Vereinbarung zur Auftragsverarbeitung

Auftragsverarbeiter: Finanzwerk UG (haftungsbeschränkt), Nürnberger Straße 58, 85055 Ingolstadt

Verantwortlicher: das Unternehmen, das ein LeadDoc-Konto nutzt (nachfolgend „Kunde“)

Diese Vereinbarung wird mit Abschluss des Nutzungsvertrages wirksam und gilt für dessen gesamte Laufzeit.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Bereitstellung von LeadDoc erforderlich ist. Die Dauer entspricht der Laufzeit des Nutzungsvertrages.

Erhebung, Speicherung, Anzeige, Übermittlung per E-Mail, Export und Löschung von Daten, die der Kunde über mehrstufige Formulare bei seinen eigenen Endkunden erhebt.

• Kontaktdaten der Endkunden (insbesondere E-Mail-Adresse)
• Sämtliche vom Kunden im Formular abgefragten Inhalte, etwa Name, Anschrift, Geburtsdatum oder finanzielle Angaben
• Hochgeladene Dokumente wie PDFs, Bilder und Ausweiskopien
• Digital geleistete Unterschriften
• Bearbeitungs- und Statusinformationen einschließlich Zeitstempeln

Welche Daten konkret erhoben werden, bestimmt allein der Kunde durch die Gestaltung seiner Formulare. Beabsichtigt der Kunde, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO zu verarbeiten, hat er die Zulässigkeit eigenverantwortlich sicherzustellen.

Endkunden und Interessenten des Kunden sowie dessen Beschäftigte, die die Anwendung als Vertriebler nutzen.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Anwendung gilt als Weisung. Weitergehende Weisungen erfolgen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

• Verschlüsselte Übertragung ausschließlich über TLS
• Verschlüsselung der Stammdaten und hinterlegter SMTP-Zugangsdaten in der Datenbank mit AES-256-GCM
• Zugriffskontrolle über Firebase Authentication mit rollenbasierter Trennung von Admin und Vertriebler
• Mandantentrennung: Datenbank- und Speicherregeln verweigern jeden Zugriff auf Daten fremder Organisationen
• Zugang zu Formularen nur über einen nicht erratbaren Link in Verbindung mit einem sechsstelligen Code; Sperre nach acht Fehlversuchen für 15 Minuten
• Automatischer Ablauf der Formular-Links drei Monate nach Erstellung
• Begrenzung von Upload- und Versandvorgängen zur Missbrauchsvermeidung
• Protokollierung sicherheitsrelevanter Vorgänge
• Georedundante Speicherung und Backups durch den Infrastrukturanbieter
• Vollständige Löschbarkeit einzelner Endkunden samt Dokumenten sowie des gesamten Kontos

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland - Hosting, Authentifizierung, Datenbank und Dateispeicher (Firebase / Google Cloud)
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland - Abwicklung von Abonnements und Zahlungen
• Mailer Lite, UAB (MailerSend), Paupio g. 46, Vilnius, Litauen - Versand von System-E-Mails

Einen Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall steht beiden Parteien ein Sonderkündigungsrecht zu.

Hinterlegt der Kunde einen eigenen SMTP-Server, entfällt insoweit der Einsatz von MailerSend.

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Der Auftragsverarbeiter stützt Übermittlungen an US-Konzernmütter auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework sowie ergänzend auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Der aktuelle Speicherort der hochgeladenen Dateien ist in der Datenschutzerklärung angegeben.

Der Auftragsverarbeiter unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei Meldepflichten nach Art. 33 und 34 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Kunden weiter.

Der Auftragsverarbeiter informiert den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die die Daten des Kunden betreffen, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus Art. 28 DSGVO auf Anfrage nach, insbesondere durch Auskunft und die Vorlage vorhandener Zertifizierungen und Prüfberichte seiner Unterauftragsverarbeiter. Der Kunde ist berechtigt, sich nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten von der Einhaltung zu überzeugen; die Kontrolle darf den Betriebsablauf nicht unangemessen beeinträchtigen.

Nach Beendigung des Vertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, sobald der Kunde sie exportiert hat, spätestens 30 Tage nach Vertragsende. Der Kunde kann die Daten jederzeit selbst als PDF exportieren und einzelne Endkunden samt Dokumenten oder das gesamte Konto eigenständig löschen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der AGB.