Auftragsverarbeitungsvertrag (AVV)

Hinweis: Dieser Auftragsverarbeitungsvertrag ist ein Entwurf und wird vor Veröffentlichung anwaltlich geprüft.

Präambel und Vertragsschluss

Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der SmartDocs-Plattform (nachfolgend "Hauptvertrag", vgl. die Allgemeinen Geschäftsbedingungen). Er wird zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend "Verantwortlicher") und

SmartDocs, Inhaber Ahmet Zambak
Treseburger Straße 4
10589 Berlin
Deutschland

als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend "Auftragsverarbeiter") geschlossen. Der AVV kommt in elektronischer Form (Art. 28 Abs. 9 DSGVO) mit Abschluss der Registrierung zustande und ist Bestandteil des Hauptvertrags. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; Änderungen werden entsprechend § 10 der AGB angekündigt.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der SmartDocs-Plattform für elektronische Signaturvorgänge. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. § 8 (Löschung und Rückgabe) bleibt unberührt.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen werden grundsätzlich durch die Nutzung der Funktionen der Plattform erteilt (insbesondere das Anlegen, Versenden, Abschließen und Löschen von Signaturvorgängen). Darüber hinausgehende Weisungen bedürfen der Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Ein Absenken des Schutzniveaus ist ausgeschlossen.

(2) Werden im Auftrag besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet (etwa Gesundheitsdaten in Einwilligungs- oder Anamnesebögen), gelten die Maßnahmen der Anlage 2 auch für diese Daten. Die Sicherstellung einer Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO obliegt dem Verantwortlichen.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Aufnahme oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Bei Übermittlungen in Drittländer stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher (insbesondere EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss wie das EU-US Data Privacy Framework).

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Anträge betroffener Personen, die unmittelbar beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 8 Löschung und Rückgabe

(1) Während der Vertragslaufzeit löscht der Auftragsverarbeiter im Auftrag verarbeitete Daten, wenn der Verantwortliche dies über die Plattformfunktionen veranlasst oder in Textform anweist.

(2) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen dessen Dokumente und Beweisdaten für einen Zeitraum von 30 Tagen zum Export bereit. Nach Ablauf dieser Frist werden alle im Auftrag verarbeiteten personenbezogenen Daten gelöscht, sofern nicht Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO). Daten in Sicherungskopien werden mit dem regulären Sicherungszyklus überschrieben bzw. gelöscht.

§ 9 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere diese Vertragsfassung, die TOM-Dokumentation (Anlage 2) und die Liste der Unterauftragsverarbeiter (Anlage 3).

(2) Der Verantwortliche kann Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen geeigneten, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Überprüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und höchstens einmal jährlich, sofern kein konkreter Anlass eine häufigere Prüfung rechtfertigt. Vorrangig werden vorhandene Nachweise (Zertifikate der Rechenzentrumsbetreiber, Prüfberichte, Dokumentation) genutzt.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt § 8 der AGB; Art. 82 DSGVO bleibt unberührt.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Gegenstand der Verarbeitung

Gegenstand und Zweck:

Bereitstellung einer Plattform zur Erstellung, Versendung, Durchführung und Verwaltung elektronischer Signaturvorgänge einschließlich Identitätsverifizierung per Einmalcode (OTP), Beweisführung (Audit-Trail) und Dokumentenverwaltung.

Art der Verarbeitung:

Erhebung, Speicherung, Anzeige, Übermittlung an Unterzeichnende, Versand von Benachrichtigungen und Einmalcodes, Protokollierung, Löschung.

Kategorien betroffener Personen:

Beschäftigte und Beauftragte des Verantwortlichen (Nutzerkonten, Operatoren),
Unterzeichnende (Kundinnen und Kunden, Patientinnen und Patienten, Vertragspartner des Verantwortlichen),
sonstige Personen, deren Daten in den verarbeiteten Dokumenten enthalten sind.

Kategorien personenbezogener Daten:

Stammdaten (Name, E-Mail-Adresse, Mobilfunknummer),
Dokumentinhalte und von Unterzeichnenden eingegebene Felddaten,
Signaturbilder,
Nachweis- und Protokolldaten (IP-Adresse, Zeitstempel, Gerätedaten, Zustell- und Öffnungsereignisse, Einmalcode-Verifizierung, Fassung der angezeigten Hinweistexte),
je nach Dokumentinhalt besondere Kategorien nach Art. 9 DSGVO (insbesondere Gesundheitsdaten, etwa bei Einwilligungs- und Anamnesebögen).

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung und Pseudonymisierung

Transportverschlüsselung sämtlicher Verbindungen über TLS.
Verschlüsselung der Server-Datenträger (Verschlüsselung ruhender Daten).
Objektspeicher (Cloudflare R2) mit serverseitiger Verschlüsselung ruhender Daten.
Passwörter werden ausschließlich als kryptografische Hashes (bcrypt) gespeichert.
Dokumentzugriffe über kurzlebige, signierte URLs.

2. Zugangs- und Zugriffskontrolle

Administrativer Serverzugriff ausschließlich über SSH-Schlüssel, beschränkt auf den Inhaber; keine Passwort-Anmeldung.
Rollenbasierte Berechtigungen in der Plattform (Owner, Admin, Mitglied) je Arbeitsbereich; Mandantentrennung auf Organisationsebene.
API-Schlüssel sind jederzeit widerrufbar.
Authentifizierungs-Tokens werden auf Endgeräten im gesicherten Speicher abgelegt (iOS Keychain / Android Keystore); auf Kiosk-Geräten verbleiben nach Abschluss eines Signaturvorgangs keine Dokumente oder Signaturdaten.

3. Integrität und Nachvollziehbarkeit

Manipulationssicherer Audit-Trail: Protokollereignisse werden über eine kryptografische Hash-Kette (SHA-256) verkettet; nachträgliche Änderungen sind erkennbar.
Abschlussdokumente werden mit Prüfsummen (SHA-256) referenziert.
Protokollierung sicherheitsrelevanter Ereignisse.

4. Verfügbarkeit und Belastbarkeit

Regelmäßige automatisierte, verschlüsselte Datensicherungen.
Betrieb in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland (Nürnberg).
Wiederherstellungsverfahren für den Störungsfall.

5. Verfahren zur regelmäßigen Überprüfung

Fortlaufende Aktualisierung der eingesetzten Software und Abhängigkeiten.
Regelmäßige Überprüfung der Maßnahmen dieser Anlage und der Unterauftragsverarbeiter.
Löschkonzept: Löschung nach Vertragsende gemäß § 8; Protokolldaten werden nach kurzer Zeit automatisch gelöscht.

Anlage 3: Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung und Datenbank (Rechenzentrum Nürnberg). Verarbeitung in Deutschland.
Cloudflare, Inc. (USA) — Objektspeicher Cloudflare R2 für Dokumentdateien mit Speicherort in der Europäischen Union sowie Auslieferung der Website. Drittlandgarantien: EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
Netlify, Inc. (USA) — Auslieferung der Web-Oberflächen; bei der Signatur-Oberfläche Weiterleitung der API-Aufrufe. Drittlandgarantien: EU-Standardvertragsklauseln.
AC PM LLC (Postmark), ein Unternehmen der ActiveCampaign, LLC (USA) — E-Mail-Versand (Einladungen, Statusmeldungen, Kontobenachrichtigungen). Drittlandgarantien: EU-US Data Privacy Framework, EU-Standardvertragsklauseln.
seven communications GmbH & Co. KG (seven.io), Willestraße 4–6, 24103 Kiel, Deutschland — SMS-Versand der Einmalcodes (OTP). Verarbeitung in Deutschland.

Fragen zu diesem AVV beantworten wir unter kontakt@smartdocs.de. Auf Wunsch stellen wir diesen AVV zusätzlich als gegengezeichnetes Dokument bereit.