Vertrag zur Auftragsverarbeitung

1. Gegenstand

Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO für die Nutzung von Paperstaq. Auftraggeber (Verantwortlicher) ist der Kunde, Auftragnehmer (Auftragsverarbeiter) ist BITTE ERGÄNZEN: Firmenname, BITTE ERGÄNZEN: Straße und Hausnummer, BITTE ERGÄNZEN: PLZ und Ort. Gegenstand ist die Speicherung und Verarbeitung von Dokumenten und zugehörigen Metadaten im Rahmen der Anwendung.

2. Art, Umfang und Zweck

Verarbeitet werden Kontodaten der Nutzer sowie Inhalte der eingestellten Dokumente, einschließlich Texterkennung, automatischer Einordnung, Suche, Workflows und Freigaben. Betroffene Personen sind Nutzer des Auftraggebers sowie Personen, deren Daten in den Dokumenten enthalten sind.

3. Weisungsbindung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich weisungsgebunden und nur, soweit es für die Erbringung der Leistung erforderlich ist. Eine Nutzung für eigene Zwecke, insbesondere zum Trainieren von KI-Modellen, findet nicht statt.

4. Unterauftragsverarbeiter

• Supabase (Datenbank, Dateispeicher, Authentifizierung) – Speicherung von Konten, Dokumenten und Metadaten (EU)
• Cloudflare (Hosting/Auslieferung der Anwendung) – Betrieb der Web-Anwendung (EU/weltweit, EU-Standardvertragsklauseln)
• Google (KI-Dienst für Einordnung und Assistent) – Automatische Einordnung und Zusammenfassung von Dokumenttexten (EU/USA, EU-Standardvertragsklauseln)
• Resend (E-Mail-Eingang und Versand) – Empfang von Dokumenten per E-Mail, Systemnachrichten (EU/USA, EU-Standardvertragsklauseln)
• Stripe (Zahlungsabwicklung) – Abonnement- und Zahlungsabwicklung (EU/USA, EU-Standardvertragsklauseln)
• OCR-Dienst (Texterkennung) – Erkennung von Text in hochgeladenen Dateien (EU/USA, EU-Standardvertragsklauseln)

Änderungen der Unterauftragsverarbeiter werden vorab angekündigt; der Auftraggeber kann widersprechen.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung der Datenbank.
• Privater Dateispeicher, Zugriff nur über zeitlich begrenzte Links.
• Rollen- und Postfachbezogene Zugriffskontrolle, serverseitig durchgesetzt.
• Protokollierung aller Zugriffe und Änderungen, Löschung nach 90 Tagen.
• Getrennte Mandantenhaltung über Postfächer, Trennung von Test- und Produktivbetrieb.
• Regelmäßige Sicherungen mit Wiederherstellungsmöglichkeit.

6. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten. Datenauskunft und Löschung können über die Anwendung selbst ausgelöst werden (Einstellungen → Datenschutz).

7. Löschung und Rückgabe

Nach Beendigung der Nutzung werden die Daten gelöscht. Auf Antrag erfolgt die Löschung des Kontos einschließlich aller Dateien nach 30 Tagen Widerrufsfrist. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8. Abschluss

Für einen unterschriebenen Vertrag wenden Sie sich an BITTE ERGÄNZEN: kontakt@ihre-domain.de. Ergänzend gilt die Datenschutzerklärung.