Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Ihnen („Kunde“, der Verantwortliche) und DocuTract („DocuTract“, der Auftragsverarbeiter). Er regelt die Verarbeitung personenbezogener Daten durch DocuTract, die in den von Ihnen hochgeladenen Dokumenten, Scans und Vorlagen enthalten sind („personenbezogene Daten des Kunden“), und setzt die Anforderungen von Artikel 28 der EU-Datenschutz-Grundverordnung (DSGVO) um.

Rollen der Parteien

Der Kunde ist der Verantwortliche und entscheidet über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten des Kunden. DocuTract ist der Auftragsverarbeiter und verarbeitet die personenbezogenen Daten des Kunden ausschließlich auf dokumentierte Weisung des Kunden, einschließlich der Weisungen, die durch die normale Nutzung des Dienstes erteilt werden. Soweit DocuTract für Konto- und Abrechnungsdaten als Verantwortlicher handelt, gilt stattdessen die Datenschutzerklärung.

Gegenstand und Dauer

Gegenstand ist die Verarbeitung, die zur Bereitstellung von DocuTract erforderlich ist - das Extrahieren von Feldern aus hochgeladenen Scans und das Erstellen ausgefüllter Dokumente. Die Verarbeitung dauert für die Laufzeit der Nutzungsbedingungen an und bis die personenbezogenen Daten des Kunden gemäß diesem AVV gelöscht sind.

Art und Zweck der Verarbeitung

DocuTract verarbeitet die personenbezogenen Daten des Kunden, um hochgeladene Dateien zu empfangen, die automatisierte Extraktion durchzuführen, Vorlagen zu befüllen, Ausgabedokumente zu erstellen und diese Dokumente und Scans im Auftrag des Kunden zu speichern.

Kategorien von Daten und betroffenen Personen

Der Kunde bestimmt, was er hochlädt. Die personenbezogenen Daten des Kunden können Identitäts-, Kontakt-, Ausweisdokument-, Finanz- und sonstige Angaben umfassen, die in den Quelldateien des Kunden enthalten sind. Betroffene Personen können Mandanten bzw. Kunden, Beschäftigte und Vertragspartner des Kunden sowie alle in den Dokumenten des Kunden genannten Personen sein.

Besondere Kategorien von Daten

DocuTract ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO, etwa Gesundheitsdaten) oder für Daten über strafrechtliche Verurteilungen und Straftaten (Artikel 10 DSGVO) ausgelegt. Der Kunde lädt solche Daten nur hoch, wenn er über eine gültige Rechtsgrundlage für diese Verarbeitung verfügt und DocuTract vorab schriftlich informiert hat, damit die Parteien etwaige zusätzliche Garantien vereinbaren können.

Pflichten von DocuTract

DocuTract wird:

die personenbezogenen Daten des Kunden ausschließlich auf dokumentierte Weisung des Kunden verarbeiten;
sicherstellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
die unten beschriebenen technischen und organisatorischen Maßnahmen umsetzen;
die personenbezogenen Daten des Kunden weder zum Trainieren von Modellen des maschinellen Lernens noch für andere Zwecke als die Erbringung des Dienstes verwenden;
den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen sowie bei seinen Pflichten zur Sicherheit, zur Meldung von Verletzungen und zur Datenschutz-Folgenabschätzung unterstützen.

Sicherheitsmaßnahmen

DocuTract unterhält geeignete technische und organisatorische Maßnahmen, darunter Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand (die Datenbank und der Dateispeicher werden von ihren Anbietern verschlüsselt), Zugriffskontrollen nach dem Prinzip der minimalen Rechte mit Authentifizierung, Zwei-Faktor-Authentifizierung für Nutzer (die der Inhaber eines Arbeitsbereichs verpflichtend machen kann) und verpflichtende Zwei-Faktor-Authentifizierung für Administratoren von DocuTract, einen privaten Dateispeicher, der nie öffentlich zugänglich ist und nur über kurzlebige, signierte und auf einen Arbeitsbereich beschränkte URLs freigegeben wird, die logische Trennung der Daten jedes Arbeitsbereichs, ein nur erweiterbares Zugriffsprotokoll über Änderungen an und Abrufe von personenbezogenen Daten des Kunden sowie über jeden Zugriff von Administratoren, die PDF-Erstellung auf DocuTracts eigenen Servern und die regelmäßige Überprüfung dieser Maßnahmen.

Unterauftragsverarbeiter

Der Kunde ermächtigt DocuTract, zur Erbringung des Dienstes Unterauftragsverarbeiter hinzuzuziehen. DocuTract erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem AVV, und bleibt für deren Erfüllung verantwortlich. Die derzeitigen Unterauftragsverarbeiter sind:

Anthropic Ireland, Limited (Irland) - KI-Erkennung von Text und Feldern in hochgeladenen Scans und Analyse hochgeladener Vorlagen. Es erhält nur Dateiinhalte - keine Dateinamen oder Kontokennungen. Anthropic speichert Daten in den Vereinigten Staaten, kann sie in anderen Ländern verarbeiten, in denen es tätig ist, bewahrt Eingaben und Ausgaben bis zu 30 Tage auf und verwendet sie nicht zum Trainieren von Modellen.
Hetzner Online GmbH (Deutschland) - Server-Hosting in einem Rechenzentrum in Falkenstein, Deutschland: die Anwendung, Job-Warteschlangen und die PDF-Erstellung.
Supabase, Inc. (Vereinigte Staaten) - Datenbank, Nutzeranmeldung und privater Dateispeicher (Vorlagen, Scans und erstellte Dokumente), gehostet in Irland (EU) und im Ruhezustand verschlüsselt.
Stripe (Stripe, Inc. und verbundene Unternehmen, einschließlich Stripe Payments Europe, Limited) - Abrechnung von Abonnements und Einmalzahlungen (nur Konto- und Abrechnungsdaten, niemals Dokumenteninhalte).
Zone Media OÜ (Zone.eu, Estland) - das E-Mail-Hosting, über das DocuTract E-Mails versendet, einschließlich der E-Mail mit den Links zu einem bezahlten Dokument (Adresse des Empfängers, Betreff und Text; das Dokument selbst wird nicht angehängt).
PostHog, Inc. (Produktanalyse) - datenschutzfreundliche Website-Analyse, gehostet in der EU und nur mit Einwilligung des Besuchers aktiv, wobei alle Texte und Eingaben maskiert werden. Es verarbeitet nicht den Inhalt hochgeladener Dokumente oder Scans.

DocuTract kündigt jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters vorab an, damit der Kunde aus berechtigten datenschutzrechtlichen Gründen widersprechen kann.

Internationale Übermittlungen

Einige Unterauftragsverarbeiter verarbeiten personenbezogene Daten des Kunden außerhalb des EWR - insbesondere Anthropic, das Daten in den Vereinigten Staaten speichert, und Stripe, das in den Vereinigten Staaten niedergelassen ist. Supabase hostet unsere Daten in Irland, ist aber in den Vereinigten Staaten niedergelassen, weshalb ein Fernzugriff von dort als Übermittlung behandelt wird. Für jede solche Übermittlung stützt sich DocuTract auf die Standardvertragsklauseln der Europäischen Kommission, die in die Datenverarbeitungsbedingungen des Unterauftragsverarbeiters aufgenommen sind, oder, sofern verfügbar, auf einen Angemessenheitsbeschluss (wie das EU-US Data Privacy Framework), zusammen mit den oben dargelegten technischen Maßnahmen.

Verletzung des Schutzes personenbezogener Daten

DocuTract benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Kunden betrifft, und übermittelt die Informationen, die der Kunde vernünftigerweise zur Erfüllung seiner eigenen Meldepflichten benötigt.

Rückgabe und Löschung

Bei Beendigung des Dienstes oder auf schriftliches Verlangen des Kunden an legal@docutract.online löscht DocuTract die personenbezogenen Daten des Kunden oder gibt sie zurück und löscht vorhandene Kopien innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Kopien bei Unterauftragsverarbeitern werden innerhalb von deren eigenen Aufbewahrungsfristen gelöscht (bei Anthropic bis zu 30 Tage nach der Verarbeitung).

Prüfungen

DocuTract stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und wirkt bei Prüfungen, einschließlich Inspektionen, mit, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, nach angemessener Vorankündigung und unter Wahrung der Vertraulichkeit.

Haftung und Vorrang

Sollte zwischen diesem AVV und den Nutzungsbedingungen ein Widerspruch in Bezug auf die Verarbeitung personenbezogener Daten bestehen, hat dieser AVV Vorrang. Fragen zu diesem AVV? Schreiben Sie an legal@docutract.online.