Auftragsverarbeitungsvereinbarung

1. Die Parteien und ihre Rollen

Die Rolle des Anbieters ist zweifach, und diese Unterscheidung ist wichtig:

• Verantwortlicher für eigene Kundendaten: Kontodaten, Abrechnung, Anfragen, das Protokoll der Anmeldeversuche und Marketing-Kontakte. Dafür gilt unsere Datenschutzerklärung.
• Auftragsverarbeiter für alles, was der Nutzer eingibt oder anweist: Daten des Produktpasses (soweit sie personenbezogene Daten enthalten, etwa die Kontaktperson des Wirtschaftsakteurs), hochgeladene Dokumente, Kontaktdaten von Lieferanten, Daten eingeladener Teammitglieder, ausgehende Benachrichtigungen und Zugangslinks. Dafür gilt diese Vereinbarung. In diesem Verhältnis ist der Nutzer der Verantwortliche.

2. Gegenstand, Zweck und Dauer

Gegenstand und Zweck: Erstellung, Veröffentlichung, maschinelle Bereitstellung und Lebenszyklus-Verwaltung von EU-Produktpässen im Auftrag des Nutzers. Dauer: die Laufzeit des Nutzerkontos. Nach der Schließung bewahren wir interne Daten 30 Tage auf (für Export und mögliche Rücknahme der Entscheidung) und löschen sie danach endgültig; der öffentliche Pass wird im Moment der Schließung unerreichbar.

3. Verarbeitete Daten und Kategorien betroffener Personen

Der Anbieter verarbeitet keine besonderen Datenkategorien nach Art. 9 DSGVO und fordert solche auch nicht an. Gibt der Nutzer derartige Daten ein (etwa in einem hochgeladenen Dokument), tut er dies auf eigene Verantwortung und Rechtsgrundlage und muss den Anbieter vorab informieren.

4. Pflichten des Anbieters

• Nur auf Weisung: der Anbieter verarbeitet personenbezogene Daten ausschließlich auf Weisung des Nutzers und im Rahmen dieser Vereinbarung. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Nutzer unverzüglich und kann die Ausführung aussetzen.
• Vertraulichkeit: der Anbieter stellt sicher, dass zugriffsberechtigte Mitarbeitende zur Vertraulichkeit verpflichtet sind und nur im erforderlichen Umfang zugreifen. Der Zugriff auf ein Konto wird unveränderlich protokolliert, und das Protokoll ist auch für den Nutzer einsehbar in den Einstellungen.
• Unterstützung: der Anbieter unterstützt den Nutzer mit den ihm verfügbaren Mitteln bei der Bearbeitung von Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen und bei der Beantwortung behördlicher Anfragen. Die Daten sind in der eingegebenen Form exportierbar.
• Löschung und Rückgabe: bei Beendigung löscht der Anbieter personenbezogene Daten innerhalb der in Abschnitt 2 genannten Frist. Es gibt zwei Ausnahmen, die wir ausdrücklich nennen: die Versionshistorie des Passes und das Protokoll der Kontozugriffe werden von der automatischen Bereinigung nicht erfasst — erstere ist der Nachweis, was wann veröffentlicht wurde, letzteres die Spur der Nachweisbarkeit. Sie enden gemeinsam mit der Löschung des Kontos.

5. Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben das tatsächliche Verhalten des Systems, keine Absicht:

• Passwörter: ausschließlich als einwegige, gesalzene Hashes gespeichert; der Anbieter kennt das Klartext-Passwort nicht und kann es nicht wiederherstellen.
• Mandantentrennung: jede Abfrage filtert auf die Konto-Kennung. Automatisierte Tests prüfen dies: ein Konto kann mit den Kennungen eines anderen Kontos weder lesen noch schreiben.
• Dokumentenspeicher: hochgeladene Dateien liegen in einem Verzeichnis, das vom Web nicht direkt erreichbar ist; ausgeliefert werden sie erst nach einer Zugriffsprüfung. Der Dateityp wird aus dem Inhalt bestimmt, nicht aus dem Dateinamen, und die gespeicherte Endung ergibt sich aus dem erkannten Typ.
• Gestufter Zugriff: nicht öffentliche Felder und Dokumente sind nur mit der passenden Zugriffsstufe sichtbar. Ein engerer Zugriff öffnet nicht die strengere Stufe — auch dies wird durch einen automatisierten Test geprüft.
• Minimierte Scan-Analyse: IP-Adressen speichern wir nicht. Das Pseudonym ist ein Hash des IP-Präfixes (IPv4 /24, IPv6 /64) mit monatlich rotiertem Salt, sodass eine langfristige Verknüpfung nicht möglich ist. Ist das Salt nicht konfiguriert, speichert das System lieber kein Pseudonym, als umkehrbare Daten zu schreiben.
• Integrität: jede veröffentlichte Version ist mit einem kryptografischen Hash gesiegelt, und die Hashes bilden eine Kette — eine nachträgliche, unbemerkte Änderung ist nachweisbar.
• Missbrauchsbegrenzung: Anmeldeversuche werden begrenzt, die Maschinenschnittstelle ist durch ein Anfragelimit geschützt, und Sitzungen werden bei Passwortänderung ungültig.
• Testumgebung: das Sandbox-Konto des Nutzers sendet keine ausgehenden Aufrufe — weder E-Mails noch Benachrichtigungen —, sodass Experimente keine Dritten betreffen.

6. Weitere Auftragsverarbeiter (Unterauftragnehmer)

Der Nutzer erteilt eine allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragnehmer. Der Anbieter unterhält mit jedem einen Art.-28-konformen Vertrag und haftet für sie wie für eigenes Handeln.

Bei Änderungen informiert der Anbieter den Nutzer vorab über einen neuen oder ersetzten Unterauftragnehmer auf dieser Seite und an die im Konto hinterlegte E-Mail-Adresse. Erhebt der Nutzer Einspruch, kann er den Vertrag vor Inkrafttreten der Änderung kündigen.

7. Verletzung des Schutzes personenbezogener Daten

Der Anbieter benachrichtigt den Nutzer über jede ihm bekannt gewordene Datenschutzverletzung unverzüglich, spätestens 48 Stunden nach Kenntnisnahme, und teilt alles Bekannte mit: was geschehen ist, welche Datenkategorien und etwa wie viele Betroffene berührt sind, welche Folgen zu erwarten sind und welche Maßnahmen getroffen wurden. Die Meldung an die Aufsichtsbehörde obliegt dem Nutzer als Verantwortlichem; der Anbieter unterstützt mit den ihm verfügbaren Protokollen und Daten. Die Protokolle des Systems (Zugriffsprotokoll, Auslieferungsprotokoll, Versionshistorie) unterstützen diese Rekonstruktion.

8. Prüf- und Auditrechte

Der Nutzer ist berechtigt, sich von der Einhaltung dieser Vereinbarung zu überzeugen. Der Regelweg ist die dokumentierte Information: auf Anfrage stellen wir eine Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Unterauftragnehmer und einschlägige Protokollauszüge bereit. Eine Vor-Ort-Prüfung ermöglichen wir nach vorheriger schriftlicher Absprache während der Arbeitszeit, ohne Daten anderer Kunden zu berühren; die angemessenen Kosten trägt der Nutzer. Der Anbieter kann auch Ergebnisse eigener Prüfungen (etwa Berichte automatisierter Tests) teilen.

9. Übermittlung in Drittländer

Die Daten werden in der Europäischen Union gespeichert. Eine Verarbeitung außerhalb der Union erfolgt an zwei Stellen, die beide in der obigen Tabelle aufgeführt sind: im Netz von Cloudflare (Durchleitung des Verkehrs) und bei der Muttergesellschaft von Stripe. Für beide gelten die Standardvertragsklauseln der Europäischen Kommission sowie weitere Garantien. Darüber hinaus übermittelt der Anbieter Daten an ein weiteres Drittlandziel: an den vom Nutzer angegebenen Endpunkt — dessen Auswahl und Rechtmäßigkeit sind Entscheidung und Verantwortung des Nutzers.

10. Zugehörige Dokumente

Allgemeine Geschäftsbedingungen · Datenschutzerklärung · Cookie-Richtlinie · Impressum. Im Konfliktfall hat diese Vereinbarung in Fragen der Auftragsverarbeitung Vorrang.