Auftragsverarbeitungsvertrag (AVV)

Präambel

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung des Dienstes Doxvox (nachfolgend „Dienst“) im Rahmen des Hauptvertrages (Nutzungsvertrag gemäß den AGB) ergeben. Sie findet Anwendung auf alle Tätigkeiten, bei denen der Anbieter personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet.

Die Vereinbarung wird geschlossen zwischen dem Nutzer des Dienstes als Verantwortlichem (nachfolgend „Auftraggeber“) und

Thorsten Wenck
c/o Online-Impressum #6956
Europaring 90
53757 Sankt Augustin
Deutschland
E-Mail: info@doxvox.de

als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

Sie gilt für Kunden, die den Dienst als Verantwortliche im Sinne der DSGVO einsetzen – insbesondere Teams, Selbstständige und Unternehmen, die Dokumente mit personenbezogenen Daten Dritter (z. B. von Kunden, Mitarbeitern oder Geschäftspartnern) im Dienst speichern. Durch die Nutzung des Dienstes im geschäftlichen Kontext und die Zustimmung zu dieser Vereinbarung im Rahmen der Registrierung bzw. Buchung kommt diese Vereinbarung in Textform (Art. 28 Abs. 9 DSGVO) zustande. Auf Wunsch stellen wir eine gegengezeichnete Fassung bereit – Anfrage an info@doxvox.de.

Private Nutzung und Familienkonto: Wer Doxvox ausschließlich für persönliche oder familiäre Zwecke nutzt – auch gemeinsam im Familienkonto mit Angehörigen –, fällt unter die Ausnahme des Art. 2 Abs. 2 lit. c DSGVO; diese Vereinbarung ist dann nicht erforderlich. Für die Verarbeitung der Kontodaten gilt unsere Datenschutzerklärung.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung eines KI-gestützten Dokumentenarchivs (Speicherung, Texterkennung/OCR, KI-gestützte Analyse und Kategorisierung, Volltext- und semantische Suche, Erinnerungen, Freigaben und Export von Dokumenten). Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages. Nach Vertragsende werden alle Daten gemäß Ziffer 9 gelöscht.

2. Art und Zweck der Verarbeitung

• Speicherung und Verwaltung der vom Auftraggeber hochgeladenen Dokumente und Metadaten
• Automatische Texterkennung (OCR) und KI-gestützte Inhaltsanalyse zur Kategorisierung, Verschlagwortung und Erstellung von Zusammenfassungen/Erklärungen
• Erzeugung von Such-Indizes (Volltext und semantische Vektoren)
• Versand transaktionaler E-Mails (z. B. Erinnerungen, Systembenachrichtigungen)
• Erstellung von Exporten auf Anforderung des Auftraggebers

3. Kategorien betroffener Personen und Datenarten

Betroffene Personen: Nutzer des Auftraggebers (Teammitglieder) sowie Personen, deren Daten in den hochgeladenen Dokumenten enthalten sind (z. B. Kunden, Mitarbeiter, Vertragspartner, Absender von Korrespondenz).

Datenarten: Sämtliche in den Dokumenten enthaltenen personenbezogenen Daten (z. B. Namen, Adressen, Kontaktdaten, Vertrags- und Rechnungsdaten, Bankverbindungen), Metadaten der Dokumente (Titel, Kategorien, Tags, Korrespondenten, Datumsangaben, Beträge) sowie Konto- und Nutzungsdaten der Nutzer (Name, E-Mail-Adresse, Protokolldaten). Der Auftraggeber ist dafür verantwortlich, keine Dokumente hochzuladen, deren Verarbeitung durch den Dienst unzulässig wäre (insbesondere besondere Kategorien nach Art. 9 DSGVO nur, soweit eine Rechtsgrundlage besteht).

4. Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Funktionen des Dienstes durch den Auftraggeber gilt als Weisung
• Gewährleistung der Vertraulichkeit: alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage (TOMs)
• Unterstützung des Auftraggebers bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), soweit möglich mit den Selbstbedienungsfunktionen des Dienstes (Auskunft, Berichtigung, Löschung, Datenexport)
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung)
• Unverzügliche Information des Auftraggebers bei Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO)
• Information des Auftraggebers, wenn eine Weisung nach Auffassung des Auftragnehmers gegen Datenschutzrecht verstößt

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der folgenden Unterauftragsverarbeiter. Sämtliche Unterauftragsverarbeiter verarbeiten die Daten ausschließlich in Rechenzentren innerhalb Deutschlands:

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland – KI-Plattform (OCR-Texterkennung, KI-Analyse, Embeddings)
• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland – Server-Hosting, Dateispeicher (Objektspeicher) und Versand transaktionaler E-Mails

Für die Zahlungsabwicklung kostenpflichtiger Pläne wird zusätzlich Stripe eingesetzt; Stripe verarbeitet dabei ausschließlich Konto- und Zahlungsdaten des Auftraggebers (keine Dokumenteninhalte) und handelt insoweit als eigenständiger Verantwortlicher bzw. Auftragsverarbeiter des Auftragnehmers für Abrechnungszwecke.

Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) informiert der Auftragnehmer den Auftraggeber vorab per E-Mail. Der Auftraggeber kann der Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.

6. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb Deutschlands statt. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt und bedarf andernfalls der vorherigen Zustimmung des Auftraggebers sowie geeigneter Garantien nach Kapitel V DSGVO.

7. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in der Anlage „Technische und organisatorische Maßnahmen (TOMs)“ beschriebenen Maßnahmen nach Art. 32 DSGVO. Die TOMs können fortentwickelt werden, sofern das Schutzniveau dabei nicht unterschritten wird.

8. Kontrollrechte des Auftraggebers

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen erfolgen in der Regel durch Einsichtnahme in die veröffentlichten TOMs und schriftliche Auskünfte; darüber hinausgehende Vor-Ort-Kontrollen sind nach vorheriger Terminabstimmung möglich, soweit sie den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen.

9. Löschung und Rückgabe

Der Auftraggeber kann seine Daten jederzeit selbst löschen (einzeln oder durch Kontolöschung) und über die Exportfunktion vollständig herausverlangen. Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten unwiderruflich gelöscht – aus der Datenbank und dem Dateispeicher –, sofern keine gesetzliche Aufbewahrungspflicht des Auftragnehmers entgegensteht.

10. Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des Hauptvertrages sowie Art. 82 DSGVO. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.