Auftragsverarbeitungsvertrag (AVV)

Gegenstand & Rollen der Parteien

Verantwortlicher (Auftraggeber): der Kunde, der die Plattform nutzt und über Zweck und Mittel der Verarbeitung der eingestellten Daten entscheidet.

Auftragsverarbeiter (Auftragnehmer):

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen (Art. 28, 29 DSGVO).

Gegenstand, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung einer SaaS-Plattform zur Dokumentenverwaltung, -speicherung, -suche und optionalen KI-gestützten Verarbeitung.

Art der Verarbeitung: Erheben, Speichern, Organisieren, Indizieren, Durchsuchen, Anzeigen, Übermitteln (an gewählte Subdienstleister), Löschen.

Zweck: Erfüllung des Nutzungsvertrags (AGB) — Verwaltung der vom Verantwortlichen eingestellten Dokumente und Daten.

Dauer: Für die Laufzeit des Nutzungsvertrags. Nach Beendigung gilt § 10 (Löschung/Rückgabe).

Art der Daten & Kategorien Betroffener

Kategorien personenbezogener Daten (vom Verantwortlichen bestimmt):

• Stammdaten (Namen, Anschriften, Kontaktdaten)
• Dokumenteninhalte und daraus extrahierter Text (OCR), Metadaten, Tags
• Kommunikations- und Nachrichteninhalte (Team-Chat)
• ggf. besondere Kategorien (Art. 9), sofern vom Verantwortlichen eingestellt

Kategorien betroffener Personen: Kunden, Mandanten, Mitarbeiter, Lieferanten und sonstige Geschäftspartner des Verantwortlichen.

Weisungsbindung

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Konfiguration über die Plattform. Mündliche Weisungen werden unverzüglich schriftlich (Textform genügt) bestätigt.

Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 lit. h DSGVO).

Pflichten des Auftragnehmers

• Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29).
• Sicherheit: Umsetzung der Maßnahmen nach Art. 32 DSGVO (§ 6).
• Subunternehmer: Einsatz nur gemäß § 7.
• Unterstützung: Mitwirkung bei Betroffenenrechten und Sicherheit (§ 8, § 9).
• Rechenschaft: Bereitstellung der erforderlichen Nachweise (§ 11).

Technisch-organisatorische Maßnahmen (Art. 32)

• Verschlüsselung: TLS/HTTPS bei der Übertragung; verschlüsselte Backups.
• Mandantentrennung: dedizierte Datenbank pro Unternehmen (Database-per-Tenant) — strikte logische Isolierung.
• Zugriffskontrolle: rollenbasierte Berechtigungen, Passwort-Hashing (bcrypt), Zwei-Faktor-Authentifizierung (2FA).
• Malware-Schutz: Antivirus-Prüfung (ClamAV) bei jedem Upload.
• Netzwerk/Server: Firewall- und Container-Isolierung, ausschließlich SSH-Key-Zugriff, automatische Sicherheitsupdates.
• Verfügbarkeit/Wiederherstellbarkeit: verschlüsselte EU-Backups, unveränderliche (WORM) Off-site-Sicherung.
• Protokollierung: Audit-Logs sicherheitsrelevanter Aktionen.

Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter. Jeder ist vertraglich (Art. 28) verpflichtet:

• Hetzner Online GmbH (DE) — Hosting, Speicher, Backups (EU). DPA
• Cloudflare — CDN, Tunnel, Sicherheit. DPA
• Stripe — Zahlungsabwicklung. Datenschutz
• Brevo — E-Mail-Versand (transaktional). Bedingungen
• OpenAI / Anthropic / Google — optionale KI-Funktionen, nur bei Aktivierung, API-Modus, kein Training (EU-US DPF / SCCs).

Unterstützung & Betroffenenrechte

Der Auftragnehmer unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch — Art. 15–21) sowie bei Datenschutz-Folgenabschätzungen (Art. 35) und Konsultationen (Art. 36).

Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2) und unterstützt bei Meldepflichten gegenüber Aufsichtsbehörde (72 Stunden) und betroffenen Personen (Art. 33, 34).

Löschung & Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, und vorhandene Kopien werden gelöscht — innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g). Ein Datenexport ist über die Plattform möglich.

Nachweise & Kontrollrechte

Der Auftragnehmer stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen beauftragten Prüfer (Art. 28 Abs. 3 lit. h), nach angemessener Vorankündigung und ohne Beeinträchtigung des Betriebs anderer Mandanten.

Haftung & Schlussbestimmungen

Es gilt die Haftungsregelung des Art. 82 DSGVO. Ergänzend gelten die Haftungsbestimmungen der AGB. Bei Widersprüchen zwischen diesem AVV und den AGB geht hinsichtlich der Datenverarbeitung dieser AVV vor.

Es gilt deutsches Recht. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.