Auftragsverarbeitung (AVV)

1. Vertragsparteien

Auftragsverarbeiter:

Luis Redinger
ClientDrop
Böblinger Straße 13
70771 Leinfelden-Echterdingen
Deutschland
E-Mail: support@clientdrop.de

(nachfolgend „Auftragsverarbeiter“). „ClientDrop“ ist die Geschäftsbezeichnung des Auftragsverarbeiters, keine eigene juristische Person.

Verantwortlicher:

Der jeweilige Geschäftskunde, der ClientDrop nutzt und diesen AVV im Rahmen des Checkouts elektronisch annimmt (siehe Abschnitt 19, nachfolgend „Verantwortlicher“). Die Vertragsparteien ergeben sich aus dem jeweiligen ClientDrop-Nutzerkonto; eine gesonderte namentliche Eintragung auf dieser Seite ist nicht erforderlich.

2. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Bereitstellung der Software-as-a-Service-Anwendung ClientDrop zur Erhebung, Übertragung, Speicherung und Verwaltung von Informationen und Dateien, die der Verantwortliche von seinen eigenen Kundinnen und Kunden oder sonstigen betroffenen Personen über individuelle Projektlinks abfragt. Gegenstand ist ebenso die projektbezogene Kommunikation zwischen dem Verantwortlichen und diesen Personen sowie die Verwaltung von durch den Verantwortlichen hochgeladenen, extern erstellten Rechnungsdokumenten und den dazugehörigen Metadaten. Gegenstand ist ferner die Verwaltung von durch den Verantwortlichen hochgeladenen Eingangsrechnungen und sonstigen Ausgabenbelegen samt zugehöriger Angaben. Die optionale automatische Erkennung von Angaben aus diesen Belegen läuft im Browser des Verantwortlichen (siehe Abschnitt 3).

Dieser Vertrag gilt für die Dauer des ClientDrop-Vertrags zwischen den Parteien bzw. solange personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden, einschließlich der zur Abwicklung und Löschung erforderlichen Zeit.

3. Art und Zweck der Verarbeitung

• Erfassung der vom Verantwortlichen konfigurierten Angaben über öffentliche Projektlinks,
• Speicherung und strukturierte Bereitstellung dieser Angaben für den Verantwortlichen,
• Entgegennahme, Speicherung und Bereitstellung von hochgeladenen Dateien und Bildern,
• Speicherung und Bereitstellung projektbezogener Nachrichten zwischen dem Verantwortlichen und den betroffenen Personen,
• Speicherung und Bereitstellung von durch den Verantwortlichen hochgeladenen Rechnungsdokumenten und der zugehörigen Metadaten (z. B. Rechnungsnummer, Betrag, Rechnungs- und Fälligkeitsdatum, Status, Sichtbarkeit),
• Speicherung und Bereitstellung von durch den Verantwortlichen hochgeladenen Eingangsrechnungen und sonstigen Ausgabenbelegen sowie der zugehörigen Angaben (z. B. Rechnungssteller, Rechnungsnummer, Betrag, Rechnungs- und Fälligkeitsdatum, Kategorie, Status) und daraus berechneter Übersichten (z. B. Summen, Fälligkeiten, wiederkehrende Kosten),
• Bereitstellung einer optionalen, vom Verantwortlichen je Beleg ausgelösten automatischen Erkennung von Rechnungssteller, Rechnungsnummer, Rechnungs- und Fälligkeitsdatum, Gesamtbetrag und Kategorie. Die Erkennung (Auslesen des PDF-Textes bzw. Texterkennung) wird lokal im Browser des Verantwortlichen ausgeführt; für die Erkennung werden weder der Beleg noch der erkannte Text an den Auftragsverarbeiter oder an Dritte übermittelt (der Beleg selbst liegt bereits als hochgeladene Datei beim Auftragsverarbeiter). Gespeichert werden nur die vom Verantwortlichen geprüften und bestätigten Angaben, nicht der vollständige erkannte Text,
• technische Verarbeitung, soweit zur sicheren Bereitstellung des Dienstes erforderlich,
• Löschung der Daten auf Weisung des Verantwortlichen bzw. über die dafür vorgesehenen Funktionen (Projekt- und Kontolöschung sowie, unabhängig vom aktuellen Tarif, Löschung einzelner Ausgabeneinträge samt Belegdatei).

Der Auftragsverarbeiter verfolgt mit dieser Verarbeitung keine eigenen Zwecke.

4. Arten personenbezogener Daten

• Stammdaten, z. B. Name,
• Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer, Anschrift,
• projektbezogene Angaben und Freitext, wie vom Verantwortlichen im jeweiligen Projekt konfiguriert,
• Termin- und Veranstaltungsinformationen, soweit vom Verantwortlichen abgefragt,
• vom Betroffenen hochgeladene Dateien und Bilder,
• Kommunikationsinhalte aus projektbezogenen Nachrichten zwischen dem Verantwortlichen und den betroffenen Personen,
• Rechnungs- und Dokumentinformationen aus vom Verantwortlichen hochgeladenen Rechnungsdokumenten, soweit diese personenbezogene Daten enthalten,
• Inhalte von Eingangsrechnungen und sonstigen Ausgabenbelegen, die der Verantwortliche hochlädt, soweit diese personenbezogene Daten enthalten (z. B. Name, Anschrift, Kontakt- und Bankdaten von Rechnungsstellern und deren Ansprechpartnern), sowie die dazu erfassten bzw. nach automatischer Erkennung bestätigten Angaben,
• technische Metadaten, soweit für die Bereitstellung des Dienstes erforderlich.

Welche konkreten Datenkategorien im Einzelfall verarbeitet werden, bestimmt der Verantwortliche durch die Konfiguration der Projektfelder. Der Auftragsverarbeiter hat auf die inhaltliche Ausgestaltung dieser Felder keinen Einfluss und kann daher nicht vollständig kontrollieren, welche Daten der Verantwortliche über ClientDrop erhebt.

Der Verantwortliche darf besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO über ClientDrop nur verarbeiten, wenn dies rechtmäßig ist und die Nutzung von ClientDrop hierfür nach den Umständen geeignet ist. ClientDrop ist nicht speziell für die Verarbeitung von Gesundheitsdaten, biometrischen Daten oder anderen besonders sensiblen Datenkategorien ausgelegt.

5. Kategorien betroffener Personen

• Kundinnen und Kunden des Verantwortlichen,
• Interessentinnen, Interessenten und Auftraggeber des Verantwortlichen,
• sonstige Personen, denen der Verantwortliche einen Projektlink bereitstellt,
• Lieferanten, Dienstleister und sonstige Rechnungssteller des Verantwortlichen sowie Personen, die in hochgeladenen Ausgabenbelegen als Ansprechpartner oder Rechnungsempfänger genannt sind.

6. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der vertraglich vorgesehenen Funktionen von ClientDrop gilt als dokumentierte Weisung. Zusätzliche Weisungen können in Textform erfolgen.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weist er den Verantwortlichen hierauf hin; eine offensichtlich rechtswidrige Weisung wird nicht ohne Weiteres ausgeführt.

Internationale Übermittlungen im Rahmen der Auftragsverarbeitung erfolgen nur entsprechend den Voraussetzungen der DSGVO sowie den vertraglichen und gesetzlichen Vorgaben (siehe auch Abschnitt 11).

7. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass Personen, die zur Verarbeitung der im Auftrag verarbeiteten Daten befugt sind, zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft insbesondere folgende technische und organisatorische Maßnahmen:

• Zugriff auf das ClientDrop-Unternehmerkonto ausschließlich nach Authentifizierung über Supabase Auth,
• Mandantentrennung im Dashboard-Bereich durch datenbankseitige Row Level Security (RLS): jeder Unternehmer kann ausschließlich auf seine eigenen Projekte und Daten zugreifen,
• hochgeladene Dateien liegen in einem nicht öffentlichen, privaten Speicherbereich (Supabase Storage),
• Zugriff auf einzelne Dateien nur über zeitlich eng begrenzte, signierte Upload- bzw. Download-URLs,
• der öffentliche Kundenlink verwendet einen zufällig erzeugten, praktisch nicht erratbaren Projekt-Token,
• privilegierte Zugriffsschlüssel werden ausschließlich serverseitig verwendet und sind vom Zugriff aus dem Browser technisch ausgeschlossen,
• Übertragung über verschlüsselte Verbindungen (HTTPS/TLS) durch die eingesetzte Hosting- und Datenbank-Infrastruktur,
• funktionsbezogene Rechte- und Zugriffsbeschränkung, insbesondere getrennt zwischen öffentlichem Kundenlink und Unternehmerkonto,
• Funktionen zur vollständigen Löschung einzelner Projekte sowie des gesamten Kontos einschließlich der zugehörigen Dateien,
• serverseitige Protokollierung sicherheits- und fehlerrelevanter Ereignisse über die eingesetzte Hosting-Infrastruktur.

9. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt aktuell folgende Unterauftragsverarbeiter ein:

• Vercel Inc. – Hosting und Auslieferung der Anwendung.
• Supabase Inc. – Datenbank, Authentifizierung und Datei-Speicher.

10. Genehmigung von Unterauftragsverarbeitern

Der Verantwortliche erteilt hiermit eine allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO für den Einsatz der in Abschnitt 9 genannten Unterauftragsverarbeiter.

Bei beabsichtigter Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters wird der Verantwortliche rechtzeitig informiert und erhält eine angemessene Möglichkeit, aus datenschutzrechtlich begründetem Anlass zu widersprechen.

11. Drittlandübermittlungen

Soweit die in Abschnitt 9 genannten Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeiten, erfolgt dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder anderer geeigneter Garantien, etwa Standardvertragsklauseln.

12. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei:

• Anfragen Betroffener nach Art. 12–22 DSGVO,
• der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
• der Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 und 34 DSGVO,
• Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
• Konsultationen nach Art. 36 DSGVO.

Geht eine Anfrage Betroffener unmittelbar beim Auftragsverarbeiter ein und betrifft sie im Auftrag des Verantwortlichen verarbeitete Daten, wird sie grundsätzlich an den Verantwortlichen verwiesen bzw. dieser hierüber informiert.

13. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, soweit diese die im Auftrag verarbeiteten Daten betrifft.

14. Löschung und Rückgabe

Nach Beendigung der Auftragsverarbeitung werden die personenbezogenen Daten nach Wahl des Verantwortlichen bzw. entsprechend den vertraglich vorgesehenen Funktionen gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Dies erfolgt insbesondere über die Projektlöschung und die Kontolöschung im ClientDrop-Dashboard.

Technisch notwendige Sicherungssysteme können Daten noch begrenzt enthalten; sie werden entsprechend den dafür vorgesehenen Löschzyklen entfernt.

15. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die ihm zur Verfügung stehenden Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO bereit.

Kontrollen und Audits durch den Verantwortlichen oder einen von ihm beauftragten Prüfer werden angemessen angekündigt, finden während der üblichen Geschäftszeiten statt, beeinträchtigen den Betrieb und die Sicherheit anderer Kunden nicht und wahren die Vertraulichkeit. Sie stützen sich, soweit möglich, zunächst auf vorhandene Dokumentationen und Nachweise, bevor eine Vor-Ort-Prüfung verlangt wird.

16. Verantwortung des Geschäftskunden

Der Verantwortliche ist zuständig für:

• die Zulässigkeit der Verarbeitung,
• eine ausreichende Rechtsgrundlage,
• die Erfüllung seiner Informationspflichten,
• die Konfiguration der über ClientDrop abgefragten Felder,
• seine Weisungen an den Auftragsverarbeiter,
• die Beurteilung, ob ClientDrop für seine konkrete Verarbeitung geeignet ist.

Der Auftragsverarbeiter entscheidet nicht über die Zwecke der vom Verantwortlichen erhobenen Daten seiner Kundinnen und Kunden.

17. Haftung

Für die allgemeine vertragliche Haftung gelten die Regelungen der AGB. Zwingende gesetzliche Haftungsregelungen der DSGVO, insbesondere Art. 82 DSGVO, bleiben hiervon unberührt.

18. Vertragsrang

Bei Widersprüchen zwischen diesem AVV und den allgemeinen Vertragsbedingungen (AGB) gehen für datenschutzrechtliche Fragen die Regelungen dieses AVV vor.

19. Elektronischer Abschluss

Der Verantwortliche schließt diesen Auftragsverarbeitungsvertrag elektronisch durch die im ClientDrop-Checkout vorgesehene ausdrückliche Zustimmung ab. Ein Unterschriftsfeld ist nicht erforderlich.