Auftragsverarbeitungsvertrag

Diese Vereinbarung zur Auftragsverarbeitung (im Folgenden „AVV”) regelt die Verarbeitung personenbezogener Daten durch BescheidRecht im Auftrag der Einrichtung, die den Dienst BescheidRecht im Rahmen eines B2B-Abonnements nutzt.

Sie ist Bestandteil des zwischen den Parteien geschlossenen Nutzungsvertrags und gilt für alle Tätigkeiten, bei denen Mitarbeitende der Einrichtung personenbezogene Daten von Klienten in die BescheidRecht-Plattform eingeben oder hochladen.

1.1 BescheidRecht verarbeitet im Auftrag der Einrichtung personenbezogene Daten im Rahmen der Bereitstellung der KI-gestützten Bescheidanalyse-Plattform.

1.2 Die Laufzeit dieser AVV entspricht der Laufzeit des zugrunde liegenden B2B-Nutzungsvertrags. Sie endet automatisch mit dessen Beendigung.

1.3 Pflichten, die über das Vertragsende hinausgehen (insbesondere Löschung oder Rückgabe von Daten), bleiben bis zu ihrer vollständigen Erfüllung bestehen.

2.1 Art der Verarbeitung: Erheben, Speichern, Strukturieren, Auslesen, Abfragen, Pseudonymisieren, Analysieren, Löschen.

2.2 Zweck der Verarbeitung: Prüfung von Behördenbescheiden auf formale und inhaltliche Fehler mittels KI-gestützter Analyse; Generierung von Musterschreiben-Vorlagen; Verwaltung von Fristen; Bereitstellung einer Einrichtungs-Übersicht über Analysevorgänge.

2.3 Kategorien personenbezogener Daten:Name, Anschrift, Geburtsdatum, Aktenzeichen, Bescheiddaten, IBAN, Steuer-ID sowie sonstige im Bescheid enthaltene personenbezogene Angaben der Klienten; Mitarbeiterdaten der Einrichtung (E-Mail, Nutzungsstatistiken). Bescheide können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten (insbesondere Gesundheitsdaten, z. B. bei Pflegegrad- oder Erwerbsminderungsbescheiden).

2.4 Kategorien betroffener Personen: Klienten der Einrichtung (Bescheidinhaber und ggf. Mitglieder ihrer Bedarfsgemeinschaft); Mitarbeitende der Einrichtung (Berater, Administratoren).

3.1 BescheidRecht verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Einrichtung, sofern nicht eine gesetzliche Pflicht eine andere Verarbeitung erfordert; in einem solchen Fall teilt BescheidRecht der Einrichtung diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungsbindung gilt einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern nicht durch das Recht der Union oder der Mitgliedstaaten vorgeschrieben.

3.2 Die Nutzung der Plattform gemäß Nutzungsvertrag und Produktdokumentation gilt als dokumentierte Weisung.

3.3 BescheidRecht informiert die Einrichtung unverzüglich, wenn eine Weisung nach Einschätzung von BescheidRecht gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

BescheidRecht verpflichtet sich:

• personenbezogene Daten ausschließlich zum vereinbarten Zweck zu verarbeiten
• geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen und aufrechtzuerhalten (§ 6)
• sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• die Einrichtung unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren (§ 9)
• die Einrichtung mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen
• die Einrichtung bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung) zu unterstützen
• alle erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung zu stellen und Überprüfungen nach § 11 zu ermöglichen

Die Einrichtung verpflichtet sich:

• Klienten über die Datenverarbeitung durch BescheidRecht gemäß Art. 13/14 DSGVO zu informieren
• nur Daten einzureichen, für deren Verarbeitung eine Rechtsgrundlage besteht
• Zugangsdaten (Passwörter, Sitzungen) sicher zu verwahren und Zugänge ausscheidender Mitarbeitender zeitnah zu entfernen
• Datenpannen im eigenen Einflussbereich unverzüglich zu melden
• BescheidRecht über datenschutzrelevante Änderungen im Nutzungsumfang zu informieren

BescheidRecht trifft folgende technischen und organisatorischen Schutzmaßnahmen:

7.1 Die Einrichtung erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Beauftragung der folgenden Unterauftragnehmer, die im Rahmen der Leistungserbringung personenbezogene Daten verarbeiten können:

7.2 Drittlandübermittlung (Art. 44 ff. DSGVO): Soweit Unterauftragnehmer ihren Sitz außerhalb der EU/des EWR haben, erfolgt die Übermittlung auf Grundlage abgeschlossener EU-Standardvertragsklauseln (SCCs, Art. 46 DSGVO) mit dem jeweiligen Unterauftragnehmer; ergänzend wird, soweit der Anbieter im EU-US Data Privacy Framework aktiv gelistet ist, dessen Angemessenheitsbeschluss herangezogen. Die je Unterauftragnehmer geltende Rechtsgrundlage ist im internen Subprozessor-Nachweis dokumentiert und auf Anfrage abrufbar. Bescheid-Inhalte werden an KI-Anbieter ausschließlich pseudonymisiert übermittelt (direkte Identifikatoren maskiert); direkte Identifikatoren der Klienten verlassen den Serverstandort Deutschland nicht.

7.3 BescheidRecht legt jedem Unterauftragnehmer per Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber der Einrichtung dafür, dass der Unterauftragnehmer diese Pflichten erfüllt. BescheidRecht informiert die Einrichtung über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers mit einer Frist von 30 Tagen vorab. Die Einrichtung kann aus datenschutzbezogenen Gründen Einspruch erheben; kann einem berechtigten Einspruch nicht abgeholfen werden, steht der Einrichtung ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

8.1 BescheidRecht unterstützt die Einrichtung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gem. Art. 15–22 DSGVO).

8.2 Anfragen betroffener Personen, die direkt an BescheidRecht gerichtet werden, leitet BescheidRecht unverzüglich an die zuständige Einrichtung weiter.

8.3 Die Einrichtung bleibt Verantwortlicher im Sinne der DSGVO und ist für die Beantwortung von Betroffenenanfragen zuständig.

9.1 BescheidRecht benachrichtigt die Einrichtung unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, damit die Einrichtung ihre Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist gegenüber der Aufsichtsbehörde) erfüllen kann.

9.2 Die Benachrichtigung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, voraussichtliche Folgen und ergriffene bzw. vorgeschlagene Abhilfemaßnahmen.

9.3 Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen verbleiben bei der Einrichtung als Verantwortlichem.

10.1 Nach Beendigung des Nutzungsvertrags löscht BescheidRecht — nach Wahl der Einrichtung — alle personenbezogenen Daten der Einrichtung und ihrer Klienten innerhalb von 30 Tagen oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10.2 Auf Wunsch werden Daten vor der Löschung in einem maschinenlesbaren Format (JSON/CSV) exportiert. Der Exportantrag ist vor Vertragsende zu stellen.

10.3 Hochgeladene Bescheid-Dokumente werden unmittelbar nach der Analyse gelöscht und nicht dauerhaft gespeichert.

11.1 Die Einrichtung ist berechtigt, die Einhaltung dieser AVV zu überprüfen. Dazu kann sie:

• Auskünfte und Nachweise in Textform anfordern
• anerkannte Prüfberichte (Auditberichte, Zertifikate) anfordern
• mit angemessener Vorankündigung (14 Tage) Inspektionen durchführen oder durch beauftragte Dritte durchführen lassen

11.2 Die Einrichtung trägt die Kosten derartiger Kontrollen, es sei denn, die Kontrolle deckt erhebliche Verstöße von BescheidRecht auf.

12.1 Die Haftung der Parteien für Datenschutzverstöße richtet sich nach Art. 82 DSGVO.

12.2 Im Innenverhältnis haftet jede Partei für den Teil des Schadens, der durch ihren Verantwortungsbeitrag entstanden ist (Art. 82 Abs. 5 DSGVO). Eine Partei ist von der Haftung befreit, wenn sie nachweist, dass sie für den schadensauslösenden Umstand in keinerlei Hinsicht verantwortlich ist.

12.3 Im Übrigen gelten die Haftungsregelungen des zugrunde liegenden Nutzungsvertrags.

13.1 Diese AVV unterliegt deutschem Recht.

13.2 Gerichtsstand ist Vechta (Niedersachsen), soweit gesetzlich zulässig.

13.3 Änderungen dieser AVV bedürfen der Textform (E-Mail genügt). BescheidRecht informiert Einrichtungen über wesentliche Änderungen mit einer Vorlaufzeit von 30 Tagen.

13.4 Sollte eine Bestimmung dieser AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen dieser AVV und dem Nutzungsvertrag gehen die Regelungen dieser AVV in Datenschutzfragen vor.