Diese Auftragsverarbeitungsvereinbarung („AVV“) ist Teil der PaperPlane-AGB zwischen dem Geschäftskunden („Verantwortlicher“) und der code & comments kg („Auftragsverarbeiter“). Sie gilt, sobald PaperPlane personenbezogene Daten verarbeitet, deren Zwecke und Mittel der Kunde bestimmt.
1. Weisungen und Umfang
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, einschließlich Vertrag, Konfiguration und Nutzerhandlungen, sofern keine unions- oder mitgliedstaatliche Pflicht besteht. In diesem Fall informieren wir vorab, soweit das Gesetz dies erlaubt. Halten wir eine Weisung für rechtswidrig, informieren wir unverzüglich und dürfen sie bis zur Klärung aussetzen.
Gegenstand, Art, Zweck, Daten und betroffene Personen stehen in Anlage 1. Die Verarbeitung dauert für die Vertragslaufzeit zuzüglich vereinbarter Lösch- und Abruffristen.
2. Vertraulichkeit und Sicherheit
Autorisierte Personen sind zur Vertraulichkeit verpflichtet und erhalten nur erforderliche Zugriffe. Wir unterhalten angemessene technische und organisatorische Maßnahmen nach Art. 32, insbesondere Anlage 2, unter Berücksichtigung von Risiko, Stand der Technik, Kosten und Art der Verarbeitung. Der Kunde ist für rechtmäßige Weisungen, Nutzerverwaltung, Berechtigungen, Empfängerauswahl und verfügbare Sicherheitseinstellungen verantwortlich.
3. Subauftragsverarbeiter
Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die im aktuellen Verzeichnis genannten Subauftragsverarbeiter. Eine beabsichtigte wesentliche Ergänzung oder Ersetzung kündigen wir mindestens 30 Tage vorher an. Der Kunde kann innerhalb dieser Frist aus begründeten Datenschutzgründen widersprechen. Gibt es keine zumutbare Lösung, kann er den betroffenen Dienst vor der Änderung beenden.
Subauftragsverarbeiter werden zu mindestens gleichwertigem Datenschutz verpflichtet. Wir bleiben im Umfang von Art. 28 Abs. 4 für ihre Leistung verantwortlich.
4. Unterstützung
Wir unterstützen den Verantwortlichen unter Berücksichtigung der Verarbeitungsart durch Dienstfunktionen und angemessene Zusatzmaßnahmen bei Betroffenenrechten nach Art. 12–22. Ohne Vollmacht oder Rechtspflicht antworten wir nicht an seiner Stelle. Wir unterstützen bei Sicherheit, Meldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32–36, soweit uns Informationen vorliegen. Außerordentlicher Aufwand darf zu vereinbarten Sätzen verrechnet werden, wenn er nicht durch unsere Pflichtverletzung verursacht wurde.
5. Datenschutzverletzungen
Wir informieren unverzüglich nach Bekanntwerden einer Verletzung betreffend Kundendaten. Soweit verfügbar, nennen wir Art, wahrscheinliche Folgen, Kategorien und ungefähre Anzahl Betroffener und Datensätze, Kontaktstelle sowie getroffene oder vorgeschlagene Maßnahmen. Die Information ist kein Schuldeingeständnis. Der Verantwortliche bleibt mit unserer Unterstützung für Behörden- und Betroffenenmeldungen verantwortlich.
6. Löschung, Rückgabe und Wechsel
Während des Vertrags kann der Kunde Inhalte über Dienstfunktionen abrufen. Bei Vertragsende stellen wir auf schriftliche Anforderung Daten in einem gebräuchlichen maschinenlesbaren Format bereit, soweit technisch verfügbar. Ohne gesetzliche Aufbewahrung werden operative Livesystemdaten nach 30 Tagen Wiederherstellungs-/Abruffrist oder einer früheren endgültigen Löschweisung gelöscht. Rotierende Sicherungen altern nach Anlage 2 aus. Gesetzlich aufbewahrte Abrechnungs- und Nachweisdaten werden vom Arbeitsbereich isoliert und nur für den Aufbewahrungszweck verarbeitet.
7. Nachweise und Audits
Wir stellen angemessene Informationen zum Nachweis von Art. 28 bereit, darunter AVV, Sicherheits-, Subunternehmer- und verfügbare unabhängige Prüfinformationen. Höchstens jährlich, außer bei Vorfall oder Behördenverlangen, kann der Kunde mit angemessener Frist eine Remoteprüfung verlangen. Eine Vor-Ort-Prüfung ist möglich, wenn Dokumentenprüfung nicht reicht, unter Vertraulichkeit, Sicherheitswahrung, geringer Störung und Ersatz angemessener Kosten. Daten anderer Kunden und Systemsicherheit dürfen nicht offengelegt werden.
8. Internationale Übermittlungen
Kundendaten werden im EWR verarbeitet, außer soweit das Subunternehmerverzeichnis oder eine Kundenweisung etwas anderes ausweist. Beschränkte Übermittlungen stützen wir auf einen Angemessenheitsbeschluss oder Standardvertragsklauseln samt Zusatzmaßnahmen. Soweit erforderlich, ermächtigt uns der Kunde zum Abschluss der einschlägigen Processor-to-Processor-Klauseln in seinem Namen. Für eine Transferprüfung stellen wir angemessene Informationen bereit.
9. Haftung und Vorrang
Art. 82 DSGVO und sonstiges zwingendes Recht bleiben unberührt. Vertragliche Haftung und Regress richten sich nach den AGB; keine Beschränkung beeinträchtigt Betroffenenrechte oder Behördenbefugnisse. Bei Widerspruch zur Verarbeitung von Kundendaten geht diese AVV den AGB vor. Standardvertragsklauseln gehen beiden vor.
Anlage 1 — Verarbeitungsbeschreibung
- Gegenstand/Zweck: Betrieb eines Dokumentenarchivs; Upload/Import, Speicherung, OCR, Metadatenextraktion, Indexierung, Suche, KI-Abruf, Freigabe, Signatur, Support, Sicherheit, Sicherung, Löschung und Export.
- Art: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Übermitteln an angewiesene Empfänger/Anbieter, Einschränken, Löschen und Vernichten.
- Personen: Personal, Kunden, Lieferanten, Berater, Bewerber und Personen in Dokumenten; Mitglieder, Freigabeempfänger und Unterzeichner.
- Daten: Identitäts-/Kontaktdaten, Dokumentinhalte/-metadaten, Korrespondenz, Finanz- und Vertragsdaten, Signaturen, Audit-/Zugriffsdaten und vom Kunden hochgeladene Kategorien.
- Sensible Daten: Art.-9- und Art.-10-Daten, wenn der Kunde sie hochlädt. Er muss zuvor Rechtmäßigkeit und Risiko beurteilen.
- Häufigkeit/Dauer: fortlaufend oder nutzergesteuert für Vertrags- und Löschdauer.
Anlage 2 — Technische und organisatorische Maßnahmen
- EU-Hosting für Rechenleistung, Datenbank, Suche und Objektspeicher;
- TLS für öffentliche Übertragung und geschützte HttpOnly-Sitzungscookies;
- Keycloak, rollenbasierter Zugriff und mandantenbezogene Autorisierungsprüfungen;
- Verschlüsselung gespeicherter Connector-Zugänge und verwaltete Produktionsgeheimnisse;
- Netzwerkrichtlinien, minimal berechtigte Dienstidentitäten, Ratenlimits und geschützte Adminwege;
- Auditereignisse für wesentliche Aktionen und Sicherheitsüberwachung;
- Objektversionierung mit regulär 30 Tagen für nicht aktuelle Versionen;
- tägliche PostgreSQL-Sicherungen mit regulär 14 Tagen und dokumentierter Wiederherstellung;
- kontrollierte Bereitstellung, Abhängigkeitsupdates, Vorfallbehandlung und rollenbasierter Zugriff;
- Löschabläufe mit 30 Tagen Wiederherstellung und endgültigen Löschpfaden.
Maßnahmen dürfen bei gleichwertigem oder höherem risikogerechtem Schutz weiterentwickelt werden. Kundenspezifische Anforderungen bedürfen einer schriftlichen Vereinbarung.