Anlage Nr. 1 zu den Nutzungsbedingungen — informative Übersetzung

Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Verantwortlicher (Controller):
Der Nutzer, dessen Identifikationsdaten (Firma, Sitz, Firmen-ID, Steuernummer, vertretungsberechtigte Person) in seinem Nutzerkonto in der Anwendung SureDocs Redact geführt werden — bei der Registrierung aus öffentlichen Registern übernommen (Suche nach Firmen-ID) und um Daten ergänzt, die in den Registern nicht verfügbar sind.
Die aktuellen Daten des jeweiligen Verantwortlichen sowie Datum/Person der Bestätigung dieses Vertrags sind in seiner druckbaren Bestätigung der Nutzungsbedingungen in SureDocs verfügbar (Dashboard → Bestellungen).
(im Folgenden „Verantwortlicher“)

Auftragsverarbeiter (Processor):
InnovativeIT, s.r.o.
Sitz: Častkovce 61, 916 27 Častkovce, Slowakische Republik
Eingetragen im Handelsregister des Bezirksgerichts Trenčín, Abteilung: Sro, Einlage Nr. 47355/R
Firmen-ID (IČO): 56427689 | Steuernummer (DIČ): 2122313380 | USt-IdNr.: SK2122313380
Vertreten durch: Ing. Pavol Žiška, Geschäftsführer
E-Mail: [email protected]
(im Folgenden „Auftragsverarbeiter“ oder „SureDocs“)

Präambel

Der Verantwortliche und der Auftragsverarbeiter schließen diesen Auftragsverarbeitungsvertrag (im Folgenden „Vertrag“) gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DSGVO).

Der Auftragsverarbeiter stellt dem Verantwortlichen den Dienst SureDocs Redact zur Verfügung — die automatisierte Anonymisierung personenbezogener Daten in Dokumenten. Im Rahmen der Erbringung dieses Dienstes verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

Artikel 1 — Vertragsgegenstand

1.1 Gegenstand dieses Vertrags ist die Regelung der Rechte und Pflichten der Vertragsparteien bei der Verarbeitung personenbezogener Daten im Rahmen der Nutzung des Dienstes SureDocs Redact.

1.2 Dieser Vertrag ist untrennbarer Bestandteil (Anlage Nr. 1) der Nutzungsbedingungen des Dienstes SureDocs Redact und tritt mit der Annahme der Nutzungsbedingungen in Kraft.

1.3 Dieser Vertrag wird in elektronischer Form geschlossen. Der Verantwortliche erklärt seine ausdrückliche Zustimmung zu seinem gesamten Wortlaut durch Ankreuzen des entsprechenden Feldes bei der Registrierung für den Dienst — ein so geschlossener Vertrag ist für beide Parteien ebenso verbindlich wie ein handschriftlich oder mit qualifizierter elektronischer Signatur unterzeichneter Vertrag; eine gesonderte unterzeichnete Ausfertigung in Papier- oder elektronischer Form ist nicht erforderlich.

Artikel 2 — Umfang, Art und Zweck der Verarbeitung

Zweck der Verarbeitung:
Automatische Erkennung, Klassifizierung und Anonymisierung personenbezogener Daten in Dokumenten, die der Verantwortliche in den Dienst hochlädt, zur Erfüllung der Pflichten des Verantwortlichen aus der DSGVO und anderen Datenschutzvorschriften.

Art der Verarbeitung:

• Einlesen des Dokumentinhalts (Textextraktion / OCR)
• Analyse des Textes durch ein Modell künstlicher Intelligenz
• Identifizierung und Klassifizierung personenbezogener Daten
• Erzeugung des anonymisierten Ergebnisses
• Eintragung eines Freigabedatensatzes in das Audit-Log

Arten verarbeiteter personenbezogener Daten (abhängig vom Inhalt der hochgeladenen Dokumente):

• Vor- und Nachnamen natürlicher Personen
• Adressen des ständigen/vorübergehenden Wohnsitzes
• Telefonnummern und E-Mail-Adressen
• Bankkontonummern (IBAN)
• Geburtsnummern und Nummern von Ausweisdokumenten
• Geburtsdaten
• Sonstige Kennungen natürlicher Personen

Kategorien betroffener Personen:
Natürliche Personen, deren personenbezogene Daten in den vom Verantwortlichen hochgeladenen Dokumenten enthalten sind (Kunden, Beschäftigte, Vertragspartner u. Ä.).

Dauer der Verarbeitung:
Für die Dauer des Vertragsverhältnisses zwischen den Parteien bzw. für den zur Erfüllung gesetzlicher Pflichten erforderlichen Zeitraum.

Artikel 3 — Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

3.1 Verarbeitung nur auf Weisung
Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten — auch in Bezug auf die Übermittlung personenbezogener Daten in Drittländer —, sofern er nicht durch das Recht der EU oder eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.2 Vertraulichkeit
Zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.3 Sicherheitsmaßnahmen
Alle nach Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen, einschließlich:

• Verschlüsselung der übertragenen Daten (TLS/HTTPS)
• Automatischer lokaler Filter für besondere Kategorien von Daten nach Art. 9 DSGVO: Der Text des Dokuments (bei Scans und Fotos nach lokalem Lesen) wird auf dem Server des Auftragsverarbeiters ausgewertet, bevor er an einen Unterauftragsverarbeiter gesendet wird; bei eindeutigen Anzeichen für Gesundheitsdaten wird das Dokument nicht gesendet und abgelehnt; der Filter ist nicht 100 % zuverlässig und ersetzt nicht die Pflicht des Verantwortlichen nach Art. 4.2
• Vorübergehende Verarbeitung von Dokumenten im Arbeitsspeicher des Servers und in dessen vorübergehender Kopie (interne Datenbank auf demselben Server, nur lokal erreichbar, höchstens 12 Stunden, bei der API 4 Stunden aufbewahrt und bei Ende der Sitzung gelöscht), ohne dauerhafte Speicherung des Inhalts nach Ende der Sitzung; zur automatischen Analyse werden die Daten ausschließlich über dessen API an den gewählten Unterauftragsverarbeiter (Art. 6) übermittelt, ebenfalls ohne dauerhafte Speicherung auf dessen Seite nach Abschluss der Verarbeitung
• Zugriffskontrolle für die Produktionsumgebung
• Regelmäßige Prüfung der Systemsicherheit (internes Code-Review, automatisierte CI-Prüfungen; der Auftragsverarbeiter verfügt derzeit über keine externe Sicherheitszertifizierung nach ISO 27001/SOC 2 und keinen formalen Penetrationstest — Einzelheiten und Kontext im internen Dokument dpia_lia_interne_posudenie.md Teil C)

Die optionale Komponente SureDocs Print driver (ein lokal installierter virtueller Drucker) nimmt Druckaufträge ausschließlich auf 127.0.0.1 an (aus dem Netzwerk nicht erreichbar), und das Dokument verbleibt nur lokal auf dem Computer des Nutzers, bis der Nutzer es im Prüffenster der Anwendung selbst zur Verarbeitung bestätigt — erst dann wird es auf demselben Weg (/v1/api/jobs) wie bei einer regulären API-Integration an den SureDocs-Server gesendet. Es handelt sich also nicht um einen eigenständigen Datenfluss außerhalb dieses Vertrags, sondern nur um eine alternative Art der Übergabe eines Dokuments zur Verarbeitung.

3.4 Unterauftragsverarbeiter
Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 1 aufgeführt — mit deren Annahme erteilt der Verantwortliche eine allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (neuer Unterauftragsverarbeiter oder dessen Austausch) mindestens 14 Tage im Voraus per E-Mail. Der Verantwortliche hat das Recht, innerhalb von 7 Tagen nach dieser Mitteilung einen begründeten Einspruch zu erheben; erhebt er innerhalb dieser Frist keinen Einspruch, gilt die Änderung als genehmigt.

3.5 Unterstützung des Verantwortlichen
Den Verantwortlichen angesichts der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen zu unterstützen.

3.6 Unterstützung bei den Pflichten nach Art. 32–36 DSGVO
Den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung, vorherige Konsultation) zu unterstützen. Die formale Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA, Art. 35) liegt beim Verantwortlichen — über diese Unterstützung hinaus hat der Auftragsverarbeiter das Risiko seiner eigenen Verarbeitung (Umfang, Datenkategorien, Unterauftragsverarbeiter) im Rahmen seiner Due Diligence selbst intern bewertet; die Dokumentation dieser Bewertung ist das interne Dokument dpia_lia_interne_posudenie.md.

3.7 Löschung oder Rückgabe der Daten
Nach Wahl des Verantwortlichen nach Abschluss der Erbringung des Dienstes alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

3.8 Audit und Kontrolle
Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel festgelegten Pflichten zur Verfügung zu stellen und Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen anderen von ihm beauftragten Prüfer zu ermöglichen und dazu beizutragen. Der Verantwortliche ist berechtigt, ein Audit höchstens einmal pro Kalenderjahr nach vorheriger schriftlicher Ankündigung mindestens 30 Tage im Voraus durchzuführen (außerhalb dieser Frist nur bei begründetem Verdacht auf einen schwerwiegenden Verstoß). Der Auftragsverarbeiter hat gegenüber dem Verantwortlichen Anspruch auf Erstattung der tatsächlich entstandenen Kosten für die Unterstützung beim Audit gemäß seinen geltenden Stundensätzen.

3.9 Unverzügliche Information
Den Verantwortlichen unverzüglich zu informieren, falls eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzbestimmungen der EU oder eines Mitgliedstaats verstößt.

Artikel 4 — Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

4.1 Mit dem Hochladen von Dokumenten in den Dienst bestätigt er, dass er über eine Rechtsgrundlage für die Verarbeitung der in diesen Dokumenten enthaltenen personenbezogenen Daten verfügt.

4.2 Sicherzustellen, dass die hochgeladenen Dokumente KEINE besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten (Gesundheitsakten, biometrische Daten, genetische Daten, Daten über strafrechtliche Verurteilungen) — dieses Verbot ist absolut und ausnahmslos (übereinstimmend mit Art. 5 Buchst. b) der Nutzungsbedingungen); der Auftragsverarbeiter erteilt dazu keine und kann keine Zustimmung erteilen.

4.3 Den Auftragsverarbeiter über alle Weisungen, Anforderungen oder Änderungen zu informieren, die sich auf die Verarbeitung personenbezogener Daten auswirken könnten.

4.4 Sicherzustellen, dass die Freigabe der Anonymisierung in der Anwendung nur von befugten Personen mit den entsprechenden Berechtigungen vorgenommen wird.

Artikel 5 — Übermittlung in Drittländer

5.1 Der Verantwortliche nimmt zur Kenntnis, dass je nach gewähltem KI-Backend Inhalte von Dokumenten in Drittländer übermittelt werden können:

5.2 Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter in einem Drittland an geeignete Garantien im Sinne von Art. 46 DSGVO gebunden ist (Standardvertragsklauseln oder ein anderer geeigneter Mechanismus).

5.2a Folgenabschätzung der Übermittlung (Transfer Impact Assessment): Der Verantwortliche nimmt zur Kenntnis, dass US-Behörden (insbesondere nach Section 702 FISA und Executive Order 12333) unter bestimmten Umständen Zugriff auf Daten verlangen können, die von Anbietern mit Sitz oder Infrastruktur in den USA verarbeitet werden, und zwar auch trotz bestehender Standardvertragsklauseln. Der Auftragsverarbeiter hat dieses Risiko identifiziert und folgende risikomindernde Maßnahmen ergriffen:

• die Verarbeitungsdauer eines Dokuments beim KI-Unterauftragsverarbeiter ist kurz (im Normalbetrieb im Bereich von Sekunden bis wenigen Minuten), es handelt sich nicht um eine dauerhafte Speicherung — dies verringert, schließt aber die Wahrscheinlichkeit eines Zugriffs auf die Daten im Zeitfenster der aktiven Verarbeitung nicht aus (siehe auch Art. 8.1 und die Ausnahme für die Trust-&-Safety-Überwachung);
• Anthropic ist seit Juni 2026 nach dem EU-US Data Privacy Framework zertifiziert — ein zusätzlicher Rechtsmechanismus neben den Standardvertragsklauseln (Art. 45 DSGVO);
• der Nutzer kann eine Übermittlung in die USA vollständig vermeiden, indem er das Backend Mistral (EU) oder Ollama (lokale Verarbeitung) wählt — siehe Art. 5.3.

Der Auftragsverarbeiter erklärt nicht, dass technische Maßnahmen (z. B. vorübergehende Verarbeitung ohne dauerhafte Speicherung des Inhalts) einen Zugriff von Behörden eines Drittlands auf die Daten während der aktiven Verarbeitung verhindern — eine solche Erklärung wäre unbegründet. Ein Nutzer, der Dokumente mit besonders sensiblem Inhalt verarbeitet, sollte das Backend Mistral oder Ollama in Betracht ziehen.

5.3 Der Verantwortliche kann Übermittlungen in Drittländer minimieren, indem er in den Einstellungen der Anwendung das Backend Mistral (EU) oder Ollama (lokal) wählt.

Artikel 6 — Unterauftragsverarbeiter

Anlage 1 — Genehmigte Unterauftragsverarbeiter

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter an dieselben Datenschutzpflichten gebunden sind, die für den Auftragsverarbeiter nach diesem Vertrag gelten. Gemäß Art. 28 Abs. 4 DSGVO haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen in vollem Umfang für die ordnungsgemäße Erfüllung der Datenschutzpflichten durch die Unterauftragsverarbeiter.

Hinweis — Abfragen öffentlicher Register (keine Unterauftragsverarbeiter im Sinne von Art. 28): Bei der Überprüfung der Firmen-ID während der Registrierung/Erneuerung ruft SureDocs öffentliche Register-APIs auf (RPO des Statistikamts der SR, ŽRSR und RMNO des Innenministeriums der SR, Finanzverwaltung der SR, ARES CZ). Übermittelt wird nur die Firmen-ID; die Antwort besteht überwiegend aus öffentlichen Registerdaten DRITTER Rechtsträger (Firma, Adresse, Rechtsform), nicht aus personenbezogenen Daten von Kunden des Verantwortlichen — insoweit liegt keine Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen vor und diese Dienste sind bewusst NICHT in der obigen Tabelle aufgeführt. Ausnahme: Gibt das Register zur jeweiligen Firmen-ID auch den Namen des satzungsmäßigen Organs/Geschäftsführers (einer natürlichen Person) zurück, verarbeitet SureDocs diesen Namen weiter als personenbezogenes Datum — Rechtsgrundlage und Aufbewahrungsdauer sind in der Tabelle „Welche Daten wir erheben“ unten angegeben (Name des satzungsmäßigen Organs), nicht in diesem Hinweis.

Artikel 7 — Verletzung des Schutzes personenbezogener Daten

7.1 Im Falle einer Verletzung des Schutzes personenbezogener Daten (Security Breach) informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt geworden ist.

7.2 Die Meldung enthält: eine Beschreibung der Art der Verletzung, die Kategorien und die Zahl der betroffenen Personen, die Kontaktdaten der verantwortlichen Person, eine Beschreibung der wahrscheinlichen Folgen und eine Beschreibung der zur Behebung ergriffenen Maßnahmen.

7.3 Der Verantwortliche ist für die Erfüllung der Meldepflicht gegenüber der Aufsichtsbehörde (für einen slowakischen Verantwortlichen das ÚOOÚ SR; im Übrigen die zuständige Aufsichtsbehörde) innerhalb der gesetzlichen Frist von 72 Stunden gemäß Art. 33 DSGVO verantwortlich.

Artikel 8 — Aufbewahrung und Löschung

8.1 Der Inhalt hochgeladener Dokumente wird nicht dauerhaft gespeichert — er wird im Arbeitsspeicher des Servers und in dessen vorübergehender Kopie (Art. 3.3) verarbeitet, die nach Abschluss der Verarbeitung oder Beendigung der Sitzung gelöscht wird und spätestens nach 12 Stunden (bei der API nach 4 Stunden) verfällt. Spuren der vorübergehenden Kopie können im technischen Protokoll und im Datenbank-Snapshot auf dem Datenträger des Servers verbleiben, bis das System sie automatisch überschreibt (in der Regel Tage bis Wochen). Ausnahme: KI-Unterauftragsverarbeiter (Anthropic, Mistral) können gemäß ihren eigenen Trust-&-Safety-Richtlinien und unabhängig von der Vereinbarung über das Nicht-Training Ein- und Ausgaben kurzzeitig zum Zweck der Missbrauchsüberwachung aufbewahren — in der Regel bis zu 30 Tage, in Ausnahmefällen einer festgestellten Verletzung ihrer Nutzungsbedingungen auch länger (siehe Nutzungsbedingungen Art. 2.2b).

8.2 Das Audit-Log (Datensatz über die Freigabe der Anonymisierung) enthält: Dateiname, SHA-256-Hash des Originals, Name des Freigebers, Zeitstempel, Anzahl der anonymisierten Felder, verwendetes Backend. Das Audit-Log enthält keinen Dokumentinhalt.

8.2a Das Audit-Log dient dem Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 30 DSGVO (interner Datensatz über Verarbeitungstätigkeiten) — es hat nicht den Charakter eines qualifizierten elektronischen Siegels oder einer anderen rechtlich qualifizierten Zeit-/Integritätsbescheinigung, sofern zwischen den Parteien nicht ausdrücklich etwas anderes vereinbart ist.

8.3 Die Datensätze des Audit-Logs werden 3 Jahre (36 Monate) ab ihrer Erstellung aufbewahrt und anschließend automatisch gelöscht.

8.4 Die Registrierungsdaten des Nutzers werden nach der Auflösung des Kontos innerhalb von 90 Tagen gelöscht, sofern ihre Aufbewahrung nicht gesetzlich vorgeschrieben ist (z. B. Buchhaltungsbelege — 10 Jahre).

Artikel 9 — Schlussbestimmungen

9.1 Dieser Vertrag unterliegt der Rechtsordnung der Slowakischen Republik und den einschlägigen Vorschriften der EU, insbesondere der DSGVO.

9.2 Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen hat dieser Vertrag in Bezug auf den Schutz personenbezogener Daten Vorrang.

9.3 Änderungen dieses Vertrags sind nur in Schriftform wirksam (einschließlich Annahme per E-Mail).

9.4 Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen Bestimmungen wirksam.

9.5 Dieser Vertrag tritt mit der Annahme der Nutzungsbedingungen des Dienstes SureDocs Redact in Kraft — in elektronischer Form gemäß Art. 1.3, ohne dass eine Unterschrift auf Papier oder eine qualifizierte elektronische Signatur erforderlich ist.

9.6 Dieser Vertrag kann auch in Übersetzungen in andere Sprachen zur Verfügung gestellt werden. Die Übersetzung dient ausschließlich der Information; bei Widersprüchen zwischen der slowakischen Fassung und der Übersetzung hat stets die slowakische Fassung Vorrang. Die Zustimmung des Nutzers bezieht sich auf die slowakische Fassung; die angenommene slowakische Fassung wird als offizielles Dokument im Konto des Nutzers (Dashboard → Bestellungen) gespeichert, zusammen mit der Übersetzung, die dem Nutzer bei der Zustimmung angezeigt wurde.

Datenschutzerklärung (Privacy Policy)

Wer wir sind

InnovativeIT, s.r.o., Častkovce 61, 916 27 Častkovce, Slowakische Republik, Firmen-ID: 56427689
Kontakt: [email protected] (Anträge betroffener Personen, Datenschutz)
Datenschutzbeauftragter (DSB): Der Verantwortliche hat derzeit keinen Datenschutzbeauftragten benannt; wenden Sie sich in Datenschutzfragen bitte direkt an den Anbieter unter dem oben genannten Kontakt.

Welche Daten wir erheben

IP-Adresse und Zugriffsprotokoll werden als technisch notwendiger Bestandteil des Betriebs des Webservers erfasst (wie bei jedem Webdienst) — es handelt sich weder um ein Cookie noch um einen Tracking-Mechanismus, und diese Erfassung erfolgt unabhängig von der Auswahl im Cookie-Banner. Optionale (Analyse-)Cookies verwendet SureDocs derzeit nicht. Im Produktivbetrieb laufen Anfragen an SureDocs über Cloudflare (Reverse-Tunnel, siehe Anlage 1) — Cloudflare verarbeitet als Unterauftragsverarbeiter dieselben IP-/HTTP-Metadaten auf seiner eigenen Edge-Infrastruktur gemäß seinem AVV, unabhängig von der 90-tägigen Aufbewahrung bei SureDocs.

Für Positionen mit der Rechtsgrundlage „Berechtigtes Interesse“ wurde eine Interessenabwägung (Balancing Test) durchgeführt — die Dokumentation befindet sich im internen Dokument dpia_lia_interne_posudenie.md Teil B.

Ihre Rechte

Sie haben das Recht auf: Auskunft · Berichtigung · Löschung · Einschränkung der Verarbeitung · Datenübertragbarkeit · Widerspruch · Beschwerde bei einer Aufsichtsbehörde (in der Slowakei das ÚOOÚ SR — dataprotection.gov.sk; oder die Aufsichtsbehörde Ihres Mitgliedstaats).

Senden Sie Ihren Antrag an: [email protected] — wir antworten innerhalb von 30 Tagen.