Auftragsverarbeitungsvertrag

1. Gegenstand und Rollen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung des PaperHero-Dienstes. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und für die hochgeladenen Inhalte verantwortlich.

2. Dauer

Dieser AV-Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, d. h. für die Laufzeit des zugrunde liegenden Vertrags.

3. Art der Verarbeitung, Datenarten und betroffene Personen

• Art und Zweck: Speicherung, Texterkennung (OCR), Indexierung für die Suche, KI-gestützte Analyse, Freigabe und damit zusammenhängende Vorgänge der Dokumentenverwaltung.
• Arten personenbezogener Daten: sämtliche personenbezogenen Daten, die in den vom Verantwortlichen hochgeladenen oder erzeugten Dokumenten, Dateien, Metadaten und KI-Eingaben enthalten sind (z. B. Namen, Kontaktdaten, Vertrags- und Finanzdaten sowie sonstige Inhalte).
• Kategorien betroffener Personen: nach Maßgabe der Inhalte des Verantwortlichen – typischerweise der Verantwortliche, seine Familienangehörigen, Kunden, Vertragspartner oder sonstige in den Dokumenten genannte Personen.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung des Verantwortlichen (wozu auch die Nutzung der Funktionen des Dienstes zählt); Hinweis an den Verantwortlichen, wenn eine Weisung gegen Datenschutzrecht verstößt.
• Sicherstellung, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• Umsetzung der in Abschnitt 7 genannten geeigneten technischen und organisatorischen Maßnahmen.
• Unterstützung des Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen und bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO.
• Nach Wahl des Verantwortlichen Löschung oder Rückgabe der personenbezogenen Daten nach Beendigung der Leistungserbringung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen sowie Ermöglichung und Beitrag zu Überprüfungen (Audits).
• Unverzügliche Benachrichtigung des Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Der Auftragsverarbeiter setzt derzeit die in seiner Datenschutzerklärung genannten Unterauftragsverarbeiter ein. Für Hosting und Speicherung ist dies die Hetzner Online GmbH (Deutschland). Texterkennung und KI-Assistent laufen in drei Hosting-Stufen: PaperHero Hosting auf eigenen Servern des Auftragsverarbeiters in Deutschland; German Hosting bei der AKI.IO GmbH, Marienburger Str. 1, 10405 Berlin, Deutschland, die für die GPU-Infrastruktur ihrerseits die AIME GmbH unter derselben Anschrift als Unterauftragsverarbeiter hinzuzieht; mit der AKI.IO GmbH besteht ein Auftragsverarbeitungsvertrag einschließlich einer Zusatzvereinbarung für Berufsgeheimnisträger nach § 203 StGB; sowie EU Hosting bei der Mistral AI SAS in Frankreich, deren Schnittstelle der Auftragsverarbeiter unmittelbar anspricht. Weitere KI-Unterauftragsverarbeiter setzt der Auftragsverarbeiter nicht ein. Suchindizes (Embeddings) werden in jeder Stufe auf der eigenen Infrastruktur des Auftragsverarbeiters berechnet und an keinen KI-Unterauftragsverarbeiter übermittelt.

Ist eine Hosting-Stufe vorübergehend nicht verfügbar, kann die Verarbeitung für die Dauer der Störung eine Stufe nach unten ausweichen: PaperHero Hosting auf German Hosting und German Hosting auf EU Hosting. Ein Ausweichen an einen Unterauftragsverarbeiter außerhalb der EU erfolgt nicht; jeder solche Wechsel wird im Verarbeitungsprotokoll des betroffenen Dokuments festgehalten.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und räumt dem Verantwortlichen die Möglichkeit ein, aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Verantwortliche Einspruch, kann der Auftragsverarbeiter die betroffene Leistung oder den Vertrag beenden.

Der Auftragsverarbeiter verpflichtet seine Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten dieses AV-Vertrags entsprechen.

6. Rechte betroffener Personen und Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen so weit wie möglich mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen. PaperHero stellt hierfür Self-Service-Funktionen zum Export und zur Löschung bereit.

7. Technische und organisatorische Maßnahmen

• Ende-zu-Ende-Verschlüsselung der Dokumente; Verschlüsselungsschlüssel durch das Passwort des Nutzers geschützt; optionale Speicherung der Schlüssel ausschließlich auf den eigenen Geräten.
• Verschlüsselung bei der Übertragung (TLS) und Passwort-Hashing mit scrypt.
• Logische Trennung der Daten jedes Kunden in einer eigenen Datenbank und einem eigenen Speicherbereich (Mandantentrennung).
• Zugriffskontrollen, rollenbasierte Berechtigungen und optionale Zwei-Faktor-Authentifizierung.
• Hosting innerhalb der EU (Deutschland) auf zugangsgeschützter Infrastruktur, mit Backups und Protokollierung.
• Dokumentierte Prozesse für die Reaktion auf Vorfälle und für die Löschung.

8. Internationale Übermittlungen

Die Verarbeitung im Rahmen dieses AV-Vertrags findet innerhalb der EU statt. Der Auftragsverarbeiter übermittelt die Dokumentendaten des Verantwortlichen nicht in Drittländer. Die KI-Verarbeitung erfolgt in jeder Hosting-Stufe innerhalb der EU - auf eigener Infrastruktur des Auftragsverarbeiters in Deutschland, bei einem Anbieter in Deutschland oder bei einem Anbieter in Frankreich - und zwar auch dann, wenn eine Stufe vorübergehend eine Ebene nach unten ausweicht, da ein Ausweichen stets nur auf eine andere EU-Stufe erfolgt. Keiner der an der Speicherung oder Verarbeitung der Dokumentendaten beteiligten Dienstleister unterliegt dem US-amerikanischen CLOUD Act.

9. Haftung und Rangfolge

Die Haftung richtet sich nach dem zugrunde liegenden Vertrag und der DSGVO. Bei Widersprüchen zwischen diesem AV-Vertrag und den Nutzungsbedingungen in Bezug auf den Datenschutz geht dieser AV-Vertrag vor.

10. Löschung und Rückgabe

Bei Beendigung löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen gemäß seiner Datenschutzerklärung (Zugriff sofort deaktiviert, Löschung innerhalb von 30 Tagen), sofern keine gesetzliche Aufbewahrungspflicht besteht.

Kontakt

Für eine gegengezeichnete Ausfertigung dieses AV-Vertrags oder bei Fragen zum Datenschutz:

privacy@paperhero.io

blaumedia GmbH
Friedrich-Ebert-Hof 6
22763 Hamburg
Deutschland