Auftragsverarbeitungsvertrag (AV-Vertrag)
Für Unternehmen, die Dateien mit personenbezogenen Daten verarbeiten lassen (Art. 28 DSGVO). Der Vertrag ist Teil der AGB und kommt ohne Unterschrift zustande, sobald Sie sich anmelden oder Credits kaufen (siehe Abschnitt 9). Die Angaben in eckigen Klammern werden vor dem Livegang ergänzt.
1. Parteien und Gegenstand
Verantwortlicher ist der Kunde („Auftraggeber“). Auftragsverarbeiter ist IBA-TEC | IT-Systemhaus GmbH, Möhnestrasse 55, 59755 Arnsberg („Auftragnehmer“), Betreiber des Dienstes Wandlix. Dieser Vertrag ist für Unternehmen Bestandteil der Allgemeinen Geschäftsbedingungen (siehe Abschnitt 3 der Bedingungen) und gilt mit deren Annahme.
Gegenstand ist die Verarbeitung von Dateien, die der Auftraggeber über die Webseite oder die Schnittstelle (API) hochlädt, um sie umzuwandeln, zu prüfen oder zu bearbeiten (z. B. PDF zusammenfügen, Office in PDF, E-Rechnung prüfen).
2. Art, Zweck, Daten und Betroffene
Art der Verarbeitung: technische Bearbeitung der hochgeladenen Datei und Auslieferung des Ergebnisses. Zweck: Erbringung der vom Auftraggeber ausgelösten Umwandlung oder Prüfung.
Art der Daten: der Inhalt der hochgeladenen Dateien. Er hängt vom Auftraggeber ab und kann personenbezogene Daten enthalten (z. B. Namen, Anschriften, Rechnungsdaten). Betroffene: Personen, deren Daten in diesen Dateien stehen (z. B. Kunden, Beschäftigte, Geschäftspartner des Auftraggebers).
Der Auftragnehmer wertet Dateiinhalte nicht aus, erstellt keine Profile und verwendet sie nicht für eigene Zwecke.
3. Dauer und Löschung
Die Verarbeitung dauert nur so lange, wie die einzelne Anfrage läuft. Dateien liegen ausschließlich im Arbeitsspeicher, werden nie auf Datenträger geschrieben und mit der Antwort verworfen; spätestens nach einer Stunde sind sie in jedem Fall gelöscht. Nach einem Neustart des Servers ist nichts mehr vorhanden.
Dateien und Dateinamen werden nicht in Protokollen, Datenbanken oder Sicherungen gespeichert. Der Vertrag läuft, solange der Auftraggeber den Dienst nutzt, und endet mit der Löschung seines Kontos.
4. Weisungen und Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisung ergibt sich aus der Nutzung des Dienstes (Auswahl des Werkzeugs und der Optionen). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin.
Alle Personen, die Zugriff haben könnten, sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener, bei der Datenschutz-Folgenabschätzung und bei Meldungen von Datenschutzverletzungen, soweit er dazu Informationen hat, und meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich.
5. Technische und organisatorische Maßnahmen
Verarbeitung ausschließlich auf eigenen Servern in Deutschland; keine externen Verarbeitungsdienste und keine Verarbeitung außerhalb der EU.
Verschlüsselte Übertragung (TLS); Dateien nur im Arbeitsspeicher; automatische Löschung nach spätestens einer Stunde; Virenscan jedes Uploads; Umwandlungs-Container ohne Netzwerkzugang, ohne Root-Rechte und mit Zeit-, Speicher- und CPU-Grenzen.
Zugriff auf den Server nur per Schlüssel; Firewall und automatische Sperre bei Fehlversuchen; automatische Sicherheitsupdates. Zugang zum Admin-Bereich nur für Berechtigte, zusätzlich per Passkey geschützt; Änderungen werden protokolliert. Datenbanksicherungen enthalten keine Dateiinhalte und sind verschlüsselt.
Die Maßnahmen werden laufend überprüft und dem Stand der Technik angepasst. Eine genauere Beschreibung steht auf der Seite „Sicherheit & Datenschutz“.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern (Hosting-Anbieter des Servers in Deutschland; sein Auftragsverarbeitungsvertrag ist den Nutzungsbedingungen beigefügt und enthält die EU-Standardvertragsklauseln; die Liste seiner Unterauftragsverarbeiter steht in Anhang 3 dieses Vertrags); Betrieb der Server, kein Zugriff auf Dateiinhalte im Arbeitsspeicher.
Für die Anmeldung per E-Mail-Code und Benachrichtigungen kommt Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) zum Einsatz, mit Servern in der EU. Die Übermittlung an das US-Unternehmen stützt sich auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Resend, der Teil seiner Nutzungsbedingungen ist, und auf die Teilnahme am EU-US Data Privacy Framework. Die aktuelle Liste der Unterauftragsverarbeiter von Resend steht unter https://resend.com/legal/subprocessors. Resend erhält nur die E-Mail-Adresse und den Text der Nachricht, nie Dateien. Zahlungen wickelt Stripe als eigener Verantwortlicher ab; dabei werden keine Dateien übermittelt.
Änderungen kündigt der Auftragnehmer rechtzeitig an; der Auftraggeber kann aus wichtigem Grund widersprechen.
7. Kontrollrechte und Nachweise
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen (auch durch Dritte) nach rechtzeitiger Anmeldung und während der üblichen Geschäftszeiten.
8. Ende der Verarbeitung, Haftung, Schlussbestimmungen
Nach Ende der Leistung werden verbliebene personenbezogene Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht (z. B. Rechnungsdaten). Für die Haftung gilt Art. 82 DSGVO.
Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Arnsberg. Änderungen bedürfen der Textform. Unwirksame Bestimmungen berühren die übrigen nicht.
9. Abschluss und Geltung des Vertrags
Der Vertrag kommt zustande, wenn der Auftraggeber die Allgemeinen Geschäftsbedingungen annimmt: bei der Anmeldung (Einmal-Code per E-Mail) oder beim Kauf von Credits, jeweils nach dem ausdrücklichen Hinweis auf AGB und AV-Vertrag. Er gilt für alle Verarbeitungen, die der Auftraggeber danach über sein Konto oder seinen API-Schlüssel auslöst. Eine Unterschrift ist nicht erforderlich.
Es gilt die Fassung, die zum Zeitpunkt der Annahme auf dieser Seite stand. Spätere Änderungen, insbesondere neue Unterauftragsverarbeiter, kündigt der Auftragnehmer angemeldeten Konten rechtzeitig per E-Mail an (siehe Abschnitt 6). Wer personenbezogene Daten nur für persönliche Zwecke verarbeitet, braucht diesen Vertrag nicht.
Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Ausfertigung aus (E-Mail an support@wandlix.com).