Auftragsverarbeitungsvertrag (AVV)

Präambel

Diese Vereinbarung zur Auftragsverarbeitung regelt die datenschutzrechtlichen Pflichten von ScanKit.io c/o Martin Stämmler, Am Bartelskamp 16, D-38553 Wasbüttel (nachfolgend „ScanKit.io“ oder „Auftragnehmer“ genannt), gegenüber dem Kunden („Kunde“) im Zusammenhang mit der Nutzung der API- und SDK-Dienste von ScanKit.io.

1. Gegenstand, Dauer des Auftrags, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

Gegenstand und Dauer des Auftrags, Art und Zweck der Verarbeitung, Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus den Nutzungsbedingungen oder dem Hauptvertrag. Diese Vereinbarung bleibt gültig, bis der Hauptvertrag beendet wurde und die Verpflichtungen aus Abschnitt 10 dieser Vereinbarung erfüllt sind.

2. Sicherheit der Verarbeitung

ScanKit.io gewährleistet die Einhaltung der gemäß Art. 5(1) und Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese Maßnahmen dienen dazu, personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Zerstörung zu schützen, und sind in Anlage 1 aufgeführt.

Interne Prozesse und technische Maßnahmen werden regelmäßig überprüft, um die Einhaltung der Datenschutzgesetze zu gewährleisten und die Rechte der betroffenen Personen zu schützen.

3. Berichtigung, Löschung und Einschränkung von Daten

ScanKit.io verarbeitet, berichtigt, löscht oder beschränkt Daten ausschließlich auf Weisung des Kunden. Verlangt eine betroffene Person unmittelbar von ScanKit.io die Berichtigung, Löschung oder Einschränkung, wird das Verlangen unverzüglich an den Kunden weitergeleitet.

ScanKit.io unterstützt den Kunden bei der Erfüllung gesetzlicher Verpflichtungen im Zusammenhang mit den Rechten betroffener Personen, einschließlich des Rechts auf Auskunft, Berichtigung oder Löschung personenbezogener Daten.

4. Pflichten des Auftragnehmers

ScanKit.io gewährleistet die Erfüllung der folgenden Verpflichtungen:

• Benennung eines Datenschutzbeauftragten, soweit gesetzlich vorgeschrieben.
• Sicherstellung, dass alle Mitarbeiter mit Zugang zu personenbezogenen Daten zur Vertraulichkeit verpflichtet sind.
• Ermöglichung von Prüfungen durch Aufsichtsbehörden und Unterstützung des Kunden bei solchen Prüfungen.
• Unverzügliche Benachrichtigung des Kunden über datenschutzbezogene Anfragen oder Untersuchungen von Aufsichtsbehörden.
• Unterstützung des Kunden bei der Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 DSGVO.
• Unterstützung des Kunden bei Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO.
• Unterstützung bei Meldungen von Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 und Art. 34 DSGVO.

5. Unterauftragsverhältnisse

ScanKit.io darf Unterauftragnehmer einsetzen, um seine Verpflichtungen aus dieser Vereinbarung zu erfüllen. Alle Unterauftragsverhältnisse müssen den Datenschutzanforderungen entsprechen. ScanKit.io informiert den Kunden über jede beabsichtigte Änderung in Bezug auf Unterauftragnehmer und räumt ihm die Möglichkeit ein, Widerspruch einzulegen.

Unterauftragsverhältnisse außerhalb der EU/EEA bedürfen der vorherigen schriftlichen Genehmigung des Kunden und müssen Art. 44-49 DSGVO entsprechen.

Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 3 aufgeführt.

6. Ort der Verarbeitung

Die Datenverarbeitung durch ScanKit.io ist auf die EU/EEA beschränkt. Übermittlungen außerhalb dieser Regionen setzen die Einhaltung von Art. 44 ff. DSGVO und die vorherige schriftliche Zustimmung des Kunden voraus.

7. Prüfungsrechte des Kunden

Der Kunde darf die Geschäftsräume von ScanKit.io während der Geschäftszeiten mit einer Ankündigungsfrist von mindestens vier Geschäftstagen überprüfen. ScanKit.io leistet die erforderliche Unterstützung, um die Einhaltung der in dieser Vereinbarung beschriebenen technischen und organisatorischen Maßnahmen zu überprüfen.

8. Meldungen von Datenschutzverletzungen

ScanKit.io benachrichtigt den Kunden unverzüglich nach Feststellung einer Datenschutzverletzung oder einer vermuteten Datenschutzverletzung. Die Benachrichtigung enthält Einzelheiten zur Verletzung, zu ihren Auswirkungen und zu den ergriffenen Abhilfemaßnahmen. Soweit erforderlich, unterstützt ScanKit.io den Kunden bei der Benachrichtigung der Aufsichtsbehörden und der betroffenen Personen.

9. Weisungsbefugnis des Kunden

ScanKit.io verarbeitet Daten ausschließlich auf Grundlage der im Hauptvertrag festgelegten Weisungen des Kunden. Änderungen des Umfangs der Verarbeitung müssen vereinbart und dokumentiert werden. ScanKit.io benachrichtigt den Kunden, wenn ScanKit.io der Auffassung ist, dass eine Weisung gegen Datenschutzgesetze verstößt, und darf die Verarbeitung aussetzen, bis die Angelegenheit geklärt ist.

10. Löschung nach Vertragsbeendigung

Nach Beendigung des Vertrags löscht ScanKit.io alle personenbezogenen Daten oder gibt sie nach Weisung des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien, die zur Einhaltung gesetzlicher Vorschriften oder zur ordnungsgemäßen Verarbeitung erforderlich sind, dürfen bis zum Ablauf ihrer gesetzlichen Aufbewahrungsfrist sicher aufbewahrt werden.

1. Schutzmaßnahmen und Risikobewertung

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen muss der Auftragnehmer geeignete technische und organisatorische Maßnahmen umsetzen, um ein angemessenes Schutzniveau zu gewährleisten.

2. Pseudonymisierung und Verschlüsselung

Diese Maßnahmen können unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten umfassen, soweit solche Mittel im Hinblick auf die Zwecke der Verarbeitung möglich sind.

3. Ziel der Maßnahmen

Die Maßnahmen sollen Folgendes gewährleisten:

1. Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der mit der Verarbeitung zusammenhängenden Systeme und Dienste werden dauerhaft aufrechterhalten.
2. Die Verfügbarkeit personenbezogener Daten und der Zugang zu ihnen können bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden.

4. Risikobewertung und Maßnahmen

Nach einer Risikobewertung muss der Auftragnehmer Maßnahmen ergreifen, um die Datensicherheit in den folgenden Bereichen zu gewährleisten:

Zutrittskontrolle

Verwehrung des Zutritts zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für unbefugte Personen. Zu den Maßnahmen gehören:

• Zutrittskontrollsysteme (z. B. Magnetkarten, zentrale Schlüsselverwaltung).
• Eindeutige Zuweisung von Berechtigungen für den Zutritt zu Gebäuden und Serverräumen.
• Videoüberwachung sensibler Bereiche einschließlich Serverräumen.
• Verschließen von Büros und Schränken, wenn diese unbeaufsichtigt sind.
• Regelungen für den Zutritt von Besuchern einschließlich Ausweisen und Begleitung.

Datenträgerkontrolle

Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern. Zu den Maßnahmen gehören:

• Sichere Passwortverfahren einschließlich regelmäßiger Passwortänderungen und Vorgaben zur Passwortlänge.
• Automatische Sperrung von Computern nach Inaktivität.
• Verschlüsselung sensibler Datenträger.
• Möglichkeiten zur Fernlöschung mobiler Geräte.

Speicherkontrolle

Verhinderung der unbefugten Eingabe, Einsichtnahme, Veränderung oder Löschung gespeicherter personenbezogener Daten.

Benutzerkontrolle

Verhinderung des unbefugten Zugriffs auf Systeme oder der unbefugten Datenverarbeitung über Übertragungseinrichtungen.

Übertragungskontrolle

Gewährleistung, dass Datenübermittlungen sicher und nachvollziehbar sind. Zu den Maßnahmen gehören:

• Datenverschlüsselung während der Übertragung (z. B. VPN, HTTPS).
• Verbot der Verwendung nicht autorisierter Hardware oder Software zur Datenübertragung.
• Richtlinien für den sicheren Umgang mit physischen Datenträgern.

Eingabekontrolle

Gewährleistung, dass festgestellt werden kann, wer Daten eingegeben, verändert oder gelöscht hat. Zu den Maßnahmen gehören:

• Zugang zu Systemen ausschließlich über sichere Anmeldeverfahren.
• Manuelle Abmeldung beim Verlassen von Arbeitsplätzen.
• Prüfprotokolle zur Nachverfolgung von Systemänderungen und Benutzeraktionen.

Wiederherstellbarkeit

Gewährleistung der Wiederherstellung von Systemen und Daten im Falle einer Störung oder Verletzung.

Datenintegrität

Gewährleistung, dass personenbezogene Daten vor Beschädigung oder unbefugter Veränderung geschützt sind.

Verfügbarkeitskontrolle

Gewährleistung, dass Daten vor Zerstörung oder Verlust geschützt sind. Zu den Maßnahmen gehören:

• Regelmäßige Sicherungen und Tests der Wiederherstellungsverfahren.
• Antivirensoftware und Firewalls, die auf dem aktuellen Stand gehalten werden.
• Schutz vor Umweltrisiken (z. B. Feuer, Wasserschäden).
• Notfallpläne einschließlich Systemen zur unterbrechungsfreien Stromversorgung (USV).

Trennbarkeit

Gewährleistung, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Zu den Maßnahmen gehören:

• Logische Trennung von Datensätzen.
• Strenge Zugriffskontrollen für Daten mit unterschiedlichen Zwecken.

Überprüfung und Schulung zur IT-Sicherheit

Gewährleistung einer regelmäßigen Bewertung der Maßnahmen und von IT-Sicherheitsschulungen für alle relevanten Mitarbeiter. Zu den Maßnahmen gehören:

• Regelmäßige Schulungen für Mitarbeiter und IT-Administratoren zu Verfahren der Datensicherheit.
• Programme zur Sensibilisierung für Sicherheitsfragen und interne Dokumentation für Mitarbeiter.
• Pläne zur Reaktion auf Sicherheitsvorfälle oder ungewöhnliche Aktivitäten.

Umfang, Art und Zweck der geplanten Erhebung

ScanKit.io bietet B2B-Lösungen für das nahtlose Scannen und Verarbeiten von Dokumenten über seine API und sein SDK. Die Plattform ermöglicht Unternehmen, Funktionen zum Scannen von Dokumenten in ihre Arbeitsabläufe zu integrieren, relevante Daten (z. B. Metadaten, OCR-Text und Klassifizierungen) automatisch zu extrahieren sowie Dokumente sicher zu verarbeiten und weiterzugeben. Der Hauptzweck der Datenverarbeitung besteht darin, die Effizienz der Dokumentenverwaltung für Unternehmen zu steigern.

Art der Daten

1. Personenbezogene Daten:

• Vorname, Nachname
• E-Mail-Adresse

2. Dokumentinformationen:

• Hochgeladene PDF-Dateien
• Gescannte Bilder von Dokumenten

3. Bei Verwendung der Scanfunktion:

• Automatische Bildverarbeitung (Zuschneiden, Filtern und Optimieren von Dokumentfotos)
• Erstellung gescannter Dokumentbilder in verschiedenen Auflösungen
• Textextraktion mittels optischer Zeichenerkennung (OCR)

4. Metadaten zu Dokumenten (extrahiert oder von Benutzern erstellt):

• Dokumenttyp
• Tags / Bezeichnungen
• Erstellungsdatum
• Zahlungsinformationen (z. B. aus Rechnungen extrahiert)
• Kalenderinformationen (z. B. aus Einladungen extrahiert)
• Angaben zu Absender und Empfänger (Name und Anschrift aus Briefen)

5. Kommunikationsdaten:

• Benutzerkommentare oder Chatnachrichten im Zusammenhang mit Dokumenten
• Vom Chatbot generierte Antworten auf Anfragen zu Dokumenten

6. Server-Protokolldaten:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Angeforderte URL
• Gerätetyp (z. B. Desktop, Mobilgerät)
• Browsertyp
• Spracheinstellungen

Betroffene Personen

Kunden und Benutzer der API- und SDK-Dienste von ScanKit.

Gemäß Abschnitt 5 dieser Vereinbarung genehmigt der Kunde die folgenden Unterauftragsverarbeiter. Die Liste bildet die in Abschnitt 1 beschriebenen Verarbeitungstätigkeiten ab und wird bei Änderungen aktualisiert. Beabsichtigte Änderungen werden gemäß Abschnitt 5 mitgeteilt.

ScanKit.io bleibt gegenüber dem Kunden für die Leistung seiner Unterauftragsverarbeiter verantwortlich.