Auftragsverarbeitungsvertrag

1. Parteien und Anwendungsbereich

1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem GetProofAnchor nutzenden Unternehmenskunden (der „Verantwortliche“) und der forehead s.r.o., Jaurisova 515/4, Michle, 140 00 Praha 4, Tschechische Republik, Identifikationsnummer 21908117, USt-IdNr. CZ21908117, eingetragen im Handelsregister beim Stadtgericht Prag, Abteilung C, Einlage 407991 (der „Auftragsverarbeiter“) geschlossen.

1.2 Der AVV gilt, soweit der Auftragsverarbeiter bei der Erbringung des Dienstes nach den AGB (getproofanchor.com/de/terms) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, insbesondere personenbezogene Daten in Inhalten, die der Verantwortliche oder seine Nutzer erfassen, hochladen oder übermitteln, sowie in Assisted-Capture-Bestellungen. Er gilt nicht für Daten, die der Auftragsverarbeiter als Verantwortlicher verarbeitet (z. B. Konto- und Abrechnungsdaten); hierfür gilt die Datenschutzerklärung.

1.3 Der AVV ist Bestandteil der AGB und wird in elektronischer Form zusammen mit dem Vertrag über den Dienst geschlossen, d. h. wenn der Unternehmer die AGB bei der Registrierung oder Bestellung annimmt (Art. 28 Abs. 9 DSGVO). Auf Anfrage stellt der Auftragsverarbeiter ein von seinem Geschäftsführer unterzeichnetes Exemplar zur Verfügung. Im Widerspruchsfall geht der AVV in Fragen des Datenschutzes den AGB vor.

1.4 Hier nicht definierte Begriffe haben die Bedeutung nach der Verordnung (EU) 2016/679 (DSGVO).

2. Gegenstand, Dauer, Art und Zweck

2.1 Gegenstand: Speicherung und Verarbeitung der vom Verantwortlichen erfassten Inhalte zur Erstellung, Versiegelung, Speicherung, Veröffentlichung (falls vom Verantwortlichen gewählt) und Verifizierung von Beweisdatensätzen (Beweisen).

2.2 Dauer: für die Laufzeit des Vertrags über den Dienst und bis zur Löschung oder Anonymisierung der Daten nach Abschnitt 9.

2.3 Art der Verarbeitung: Laden von Webseiten und Dateien auf Weisung des Verantwortlichen, Aufzeichnung, Speicherung, Hashwertbildung, Zeitstempelung (an den qualifizierten Vertrauensdiensteanbieter werden nur Hashwerte gesendet), Erstellung von Beweispaketen und Berichten, Bereitstellung für den Verantwortlichen und, wenn der Verantwortliche einen Beweis veröffentlicht, für jeden, der den Link hat.

2.4 Zweck: die Erbringung des Dienstes für den Verantwortlichen, typischerweise zur Dokumentation von Webinhalten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, für Compliance, Ermittlungen oder Journalismus, wie vom Verantwortlichen bestimmt.

2.5 Die Kategorien betroffener Personen und personenbezogener Daten sind in Anlage 1 beschrieben.

3. Weisungen des Verantwortlichen

3.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht nach dem Recht der EU oder eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

3.2 Die Weisungen des Verantwortlichen ergeben sich aus den AGB, diesem AVV und der Nutzung des Dienstes durch den Verantwortlichen (insbesondere Wahl der URLs, Erfassungseinstellungen und -profile, Veröffentlichung und Widerruf, Export und Löschung). Weitere Weisungen sind schriftlich zu erteilen (E-Mail genügt) und müssen mit dem Dienst vereinbar sein.

3.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen Datenschutzrecht verstößt.

3.4 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage für die Erfassung der Inhalte und für die Information der betroffenen Personen, soweit erforderlich.

4. Vertraulichkeit

4.1 Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur auf Weisung des Verantwortlichen verarbeiten.

4.2 Der Auftragsverarbeiter greift auf die Inhalte der Beweise des Verantwortlichen nur zu, soweit dies zur Erbringung des Dienstes (z. B. bei Assisted Capture oder vom Verantwortlichen angefordertem Support), zur Behebung eines technischen Problems oder aufgrund gesetzlicher Vorgaben erforderlich ist.

5. Sicherheit der Verarbeitung

5.1 Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2, die ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO gewährleisten. Der Auftragsverarbeiter darf die Maßnahmen dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste ist unter getproofanchor.com/de/subprocessors veröffentlicht (Anlage 3).

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus durch Aktualisierung der Liste und per E-Mail an den Kontoinhaber, bei Assisted-Capture-Bestellungen an die in der Bestellung angegebene E-Mail-Adresse oder an einen Datenschutzkontakt, den uns der Verantwortliche mitteilt. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den betroffenen Dienst mit Wirkung vor der Änderung kündigen; im Voraus gezahlte Entgelte für den Zeitraum nach der Kündigung werden anteilig erstattet.

6.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien nach Art. 28 Abs. 4 DSGVO, und haftet gegenüber dem Verantwortlichen in vollem Umfang für dessen Leistung.

7. Unterstützung des Verantwortlichen

7.1 Angesichts der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Der Dienst ermöglicht es dem Verantwortlichen, Beweise selbst zu finden, zu exportieren, zu widerrufen und zu depublizieren. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, abgesehen vom Verweis an den Verantwortlichen.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

7.3 Unterstützung, die über die Funktionen des Dienstes und die Dokumentation hinausgeht, kann zu angemessenen Kosten berechnet werden, sofern sie nicht durch einen Verstoß des Auftragsverarbeiters veranlasst ist.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wurde, spätestens jedoch binnen 48 Stunden, per E-Mail an den Kontoinhaber, bei Assisted-Capture-Bestellungen an die in der Bestellung angegebene E-Mail-Adresse oder an einen Datenschutzkontakt, den uns der Verantwortliche mitteilt.

8.2 Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktperson. Noch nicht verfügbare Informationen werden schrittweise unverzüglich nachgereicht.

8.3 Der Auftragsverarbeiter ergreift die erforderlichen Maßnahmen zur Eindämmung der Verletzung und zur Minderung ihrer Folgen und dokumentiert sie.

9. Löschung und Rückgabe von Daten

9.1 Während der Vertragslaufzeit kann der Verantwortliche die Beweispakete jederzeit herunterladen und die Daten exportieren.

9.2 Nach Beendigung der Erbringung des Dienstes gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück (durch Bereitstellung des Exports und der Beweispakete) und löscht sie, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Speicherpflicht besteht. Die Löschung des Kontos des Kontoinhabers anonymisiert die Kontodaten und löscht die erfassten Dateien der Beweise im persönlichen Arbeitsbereich; Team-Arbeitsbereiche werden auf Verlangen ihres Inhabers gelöscht.

9.3 Unveränderlichkeit: Beweise sind unveränderliche Beweisdatensätze. Hashwerte, Zeitstempel und Einträge im nur erweiterbaren Beweisprotokoll bleiben nach der Löschung ohne den erfassten Inhalt und ohne Bezug zum Konto erhalten; der Auftragsverarbeiter bewahrt sie als Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO auf, damit bereits ausgegebene Beweispakete verifizierbar bleiben. Der Verantwortliche erkennt an, dass dies eine wesentliche Eigenschaft des Dienstes ist.

9.4 Aus Backups werden die Daten spätestens innerhalb von 30 Tagen im regulären Backup-Zyklus entfernt; bis dahin sind die Backups geschützt und werden nur zur Wiederherstellung verwendet.

10. Informationen und Audits

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung, vorrangig in Form dieses AVV, seiner Anlagen, der Sicherheitsdokumentation und schriftlicher Antworten auf angemessene Fragebögen.

10.2 Reichen diese Informationen nicht aus, kann der Verantwortliche selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer ein Audit oder eine Inspektion durchführen, und zwar mit einer Vorankündigung von mindestens 30 Tagen, zu üblichen Geschäftszeiten, höchstens einmal jährlich (sofern keine Datenpanne vorliegt oder eine Aufsichtsbehörde dies verlangt) und ohne unverhältnismäßige Störung des Betriebs oder Zugriff auf Daten anderer Kunden. Jede Partei trägt ihre eigenen Kosten.

11. Übermittlungen in Drittländer

11.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten in der Europäischen Union (Tschechische Republik). Übermittlungen in Drittländer erfolgen nur in dem in Anlage 3 beschriebenen Umfang, d. h. bei der KI-Ausweichfunktion für Cookie-Banner durch Anthropic, PBC (USA), auf Grundlage der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission, Module 2 und 3), die in den Data Processing Addendum von Anthropic einbezogen sind, der Teil der Commercial Terms of Service von Anthropic für API-Kunden ist.

11.2 Die KI-Ausweichfunktion ist standardmäßig aktiviert. Der Verantwortliche schließt die Übermittlung an Anthropic für eine Erfassung aus, indem er im Dashboard „Ohne KI erfassen“ wählt oder über die API das Erfassungsprofil „strict“ verwendet, in dem die Funktion nie verwendet wird. In beiden Fällen wird nichts an Anthropic gesendet, und der PDF-Bericht des Beweises vermerkt, ob die Funktion verwendet wurde.

12. Haftung und Schlussbestimmungen

12.1 Die Haftung nach diesem AVV richtet sich nach Abschnitt 16 der AGB, soweit Art. 82 DSGVO dies zulässt.

12.2 Der AVV unterliegt tschechischem Recht. Er gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für die Sprachfassungen gilt Ziffer 1.4 der AGB (maßgeblich ist die englische Fassung).

12.3 Der Auftragsverarbeiter kann den AVV aktualisieren, wenn das Gesetz oder Änderungen des Dienstes dies erfordern; Abschnitt 22 der AGB gilt, und Änderungen dürfen das Schutzniveau nicht senken.

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Verschlüsselte Verbindungen (TLS) für Website, Anwendung, Browser-Erweiterung und Stempelserver.
• Der Zugang zu den Produktivsystemen ist auf befugte Personen des Auftragsverarbeiters beschränkt; administrativer Zugang erfolgt mit individuellen Zugangsdaten.
• Passwörter nur als bcrypt-Hashwerte gespeichert; Anmeldelinks (30 Minuten gültig, einmalig verwendbar), API-Schlüssel und Refresh-Sitzungen nur als Hashwerte gespeichert; Lizenzschlüssel des Forensic Browser als Hashwerte und verschlüsselt (Fernet) gespeichert.
• Beweise sind privat, bis der Verantwortliche sie veröffentlicht; öffentliche Beweisseiten sind standardmäßig so gekennzeichnet, dass Suchmaschinen sie nicht indexieren. Bei Assisted Capture veröffentlicht der Auftragsverarbeiter Beweise auf Weisung des Verantwortlichen in der Bestellung.
• Schwärzung von Cookies, Autorisierungs-Headern und Sitzungstoken in Netzwerkprotokollen und Seitenquelltexten der Erfassungen.

Integrität

• Datenbank-Trigger verhindern die Änderung oder Löschung der Beweisdaten von Beweisen und der Einträge im Beweisprotokoll (nur erweiterbar).
• Per Hashwerten verkettetes Transparenzprotokoll der Beweise; SHA-256-Manifest aller Dateien jedes Beweises; qualifizierter elektronischer Zeitstempel (RFC 3161) und OpenTimestamps-Verankerung.
• Unabhängige Offline-Verifizierung mit dem Open-Source-Werkzeug gpa-verify.

Isolierung und Schutz des Erfassungsprozesses

• Server-Erfassungen laufen in einem isolierten Chromium-Browser; sein gesamter Netzwerkverkehr läuft über einen Egress-Filter-Proxy, der den Zugriff auf interne und nicht öffentliche Adressen sperrt (Schutz vor SSRF und DNS-Rebinding).
• Die Dienste laufen unter getrennten, nicht privilegierten Systemkonten mit Sandboxing des Betriebssystems (z. B. schreibgeschütztes Dateisystem, private temporäre Verzeichnisse, keine zusätzlichen Privilegien).
• Ratenbegrenzung und Drosselung von Anmeldeversuchen.

Verfügbarkeit und Belastbarkeit

• Hosting in einem Rechenzentrum in der Tschechischen Republik (Váš Hosting s.r.o.).
• Nächtliche Backups durch den Hosting-Anbieter auf getrennte externe Server.
• Überwachung der Dienste und automatische Nachholung ausstehender Zeitstempel und Verankerungen.

Verfahren

• Protokollierung sicherheitsrelevanter Ereignisse und der Nutzung der KI-Ausweichfunktion im Bericht jedes Beweises.
• Datenminimierung: an den qualifizierten Vertrauensdiensteanbieter und die OpenTimestamps-Kalender werden nur Hashwerte gesendet; die KI-Ausweichfunktion kann pro Erfassung abgeschaltet werden („Ohne KI erfassen“) und wird im Profil „strict“ nie verwendet.
• Behandlung von Datenpannen mit Meldung nach Abschnitt 8; regelmäßige Überprüfung der Maßnahmen bei Änderungen des Dienstes.

Anlage 3: Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter für Kundendaten einschließlich ihres Standorts und der Garantien für Übermittlungen ist Bestandteil dieses AVV und unter getproofanchor.com/de/subprocessors veröffentlicht (Abschnitt 1 dieser Seite). Zum Datum dieses AVV umfasst sie: Váš Hosting s.r.o. (Tschechische Republik) – Hosting, Datenbanken, E-Mail-Server und Backups; Stripe Payments Europe, Ltd. (Irland) – Zahlung von Assisted-Capture-Bestellungen einschließlich der Bestelldaten; SK ID Solutions AS (Estland) – qualifizierte Zeitstempel (nur Hashwerte); Anthropic, PBC (USA) – KI-Ausweichfunktion für Cookie-Banner, standardmäßig aktiviert, pro Erfassung abschaltbar.