Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung von Aktaro. Die Dauer entspricht der Laufzeit der Nutzungsbedingungen.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Verarbeitung und Auswertung von Kundenakten, Gesprächsnotizen, Diktaten und Beratungsdokumentationen; Erzeugung von Dokumenten (PDF, Word); Aufgaben- und Fristenverwaltung; optional KI-gestützte Transkription, Auswertung, Vorschläge und Suche, soweit vom Auftraggeber konfiguriert.

3. Art der Daten

Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten), Vertragsdaten, wirtschaftliche Verhältnisse (Einkommen, Vermögen, Verbindlichkeiten), Familien- und Haushaltsdaten, Angaben zu Beruf und Lebenssituation, Beratungsinhalte, Gesprächsaufzeichnungen und Transkripte, Einwilligungen, Unterschriften. Besondere Kategorien: Gesundheitsdaten (Art. 9 DSGVO), soweit sie für die Vermittlung von Personenversicherungen erforderlich sind und der Auftraggeber die Einwilligung eingeholt hat.

4. Kategorien betroffener Personen

Kunden und Interessenten des Auftraggebers, deren Angehörige und mitversicherte Personen, Gesprächsteilnehmer, Mitarbeitende des Auftraggebers.

5. Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers; die Nutzung der Plattform und ihre Konfiguration (etwa Aktivierung von KI-Funktionen) gelten als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

6. Vertraulichkeit

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet und in die Anforderungen des Datenschutzes eingewiesen.

7. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere: Speicherung auf Servern in Deutschland; Trennung der Daten je Büro durch Row Level Security; verschlüsselte Übertragung; Verschlüsselung besonders sensibler Angaben auf Anwendungsebene; zweiter Faktor für Nutzerkonten, auch für Dateien; Begrenzung von Anmeldeversuchen; rollenbasierte Rechte; Protokollierung von Änderungen (Audit-Log); stündliche, verschlüsselte Sicherungen bei einem zweiten Anbieter mit Löschsperre; Aufbewahrungs- und Löschkonzept mit Legal Hold. Die ausführliche Beschreibung wird dem Auftraggeber auf Anfrage bereitgestellt und bei wesentlichen Änderungen aktualisiert.

8. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte Änderungen mit einer Frist von vier Wochen; der Auftraggeber kann aus wichtigem Grund widersprechen.

• Hetzner Online GmbH: Server: Anwendung, Datenbank, Anmeldung und Dateispeicher. Ort der Verarbeitung: Deutschland (Rechenzentrum Falkenstein). Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• IONOS SE: Verschlüsselte Datensicherung (Object Storage, Schlüssel nur beim Betreiber). Ort der Verarbeitung: Deutschland (Frankfurt am Main). Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (IONOS-Cloud-Vertrag).
• IONOS SE (AI Model Hub): KI-Dienste: Textauswertung, Vorschläge, Zusammenfassungen, Handschrifterkennung, semantische Suche – nur, soweit für das Büro konfiguriert; Gesundheitsangaben nur mit Einwilligung; kein Training mit den Daten. Ort der Verarbeitung: Deutschland. Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (IONOS-Cloud-Vertrag).
• united-domains GmbH: Versand von System-E-Mails (Bestätigung der Adresse, Passwort zurücksetzen). Ort der Verarbeitung: Deutschland. Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Cloudflare Inc.: Transkription von Diktaten und Aufnahmen (Spracherkennung) – nur, soweit für das Büro konfiguriert; Gesundheitsangaben nur mit Einwilligung. Ort der Verarbeitung: weltweit verteiltes Netz; Vertragspartner mit Sitz in den USA. Grundlage: Auftragsverarbeitungsvertrag (Cloudflare DPA) mit EU-Standardvertragsklauseln; EU-US Data Privacy Framework.

9. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Betroffenenanfragen (Art. 12–22), bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen (Art. 32–36). Die Plattform stellt dafür Auskunftsexport, Löschung und Anonymisierung bereit.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber Verletzungen unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen.

11. Löschung und Rückgabe

Nach Ende der Verarbeitung stellt der Auftragnehmer die Daten 90 Tage zum Export bereit und löscht sie danach einschließlich der Sicherungen innerhalb der Sicherungszyklen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

12. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach angemessener Ankündigung, in der Regel durch Vorlage von Dokumentationen und Berichten.

13. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur durch die in Ziffer 8 genannten Unterauftragsverarbeiter auf Grundlage von EU-Standardvertragsklauseln und ergänzenden Maßnahmen.

14. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Datenschutzfragen vor.