Auftragsverarbeitungsvertrag

Die nachstehende Vereinbarung zur Auftragsverarbeitung (im Folgenden „AVV”) regelt die Verarbeitung personenbezogener Daten durch BescheidRecht (Auftragsverarbeiter) im Auftrag der jeweiligen Einrichtung (Verantwortlicher), die den Dienst BescheidRecht im Rahmen eines B2B-Abonnements nutzt.

Diese AVV gilt als Bestandteil des zwischen den Parteien geschlossenen Nutzungsvertrags und tritt mit der Aktivierung des B2B-Zugangs in Kraft. Sie gilt für alle Tätigkeiten, bei denen Mitarbeiter der Einrichtung personenbezogene Daten von Klienten in die BescheidRecht-Plattform eingeben oder hochladen.

1.1 BescheidRecht verarbeitet im Auftrag der Einrichtung personenbezogene Daten im Rahmen der Bereitstellung der KI-gestützten Bescheidanalyse-Plattform.

1.2 Die Laufzeit dieser AVV entspricht der Laufzeit des zugrunde liegenden B2B-Nutzungsvertrags. Sie endet automatisch mit der Beendigung des Nutzungsvertrags.

1.3 Die Pflichten aus dieser AVV, die über das Vertragsende hinausgehen (insbesondere Löschung oder Rückgabe von Daten), bleiben bis zu ihrer vollständigen Erfüllung bestehen.

2.1 Art der Verarbeitung: Erheben, Speichern, Strukturieren, Auslesen, Abfragen, Pseudonymisieren, Analysieren, Löschen.

2.2 Zweck der Verarbeitung: Prüfung von Behördenbescheiden auf formale und inhaltliche Fehler mittels KI-gestützter Analyse; Generierung von Musterschreiben-Vorlagen; Verwaltung von Fristen; Bereitstellung einer Einrichtungs-Übersicht über Analysevorgänge.

2.3 Kategorien personenbezogener Daten: Name, Anschrift, Geburtsdatum, Aktenzeichen, Bescheiddaten, IBAN, Steuer-ID sowie sonstige im Bescheid enthaltene personenbezogene Angaben der Klienten der Einrichtung. Mitarbeiterdaten (E-Mail, Nutzungsstatistiken) der Einrichtung.

2.4 Kategorien betroffener Personen: Klienten der Einrichtung (Bescheidinhaber); Mitarbeiter der Einrichtung (Berater, Admins).

3.1 BescheidRecht verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Einrichtung, es sei denn, eine gesetzliche Pflicht erfordert eine andere Verarbeitung.

3.2 Die Nutzung der Plattform gemäß Nutzungsvertrag und Produktdokumentation gilt als dokumentierte Weisung.

3.3 BescheidRecht teilt der Einrichtung unverzüglich mit, wenn eine Weisung nach Einschätzung von BescheidRecht gegen datenschutzrechtliche Vorschriften verstößt.

BescheidRecht verpflichtet sich:

• Personenbezogene Daten ausschließlich zum vereinbarten Zweck zu verarbeiten
• Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen und aufrechtzuerhalten
• Sicherzustellen, dass alle Personen mit Zugang zu den Daten der Verschwiegenheitspflicht unterliegen
• Die Einrichtung unverzüglich (innerhalb von 72 Stunden) über Datenpannen nach Art. 33 DSGVO zu informieren
• Die Einrichtung bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen
• Die Einrichtung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) zu unterstützen, soweit erforderlich
• Alle erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung zu stellen

Die Einrichtung verpflichtet sich:

• Klienten über die Datenverarbeitung durch BescheidRecht gemäß Art. 13/14 DSGVO zu informieren
• Nur Daten einzureichen, für deren Verarbeitung eine Rechtsgrundlage besteht
• Zugangsdaten (Passwörter, Session-Tokens) sicher zu verwahren
• Datenpannen, die im Einflussbereich der Einrichtung entstanden sind, unverzüglich zu melden
• BescheidRecht über Änderungen im Nutzungsumfang zu informieren, die Datenschutzrelevanz haben könnten

BescheidRecht trifft folgende technischen und organisatorischen Schutzmaßnahmen:

BescheidRecht setzt folgende Unterauftragnehmer ein, die im Rahmen der Leistungserbringung personenbezogene Daten verarbeiten können. Die Einrichtung erteilt hiermit ihre allgemeine Genehmigung zur Beauftragung dieser Unterauftragnehmer:

BescheidRecht informiert die Einrichtung rechtzeitig über geplante Änderungen bei Unterauftragnehmern. Die Einrichtung hat das Recht, gegen beabsichtigte Änderungen Einspruch zu erheben.

8.1 BescheidRecht unterstützt die Einrichtung, soweit möglich, bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gem. Art. 15–22 DSGVO).

8.2 Anfragen betroffener Personen, die direkt an BescheidRecht gerichtet werden, leitet BescheidRecht unverzüglich an die zuständige Einrichtung weiter.

8.3 Die Einrichtung bleibt Verantwortlicher im Sinne der DSGVO und ist für die Beantwortung von Betroffenenanfragen zuständig.

9.1 BescheidRecht benachrichtigt die Einrichtung unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.

9.2 Die Benachrichtigung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -mengen, voraussichtliche Folgen und getroffene Abhilfemaßnahmen.

9.3 Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen verbleiben beim Verantwortlichen (Einrichtung).

10.1 Nach Beendigung des Nutzungsvertrags löscht BescheidRecht alle personenbezogenen Daten der Einrichtung und ihrer Klienten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10.2 Auf ausdrücklichen Wunsch der Einrichtung können Daten vor der Löschung in einem maschinenlesbaren Format (JSON/CSV) exportiert werden. Der Exportantrag ist vor Vertragsende zu stellen.

10.3 Bescheid-Dokumente (Uploads) werden unmittelbar nach der Analyse gelöscht und nicht dauerhaft gespeichert.

11.1 Die Einrichtung ist berechtigt, die Einhaltung dieser AVV durch BescheidRecht zu überprüfen. Dazu kann sie:

• Auskünfte und Nachweise in Textform anfordern
• Anerkannte Prüfberichte (Auditberichte, Zertifikate) anfordern
• Mit angemessener Vorankündigung (14 Tage) eigene Inspektionen durchführen oder durch Dritte durchführen lassen

11.2 Die Einrichtung trägt die Kosten derartiger Kontrollen, es sei denn, BescheidRecht hat eine Datenpanne verursacht.

12.1 BescheidRecht haftet der Einrichtung für Schäden aus Datenschutzverstößen nach Art. 82 DSGVO.

12.2 BescheidRecht ist von der Haftung befreit, wenn nachgewiesen wird, dass BescheidRecht in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

12.3 Im Übrigen gilt die Haftungsbegrenzung gemäß dem zugrunde liegenden Nutzungsvertrag.

13.1 Diese AVV unterliegt deutschem Recht.

13.2 Gerichtsstand ist Vechta (Niedersachsen), soweit gesetzlich zulässig.

13.3 Änderungen dieser AVV bedürfen der Textform (E-Mail genügt). BescheidRecht informiert Einrichtungen über wesentliche Änderungen mit einer Vorlaufzeit von 30 Tagen.

13.4 Sollte eine Bestimmung dieser AVV unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.