Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Der Auftraggeber nutzt die Software-as-a-Service-Anwendung Paperarchive (Web-App, iOS- und Android-App, API) zur Archivierung, Erschließung und Suche von Dokumenten. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ergänzt die Allgemeinen Geschäftsbedingungen von Paperarchive (AGB, paperarchive.io/terms). Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Der Vertrag kommt zustande, indem der Auftraggeber ihn per E-Mail an [email protected] anfordert und der Auftragnehmer den Abschluss in Textform bestätigt.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung von Paperarchive für den Auftraggeber: Speicherung, Texterkennung (OCR), KI-gestützte Analyse und Klassifizierung, Suche und KI-Antworten, E-Mail-Eingang, Benachrichtigungen, Export und Löschung von Dokumenten und Metadaten.
2. Der Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten im Rahmen von Paperarchive verarbeitet. Er endet automatisch mit Beendigung des Nutzungsvertrags und der Löschung nach § 11.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

1. Art der Verarbeitung: Erheben (Upload, E-Mail-Eingang, Import aus vom Auftraggeber verbundenen Diensten), Speichern, Auslesen (OCR), Analysieren und Klassifizieren mit KI, Indexieren (Embeddings), Abfragen und Anzeigen, Übermitteln an vom Auftraggeber eingeladene Mitglieder geteilter Spaces und an vom Auftraggeber verbundene Integrationen, Exportieren, Sperren (GoBD-Modus) und Löschen.
2. Zweck: Digitale Ablage, Organisation, Auffindbarkeit und Fristenverwaltung der Dokumente des Auftraggebers sowie, auf Wunsch des Auftraggebers, Aufbewahrung mit Aufbewahrungsfristen und Änderungsschutz im GoBD-Modus.
3. Kategorien personenbezogener Daten: Inhalte der vom Auftraggeber hochgeladenen Dokumente und daraus abgeleitete Daten, insbesondere Namen, Anschriften, Kontaktdaten, Kundennummern, Vertrags- und Rechnungsdaten; Bank- und Zahlungsdaten (z.B. IBAN, Beträge auf Rechnungen und Kontoauszügen); Beschäftigtendaten (z.B. Gehaltsabrechnungen), Steuerdaten; je nach Dokument besondere Kategorien nach Art. 9 DSGVO (z.B. Gesundheitsdaten in Arztrechnungen); Metadaten (Absender, Kategorien, Tags, Daten, Fristen, Beträge), KI-Zusammenfassungen, Suchanfragen; Nutzungs- und Protokolldaten der Nutzer des Auftraggebers (Konto, Sitzungen, Audit-Log).
4. Kategorien betroffener Personen: Nutzer des Auftraggebers (Inhaber, Beschäftigte, eingeladene Mitglieder), Kunden, Lieferanten, Geschäftspartner, Beschäftigte und sonstige Personen, die in den Dokumenten des Auftraggebers genannt sind.
5. Die Verarbeitung findet in der Europäischen Union statt. Ausnahmen ergeben sich nur aus den in Anlage 2 genannten Unterauftragsverarbeitern mit Drittlandbezug und den dort genannten Garantien.

§ 3 Weisungsbefugnis

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder deutschem Recht dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Auftraggeber diese Anforderung vorher mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen sind durch diesen Vertrag, die AGB und die Funktionen von Paperarchive festgelegt. Einstellungen und Aktionen des Auftraggebers in der Anwendung (z.B. Upload, Löschen, Teilen, GoBD-Modus, Verbinden von Integrationen) gelten als Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform an [email protected].
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Umsetzung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

1. Der Auftragnehmer betreibt Paperarchive als Einzelunternehmer. Er selbst unterliegt der Vertraulichkeit. Setzt er künftig Personen ein, die Zugriff auf Daten des Auftraggebers haben, verpflichtet er diese vorher schriftlich zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Der Auftragnehmer greift auf Inhalte des Auftraggebers nur zu, soweit dies für die Erbringung der Leistung, für Support auf Anfrage des Auftraggebers, zur Fehlerbehebung oder aufgrund rechtlicher Pflichten erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, wenn das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 1.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform (E-Mail an die Kontoadresse) über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb von 30 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte für die Restlaufzeit werden anteilig erstattet.
3. Muss ein Unterauftragsverarbeiter aus dringenden Gründen (z.B. Sicherheitsvorfall, Einstellung des Dienstes) kurzfristig ersetzt werden, informiert der Auftragnehmer unverzüglich; die Widerspruchsfrist beginnt mit dieser Information.
4. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO). Bei Verarbeitung außerhalb des EWR stellt er geeignete Garantien nach Art. 44 ff. DSGVO sicher (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln).
5. Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Integrationen, die der Auftraggeber selbst verbindet (z.B. Google Drive, Dropbox, KI-Assistenten über MCP, eigene Automatisierungen über die API). Für diese ist der Auftraggeber verantwortlich.

§ 7 Rechte der betroffenen Personen

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Paperarchive bietet dafür Funktionen zum Suchen, Berichtigen, Exportieren (ZIP-Export aller Daten, Art. 15 und 20 DSGVO) und Löschen von Dokumenten und Metadaten.
2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern der Auftraggeber dies nicht anweist.

§ 8 Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Er stellt dazu insbesondere Anlage 1, Anlage 2 und auf Anfrage eine Beschreibung der Datenflüsse bereit. Für Unterstützung, die über die Bereitstellung vorhandener Unterlagen und Funktionen hinausgeht, kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern die Unterstützung nicht durch einen Verstoß des Auftragnehmers veranlasst ist.

§ 9 Meldung von Datenschutzverletzungen

1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt per E-Mail an die Kontoadresse des Auftraggebers oder an eine andere Adresse, die der Auftraggeber dem Auftragnehmer in Textform als Kontakt für Datenschutzmeldungen benennt.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Auftragnehmer unverzüglich nach.
3. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert den Vorfall.
4. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33, 34 DSGVO) obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei.

§ 10 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Zulässigkeit des Hochladens der Dokumente und die Wahrung der Rechte betroffener Personen, verantwortlich.
2. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Der Auftraggeber entscheidet selbst, ob er den GoBD-Modus nutzt, wen er in geteilte Spaces einlädt und welche Integrationen er verbindet.

§ 11 Löschung und Rückgabe nach Vertragsende

1. Der Auftraggeber kann seine Daten jederzeit, insbesondere vor Vertragsende, über die Exportfunktion als ZIP-Archiv (Originaldateien und Metadaten) herunterladen.
2. Löscht der Auftraggeber sein Konto, löscht der Auftragnehmer die Daten des Auftraggebers unverzüglich: Datenbankeinträge sofort in einer Transaktion, die zugehörigen Dateien über eine Löschwarteschlange im Storage zeitnah danach. Zugleich werden der Kundendatensatz beim Zahlungsdienstleister und der Kontakt beim E-Mail-Dienstleister gelöscht; scheitert ein Schritt, wiederholt der Auftragnehmer ihn automatisch, spätestens 30 Tage nach der Kontolöschung sind diese Daten gelöscht.
3. Dokumente, die der Auftraggeber in den Papierkorb verschiebt, werden nach 30 Tagen endgültig gelöscht, einschließlich der Dateien.
4. Die Daten bleiben gespeichert, solange das Konto des Auftraggebers besteht; ein gekündigter kostenpflichtiger Tarif läuft als kostenloses Konto weiter. Der Auftraggeber kann seine Daten oder sein Konto jederzeit selbst löschen; danach löscht der Auftragnehmer sofort nach Absatz 2, mit den Ausnahmen nach Absatz 5 (Backups bis zu 7 Tage) und Absatz 6 (gesetzliche Aufbewahrung und GoBD-Fristen, wie vom Auftraggeber bestätigt). Verlangt der Auftraggeber die Löschung per E-Mail, löscht der Auftragnehmer das Konto innerhalb von 30 Tagen.
5. Kopien in Datenbank-Backups des Unterauftragsverarbeiters werden nach Ablauf der Backup-Aufbewahrung (derzeit 7 Tage) überschrieben. Muss der Auftragnehmer innerhalb dieser Zeit ein Backup wiederherstellen, löscht er die zwischenzeitlich gelöschten Daten erneut.
6. Ausgenommen von der Löschung sind Daten, zu deren Aufbewahrung der Auftragnehmer gesetzlich verpflichtet ist (z.B. Rechnungen über die Nutzung von Paperarchive, 8 Jahre). Dokumente in GoBD-Spaces unterliegen den Aufbewahrungsfristen des GoBD-Modus; Dokumente mit laufender Frist löscht der Auftragnehmer bei der Kontolöschung erst, nachdem der Auftraggeber ausdrücklich bestätigt hat, dass er die Unterlagen selbst aufbewahrt. Solange der Auftraggeber in einem eigenen GoBD-Space eine Löschsperre (Ablaufhemmung) gesetzt hat, ist die Kontolöschung gesperrt, bis er die Sperre aufhebt oder den Space übergibt. Archivierte Uploads und Uploads unter einer Löschsperre in GoBD-Spaces anderer Inhaber gehen bei der Kontolöschung an deren Inhaber über. Die Verantwortung für die Einhaltung seiner Aufbewahrungspflichten trägt der Auftraggeber. Im Änderungsprotokoll (Audit-Log) verbleibende Einträge werden bei der Kontolöschung vom Personenbezug befreit; bleiben Datensätze bei einem anderen Space-Inhaber, bleiben ihre protokollierten Werte, IP-Adresse und User-Agent werden entfernt. Außerhalb von GoBD-Spaces enthält das Protokoll nur die Namen geänderter Felder, keine Inhalte.
7. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 12 Nachweise und Kontrollrechte

1. Der Auftragnehmer weist die Einhaltung seiner Pflichten durch geeignete Unterlagen nach, insbesondere durch Anlage 1, Anlage 2, das Verzeichnis der Verarbeitungstätigkeiten und Zusammenfassungen interner Sicherheitsprüfungen.
2. Der Auftraggeber kann sich nach rechtzeitiger Anmeldung (in der Regel mindestens 14 Tage vorher) während der üblichen Geschäftszeiten und ohne Störung des Betriebs von der Einhaltung überzeugen, vorrangig durch Fragebögen und Unterlagen, bei begründetem Anlass auch durch eine Prüfung vor Ort oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist (Art. 28 Abs. 3 lit. h DSGVO). Rechenzentren der Unterauftragsverarbeiter werden über deren Zertifikate und Prüfberichte nachgewiesen.
3. Den Aufwand für Prüfungen, die über die Bereitstellung vorhandener Unterlagen hinausgehen, kann der Auftragnehmer angemessen in Rechnung stellen, sofern die Prüfung keinen Verstoß des Auftragnehmers aufdeckt.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB von Paperarchive (Abschnitt "Haftungsbeschränkungen"), soweit Art. 82 DSGVO nicht entgegensteht.

§ 14 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
2. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.