Vertrag über die Auftragsverarbeitung

Vertragsparteien

Dieser Vertrag über die Auftragsverarbeitung (nachfolgend „Vertrag" oder „AVV") wird geschlossen zwischen:

dem Kunden — der natürlichen oder juristischen Person, die die Software DokuProof nutzt und hierbei personenbezogene Daten verarbeiten lässt —
– nachfolgend „Verantwortlicher" –

und

Paul Plötner, handelnd unter der Geschäftsbezeichnung DokuProof, Hermann-Mattern-Promenade 3, 14469 Potsdam
Betreiber der Softwarelösung DokuProof (dokuproof.de)
– nachfolgend „Auftragsverarbeiter" –

– Verantwortlicher und Auftragsverarbeiter nachfolgend gemeinsam„Parteien" –

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen die Softwarelösung DokuProof zur Verfügung. Mit dieser erstellt der Verantwortliche eine Verfahrensdokumentation zur Digitalisierung und elektronischen Aufbewahrung von Belegen einschließlich der Vernichtung von Papierbelegen.

Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 DSGVO. Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Softwarelösung DokuProof zur Erstellung einer Verfahrensdokumentation zur Digitalisierung und elektronischen Aufbewahrung von Belegen einschließlich der Vernichtung von Papierbelegen.

(2) Art der Verarbeitung umfasst das Erheben, Erfassen, Speichern, Ordnen, Verändern, Auslesen, Verwenden und Löschen personenbezogener Daten mittels der Software sowie deren Verarbeitung durch die in Anlage 1 genannten Sub-Auftragsverarbeiter. Der Verantwortliche kann den Auftragsverarbeiter auf sein eigenes elektronisches Ablagesystem verweisen, indem er die entsprechende Empfangsadresse in seinem Konto hinterlegt. Der Auftragsverarbeiter übermittelt die vom Verantwortlichen erzeugte Verfahrensdokumentation an diese Adresse, sobald der Verantwortliche die Übermittlung veranlasst hat oder eine erste Prüfung durch den Auftragsverarbeiter erfolgt ist. Das Ablagesystem wird ausschließlich vom Verantwortlichen ausgewählt und betrieben; der Auftragsverarbeiter handelt dabei im Auftrag und nach Weisung des Verantwortlichen, ohne mit dem Betreiber des Ablagesystems eine gemeinsame Verantwortlichkeit zu begründen. Der Verantwortliche ist für die Auswahl des Ablagesystems und seine datenschutzrechtliche Beziehung zu dessen Betreiber selbst verantwortlich.

(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der vorgenannten Leistung für den Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Abwicklung der Zahlung der eigenen Vergütung ist eigene Verarbeitung des Auftragsverarbeiters und nicht Gegenstand der Auftragsverarbeitung für den Kunden.

(4) Dauer der Verarbeitung entspricht der Laufzeit des zugrunde liegenden Nutzungsverhältnisses. Der Vertrag endet mit dessen Beendigung, jedoch nicht vor der vollständigen Erfüllung der Löschungs- und Rückgabepflichten nach § 9; die Verarbeitung dauert für die dort geregelte Aufbewahrungsfrist fort.

§ 2 Kreis der Betroffenen und Kategorien personenbezogener Daten

(1) Kreis der betroffenen Personen: Beschäftigte des Verantwortlichen (Mitarbeiterinnen und Mitarbeiter) sowie der Inhaber bzw. die verantwortlichen Leitungspersonen des Betriebs des Verantwortlichen.

(2) Kategorien personenbezogener Daten: Name, betriebliche Funktion und Rolle im dokumentierten Prozess, Angaben zur Inhaber- bzw. Leitungsfunktion sowie Freitextangaben, die der Verantwortliche oder seine Beschäftigten im Rahmen der Prozessdokumentation eingeben.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Patienten- oder Endkundendaten sind nicht Gegenstand der vertraglich vereinbarten Leistung. Der Verantwortliche ist verpflichtet, solche Daten nicht in die Software einzugeben.

§ 3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, soweit er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). Er informiert den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Informationsübermittlung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

(2) Die Weisungen werden zunächst durch diesen Vertrag festgelegt und können vom Verantwortlichen in Textform geändert, ergänzt oder ersetzt werden. Die Nutzung der Funktionen der Software durch den Verantwortlichen gilt insoweit als Einzelweisung.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 2 beschrieben.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere die Unterstützung bei der Erstellung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), soweit die dafür erforderlichen Informationen dem Auftragsverarbeiter vorliegen.

(4) Der Auftragsverarbeiter benennt dem Verantwortlichen auf Anfrage eine Ansprechstelle für Datenschutzbelange. Anfragen können an kontakt@dokuproof.de gerichtet werden.

(5) Der Auftragsverarbeiter ist nach eigener Prüfung nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Er teilt dem Verantwortlichen mit, sollte sich dies ändern.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter setzt die in Anlage 2 dargestellten technischen und organisatorischen Maßnahmen um und hält sie während der Vertragslaufzeit ein.

(2) Die Maßnahmen können im Laufe des Vertragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Auftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Sub-Auftragsverarbeiter sind in Anlage 1 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragsverarbeiter schließt mit jedem Sub-Auftragsverarbeiter einen Vertrag ab, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(3) Beabsichtigt der Auftragsverarbeiter, einen Sub-Auftragsverarbeiter hinzuzufügen oder auszutauschen, informiert er den Verantwortlichen hierüber in Textform. Der Verantwortliche kann einer Änderung binnen 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen.

(4) Die eingesetzten Sub-Auftragsverarbeiter verarbeiten die Daten überwiegend innerhalb der Europäischen Union. Soweit im Rahmen der Leistungserbringung eine Verarbeitung durch Anbieter mit Sitz außerhalb der EU/des EWR erfolgt, geschieht dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Der Auftragsverarbeiter arbeitet kontinuierlich daran, die Anzahl der außereuropäischen Verarbeitungsvorgänge zu reduzieren, und informiert den Verantwortlichen über wesentliche Änderungen gemäß § 6 Abs. 3.

§ 7 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- oder Datenübertragungsverlangen unmittelbar an den Auftragsverarbeiter, leitet dieser das Verlangen unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte, soweit dies im Rahmen der Software möglich ist.

§ 8 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, damit der Verantwortliche seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen kann.

(2) Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung.

§ 9 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Vertragsverhältnisses archiviert der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten und löscht sie spätestens zum Ende des dritten auf die Beendigung folgenden Kalenderjahres, sofern nicht der Verantwortliche eine frühere Löschung oder Rückgabe wünscht oder nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Aufbewahrung dient der Sicherung möglicher Ansprüche aus dem Vertragsverhältnis bis zum Ablauf der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB). Geeignete organisatorische Maßnahmen stellen die fristgerechte Löschung sicher.

(2) Die im Auftrag verarbeiteten personenbezogenen Daten unterliegen bei dem Auftragsverarbeiter keiner eigenen gesetzlichen Aufbewahrungspflicht. Etwaige gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und sind von diesem zu beachten.

(3) In Sicherungskopien (Backups) enthaltene Daten werden im Rahmen des regulären, rollierenden Sicherungszyklus überschrieben. Backups dienen ausschließlich der Wiederherstellung im Störungsfall; ein aus dem Produktivsystem gelöschter Datensatz wird gemäß der festgelegten Aufbewahrungsfrist (Retention) mit dem turnusmäßigen Überschreiben der Sicherungskopien entfernt. Einzelheiten ergeben sich aus dem Löschkonzept des Auftragsverarbeiters.

(4) Zum Nachweis der ordnungsgemäßen Beendigung des Vertragsverhältnisses führt der Auftragsverarbeiter einen von den übrigen Kundendaten getrennten, auf das erforderliche Minimum beschränkten Protokolleintrag (u. a. Name des Mandanten, verantwortliche Person, Version und Datum der Zustimmung zu AVV und AGB, Zeitpunkt der Löschung). Dieser Eintrag wird bis zum Ende des dritten auf seine Erstellung folgenden Kalenderjahres aufbewahrt und danach gelöscht.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann durch die Vorlage der Anlage 2, geeigneter Bescheinigungen der Sub-Auftragsverarbeiter oder gleichwertiger Dokumentation geführt werden. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung und ohne unangemessene Störung des Geschäftsbetriebs zulässig.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Regelungen des zugrunde liegenden Nutzungsverhältnisses.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem zugrunde liegenden Nutzungsvertrag gehen die Regelungen dieses Vertrages in datenschutzrechtlicher Hinsicht vor.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

§ 13 Zustandekommen des Vertrages

Dieser Vertrag wird im Rahmen des Onboardings in der Softwarelösung DokuProof geschlossen. Der Verantwortliche nimmt den Vertragstext dort zur Kenntnis und schließt ihn durch aktive Bestätigung („Auftragsverarbeitungsvertrag abschließen") rechtsverbindlich ab.

Mit der Bestätigung erklärt die handelnde Person zugleich, zur Vertretung des Verantwortlichen berechtigt zu sein. Zeitpunkt der Bestätigung und die akzeptierte Vertragsfassung werden zu Nachweiszwecken gespeichert.

Anlage 1 — Verzeichnis der Sub-Auftragsverarbeiter

Der Auftragsverarbeiter setzt zur Erbringung der Leistung die nachfolgenden Sub-Auftragsverarbeiter ein. Mit jedem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Verarbeitung erfolgt überwiegend innerhalb der Europäischen Union; verbleibende Drittlandübermittlungen sind in der nachfolgenden Tabelle ausgewiesen und über die jeweils genannten zulässigen Transfermechanismen nach Art. 45 oder 46 DSGVO abgesichert.

Hinweis zur KI-Verarbeitung: Die KI-gestützte Textverarbeitung erfolgt über Amazon Bedrock innerhalb der EU (EU-Geo-Inferenzprofil; die Verarbeitung kann dabei auf mehrere EU-Mitgliedstaaten verteilt sein). Der verschlüsselte Backup-Speicher liegt in Frankfurt (eu-central-1). Nach Angaben von AWS werden Eingaben nicht zum Training von KI-Modellen verwendet und im Regelbetrieb nicht über die Verarbeitung hinaus gespeichert.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO. Die Maßnahmen gewährleisten ein dem Risiko angemessenes Schutzniveau.

1 Vertraulichkeit

Diese Maßnahmen werden fortlaufend überprüft und bei Bedarf an den Stand der Technik angepasst, ohne das vereinbarte Schutzniveau zu unterschreiten.