Auftragsverarbeitungsvertrag

1. Gegenstand und Rollen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung des PaperHero-Dienstes. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und für die hochgeladenen Inhalte verantwortlich.

2. Dauer

Dieser AV-Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, d. h. für die Laufzeit des zugrunde liegenden Vertrags.

3. Art der Verarbeitung, Datenarten und betroffene Personen

• •Art und Zweck: Speicherung, Texterkennung (OCR), Indexierung für die Suche, KI-gestützte Analyse, Freigabe und damit zusammenhängende Vorgänge der Dokumentenverwaltung.
• •Arten personenbezogener Daten: sämtliche personenbezogenen Daten, die in den vom Verantwortlichen hochgeladenen oder erzeugten Dokumenten, Dateien, Metadaten und KI-Eingaben enthalten sind (z. B. Namen, Kontaktdaten, Vertrags- und Finanzdaten sowie sonstige Inhalte).
• •Kategorien betroffener Personen: nach Maßgabe der Inhalte des Verantwortlichen – typischerweise der Verantwortliche, seine Familienangehörigen, Kunden, Vertragspartner oder sonstige in den Dokumenten genannte Personen.

4. Pflichten des Auftragsverarbeiters

• •Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung des Verantwortlichen (wozu auch die Nutzung der Funktionen des Dienstes zählt); Hinweis an den Verantwortlichen, wenn eine Weisung gegen Datenschutzrecht verstößt.
• •Sicherstellung, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• •Umsetzung der in Abschnitt 7 genannten geeigneten technischen und organisatorischen Maßnahmen.
• •Unterstützung des Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen und bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO.
• •Nach Wahl des Verantwortlichen Löschung oder Rückgabe der personenbezogenen Daten nach Beendigung der Leistungserbringung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• •Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen sowie Ermöglichung und Beitrag zu Überprüfungen (Audits).
• •Unverzügliche Benachrichtigung des Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Der Auftragsverarbeiter setzt derzeit die in seiner Datenschutzerklärung genannten Unterauftragsverarbeiter ein (insbesondere Hetzner für das Hosting sowie Requesty.ai zusammen mit OpenAI, Anthropic, Google und Mistral für die KI-Verarbeitung über in der EU gelegene Endpunkte).

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und räumt dem Verantwortlichen die Möglichkeit ein, aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Verantwortliche Einspruch, kann der Auftragsverarbeiter die betroffene Leistung oder den Vertrag beenden.

Der Auftragsverarbeiter verpflichtet seine Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten dieses AV-Vertrags entsprechen.

6. Rechte betroffener Personen und Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen so weit wie möglich mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen. PaperHero stellt hierfür Self-Service-Funktionen zum Export und zur Löschung bereit.

7. Technische und organisatorische Maßnahmen

• •Ende-zu-Ende-Verschlüsselung der Dokumente; Verschlüsselungsschlüssel durch das Passwort des Nutzers geschützt; optionale Speicherung der Schlüssel ausschließlich auf den eigenen Geräten.
• •Verschlüsselung bei der Übertragung (TLS) und Passwort-Hashing mit scrypt.
• •Logische Trennung der Daten jedes Kunden in einer eigenen Datenbank und einem eigenen Speicherbereich (Mandantentrennung).
• •Zugriffskontrollen, rollenbasierte Berechtigungen und optionale Zwei-Faktor-Authentifizierung.
• •Hosting innerhalb der EU (Deutschland) auf zugangsgeschützter Infrastruktur, mit Backups und Protokollierung.
• •Dokumentierte Prozesse für die Reaktion auf Vorfälle und für die Löschung.

8. Internationale Übermittlungen

Die Verarbeitung im Rahmen dieses AV-Vertrags findet innerhalb der EU statt. Der Auftragsverarbeiter übermittelt die Dokumentendaten des Verantwortlichen nicht in Drittländer; die KI-Verarbeitung erfolgt über in der EU gelegene Endpunkte.

9. Haftung und Rangfolge

Die Haftung richtet sich nach dem zugrunde liegenden Vertrag und der DSGVO. Bei Widersprüchen zwischen diesem AV-Vertrag und den Nutzungsbedingungen in Bezug auf den Datenschutz geht dieser AV-Vertrag vor.

10. Löschung und Rückgabe

Bei Beendigung löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen gemäß seiner Datenschutzerklärung (Zugriff sofort deaktiviert, Löschung innerhalb von 30 Tagen), sofern keine gesetzliche Aufbewahrungspflicht besteht.

Kontakt

Für eine gegengezeichnete Ausfertigung dieses AV-Vertrags oder bei Fragen zum Datenschutz:

privacy@paperhero.io

blaumedia GmbH
Friedrich-Ebert-Hof 6
22763 Hamburg
Deutschland