichern. Ohne Übertragung gibt es aus datenschutzrechtlicher Sicht keinen Verarbeitungsvorgang bei gottrix, den ein Vertrag überhaupt abdecken müsste.
Diese Seite erklärt diese Einordnung ausführlich, für 9 konkrete Berufsgruppen mit eigenen Verschwiegenheits- oder Datenschutzpflichten - und benennt ebenso ehrlich, was gottrix nicht ist (siehe unten).
Warum keine Auftragsverarbeitung entsteht
Datenschutzrechtlich unterscheidet die DSGVO zwischen dem Verantwortlichen (Art. 4 Nr. 7 DSGVO, entscheidet über Zwecke und Mittel der Verarbeitung) und dem Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO, verarbeitet Daten im Auftrag und nach Weisung eines Verantwortlichen). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird immer dann zur Pflicht, wenn ein Dritter personenbezogene Daten IM AUFTRAG eines Verantwortlichen verarbeitet - etwa, weil eine Datei zu dessen Server hochgeladen wird, damit dieser sie umwandelt, speichert oder sonst bearbeitet. Genau dieser Anknüpfungspunkt - eine Übertragung der Datei an einen fremden Verantwortlichen oder Auftragsverarbeiter - entfällt bei gottrix strukturell: Die Datei bleibt im Arbeitsspeicher des eigenen Geräts, die Umwandlung übernimmt clientseitiger Code (WebAssembly bzw. reines JavaScript, je nach Werkzeug), das Ergebnis wird direkt lokal zum Download bereitgestellt. Es gibt bei gottrix keinen Verarbeitungsvorgang bezogen auf den Dateiinhalt, den ein AVV regeln müsste - deshalb stellen wir bewusst kein AVV-Muster für die Dateiverarbeitung selbst bereit. Das ist keine vertragliche Zusage, sondern eine technische Tatsache: Eine Content-Security-Policy verbietet dem Umwandlungs-Code jede Verbindung zu einem fremden Server (siehe die Sicherheitsseite für die technische Durchsetzung), und ein automatisierter Test prüft das bei jeder Veröffentlichung erneut.
Diese Einschätzung bezieht sich ausdrücklich NUR auf die Inhalte deiner Datei. Für die Auslieferung der Website über Cloudflare und die - nur mit Einwilligung erhobene - Nutzungs-Statistik (Google Analytics 4) ist gottrix selbst datenschutzrechtlich Verantwortlicher, nicht Auftragsverarbeiter; für diese Dienste bestehen eigene Auftragsverarbeitungsverträge mit den jeweiligen Anbietern (Details in der Datenschutzerklärung). Wer für die Website-Ebene einen AVV benötigt, findet die Vertragspartner dort - nur eben nicht für Dateiinhalte, weil es dafür bei gottrix keinen Verarbeitungsvorgang gibt, den ein AVV abdecken könnte. Diese Trennung ist bewusst eng gezogen: Der Code, der jemals mit einem Analyse-Dienst spricht, ist eine andere Codebasis als der, der eine Datei jemals zu Gesicht bekommt.
Einordnung nach Berufsgruppe und Branche
Rechtsanwältinnen, Rechtsanwälte und Kanzleien
Mandantenunterlagen unterliegen der anwaltlichen Verschwiegenheitspflicht (§ 43a Abs. 2 BRAO) und sind über § 203 Abs. 1 Nr. 3 StGB strafbewehrt geschützt - eine unbefugte Offenbarung ist eine Straftat, kein bloßer Compliance-Verstoß. Nach unserer Einschätzung - keine Rechtsberatung im Einzelfall - ändert die Nutzung von gottrix daran strukturell nichts: Eine Datei, die nie an einen fremden Server geht, wird auch niemandem offenbart, und es entsteht keine Auftragsverarbeitung, die eine zusätzliche vertragliche Absicherung bräuchte.
Verletze ich meine anwaltliche Verschwiegenheitspflicht, wenn ich eine Mandantenakte mit gottrix bearbeite?
Nach unserer Einschätzung nicht, weil kein Offenbaren im Sinne des § 203 StGB vorliegt: Die Datei bleibt technisch auf deinem Gerät, gottrix bekommt sie nie zu Gesicht. Eine verbindliche Aussage für deinen konkreten Fall kann nur deine Rechtsanwaltskammer oder eine im Einzelfall beauftragte Rechtsberatung treffen.
Brauche ich für meine Kanzlei einen Auftragsverarbeitungsvertrag mit gottrix?
Für Mandantendateien nein - es findet keine Übertragung und damit keine Verarbeitung statt, die ein AVV regeln müsste (siehe das Rollenmodell oben). Für die Website-Analytics gilt das nicht, siehe den Abschnitt zur Trennung der Ebenen.
Ärztinnen, Ärzte und Praxen
Patientenunterlagen fallen unter die ärztliche Schweigepflicht (§ 203 Abs. 1 Nr. 1 StGB) und regelmäßig unter Gesundheitsdaten im Sinne von Art. 9 DSGVO, die einer besonderen Verarbeitungs-Rechtsgrundlage bedürfen. Nach unserer Einschätzung gilt dieselbe strukturelle Überlegung wie bei Kanzleien: Ohne Übertragung entsteht keine Offenbarung gegenüber gottrix und kein Verarbeitungsvorgang bei uns, der eine gesonderte Rechtsgrundlage bräuchte.
Darf ich einen Arztbrief, Befund oder eine Röntgenaufnahme mit gottrix umwandeln?
Nach unserer Einschätzung ja, weil die Datei dein Gerät nicht verlässt - es entsteht kein Zugriff Dritter auf den Inhalt. Für besonders sensible Verfahren empfiehlt sich zusätzlich die interne IT- oder Datenschutzfreigabe deiner Praxis oder Klinik.
Steuerberatung und Wirtschaftsprüfung
Steuerberaterinnen, Steuerberater, Steuerbevollmächtigte, Wirtschaftsprüferinnen und vereidigte Buchprüfer stehen im selben Geheimnisschutz-Tatbestand wie Rechtsanwälte und Ärzte (§ 203 Abs. 1 Nr. 3 StGB), ergänzt um die berufsrechtliche Verschwiegenheitspflicht aus § 57 StBerG bzw. § 43 WPO. Mandanten- und Jahresabschlussunterlagen, die mit gottrix umgewandelt werden - Belege, Bilanzen, Steuerbescheide -, verlassen dabei nie das Gerät.
Kann ich Belege oder Jahresabschluss-PDFs eines Mandanten mit gottrix bearbeiten?
Nach unserer Einschätzung ja, aus demselben strukturellen Grund wie bei Anwälten: keine Übertragung, keine Offenbarung. Die abschließende Bewertung für deine Kanzlei oder Prüfungsgesellschaft trifft deine Kammer oder dein internes Compliance-Team.
HR und Personalabteilungen
Gehaltsabrechnungen, Arbeitsverträge, Bewerbungsunterlagen und Zeugnisse sind personenbezogene, teils besonders schützenswerte Daten nach der DSGVO. Es braucht kein neues Sonderrecht, um zum selben Ergebnis wie bei den freien Berufen zu kommen: Weil die Datei nie an einen Server außerhalb des Geräts geht, entsteht durch die Nutzung von gottrix selbst keine zusätzliche Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO - und damit auch kein Auftragsverarbeitungs-Vorgang.
Dürfen wir Gehaltsabrechnungen oder Arbeitsverträge mit gottrix umwandeln?
Nach unserer Einschätzung ja - es entsteht kein zusätzlicher Verarbeitungsschritt, weil die Datei lokal bleibt. Eine unternehmensinterne Freigabe durch eure Datenschutzabteilung bleibt sinnvoll, ersetzt aber keine eigene Prüfung des Einzelfalls.
Betriebsräte
Mitglieder des Betriebsrats unterliegen der Geheimhaltungspflicht aus § 79 BetrVG: Betriebs- und Geschäftsgeheimnisse, die ihnen wegen ihrer Betriebsratstätigkeit bekannt werden und die der Arbeitgeber ausdrücklich als geheimhaltungsbedürftig bezeichnet hat, dürfen sie nicht offenbaren. Ergänzend regelt § 79a BetrVG, dass der Betriebsrat bei der Verarbeitung personenbezogener Daten - etwa Personallisten im Rahmen von Mitbestimmungsverfahren nach § 99 BetrVG bei personellen Einzelmaßnahmen, oder Unterlagen zu einem Interessenausgleich - die datenschutzrechtlichen Vorgaben einzuhalten hat. Nach unserer Einschätzung gilt dieselbe strukturelle Überlegung wie bei den übrigen Berufsgruppen auf dieser Seite: Weil eine mit gottrix bearbeitete Datei nie an einen fremden Server übertragen wird, entsteht keine zusätzliche Offenbarung und kein zusätzlicher Verarbeitungsvorgang, der eine gesonderte vertragliche Regelung bräuchte.
Dürfen Betriebsratsmitglieder Personallisten oder Unterlagen zu einem Interessenausgleich mit gottrix bearbeiten?
Nach unserer Einschätzung ja, weil die Datei nie das Gerät verlässt und damit kein zusätzlicher Offenbarungs- oder Übertragungsvorgang entsteht. Die Geheimhaltungspflicht aus § 79 BetrVG und die Datenschutzpflichten aus § 79a BetrVG bestehen unabhängig davon fort und betreffen, wem gegenüber ihr die Datei danach weitergebt - nicht das lokale Bearbeiten selbst. Eine verbindliche Einordnung für euren konkreten Fall trifft im Zweifel eure betriebliche Datenschutzbeauftragte oder ein arbeitsrechtlich spezialisierter Berater.
Braucht der Betriebsrat für gottrix eine eigene Vereinbarung mit dem Arbeitgeber oder mit gottrix?
Für die reine Dateiverarbeitung nach unserer Einschätzung nein, aus demselben strukturellen Grund wie bei den anderen Berufsgruppen: keine Übertragung, kein Verarbeitungsvorgang bei gottrix. Ob eine bestehende Betriebsvereinbarung zur IT-Nutzung ein bestimmtes Werkzeug ausdrücklich erwähnen muss, ist eine innerbetriebliche Frage, die unabhängig von gottrix zu klären bleibt.
Behörden und öffentlicher Sektor
Für Behörden gilt neben der DSGVO häufig eine eigene dienst- oder amtsrechtliche Vertraulichkeitspflicht (allgemein als Amtsgeheimnis bezeichnet). Wir benennen hier bewusst keine einzelne Norm, weil sie je nach Bundesland, Behörde und Aufgabenbereich unterschiedlich ausgestaltet ist - die strukturelle Aussage bleibt aber dieselbe: Eine Datei, die gottrix nie erreicht, kann auch nicht amtswidrig weitergegeben werden, und es entsteht kein Auftragsverarbeitungs-Vorgang, der eine gesonderte vergaberechtliche oder vertragliche Prüfung nötig machen würde.
Dürfen wir gottrix für dienstliche Dokumente einsetzen, wenn Cloud-Dienste bei uns nicht zulässig sind?
Häufig ja, weil die Umwandlung ohne Upload auskommt - genau das Kriterium, an dem ein Cloud-Verbot typischerweise ansetzt. Die verbindliche Freigabe trifft eure IT-Sicherheits- oder Datenschutzstelle anhand eurer eigenen Vorgaben.
Schul-IT und Schulträger
Schülerinnen- und Schülerdaten sind personenbezogene Daten Minderjähriger, denen die DSGVO ausdrücklich besonderen Schutz zumisst (Erwägungsgrund 38 DSGVO). Wer diese Daten verarbeitet, ist im deutschen Schulrecht üblicherweise zwischen der Schule selbst und dem Schulträger (bei öffentlichen Schulen meist Kommune oder Landkreis, bei privaten Schulen der jeweilige private Träger) organisiert; die konkreten Datenschutzpflichten ergänzen die DSGVO durch das jeweilige Landesschulgesetz und häufig eine eigene schulbezogene Datenschutzverordnung des Bundeslandes - beides unterscheidet sich im Detail von Bundesland zu Bundesland, weshalb wir hier bewusst keine einzelne Landesnorm benennen. Die strukturelle Aussage bleibt unabhängig davon: Weil eine mit gottrix bearbeitete Datei nie an einen fremden Server übertragen wird, entsteht keine zusätzliche Verarbeitung von Schülerdaten bei gottrix und kein Auftragsverarbeitungs-Vorgang, den ein AVV zwischen Schule bzw. Schulträger und gottrix abdecken müsste.
Darf die Schul-IT Klassenlisten, Zeugnisse oder Elternbriefe mit gottrix umwandeln?
Nach unserer Einschätzung ja, weil die Datei nie das Gerät verlässt und damit keine zusätzliche Übertragung von Schülerdaten entsteht. Ob euer Landesschulgesetz oder eure schulbezogene Datenschutzverordnung zusätzliche, bundeslandspezifische Vorgaben für den Einsatz digitaler Werkzeuge macht, prüft ihr am besten mit eurem Schulträger oder der zuständigen schulischen Datenschutzbeauftragten - diese Vorgaben unterscheiden sich zwischen den Bundesländern.
Braucht der Schulträger einen AVV mit gottrix, wenn Lehrkräfte das Werkzeug im Unterricht einsetzen?
Für die reine Dateiverarbeitung nach unserer Einschätzung nein, aus demselben strukturellen Grund wie bei den anderen Berufsgruppen auf dieser Seite: keine Übertragung, kein Verarbeitungsvorgang bei gottrix. Genehmigungspflichten für den Einsatz digitaler Werkzeuge im Unterricht (etwa nach einer schulischen Medienkonzept-Vorgabe) bestehen davon unabhängig und richten sich nach eurem Bundesland.
Unternehmen allgemein (B2B)
Verträge, interne Kalkulationen, M&A-Unterlagen oder Personaldaten - für jede Art von Geschäftsgeheimnis im Sinne von § 2 GeschGehG und jedes vertrauliche Dokument gilt derselbe strukturelle Vorteil: Es gibt bei gottrix keinen Upload-Schritt, an dem ein Dritter mitlesen könnte, und damit keinen Auftragsverarbeitungs-Vorgang, den ein zusätzlicher Vertrag absichern müsste.
Ist gottrix für Geschäftsgeheimnisse und vertrauliche Verträge geeignet?
Nach unserer Einschätzung ja, weil die Datei nie das Gerät verlässt - ein Vertraulichkeitsbruch durch Übertragung ist damit strukturell ausgeschlossen, nicht nur vertraglich zugesichert. Eine unternehmensinterne Freigabe nach eurer eigenen IT-Richtlinie bleibt trotzdem sinnvoll.
Privatpersonen
Gehaltsabrechnung, Mietvertrag, Befund oder Kontoauszug: Auch ohne Berufsgeheimnis ist eine private Datei niemandes Geschäft außer deinem eigenen. Weil gottrix sie nie sieht, kann sie auch niemand von uns aus versehentlich weiterleiten, verlieren oder für irgendetwas anderes nutzen.
Ist es sicher, meine Gehaltsabrechnung oder meinen Ausweis mit einem Online-Tool zu bearbeiten?
Bei gottrix ja, weil kein Upload stattfindet: Die Datei bleibt im Arbeitsspeicher deines eigenen Geräts. Trotzdem gilt allgemein: Teile das Ergebnis danach nur mit den Stellen, die es wirklich brauchen.
Was gottrix nicht ist und nicht hat
- Keine ISO-27001-Zertifizierung.
- Kein SOC 2 (Type I oder II).
- Kein Single Sign-On (SSO) oder Identitäts-Föderation für Unternehmens- oder Behördenkonten.
- Kein vertragliches Support-Service-Level-Agreement (SLA).
- Kein kommissioniertes Audit vor Ort und keine individuell verhandelbare Kanzlei- oder Praxis-Vereinbarung - das Angebot ist für alle Nutzenden identisch.
Diese Lücken sind bewusst offen benannt, nicht verschwiegen: Eine Prüfung, die an einer eingeräumten Lücke endet, ist ehrlicher als eine, die an einer entdeckten scheitert. Wer eines dieser Merkmale verbindlich braucht (etwa für eine öffentliche Ausschreibung), findet es bei gottrix nicht.
Kontakt für Datenschutzbeauftragte und Compliance-Stellen: info@gottrix.app
Häufige Fragen zur Auftragsverarbeitung bei gottrix
Brauche ich für gottrix generell einen Auftragsverarbeitungsvertrag (AVV)?
Für die Verarbeitung von Dateiinhalten nach unserer Einschätzung nein: Weil die Datei nie an einen gottrix-Server übertragen wird, findet dort keine Verarbeitung statt, die ein AVV nach Art. 28 DSGVO regeln müsste. Für die Website-Ebene (Hosting, consent-gated Analytics) gilt eine getrennte Betrachtung, siehe den Abschnitt zur Trennung der Ebenen oben.
Ist die Nutzung von gottrix in meiner Kanzlei, Praxis, Behörde oder Schule DSGVO-konform?
Nach unserer Einschätzung spricht die Architektur strukturell dafür - ohne Übertragung entsteht keine zusätzliche Verarbeitung deiner Dateiinhalte durch gottrix. Wir geben keine Rechtsberatung im Einzelfall; die verbindliche Bewertung für eure konkrete Situation trifft eure Kammer, eure Datenschutzbeauftragte oder eine im Einzelfall beauftragte Rechtsberatung.
Was gilt für die Website selbst, wenn ich dafür einen AVV brauche?
Für die Auslieferung der Website (Cloudflare) und die - nur mit Einwilligung erhobene - Nutzungs-Statistik (Google Analytics 4) ist gottrix selbst Verantwortlicher; die entsprechenden Auftragsverarbeitungsverträge mit diesen Anbietern bestehen bereits und sind in der Datenschutzerklärung dokumentiert. Das betrifft technische Nutzungsdaten, nie deine Dateiinhalte.
Ersetzt diese Seite eine Rechtsberatung für meinen konkreten Fall?
Nein. Jede Einordnung hier ist als "nach unserer Einschätzung" gekennzeichnet und beschreibt die Architektur, nicht eine verbindliche rechtliche Bewertung deines Einzelfalls. Für eine verbindliche Aussage wendet euch an eure Berufskammer, eure Datenschutzbeauftragte oder eine im Einzelfall beauftragte Kanzlei.
Wie kann ich technisch selbst nachprüfen, dass meine Datei wirklich nicht übertragen wird?
Drei Wege ohne Spezialwissen: der Flugmodus-Test (Werkzeug öffnen, Verbindung trennen, weiter umwandeln - es funktioniert), der Netzwerk-Tab der Entwicklertools (F12: kein Datei-Request beim Umwandeln) und die Content-Security-Policy im Quelltext, die dem Umwandlungs-Code jede fremde Verbindung technisch verbietet. Die ausführliche technische Anleitung steht auf der Sicherheitsseite.