Auftragsverarbeitungsvertrag

1. Einleitung

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Vereinbarung zwischen ExactSum, einem Produkt von Productimiser Ltd (DE) ("Auftragsverarbeiter", "wir", "uns") und Ihnen ("Verantwortlicher", "Kunde") über die Bereitstellung des Dienstes Kontoauszüge Konverter ("Dienst").

Dieser AVV legt die Bedingungen fest, unter denen wir personenbezogene Daten in Ihrem Auftrag verarbeiten, wenn Sie unseren Dienst zur Umwandlung von Kontoauszügen nutzen.

2. Begriffsbestimmungen

• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie in der DSGVO definiert.
• "Verarbeitung" bezeichnet jeden mit personenbezogenen Daten ausgeführten Vorgang, einschließlich Erhebung, Speicherung, Verwendung und Löschung.
• "Betroffene Person" bezeichnet die Person, auf die sich die personenbezogenen Daten beziehen.
• "Unterauftragsverarbeiter" bezeichnet jeden Dritten, den wir mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag beauftragen.
• "DSGVO" bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679).

3. Umfang und Zweck der Verarbeitung

3.1 Verarbeitete Daten

Wenn Sie Kontoauszüge in unseren Dienst hochladen, können wir die folgenden Kategorien personenbezogener Daten verarbeiten:

• Namen der Kontoinhaber
• Kontonummern und Bankleitzahlen (IBAN/BIC)
• Transaktionsdetails (Daten, Beschreibungen, Beträge)
• Kontostände
• Namen von Händlern und Zahlungsempfängern

3.2 Zweck der Verarbeitung

Wir verarbeiten diese Daten ausschließlich zum Zweck:

• der Umwandlung von PDF-Kontoauszügen in die Formate Excel und CSV
• der Extraktion und Strukturierung von Transaktionsdaten
• der Bereitstellung der umgewandelten Dateien zum Download

4. Datenstandort und Sicherheit

4.1 Standort der Rechenzentren

Unsere Server befinden sich in Rechenzentren in der EU mit den folgenden Zertifizierungen:

• ISO 27001 (Informationssicherheitsmanagement)
• ISO 27017 (Cloud-Sicherheit)
• ISO 27018 (Schutz personenbezogener Daten in der Cloud)
• Cyber Essentials Plus

4.2 Sicherheitsmaßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen um, um die Sicherheit der Verarbeitung zu gewährleisten, darunter:

• Verschlüsselung bei der Übertragung: TLS 1.3 (256-Bit-Verschlüsselung) für alle Datenübertragungen
• Verschlüsselung im Ruhezustand: AES-256-Verschlüsselung für gespeicherte Dateien
• Zugriffskontrollen: Rollenbasierter Zugriff mit Multi-Faktor-Authentifizierung
• Audit-Protokollierung: Umfassende Protokollierung aller Datenzugriffe
• Regelmäßige Sicherheitsbewertungen: Penetrationstests und Schwachstellenscans
• Schulung der Mitarbeiter: Regelmäßige Datenschutzschulungen für alle Mitarbeiter

5. Speicherdauer

Wir halten strenge Richtlinien zur Speicherdauer ein, um die Datenexposition zu minimieren:

• Hochgeladene Kontoauszüge: Automatische Löschung innerhalb von 24 Stunden
• Umgewandelte Dateien: Automatische Löschung innerhalb von 24 Stunden
• Verarbeitungsprotokolle: 30 Tage zur Fehlerbehebung aufbewahrt, danach gelöscht
• Keine Langzeitspeicherung: Wir bewahren keine Kopien Ihrer Finanzdokumente auf

6. Unterauftragsverarbeiter

Wir nutzen die folgenden Unterauftragsverarbeiter, um unseren Dienst bereitzustellen:

Unterauftragsverarbeiter	Zweck	Standort
Hetzner Online GmbH	Cloud-Hosting-Infrastruktur	Deutschland (EU)
Stripe Inc.	Zahlungsabwicklung	EU/USA (Angemessenheitsbeschluss)
Cloudflare Inc.	CDN- und Sicherheitsdienste	EU-Endpunkte

Wir werden Sie über alle Änderungen unserer Unterauftragsverarbeiter per E-Mail oder über unseren Dienst informieren.

7. Pflichten des Verantwortlichen

Als Verantwortlicher bestätigen Sie, dass:

• Sie die rechtliche Befugnis besitzen, die Kontoauszüge in unseren Dienst hochzuladen
• Sie alle erforderlichen Einwilligungen der betroffenen Personen eingeholt haben
• Sie den Dienst im Einklang mit den geltenden Datenschutzgesetzen nutzen
• Sie keine Dokumente mit Daten hochladen, zu deren Verarbeitung Sie nicht berechtigt sind

8. Pflichten des Auftragsverarbeiters

Als Auftragsverarbeiter verpflichten wir uns:

• personenbezogene Daten nur auf Ihre dokumentierten Weisungen hin zu verarbeiten
• sicherzustellen, dass das Personal zur Vertraulichkeit verpflichtet ist
• geeignete Sicherheitsmaßnahmen umzusetzen
• Sie bei der Beantwortung von Anfragen betroffener Personen zu unterstützen
• Sie unverzüglich über jede Verletzung des Schutzes personenbezogener Daten zu informieren
• nach Beendigung des Dienstes alle personenbezogenen Daten zu löschen
• die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen

9. Rechte der betroffenen Personen

Wir unterstützen Sie bei der Erfüllung von Anfragen zu den Rechten betroffener Personen, einschließlich:

• Auskunftsrecht
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Widerspruchsrecht

Aufgrund unserer 24-Stunden-Löschrichtlinie werden die meisten Anfragen betroffener Personen automatisch durch unsere standardmäßigen Aufbewahrungspraktiken erfüllt.

10. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten werden wir:

• Sie unverzüglich (und nach Möglichkeit innerhalb von 48 Stunden) benachrichtigen
• Einzelheiten der Verletzung bereitstellen, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen
• die wahrscheinlichen Folgen sowie die zur Behebung der Verletzung getroffenen Maßnahmen beschreiben
• bei Ihren Meldepflichten gegenüber der zuständigen Aufsichtsbehörde mitwirken

11. Auditrechte

Nach angemessener Vorankündigung stellen wir Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglichen Überprüfungen durch Sie oder einen beauftragten Prüfer, vorbehaltlich:

• einer angemessenen Vorankündigung (mindestens 30 Tage)
• Vertraulichkeitsverpflichtungen des Prüfers
• der Durchführung der Prüfungen während der üblichen Geschäftszeiten
• der Übernahme der Kosten einer Prüfung durch Sie

12. Internationale Datenübermittlungen

Wir übermitteln keine personenbezogenen Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Die gesamte Verarbeitung erfolgt auf in der EU befindlicher Infrastruktur.

Sollte sich dies ändern, stellen wir geeignete Garantien sicher, etwa Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften.

13. Aufsichtsbehörde

Productimiser Ltd (DE) (handelnd als ExactSum) unterliegt der Aufsicht der zuständigen Datenschutz-Aufsichtsbehörde und ist zur Einhaltung der DSGVO und des BDSG verpflichtet.

14. Laufzeit und Beendigung

Dieser AVV bleibt für die Dauer Ihrer Nutzung des Dienstes in Kraft. Bei Beendigung:

• werden alle personenbezogenen Daten gemäß unserer Aufbewahrungsrichtlinie gelöscht
• können Sie eine Bestätigung der Löschung anfordern
• überdauern bestimmte Bestimmungen die Beendigung (Vertraulichkeit, Haftungsbeschränkungen)

15. Haftung

Die Haftung im Rahmen dieses AVV unterliegt den Beschränkungen, die in unseren Allgemeinen Geschäftsbedingungen festgelegt sind.

16. Änderungen

Wir können diesen AVV aktualisieren, um Änderungen der Rechtslage oder unserer Praktiken zu berücksichtigen. Wesentliche Änderungen werden registrierten Nutzern per E-Mail mitgeteilt. Ihre fortgesetzte Nutzung des Dienstes gilt als Annahme des aktualisierten AVV.