Template for review by the customer's legal team. This page is not a signed agreement and does not itself create one. The signed version, with the customer details completed, is provided on request via legal@peakteams.io. We will also review a customer's own Art. 28 template. The template does not claim any certification; the security measures in clause 8 describe what is in place today.

Data Processing Agreement (Art. 28 GDPR)

between

Controller

[Customer name], [Address] (the “Controller”)

and

Processor

Libaty GmbH, Am Krummen Graben 23, 63150 Heusenstamm, Germany, represented by its managing director Ulrich Linnebank (the “Processor”, “PEAKTEAMS”)

1. Subject matter and duration

1.1 This agreement governs the processing of personal data by the Processor on behalf of the Controller in connection with the PEAKTEAMS service (the “Service”) under the main contract, the PEAKTEAMS Terms and any order placed under them (the “Main Contract”).

1.2 The agreement runs for the duration of the Main Contract. Obligations that by their nature continue beyond termination, in particular clauses 7 and 11, survive.

2. Nature and purpose of the processing

2.1 The Service runs team surveys: the Controller's team owners create teams, invite members by email, members answer questions on a 1 to 5 scale, in the optional peer-evaluation module also about each other, and the Service calculates aggregated results (KPI scores, Team Net Value, team identity, consensus analyses and recommendations) for the team owner and for the persons the team owner grants access to (co-owners, a read-only coach, or recipients of a revocable read-only share link).

2.2 Processing operations: collection of invitation data, sending of invitations and reminders by email, storage of survey answers, calculation and display of aggregated results, storage of result history, deletion.

2.3 Purpose: to provide the Service to the Controller. The Processor does not use the Controller's personal data for its own purposes, for advertising, or to train models, and does not sell it.

3. Categories of data subjects and personal data

Team owners and account holders: first and last name, email address, password hash, optional profile photo, sign-in times, record of acceptance of the terms (versions, time, IP address, browser information).
Invited team members: first and last name, email address, optional attributes entered by the team owner (time in the team, seniority, membership status), invitation status and reminders sent.
Survey respondents: answers on a 1 to 5 scale, answers to one optional open-text question, time spent per question, start and submission times, browser information (user agent), a reference to the personal invitation.
Rated team members (peer-evaluation module only): ratings on a 1 to 5 scale given about them by other team members, linked to their member record and shown to the team owner only in aggregate under a letter label.
Teams: team name, description, optional photo and team attributes (industry, company size, country and similar), which are not personal data as such.

No special categories of personal data (Art. 9 GDPR) are required by the Service. The Controller shall not enter such data in free-text fields and shall instruct its team members accordingly.

4. Obligations of the Controller

4.1 The Controller is responsible for the lawfulness of the processing, in particular for having a legal basis for sharing team members' names and email addresses with the Processor, for informing team members (Art. 13 and 14 GDPR) and for involving employee representatives where the law requires it. The works council one-pager may be used for this purpose.

4.2 The Controller shall name a contact for data protection matters: [Name], [Email].

5. Obligations of the Processor

The Processor shall:

process personal data only on documented instructions from the Controller (clause 6);
ensure that persons authorised to process the data are bound to confidentiality (clause 7);
implement the technical and organisational measures in clause 8;
respect the conditions for engaging sub-processors in clause 9;
assist the Controller with data subject requests (clause 10) and with its obligations under Art. 32 to 36 GDPR, taking into account the nature of the processing;
notify the Controller without undue delay, and no later than 48 hours after becoming aware of it, of a personal data breach affecting the Controller's data, with the information available at that time;
delete or return the data at the end of the Service (clause 11);
make available the information necessary to demonstrate compliance and allow audits (clause 12);
inform the Controller immediately if, in its opinion, an instruction infringes the GDPR or other data protection law.

6. Instructions

6.1 The Main Contract, this agreement and the Controller's use of the Service's functions (creating teams, inviting members, starting surveys, deleting data) constitute the Controller's complete instructions. Further instructions must be given in text form to legal@peakteams.io.

6.2 The Processor may process the data where required by Union or Member State law to which it is subject; in that case it informs the Controller of the legal requirement before processing, unless the law prohibits this.

7. Confidentiality

The Processor ensures that all persons who have access to the Controller's personal data are bound by a confidentiality obligation and are informed of the applicable data protection rules. The obligation continues after their engagement ends. The Processor accesses the Controller's data only to the extent necessary for support, security and error correction.

8. Technical and organisational measures

The Processor maintains the measures below (Art. 32 GDPR). They may be updated as long as the overall level of protection does not fall below the one described here.

Measure	Implementation
Encryption in transit	All connections to peakteams.io and between the application and the database use TLS. Stored data is encrypted at rest by the database provider.
EU hosting	Database, authentication and file storage on Supabase in an AWS data centre in Ireland (eu-west-1); application servers on Vercel in Dublin, Ireland.
Access control in the database	Row-level security policies limit every account to the rows it is permitted to see; column-level grants keep sensitive columns out of reach of end-user sessions. Passwords are stored only as hashes.
Aggregation and threshold	Team owners see aggregated results only, and only once at least five team members have answered; the owner’s own answer does not count. Individual answers are not shown to anyone.
Session protection	Survey sessions use signed, script-inaccessible (httpOnly) cookies. Personal survey links are removed from analytics and error reports before they are sent.
Administrative access	Platform administrators access customer data only for support, security or error correction. When an administrator views the service as a specific user, the start and end of that session are logged.
Logging	Every email sent is logged with recipient, type, subject and delivery status. Errors are reported to an EU-hosted error monitor without personal data by default.
Hardening	Security headers (frame-ancestors, nosniff, referrer policy, permissions policy) on every response; rate limits on invitation and reminder emails.
Deletion	Deleting a team deletes its members, surveys and answers; deleting an account deletes the account and its saved results.

9. Sub-processors

9.1 The Controller gives general authorisation to the sub-processors listed at peakteams.io/trust/sub-processors as of the date of this agreement.

9.2 The Processor informs the Controller by email, to the contact in clause 4.2, at least 30 days before a new sub-processor processes the Controller's data. The Controller may object within that period for justified reasons relating to data protection. If no solution is found, either party may terminate the Main Contract for the affected teams with effect from the date the change takes effect.

9.3 The Processor imposes on each sub-processor, by contract, data protection obligations equivalent to those in this agreement and remains liable to the Controller for the sub-processor's performance.

10. Assistance with data subject rights

10.1 The Processor forwards requests from data subjects that it receives directly, where they concern the Controller's data, to the Controller without undue delay, unless it can fulfil them itself (for example a team member asking to be removed from a team).

10.2 The Processor supports the Controller in responding to requests under Art. 15 to 22 GDPR with the means built into the Service (the results views, removal of a member, deletion of a team) and, beyond that, on request within a reasonable period.

11. Deletion and return

11.1 The Controller can delete teams, members and accounts in the Service at any time; deletion of a team removes its members, surveys and answers.

11.2 At the end of the Main Contract the Processor deletes all personal data of the Controller within 30 days of a written request, or returns it in a common machine-readable format before deletion if the Controller asks for this. Statutory retention obligations and data in backups, which are overwritten in the ordinary course, remain unaffected; such data is not processed for any other purpose.

12. Audits

12.1 The Processor provides the Controller, on request, with the information needed to demonstrate compliance with this agreement: the current sub-processor list, a description of the measures in clause 8 and answers to a reasonable security questionnaire.

12.2 Where this is not sufficient, the Controller or an auditor bound to confidentiality and mandated by it may audit the Processor once per calendar year, with at least 30 days' notice, during business hours, without disrupting operations. Audits of the hosting providers' data centres are satisfied by those providers' own audit reports, which the Processor obtains and shares where it is allowed to.

13. International transfers

13.1 The Service stores and processes personal data in the European Union: the database in Ireland and the application servers in Dublin. No transfer to a third country is intended as part of providing the Service.

13.2 Some sub-processors are established in the USA or Singapore, or deliver static content through a global network (hosting provider's edge network) and may access data from outside the EU for support. Such transfers are covered by the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) in the respective sub-processor agreements or by an adequacy decision of the European Commission where it applies. Details per provider are in the sub-processor list.

13.3 The Processor will not transfer the Controller's data to a third country other than as described above without the Controller's prior documented instruction.

14. Liability

Liability of the parties is governed by the Main Contract. Art. 82 GDPR remains unaffected.

15. Final provisions

15.1 In case of conflict, this agreement prevails over the Main Contract as regards data protection. 15.2 Changes require text form. 15.3 German law applies; the place of jurisdiction is the Processor's seat, unless mandatory law provides otherwise. 15.4 In case of doubt between the English and the German version, the version the parties have signed prevails.

[Place, date] [Signature Controller]
[Place, date] [Signature Processor]

Muster zur Prüfung durch die Rechtsabteilung des Kunden. Diese Seite ist kein unterzeichneter Vertrag und begründet selbst keinen. Die unterzeichnete Fassung mit den ausgefüllten Kundendaten stellen wir auf Anfrage über legal@peakteams.io bereit. Wir prüfen auch eine eigene Art.-28-Vorlage des Kunden. Das Muster beansprucht keine Zertifizierung; die Sicherheitsmaßnahmen in Ziffer 8 beschreiben den heutigen Stand.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO) – Muster

zwischen

Verantwortlicher

[Name des Kunden], [Anschrift] (der „Verantwortliche“)

und

Auftragsverarbeiter

Libaty GmbH, Am Krummen Graben 23, 63150 Heusenstamm, Germany, vertreten durch den Geschäftsführer Ulrich Linnebank (der „Auftragsverarbeiter“, „PEAKTEAMS“)

1. Gegenstand und Dauer

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit dem Dienst PEAKTEAMS (der „Dienst“) auf Grundlage des Hauptvertrags, bestehend aus den Nutzungsbedingungen von PEAKTEAMS und etwaigen darauf beruhenden Bestellungen (der „Hauptvertrag“).

1.2 Der Vertrag gilt für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach über die Beendigung hinaus fortgelten, insbesondere Ziffern 7 und 11, bleiben bestehen.

2. Art und Zweck der Verarbeitung

2.1 Der Dienst führt Teamumfragen durch: Teamverantwortliche des Verantwortlichen legen Teams an, laden Mitglieder per E-Mail ein, die Mitglieder beantworten Fragen auf einer Skala von 1 bis 5, im optionalen Modul zur gegenseitigen Einschätzung auch über einander, und der Dienst berechnet aggregierte Ergebnisse (KPI-Werte, Team Net Value, Teamidentität, Konsensanalysen und Empfehlungen) für die teamverantwortliche Person und für die Personen, denen sie Zugriff gewährt (Mitverantwortliche, ein nur lesender Coach oder Empfänger eines widerrufbaren, schreibgeschützten Freigabelinks).

2.2 Verarbeitungsvorgänge: Erhebung der Einladungsdaten, Versand von Einladungen und Erinnerungen per E-Mail, Speicherung der Antworten, Berechnung und Anzeige aggregierter Ergebnisse, Speicherung der Ergebnishistorie, Löschung.

2.3 Zweck: Erbringung des Dienstes für den Verantwortlichen. Der Auftragsverarbeiter nutzt die personenbezogenen Daten des Verantwortlichen nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von Modellen und verkauft sie nicht.

3. Kategorien betroffener Personen und Daten

Teamverantwortliche und Kontoinhaber: Vor- und Nachname, E-Mail-Adresse, Passwort-Hash, optionales Profilfoto, Anmeldezeiten, Nachweis der Annahme der Nutzungsbedingungen (Versionen, Zeitpunkt, IP-Adresse, Browserinformationen).
Eingeladene Teammitglieder: Vor- und Nachname, E-Mail-Adresse, optionale von der teamverantwortlichen Person eingetragene Attribute (Zugehörigkeit zum Team, Seniorität, Mitgliedsstatus), Einladungsstatus und versandte Erinnerungen.
Umfrageteilnehmende: Antworten auf einer Skala von 1 bis 5, Antworten auf eine optionale Freitextfrage, Bearbeitungszeit je Frage, Beginn- und Abgabezeitpunkt, Browserinformationen (User Agent), ein Verweis auf die persönliche Einladung.
Bewertete Teammitglieder (nur Modul zur gegenseitigen Einschätzung): von anderen Teammitgliedern über sie abgegebene Bewertungen auf einer Skala von 1 bis 5, verknüpft mit ihrem Mitgliedsdatensatz und der teamverantwortlichen Person nur aggregiert unter einem Buchstaben angezeigt.
Teams: Teamname, Beschreibung, optionales Foto und Teamattribute (Branche, Unternehmensgröße, Land und ähnliche), die als solche keine personenbezogenen Daten sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden für den Dienst nicht benötigt. Der Verantwortliche trägt solche Daten nicht in Freitextfelder ein und weist seine Teammitglieder entsprechend an.

4. Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage zur Weitergabe von Namen und E-Mail-Adressen der Teammitglieder an den Auftragsverarbeiter, für die Information der Teammitglieder (Art. 13 und 14 DSGVO) und für die Beteiligung der Arbeitnehmervertretung, soweit das Gesetz dies verlangt. Das Informationsblatt für den Betriebsrat kann hierfür verwendet werden.

4.2 Der Verantwortliche benennt eine Kontaktperson für Datenschutzfragen: [Name], [E-Mail].

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Ziffer 6);
stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Ziffer 7);
setzt die technischen und organisatorischen Maßnahmen nach Ziffer 8 um;
hält die Bedingungen für die Einschaltung von Unterauftragsverarbeitern nach Ziffer 9 ein;
unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Ziffer 10) und bei dessen Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung;
meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich und spätestens 48 Stunden nach Bekanntwerden mit den zu diesem Zeitpunkt verfügbaren Informationen;
löscht oder gibt die Daten nach Ende des Dienstes zurück (Ziffer 11);
stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Ziffer 12);
informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

6. Weisungen

6.1 Der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (Anlegen von Teams, Einladen von Mitgliedern, Starten von Umfragen, Löschen von Daten) bilden die vollständigen Weisungen des Verantwortlichen. Weitere Weisungen sind in Textform an legal@peakteams.io zu richten.

6.2 Der Auftragsverarbeiter darf die Daten verarbeiten, soweit das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, dies verlangt; in diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

7. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen mit Zugang zu den personenbezogenen Daten des Verantwortlichen zur Vertraulichkeit verpflichtet und über die geltenden Datenschutzvorschriften unterrichtet sind. Die Verpflichtung besteht nach Ende ihrer Tätigkeit fort. Der Auftragsverarbeiter greift auf die Daten des Verantwortlichen nur zu, soweit dies für Support, Sicherheit und Fehlerbehebung erforderlich ist.

8. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hält die nachstehenden Maßnahmen aufrecht (Art. 32 DSGVO). Sie dürfen fortentwickelt werden, solange das Schutzniveau insgesamt nicht hinter dem hier beschriebenen zurückbleibt.

Maßnahme	Umsetzung
Verschlüsselung bei der Übertragung	Alle Verbindungen zu peakteams.io und zwischen Anwendung und Datenbank sind TLS-verschlüsselt. Gespeicherte Daten werden vom Datenbankanbieter verschlüsselt abgelegt.
Hosting in der EU	Datenbank, Authentifizierung und Dateispeicher bei Supabase in einem AWS-Rechenzentrum in Irland (eu-west-1); Anwendungsserver bei Vercel in Dublin, Irland.
Zugriffskontrolle in der Datenbank	Zeilenbasierte Sicherheitsrichtlinien (Row-Level Security) beschränken jedes Konto auf die Datensätze, die es sehen darf; spaltenbezogene Berechtigungen halten sensible Spalten von Endnutzersitzungen fern. Passwörter werden ausschließlich als Hash gespeichert.
Aggregation und Schwellenwert	Teamverantwortliche sehen ausschließlich aggregierte Ergebnisse, und zwar erst, wenn mindestens fünf Teammitglieder geantwortet haben; die eigene Antwort der verantwortlichen Person zählt nicht mit. Einzelantworten werden niemandem angezeigt.
Sitzungsschutz	Umfragesitzungen verwenden signierte, für Skripte nicht lesbare (httpOnly) Cookies. Persönliche Umfragelinks werden vor dem Versand aus Analyse- und Fehlerberichten entfernt.
Administrativer Zugriff	Plattformadministratoren greifen nur für Support, Sicherheit oder Fehlerbehebung auf Kundendaten zu. Betrachtet ein Administrator den Dienst aus Sicht eines bestimmten Nutzers, werden Beginn und Ende dieser Sitzung protokolliert.
Protokollierung	Jede versandte E-Mail wird mit Empfänger, Typ, Betreff und Zustellstatus protokolliert. Fehler werden standardmäßig ohne personenbezogene Daten an eine in der EU gehostete Fehlerüberwachung gemeldet.
Härtung	Sicherheits-Header (frame-ancestors, nosniff, Referrer-Policy, Permissions-Policy) bei jeder Antwort; Ratenbegrenzung für Einladungs- und Erinnerungs-E-Mails.
Löschung	Das Löschen eines Teams löscht seine Mitglieder, Umfragen und Antworten; das Löschen eines Kontos löscht das Konto und die darin gespeicherten Ergebnisse.

9. Unterauftragsverarbeiter

9.1 Der Verantwortliche erteilt eine allgemeine Genehmigung für die unter peakteams.io/trust/sub-processors zum Zeitpunkt des Vertragsschlusses aufgeführten Unterauftragsverarbeiter.

9.2 Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail an die Kontaktperson nach Ziffer 4.2 mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter Daten des Verantwortlichen verarbeitet. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Wird keine Lösung gefunden, kann jede Partei den Hauptvertrag für die betroffenen Teams zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

9.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags entsprechen, und haftet gegenüber dem Verantwortlichen für die Leistung des Unterauftragsverarbeiters.

10. Unterstützung bei Betroffenenrechten

10.1 Anfragen betroffener Personen, die der Auftragsverarbeiter unmittelbar erhält und die Daten des Verantwortlichen betreffen, leitet er unverzüglich an den Verantwortlichen weiter, sofern er sie nicht selbst erfüllen kann (etwa die Bitte eines Teammitglieds, aus einem Team entfernt zu werden).

10.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen nach Art. 15 bis 22 DSGVO mit den im Dienst vorhandenen Mitteln (Ergebnisansichten, Entfernen eines Mitglieds, Löschen eines Teams) und darüber hinaus auf Anfrage innerhalb angemessener Frist.

11. Löschung und Rückgabe

11.1 Der Verantwortliche kann Teams, Mitglieder und Konten im Dienst jederzeit löschen; das Löschen eines Teams entfernt dessen Mitglieder, Umfragen und Antworten.

11.2 Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen nach schriftlicher Aufforderung oder gibt sie auf Wunsch des Verantwortlichen vor der Löschung in einem gängigen maschinenlesbaren Format zurück. Gesetzliche Aufbewahrungspflichten und Daten in Sicherungskopien, die im gewöhnlichen Betrieb überschrieben werden, bleiben unberührt; solche Daten werden für keinen anderen Zweck verarbeitet.

12. Überprüfungen

12.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung: die aktuelle Liste der Unterauftragsverarbeiter, eine Beschreibung der Maßnahmen nach Ziffer 8 und Antworten auf einen angemessenen Sicherheitsfragebogen.

12.2 Reicht dies nicht aus, kann der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer den Auftragsverarbeiter einmal je Kalenderjahr mit einer Ankündigungsfrist von mindestens 30 Tagen während der Geschäftszeiten und ohne Störung des Betriebs überprüfen. Überprüfungen der Rechenzentren der Hosting-Anbieter werden durch deren eigene Prüfberichte erfüllt, die der Auftragsverarbeiter einholt und weitergibt, soweit ihm dies gestattet ist.

13. Drittlandübermittlungen

13.1 Der Dienst speichert und verarbeitet personenbezogene Daten in der Europäischen Union: die Datenbank in Irland, die Anwendungsserver in Dublin. Eine Übermittlung in ein Drittland ist zur Erbringung des Dienstes nicht beabsichtigt.

13.2 Einige Unterauftragsverarbeiter sind in den USA oder in Singapur ansässig oder liefern statische Inhalte über ein weltweites Netz (Edge-Netzwerk des Hosting-Anbieters) aus und können zu Supportzwecken von außerhalb der EU auf Daten zugreifen. Solche Übermittlungen sind durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den jeweiligen Verträgen mit den Unterauftragsverarbeitern oder, soweit anwendbar, durch einen Angemessenheitsbeschluss der Europäischen Kommission abgesichert. Einzelheiten je Anbieter enthält die Liste der Unterauftragsverarbeiter.

13.3 Der Auftragsverarbeiter übermittelt Daten des Verantwortlichen nicht über das Vorstehende hinaus in ein Drittland ohne vorherige dokumentierte Weisung des Verantwortlichen.

14. Haftung

Die Haftung der Parteien richtet sich nach dem Hauptvertrag. Art. 82 DSGVO bleibt unberührt.

15. Schlussbestimmungen

15.1 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor. 15.2 Änderungen bedürfen der Textform. 15.3 Es gilt deutsches Recht; Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit zwingendes Recht nichts anderes bestimmt. 15.4 Im Zweifel zwischen der englischen und der deutschen Fassung gilt die von den Parteien unterzeichnete Fassung.

[Ort, Datum] [Unterschrift Verantwortlicher]
[Ort, Datum] [Unterschrift Auftragsverarbeiter]