Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen dem Nutzer der PROVA-Plattform (nachfolgend „Auftraggeber" oder „Verantwortlicher") und
Der AVV konkretisiert die datenschutzrechtlichen Pflichten und Rechte der Parteien gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO") und ergänzt den zwischen den Parteien abgeschlossenen Hauptvertrag (Nutzungsvertrag / AGB der PROVA-Plattform).
Im Rahmen der Nutzung der PROVA-Plattform verarbeitet der Auftragnehmer personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber bleibt jederzeit der datenschutzrechtlich Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO.
Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Erbringung der vertraglich vereinbarten Leistungen der PROVA-Plattform, insbesondere:
Der AVV gilt für die Dauer des Hauptvertrags (Nutzungsvertrag). Bei Beendigung des Hauptvertrags gilt dieser AVV fort, bis der Auftragnehmer alle personenbezogenen Daten des Auftraggebers gelöscht oder zurückgegeben hat (vgl. §9).
Der Auftragnehmer führt im Auftrag des Auftraggebers folgende Verarbeitungstätigkeiten durch: Erhebung, Speicherung, Übermittlung, Verarbeitung, Analyse, Darstellung und Löschung personenbezogener Daten.
Die Verarbeitung dient ausschließlich der Erbringung der vertraglich vereinbarten Leistungen der PROVA-Plattform. Eine Verarbeitung für eigene Zwecke des Auftragnehmers ist ausgeschlossen, soweit nicht eine gesetzliche Pflicht zur Verarbeitung besteht.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag sowie dieser AVV gelten als solche dokumentierte Weisungen. Sollte der Auftragnehmer der Auffassung sein, dass eine Weisung gegen die DSGVO oder sonstige datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit.
Der Auftragnehmer stellt sicher, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragnehmer trifft alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO und den in Anlage 3 dieses AVV aufgeführten technischen und organisatorischen Maßnahmen (TOMs).
Der Auftragnehmer hat einen betrieblichen Datenschutzbeauftragten benannt, erreichbar unter: dsb@prova-systems.de
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Datenpannen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) sowie bei der Beantwortung von Betroffenenanfragen.
Der Auftraggeber trägt als Verantwortlicher die volle datenschutzrechtliche Verantwortung für die Rechtmäßigkeit der Verarbeitung. Er hat insbesondere folgende Pflichten:
Der Auftraggeber erteilt mit Abschluss dieses AVV die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen im Hinblick auf die Hinzuziehung oder den Ersatz weiterer Unterauftragnehmer gemäß Art. 28 Abs. 2 DSGVO mit einer Vorankündigungsfrist von mindestens 30 Tagen.
Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragsverarbeiter genehmigt (vollständige Aufstellung in Anlage 2):
| Anbieter | Leistung | Sitz | Schutz-niveau |
|---|---|---|---|
| Airtable Inc. | Datenbank-Backend, Strukturierung von Gutachtendaten | USA (San Francisco) | EU-SCCs |
| Make.com (Celonis) | Workflow-Automatisierung, Systemintegration | EU (Prag / Tschechien) | DSGVO |
| OpenAI, Inc. | KI-Textgenerierung (PROVA Analyse-Engine) | USA (San Francisco) | EU-SCCs |
| Stripe Inc. | Zahlungsabwicklung | USA (San Francisco) / Irland | EU-SCCs |
| Amazon Web Services (AWS) | Cloud-Hosting, Datenspeicherung | EU (Frankfurt / Irland) | DSGVO |
Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Die EU-Standardvertragsklauseln (SCCs) werden mit Anbietern in Drittländern ohne Angemessenheitsbeschluss abgeschlossen.
Der Auftragnehmer trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten. Die detaillierte Aufstellung ist in Anlage 3 enthalten. Zusammenfassung der wichtigsten Maßnahmen:
Serverräume und Rechenzentren sind physisch gesichert; Zutritt nur für befugtes Personal mit Zwei-Faktor-Authentifizierung. Nutzung von ISO 27001-zertifizierten Rechenzentren (AWS Frankfurt).
Alle Nutzerzugänge sind durch Passwortschutz und optionale Zwei-Faktor-Authentifizierung gesichert. Passwörter werden ausschließlich als bcrypt-Hash (Cost Factor 12) gespeichert. Automatische Sitzungsbeendigung nach Inaktivität.
Rollenbasiertes Zugriffskonzept (RBAC): Zugriff auf Daten nur für Personen, die diese zur Erfüllung ihrer Aufgaben benötigen (Need-to-know-Prinzip). Strikte Mandantentrennung zwischen verschiedenen Kundenkonten.
Alle Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen (TLS 1.2 oder höher). API-Kommunikation ist mit Bearer-Token-Authentifizierung gesichert.
Alle schreibenden Datenzugriffe werden geloggt. Audit-Logs werden für 12 Monate aufbewahrt und sind manipulationssicher gespeichert.
Regelmäßige automatisierte Backups (täglich, 30-Tage-Aufbewahrung). Redundante Datenspeicherung in mindestens zwei geografisch getrennten AWS-Regionen innerhalb der EU. Monitoring und Alerting 24/7.
Strikte logische Trennung der Daten verschiedener Auftraggeber durch Mandantenisolierung auf Datenbankebene.
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten nach Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Auftragnehmer leitet Anfragen von Betroffenen, die direkt an ihn gerichtet werden, unverzüglich an den Auftraggeber weiter und ergreift keine eigenständigen Maßnahmen ohne Weisung des Auftraggebers, sofern nicht gesetzlich vorgeschrieben.
Auf Anfrage des Auftraggebers stellt der Auftragnehmer alle erforderlichen Daten für die Beantwortung von Betroffenenanfragen innerhalb von 5 Werktagen zur Verfügung.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten i.S.d. Art. 4 Nr. 12 DSGVO. Die Meldung enthält mindestens:
Der Auftraggeber ist für die Meldung an die zuständige Datenschutzaufsichtsbehörde (Art. 33 DSGVO, Frist: 72 Stunden) sowie ggf. die Benachrichtigung der Betroffenen (Art. 34 DSGVO) selbst verantwortlich. Der Auftragnehmer unterstützt ihn dabei.
Nach Beendigung des Hauptvertrags oder auf schriftliche Anforderung des Auftraggebers löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers vollständig und unwiderruflich oder gibt diese zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.
Soweit der Auftragnehmer zur Aufbewahrung bestimmter Daten gesetzlich verpflichtet ist (z.B. steuerrechtliche Aufbewahrungsfristen nach §147 AO), gilt die Löschungspflicht entsprechend beschränkt. Über solche Ausnahmen informiert der Auftragnehmer den Auftraggeber.
Der Auftraggeber hat das Recht, die Einhaltung dieses AVV durch den Auftragnehmer zu kontrollieren. Dies kann erfolgen durch:
Kosten für Kontrollen trägt der Auftraggeber selbst, sofern nicht Mängel der Leistungserbringung durch den Auftragnehmer festgestellt werden. Der Auftragnehmer kann alternativ anerkannte externe Prüfer (z.B. ISO 27001-Zertifizierer) als Nachweis akzeptieren lassen.
Die Haftungsregelungen des Hauptvertrags (AGB) gelten entsprechend. Im Verhältnis zwischen Auftraggeber und Auftragnehmer gilt: Jede Partei haftet gegenüber Betroffenen für den Schaden, den sie zu verantworten hat. Der Auftragnehmer kann sich von der Haftung befreien, wenn er nachweist, dass er keinerlei Verschulden an dem schadensbegründenden Umstand trägt (Art. 82 Abs. 3 DSGVO).
Im Außenverhältnis zu Betroffenen haften Auftraggeber und Auftragnehmer als Gesamtschuldner, sofern beide an derselben Verarbeitungsvorgabe beteiligt waren. Im Innenverhältnis gilt ein Ausgleich entsprechend dem Verursachungsanteil.
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag (AGB) hat der AVV im Hinblick auf datenschutzrechtliche Regelungen Vorrang.
Änderungen dieses AVV bedürfen der Schriftform oder einer gleichwertigen elektronischen Form. Der Auftragnehmer ist berechtigt, den AVV bei gesetzlichen Änderungen anzupassen; der Auftraggeber wird mindestens 30 Tage im Voraus informiert.
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand für alle Streitigkeiten ist Berlin, soweit rechtlich zulässig.
Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen. Die Parteien verpflichten sich, unwirksame Bestimmungen durch wirksame Regelungen zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmungen möglichst nahekommen.
Der AVV tritt mit Abschluss des Hauptvertrags bzw. mit Beginn der Nutzung der PROVA-Plattform in Kraft und ist Bestandteil des Vertragsverhältnisses. Durch die Akzeptanz der AGB im Rahmen des Registrierungsprozesses erklärt der Auftraggeber auch seine Zustimmung zu diesem AVV.
| Verarbeitungstätigkeit | Zweck | Rechtsgrundlage | Datenkategorien |
|---|---|---|---|
| Nutzerregistrierung & Kontoverwaltung | Vertragserfüllung | Art. 6 Abs. 1 lit. b DSGVO | Name, E-Mail, Passwort-Hash |
| Sprachdiktat-Verarbeitung | KI-Transkription | Art. 6 Abs. 1 lit. b DSGVO | Audiodaten (temporär) |
| KI-Gutachtenerstellung | Kernleistung | Art. 6 Abs. 1 lit. b DSGVO | Gutachtendaten, Schadensdaten |
| Freigabe-Link-Versendung | Kundenkommunikation | Art. 6 Abs. 1 lit. b DSGVO | E-Mail-Adresse, Gutachtendaten |
| Analytics-Dashboard | Leistungsauswertung | Art. 6 Abs. 1 lit. b DSGVO | Nutzungs- und Leistungsdaten |
| Zahlungsabwicklung | Rechnungsstellung | Art. 6 Abs. 1 lit. b DSGVO | Rechnungsdaten (via Stripe) |
| Fehlerprotokollierung | Technischer Betrieb | Art. 6 Abs. 1 lit. f DSGVO | Log-Daten (pseudonymisiert) |
| Anbieter | Leistung | Sitz | Schutz | Datenschutz |
|---|---|---|---|---|
| Airtable Inc. | Datenbank-Backend für Gutachtendaten, Workflow-Daten | USA · 799 Market St, San Francisco, CA 94103 | EU-SCCs | airtable.com/privacy |
| Make.com (Celonis SE) | Automatisierung von Workflows zwischen PROVA, Airtable und OpenAI | EU · Václavské nám. 2132/47, 110 00 Prag, Tschechien | DSGVO | make.com/en/privacy-notice |
| OpenAI, Inc. | KI-Textgenerierung für Gutachteninhalte (PROVA Analyse-Engine) | USA · 3180 18th St, San Francisco, CA 94110 | EU-SCCs + DPA | openai.com/privacy |
| Stripe Inc. | Zahlungsverarbeitung (Kreditkarte, SEPA) | USA / Irland · 1 Grand Canal Street Lower, Dublin, Irland | DSGVO | stripe.com/privacy |
| Amazon Web Services EMEA SARL | Cloud-Infrastruktur, Datenspeicherung, CDN | EU · 38 Avenue John F. Kennedy, L-1855 Luxemburg | DSGVO | aws.amazon.com/privacy |
| Google Workspace (Google LLC) | Geschäftliche E-Mail-Kommunikation (intern) | USA · Mountain View, CA / EU-Datenprozessierung | EU-SCCs | policies.google.com/privacy |
Dieser AVV wird durch die Akzeptanz der AGB bei der Registrierung oder Nutzung der PROVA-Plattform verbindlich angenommen. Eine gesonderte Unterschrift ist gemäß Art. 28 Abs. 9 DSGVO nicht erforderlich, sofern die Annahme in einem schriftlichen Format (elektronisch) erfolgt.
PROVA-Systems GmbH
Musterstraße 1 · 10115 Berlin
Handelsregister: HRB 12345 B (Amtsgericht Berlin-Charlottenburg)
USt-ID: DE123456789
datenschutz@prova-systems.de