Auftragsverarbeitungsvertrag

zwischen dem Kunden als Verantwortlichem (nachfolgend Verantwortlicher) und der Paycan GmbH, Helene-Weber-Straße 3, 48301 Nottuln (nachfolgend Auftragsverarbeiter). Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Software LIGO Bestandteil des Vertragsverhältnisses und im Bestellvorgang wirksam einbezogen.

§ 1 Gegenstand und Dauer

• Der Auftragsverarbeiter stellt dem Verantwortlichen die Software LIGO als Software as a Service bereit. Im Rahmen der Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten, die der Verantwortliche in der Software speichert, ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
• Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck, Datenarten, Betroffene

• Art und Zweck der Verarbeitung: Speicherung, Strukturierung, Auswertung und Anzeige von Kontaktdaten zur Verwaltung von Netzwerkkontakten. Die Erkennung passender Verbindungen (Matching) erfolgt durch eine algorithmische Auswertung innerhalb der Software und ausschließlich innerhalb des Datenbestands des jeweiligen Verantwortlichen bzw. seines Teams; ein Abgleich mit Daten anderer Kunden des Auftragsverarbeiters findet nicht statt. Für das Matching werden keine personenbezogenen Daten an den KI-Unterauftragsverarbeiter übermittelt.
• Eine KI-gestützte Verarbeitung durch den in Anlage 2 genannten Unterauftragsverarbeiter erfolgt nur in folgenden, vom Nutzer ausgelösten Funktionen: (a) Formulierung von Empfehlungs- und Kontaktnachrichten; hierbei werden Name, Firma, Branche, Angaben zu Angebot und Gesuch (gekürzt) und Ort der betreffenden Kontakte sowie der ermittelte Passungsgrund übermittelt. (b) Automatische Datenerkennung aus vom Nutzer hochgeladenen Bildern (insbesondere Visitenkarten sowie Screenshots von Netzwerk-, BNI- und LinkedIn-Profilen) zur Übernahme der Kontaktangaben; hierbei wird das jeweilige Bild übermittelt. Weitergehende Inhalte, insbesondere interne Notizen und die vollständige Kommunikationshistorie, werden nicht an den KI-Unterauftragsverarbeiter übermittelt.
• Arten der Daten: Namen, Firmenangaben, Positionen, Kontaktdaten (Telefon, E-Mail, Adressen), Angaben zu Angeboten und Gesuchen, Notizen und Gesprächsinhalte, Kommunikationshistorie, öffentlich verfügbare Profilangaben (z. B. aus LinkedIn-Importen), Fotos von Visitenkarten.
• Kategorien betroffener Personen: Geschäftskontakte des Verantwortlichen, insbesondere Netzwerkpartner, Interessenten, Kunden und deren Ansprechpartner.
• Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union. Soweit in Anlage 2 ausdrücklich angegeben, können einzelne Unterauftragsverarbeiter personenbezogene Daten in Drittländern (USA) verarbeiten oder dorthin übermitteln; hierfür gelten die in Anlage 2 genannten Garantien nach Kapitel V DSGVO.

§ 3 Weisungsrecht

• Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung einer in diesem Vertrag oder in den Datenschutzinformationen beschriebenen Softwarefunktion durch den Verantwortlichen gilt insoweit als dokumentierte Weisung, als die Funktion und die damit verbundene Verarbeitung dort beschrieben sind. Darüber hinausgehende oder abweichende Weisungen erfolgen in Textform an support@paycan.de.
• Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
• Ist der Auftragsverarbeiter durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

• Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht.
• Die Maßnahmen dürfen an die technische Entwicklung angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

• Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
• Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens vier Wochen vorab in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Führt der Widerspruch zu keiner einvernehmlichen Lösung, steht beiden Parteien ein Sonderkündigungsrecht für den Nutzungsvertrag zu.
• Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Pflichten dieses Vertrags im Wesentlichen entspricht. Bei Übermittlungen in Drittländer stellt er geeignete Garantien nach Kapitel V DSGVO sicher (siehe Anlage 2).

§ 7 Unterstützung des Verantwortlichen

• Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO). Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen und zumutbaren Umfang bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde).

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

• Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die gespeicherten Daten für 30 Tage in einem gängigen Format zum Export bereit.
• Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Dies umfasst auch Daten in Sicherungskopien (Backups), Caches, Such- und Verarbeitungsindizes und temporären Upload-Dateien; Daten in turnusmäßigen Backups werden spätestens mit deren regulärem Überschreiben nach dem üblichen Backup-Zyklus gelöscht. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

• Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, insbesondere durch Auskünfte, geeignete Dokumentationen und vorhandene Testate oder Zertifikate.
• Der Verantwortliche kann nach vorheriger Ankündigung mit angemessener Frist Kontrollen während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne den Geschäftsbetrieb unverhältnismäßig zu stören.

§ 11 Haftung

Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Nutzungsvertrags (AGB).

§ 12 Schlussbestimmungen

• Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrags vor.
• Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann ist.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Hosting in professionellen Rechenzentren mit Zutrittskontrolle (siehe Anlage 2)
• Zugang zur Software nur mit persönlichen Zugangsdaten; Passwörter werden ausschließlich als kryptographischer Hash (bcrypt) gespeichert
• Administrative Zugriffe auf Systeme nur durch autorisierte Personen mit eigener Authentifizierung
• Zugangsdaten, Secrets und API-Schlüssel werden ausschließlich in isolierten Umgebungsvariablen der Betriebsplattform gespeichert, nicht im Quellcode
• Sitzungen werden bei Passwortänderung oder Abmeldung serverseitig ungültig gemacht

Zugriffs- und Trennungskontrolle

• Rollen- und Rechtekonzept innerhalb der Software, Zugriff nur auf eigene Daten bzw. freigegebene Team-Daten
• Mandantentrennung: Daten verschiedener Kunden werden logisch getrennt verarbeitet und nicht kundenübergreifend ausgewertet

Übertragungs- und Eingabekontrolle

• Verschlüsselte Übertragung sämtlicher Daten per TLS
• Verschlüsselte Speicherung auf Infrastrukturebene (Encryption at Rest beim Hosting-Anbieter)
• Protokollierung sicherheitsrelevanter Ereignisse auf Systemebene

Verfügbarkeitskontrolle

• Regelmäßige automatisierte Datensicherungen beim Hosting-Anbieter
• Redundante Infrastruktur des Hosting-Anbieters
• Exportfunktion für Kundendaten

Organisatorische Maßnahmen

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit
• Prinzip der Datenminimierung bei Entwicklung und Betrieb
• Trennung von Produktions- und Entwicklungsumgebung; in Testsystemen werden keine echten Kundendaten verwendet
• Auswahl von Unterauftragsverarbeitern nach Datenschutz- und Sicherheitskriterien, Abschluss von Auftragsverarbeitungsverträgen
• Dokumentierter Prozess für die Meldung von Datenschutzverletzungen
• Dokumentiertes Löschkonzept (Export-Frist und anschließende Löschung, siehe § 9)

Anlage 2: Unterauftragsverarbeiter

Hinweis: Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Ltd. Stripe verarbeitet Zahlungsdaten insoweit als eigenständiger Verantwortlicher und ist kein Unterauftragsverarbeiter im Sinne dieser Anlage.