Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der „AVV") ist integraler Bestandteil der zwischen dem Kunden („Verantwortlicher") und dem Betreiber dieser Pluma-Instanz („Auftragsverarbeiter", „wir"), dessen vollständige rechtliche Anbieterkennzeichnung im Impressum ausgewiesen ist, geschlossenen Allgemeinen Geschäftsbedingungen. Er gibt die Vereinbarung der Parteien hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen wieder und wird gemäß Art. 28 Abs. 3 der Verordnung (EU) 2016/679 („DSGVO") geschlossen.

1. Gegenstand und Anwendungsbereich

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen ausschließlich zum Zweck der Erbringung des Dienstes wie in den AGB beschrieben. Art, Umfang und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Kategorien personenbezogener Daten sind in Anlage I beschrieben.

2. Begriffsbestimmungen

Die in diesem AVV verwendeten Begriffe „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „Aufsichtsbehörde", „Verletzung des Schutzes personenbezogener Daten" und „Drittland" haben die in Art. 4 DSGVO definierte Bedeutung. Begriffe, die in diesem AVV großgeschrieben verwendet, aber nicht definiert sind, haben die ihnen in den AGB zugewiesene Bedeutung.

3. Rollen der Parteien

Der Verantwortliche ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die er über den Dienst verarbeitet. Der Auftragsverarbeiter ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

4. Laufzeit und Beendigung

Dieser AVV beginnt mit dem Inkrafttreten der AGB und endet automatisch mit deren Ende. Nach Beendigung wird der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten löschen oder zurückgeben, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die weitere Speicherung verlangt.

5. Beschreibung der Verarbeitung

Eine detaillierte Beschreibung der Verarbeitungsvorgänge, der Kategorien betroffener Personen und der Kategorien personenbezogener Daten findet sich in Anlage I. Diese Beschreibung ist Bestandteil der dokumentierten Weisung des Verantwortlichen im Sinne von Art. 28 Abs. 3 lit. a DSGVO.

6. Weisungen und Garantien des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer oder an internationale Organisationen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die AGB und die Konfiguration des Kundenkontos stellen die dokumentierte Weisung des Verantwortlichen dar. Über diese bereits dokumentierten Weisungen hinausgehende Einzelweisungen sind in Textform an [email protected] zu richten.

Der Verantwortliche sichert zu, dass er berechtigt ist, die personenbezogenen Daten im Rahmen dieser Vereinbarung verarbeiten zu lassen, und dass er alle hierfür erforderlichen Einwilligungen eingeholt sowie betroffene Personen ordnungsgemäß informiert hat.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
• sicherstellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen ergreifen (Art. 28 Abs. 3 lit. c DSGVO) — siehe Anlage II;
• die in Ziffer 10 festgelegten Bedingungen für die Inanspruchnahme der Dienste anderer Auftragsverarbeiter einhalten (Art. 28 Abs. 3 lit. d DSGVO);
• den Verantwortlichen, unter Berücksichtigung der Art der Verarbeitung, durch geeignete technische und organisatorische Maßnahmen dabei unterstützen, seinen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person nachzukommen (Art. 28 Abs. 3 lit. e DSGVO);
• den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützen (Art. 28 Abs. 3 lit. f DSGVO);
• nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben (Art. 28 Abs. 3 lit. g DSGVO);
• dem Verantwortlichen alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und Überprüfungen ermöglichen sowie zu diesen beitragen (Art. 28 Abs. 3 lit. h DSGVO).

8. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugang zu den Daten auf das für die Erbringung des Dienstes notwendige Maß beschränkt ist.

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Eine Beschreibung dieser Maßnahmen findet sich in Anlage II. Die Maßnahmen können nach billigem Ermessen weiterentwickelt werden, sofern das Schutzniveau dadurch nicht unterschritten wird.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage III aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, und haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten der Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

11. Unterstützung bei Betroffenenrechten

Soweit möglich unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch).

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet der Auftragsverarbeiter das Ersuchen unverzüglich an den Verantwortlichen weiter und unterstützt diesen, soweit erforderlich, bei der Bearbeitung.

12. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, nachdem er von ihr Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO). Die Meldung umfasst, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Angaben (Art und Umfang des Vorfalls, Kategorien und Anzahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen).

Der Auftragsverarbeiter ergreift unverzüglich die zur Begrenzung der Folgen der Verletzung erforderlichen Schutzmaßnahmen und unterstützt den Verantwortlichen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

13. Datenübermittlung in Drittländer

Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder soweit dies nach Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, erforderlich ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Soweit Übermittlungen in Drittländer erforderlich werden, stellt der Auftragsverarbeiter eine angemessene Schutzgrundlage nach Kapitel V DSGVO sicher, insbesondere Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder einen Angemessenheitsbeschluss.

14. Kontroll- und Auditrechte

Der Verantwortliche hat das Recht, die Einhaltung der Verpflichtungen aus diesem AVV zu kontrollieren, einschließlich durch Anforderung verfügbarer Compliance-Nachweise (z. B. Zertifizierungen, Auditberichte). Vor-Ort-Audits werden mit angemessener Vorlaufzeit (mindestens 30 Tage) und nicht öfter als einmal jährlich angekündigt, sofern keine begründeten Hinweise auf Verstöße vorliegen; sie sind so durchzuführen, dass der laufende Betrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

15. Haftung

Die Haftung der Parteien richtet sich nach den AGB und Art. 82 DSGVO. Soweit eine Partei einer betroffenen Person zum Schadensersatz verpflichtet ist, steht ihr im Innenverhältnis ein Ausgleichsanspruch gegen die andere Partei in dem Umfang zu, in dem diese am Schaden ein Verschulden trifft.

16. Schlussbestimmungen und Kontakt

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die ihrem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Datenschutzanfragen und Weisungen sind an [email protected] zu richten.

Anlage I — Beschreibung der Verarbeitung

Gegenstand der Verarbeitung: Erbringung des Dienstes wie in den AGB beschrieben (Hosten von PDF-Vorlagen, Erzeugen gerenderter PDF-Dokumente, Abwicklung von E-Signaturen, Bereitstellung der zugehörigen Web-Anwendung und REST-API).

Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Übermitteln, Bereitstellen, Löschen.

Zweck der Verarbeitung: Vertragserfüllung und Bereitstellung der Funktionen des Dienstes für den Verantwortlichen.

Dauer der Verarbeitung: Für die Laufzeit des Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter.

Kategorien betroffener Personen: Mitarbeiter und sonstige Nutzer des Verantwortlichen; Endkunden des Verantwortlichen, deren Daten in PDF-Vorlagen verarbeitet werden; ggf. Empfänger von E-Signaturanfragen.

Kategorien personenbezogener Daten:Stammdaten (Name, E-Mail, Anrede), Kontoinformationen, beliebige durch den Verantwortlichen in PDF-Vorlagen eingespeiste Inhalte (z. B. Vertragsdaten, Rechnungsangaben), technische Verbindungsdaten (IP, User-Agent, Anfragezeitpunkt).

Besondere Kategorien: Werden nur dann verarbeitet, wenn der Verantwortliche entsprechende Daten in seine Vorlagen einspielt. Eine bewusste oder gezielte Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) findet durch uns nicht statt.

Anlage II — Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die folgenden Maßnahmen gemäß Art. 32 DSGVO. Die Aufzählung ist nicht abschließend; einzelne Maßnahmen können zur Aufrechterhaltung des Schutzniveaus weiterentwickelt werden.

• Verschlüsselung: TLS 1.2+ für sämtliche Übertragungen; Verschlüsselung gespeicherter Inhalte im Objektspeicher; Passwort-Hashes mit bcrypt (12 Runden); API-Schlüssel als SHA-256-Hashes (keine Wiederherstellung möglich, nur Widerruf).
• Zugriffskontrolle: rollenbasierte Berechtigungen pro Workspace; Authentifizierung über E-Mail/Passwort oder OAuth; Postgres Row-Level-Security zur mandantenseitigen Trennung auf Datenbankebene; Zwei-Faktor- Authentifizierung für administrative Konten.
• Mitarbeiterverpflichtung: Mitarbeiter und Auftragsbearbeiter sind zur Vertraulichkeit verpflichtet und erhalten Zugriff nur soweit dies zur Aufgabenerfüllung erforderlich ist.
• Protokollierung: Server- und Auditlogs für sicherheitsrelevante Vorgänge (30 bzw. 12 Monate).
• Wiederherstellbarkeit: regelmäßige Backups der Anwendungsdaten; dokumentierte Wiederherstellungsprozesse.
• Datentrennung: Trennung von Mandantendaten durch Workspace-/Tenant-Schlüssel auf jedem Datensatz sowie auf Datenbankebene.
• Pseudonymisierung und Minimierung:Verarbeitung nur der für die Erbringung des Dienstes erforderlichen Daten; Pseudonymisierung, soweit dies mit dem Zweck der Verarbeitung vereinbar ist.
• Sicherheitsüberprüfung: regelmäßige Schwachstellen-Scans, Sicherheitsupdates der eingesetzten Komponenten und Pflichten zum Patch-Management.
• Incident Response: dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen und Meldung von Datenpannen an den Verantwortlichen ohne unangemessene Verzögerung.

Anlage III — Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Eine aktuelle Liste ist jederzeit auf Anfrage erhältlich; Änderungen werden gemäß Ziffer 10 angekündigt.